Externer Datenschutzbeauftragter in Starnberg

Rund um den Starnberger See verdichtet sich eine Wirtschaftsstruktur, die datenschutzrechtlich besondere Sorgfalt verlangt. In Starnberg und den Nachbargemeinden wie Percha, Leoni, Possenhofen und Berg sitzen zahlreiche Vermögensverwaltungen und Family Offices, die hochsensible Finanz- und Personenbestände vermögender Privatkunden verarbeiten. Wer hier als Verantwortlicher im Sinne von Art. 4 Abs. 7 DSGVO auftritt, behandelt meist Finanzprofile, steuerliche Kennzahlen, Beneficial-Owner-Daten nach dem Geldwäschegesetz und familiäre Strukturdaten in einer Datei — eine Konstellation, bei der schon ein einzelnes abmahnfähiges Defizit bei den technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO schnell existenzbedrohend wird.

Gastronomie und Tourismus am See bilden den zweiten Schwerpunkt. Hotels, Sternerestaurants, Segel- und Bootsverleih am Ufer verarbeiten nicht nur Reservierungsdaten, sondern zunehmend auch Gesundheitsdaten (Allergene nach LMIV), Kreditkarten-Sets und Bewegungsprofile über Buchungs-Portale und Newsletter-Anmeldungen. Wer Gäste profilbildet, Loyalty-Apps betreibt oder Kameras in den Außenbereichen einsetzt, braucht ein sauberes Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO — beides wird im Gastgewerbe am See erfahrungsgemäß vernachlässigt. Der externe Datenschutzbeauftragte von max2 kennt die Kombination aus Finanztreuhand und Seegastgewerbe und begleitet Betriebe in Starnberg mit Branchen-Dokumentationsvorlagen, die keine Lehrgeld-Kosten verursachen.

Spezifische DSGVO-Risiken am Starnberger See: unerlaubte Webcam-Aussichtspunkte auf Privatgrundstücke, Auftragsverarbeitungsverhältnisse mit externen Buchhaltungen und Vermögensverwaltern in dritter Stufe, sowie Newsletter- und Online-Buchungsplattformen, die Daten außerhalb der engen Alt-Bestandschutz-Voraussetzungen nach § 27 BDSG (alt) verarbeiten. Eine branchenbewusste Beratung vermeidet diese Klippen.

Für Unternehmen am Starnberger See ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mit Sitz in Ansbach (Promenade 18, 91522 Ansbach) zuständig. Das BayLDA überwacht die Einhaltung der DSGVO und des Bayerischen Datenschutzgesetzes im nicht-öffentlichen Bereich — also für private Wirtschaftsunternehmen, freiberuflich Tätige, Vermögensverwaltungen, Family Offices und Gastronomiebetriebe rund um den See. Beschwerden von Betroffenen und Meldepflichten nach Art. 33 DSGVO (Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden) sind an das BayLDA zu richten.

Offizielle Website: https://www.lda.bayern.de/de/

Wenn Ihr Betrieb vom BayLDA angeschrieben oder zu einer Auskunft nach Art. 58 DSGVO aufgefordert wird, vertritt max2-consulting Sie in der Kommunikation mit der Aufsichtsbehörde — fachlich, nachvollziehbar und ohne Panikreaktionen, die die Lage oft verschärfen statt klären.

Ja, in der Regel verpflichtend. Die Benennungspflicht nach Art. 37 Abs. 1 lit. b DSGVO greift, wenn die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung sensibler Daten besteht. Finanzprofile vermögender Privatkunden sind in der Regel als Katalog-Bestand nach Art. 9 DSGVO über die Hintertür der Hochstufung über § 28 BDSG und des Geldwäschegesetzes schützenswert — spätestens wenn Risikoprofile, Beneficial-Owner-Verzeichnisse und steuerliche Situationsdaten systematisch erfasst werden, ist die Schwelle der \“umfangreichen\“ Verarbeitung erreicht. Ein externer DSB ist hier meist die wirtschaftlichste Lösung, weil Family Offices selten das Volumen für eine interne Vollzeitstelle haben.

Nur in sehr engen Grenzen. Die LMIV-Pflicht, Allergene zu deklarieren, rechtfertigt nicht automatisch eine DSGVO-Verarbeitung der Gäste-Gesundheitsdaten. Allergikerinformationen sind special-category-Daten nach Art. 9 Abs. 1 DSGVO. Erlaubt ist eine Verarbeitung ohne Einwilligung nur unter Art. 9 Abs. 2 lit. b (lebenswichtige Interessen, z.B. akute Anaphylaxie-Gefahr am Tisch) oder Art. 9 Abs. 2 lit. i i.V.m. § 22 Abs. 1 BDSG (Gesundheitsoffenbarung durch die betroffene Person). In der Praxis heißt das: Allergenkennzeichnung auf der Speisekarte ja, systematische Erfassung von Stammgast-Profilen mit Allergien in der Reservierungssoftware nein — für Letzteres brauchen Sie eine dokumentierte Einwilligung nach Art. 7 DSGVO. Der externe DSB hilft bei der sauberen Trennung.

Eine Verletzung des Schutzes personenbezogener Daten — etwa ein verlorenes Reservierungslaptop, ein gehacktes Buchungsportal oder ein an den falschen Empfänger gegangenes Gästeverzeichnis — ist nach Art. 33 DSGVO innerhalb von 72 Stunden dem BayLDA zu melden, sofern ein Risiko für Betroffene besteht. Die Meldung braucht mindestens Art und Umfang, ungefähre Zahl Betroffener, likely-Konsequenzen und ergriffene Gegenmaßnahmen. Bei hohem Risiko folgt die Benachrichtigung der Betroffenen nach Art. 34 DSGVO. Versäumt ein Hotel diese Frist, kann das BayLDA gem. Art. 83 DSGVO mit Bußgeldern reagieren, die bei kleinen Betrieben meist im unteren vierstelligen Bereich liegen, aber je nach Branche und Umsatz spürbar steigen. max2 hilft bei der Erst-Meldung und der Dokumentation der Vorfälle im Verletzungsregister nach Art. 33 Abs. 5 DSGVO.

Ein Family Office am östlichen Seeufer verwaltete für mehrere vermögende Familien digitale Vermögensportfolios und steuerliche Unterlagen über eine Cloud-Lösung eines deutschen Hosters. Bei einer stichprobenartigen Prüfung durch das BayLDA fielen zwei Defizite auf: ein unvollständiges Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, das die outsourced Buchhaltung und die Identifikationsdienstleister nach dem Geldwäschegesetz nicht erfasste, und fehlende Nachweise über die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO für den Cloud-Zugang — Mitarbeiter verfügten über geteilte Konten ohne Zwei-Faktor-Authentifizierung. max2 wurde als externer Datenschutzbeauftragter mandatiert, schloss das Verfahrensverzeichnis innerhalb von acht Wochen, begleitete die Einführung von 2FA und rollte ein rollenbasiertes Zugriffskonzept aus. Das BayLDA stellte das Verfahren nach Nachbesserung ein — ohne Bußgeld, weil die Mängel proaktiv und fristgerecht beseitigt wurden. Der Fall zeigt: eine frühzeitige, kooperative Antwort auf eine Anhörung nach Art. 58 Abs. 1 DSGVO ist oft wirtschaftlich klüger als ein Schweigen, das die Behörde zu einer Entscheidung zwingt.