Top-bewertet bei Google
Rechtliche Risikobewertung für digitale Vorhaben
Entscheiden, bevor Kunde oder Aufsicht fragen
KI-Funktion, SaaS-Modell, Datenzugriff, Dienstleisterkette und Vertragsarchitektur greifen ineinander? Wir bewerten die Risiken anwaltlich und ordnen Scope, Prioritäten, rote Linien und Nachweise für Ihre Entscheidung.
Bitte geben Sie zuerst eine kurze Beschreibung ein.
Der Erstkontakt ist kostenfrei. Bevor Kosten entstehen, machen wir Sie ausdrücklich darauf aufmerksam.
Rückmeldung an Werktagen innerhalb von 24 Stunden
Stand: 23.10.2026
Risikolinie3 von 5
- Scope und Rolle bestimmtLiegt vor
- Risikoachsen getrenntLiegt vor
- Rote Linien markiertPrüfen
- Nachweise für Kunde und AuditLiegt vor
- Umsetzung in Spezialprüfungseparates MandatFehlt
Prüfstelle: Welches Regime setzt den Schwerpunkt?
- 1Auslöser schildernVorhaben und Entscheidung
- 2Risiken einordnenAchsen und Prioritäten
- 3Route erhaltenMatrix und Maßnahmen
Schematische Darstellung. Beispiel vereinfacht.
Wir bewerten Risiken für
- SaaS-Anbieter
- Plattformen
- IoT-Hersteller
- IT-Dienstleister
- Konzerne
Das Wichtigste in Kürze
- Eine rechtliche Risikobewertung soll eine Entscheidung ermöglichen und Risiken in eine Reihenfolge bringen.
- ITMR bewertet digitale Projekte, Produkte, Datenmodelle und Verträge über IT-Recht, Datenschutz, KI, Datenrecht und Cybersecurity hinweg.
- Sie erhalten Scope, Risikomatrix, Prioritäten, rote Linien, Nachweislinie und Maßnahmenroute.
- Steht der Schwerpunkt schon fest, empfehlen wir direkt die passende Spezialprüfung.
- Ansprechpartner ist Dominik Skornia und sein Team. Er ist AI-Privacy-Expert (GDDcert. EU). Rückmeldung an Werktagen innerhalb von 24 Stunden.
- SaaS
- Software as a Service. Software, die über das Internet genutzt und nicht installiert wird.
- DSGVO
- Datenschutz-Grundverordnung der EU. Sie regelt, wie Unternehmen personenbezogene Daten verarbeiten dürfen.
- NIS2
- EU-Richtlinie zur Cybersicherheit. Sie verpflichtet viele Unternehmen zu Risikomanagement und Meldungen.
- Data Act
- EU-Datenverordnung. Sie regelt den Zugang zu Daten aus vernetzten Produkten und Diensten.
Ausgangslage
Wann wird eine Risikobewertung nötig?
Wenn ein digitales Vorhaben freigegeben, verhandelt, gestoppt oder gegenüber Dritten begründet werden muss.
Risikofragen entstehen, wenn entschieden werden muss, und gegenüber Kunde, Investor, Auditor, Aufsicht oder Geschäftsleitung begründet.
Ein KI-Tool, SaaS-Angebot, Plattformprozess, Datenmodell oder vernetztes Produkt soll live gehen, skalieren oder extern angeboten werden.
Enterprise-Kunden, Investoren, Auditoren oder Einkauf verlangen belastbare Aussagen zu Risiko, Compliance, Verträgen, Sicherheit und Nachweisen.
KI, DSGVO, NIS2, Data Act, DSA, Vertragsrisiken und Dienstleistersteuerung laufen zusammen. Legal, Datenschutz, IT und Produkt bewerten denselben Sachverhalt unterschiedlich.
Ein Sicherheitsereignis, eine Datenpanne, eine Beschwerde oder eine Behördenfrage macht bisherige Annahmen angreifbar.
- Für wen
- Geschäftsleitung, Legal, Datenschutz, IT, Produkt
- Gegenstand
- Projekte, Produkte, Datenflüsse, Verträge
- Ergebnis
- Matrix, Prioritäten, Maßnahmenroute
- Umsetzung
- Spezialprüfung gesondert
Die Geschäftsleitung braucht eine dokumentierte Grundlage. Soll das Risiko akzeptiert, reduziert, vertraglich verteilt, technisch abgesichert oder der Projektpfad geändert werden?
Gemeint ist die anwaltliche Bewertung rechtlicher Risiken. Allgemeines Enterprise-Risk-Management, Versicherungsfragen, ESG-Berichte oder rein finanzielle Risikomodelle gehören nicht dazu.
Die Seite IT-Compliance passt besser, wenn Rollen, Pflichtenlandkarte, Kontrollen und dauerhafte Steuerung im Mittelpunkt stehen. Risikomanagement setzt am konkreten Anlass an.
Schnelle Einordnung
Schildern Sie Vorhaben und Entscheidung über das Formular. Wir melden uns an Werktagen innerhalb von 24 Stunden.
Ablauf
Wie läuft die Risikobewertung ab?
In drei Schritten vom Auslöser zur Maßnahmenroute.
01
Auslöser schildern
Sie beschreiben Projekt, Produkt, Tool, Vertrag, Kundenanforderung, Auditfrage, Vorfall oder Entscheidung. Eine kurze Lagebeschreibung reicht für den Einstieg.
02
Risiken einordnen
Wir prüfen, welche Rechtsbereiche den Fall prägen, etwa IT-Recht, Datenschutz, KI, Datenrecht, Cybersecurity, Plattformregulierung oder Verträge.
03
Route erhalten
Sie erhalten eine Einschätzung zu Scope, Risiken, roten Linien, Prioritäten, Nachweisen und nächsten Schritten, mit Empfehlung zur Spezialprüfung.
Welche Fragen wir zuerst klären
- 1
Was löst die Prüfung aus?
Launch, Kundennachweis, Due Diligence, Audit, Vorfall, Behördenkontakt oder Vertragsverhandlung erzeugen unterschiedliche Risikoprofile.
- 2
Welche Rolle hat Ihr Unternehmen?
Anbieter, Betreiber, Plattform, Hersteller, Dateninhaber, Dienstleister oder Beschaffer haben nicht dieselben Pflichten.
- 3
Welche Nachweise fehlen?
Wir sehen Lücken bei Rollenentscheidungen, Freigaben, Vertragsanlagen, Dienstleisterinformationen und Review-Protokollen.
- 4
Welche Punkte sind kritisch?
Maßgeblich sind Außenwirkung, Fristen, Eintrittsnähe, Schadenshöhe, Umsetzbarkeit, Haftungsnähe und Belegbarkeit.
Wie lange dauert es? Die meisten Arbeitsschritte erledigen wir innerhalb weniger Werktage. Wie schnell es geht, hängt vom Umfang und von Ihren Rückmeldungen ab. Haben Sie einen festen Termin, etwa einen Launch? Nennen Sie ihn uns gleich bei der Anfrage, dann planen wir ihn ein.
Leistung
Was halten Sie am Ende in der Hand?
Leistungspaket Risikobewertung
Scope-Entscheidung
Welche Gesellschaft, welches Produkt, welcher Datenfluss, Vertrag oder Prozess ist Gegenstand der Bewertung?
Risikomatrix
Welche Risiken bestehen, wie schwer wiegen sie, wie wahrscheinlich sind sie und welche Annahmen liegen zugrunde?
Prioritätenliste
Was muss vor Freigabe, Vertragsschluss, Kundenantwort, Audit oder Managemententscheidung geklärt sein?
Rote Linien
Welche Konstellationen sind rechtlich nicht vertretbar, nur mit Absicherung vertretbar oder verhandelbar?
Nachweislinie
Welche Unterlagen sollten für Kunde, Audit, Investor, Management oder Aufsicht bereitstehen?
Maßnahmenroute
Welche vertraglichen, organisatorischen, dokumentarischen oder technischen Schritte haben Vorrang?
- Für wen
- Unternehmen mit digitalen Vorhaben
- Erste Rückmeldung
- an Werktagen innerhalb von 24 Stunden
- Kosten
- Wir nennen Ihnen die Kosten vor Mandatserteilung transparent.
- Nicht im Paket
- Umsetzung in Spezialprüfungen, Vertragsverhandlung und Behördenverfahren. Diese übernehmen wir auf Anfrage als separates Mandat.
Wer liefert was und wer entscheidet
Was Sie liefern
- Projekt-, Produkt- oder Toolbeschreibung
- Datenarten und Datenflüsse
- Verträge, AGB, AVV, SLA
- Kunden-, Audit- oder Behördenfragen
Was wir übernehmen
- Scope und Rollenbestimmung
- Risikomatrix mit Prioritäten
- Rote Linien und Nachweislinie
- Maßnahmenroute als Memo
Wer entscheidet
- Ihre Geschäftsleitung über Freigabe und Risikoakzeptanz
- Im Streit Aufsicht oder Gericht
Wie läuft die Beauftragung ab?
- 1
Erste Einschätzung
Sie schildern Vorhaben und Entscheidung über das Formular. Wir ordnen ein, welcher Umfang passt. Der Erstkontakt ist kostenfrei.
- 2
Angebot
Vor Beginn nennen wir Ihnen Scope und Kosten transparent.
- 3
Gerichtliche Schritte gesondert
Gerichtsverfahren, Behördenverfahren und Vertretung vereinbaren wir gesondert.
Risikofelder
Wo entstehen die stärksten Risiken?
An Schnittstellen zwischen Produkt, Vertrag, Daten, Sicherheit und Haftung.
| Risikofeld | Typischer Anlass | Was geklärt werden muss |
|---|---|---|
| KI und Automatisierung | Tool-Freigabe, KI-Feature, Enterprise-Kunde | Klassifizierung, Rollen, Transparenz, menschliche Aufsicht, Haftungslinie |
| Datenschutz und DSFA | Profiling, neue Technologie, sensible Daten | Rechtsgrundlage, Risikominderung, technische und organisatorische Maßnahmen, DSFA-Pflicht |
| Cybersecurity und NIS2 | Sektorprüfung, Lieferkette, Vorfall | Betroffenheit, Verantwortlichkeiten, Sicherheitsmaßnahmen, Meldewege |
| Data Act und Datenmodelle | Vernetzte Produkte, Cloud-Wechsel, Datenzugang | Datenarten, Zugriffsrechte, Geschäftsgeheimnisse, Vertragsklauseln |
| Plattformen und DSA | Hosting, Marktplatz, Nutzerinhalte | Dienstetyp, Melde- und Beschwerdewege, Moderation, Transparenz |
| IT-Verträge und Dienstleister | SaaS, Cloud, Entwicklung, Outsourcing | Leistungsbild, SLA, Audit-Rechte, Unterauftragnehmer, Exit, Haftung |
Typische Fehler
Wo bauen Unternehmen unnötig Risiko auf?
Vier Muster, die wir in der Praxis sehen.
Zu früh in eine Schublade
Ein KI-Projekt wird nur als Datenschutzthema behandelt, ein SaaS-Risiko nur als Einkaufsfrage. Vertrags- und Haftungsfragen bleiben offen.
Bewertung ohne Entscheidung
Risiken werden gesammelt, aber nicht priorisiert. Offen bleibt, was vor Freigabe oder Audit wirklich nötig ist.
Nachweise entstehen zu spät
Dokumentiert wird erst, wenn Kunde, Auditor oder Aufsicht fragt. Dann ist die Linie schwerer zu belegen.
Vertrag und Betrieb laufen auseinander
Zusagen, Dienstleisterketten, Datenflüsse und Sicherheitsmaßnahmen passen nicht zusammen.
Spezialseiten
Wann passt eine Spezialprüfung besser?
Steht der Schwerpunkt fest, führt eine Spezialseite schneller zur Umsetzung.
IT-Compliance
Für Rollen, Freigaben, Pflichtenlandkarte, Auditfähigkeit und laufende Steuerung.
EU Digital Acts
Für die Scope-Prüfung von DSA, Data Act, KI-Verordnung, NIS2 und CRA.
KI-Verordnung umsetzen
Für Klassifizierung, Anbieter- und Betreiberrollen, Transparenz und Hochrisiko-Nähe.
NIS2-Betroffenheit
Für Sektorprüfung, Einrichtungstyp, Managementpflichten und Meldewege.
IT-Vertrag
Für SaaS, Cloud, Entwicklung, Outsourcing, SLA, Audit-Rechte und Exit.
Datenschutzrecht
Für DSFA, Auftragsverarbeitung, Transfers, Datenpannen und Aufsichtsverfahren.
Rechtsrahmen
Welche Normen verlangen eine Risikobewertung?
Nach Art. 35 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau.
Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen ergreifen. Nach § 38 BSIG ist die Geschäftsleitung für deren Umsetzung und Überwachung verantwortlich.
Die KI-Verordnung (EU) 2024/1689 knüpft Pflichten an die Risikoklasse und die Rolle als Anbieter oder Betreiber. Art. 6 regelt die Einstufung als Hochrisiko-KI-System.
Nach § 1 StaRUG müssen Geschäftsleiter fortlaufend Entwicklungen überwachen, die den Fortbestand gefährden können.
Quellen
- Art. 35 DSGVO Datenschutz-Folgenabschätzung.
- § 30 BSIG Risikomanagementmaßnahmen.
- § 38 BSIG Pflichten der Geschäftsleitung.
- KI-Verordnung (EU) 2024/1689 Art. 6 Hochrisiko-Einstufung.
- Data Act (EU) 2023/2854 Datenzugang und Cloud-Wechsel.
- § 1 StaRUG Krisenfrüherkennung.
Grenzen
Was leistet die Bewertung nicht?
Klare Grenzen halten Bewertung und Umsetzung auseinander.
- 1
Keine Spezialprüfung
Steht der Schwerpunkt fest, ist eine Spezialprüfung schneller. Diese vereinbaren wir gesondert.
- 2
Keine Unternehmensberatung
Finanzielle Risikomodelle, Versicherungen und ESG-Berichte gehören nicht dazu.
- 3
Kein Ergebnisversprechen
Wir bewerten Risiken. Wie Aufsicht oder Gericht entscheiden, bleibt offen.
- 4
Entscheidung bleibt bei Ihnen
Die Risikoakzeptanz trifft Ihre Geschäftsleitung.
Leitfrage für Ihr Unternehmen
- Können Sie einem Kunden, Prüfer, Investor, Gericht oder einer Aufsicht erklären, warum dieses Risiko akzeptiert, reduziert oder vertraglich verteilt wurde?
- Dasselbe Tool ist je nach Rolle, Datenbezug, Nutzergruppe und Vertragslage anders zu bewerten.
- Je klarer diese Punkte sichtbar sind, desto belastbarer lassen sich Risiken priorisieren.
Ihr Ansprechpartner
Dominik Skornia, LL.B.
Rechtsanwalt · AI-Privacy-Expert (GDDcert. EU) · Externer Datenschutzbeauftragter
Zum Profil Düsseldorf, Schirmerstraße 80 · Hamburg, Palmaille 124
Bei ITMR führen Jean Paul Bohne, Andreas Buchholz und Dr. Alexander Pleh die Bezeichnung Fachanwalt für Informationstechnologierecht.
Bewertungen
Was Mandanten sagen
5,0 von 5 · 167 Google-Bewertungen
5,0 von 5 · 71 Bewertungen auf anwalt.de
Ausgewählte Bewertungen, Stand: 23.10.2026. Weitere Bewertungen finden Sie auf den Plattformen.
„Ausgezeichnete Beratung & Umsetzung im Bereich Datenschutz und AI - für Startups sehr zu empfehlen.“
„Egal mit welchem anliegen zu welcher zeit hat Herr Bohne immer schnellen und nachhaltige lösungen vorgeschlagen und oder erarbeitet. Ich bin sehr froh diesen Anwalt an meiner seite haben zu dürfen.“
„Kompetente Beratung, schnelle Reaktion, danke.“
Keine Überprüfung der Bewertungen auf Google und anwalt.de durch uns · Google · anwalt.de
FAQ
Was fragen Unternehmen zur Risikobewertung?
Wann ist eine anwaltliche Risikobewertung sinnvoll?
Wenn eine Entscheidung vorbereitet werden muss, etwa Freigabe, Launch, Vertragsschluss, Kundenantwort, Audit, Due Diligence oder Vorfallreaktion. Besonders dann, wenn mehrere Rechtsbereiche betroffen sein können.
Was unterscheidet Risikobewertung von IT-Compliance?
Die Risikobewertung klärt den konkreten Fall und was jetzt zu tun ist. IT-Compliance beschreibt die dauerhafte Organisation von Rollen, Pflichten, Kontrollen und Nachweisen.
Erhalten wir eine konkrete Risikomatrix?
Je nach Mandat bereiten wir das Ergebnis als Risikomatrix, Prioritätenliste, Management-Memo oder Maßnahmenroute auf. Maßgeblich ist, dass es intern nutzbar ist.
Können mehrere Regime gemeinsam geprüft werden?
Ja. Wir trennen, welches Regime den Schwerpunkt setzt und welche Punkte flankierend zu beachten sind.
Hilft die Bewertung bei Kunden- oder Investorenfragen?
Ja. Verlangt ein Enterprise-Kunde, Investor oder Auditor belastbare Aussagen, bereiten wir die Antwort fachlich sauber und wirtschaftlich vertretbar vor.
Begleiten Sie auch die Umsetzung?
Ja, auf Anfrage als separates Mandat, etwa Vertragsanpassung, DSFA, KI-Verordnung, NIS2, Data Act oder laufende Begleitung.
Nächster Schritt
Soll Ihre Risikofrage eingeordnet werden?
Wenn Launch, Audit, Kunde, Investor oder Vorfall Druck erzeugen, ordnen wir Scope, Risikoachsen, Prioritäten und Nachweise für Ihre Entscheidung.
Für die Anfrage hilfreich
- Projekt- oder Produktbeschreibung
- Datenarten und Datenflüsse
- Bestehende Verträge und Anbieterunterlagen
- Kunden-, Audit- oder Behördenfragen
Für den Einstieg genügt eine strukturierte Kurzbeschreibung.
Risikofrage einordnen
Für Unternehmen mit digitalen Projekten, Produkten und Verträgen.
Vorhaben und anstehende Entscheidung schildern.