Externe Auditkapazität und Datenschutz im Mandat
Ich bin Auditor und Datenschutzbeauftragter. Unternehmen und Beratungen buchen mich, wenn ein Prüftermin ansteht und intern niemand ihn unparteiisch durchführen kann — oder wenn ein KI-Thema auf dem Tisch liegt, für das es noch keine Zuständigkeit gibt.
Rund zehn Jahre Praxis: Datenschutz im Endkundengeschäft eines Energiekonzerns mit fünf Millionen Privatkunden, Datenschutzbeauftragter für zwölf Gesellschaften mit 4.600 Mitarbeitenden in einer internationalen Prüf- und Zertifizierungsgruppe. Vollständig remote, deutsch und englisch.
Zwei Wege — und ich gehe pro Kunde nur einen
Audit — ich prüfe.
Interne Audits nach ISO 27001 und ISO 42001, Lieferanten- und KI-Dienstleisteraudits, Datenschutzprüfungen. Sie haben ein System, und jemand muss unparteiisch feststellen, ob es trägt.
Zu den AuditleistungenBeratung — ich baue auf.
Externe Datenschutzbeauftragung, Umsetzung der KI-Verordnung, Aufbau eines Managementsystems nach ISO 27001 oder ISO 42001, Schulungen. Sie brauchen etwas, das es noch nicht gibt.
Zu den BeratungsleistungenWas ich in einem Unternehmen aufgebaut habe, auditiere ich dort nicht. Das ist keine Höflichkeit, sondern die Unparteilichkeitsanforderung aus ISO 27001 Kapitel 9.2 — und der Grund, warum ein Auditbericht von mir vor einer Zertifizierungsstelle Bestand hat.
Womit ich arbeite
Informationssicherheit
Interne Audits nach ISO 27001 Kapitel 9.2 — jährliches Vollaudit als Regelfall, Dreijahresverträge für Planungssicherheit, dazu Lieferanten- und Dienstleisteraudits sowie Gap-Analysen vor der Zertifizierung.
ISO/IEC 27001 Lead Auditor (PECB)
Zum internen Audit ISO 27001 →KI-Verordnung und ISO 42001
KI-Inventar, Rollen- und Risikoeinstufung, KI-Richtlinien mit Freigabe- und Meldeprozess, Kompetenzschulungen nach Art. 4, Gap-Analyse und Aufbaubegleitung ISO/IEC 42001, Audits von KI-Dienstleistern, Prüfung von KI-Vertragsanhängen.
AI Officer, Universität Oldenburg
Zur KI-Verordnung →Datenschutz
Externe Datenschutzbeauftragung im Mandat, Verarbeitungsverzeichnisse, Löschkonzepte, Auftragsverarbeitung, Datenschutz-Folgenabschätzungen, Schulungen.
Datenschutzbeauftragter (TÜV) · Europrivacy™ Auditor & Implementer · Fachkunde ISO 27701 · LL.B.
Zur Datenschutzbeauftragung →Qualifikationen
ISO/IEC 27001 Lead Auditor (PECB) · Europrivacy™ Auditor & Implementer · Datenschutzbeauftragter (TÜV) · Fachkunde ISO 27701 · AI Officer (Universität Oldenburg) · ISO 9001 Lead Auditor · LL.B. Recht
Europrivacy ist das einzige vom Europäischen Datenschutzausschuss gebilligte Zertifizierungsverfahren nach Art. 42 DSGVO.
Woher ich das kenne
Prüf- und Zertifizierungsbranche
Eine internationale Prüf- und Zertifizierungsgruppe, zwölf rechtlich selbständige Gesellschaften in Deutschland und Österreich, rund 4.600 Mitarbeitende. Prüf- und Auditdaten der Kunden in großem Umfang. Die DSGVO-Anforderungen kollidieren dort regelmäßig mit den Vertraulichkeits- und Unparteilichkeitsvorgaben aus ISO/IEC 17021 — beides gleichzeitig zu erfüllen ist keine Standardaufgabe.
Als Datenschutzbeauftragter der Gruppe habe ich die Datenschutzorganisation über alle zwölf Gesellschaften aufgebaut und geführt: Verarbeitungsverzeichnisse, konzerninterne Übermittlungen, Auftragsverarbeitung, Löschkonzepte, Schulungsprogramm, Betroffenenanfragen.
Ich kenne die Logik von Zertifizierungsstellen von innen — Zeugnisvorbehalt, Unparteilichkeitskommission, Begutachtungslogik.
Tätigkeit als angestellter Datenschutzbeauftragter, 2021–2024.
Energie und Massengeschäft
Das Endkundengeschäft eines deutschen Energiekonzerns mit rund fünf Millionen Privatkunden. Datenschutz ist dort kein Dokumentationsthema, sondern eine Frage von Prozessen, die millionenfach laufen: Einwilligungen, Werbewidersprüche, Betroffenenrechte, Auskunftsersuchen, Smart-Metering-Daten.
Als Datenschutzkoordinator B2C und später als Privacy & CX Expert habe ich die Datenschutzthemen im Kundenerlebnis verantwortet, einschließlich der Leitung der UWG-Task-Force Deutschland.
Ich weiß, wie Datenschutz in Massenprozessen funktioniert und woran er scheitert.
Tätigkeit als angestellter Datenschutzkoordinator bzw. Privacy Expert, 2018–2026.
Wie eine Zusammenarbeit abläuft
- Erstgespräch, zwanzig Minuten, remote, kostenfrei. Sie beschreiben die Lage, ich sage Ihnen, ob es meine Aufgabe ist. Wenn nicht, sage ich das im Gespräch und nicht erst im Angebot.
- Festes Angebot mit Umfang und Lieferdatum. Schriftlich definierter Umfang, Festpreis, benanntes Lieferdatum. Keine Tagessätze ohne Ergebnisdefinition und keine Erweiterung ohne schriftlichen Nachtrag.
- Durchführung remote, Ergebnis als Dokument. Auditbericht mit klassifizierten Feststellungen, Gutachten oder Konzept — in jedem Fall etwas, das Sie einer Zertifizierungsstelle, einer Aufsichtsbehörde oder Ihrer Geschäftsführung vorlegen können.
Ich arbeite vollständig remote — das hält die Kosten niedrig und macht kurzfristige Termine möglich. Alle Angebote als Festpreis mit definiertem Umfang, alle Beträge netto zzgl. Umsatzsteuer.
Was ich nicht mache
Keine akkreditierten Zertifizierungsaudits — die dürfen ausschließlich Zertifizierungsstellen durchführen. Keine Rechtsberatung im Einzelfall. Keine Audits über Systeme, die ich selbst aufgebaut habe. Und keine Fristenpanik: Der Digital Omnibus hat die Hochrisiko-Pflichten der KI-Verordnung auf frühestens Dezember 2027 verschoben — wer Ihnen heute noch mit August 2026 kommt, hat nicht hingeschaut.
Erstgespräch
Zwanzig Minuten, remote, kostenfrei. Sagen Sie mir, was ansteht — ich sage Ihnen, was es kostet und wann ich liefern kann.
Einseitiges Leistungsprofil mit Qualifikationen, Schwerpunkten und Kapazität — für Beratungen, die Auditkapazität einkaufen.