Christian Helios Rechtsanwalt · Data Protection Officer (Univ.)

Erlangen · Nürnberg · Metropolregion – und ortsunabhängig

IT-Recht und Datenschutz für den Mittelstand –
aus der Praxis, nicht aus dem Lehrbuch.

Neue Regelwerke, komplexe Verträge, wachsende Behördenanforderungen: Für KMU und IT-Unternehmen wird die rechtliche Landschaft anspruchsvoller – und die Konsequenzen von Fehlern teurer. Als Rechtsanwalt mit langjähriger Erfahrung als Leiter einer IT-Rechtsabteilung kenne ich beide Seiten des Tisches. Ich berate Sie dort, wo rechtliche Präzision und unternehmerisches Denken zusammenkommen müssen.

Erstgespräch vereinbaren Leistungen ansehen
  • DSGVO-Compliance
  • NIS2 / BSIG
  • KI-Verordnung
  • IT- und Cloud-Verträge
  • US-Datentransfers
  • Aufsichtsbehörden
  • 2016als Rechtsanwalt zugelassen
    (RAK Nürnberg)
  • InhouseErfahrung aus der Leitung
    einer IT-Rechtsabteilung
  • DPO (Univ.)Universität Augsburg, 2026
    IHK-zertifiziert seit 2018

Leistungen

Digitale Regelwerke, auf Ihren Betrieb übersetzt.

Datenschutz, IT-Recht und die neuen EU-Regelwerke: Ich helfe Ihnen, die rechtlichen Anforderungen zu verstehen, vertraglich abzusichern und bei konkreten Anlässen umzusetzen – praxisnah und ohne unnötige Bürokratie.

01

Datenschutz und DSGVO-Compliance

Ob Neueinführung eines IT-Systems, Vorbereitung auf ein Audit, eine Behördenanfrage oder die Überarbeitung Ihrer Datenschutzdokumentation – ich berate Sie anlassbezogen und mit klarem Blick auf das, was rechtlich tatsächlich erforderlich ist.

Was ich für Sie tue
  • Rechtliche Analyse Ihrer Datenverarbeitungsprozesse und Identifikation konkreter Haftungsrisiken
  • Einmalige Erstellung des Verarbeitungsverzeichnisses (Art. 30 DSGVO) als belastbare Grundlage Ihrer Dokumentation
  • Rechtliche Definition der erforderlichen technisch-organisatorischen Maßnahmen (Art. 32 DSGVO) – als Vorgabe für Ihre IT, nicht als technische Umsetzung
  • Datenschutz-Folgenabschätzung (Art. 35 DSGVO) bei risikoreichen Verarbeitungsvorgängen
  • Gestaltung und Prüfung von Datenschutzerklärungen, Einwilligungstexten und Cookie-Bannern – einschließlich der Einwilligungspflicht nach § 25 TDDDG
  • Rechtliche Begleitung bei behördlichen Anfragen und Prüfungen
  • Anlassbezogene Schulung Ihrer Führungskräfte oder Ihres Teams

Wichtiger Hinweis: Verarbeitungsverzeichnis und übrige Dokumentation sind gesetzliche Pflichten des Verantwortlichen. Ich erstelle die belastbare Erstfassung und die rechtlichen Vorgaben für deren Fortschreibung; die laufende Pflege bleibt in Ihrem Haus, wo die Prozesskenntnis liegt.

Ihr Nutzen: Eine belastbare Einschätzung Ihrer Datenverarbeitung, benannte Haftungsrisiken samt Handlungsempfehlung – und eine Dokumentation, die Sie Kunden und Geschäftspartnern vorlegen können.

02

NIS2 – Cybersicherheitspflichten

Die deutsche Umsetzung ist da: Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend neu gefasst – ohne Übergangsfrist. Betroffen sind schätzungsweise 30.000 Einrichtungen, darunter viele Mittelständler, die sich bislang nicht als „kritische Infrastruktur“ verstanden haben.

Was ich für Sie tue
  • Rechtliche Betroffenheitsprüfung: „besonders wichtige“ oder „wichtige“ Einrichtung im Sinne des neuen BSIG – oder gar nicht erfasst?
  • Einordnung Ihrer gesetzlichen Pflichten: Risikomanagement, Meldepflichten und die persönliche Verantwortung der Geschäftsleitung samt Schulungspflicht
  • Registrierung beim BSI: rechtliche Vorbereitung und Begleitung, auch nach Fristablauf
  • Meldeprozesse entlang der gestuften Fristen von 24 Stunden, 72 Stunden und einem Monat
  • Vertragsgestaltung in der Lieferkette – und Abwehr überzogener Anforderungen Ihrer Kunden

Wichtiger Hinweis: Die technische Umsetzung – Netzwerksegmentierung, Penetrationstests, SIEM – ist Aufgabe spezialisierter IT-Sicherheitsdienstleister. Ich berate zur rechtlichen Pflichtenlage und zur vertraglichen Absicherung.

Ihr Nutzen: Klarheit über Ihre Pflichten, eine dokumentierte Entscheidungsgrundlage für die Geschäftsleitung – und eine rechtlich geprüfte Vorgabe für die technische Umsetzung durch Ihre IT.

03

AI Act – Künstliche Intelligenz rechtskonform einsetzen

Die KI-Verordnung betrifft nicht nur Entwickler, sondern jedes Unternehmen, das KI-Systeme einsetzt oder in eigene Produkte und Prozesse einbindet. Die Pflichten gelten gestaffelt – und der Zeitplan hat sich zuletzt verschoben.

Zeitplan und was ich für Sie tue
  • Seit Februar 2025: Verbot inakzeptabler KI-Praktiken (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4)
  • Seit August 2025: Pflichten für Modelle mit allgemeinem Verwendungszweck sowie die Sanktionsvorschriften
  • Seit August 2026: Transparenzpflichten nach Art. 50 – etwa Kennzeichnung von Chatbots und KI-generierten Inhalten
  • Hochrisiko-Systeme: durch den „Digital Omnibus on AI“ verschoben auf Dezember 2027 (Anhang III) bzw. August 2028 (Anhang I)
  • Rechtliche Einordnung Ihrer KI-Systeme in die Risikoklassen – nach dem enger gefassten Hochrisiko-Begriff
  • Klärung der konkreten Anbieter- und Betreiberpflichten für Ihr Anwendungsszenario
  • Umsetzung der KI-Kompetenzpflicht nach Art. 4: Schulungskonzept und Nachweisdokumentation
  • Vertragliche Absicherung beim Einkauf von KI-Lösungen: Transparenz-, Dokumentations- und Freistellungsklauseln
  • Schnittstelle DSGVO / KI-VO, einschließlich Rechtsgrundlage für Trainings- und Eingabedaten
  • Einmalige Erstellung einer internen KI-Nutzungsrichtlinie

Ihr Nutzen: Sie nutzen KI produktiv – auf Grundlage einer dokumentierten Einordnung Ihrer Systeme und eines Fahrplans für die kommenden Pflichtenstufen.

04

IT-Vertragsrecht

Software kaufen, Cloud nutzen, Entwickler beauftragen – jede dieser Entscheidungen ist ein Vertrag. Und die meisten Standardverträge sind auf die Interessen des Anbieters zugeschnitten, nicht auf Ihre.

Was ich für Sie tue
  • Gestaltung und Prüfung von Softwarelizenz- und Wartungsverträgen
  • Cloud-Verträge (SaaS, IaaS, PaaS): Haftung, Verfügbarkeit, Datenschutz und Exit-Strategie
  • Auftragsverarbeitungsverträge (Art. 28 DSGVO) einschließlich Unterauftragsverhältnissen und Prüfrechten
  • IT-Dienstleistungsverträge und Service Level Agreements
  • Softwareentwicklungsverträge: Leistungsbeschreibung, Abnahme, Rechteeinräumung, Mängelrechte
  • Begleitung von IT-Projekten und Digitalisierungsvorhaben, auch bei Projektstörungen und Eskalationen

Ihr Nutzen: Verträge, die Verantwortlichkeiten eindeutig zuweisen – damit Ihre Position im Streitfall belegbar ist, statt Auslegungssache zu bleiben.

05

Internationale Datentransfers

Wer Cloud-Dienste, Marketingtools oder Analyseplattformen amerikanischer Anbieter nutzt, überträgt täglich personenbezogene Daten in die USA. Die Absicherung dieser Transfers ist komplexer als viele denken – und derzeit besonders fragil.

Was ich für Sie tue
  • Beurteilung Ihrer bestehenden US-Transfers und Prüfung, ob die Zertifizierung Ihres Anbieters die relevanten Datenkategorien überhaupt abdeckt
  • Absicherung durch Standardvertragsklauseln als zweites Standbein, falls der Angemessenheitsbeschluss entfällt
  • Transfer Impact Assessments und Dokumentation zusätzlicher Garantien
  • Datenschutzkonforme Vertragsgestaltung bei Microsoft 365, Google Workspace, Salesforce und AWS
  • Prüfung von Transfers in das Vereinigte Königreich, die Schweiz und Drittländer ohne Angemessenheitsbeschluss

Ihr Nutzen: Eine dokumentierte Transferstrategie mit zweitem Standbein für den Fall, dass der Angemessenheitsbeschluss entfällt – nachweisbar gegenüber der Aufsichtsbehörde.

06

Rechtliche Compliance-Dokumente

Hinweisgebersysteme, interne Richtlinien, datenschutzrechtliche Verfahrensanweisungen – viele Unternehmen haben diese Dokumente nicht, obwohl sie gesetzlich vorgeschrieben oder im Streitfall entscheidend sind.

Was ich für Sie tue
  • Einmalige Erstellung oder rechtliche Prüfung von Datenschutz- und Compliance-Richtlinien
  • Rechtskonforme Gestaltung interner Meldestellenverfahren nach dem Hinweisgeberschutzgesetz
  • Löschkonzepte und Aufbewahrungsfristen als praktisch handhabbare Vorgabe
  • Rechtliche Risikoanalyse und Dokumentation als Entscheidungsgrundlage für Ihr Management

Ihr Nutzen: Dokumente, die für eine behördliche Prüfung aufbereitet sind – erstellt für einen konkreten Anlass, die Fortschreibung bleibt bei Ihnen.

07

Vertretung gegenüber Aufsichtsbehörden

Wenn eine Datenschutzbehörde sich meldet, zählt jedes Wort. Der erste Brief, die erste Antwort – das setzt den Rahmen für das gesamte Verfahren.

Was ich für Sie tue
  • Kommunikation mit Datenschutzaufsichtsbehörden
  • Rechtliche Begleitung bei behördlichen Prüfungen und Audits
  • Beantwortung von Auskunftsanfragen und Beschwerden Betroffener
  • Vertretung in Bußgeldverfahren
  • Meldung und Management von Datenschutzverletzungen (Art. 33, 34 DSGVO) – auch kurzfristig innerhalb der 72-Stunden-Frist

Ihr Nutzen: Professionelle Vertretung, die Ihre Interessen von Anfang an konsequent wahrt.

08

Weitere digitalrechtliche Regelwerke

Der europäische Rechtsrahmen für die Digitalwirtschaft wächst schneller, als die meisten Unternehmen ihn nachhalten können. Neben DSGVO, NIS2 und KI-Verordnung können je nach Geschäftsmodell Data Act, Cyber Resilience Act, DORA und das Barrierefreiheitsstärkungsgesetz einschlägig sein. Ich prüfe anlassbezogen, welche Regelwerke Sie tatsächlich treffen – und welche nicht.

Weitere Beratungsfelder

Aus der Tätigkeit in einer Rechtsabteilung bringe ich auch Erfahrung im allgemeinen Vertragsrecht, Arbeitsrecht und Gesellschaftsrecht mit. Sprechen Sie mich gerne an – ich sage Ihnen offen, ob ich Ihnen weiterhelfen kann oder ob ein spezialisierter Kollege die bessere Wahl ist.

Ihr Nutzen: Eine klare Abschichtung statt pauschaler Betroffenheitsannahmen.

Für wen ich arbeite

Meine Mandanten sind typischerweise

  • Geschäftsführung und Führungskräfte Mittelständische Unternehmen, die mit DSGVO, NIS2 oder der KI-Verordnung konfrontiert sind und wissen wollen, was das für ihr Unternehmen konkret bedeutet.
  • IT-Unternehmen und Softwareanbieter Anbieter, die Verträge rechtssicher gestalten oder prüfen lassen wollen.
  • Nutzer von Cloud- und US-Tools Unternehmen, die die datenschutzrechtliche Absicherung ihrer Dienste klären müssen.
  • Datenschutzbeauftragte und Compliance-Verantwortliche Fachverantwortliche, die für eine schwierige Einzelfrage eine belastbare zweite Meinung brauchen.
  • Unternehmen mit behördlicher Anfrage Adressaten einer Aufsichtsbehörde, die professionelle Vertretung benötigen.

Wenn Sie sich in einer dieser Situationen wiederfinden: Im Erstgespräch klären wir, ob ich der Richtige für Ihr Anliegen bin – bevor Sie sich entscheiden.

Über mich

Zwei Perspektiven auf denselben Tisch

Ich berate Unternehmen an der Schnittstelle von Recht und Technologie: bei DSGVO-Compliance, IT-Vertragsrecht, den europäischen Regelwerken NIS2 und KI-Verordnung sowie bei der rechtlichen Absicherung internationaler Datentransfers. Meine Mandanten sind überwiegend kleine und mittlere Unternehmen sowie IT-Dienstleister in Erlangen, Nürnberg und der gesamten Metropolregion – und darüber hinaus, denn die meisten Mandate lassen sich ortsunabhängig bearbeiten.

Mein Hintergrund

Ich bin seit Januar 2016 als Rechtsanwalt zugelassen. Meine Erfahrung stammt aus der Leitung einer IT-Rechtsabteilung und aus der Tätigkeit als bestellter Datenschutzbeauftragter. Aus dieser doppelten Perspektive stammt mein Beratungsansatz.

Wer täglich als Unternehmensjurist entscheidet, kennt die Fragen, die im rein externen Gutachten häufig offenbleiben: Was ist im laufenden Betrieb tatsächlich umsetzbar? Welche Risiken sind theoretisch, welche konkret? Wo lohnt es sich, auf Rechtssicherheit zu bestehen – und wo kostet Perfektionismus mehr, als er schützt? Diese Perspektive bringe ich in jedes Mandat ein.

Mein Anspruch ist deshalb nicht nur die rechtlich zutreffende Antwort, sondern eine Empfehlung, die in Ihrem Unternehmen ankommt und dort auch umgesetzt werden kann.

Interessenkonflikte und Verschwiegenheit

Vor Annahme eines Mandats prüfe ich, ob Interessenkonflikte bestehen; wo das der Fall ist, nehme ich das Mandat nicht an und benenne Ihnen gerne einen geeigneten Kollegen. Selbstverständlich unterliegt alles, was Sie mir anvertrauen, der anwaltlichen Verschwiegenheitspflicht.

Qualifikationen

  • Rechtsanwalt, zugelassen seit Januar 2016 (Rechtsanwaltskammer Nürnberg)
  • Leitungserfahrung in einer IT-Rechtsabteilung sowie Tätigkeit als bestellter Datenschutzbeauftragter
  • Data Protection Officer (Univ.), Zentrum für Weiterbildung und Wissenstransfer der Universität Augsburg (2026)
  • IHK-zertifizierter Datenschutzbeauftragter (2018)
  • Schwerpunkte: Datenschutzrecht, IT- und Vertragsrecht, NIS2, KI-Verordnung
Christian Helios, Rechtsanwalt & Data Protection Officer (Univ.), Erlangen

Arbeitsweise

So arbeiten wir zusammen

  1. Erstgespräch Wir besprechen Ihre Situation, Ihre konkreten Anforderungen und ob und wie ich Ihnen weiterhelfen kann.
  2. Transparenz bei Kosten Sie erhalten vorab eine klare Einschätzung des Aufwands und der voraussichtlichen Kosten. Ich arbeite auf Grundlage einer Vergütungsvereinbarung.
  3. Lösungsorientierte Umsetzung Ich arbeite mit Blick auf Ihre unternehmerischen Ziele. Rechtliche Anforderungen sollen Ihr Geschäft absichern, nicht blockieren.
  4. Langfristige Begleitung Gerne begleite ich Sie als externer Rechtsberater bei wiederkehrenden Anlässen – flexibel nach Ihrem Bedarf.

Honorar

Rechtliche Beratung soll planbar sein

Vor Beginn der Tätigkeit erhalten Sie eine klare Auskunft darüber, wie abgerechnet wird und mit welchen Kosten Sie rechnen müssen. Über absehbare Kostenentwicklungen informiere ich Sie auch während des laufenden Mandats.

Stundenhonorar

350 €zzgl. USt. – 416,50 € brutto

Auf Grundlage einer Vergütungsvereinbarung, die vor Aufnahme der Tätigkeit in Textform geschlossen wird. Abgerechnet wird der tatsächliche Zeitaufwand; zu jeder Rechnung erhalten Sie eine nachvollziehbare Aufstellung.

Erstberatung

190 €zzgl. USt. – 226,10 € brutto, anrechenbar

Vorab kostenfrei: ein kurzes Vorgespräch zur Klärung, ob und in welchem Umfang ich Sie unterstützen kann. Der genannte Satz gilt erst für eine darüber hinausgehende Erstberatung, also für die inhaltliche Prüfung Ihres Anliegens. Führt sie zu einer weitergehenden Beauftragung, wird der Betrag auf das Honorar angerechnet.

Pauschalen

nach AbspracheEinzelauftrag oder Monatspauschale

Bei klar abgrenzbaren Aufträgen – Prüfung oder Entwurf eines Vertrages, einer Abmahnung, einer gutachterlichen Stellungnahme – lässt sich häufig ein Pauschalhonorar vereinbaren. Für dauerhafte Beratungsbedarfe kommt eine monatliche Pauschale in Betracht.

Gesetzliche Vergütung, Auslagen, Rechtsschutz und Vorschuss

Gesetzliche Vergütung nach dem RVG

Ohne abweichende Vereinbarung richtet sich die Vergütung nach dem Rechtsanwaltsvergütungsgesetz. Die Gebühren bemessen sich dort nicht nach dem Zeitaufwand, sondern nach dem Gegenstandswert der Angelegenheit. In gerichtlichen Verfahren dürfen die gesetzlichen Gebühren nicht unterschritten werden (§ 49b Abs. 1 BRAO); die vereinbarte Vergütung tritt dort also an die Stelle der gesetzlichen Gebühren nur, soweit sie diese erreicht oder übersteigt.

Umfang der abgerechneten Tätigkeit

Erfasst wird die gesamte mandatsbezogene Tätigkeit, insbesondere Besprechungen und Telefonate, Aktenstudium und Sachverhaltsermittlung, rechtliche Prüfung, Entwurf und Verhandlung von Schriftsätzen und Verträgen, Korrespondenz mit Gerichten, Behörden und der Gegenseite sowie Termine einschließlich der erforderlichen Reisezeiten.

Auslagen und Fremdkosten

Neben dem Honorar werden die entstandenen Auslagen berechnet, insbesondere Entgelte für Post und Telekommunikation, Dokumentenpauschalen sowie Reisekosten und Abwesenheitsgelder. Gerichtskosten sowie Kosten von Sachverständigen, Dolmetschern, Registern und Behörden sind Fremdkosten und werden gesondert weitergegeben.

Rechtsschutzversicherung und Kostenerstattung

Rechtsschutzversicherungen übernehmen regelmäßig nur die gesetzlichen Gebühren nach dem RVG. Die Differenz zum vereinbarten Stundenhonorar tragen Sie selbst. Entsprechendes gilt für Erstattungsansprüche gegen die Gegenseite: Auch im Falle des Obsiegens schuldet der unterlegene Gegner grundsätzlich nur Erstattung in Höhe der gesetzlichen Gebühren. Selbstverständlich hole ich für Sie vorab eine Deckungszusage Ihres Versicherers ein.

Vorschuss und Abrechnung

Für die entstandenen und die voraussichtlich entstehenden Gebühren und Auslagen kann ich einen angemessenen Vorschuss anfordern (§ 9 RVG). Bei längerfristigen Mandaten rechne ich in der Regel monatlich ab, sodass die Kostenentwicklung für Sie jederzeit transparent bleibt.

Kontakt

Sprechen wir über Ihr Anliegen.

Ob und mit welchem Aufwand sich Ihr Anliegen sinnvoll bearbeiten lässt, klären wir am besten im persönlichen Gespräch. Das Vorgespräch ist unverbindlich und kostenfrei.

E-Mail schreiben +49 179 4207305