§ 42 BDSG: Wenn DSGVO-Verstöße zur Straftat werden
Kurz und klar
§ 42 BDSG stellt bestimmte schwere Datenschutzverstöße unter Strafe – mit Freiheitsstrafe bis zu drei Jahren. Erfasst sind zwei Fallgruppen: die gewerbsmäßige Weitergabe nicht allgemein zugänglicher personenbezogener Daten einer großen Zahl von Personen (Absatz 1) und die Verarbeitung nicht allgemein zugänglicher Daten in Bereicherungs- oder Schädigungsabsicht (Absatz 2). Die Norm ist Antragsdelikt. In der Praxis relevant sind vor allem Ex-Mitarbeiter, die Kundendaten mitnehmen, Adress- und Datenhändler außerhalb legitimer Strukturen sowie zunehmend Datenschutzverantwortliche und Geschäftsführer, denen Datenweitergaben zur Last gelegt werden. Ein wichtiger Schutz: DSGVO-Meldungen nach Art. 33 dürfen nur mit Zustimmung des Meldepflichtigen als Beweismittel gegen ihn verwendet werden.
Inhaltsverzeichnis
2. Absatz 1: Gewerbsmäßige Datenweitergabe
3. Absatz 2: Verarbeitung mit Bereicherungs- oder Schädigungsabsicht
4. Der Selbstbelastungsschutz nach Abs. 4 – oft übersehen
5. Verhältnis zur DSGVO und zu anderen Straftatbeständen
6. Typische Konstellationen aus der Praxis
8. Strafrechtliche Risiken für Datenschutzbeauftragte
9. Praxis-Insight aus der Compliance-Perspektive
10. Häufige Fragen
1. Wortlaut und Einordnung
Der Wortlaut lautet:
§ 42 BDSG – Strafvorschriften
(1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein, 1. einem Dritten übermittelt oder 2. auf andere Art und Weise zugänglich macht und hierbei gewerbsmäßig handelt.
(2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, 1. ohne hierzu berechtigt zu sein, verarbeitet oder 2. durch unrichtige Angaben erschleicht und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
(3) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde.
(4) Eine Meldung nach Artikel 33 der Verordnung (EU) 2016/679 oder eine Benachrichtigung nach Artikel 34 Absatz 1 der Verordnung (EU) 2016/679 darf in einem Strafverfahren gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden.
§ 42 BDSG ist die zentrale strafrechtliche Norm des deutschen Datenschutzrechts. Sie steht selbstständig neben Art. 83 DSGVO (Bußgelder) und ergänzt diese um eine echte Kriminalstrafe. Anders als die Bußgeldnormen richtet sich § 42 BDSG nicht an Unternehmen als solche, sondern an natürliche Personen – Geschäftsführer, Mitarbeiter, Datenschutzverantwortliche.
Schutzgut ist das informationelle Selbstbestimmungsrecht der Betroffenen. Erfasst werden aber nur Konstellationen mit gesteigertem Unrechtsgehalt – gewerbsmäßig, mit Gewinn- oder Schädigungsabsicht. Reine DSGVO-Verstöße ohne diese qualifizierenden Elemente sind nicht nach § 42 strafbar, sondern nur bußgeldbewehrt.
2. Absatz 1: Gewerbsmäßige Datenweitergabe
Absatz 1 ist die schärfere Variante mit einem Strafrahmen bis zu drei Jahren Freiheitsstrafe. Er setzt fünf Merkmale voraus:
2.1 Nicht allgemein zugängliche personenbezogene Daten
Allgemein zugänglich sind Daten, die für einen unbeschränkten Personenkreis öffentlich verfügbar sind – etwa öffentliche Handelsregister, veröffentlichte Kontaktdaten, Presseerklärungen. Alles andere ist erfasst: Kundendaten, Personaldaten, Interne Geschäftskorrespondenz, Gesundheitsdaten, Kontodaten. In der Praxis ist dieses Merkmal fast immer erfüllt.
2.2 Große Zahl von Personen
Kein starrer Schwellenwert. Die Rechtsprechung und die Kommentarliteratur legen die Grenze regelmäßig bei einigen hundert Betroffenen an – konkret zwischen 100 und 500 als Orientierung. Bei Datensätzen von wenigen Personen greift der Tatbestand nicht.
Praxisrelevant: Adress- und Marketing-Datenbanken enthalten typischerweise weit mehr als 500 Datensätze, so dass das Merkmal in nahezu allen Adresshandels-Verfahren erfüllt ist.
2.3 Ohne Berechtigung
Berechtigung kann sich aus Einwilligung, gesetzlicher Grundlage (Art. 6 DSGVO), Auftragsverarbeitung oder anderen Rechtsgrundlagen ergeben. In den einschlägigen Verfahren fehlt es meist genau daran: Der Datenzugriff war zwar arbeitsvertraglich möglich, die konkrete Weitergabe aber gerade nicht mehr abgedeckt.
2.4 Übermitteln oder Zugänglichmachen
Übermitteln ist die gezielte Weitergabe an einen bestimmten Empfänger, Zugänglichmachen umfasst auch das Bereitstellen für einen unbestimmten Empfängerkreis (Upload auf Server, Bereitstellung in geteilten Ordnern, Veröffentlichung auf Websites).
2.5 Gewerbsmäßig
Der Täter muss in der Absicht handeln, sich durch wiederholte Tatbegehung eine nicht nur vorübergehende Einnahmequelle zu verschaffen. Das erfordert nicht mehrere abgeschlossene Taten – die erste Tat mit dem entsprechenden Vorsatz reicht. Praktisch relevant bei Adress-Händlern, korrupten Vertriebsmitarbeitern, Insidern, die Kundendaten an Konkurrenten verkaufen.
Vorsatzform: Der Täter muss wissentlich handeln – das qualifiziert § 42 Abs. 1 gegenüber dem allgemeinen Vorsatzbegriff. Blinder Fleck genügt nicht, es muss sichere Kenntnis vorliegen.
3. Absatz 2: Verarbeitung mit Bereicherungs- oder Schädigungsabsicht
Absatz 2 hat einen niedrigeren Strafrahmen (bis zu zwei Jahre) und andere Voraussetzungen. Er erfasst zwei Handlungsvarianten:
3.1 Unberechtigte Verarbeitung (Nr. 1)
„Verarbeitung" im Sinne von Art. 4 Nr. 2 DSGVO – jede Operation mit personenbezogenen Daten. Der praktische Schwerpunkt liegt bei der internen Kenntnisnahme (Zugriff auf Kollegen-Postfächer, Personalakten, Kundendaten in Konzernstrukturen).
3.2 Erschleichen durch unrichtige Angaben (Nr. 2)
Wer sich Daten durch täuschende Angaben verschafft – etwa Auskunftsersuchen nach Art. 15 DSGVO mit falscher Identität, Vorspiegeln einer nicht existierenden Berechtigung. Praxisrelevant im Bereich Wirtschaftsspionage und Social Engineering.
3.3 Zusätzliche subjektive Anforderungen
Absatz 2 verlangt entweder:
Entgeltlichkeit – der Täter erhält für die Tat eine Gegenleistung, oder
Bereicherungsabsicht – für sich oder einen anderen, oder
Schädigungsabsicht – gegenüber einem anderen (typischerweise dem Betroffenen oder dem Verantwortlichen).
Die Bereicherungsabsicht kann auch mittelbar sein – etwa der Vorteil, sich durch die Datenweitergabe Wettbewerbsvorteile im neuen Job zu verschaffen. Die Schädigungsabsicht ist in Rachefällen und in Insider-Konstellationen praxisrelevant.
4. Der Selbstbelastungsschutz nach Abs. 4 – oft übersehen
Absatz 4 ist ein zentraler, häufig übersehener Schutz für Verantwortliche und Datenschutzbeauftragte:
Eine Meldung nach Art. 33 DSGVO an die Aufsichtsbehörde oder eine Benachrichtigung nach Art. 34 DSGVO an die betroffene Person darf in einem Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. Das schützt vor der Situation, dass die eigene DSGVO-Compliance-Meldung zum Beweismittel im Strafverfahren wird.
Praktische Bedeutung: Wer eine Datenschutzverletzung meldet, kann daraus nicht automatisch strafrechtlich belangt werden. Die Aufsichtsbehörde darf die Meldung an die Staatsanwaltschaft weitergeben – aber die Staatsanwaltschaft darf sie im Verfahren gegen den Melder nur mit dessen Zustimmung verwerten. Dies wirkt ähnlich wie das Selbstbelastungsverbot der StPO.
Grenzen: Der Schutz gilt nur für die Meldung selbst und die konkreten Angaben. Aus der Meldung mittelbar gewonnene weitere Beweise können verwertbar sein – aber die Verwertbarkeit ist häufig streitig und ein wichtiger Ansatzpunkt der Verteidigung.
Diese Norm ist einer der wichtigsten Gründe, warum die 72-Stunden-Meldung nach Art. 33 DSGVO auch bei möglichem eigenen Fehlverhalten in aller Regel erfolgen sollte – ohne sie wird die persönliche Position häufig schlechter.
5. Verhältnis zur DSGVO und zu anderen Straftatbeständen
5.1 Verhältnis zu Art. 83 DSGVO (Bußgeld)
§ 42 BDSG steht neben Art. 83 DSGVO, nicht als lex specialis. Ein Datenschutzverstoß kann parallel bußgeldpflichtig (gegen das Unternehmen) und strafbar (gegen die handelnde Person) sein. Das Bußgeld gegen das Unternehmen und die Strafe gegen die Person schließen sich nicht aus – eine Doppelverfolgung ist möglich, und die Behörden koordinieren zunehmend.
5.2 Verhältnis zu §§ 202a ff. StGB
Wer sich unbefugt Zugang zu geschützten Daten verschafft (§ 202a StGB) und diese anschließend weitergibt (§ 42 BDSG), erfüllt zwei Straftatbestände. In der Verfolgungspraxis werden häufig beide Normen als Idealkonkurrenz oder Tatmehrheit angeklagt. Beim Zusammentreffen ist § 202a in aller Regel die schwerere Tat und bestimmt den Rahmen.
5.3 Verhältnis zu §§ 203, 204 StGB
Berufsgruppen mit einer Schweigepflicht (Ärzte, Anwälte, Steuerberater) können bei Datenverletzungen nicht nur § 42 BDSG erfüllen, sondern auch die Sondernormen §§ 203, 204 StGB. Diese sind in aller Regel spezieller und verdrängen § 42 BDSG.
5.4 Verhältnis zu § 202d StGB (Datenhehlerei)
Wer rechtswidrig durch andere erlangte Daten sich verschafft, weitergibt oder verwendet, kann § 202d StGB verwirklichen. Bei Datenleak-Empfängern häufig einschlägig, wenn die Weitergabe kommerziellen Charakter hat.
6. Typische Konstellationen aus der Praxis
6.1 Der ausscheidende Vertriebler
Ein Vertriebsmitarbeiter kündigt und nimmt die Kundendatei mit zum neuen Arbeitgeber. Klassischer § 42 BDSG-Fall, oft flankiert von UWG-Ansprüchen. Bei mehreren hundert Kundendatensätzen und der Absicht, sich beim neuen Arbeitgeber zu profilieren, kann sowohl Abs. 1 (gewerbsmäßig, wenn Vertriebsprovisionen erwartet werden) als auch Abs. 2 (Bereicherungsabsicht) erfüllt sein.
6.2 Der Adresshändler
Systematischer Ankauf und Weiterverkauf von Adressen oder Datensätzen außerhalb legitimer Marketing-Datenbanken. Kern-Anwendungsfall von § 42 Abs. 1 BDSG. Die Ermittlungen werden häufig von Aufsichtsbehörden angestoßen und an die Staatsanwaltschaft übergeben.
6.3 Der neugierige Sysadmin
Systemadministrator liest ohne dienstlichen Anlass Postfächer der Geschäftsführung oder von Kollegen. § 42 Abs. 2 kann bei nachweisbarer Bereicherungs- oder Schädigungsabsicht erfüllt sein (z. B. Weitergabe an Wettbewerber, private Ausnutzung von Informationen). Häufig zusätzlich § 202a StGB.
6.4 Der Racheakt
Ein gekündigter Mitarbeiter veröffentlicht Personaldaten oder Kundendaten des ehemaligen Arbeitgebers auf sozialen Medien oder gibt sie an Journalisten weiter. Schädigungsabsicht liegt regelmäßig auf der Hand. Zusätzlich häufig § 240 StGB (Nötigung) oder § 253 StGB (Erpressung), wenn Forderungen erhoben werden.
6.5 Die Geschäftsführung mit unklarer Datenweitergabe
Ein Geschäftsführer weist die Weitergabe von Kundendaten an ein Konzernunternehmen ohne saubere Auftragsverarbeitungsverträge an. Bei größeren Datenmengen und nachweisbarem Wettbewerbsvorteil kann § 42 BDSG erfüllt sein. Praxisrelevant in Konzernverbindungen mit Drittstaaten (etwa Datentransfers in die USA nach Schrems II).
7. Verteidigungsansätze
Die Verteidigung setzt an den Tatbestandsmerkmalen an und – bei nicht ausräumbarer Tat – auf Strafzumessungsebene.
7.1 Angriffe am Tatbestand
Fehlende große Zahl. Bei Datensätzen unterhalb der Schwelle greift Abs. 1 nicht. Genaue Zählung und Definition, was als „Datensatz" gilt, sind praxisrelevant.
Berechtigung. Vertragsklauseln, konkludente Einwilligungen, konzerninterne Datenflüsse mit Auftragsverarbeitungsverträgen können die Rechtswidrigkeit ausschließen. Sorgfältige Sachverhaltsermittlung im Compliance-Kontext ist häufig entscheidend.
Fehlende Gewerbsmäßigkeit / Bereicherungsabsicht. Ohne die qualifizierenden subjektiven Elemente ist nur der Bußgeldweg (Art. 83 DSGVO) eröffnet, nicht die Strafnorm. Diese Grenze ist oft der wichtigste Verteidigungsansatz.
Fehlender Vorsatz. Bei Abs. 1 ist wissentliches Handeln erforderlich. Wer sich in einer unklaren Rechtslage bewegt oder auf eine (auch fehlerhafte) Compliance-Freigabe vertraut, kann den Wissentlichkeitsbeweis erschüttern.
7.2 Verfahrensrechtliche Verteidigung
Kein Strafantrag. § 42 ist Antragsdelikt. Fehlt der Antrag – oder liegt er nach Ablauf der Drei-Monats-Frist des § 77b StGB nicht mehr wirksam vor –, ist das Verfahren einzustellen. Häufiger Fallstrick der Ermittlungsbehörden.
Selbstbelastungsschutz nach § 42 Abs. 4 BDSG. Beweisverwertungsverbot bezüglich der eigenen Meldung. Auch mittelbar erlangte Beweise sind auf Verwertbarkeit zu prüfen.
Fehlerhafte Durchsuchungs- oder Vernehmungsmaßnahmen. IT-Beschlagnahme, Sichtung ohne Versiegelung, Belehrungsfehler.
7.3 Strafzumessungsargumente
Wenn die Tat feststeht, entscheidet die Strafzumessung. Wichtig:
Zeitablauf und Verfahrensdauer
Wiedergutmachung und Löschung der Daten
Kooperation mit der Datenschutzaufsicht
Berufliche Konsequenzen (Kündigung, Berufsverbot, Deckungsablehnung Versicherer)
Bei Ersttätern und einfachen Sachverhalten ist eine Einstellung nach § 153, § 153a StPO realistisch
8. Strafrechtliche Risiken für Datenschutzbeauftragte
Datenschutzbeauftragte (DPO) sind nach Art. 39 DSGVO Beratungs- und Überwachungsorgane – keine Entscheider. Sie sind grundsätzlich nicht selbst Verantwortlicher im Sinne der DSGVO und haften strafrechtlich nur, wenn sie selbst eine tatbestandsmäßige Handlung nach § 42 BDSG vornehmen.
Praxisrelevant sind aber Risiken durch:
Aktive Mitwirkung an Datenverarbeitungen, die die Rechtslage überschreiten. Wer als DPO nicht nur überwacht, sondern operativ mitwirkt, kann Täter oder Teilnehmer werden.
Wissentliches Schweigen bei erkannten Verstößen – hier ist der Übergang zur Beihilfe strafrechtlich häufig streitig.
Weitergabe interner Erkenntnisse aus DPO-Tätigkeiten an externe Empfänger, etwa neue Arbeitgeber oder Journalisten.
Ein weiteres Risiko: Wenn der DPO nicht wie erforderlich weisungsfrei agieren kann oder sich in Loyalitätskonflikten befindet, kann er in Ermittlungsverfahren als Beschuldigter statt als Auskunftsperson behandelt werden. Deshalb sollten DPOs die eigene Position, Weisungsfreiheit und Ressourcenausstattung schriftlich dokumentiert vorhalten.
9. Praxis-Insight aus der Compliance-Perspektive
Als Rechtsanwalt und Gründer eines Unternehmens für Compliance- und Cybersicherheits-Automatisierung sehe ich § 42 BDSG-Fälle regelmäßig aus doppelter Perspektive. Drei Beobachtungen aus der Praxis:
Erstens: Der Bereicherungs- oder Schädigungsvorsatz wird häufig überinterpretiert. Ermittlungsbehörden neigen dazu, jede berufliche Weiterentwicklung nach einer Datenmitnahme als Bereicherungsabsicht zu qualifizieren. Die Verteidigung muss sauber zwischen „Datenmitnahme aus Bequemlichkeit oder Absicherung" und „Datenmitnahme zur konkreten Vorteilsverschaffung" trennen. Diese Abgrenzung entscheidet oft über die Frage Bußgeld vs. Strafverfahren.
Zweitens: Interne Untersuchungen setzen die Weichen. In vielen § 42-Fällen wird die Tat zuerst durch die interne Compliance-Abteilung entdeckt – und dann kommt die entscheidende Weichenstellung: Wird der Vorfall gemeldet, an die Staatsanwaltschaft übergeben, oder intern erledigt? Diese Entscheidung ist selbst haftungsrelevant. Ein sauberer, dokumentierter Umgang schützt nicht nur den Betroffenen, sondern auch die Compliance-Verantwortlichen.
Drittens: Die Grenze zur DSGVO-Bußgeldpraxis wird verschwommener. Aufsichtsbehörden geben Verfahren mit Anhaltspunkten für § 42 zunehmend an Staatsanwaltschaften ab. Wer im DSGVO-Verfahren umfänglich kooperiert, ohne die strafrechtlichen Implikationen im Blick zu haben, kann seine eigene Verteidigungslinie zerstören. In Verfahren mit erkennbarer Bereicherungs- oder Gewinnkomponente sollte die strafrechtliche Beratung von Anfang an mitlaufen.
10. Häufige Fragen
Ist jeder DSGVO-Verstoß strafbar?
Nein. Die meisten DSGVO-Verstöße sind ausschließlich bußgeldbewehrt (Art. 83 DSGVO). Erst wenn die zusätzlichen Merkmale des § 42 BDSG – gewerbsmäßiges Handeln, große Zahl von Betroffenen, Bereicherungs- oder Schädigungsabsicht – hinzutreten, wird der Verstoß zur Straftat.
Wer kann Strafantrag stellen?
Nach § 42 Abs. 3 BDSG die betroffene Person, der Verantwortliche, der Bundesbeauftragte für den Datenschutz und die Aufsichtsbehörde. Die Frist beträgt drei Monate ab Kenntnis des Antragstellers von Tat und Täter (§ 77b StGB).
Können Datenschutzbeauftragte persönlich strafrechtlich belangt werden?
Ja, aber nur, wenn sie selbst tatbestandsmäßig handeln – etwa durch aktive Mitwirkung an unrechtmäßigen Datenverarbeitungen oder Weitergabe interner Erkenntnisse. Reine Beratung und Überwachung im Rahmen der Rolle nach Art. 39 DSGVO führt nicht zur Strafbarkeit.
Muss ich mich in einer Datenschutzverletzung selbst belasten?
Nein. § 42 Abs. 4 BDSG schützt vor der Verwertung der eigenen Art. 33 DSGVO-Meldung im Strafverfahren gegen den Meldepflichtigen selbst. Deshalb sollten Meldungen auch bei möglichem eigenen Fehlverhalten in aller Regel erfolgen – sie öffnen keine strafrechtliche Verwertbarkeit.
Was passiert, wenn Ex-Mitarbeiter Kundendaten mitnehmen?
Rechtlich einer der klassischen Anwendungsfälle. Bei größeren Datenmengen und erkennbarer Vorteilsabsicht liegt § 42 Abs. 1 oder Abs. 2 nahe. Zusätzlich kommen zivilrechtliche Ansprüche (§ 823 BGB, UWG), arbeitsrechtliche Sanktionen und ggf. Compliance-Konsequenzen im neuen Arbeitsverhältnis in Betracht.
Kann ein Unternehmen selbst nach § 42 BDSG belangt werden?
Nein, § 42 BDSG richtet sich ausschließlich an natürliche Personen. Gegen Unternehmen können nach § 30 OWiG Geldbußen festgesetzt werden, wenn eine Leitungsperson die Tat begangen hat. Zusätzlich greifen die Bußgelder nach Art. 83 DSGVO.
Wie hoch sind die Strafen in der Praxis?
Bei Ersttätern und einfachen Sachverhalten überwiegend Geldstrafen im Bereich von 60 bis 180 Tagessätzen. In gewerbsmäßigen Fällen oder bei besonders sensiblen Daten (Gesundheit, Finanzen) können auch Freiheitsstrafen mit Bewährung verhängt werden. Einstellungen nach § 153a StPO gegen Auflage sind bei kooperativen Ersttätern und geringem Unrechtsgehalt realistisch.
Werden Verstöße oft strafrechtlich verfolgt?
Die Verfolgungspraxis intensiviert sich seit Inkrafttreten der DSGVO 2018 kontinuierlich. Aufsichtsbehörden und Staatsanwaltschaften koordinieren zunehmend, und in Fällen mit klarer Bereicherungs- oder Gewinnkomponente wird der Strafweg regelmäßig eingeschlagen. Adresshandel und Datenmitnahme durch ausscheidende Mitarbeiter sind Schwerpunkte.
Fazit
§ 42 BDSG ist die scharfe Kante des deutschen Datenschutzrechts. Er trifft natürliche Personen, nicht Unternehmen, und wird zunehmend als Ergänzung zu DSGVO-Bußgeldern eingesetzt. Die zentrale Frage in praktisch jedem Verfahren lautet: Liegen die qualifizierenden subjektiven Elemente – gewerbsmäßig, in Bereicherungs- oder Schädigungsabsicht, gegen Entgelt – wirklich vor? An dieser Grenze entscheidet sich, ob ein Vorfall zum Bußgeldverfahren oder zur Kriminalstrafe wird.
Für Verantwortliche und Datenschutzbeauftragte ist der wichtigste Praxis-Hinweis: Die 72-Stunden-Meldung nach Art. 33 DSGVO ist durch den Selbstbelastungsschutz des § 42 Abs. 4 BDSG geschützt. Wer meldet, verliert nicht automatisch die eigene Verteidigungsposition – wer nicht meldet, riskiert ein zusätzliches Bußgeldverfahren ohne Schutzwirkung.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht sowie Datenschutzstrafrecht. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023). Frühere Stationen: Amazon Legal, Taylor Wessing Silicon Valley (Beratung US-amerikanischer Unternehmen zum europäischen Datenschutzrecht), Taylor Wessing Deutschland, Bird & Bird.