Erstellung, Prüfung und Verhandlung von SaaS-Verträgen, Lizenz- und Wartungsverträgen, Outsourcing-Rahmenverträgen und AGB — gern auch in englischer Sprache mit internationalen Partnern.
02IT-Sicherheitsrecht & NIS-2+
Beratung zur NIS-2-Umsetzung, KRITIS-Regulierung und BSI-G: von der Bestandsaufnahme und Einordnung als KRITIS-Betreiber bis zur Konkretisierung von Pflichten und Kommunikation mit Behörden.
03Urheberrecht & Software+
Software-Urheberrecht, Open-Source-Compliance, Lizenzierungsmodelle, IP-Due-Diligence bei kleineren Transaktionen.
04Datenschutz & DSGVO+
Datenschutzrechtliche Einzelfragen — etwa im Kontext von IT-Verträgen oder Datenverarbeitungsklauseln. Datenschutz-Due-Diligence bei kleineren Transaktionen. Was ich nicht übernehme: Standard-Datenschutzpakete (Verarbeitungsverzeichnisse, Datenschutzerklärungen, AVVs). Dafür gibt es spezialisierte Anbieter, die Datenschutzdokumente als Commodity anbieten und, um ehrlich zu sein, für Sie günstiger sind.
Recht und Technologie — zwei Felder, die sich zunehmend überschneiden. Ich kenne beide.
// Anne Leßner
#über-mich
Anne Leßner.
Über 8 Jahre IT-Recht – und on top Informatik. Denn echte Expertise entsteht dort, wo juristisches Know-how auf technisches Verständnis trifft.
Ich berate auf Deutsch und Englisch, überwiegend B2B — von DAX-Konzernen bis zu technologiegetriebenen Start-ups.
2024
Selbstständigkeit
Leßner Legal, Berlin
2020–2024
Senior Associate
Osborne Clarke PartmbB, Berlin
2017–2019
Associate
Vogel Heerma Waitz, Berlin
2015–2017
2. Staatsexamen, Prädikatsexamen (Viertbestes Examen in Thüringen) — Referendariat Thüringen
Wir sprechen 15–20 Minuten miteinander zu Ihrem Anliegen und lernen uns kennen. Ich sage Ihnen, ob Ihre Beratungsanfrage in meinem Beratungsgebiet liegt und wobei ich helfen kann. Ich lasse Sie auch klar wissen, was ich nicht übernehmen kann, weil andere dort besser beraten oder es Legal-Tech-Lösungen gibt. Ich gebe Ihnen eine (konservative) Indikation, wann Sie das Arbeitsergebnis erhalten.
02Unterzeichnung Mandats- und Vergütungsvereinbarung; Kostenschätzung+
Falls es nach einem Orientierungsgespräch passt: Ich sende Ihnen einen Entwurf meiner Mandats- und Vergütungsvereinbarung sowie meine Datenschutzerklärung zur Ansicht. Rückfragen dazu sowie Details zur Vergütungsvereinbarung klären wir gemeinsam. Die Mandats- und Vergütungsvereinbarung ist die Rahmenvereinbarung; für einzelne Mandate können wir konkretere Absprachen treffen (siehe Honorar).
Ich gebe Ihnen eine unverbindliche Kostenschätzung, welchen Bearbeitungsrahmen und welche Kosten ich für Ihr konkretes Projekt erwarte. Soweit neue Tatsachen oder Rechtsfragen hinzukommen, aktualisiere ich die Schätzung. In Einzelfällen können wir auch eine verbindliche Fee Cap oder eine Pauschale vereinbaren — dazu müssen die Tatsachen und Rechtsfragen in Ihrem Mandat aber bereits sehr klar umrissen sein.
Wenn für beide Seiten alles passt, unterzeichnen wir, und ich fange an zu arbeiten.
Eine fundierte Kostenschätzung erfordert, dass ich Ihre Situation bereits sorgfältig analysiert habe. Der dafür entstehende Aufwand wird auf das Mandat angerechnet — Sie zahlen ihn also nicht doppelt.
03Transparenz während des Mandates+
Sollte der vereinbarte Kostenrahmen zu 80% ausgeschöpft sein, informiere ich Sie.
04Rechnungsstellung+
Ich stelle die Rechnung gemäß den Bedingungen unserer Mandats- und Vergütungsvereinbarung. Soweit wir nichts anderes vereinbart haben, rechne ich monatlich ab.
#referenzmandate
SaaSSaaS-Rahmenverträge mit UK- und US-Anbietern für einen DAX-40-Konzern.
SaaS / PharmaStandard-Vertragsvorlagen für SaaS inkl. Customizing-Verträge; Pharmakonzern; >10.000 Mitarbeiter.
KRITIS / BSIKRITIS-Einordnung und Anmeldepflichten; Biotechnologiekonzern; >6.000 Mitarbeiter.
DSGVO / IncidentLeitlinien zur Meldung von IT-Vorfällen gem. Art. 33, 34 DSGVO; Medizinproduktehersteller; >8.000 Mitarbeiter.
Cloud / MSAMaster Services Agreement mit internationalem Cloud-Provider inkl. Leistungsscheinen.
NIS-2 / EnergieBegleitung des NIS-2-Gesetzgebungsprozesses, Anhörung im BMI; Branchenverband Windenergie.
SaaS / HaushaltsgeräteErstellung und Verhandlung der Verträge für eine Subscription Management Software (SaaS); international agierender Haushaltsgeräte-Hersteller; >9.000 Mitarbeiter.
DSGVO / KonzernGutachten zu den rechtlichen Auswirkungen des Zugriffs der Muttergesellschaft auf die IT-Systeme einer Tochtergesellschaft über CrowdStrike und der geplanten Enterprise Security Policy; Sanitärprodukte-Hersteller; >5.000 Mitarbeiter.
IT-Verträge / EVB-ITAuslegung eines nach EVB-IT geschlossenen IT-Supportvertrages; Mandantin: deutscher Landkreis.
ERP / IT-BeratungErstellung und Verhandlung zweier Projektverträge zur Einführung von ERP-Systemen (je; >3 Mio. Euro Projektvolumen); IT-Beratungskonzern im DACH-Raum.
AGB / SaaSNeugestaltung modular kombinierbarer AGB (B2B) für SaaS, Softwarekauf, -miete, -hosting und -pflege; Konzerngesellschaft im Bereich Softwarelösungen im Sozialwesen.
M&A / Open SourceBeratung zur Series B-Finanzierungsrunde (60 Mio. USD), insbesondere zur Compliance mit Open-Source-Lizenzbedingungen; Procurement-Software-Start-up Scoutbee.
#honorar
orientierungsgesprächkostenlos+
Für eine rechtliche Beratung über das Orientierungsgespräch hinaus fällt der normale Stundensatz an.
stundensatz310 € *+
Meine Tätigkeit rechne ich nach Zeitaufwand ab; bei (ausnahmsweise) vereinbarten gerichtlichen Auseinandersetzungen jedoch mindestens in Höhe der gesetzlichen Gebühren. Ggf. zzgl. Aufschlag für Projekte, für die ich meine Haftpflichtversicherung projektweise erweitere.
↳ Startups: Für Startups in der Frühphase: reduzierter Stundensatz mit Nachzahlung bei Abschluss einer definierten Finanzierungsrunde. Details vereinbaren wir individuell.
↳ Kanzleien: Individuelle Vereinbarungen möglich. Kanzleien ohne eigene IT-Rechts-Expertise biete ich Untermandatierungen an — etwa wenn ein Mandat IT-vertragliche oder IT-sicherheitsrechtliche Fragen aufwirft, die über das eigene Fachgebiet hinausgehen.
pauschalmandatauf Anfrage+
In Einzelfällen bei klar abgrenzbarem Projektumfang, den wir gemeinsam vereinbaren, möglich.
* zzgl. MwSt.
#publikationen & vorträge
// publikationen
2026
Leßner
Die öffentliche Verwaltung in der NIS-2-Richtlinie
Ich bin nach dem Recht der Bundesrepublik Deutschland zugelassen und Mitglied der folgenden, aufsichtsführenden Rechtsanwaltskammer:
Rechtsanwaltskammer Berlin
Littenstraße 9
10179 Berlin
Berufshaftpflichtversicherung
Markel Insurance SE
Sophienstrasse 26
80333 München
Räumlicher Geltungsbereich der Haftpflichtversicherung:
Tätigkeit in Deutschland. Mitversichert sind auch Haftpflichtansprüche mit Auslandsbezug zu Europa und der Türkei. Haftpflichtansprüche auf Entschädigung mit Strafcharakter, insbesondere punitive und exemplary damages, sind dabei ausgeschlossen.
// datenschutz
I. Informationen über die Verarbeitung Ihrer Daten gemäß Art. 13 der Datenschutz-Grundverordnung (DS-GVO)
1. Verantwortlicher
Verantwortlich für diese Website ist:
Rechtsanwältin Anne Leßner
Wilmersdorfer Str. 81, 10629 Berlin
info [at] lessner-legal [.] de
2. Daten, die für die Bereitstellung der Website und die Erstellung der Protokolldateien verarbeitet werden
a. Welche Daten werden für welchen Zweck verarbeitet?
Bei jedem Zugriff auf Inhalte der Website werden vorübergehend Daten gespeichert, die möglicherweise eine Identifizierung zulassen. Die folgenden Daten werden hierbei erhoben: Datum und Uhrzeit des Zugriffs, IP-Adresse (anonymisiert, siehe unten), Hostname des zugreifenden Rechners, verweisende Website, aufgerufene Seite, Übertragungsstatus, Datenmenge, Browsertyp und -version sowie Betriebssystem.
Der Hoster Uberspace (s.u.) anonymisiert IP-Adressen datenschutzkonform, indem die letzte Stelle der IP-Adresse auf null gesetzt wird (sog. IP-Kürzung). Dadurch lässt sich noch die Zugehörigkeit zu einem Internetanbieter feststellen, nicht jedoch eine konkrete Person. Die gekürzten IP-Adressen sind nach herrschender Ansicht keine personenbezogenen Daten im Sinne der DS-GVO. Aus Transparenzgründen werden sie dennoch in dieser Datenschutzerklärung erwähnt.
Diese Website verwendet keine Cookies und keine externen Schriftarten (z. B. Google Fonts). Alle Schriftarten sind lokal eingebunden.
Die vorübergehende Speicherung ist für den Ablauf eines Websitebesuchs erforderlich. Eine weitere Speicherung in Protokolldateien erfolgt, um die Funktionsfähigkeit der Website und die Sicherheit der informationstechnischen Systeme sicherzustellen. In diesen Zwecken liegt auch mein berechtigtes Interesse an der Datenverarbeitung.
b. Auf welcher Rechtsgrundlage werden diese Daten verarbeitet? Was sind die berechtigten Interessen?
Die Daten werden auf der Grundlage des Art. 6 Abs. 1 lit. f DS-GVO verarbeitet. Die Verarbeitung ist erforderlich zur Wahrung der berechtigten Interessen des Verantwortlichen, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen.
Die berechtigten Interessen des Verantwortlichen bestehen im Einzelnen in: dem technisch einwandfreien Betrieb und der Auslieferung der Website; der Erkennung, Abwehr und Aufklärung von Angriffen auf die informationstechnischen Systeme (IT-Sicherheit); sowie der Analyse und Optimierung der Systemstabilität. Eine darüber hinausgehende Auswertung zu Tracking- oder Werbezwecken findet nicht statt.
c. Gibt es neben dem Verantwortlichen weitere Empfänger der Protokolldateien?
Die Website wird bei Uberspace, vertreten durch Jonas Pasche, Kaiserstr. 15, 55116 Mainz, gehostet. Der Hoster empfängt die oben genannten Daten als Auftragsverarbeiter.
d. Werden Daten in Drittländer übermittelt?
Uberspace verarbeitet die Daten ausschließlich auf Servern in Deutschland. Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.
e. Wie lange werden die Daten gespeichert?
Die Daten werden gelöscht, sobald sie für die Erreichung des Zwecks ihrer Erhebung nicht mehr erforderlich sind. Die Protokolldateien werden durch Uberspace einmal wöchentlich rotiert und nach vier Wochen endgültig gelöscht.
f. Ist die Bereitstellung der Protokolldaten vorgeschrieben?
Die Bereitstellung der Protokolldaten ist nicht gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss mit mir erforderlich, sondern lediglich technisch sinnvoll (s.o.).
g. Findet automatisierte Entscheidungsfindung statt?
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DS-GVO statt.
3. Datenverarbeitung bei Kontaktaufnahme per E-Mail
a. Welche Daten werden für welchen Zweck verarbeitet?
Wenn Sie mich per E-Mail kontaktieren, verarbeite ich die von Ihnen übermittelten personenbezogenen Daten (insbesondere E-Mail-Adresse, Name sowie Nachrichteninhalt) ausschließlich zum Zweck der Bearbeitung Ihrer Anfrage.
b. Auf welcher Rechtsgrundlage werden diese Daten verarbeitet? Was sind die berechtigten Interessen?
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DS-GVO, soweit Ihre Anfrage allgemeiner Natur ist — das berechtigte Interesse besteht in der Beantwortung eingehender Anfragen und der Pflege professioneller Kontakte. Soweit Ihre Anfrage auf den Abschluss eines Mandatsverhältnisses gerichtet ist, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DS-GVO (Vertragsanbahnung).
c. Gibt es neben dem Verantwortlichen weitere Empfänger der Daten aus einer Kontaktanfrage?
E-Mails werden über den Dienst der STRATO AG, Pascalstraße 10, 10587 Berlin, verarbeitet und gespeichert. STRATO empfängt die übermittelten Daten als Auftragsverarbeiter.
Bitte beachten Sie, dass E-Mails standardmäßig unverschlüsselt übertragen werden. Für vertrauliche Kommunikation biete ich OpenPGP-Verschlüsselung an:
OpenPGP: 6379 2F7C 5766 914E B55D F2D9 037A 8A58 DC75 7DF4
d. Werden Daten in Drittländer übermittelt?
STRATO verarbeitet die Daten ausschließlich auf Servern in Deutschland. Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.
e. Wie lange werden die Daten gespeichert?
Sofern kein Mandat/keine Zusammenarbeit zustande kommt, lösche ich Ihre Daten, sobald die Anfrage abschließend bearbeitet ist, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Sofern ein Mandat zustande kommt, richtet sich die Verarbeitung der Daten (inklusive der Löschung) nach meinen gesonderten Datenschutzhinweisen für Mandate, die ich Ihnen mit der Mandatsvereinbarung zur Verfügung stelle.
f. Ist eine Kontaktaufnahme vorgeschrieben?
Die Benutzung des E-Mail-Kontaktes ist nicht gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss mit mir erforderlich. Sie können mich auch gern telefonisch oder per Anwaltspostfach kontaktieren.
g. Findet automatisierte Entscheidungsfindung statt?
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DS-GVO statt.
4. Videotelefonate über alfaview
a. Welche Daten werden für welchen Zweck verarbeitet?
Für Beratungsgespräche und sonstige Kommunikation per Video nutze ich den Dienst alfaview der alfaview gmbh, Kriegsstraße 100, 76133 Karlsruhe. Beim Beitritt zu einem Meeting über einen Gastlink werden lediglich ein Name (oder Pseudonym) sowie – bei individualisierten Gastlinks – zusätzlich die E-Mail-Adresse der eingeladenen Person verarbeitet. Während des Gesprächs werden Video- und Audiodaten sowie ggf. Textnachrichten im Chat und in virtuellen Räumen hochgeladene Dateien verarbeitet. Eine Registrierung ist für Gesprächspartner*innen nicht erforderlich.
b. Auf welcher Rechtsgrundlage werden diese Daten verarbeitet?
Rechtsgrundlage ist, soweit das Gespräch der Anbahnung oder Durchführung eines Mandats dient, Art. 6 Abs. 1 lit. b DS-GVO. Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DS-GVO; das berechtigte Interesse liegt in einer effizienten, ortsunabhängigen Kommunikation.
c. Gibt es neben dem Verantwortlichen weitere Empfänger der Daten?
alfaview verarbeitet die Daten als Auftragsverarbeiter auf Grundlage einer Vereinbarung nach Art. 28 DS-GVO. Video- und Audioströme sowie Chatnachrichten werden dabei grundsätzlich nicht dauerhaft gespeichert, sondern nur bis zum Ende der Kommunikation zwischengespeichert, es sei denn, ich erstelle im Einzelfall bewusst eine Aufzeichnung. Als Rechenzentren setzt alfaview ausschließlich ISO-27001-zertifizierte Anbieter mit Sitz in Deutschland ein (u. a. SysEleven GmbH, noris network AG, Hetzner Online GmbH, OVH GmbH, IONOS Cloud GmbH).
alfaview bietet optional eine Live-Transkriptionsfunktion an. Diese nutze ich standardmäßig nicht. Sollte ich sie im Einzelfall aktivieren, geschieht dies nur mit vorheriger Einwilligung aller Gesprächsteilnehmer*innen (Art. 6 Abs. 1 lit. a DS-GVO); die Audiodaten würden dann zur Verschriftlichung an die EML Speech Technology GmbH, Kriegsstraße 100, 76133 Karlsruhe (Schwestergesellschaft von alfaview), übermittelt und – bei dem von mir genutzten kostenpflichtigen Account – nicht zu Trainings- oder Optimierungszwecken von KI-Modellen verwendet.
d. Werden Daten in Drittländer übermittelt?
Die vertraglich vereinbarte Verarbeitung findet ausschließlich in einem Mitgliedstaat der EU oder einem anderen Vertragsstaat des EWR statt. Eine Übermittlung in Drittländer außerhalb der EU/des EWR erfolgt nicht.
e. Wie lange werden die Daten gespeichert?
Video-, Audio- und Chatdaten werden nach Ende des Gesprächs nicht gespeichert, sofern ich keine Aufzeichnung erstelle. Eine im Ausnahmefall erstellte Transkription lösche ich, sobald sie für den Zweck des Gesprächs nicht mehr benötigt wird, spätestens nach Abschluss des jeweiligen Vorgangs, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
f. Ist die Nutzung von alfaview vorgeschrieben?
Die Teilnahme an einem Videogespräch ist freiwillig. Alternativ stehen telefonischer Kontakt, E-Mail oder das besondere elektronische Anwaltspostfach zur Verfügung.
g. Findet automatisierte Entscheidungsfindung statt?
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DS-GVO statt.
5. LinkedIn
Diese Website enthält einen Link zum LinkedIn-Profil der Verantwortlichen. LinkedIn ist ein Dienst der LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Durch einen Klick auf den Link verlassen Sie diese Website. Für die Datenverarbeitung auf den verlinkten Seiten ist ausschließlich LinkedIn verantwortlich. LinkedIn kann personenbezogene Daten in Drittländer, insbesondere in die USA, übermitteln. Weitere Informationen: linkedin.com/legal/privacy-policy.
6. Betroffenenrechte
a. Recht auf Auskunft — Sie können Auskunft nach Art. 15 DS-GVO über Ihre personenbezogenen Daten verlangen.
b. Recht auf Widerspruch — Sie haben ein Recht auf Widerspruch aus besonderen Gründen (siehe Abschnitt II).
c. Recht auf Berichtigung — Sie können nach Art. 16 DS-GVO eine Berichtigung unzutreffender Daten verlangen.
d. Recht auf Löschung — Sie können nach Art. 17 DS-GVO die Löschung Ihrer personenbezogenen Daten verlangen.
e. Recht auf Einschränkung der Verarbeitung — Sie haben nach Art. 18 DS-GVO das Recht auf Einschränkung der Verarbeitung.
g. Recht auf Datenübertragbarkeit — Die Erfassung der Daten zur Bereitstellung der Website beruht auf Art. 6 Abs. 1 lit. f DS-GVO; die Voraussetzungen des Art. 20 Abs. 1 DS-GVO sind insoweit nicht erfüllt.
Wenn Sie Daten über den E-Mail-Kontakt zur Vertragsanbahnung angegeben haben, aber kein Mandat zustande kam, haben Sie ein Recht, die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und an einen anderen Verantwortlichen übermitteln zu lassen. Bei zustande gekommenen Mandaten gelten meine gesonderten Datenschutzhinweise für Mandate.
II. Recht auf Widerspruch gemäß Art. 21 Abs. 1 DS-GVO
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. f DS-GVO Widerspruch einzulegen. Der Verantwortliche verarbeitet die Daten dann nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Das Widerspruchsrecht nach Art. 21 Abs. 1 DS-GVO besteht nur, soweit die jeweilige Verarbeitung auf Art. 6 Abs. 1 lit. f DS-GVO gestützt ist. Im Rahmen dieser Website betrifft dies konkret: – die Erfassung und Speicherung der Protokolldaten zur Bereitstellung der Website (Ziff. I.2); – die Verarbeitung Ihrer Daten bei einer E-Mail-Kontaktaufnahme, soweit diese allgemeiner Natur ist und nicht auf den Abschluss eines Mandatsverhältnisses gerichtet ist (Ziff. I.3); – die Verarbeitung Ihrer Daten bei Videotelefonaten über alfaview, soweit diese nicht der Anbahnung oder Durchführung eines Mandats dient (Ziff. I.4).
Kein Widerspruchsrecht nach Art. 21 Abs. 1 DS-GVO besteht dagegen, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. b DS-GVO (Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen) beruht. Das betrifft insbesondere die E-Mail-Kontaktaufnahme zur Anbahnung eines Mandats (Ziff. I.3) sowie Videotelefonate zur Anbahnung oder Durchführung eines Mandats (Ziff. I.4). Möchten Sie die Kommunikation im Rahmen eines angebahnten oder bestehenden Mandats beenden, wenden Sie sich bitte direkt an mich; die Löschung der Daten richtet sich in diesem Fall nach den gesetzlichen Aufbewahrungspflichten sowie gegebenenfalls nach meinen gesonderten Datenschutzhinweisen für Mandate.
Zur Ausübung Ihres Widerspruchsrechts genügt eine formlose Mitteilung, zum Beispiel per E-Mail an info [at] lessner-legal [.] de.