Was kann kleinen Unternehmen beim Datenschutz wirklich passieren? – Ein Erfahrungsbericht aus der Praxis

In dem beschriebenen Fall wurde das mittelständische Unternehmen, das von Björn Groenewold betreut wird, von einer Datenschutz-Aufsichtsbehörde kontaktiert – völlig überraschend. Der Grund: Ein Mitarbeiter hatte sich über die bestehende Videoüberwachung beschwert. Statt das Gespräch zu suchen, wandte sich der Mitarbeiter direkt an die Gewerbeaufsicht, die wiederum die Datenschutzbehörde informierte.

Was folgte, war ein mehrseitiges Schreiben der Behörde mit zahlreichen Fragen rund um die Videoüberwachung: Lagepläne der Kameras, Begründungen für deren Einsatz, Nachweise zur Speicherung und Löschung der Aufnahmen, technische und organisatorische Maßnahmen und vieles mehr. Schon hier zeigte sich: Ohne die entsprechenden Unterlagen, Verfahrensdokumentationen und Nachweise ist es praktisch unmöglich, innerhalb der meist sehr kurzen Fristen adäquat zu reagieren.

Der Clou dabei: Es war zu keinem Zeitpunkt klar, wer sich tatsächlich beschwert hatte. Zwar erhielt das Unternehmen im Zuge der anwaltlichen Akteneinsicht eine anonymisierte E-Mail, doch der Name des Mitarbeiters blieb – wie vom Gesetz vorgesehen – geschwärzt. Diese Unsicherheit führte nicht nur zu Verunsicherung im Betrieb, sondern auch zu erhöhtem Kommunikations- und Rechercheaufwand. Der Umgang mit Behörden, die Fristen und der permanente Druck, alles korrekt nachzuweisen, belasteten das Unternehmen – insbesondere die Geschäftsführung – enorm.

Der gesamte Prozess zeigte, wie schnell ein vermeintlich kleiner Missstand zu einer großen Angelegenheit werden kann, wenn die formalen Anforderungen des Datenschutzes nicht erfüllt werden. Es ist eben nicht damit getan, „sichtbare“ Kameras zu haben oder ein Warnschild anzubringen. Vielmehr geht es um umfassende Dokumentation, transparente Kommunikation mit den Betroffenen und vor allem um proaktive Maßnahmen.

Nach dem ersten Schrecken folgt der Bürokratie-Marathon. Die Datenschutzbehörde verlangt weit mehr als nur einen Lageplan der installierten Kameras. Im geschilderten Fall musste das Unternehmen unter anderem folgende Unterlagen und Nachweise einreichen:

• Lageplan des gesamten Firmengeländes mit exakter Position aller Kameras

• Technische Details zu den verwendeten Kameras (Hersteller, Modell, analoge oder digitale Übertragung, Speicherung, Zugriffsrechte)

• Begründungen für die Überwachung einzelner Bereiche – warum ist sie notwendig, welche Gefährdungen sollen abgewehrt werden?

• Nachweise zur Löschung der Aufnahmen – wie lange werden Daten gespeichert, wann und wie werden sie gelöscht?

• Verfahrensverzeichnis zur Dokumentation aller datenschutzrelevanten Prozesse, insbesondere zur Videoüberwachung

• Technisch-organisatorische Maßnahmen (TOMs) zum Schutz der gespeicherten Daten

• Beschilderung und Information der Betroffenen – inklusive Angaben zum Verantwortlichen, Zweck der Überwachung und Kontaktmöglichkeiten bei Fragen

• Verträge mit externen Dienstleistern (z.B. Wartung der Anlage oder Cloud-Speicher)

All dies musste nicht nur geliefert, sondern auch plausibel begründet und mit aussagekräftigen Unterlagen belegt werden. Besonders knifflig: Die Fristen sind oft kurz (im Beispiel waren es nur zwei bis drei Wochen), und Fristverlängerungen sind keine Selbstverständlichkeit. Ohne externe Unterstützung (Datenschutzberater, IT-Dienstleister und Rechtsanwalt) ist es für die meisten Firmen kaum zu stemmen.

Ein weiterer Aspekt: Nicht nur die Videoüberwachung stand auf dem Prüfstand, sondern auch angrenzende Datenschutzbereiche wie Mitarbeiterbelehrungen, Dokumentationspflichten und IT-Sicherheitsmaßnahmen. Im konkreten Fall waren viele Unterlagen nicht oder nur lückenhaft vorhanden – und mussten im Eiltempo nachgearbeitet werden. Fehler, Lücken oder widersprüchliche Angaben können hier schnell zu empfindlichen Strafen führen. Besonders heikel: Rückwirkende Verpflichtungserklärungen von Mitarbeitenden sind kaum zu bekommen – und können bei künftigen Konflikten zum echten Risiko werden.

Die rein finanziellen Kosten eines Datenschutzverfahrens werden oft unterschätzt. Im beschriebenen Fall fielen zunächst die dann doch recht geringen Gebühren der Datenschutzbehörde an (ca. 600–700 Euro), doch das war bei weitem nicht alles. Hinzu kamen Anwaltskosten, Beratungsaufwände, externe Unterstützung durch Datenschutzexperten sowie der eigene interne Zeitaufwand – in Summe mehrere Tausend Euro.

Noch schwerer wiegt jedoch oft der emotionale Stress für die Verantwortlichen. Besonders für kleinere Betriebe, bei denen die Geschäftsführung häufig alles „nebenbei“ regelt, sind solche Verfahren eine enorme Belastung. Die Angst vor hohen Bußgeldern (die theoretisch bis zu 4 % des Jahresumsatzes betragen können), die Unsicherheit bei der Beantwortung von Fragen und das Gefühl, unter Dauerbeobachtung zu stehen, führen nicht selten zu schlaflosen Nächten. Im Fallbeispiel kam hinzu, dass das Unternehmen kurz vor der Betriebsübergabe stand und ein älteres Ehepaar plötzlich mit einem komplexen Datenschutzverfahren konfrontiert war. Der Gedanke an eine mögliche Insolvenz oder persönliche Haftung ist für viele Unternehmer*innen ein Albtraum.

Der Aufwand, alle Unterlagen zusammenzustellen, Nachweise zu recherchieren, neue Schilder anzubringen, Kameraeinstellungen zu ändern und gleichzeitig das Tagesgeschäft am Laufen zu halten, wird häufig unterschätzt. Besonders brisant: In vielen Fällen sind die Anforderungen der Aufsichtsbehörden streng, teils auch weltfremd, etwa wenn eine tägliche Kontrolle der Kamerabilder gefordert wird – auch über Feiertage hinweg. Hier stoßen kleine Firmen oft an ihre Grenzen.

Der wichtigste Lerneffekt aus dem geschilderten Fall: Datenschutz darf nicht erst dann ein Thema werden, wenn die Behörde bereits vor der Tür steht. Präventive Maßnahmen sind der einzige wirksame Schutz vor Stress, finanziellen Schäden und Imageverlust. Hier die zentralen Empfehlungen:

• Verfahrensverzeichnis und Dokumentation: Jedes Unternehmen sollte zeitnah ein vollständiges Verzeichnis aller Verarbeitungstätigkeiten (inklusive Videoüberwachung) anlegen und aktuell halten.

• Beschilderung und Information: Jede Videoüberwachung muss korrekt und transparent beschildert sein. Die Schilder müssen klare Informationen über den Verantwortlichen, den Zweck und die Kontaktmöglichkeiten enthalten.

• Mitarbeiter verpflichten: Alle Mitarbeitenden müssen direkt beim Eintritt ins Unternehmen auf den Datenschutz verpflichtet werden – möglichst nicht erst rückwirkend.

• Technisch-organisatorische Maßnahmen: Regelmäßige Überprüfung der IT-Sicherheit, Backups und der Zugriffskontrollen.

• Verträge mit Dienstleistern: Bei Cloudlösungen, Wartungsfirmen etc. sollten immer Auftragsverarbeitungsverträge abgeschlossen werden.

• Externe Unterstützung: Im Zweifel frühzeitig Datenschutzexperten und/oder einen spezialisierten Anwalt einbeziehen, bevor es zur Eskalation kommt.

• Proaktive Kommunikation: Offene Kommunikation mit Mitarbeitenden über die Gründe und den Umfang der Videoüberwachung oder anderer Maßnahmen kann viele Missverständnisse verhindern.

Die Haltung „Was soll schon passieren?“ ist in Zeiten der DSGVO brandgefährlich. Die beschriebene Firma hatte Glück im Unglück – viele andere erleben jedoch deutlich teurere und langwierigere Verfahren.

Das Beispiel zeigt klar: Datenschutz betrifft jedes Unternehmen – unabhängig von Größe und Branche. Es genügt ein verärgerter Mitarbeiter oder ein kritischer Kunde, um ein Verfahren in Gang zu setzen, das mit großem Aufwand, Stress und hohen Kosten verbunden sein kann. Wer heute schon seine Prozesse dokumentiert, seine Mitarbeiter informiert und technische Maßnahmen sauber umsetzt, erspart sich im Ernstfall viel Ärger. Datenschutz ist keine bürokratische Pflicht, sondern ein wesentlicher Teil unternehmerischer Sorgfalt.

Frühzeitige Beschäftigung mit dem Thema ist die beste „Versicherung“ gegen existenzgefährdende Überraschungen. Und wer dabei Unterstützung braucht, sollte nicht zögern, auf erfahrene Berater oder spezialisierte Dienstleister zu setzen – so wie es im Praxisfall mit Björn Groenewold und seinem Netzwerk erfolgreich geschehen ist.