DSGVO für kleine Unternehmen: Was ist wirklich Pflicht?

Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, auch für Solo-Selbstständige, Freiberufler und Kleinstbetriebe. Pflicht sind keine dicken Handbücher, aber sieben Bausteine: Datenschutzerklärung, Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Verträge mit Dienstleistern, Umgang mit Betroffenenrechten, Datenpannen-Management und eingewiesene Mitarbeitende. Wichtig ist dabei vor allem, dass Sie nachweisen können, was Sie getan haben.

Ja. Die DSGVO fragt nicht nach Umsatz oder Mitarbeiterzahl, sondern danach, ob Sie personenbezogene Daten verarbeiten. Das tun Sie, sobald Sie Kundennamen, E-Mail-Adressen, Rechnungen, Fotos, Bewerbungen oder Website-Besucherdaten verwenden. Das gilt in Deutschland und in Österreich.

1. Datenschutzerklärung: Wer eine Website, ein Kontaktformular, einen Newsletter oder Social-Media-Profile betreibt, muss Besucher und Kunden informieren. Was hineingehört, hängt von Ihren Diensten ab.
2. Verarbeitungsverzeichnis: Es dokumentiert, welche Daten Sie wofür verarbeiten. In der Praxis brauchen es fast alle Betriebe.
3. Technische und organisatorische Maßnahmen: Passwörter, Zugriffsrechte, Updates, Backups und Verschlüsselung gehören dazu. Gemeint ist ein angemessenes Schutzniveau, nicht Perfektion.
4. Verträge mit Dienstleistern: IT-Dienstleister, Hosting, Newsletter-Tool, Cloud-Speicher oder Agentur verarbeiten Daten in Ihrem Auftrag. Dafür brauchen Sie oft eine Vereinbarung zur Auftragsverarbeitung.
5. Betroffenenrechte: Kunden dürfen Auskunft, Berichtigung oder Löschung verlangen, und Sie müssen fristgerecht reagieren.
6. Datenpannen: Sie müssen erkennen, wann eine meldepflichtige Panne vorliegt, und dann schnell handeln.
7. Mitarbeitende: Wer mit Daten arbeitet, muss wissen, was erlaubt ist und was nicht und braucht zum Arbeitsvertrag Datenschutz-Vereinbarungen.

Über allem steht die Rechenschaftspflicht: Sie müssen im Zweifel belegen können, dass Sie sorgfältig gehandelt haben.

• “Ich brauche immer einen Datenschutzbeauftragten.” Nicht automatisch. Es hängt von der Zahl der Personen, die ständig mit Daten arbeiten, und von der Art der Verarbeitung ab.
• “Als Einzelunternehmer bin ich ausgenommen.” Nein, die DSGVO gilt unabhängig von der Betriebsgröße.
• “Ein Cookie-Banner genügt.” Es ist nur ein kleiner Teil der Pflichten.

Der kostenlose DSGVO-Selfcheck in unserem Vertrauensforum zeigt Ihnen, welche der sieben Bausteine bei Ihnen schon sitzen und wo noch Lücken sind.

Kunden oder Wettbewerber können sich bei der Datenschutz-Aufsichtsbehörde beschweren. Die Behörde kann Nachweise verlangen, Anordnungen treffen und Bußgelder verhängen. Der Rahmen reicht bis 20 Millionen Euro oder 4 % des Jahresumsatzes. Im Alltag kleiner Betriebe sind aber Beschwerden, Auflagen und Schadensersatzforderungen häufiger als Höchststrafen. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.