Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 unmittelbar in der gesamten EU – und sie betrifft nicht nur Großkonzerne, sondern jeden Webshop, jede Arztpraxis und jeden Handwerksbetrieb, der personenbezogene Daten verarbeitet. Genau hier entsteht die meiste Unsicherheit: Viele kleine Unternehmen wissen, dass die DSGVO „irgendwie wichtig" ist, aber nicht, welche konkreten Pflichten sie tatsächlich treffen. Dieser Artikel räumt mit Halbwissen auf und zeigt dir, was du wirklich umsetzen musst – ohne juristisches Studium.
Was sind überhaupt personenbezogene Daten?
Die DSGVO greift, sobald du personenbezogene Daten verarbeitest. Das ist ein bewusst weiter Begriff: Gemeint ist jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. Dazu gehören offensichtliche Angaben wie Name, Adresse und E-Mail, aber auch IP-Adressen, Standortdaten, Cookie-IDs, Kundennummern oder eine Bestellhistorie.
Eine wichtige Konsequenz: Selbst wenn du „nur" eine Kontaktanfrage über ein Formular erhältst, verarbeitest du personenbezogene Daten. Auch die Logfiles deines Webservers, die IP-Adressen speichern, fallen darunter. Die Frage ist also fast nie, ob die DSGVO gilt, sondern nur, wie du sie korrekt anwendest.
Die sechs Rechtsgrundlagen – ohne sie geht nichts
Der zentrale Grundsatz der DSGVO lautet: Jede Verarbeitung personenbezogener Daten ist zunächst verboten – es sei denn, es gibt eine Rechtsgrundlage, die sie erlaubt. Artikel 6 DSGVO nennt sechs solcher Grundlagen. Für die Praxis kleiner Unternehmen sind vor allem diese vier relevant:
- Einwilligung (Art. 6 Abs. 1 lit. a): Die Person hat aktiv und freiwillig zugestimmt – etwa beim Abonnieren eines Newsletters. Die Einwilligung muss jederzeit widerrufbar sein.
- Vertragserfüllung (lit. b): Die Verarbeitung ist nötig, um einen Vertrag zu erfüllen. Wenn ein Kunde etwas bestellt, darfst du seine Adresse für den Versand nutzen, ohne separat um Erlaubnis zu bitten.
- Rechtliche Verpflichtung (lit. c): Gesetze zwingen dich zur Verarbeitung, etwa die zehnjährige Aufbewahrung von Rechnungen nach Handels- und Steuerrecht.
- Berechtigtes Interesse (lit. f): Du hast ein nachvollziehbares Interesse, das die Schutzinteressen der betroffenen Person überwiegt – beispielsweise IT-Sicherheit oder die Abwehr von Betrug. Hier ist immer eine Abwägung nötig und zu dokumentieren.
Bevor du eine neue Datenverarbeitung startest, solltest du dir die Frage stellen: Auf welche dieser Grundlagen stütze ich mich? Wenn du keine Antwort findest, ist die Verarbeitung wahrscheinlich unzulässig.
Das Verzeichnis von Verarbeitungstätigkeiten
Eine der konkretesten Pflichten ist das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Artikel 30 DSGVO. Es ist im Grunde eine strukturierte Liste aller Vorgänge, bei denen in deinem Unternehmen personenbezogene Daten verarbeitet werden.
Pro Tätigkeit hältst du fest: Zweck der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Rechtsgrundlage, geplante Löschfristen und die getroffenen technischen und organisatorischen Maßnahmen. Typische Einträge sind „Lohnbuchhaltung", „Kundenverwaltung", „Bewerbermanagement" oder „Newsletter-Versand".
Kleinunternehmen mit weniger als 250 Beschäftigten sind teilweise von der Pflicht befreit – allerdings nur, wenn die Verarbeitung nicht regelmäßig erfolgt und keine besonderen Datenkategorien (z. B. Gesundheitsdaten) betrifft. In der Praxis trifft die Ausnahme fast niemanden, weil Kundendaten dauerhaft verarbeitet werden. Führe das VVT also im Zweifel immer. Eine einfache Tabelle reicht aus; teure Software ist nicht nötig.
Auftragsverarbeitung: Verträge mit deinen Dienstleistern
Sobald ein externer Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO. Das betrifft mehr Anbieter, als die meisten denken:
- dein Webhoster und E-Mail-Provider
- Cloud-Dienste wie Newsletter-Tools, CRM- oder Buchhaltungssysteme
- externe IT-Dienstleister mit Zugriff auf deine Systeme
- Analyse- und Marketing-Plattformen
Seriöse Anbieter stellen einen fertigen AVV bereit, den du nur noch abschließen musst – häufig direkt im Kundenkonto. Fehlt ein solcher Vertrag, ist die Datenweitergabe formal rechtswidrig. Prüfe daher bei jedem Tool, ob ein AVV existiert und ob der Dienstleister angemessene Sicherheitsmaßnahmen garantiert. Besondere Vorsicht ist bei US-Anbietern geboten: Hier muss die Übermittlung in ein Drittland zusätzlich abgesichert sein, etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln.
Die Datenschutzerklärung auf deiner Website
Jede Website, die personenbezogene Daten verarbeitet, braucht eine Datenschutzerklärung nach den Artikeln 13 und 14 DSGVO. Sie informiert Besucher transparent darüber, welche Daten du erhebst, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange du sie speicherst.
Wichtig ist Vollständigkeit: Jedes eingesetzte Tool – vom Kontaktformular über Schriftarten-Dienste bis zum Analyse-Tracker – muss erwähnt werden. Außerdem gehören die Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten sowie eine Belehrung über die Betroffenenrechte hinein. Generische Vorlagen aus dem Netz sind ein guter Startpunkt, müssen aber zwingend an deine tatsächlich genutzten Dienste angepasst werden. Eine Erklärung, die Google Analytics erwähnt, obwohl du es gar nicht nutzt, ist genauso falsch wie eine, die einen tatsächlich aktiven Tracker verschweigt.
Technische und organisatorische Maßnahmen (TOM)
Die DSGVO verlangt nicht nur Papier, sondern echten Schutz. Unter technischen und organisatorischen Maßnahmen versteht man alles, was die Sicherheit der Daten gewährleistet. Dazu zählen:
- Zugriffskontrolle: nur befugte Personen erreichen die Daten
- Verschlüsselung von Datenträgern und Übertragungswegen (HTTPS, verschlüsselte Backups)
- regelmäßige Updates und Patches gegen Sicherheitslücken
- starke, einzigartige Passwörter und idealerweise Zwei-Faktor-Authentifizierung
- ein durchdachtes Lösch- und Backup-Konzept
Gerade bei Passwörtern scheitert es oft an der Praxis. Ein kostenloser Passwort-Generator hilft dir, für jeden Dienst ein starkes, individuelles Passwort zu erzeugen. Weitere nützliche Helfer für Sicherheit und Alltag findest du im Webtools-Bereich.
Datenpanne? Die 72-Stunden-Regel
Kommt es zu einer Datenschutzverletzung – etwa einem Hackerangriff, einem verlorenen Laptop oder einer falsch adressierten E-Mail mit sensiblen Daten – schreibt Artikel 33 DSGVO eine Meldepflicht vor. Du musst den Vorfall innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde melden, sofern ein Risiko für die Betroffenen besteht.
Bei hohem Risiko musst du zusätzlich die betroffenen Personen direkt informieren (Art. 34). Entscheidend ist hier Vorbereitung: Lege schon vorab fest, wer im Ernstfall was tut, wie die zuständige Behörde erreichbar ist und welche Informationen die Meldung enthalten muss. Eine Datenpanne im Stress zu managen, ohne Plan, führt fast immer zu Fehlern.
Brauche ich einen Datenschutzbeauftragten?
Ein betrieblicher Datenschutzbeauftragter (DSB) ist in Deutschland Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl wird ein DSB nötig, wenn die Kerntätigkeit in umfangreicher Verarbeitung sensibler Daten oder systematischer Überwachung besteht.
Viele kleine Betriebe brauchen also keinen DSB – sie müssen die DSGVO aber trotzdem vollständig einhalten. Die Befreiung von der DSB-Pflicht bedeutet keine Befreiung von den inhaltlichen Pflichten.
Bußgelder: Wie teuer wird es im Ernstfall?
Die DSGVO sieht empfindliche Sanktionen vor: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für kleine Unternehmen sind solche Maximalbeträge zwar unrealistisch, doch auch fünfstellige Bußgelder können existenzbedrohend sein. Aufsichtsbehörden berücksichtigen bei der Bemessung Schwere, Vorsatz und Kooperationsbereitschaft.
In der Praxis ist für kleinere Firmen ein anderes Risiko oft relevanter: Abmahnungen wegen fehlender oder fehlerhafter Datenschutzerklärungen und Cookie-Banner. Wer hier sauber arbeitet, nimmt sich die größte Angriffsfläche.
Eine pragmatische Startliste
Wenn du dich der DSGVO erstmals annimmst, arbeite diese Punkte der Reihe nach ab:
- Erstelle ein einfaches Verzeichnis von Verarbeitungstätigkeiten.
- Sammle die AV-Verträge aller deiner Dienstleister ein.
- Prüfe und vervollständige deine Datenschutzerklärung.
- Sichere deine Systeme technisch ab (Updates, Verschlüsselung, starke Passwörter).
- Definiere Löschfristen und einen Notfallplan für Datenpannen.
Datenschutz ist kein einmaliges Projekt, sondern ein laufender Prozess. Wer die Grundlagen einmal sauber aufsetzt und regelmäßig pflegt, ist gut aufgestellt. Vertiefe einzelne Themen in unseren weiterführenden Artikeln zur korrekten Cookie-Banner-Einrichtung und zu den Betroffenenrechten.
Hinweis: Dieser Artikel bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen wende dich an einen Fachanwalt oder die zuständige Datenschutzaufsicht.