Welche DSGVO-Pflichten hat ein kleines Unternehmen?

DSGVO-Pflichten für kleine Unternehmen

Auch kleine Unternehmen müssen die DSGVO vollständig einhalten – eine Ausnahme gilt nur für Unternehmen mit weniger als 250 Mitarbeitern beim Verzeichnis der Verarbeitungstätigkeiten (VVT), sofern die Datenverarbeitung kein hohes Risiko darstellt.

Kernpflichten im Überblick:

• Rechtsgrundlage für jede Datenverarbeitung festlegen (Art. 6 DSGVO), z. B. Einwilligung oder berechtigtes Interesse
• Datenschutzerklärung auf der Website und in Formularen bereitstellen
• Verzeichnis der Verarbeitungstätigkeiten – praktisch immer erforderlich, da fast jede Kundendatei ein „hohes Risiko" darstellen kann
• Auftragsverarbeitungsverträge (AVV) mit Dienstleistern abschließen (z. B. Steuerberater, Cloud-Anbieter)
• Technische und organisatorische Maßnahmen (TOMs) dokumentieren (Passwortschutz, Verschlüsselung, Zugriffsrechte)
• Datenpannen innerhalb von 72 Stunden der Aufsichtsbehörde melden
• Betroffenenrechte erfüllen (Auskunft, Löschung, Berichtigung)

Meine Einschätzung: Der größte Stolperstein für kleine Unternehmen ist die fehlende Dokumentation. Ein einfaches VVT und klare AVV-Verträge decken bereits den Großteil der Risiken ab. Ein einmaliger Beratungstermin bei einem Datenschutzexperten ist hier oft günstiger als eine spätere Behördenstrafe.

Auch ein kleines Unternehmen muss die DSGVO einhalten, sobald es personenbezogene Daten verarbeitet – etwa Kunden-, Mitarbeiter-, Lieferanten- oder Newsletterdaten. Die Pflichten sind aber risikobasiert: Ein Friseursalon hat weniger Aufwand als ein Gesundheits-Start-up.

Wesentliche Pflichten sind:

• Rechtsgrundlage klären: Für jede Verarbeitung braucht es eine Grundlage, z. B. Vertrag, Einwilligung, gesetzliche Pflicht oder berechtigtes Interesse.
• Transparenz herstellen: Betroffene müssen verständlich informiert werden, meist über Datenschutzhinweise auf Website, Formularen oder im Vertrag.
• Betroffenenrechte ermöglichen: Auskunft, Berichtigung, Löschung, Widerspruch und Datenübertragbarkeit müssen praktisch bearbeitet werden können.
• Datensicherheit gewährleisten: Angemessene technische und organisatorische Maßnahmen, z. B. Zugriffsbeschränkungen, Passwörter, Backups, Verschlüsselung, Schulungen.
• Auftragsverarbeitung regeln: Mit Dienstleistern wie Hosting-, Newsletter-, Cloud- oder Lohnabrechnungsanbietern braucht es meist einen AV-Vertrag.
• Löschfristen und Datenminimierung: Nur erforderliche Daten erheben und nicht länger speichern als nötig.
• Datenpannen melden: Relevante Datenschutzverletzungen müssen ggf. binnen 72 Stunden der Aufsichtsbehörde gemeldet werden.

Ein Verzeichnis von Verarbeitungstätigkeiten ist für Kleinstunternehmen nicht immer zwingend, aber praktisch sehr empfehlenswert. Ein Datenschutzbeauftragter ist nur in bestimmten Fällen erforderlich, etwa bei umfangreicher Überwachung oder sensiblen Daten. Meine Einschätzung: Für kleine Unternehmen reicht oft ein schlankes, gut gepflegtes Datenschutzkonzept – aber „gar nichts machen“ ist keine realistische Option.

Ein kleines Unternehmen unterliegt denselben DSGVO-Pflichten wie größere Firmen, der Umfang der Maßnahmen kann jedoch an das Risiko und die Größe angepasst werden. Zentral sind:

• Rechtsgrundlage für Verarbeitung: Jede Erhebung personenbezogener Daten (z. B. von Kunden, Mitarbeitern) muss auf einen der sechs Erlaubnistatbestände gestützt werden, etwa Einwilligung, Vertragserfüllung oder berechtigtes Interesse.
• Informationspflichten: Betroffene müssen klar und verständlich über Zweck, Dauer, Empfänger und Rechte informiert werden (Art. 13, 14 DSGVO).
• Betroffenenrechte: Anfragen auf Auskunft, Löschung, Berichtigung oder Datenübertragbarkeit müssen innerhalb eines Monats beantwortet werden.
• Auftragsverarbeitungsverträge: Werden Dienstleister (z. B. Cloud-Anbieter, Buchhaltungssoftware) eingesetzt, ist ein schriftlicher AVV nötig.
• Datenschutz-Folgenabschätzung: Nur bei hohem Risiko (z. B. umfassende Videoüberwachung) erforderlich; kleine Betriebe sind oft befreit.
• Verzeichnis von Verarbeitungstätigkeiten: Muss grundsätzlich geführt werden, Ausnahme nur bei weniger als 20 Mitarbeitern und geringem Risiko.

Wichtigster Trade-off: Die DSGVO erlaubt eine risikobasierte Anpassung. Ein kleiner Onlineshop kann oft vereinfachte Einwilligungsmechanismen nutzen und auf einen Datenschutzbeauftragten verzichten (sofern nicht regelmäßig sensible Daten verarbeitet). Dennoch haftet das Unternehmen voll; Fehler bei der Kunden-E-Mail-Verwaltung oder kein Löschkonzept können schnell zu Abmahnungen oder Bußgeldern führen. Praktisch empfiehlt sich eine Checkliste – etwa vom BayLDA –, um die Kernpflichten strukturiert abzudecken, ohne Überbürokratie.

Kleine Unternehmen unterliegen grundsätzlich den gleichen DSGVO-Pflichten wie größere, allerdings gibt es Erleichterungen und Ausnahmen basierend auf der Art und Größe ihrer Datenverarbeitung.

Kernpflichten umfassen:

• Rechtmäßigkeit der Verarbeitung: Es muss immer eine Rechtsgrundlage für die Datenverarbeitung vorliegen (z.B. Einwilligung, Vertragserfüllung).
• Transparenz und Informationspflicht: Betroffene müssen über die Verarbeitung ihrer Daten umfassend informiert werden (Art. 13/14 DSGVO).
• Datensicherheit: Angemessene technische und organisatorische Maßnahmen zum Schutz der Daten sind zu implementieren.
• Löschkonzepte: Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck notwendig sind.
• Betroffenenrechte: Das Unternehmen muss Anfragen zu Auskunft, Berichtigung, Löschung etc. bearbeiten können.

Erleichterungen für kleine Unternehmen:

• Kein obligatorischer Datenschutzbeauftragter, wenn in der Regel weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind oder die Kerntätigkeit keine umfangreiche Verarbeitung sensibler Daten oder systematischer Überwachung umfasst (§ 38 BDSG).
• Weniger detaillierte Dokumentationspflichten (Verarbeitungsverzeichnis), wenn die Verarbeitung gelegentlich erfolgt und kein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen birgt (Art. 30 Abs. 5 DSGVO).

Ein Verarbeitungsverzeichnis ist jedoch in den meisten Fällen ratsam und Pflicht, wenn die oben genannten Ausnahmen nicht zutreffen, da es die Übersicht über die Datenverarbeitungsprozesse ermöglicht. Mein Rat ist, die Erleichterungen nicht überzuinterpretieren und eine solide Grundlagendokumentation zu führen.

Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig von der Größe. Kleine Firmen profitieren jedoch von einigen Erleichterungen.

Kerntpflichten umfassen:

• Rechenschaftspflicht: Nachweis der Einhaltung durch geeignete Maßnahmen, etwa Verzeichnisse oder interne Richtlinien.
• Transparenz: Betroffene müssen über Zweck, Rechtsgrundlage und Rechte informiert werden, z. B. über Datenschutzerklärungen.
• Datensicherheit: Technische und organisatorische Maßnahmen wie Passwortschutz oder Verschlüsselung sind Pflicht.
• Meldung von Verstößen: Datenpannen müssen der Aufsichtsbehörde innerhalb von 72 Stunden gemeldet werden, bei hohem Risiko auch den Betroffenen.

Das Verzeichnis von Verarbeitungstätigkeiten ist bei Unternehmen mit weniger als 250 Mitarbeitern oft entbehrlich, solange keine hohen Risiken vorliegen. Ein Datenschutzbeauftragter ist nur bei bestimmten sensiblen Verarbeitungen vorgeschrieben.

Praktisch bedeutet das: Eine kurze Risikoanalyse erstellen, Mitarbeiter schulen und Anfragen von Betroffenen innerhalb eines Monats bearbeiten. Der Aufwand steigt mit der Datenmenge; bei geringen Risiken bleibt er überschaubar, doch Bußgelder drohen bei Verstößen dennoch.

Auch kleine Unternehmen sind nicht von der DSGVO befreit. Es gilt jedoch der Grundsatz der Verhältnismäßigkeit: Der Aufwand sollte zum Risiko der Datenverarbeitung passen. Der zentrale Zielkonflikt liegt zwischen bürokratischem Compliance-Aufwand und dem Schutz vor hohen Bußgeldern sowie Reputationsschäden.

Die wichtigsten Pflichtaufgaben in der Praxis umfassen:

• Verarbeitungsverzeichnis (VVT): Eine lückenlose Dokumentation aller internen Datenflüsse, etwa von Kundendaten oder Mitarbeiterakten.
• Transparenz: Rechtssichere Datenschutzerklärungen auf der Website und klare Informationspflichten gegenüber Kunden.
• Auftragsverarbeitungsverträge (AVV): Strenge Vereinbarungen mit allen externen Dienstleistern, die Daten im Auftrag verarbeiten (z. B. Cloud-Hoster, CRM-Systeme, Lohnbüro).
• Technisch-organisatorische Maßnahmen (TOMs): Angemessene IT-Sicherheit wie Verschlüsselung, regelmäßige Backups und strenge Zugriffskontrollen.
• Meldepflicht: Etablierte Prozesse, um Datenpannen binnen 72 Stunden der Aufsichtsbehörde zu melden.

Ein Datenschutzbeauftragter ist in Deutschland erst zwingend erforderlich, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind oder die Kerntätigkeit eine umfangreiche Profilbildung umfasst.

Meine Empfehlung: Kleine Unternehmen sollten sich nicht in theoretischen Detailfragen der Bürokratie verlieren. Der pragmatische Fokus muss auf der operativen IT-Sicherheit (TOMs) und sauberen Dienstleister-Verträgen (AVV) liegen. Hier lauern im Alltag die größten praktischen Risiken, die häufigsten Datenpannen und die relevantesten Abmahngründe.

Ein kleines Unternehmen in der EU hat mehrere zentrale DSGVO-Pflichten, unabhängig von seiner Größe. Die wichtigsten sind:

• Rechtmäßigkeit der Datenverarbeitung: Jede Erhebung oder Nutzung personenbezogener Daten (z. B. Kundendaten) muss eine Rechtsgrundlage haben, etwa vertragliche Erfüllung oder berechtigtes Interesse.
• Transparenz: Betroffene müssen in klarer Sprache über Verarbeitung, Zwecke und Speicherdauer informiert werden (z. B. in Datenschutzerklärungen).
• Datensparsamkeit: Nur notwendige Daten dürfen erhoben werden; nach Zweckende müssen sie gelöscht oder anonymisiert werden.
• Technische/organisatorische Maßnahmen (TOM): Schutz vor Datenpannen durch Verschlüsselung, Zugriffsbeschränkungen oder regelmäßige Backups.
• Betroffenenrechte: Anfragen zu Auskunft, Löschung oder Korrektur müssen innerhalb eines Monats bearbeitet werden.

Kritischer Punkt: Viele kleine Unternehmen scheitern an der Dokumentationspflicht. Obwohl sie keine formale DSFA (*Datenschutz-Folgenabschätzung*) benötigen, sollten Prozesse (z. B. bei Kundenanfragen) dokumentiert sein, um Nachweisbarkeit zu gewährleisten.

Praktischer Tipp: Nutzen Sie Tools wie Muster-Datenschutzerklärungen oder Vorlagen für Verarbeitungsverzeichnisse (z. B. vom Bayerischen Landesamt für Datenschutzaufsicht). Die Hauptgefahr besteht darin, die Regeln zu unterschätzen – Strafen können teuer werden.