Business & Wirtschaft
7 Min. Lesezeit
Viele Selbstständige und kleine Betriebe glauben, die Datenschutz-Grundverordnung (DSGVO) betreffe nur Konzerne mit eigener Rechtsabteilung. Das ist ein Irrtum. Sobald Sie personenbezogene Daten verarbeiten, und sei es nur die E-Mail-Adresse eines Kunden, gelten die Regeln auch für Sie. Die gute Nachricht: Mit einer strukturierten Herangehensweise lässt sich die DSGVO auch mit knappen Ressourcen sauber umsetzen. Dieser Ratgeber zeigt Ihnen, worauf es ankommt.
DSGVO für kleine Unternehmen: das Wichtigste in Kürze
Wenn Sie wenig Zeit haben, sind das die zentralen Schritte, mit denen Sie die Grundlagen abdecken:
- Erstellen Sie ein Verzeichnis von Verarbeitungstätigkeiten, das dokumentiert, welche Daten Sie zu welchem Zweck verarbeiten.
- Bestimmen Sie für jede Verarbeitung eine Rechtsgrundlage und holen Sie Einwilligungen nachweisbar ein.
- Veröffentlichen Sie eine vollständige Datenschutzerklärung auf Ihrer Website.
- Schließen Sie mit Dienstleistern einen Auftragsverarbeitungsvertrag ab.
- Treffen Sie technische und organisatorische Maßnahmen, um die Daten zu schützen.
- Legen Sie fest, wie Sie Betroffenenanfragen und Datenpannen fristgerecht bearbeiten.
Was ist die DSGVO und wen betrifft sie?
Die DSGVO ist eine europäische Verordnung, die seit 2018 gilt und den Umgang mit personenbezogenen Daten regelt. Personenbezogen ist jede Information, die sich auf eine identifizierbare Person bezieht: Name, Anschrift, Telefonnummer, E-Mail-Adresse, IP-Adresse oder auch Bewerbungsunterlagen.
Entscheidend ist: Die Verordnung gilt unabhängig von der Unternehmensgröße. Ob Einzelunternehmen, Handwerksbetrieb oder Praxis, sobald Sie solche Daten verarbeiten, sind Sie verantwortlich. Die Zahl der Beschäftigten beeinflusst nur einzelne Pflichten, etwa die Frage, ob Sie einen Datenschutzbeauftragten benennen müssen. An die Grundprinzipien sind alle gebunden.
Welche Grundsätze müssen Sie beachten?
Die DSGVO baut auf einigen Grundsätzen auf, die Sie bei jeder Datenverarbeitung im Blick behalten sollten:
- Zweckbindung: Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden. Adressen aus einer Bestellung sind nicht automatisch für Werbung freigegeben.
- Datenminimierung: Erheben Sie nur, was Sie wirklich brauchen. Ein Newsletter benötigt keine Postanschrift.
- Speicherbegrenzung: Löschen Sie Daten, sobald der Zweck erfüllt ist und keine gesetzliche Aufbewahrungsfrist mehr greift.
- Transparenz: Betroffene müssen verständlich erfahren, was mit ihren Daten geschieht.
Diese Grundsätze sind kein bürokratischer Selbstzweck. Sie sind der Maßstab, an dem eine Aufsichtsbehörde Ihr Vorgehen später bewertet.
Warum das Verzeichnis von Verarbeitungstätigkeiten wichtig ist
Das Verzeichnis von Verarbeitungstätigkeiten ist das Herzstück Ihrer Dokumentation. Es beschreibt, welche Datenkategorien Sie zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten und an wen Sie sie gegebenenfalls weitergeben.
Auch kleine Unternehmen kommen um dieses Verzeichnis in der Regel nicht herum, sobald die Verarbeitung nicht nur gelegentlich erfolgt, was auf fast jeden Betrieb zutrifft. Eine übersichtliche Tabelle genügt. Typische Einträge sind Kundenverwaltung, Buchhaltung, Personal und Websitebetrieb. Der Aufwand hält sich in Grenzen, und Sie schaffen sich einen klaren Überblick, der bei allen weiteren Schritten hilft.
Rechtsgrundlagen und Einwilligung
Jede Datenverarbeitung braucht eine Rechtsgrundlage. Die häufigsten sind:
- Vertragserfüllung: etwa die Adresse für eine Lieferung.
- Rechtliche Verpflichtung: etwa die Aufbewahrung von Rechnungen für die Steuer.
- Berechtigtes Interesse: etwa die IT-Sicherheit, nach sorgfältiger Abwägung.
- Einwilligung: die freiwillige, informierte Zustimmung der betroffenen Person.
Setzen Sie auf eine Einwilligung, etwa für den Newsletter, muss diese freiwillig, eindeutig und jederzeit widerrufbar sein. Wichtig ist die Nachweisbarkeit: Sie müssen belegen können, wann und wie die Zustimmung erteilt wurde. Ein vorausgefülltes Häkchen reicht dafür nicht aus.
Informationspflicht und Datenschutzerklärung auf der Website
Aus dem Transparenzgrundsatz folgt die Informationspflicht. Betroffene müssen wissen, wer für die Verarbeitung verantwortlich ist, zu welchem Zweck und auf welcher Grundlage Daten verarbeitet werden und welche Rechte sie haben.
Auf Ihrer Website erfüllen Sie das über eine Datenschutzerklärung. Sie sollte alle eingesetzten Werkzeuge abdecken, etwa Kontaktformulare, Analysewerkzeuge oder Schriftarten, die von externen Servern geladen werden. Eine allgemeine Vorlage ist nur ein Ausgangspunkt. Sie müssen sie an Ihre tatsächliche Verarbeitung anpassen, sonst geht sie an der Realität vorbei und wird angreifbar.
Welche Rechte haben betroffene Personen?
Die DSGVO gibt Betroffenen weitreichende Rechte, die Sie fristgerecht erfüllen müssen, in der Regel innerhalb eines Monats. Zu den wichtigsten gehören:
- Auskunftsrecht: Auf Anfrage müssen Sie mitteilen, welche Daten Sie zu einer Person verarbeiten.
- Recht auf Löschung: Betroffene können verlangen, dass ihre Daten gelöscht werden, sofern keine Aufbewahrungspflicht entgegensteht.
- Recht auf Berichtigung: falsche Daten müssen korrigiert werden.
- Recht auf Datenübertragbarkeit und das Recht, einer Verarbeitung zu widersprechen.
Legen Sie intern fest, wer solche Anfragen entgegennimmt und bearbeitet. So vermeiden Sie, dass eine Frist unbemerkt verstreicht.
Technische und organisatorische Maßnahmen zur Datensicherheit
Sie sind verpflichtet, Daten durch geeignete technische und organisatorische Maßnahmen (TOM) zu schützen. Der Umfang richtet sich nach dem Risiko, nicht nach der Betriebsgröße. Praktische Beispiele:
- Sichere Passwörter und, wo möglich, eine Zwei-Faktor-Authentifizierung.
- Verschlüsselung von Datenträgern und Datenübertragungen.
- Regelmäßige Datensicherungen und aktuelle Software.
- Ein Berechtigungskonzept, das den Zugriff auf das Nötige beschränkt.
- Verschwiegenheitsverpflichtungen und Schulungen für Mitarbeitende.
Auch mit begrenztem Budget lässt sich ein solides Sicherheitsniveau erreichen. Wichtig ist, dass Sie die getroffenen Maßnahmen dokumentieren.
Auftragsverarbeiter und AV-Verträge
Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, etwa ein Cloud-Anbieter, ein Newsletter-Werkzeug oder Ihr Steuerbüro, benötigen Sie einen Auftragsverarbeitungsvertrag (AV-Vertrag). Er regelt, wie der Dienstleister mit den Daten umgeht und welche Sicherheitsstandards er einhält. Seriöse Anbieter stellen einen solchen Vertrag standardmäßig bereit. Prüfen Sie außerdem, ob Daten in Länder außerhalb der EU übertragen werden, denn dafür gelten zusätzliche Anforderungen.
Wann brauchen Sie einen Datenschutzbeauftragten?
Ein Datenschutzbeauftragter ist nicht in jedem Fall Pflicht. Nach der aktuellen Rechtslage in Deutschland müssen Sie ihn unter anderem dann benennen, wenn in Ihrem Unternehmen eine bestimmte Zahl von Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist, oder wenn Sie besonders sensible Daten in großem Umfang verarbeiten. Da sich der genaue Schwellenwert ändern kann, sollten Sie den aktuellen Stand prüfen. Auch ohne Pflicht kann eine benannte Ansprechperson für Datenschutzfragen sinnvoll sein.
Meldepflicht bei Datenpannen
Kommt es zu einer Datenpanne, etwa durch einen Hackerangriff, eine falsch versendete E-Mail oder einen verlorenen Laptop, greift eine Meldepflicht. Führt der Vorfall zu einem Risiko für die Betroffenen, müssen Sie ihn der zuständigen Aufsichtsbehörde in der Regel innerhalb von 72 Stunden melden. Bei hohem Risiko müssen zusätzlich die betroffenen Personen informiert werden. Halten Sie deshalb vorab einen einfachen Ablaufplan bereit, damit Sie im Ernstfall schnell reagieren können.
Aufsichtsbehörde und Bußgelder
Über die Einhaltung der DSGVO wachen die Aufsichtsbehörden der Bundesländer. Sie beraten, prüfen Beschwerden und können Bußgelder verhängen. Die Verordnung sieht empfindliche Sanktionen vor, die sich am Umsatz orientieren können. In der Praxis richtet sich die Höhe nach Schwere, Dauer und Vorsatz des Verstoßes sowie danach, ob Sie kooperieren. Wer nachweisbar sorgfältig arbeitet, steht deutlich besser da als jemand, der den Datenschutz ignoriert hat.
Ihre DSGVO-Checkliste auf einen Blick
Nutzen Sie diese Liste, um Ihren Stand systematisch zu prüfen:
- Verzeichnis von Verarbeitungstätigkeiten erstellt und aktuell gehalten.
- Für jede Verarbeitung eine Rechtsgrundlage bestimmt.
- Einwilligungen freiwillig eingeholt und nachweisbar dokumentiert.
- Datenschutzerklärung auf der Website vollständig und aktuell.
- Ablauf für Betroffenenanfragen festgelegt.
- Technische und organisatorische Maßnahmen umgesetzt und dokumentiert.
- AV-Verträge mit allen Dienstleistern abgeschlossen.
- Bedarf an einem Datenschutzbeauftragten geprüft.
- Notfallplan für Datenpannen vorbereitet.
Fazit
Der Datenschutz nach der DSGVO ist auch für kleine Unternehmen und Selbstständige machbar, wenn Sie ihn als fortlaufenden Prozess verstehen und nicht als einmalige Aktion. Beginnen Sie mit dem Verzeichnis, arbeiten Sie sich Schritt für Schritt durch die Checkliste und dokumentieren Sie, was Sie tun.
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung. Die rechtlichen Anforderungen und Schwellenwerte können sich ändern und hängen von Ihrer konkreten Situation ab. Bei Unsicherheiten oder komplexen Fragen sollten Sie eine Fachanwältin oder einen Fachanwalt für IT-Recht oder eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten hinzuziehen.
Berater für Praxismarketing
Berater für Praxismarketing mit Erfahrung am Empfang einer Zahnarztpraxis, bevor er sich auf die Patientengewinnung spezialisiert hat.