DSGVO ohne internes Fachwissen: wie kleine Unternehmen es schaffen

Dieselben Pflichten, aber kein Personal dafür

Die DSGVO skaliert ihre Anforderungen nicht mit der Grösse Ihres Unternehmens. Ein kleines Unternehmen mit sechs Personen hat dieselben Kernpflichten wie ein Konzern mit sechstausend: ein Verarbeitungsverzeichnis, eine Rechtsgrundlage für jede Tätigkeit, eine Datenschutzerklärung, eine Mitarbeiter-Datenschutzrichtlinie und die Fähigkeit zu reagieren, wenn jemand fragt, welche Daten Sie speichern.

Der Unterschied liegt nicht in den Pflichten. Er liegt darin, wer sie erledigt. Ein grosses Unternehmen hat einen Datenschutzbeauftragten, eine IT-Abteilung und Zugang zu Rechtsberatung. Ein kleines Unternehmen hat einen Inhaber, der bereits Vertrieb, Betrieb und Lohnabrechnung macht, und jetzt auch noch Compliance. Das ist das eigentliche Problem des kleinen Unternehmens: nicht die Regeln selbst, sondern dass es niemanden gibt, an den man sie delegieren kann.

Die vier Rollen, die Compliance stillschweigend voraussetzt

Wenn man betrachtet, was ein Unternehmen tatsächlich compliant macht, dann stützt sich das auf vier spezialisierte Rollen, die zusammenarbeiten. Ein kleines Unternehmen hat selten auch nur eine davon. Hier ist, was jede Rolle leistet und wo die Lücke entsteht.

Der Daten-Kartograf erfasst jede Tätigkeit, bei der das Unternehmen personenbezogene Daten berührt, vom CRM über die Lohnabrechnung bis zur Kamera über der Kasse. In einem Konzern sind das Wochen an Interviews. In einem kleinen Unternehmen hat niemand die Zeit oder den Überblick, es richtig zu machen.

Der Datenschutzjurist ordnet jeder dieser Tätigkeiten eine Rechtsgrundlage und eine Aufbewahrungsfrist zu und weiss, welche besonderen Kategorien, etwa Gesundheitsdaten, zusätzliche Schutzmassnahmen brauchen. Kleine Unternehmen haben dieses Wissen fast nie im Haus.

Der Datenschutzbeauftragte (DSB) macht aus all dem eine laufende Routine: was zuerst zu beheben ist, was zu dokumentieren ist, worauf zu achten ist, wenn sich etwas ändert. Ohne diese Rolle wird Compliance zu einer einmaligen Panik statt zu einem stabilen Zustand.

Der technische Auditor prüft, was die Website tatsächlich tut: welche Cookies sie setzt, welche Tracker laden, welche Drittanbieter-Skripte ein Plugin still hinzugefügt hat. Die meisten Inhaber haben keine Möglichkeit, das zu sehen.

Fehlen diese Rollen, ist das typische Ergebnis eine von einer anderen Website kopierte Datenschutzerklärung, hinter der nichts steht, genau die Lücke, die ein Prüfer oder eine Beschwerde aufdeckt.

Wie GDPRWise jede Rolle übernimmt

GDPRWise ist darauf ausgelegt, diese vier Lücken zu schliessen, sodass ein Unternehmer dasselbe Ergebnis erreicht, ohne jemanden einzustellen.

• Anstelle des Daten-Kartografen: Der KI-Scan liest Ihre Website in zwei Minuten und legt, kombiniert mit einer vorgefertigten Branchengrundlage, Ihre wahrscheinlichen Verarbeitungstätigkeiten offen, bevor Sie eine einzige Frage beantworten.
• Anstelle des Datenschutzjuristen: Die Branchendossiers enthalten die Rechtsgrundlagen, Aufbewahrungsfristen und Schutzmassnahmen, die für Ihre Branche üblich sind, sodass die juristische Begründung bereits erledigt ist und Sie bestätigen statt recherchieren.
• Anstelle des DSB: Eine priorisierte Massnahmenliste und ein Compliance-Score sagen Ihnen, was als Nächstes zu tun ist, und die Peace-of-Mind-Überwachung achtet auf Änderungen, damit Compliance eine Routine bleibt, kein Projekt.
• Anstelle des technischen Auditors: Der Scan erkennt jeden Cookie, Tracker und jedes Drittanbieter-Skript, jeweils als “Erkannt” oder “Prüfung erforderlich” gekennzeichnet, sodass Sie genau sehen, was Ihre Website tut.

Das Einzige, was die Plattform nicht liefern kann, ist das Wissen über Ihren eigenen Betrieb, und deshalb stellt Ihnen die geführte Verfeinerung einfache Fragen: Haben Sie Mitarbeiter, nutzen Sie Videoüberwachung, übermitteln Sie Daten ins Ausland. Sie liefern die Fakten; GDPRWise liefert das Fachwissen.

Die Rolle, die die meisten kleinen Unternehmen völlig vergessen

Es gibt eine fünfte Lücke, die es wert ist, gesondert benannt zu werden: Ihre Pflichten als Arbeitgeber. Die DSGVO deckt nicht nur Kundendaten ab. Wenn Sie Personal haben, verarbeiten Sie auch deren Daten, von Lohnabrechnung und Verträgen bis hin zu Krankmeldungen und Zugangskontrollprotokollen, und Sie müssen sie darüber informieren. Das bedeutet eine gesonderte Mitarbeiter-Datenschutzrichtlinie, getrennt von der auf Ihrer Website.

Das ist nicht optional, und dennoch haben die meisten kleinen Unternehmen keine, gerade weil keine Rolle im Unternehmen jemals dafür zuständig war. GDPRWise erstellt sie automatisch aus Ihren Angaben zu HR-Prozessen, sodass sich die Lücke schliesst, ohne dass Sie wissen mussten, dass sie existierte.

Wie “fertig” aussieht, ohne jemanden einzustellen

Arbeiten Sie GDPRWise durch, und Sie erhalten am Ende, was ein vierköpfiges Compliance-Team produziert hätte: ein vollständiges Verarbeitungsverzeichnis für Kunden, Mitarbeiter und Dritte, eine massgeschneiderte Datenschutzerklärung, einen Cookie-Bericht, eine Mitarbeiter-Datenschutzrichtlinie, eine Massnahmenliste und einen Compliance-Score. Sie können alles exportieren, mit Ihrem Steuerberater teilen oder bei einer Prüfung vorlegen.

Der Kostenlose Scan liefert dies ohne Kosten, kein Konto, keine Kreditkarte nötig, und das Dossier gehört Ihnen. Peace of Mind (EUR 29/Monat, jährliche Abrechnung) ergänzt die laufende DSB-artige Überwachung für Unternehmen, die lieber nicht mehr daran denken möchten. Nicht sicher, welches Tool zuerst zu Ihrer Situation passt? Beginnen Sie mit unserem Auswahlrahmen für das beste DSGVO-Tool für kleine Unternehmen.