Das Missverständnis
“Die DSGVO ist doch nur für große Techkonzerne, oder? Wir sind nur zu fünft, das betrifft uns nicht.”
Dies ist vielleicht das am weitesten verbreitete Missverständnis über die DSGVO (Datenschutz-Grundverordnung). Und es ist verständlich, wie es entstanden ist: In den Nachrichten geht es immer um Bußgelder für Google, Meta oder Amazon. Daraus schließen viele Unternehmer, dass die DSGVO ein Problem für die großen Player ist, nicht für den Mittelstand.
Aber der Gesetzestext ist glasklar.
Was das Gesetz tatsächlich sagt
Artikel 2 der DSGVO beschreibt den Anwendungsbereich. Die Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Nirgendwo steht: “nur wenn Sie mehr als X Mitarbeiter haben” oder “nur wenn Ihr Umsatz über Y liegt.”
Jede Organisation, die personenbezogene Daten verarbeitet, fällt unter die DSGVO. Punkt.
Was zählt als Verarbeitung personenbezogener Daten?
Verarbeitung ist ein weiter Begriff. Er umfasst:
- Personenbezogene Daten erheben (ein Kontaktformular auf Ihrer Website)
- Personenbezogene Daten speichern (eine Kundenliste in Excel oder Ihrem CRM)
- Personenbezogene Daten nutzen (einen Newsletter versenden)
- Personenbezogene Daten weitergeben (Kundendaten an Ihren Steuerberater übermitteln)
- Personenbezogene Daten aufbewahren (Personalakten in Ihrem Schrank oder auf Ihrem Server)
Wenn Sie auch nur eines dieser Dinge tun - und das tut praktisch jedes Unternehmen - fallen Sie unter die DSGVO.
Was bedeutet das konkret für kleine Unternehmen?
Was Sie tun MUSSEN
Unabhängig von Ihrer Unternehmensgröße sind Sie verpflichtet:
- Eine Rechtsgrundlage zu haben für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Verpflichtung, berechtigtes Interesse usw.)
- Transparent zu sein darüber, was Sie mit personenbezogenen Daten tun (Datenschutzerklärung)
- Auftragsverarbeitungsverträge mit Parteien zu schließen, die in Ihrem Auftrag Daten verarbeiten
- Auf Anfragen von Betroffenen (Auskunft, Löschung, Berichtigung) innerhalb von 30 Tagen zu reagieren
- Datenschutzverletzungen der Aufsichtsbehörde innerhalb von 72 Stunden zu melden, wenn ein Risiko für Betroffene besteht
- Ein Verarbeitungsverzeichnis zu führen (in der Praxis für nahezu jedes Unternehmen erforderlich)
Wo Sie Erleichterungen bekommen
Es gibt einige Erleichterungen für kleinere Organisationen:
- Sie müssen nicht immer einen Datenschutzbeauftragten (DSB) bestellen, es sei denn, Ihre Kerntätigkeit besteht in der Verarbeitung besonderer Datenkategorien oder umfangreicher Überwachung
- Eine Datenschutz-Folgenabschätzung (DSFA) ist nur bei Verarbeitungen mit hohem Risiko erforderlich
- Die Dokumentationspflichten dürfen der Unternehmensgröße angemessen sein
Aber Achtung: Diese Erleichterungen betreffen spezifische zusätzliche Anforderungen. Die Grundpflichten gelten für alle.
Echte Beispiele
Das ist keine Theorie. Aufsichtsbehörden in Europa setzen aktiv bei kleinen Organisationen durch:
- Griechenland (2023): Ein kleiner Arbeitgeber erhielt ein Bußgeld von 8.000 Euro für die Installation von Kameras ohne angemessene Information der Mitarbeiter
- Spanien (2023): Ein lokales Fitnessstudio wurde mit 7.000 Euro bestraft für die Weitergabe von Gesundheitsdaten der Mitglieder ohne Einwilligung
- Italien (2022): Ein kleiner Webshop erhielt ein Bußgeld von 10.000 Euro für die Nichterfüllung einer Löschungsanfrage
- Polen (2024): Ein Einzelunternehmer erhielt ein Bußgeld von 4.500 Euro wegen Fehlens eines Verarbeitungsverzeichnisses
Die Aufsichtsbehörden haben wiederholt betont, dass die Unternehmensgröße keine Befreiung von der DSGVO darstellt.
Warum das eigentlich eine Chance ist
Anstatt die DSGVO als Last zu sehen, die Sie nicht betrifft, können Sie es auch anders betrachten. Als kleines Unternehmen haben Sie einen Vorteil: Sie verarbeiten wahrscheinlich weniger personenbezogene Daten als ein großes Unternehmen, was bedeutet, dass Ihre Compliance einfacher ist.
Die meisten KMU können ihre DSGVO-Grundlagen in wenigen Wochen in Ordnung bringen. Keine monatelangen Projekte, keine teuren Berater. Einfach die Grundlagen richtig machen:
1. Erfassen Sie, was Sie verarbeiten
Erstellen Sie eine Liste aller personenbezogenen Daten, die Sie verarbeiten: Kunden, Mitarbeiter, Lieferanten, Website-Besucher. Das ist Ihr Verarbeitungsverzeichnis.
2. Regeln Sie Ihre Verträge
Schließen Sie Auftragsverarbeitungsverträge mit Ihrem Steuerberater, E-Mail-Anbieter, CRM-Anbieter und anderen Auftragsverarbeitern.
3. Informieren Sie Ihre Kunden und Mitarbeiter
Erstellen Sie eine Datenschutzerklärung, die zu dem passt, was Sie tatsächlich tun. Kein kopiertes Dokument aus dem Internet, sondern eine klare Erklärung Ihrer Verarbeitungstätigkeiten.
4. Erstellen Sie einen Plan für Anfragen und Vorfälle
Wissen Sie, was zu tun ist, wenn ein Kunde Auskunft oder Löschung verlangt. Wissen Sie, was bei einer Datenschutzverletzung zu tun ist.
GDPRWise scannt Ihre Website und gibt Ihnen ein vollständiges Bild Ihres DSGVO-Status. In 15 Minuten wissen Sie, was in Ordnung ist und was Sie noch regeln müssen.