DSGVO für KMU: der praktische Leitfaden zum Datenschutz

Die DSGVO richtet sich nicht nur an Großkonzerne mit eigener Rechtsabteilung. Die Regelungen gelten für jedes Unternehmen, das personenbezogene Daten von EU-Bürgerinnen und -Bürgern verarbeitet, unabhängig von seiner Größe. Dieser Leitfaden gibt Ihnen als Inhaber eines kleinen oder mittleren Unternehmens einen klaren, praxisorientierten Überblick darüber, was zu tun ist, um die Anforderungen zu erfüllen.

Was ist die DSGVO, und gilt sie für Ihr Unternehmen?

Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 in Kraft und legt fest, wie Unternehmen personenbezogene Daten erheben, speichern und verwenden dürfen. Als personenbezogene Daten gelten alle Informationen, mit denen eine natürliche Person identifiziert werden kann, zum Beispiel Name, E-Mail-Adresse, IP-Adresse oder Sozialversicherungsnummer.

Die DSGVO gilt für Ihr Unternehmen, sobald Sie personenbezogene Daten von Kunden, Mitarbeitenden, Lieferanten oder Besuchern Ihrer Website verarbeiten. Es gibt weder eine Umsatzschwelle noch eine Mitarbeiterzahl, die Sie davon ausnimmt. Selbst ein Einzelunternehmen mit einer Kundendatenbank ist vollständig erfasst.

Die zuständige Aufsichtsbehörde überwacht die Einhaltung der Vorschriften und kann bei Verstößen Bußgelder verhängen. In schwerwiegenden Fällen können diese bis zu 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens oder 20 Millionen Euro betragen, je nachdem, welcher Betrag höher ist.

Die sechs Grundprinzipien, die Sie kennen müssen

Die DSGVO basiert auf sechs Grundsätzen, denen jede Verarbeitung personenbezogener Daten entsprechen muss:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz - Sie benötigen eine gültige Rechtsgrundlage für die Datenverarbeitung, und die betroffene Person muss wissen, was mit ihren Daten geschieht.
2. Zweckbindung - Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden.
3. Datensparsamkeit - Erheben Sie nur die Daten, die Sie tatsächlich benötigen.
4. Richtigkeit - Halten Sie die gespeicherten Daten aktuell und korrekt.
5. Speicherbegrenzung - Löschen Sie Daten, sobald sie nicht mehr erforderlich sind.
6. Integrität und Vertraulichkeit - Schützen Sie die Daten vor unbefugtem Zugriff und versehentlichem Verlust.

Als Unternehmensinhaber sind Sie dafür verantwortlich nachweisen zu können, dass Sie alle sechs Grundsätze einhalten. Das nennt sich Rechenschaftspflicht (Accountability).

Konkrete Schritte für den Einstieg

Der Einstieg kann überwältigend wirken, doch mit diesen fünf Schritten kommen Sie bereits weit:

1. Datenflüsse kartieren Erstellen Sie eine Übersicht, welche personenbezogenen Daten Sie erheben, woher sie stammen, wozu sie verwendet werden und wer Zugriff darauf hat. Das ist die Grundlage für alle weiteren Datenschutzmaßnahmen.

2. Rechtsgrundlage bestimmen Für jede Datenkategorie benötigen Sie eine gültige Rechtsgrundlage. Die gebräuchlichsten sind Einwilligung, Vertragserfüllung und berechtigtes Interesse. Eine Einwilligung muss freiwillig, spezifisch und nachweisbar sein. Ein vorab angekreuztes Kästchen genügt nicht.

3. Datenschutzerklärung aktualisieren Ihre Website muss eine klare und verständliche Datenschutzerklärung enthalten, aus der hervorgeht, welche Daten Sie erheben, warum, an wen Sie sie weitergeben und wie lange Sie sie speichern. Verfassen Sie diese in einer Sprache, die Ihre Kunden verstehen.

4. Auftragsverarbeitungsverträge abschließen Setzen Sie Drittanbieter ein, zum Beispiel für E-Mail-Marketing, Buchhaltung oder CRM, die personenbezogene Daten in Ihrem Auftrag verarbeiten, müssen Sie mit jedem dieser Anbieter einen schriftlichen Auftragsverarbeitungsvertrag (AVV) abschließen.

5. Verfahren für Datenschutzverletzungen einrichten Tritt eine Verletzung des Schutzes personenbezogener Daten auf, haben Sie grundsätzlich 72 Stunden Zeit, diese der zuständigen Aufsichtsbehörde zu melden. Stellen Sie sicher, dass intern klar ist, wer zu kontaktieren ist, und halten Sie eine Meldevorlagen bereit.

Was kostet mangelnde Compliance?

Neben dem Bußgeldrisiko kann fehlende DSGVO-Compliance den Ruf Ihres Unternehmens und das Vertrauen Ihrer Kunden erheblich beschädigen. Die Aufsichtsbehörden führen laufend Prüfungen durch und gehen Beschwerden von Bürgerinnen und Bürgern nach. In den Jahren 2024 und 2025 verzeichneten die Behörden eine Rekordzahl an Beschwerden, und die Anzahl der Hinweise und Bescheide gegenüber kleinen und mittleren Unternehmen ist weiter gestiegen.

Dabei geht es nicht nur um Bußgelder. Kunden und Geschäftspartner fordern zunehmend einen Nachweis der DSGVO-Compliance, insbesondere wenn Sie für größere Unternehmen oder öffentliche Auftraggeber tätig sind.

Häufig gestellte Fragen

Muss ich einen Datenschutzbeauftragten (DSB) benennen? Die große Mehrheit der KMU ist nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Die Pflicht betrifft vor allem öffentliche Stellen sowie private Unternehmen, die in großem Umfang besondere Kategorien personenbezogener Daten wie Gesundheitsdaten verarbeiten oder systematisch Personen überwachen. Es empfiehlt sich jedoch, intern eine verantwortliche Person für den Datenschutz zu benennen.

Gilt die DSGVO auch für Mitarbeiterdaten? Ja. Informationen über Beschäftigte, von Gehaltsabrechnungen und Krankheitstagen bis hin zu HR-Akten, sind personenbezogene Daten und unterliegen vollständig der DSGVO. Sie benötigen eine Rechtsgrundlage für deren Verarbeitung, und Mitarbeitende haben das Recht auf Auskunft über die bei Ihnen gespeicherten Daten.

Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter? Sie sind Verantwortlicher, wenn Sie den Zweck und die Mittel der Verarbeitung personenbezogener Daten festlegen. Beauftragen Sie einen externen Anbieter mit der eigentlichen Verarbeitung, etwa ein IT-System oder eine Buchhaltungsplattform, ist dieser Anbieter Auftragsverarbeiter. Er handelt ausschließlich nach Ihren Weisungen, und das Verhältnis muss in einem Auftragsverarbeitungsvertrag geregelt werden.

Legiant behält den Überblick für Sie

Die Anforderungen der DSGVO entwickeln sich laufend weiter, und als vielbeschäftigter KMU-Inhaber ist es schwer, stets auf dem aktuellen Stand zu bleiben. Legiant überwacht Ihren Compliance-Status automatisch, informiert Sie, wenn Handlungsbedarf besteht, und unterstützt Sie dabei, die Einhaltung der Vorschriften zu dokumentieren, ganz ohne juristische Vorkenntnisse. Legiant kostenlos testen und noch heute einen klaren Überblick über Ihren DSGVO-Status erhalten.