Datenschutz für kleine Unternehmen: Diese DSGVO-Pflichten sind wirklich wichtig
Auch kleine Unternehmen verarbeiten täglich personenbezogene Daten: bei Kundenanfragen, Rechnungen, Beschäftigten, Bewerbungen, E-Mails, Websites und Cloud-Diensten. Die DSGVO verlangt deshalb keine riesige Bürokratie, aber eine nachvollziehbare und risikogerechte Organisation. Datenschutz für kleine Unternehmen umfasst die wichtigsten organisatorischen und technischen DSGVO-Pflichten im gesamten Betrieb. Datenschutz für kleine Unternehmen bedeutet, die wirklich wichtigen DSGVO-Pflichten passend zum Betrieb umzusetzen.
Die DSGVO gilt auch für kleine Unternehmen und Soloselbstständige, sobald personenbezogene Daten geschäftlich verarbeitet werden. Eine allgemeine Ausnahme wegen geringer Unternehmensgröße gibt es nicht. Datenschutz für kleine Unternehmen: Diese DSGVO-Pflichten sind wirklich wichtig, weil auch ohne Benennungspflicht verlässliche Abläufe und Nachweise erforderlich bleiben.
Meist erforderlich sind ein Überblick über die Verarbeitungstätigkeiten, passende Rechtsgrundlagen, Datenschutzhinweise, geregelte Dienstleister, Löschfristen, angemessene Sicherheitsmaßnahmen und ein Ablauf für Betroffenenanfragen und Datenschutzvorfälle.
Nicht jedes kleine Unternehmen braucht einen Datenschutzbeauftragten, eine Datenschutz-Folgenabschätzung oder ein Cookie-Banner. Diese Pflichten hängen von Beschäftigtenzahl, Verarbeitungsrisiko und tatsächlichem Technikeinsatz ab.
Anwendungsbereich
Gilt die DSGVO auch für kleine Unternehmen?
Ja. Entscheidend ist nicht die Zahl der Beschäftigten oder der Umsatz, sondern ob personenbezogene Daten verarbeitet werden. Dazu zählen bereits Kundenadressen, E-Mail-Konten, Rechnungen, Bewerbungen, Lohnabrechnungen oder IP-Adressen von Websitebesuchern.
Auch Einzelunternehmen, Freiberufler, Handwerksbetriebe, Praxen, Gastronomie, Vereine und lokale Dienstleister können Verantwortliche im Sinne der DSGVO sein.
Die Unternehmensgröße wirkt sich vor allem auf den Umfang der angemessenen Maßnahmen aus. Ein kleiner Betrieb benötigt regelmäßig keine Strukturen wie ein internationaler Konzern. Die grundlegenden Pflichten bleiben jedoch bestehen.
Richtig ist deshalb nicht: „Wir sind zu klein für die DSGVO.“ Richtig ist: „Unsere Datenschutzorganisation muss zu Größe, Datenarten, Systemen und Risiken unseres Betriebs passen.“
Überblick
Kunden, Beschäftigte, Website, Werbung, Buchhaltung und Dienstleister müssen übersichtlich erfasst sein.
Jeder Zweck braucht eine passende Grundlage wie Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung.
Kunden, Bewerber und Beschäftigte müssen zum richtigen Zeitpunkt verständliche Datenschutzhinweise erhalten.
Bei Hosting, Cloud, IT-Support und Software sind Rolle, Vertrag, Sicherheit und mögliche Drittlandtransfers zu prüfen.
Berechtigungen, Updates, Zwei-Faktor-Authentisierung, Verschlüsselung und Backups müssen zum Risiko passen.
Nicht mehr benötigte Daten sind zu löschen. Für Auskunftsanfragen und Datenschutzvorfälle braucht es klare Zuständigkeiten.
Abgrenzung der Zuständigkeit
Was sagt der BayLfD?
Der Bayerische Landesbeauftragte für den Datenschutz ist für bayerische öffentliche Stellen zuständig. Klassische private Unternehmen, Selbstständige, Praxen und Vereine fallen dagegen grundsätzlich in den Zuständigkeitsbereich des BayLDA.
Arbeitshilfen des BayLfD können allgemeine DSGVO-Fragen verständlich erläutern. Bei unternehmensbezogenen Pflichten und der Aufsichtspraxis für nichtöffentliche Stellen ist jedoch vorrangig das BayLDA heranzuziehen.
Für kleine Unternehmen bedeutet das: Die behördliche Zuständigkeit muss richtig eingeordnet werden. Die grundlegenden DSGVO-Prinzipien wie Rechtmäßigkeit, Transparenz, Zweckbindung, Speicherbegrenzung und Sicherheit gelten unabhängig davon.
Bayerische Unternehmen
Das BayLDA stellt ausdrücklich praktische Hilfen für Soloselbstständige und Kleinstunternehmen bereit. Seine aktuelle Checkliste für den Handel umfasst unter anderem VVT, Rechtsgrundlagen, Website, Cloud, Messenger, Betroffenenrechte, Datenschutzvorfälle, Werbung, Informationspflichten und Künstliche Intelligenz.
Damit macht die Aufsichtsbehörde deutlich: Eine schlanke Organisation ist möglich, darf aber die zentralen Verarbeitungen nicht ausblenden. Besonders hilfreich ist ein VVT, das zugleich Rechtsgrundlagen, Löschfristen, Empfänger, Drittlandtransfers und Sicherheitsmaßnahmen sichtbar macht.
Bei typischen Kleinstunternehmen ohne Hochrisikoverarbeitung ist eine Datenschutz-Folgenabschätzung häufig nicht erforderlich. Das Ergebnis sollte aber auf einer kurzen Schwellwertprüfung beruhen und nicht bloß vermutet werden.
Der risikoorientierte Ansatz bedeutet nicht „weniger Datenschutz für kleine Unternehmen“, sondern passende Maßnahmen statt unnötiger Konzernbürokratie.
Art. 30 DSGVO
Brauchen kleine Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten?
Meist ja. Zwar enthält Art. 30 Abs. 5 DSGVO eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten. Diese greift jedoch nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, Risiken birgt oder besondere Datenkategorien beziehungsweise strafrechtliche Daten betrifft.
Kundenverwaltung, Rechnungsstellung, Beschäftigtenverwaltung, E-Mail-Kommunikation und der Betrieb einer Website sind regelmäßig wiederkehrende Tätigkeiten. Das BayLDA geht deshalb davon aus, dass auch kleine Unternehmen meist ein VVT führen müssen.
Ein schlankes VVT sollte mindestens erkennen lassen:
- welcher Zweck verfolgt wird,
- welche Personengruppen und Datenkategorien betroffen sind,
- welche Empfänger und Dienstleister beteiligt sind,
- ob Daten in Drittländer übermittelt werden,
- wann Daten gelöscht werden,
- welche Sicherheitsmaßnahmen vorgesehen sind.
Für kleine Betriebe kann das VVT zugleich als zentrale Arbeitsübersicht dienen. Rechtsgrundlagen, Aufbewahrung und offene Prüfpunkte lassen sich dort ergänzen.
Art. 13 und 14 DSGVO
Wer personenbezogene Daten erhebt, muss die betroffene Person grundsätzlich zum Zeitpunkt der Erhebung informieren. Typische Fälle sind Kundenbestellungen, Kontaktformulare, Bewerbungen, Arbeitsverhältnisse oder Newsletter-Anmeldungen.
Die Hinweise müssen insbesondere Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Rechte und gegebenenfalls Drittlandübermittlungen erläutern.
Ein einziger allgemeiner Text reicht häufig nicht für alle Situationen. Kunden, Bewerber und Beschäftigte sind unterschiedliche Personengruppen mit verschiedenen Zwecken und Rechtsgrundlagen.
Werden Daten nicht direkt bei der Person erhoben, kann Art. 14 DSGVO gelten. Das betrifft etwa Kontaktdaten aus Verzeichnissen, Vermittlungen oder anderen externen Quellen.
Internetauftritt
Was muss auf der Unternehmenswebsite geprüft werden?
Datenschutzerklärung und Website-Technik müssen übereinstimmen. Zu prüfen sind insbesondere Hosting, Serverprotokolle, Kontaktformulare, Schriftarten, Karten, Videos, Captcha, Statistik, Marketing, Newsletter und Social-Media-Einbindungen.
Ein Cookie-Banner ist nicht automatisch auf jeder Website erforderlich. Es wird benötigt, wenn einwilligungsbedürftige Endgerätezugriffe oder darauf beruhende Verarbeitungen eingesetzt werden. Ausschließlich unbedingt erforderliche Vorgänge lösen nicht allein eine Bannerpflicht aus.
Kontaktformulare sollten nur notwendige Pflichtfelder enthalten, verschlüsselt übertragen werden und eine passende Information zur Verarbeitung bereitstellen.
Plugins, Themes und Content-Management-Systeme müssen regelmäßig aktualisiert werden. Veraltete Website-Komponenten sind nicht nur ein technisches, sondern auch ein datenschutzrechtliches Risiko.
Kunden und Marketing
Nein. Für Anfragen, Angebote, Bestellungen, Lieferung, Leistung und Abrechnung sind häufig vorvertragliche Maßnahmen, Vertragserfüllung oder gesetzliche Pflichten einschlägig.
Eine Einwilligung ist eher für freiwillige Zusatznutzungen erforderlich. Dazu können Newsletter, bestimmte Telefonwerbung, Fotoveröffentlichungen oder personenbezogenes Marketingtracking gehören.
Vertragserfüllung und Werbung sind getrennte Zwecke. Eine vorhandene Kundenadresse darf daher nicht automatisch für sämtliche Marketingmaßnahmen genutzt werden.
Werbung per E-Mail ist grundsätzlich einwilligungsbedürftig. Die Bestandskundenausnahme nach § 7 Abs. 3 UWG greift nur unter engen Voraussetzungen und muss vollständig dokumentiert werden.
Personal
Schon ein einziger Beschäftigter führt zu regelmäßigen Personalverarbeitungen. Dazu gehören Lohnabrechnung, Kontaktdaten, Arbeitszeit, Krankheitszeiten, Urlaubsverwaltung, Bewerbungen und gegebenenfalls Fotos.
Beschäftigte und Bewerber benötigen eigene Datenschutzhinweise. Zugriffe auf Personalunterlagen sind auf die zuständigen Personen zu begrenzen.
Gesundheitsdaten und andere sensible Informationen erfordern erhöhten Schutz. Krankmeldungen gehören beispielsweise nicht in offene Teamkalender oder allgemein zugängliche Ordner.
Bewerberdaten dürfen nach Abschluss des Verfahrens nicht unbegrenzt gespeichert werden. Für Talentpools oder eine längere Aufbewahrung ist eine gesonderte Prüfung erforderlich.
Art. 28 DSGVO
Wann ist ein Vertrag zur Auftragsverarbeitung nötig?
Ein AV-Vertrag ist erforderlich, wenn ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag verarbeitet. Typische Beispiele können Hosting, Cloud-Speicher, IT-Support, Newslettersoftware, Lohnabrechnungssysteme oder bestimmte Software-as-a-Service-Angebote sein.
Nicht jeder externe Empfänger ist automatisch Auftragsverarbeiter. Banken, Versandunternehmen, Steuerberater oder Rechtsanwälte können für ihre jeweilige Tätigkeit eigenständig verantwortlich sein.
Vor der Beauftragung sind Rolle, Vertrag, Sicherheitsmaßnahmen, Unterauftragnehmer, Löschung und mögliche Drittlandübermittlungen zu prüfen. Ein vorformulierter Vertrag des Anbieters ersetzt diese Prüfung nicht.
Auch bei kleineren Unternehmen bleibt die Verantwortung für die Auswahl geeigneter Auftragsverarbeiter beim Auftraggeber.
Speicherbegrenzung
Personenbezogene Daten dürfen nicht unbegrenzt aufbewahrt werden. Für jede Verarbeitung sollte feststehen, wann der Zweck entfällt und ob gesetzliche Aufbewahrungsfristen oder notwendige Nachweise entgegenstehen.
Interessentenanfragen, Bewerbungen, Rechnungen, Geschäftsbriefe, Verträge, Newsletterdaten und Supportfälle benötigen unterschiedliche Fristen.
Das BayLDA nennt für Rechnungen beziehungsweise Buchungsbelege in seiner aktuellen Kleinstunternehmen-Checkliste regelmäßig acht Jahre. Für Geschäftsbriefe oder Bücher können andere Fristen gelten.
Besteht eine Aufbewahrungspflicht, sind die Daten während dieser Zeit auf den Aufbewahrungszweck zu beschränken. Sie dürfen nicht deshalb weiter für Werbung oder aktive Kundenverwaltung genutzt werden.
Art. 32 DSGVO
Welche technischen und organisatorischen Maßnahmen sind sinnvoll?
Die Maßnahmen müssen zu Art, Umfang und Risiko der Verarbeitung passen. Kleine Unternehmen benötigen häufig keine komplexen Zertifizierungssysteme, wohl aber verlässliche Grundlagen.
Eigene Benutzerkonten, starke Passwörter, Zwei-Faktor-Authentisierung und geregelte Berechtigungen.
Betriebssysteme, Browser, Software, Router und Website-Komponenten zeitnah aktualisieren.
HTTPS, Festplattenverschlüsselung bei mobilen Geräten und geschützte Übertragungswege nutzen.
Regelmäßig sichern, Wiederherstellung testen und mindestens eine Sicherung gegen Ransomware schützen.
Nur notwendige Daten erheben und alte Exporte, lokale Kopien sowie unnötige Verteiler entfernen.
Beschäftigte zu Phishing, Fehlversand, Passwörtern, Auskünften und Datenschutzvorfällen unterrichten.
Sicherheitsmaßnahmen müssen nicht nur vorhanden, sondern auch wirksam sein. Berechtigungen, Backups und Wiederherstellung sollten daher regelmäßig überprüft werden.
Art. 37 DSGVO und § 38 BDSG
Nicht jedes kleine Unternehmen muss einen Datenschutzbeauftragten benennen. Nach § 38 BDSG besteht die Pflicht insbesondere, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Unabhängig von dieser Zahl kann eine Benennungspflicht bestehen, wenn Verarbeitungen durchgeführt werden, die einer Datenschutz-Folgenabschätzung unterliegen, oder wenn personenbezogene Daten geschäftsmäßig zu bestimmten Übermittlungs-, Markt- oder Meinungsforschungszwecken verarbeitet werden.
Zusätzlich gelten die europäischen Kriterien aus Art. 37 DSGVO. Dazu gehören insbesondere eine umfangreiche regelmäßige und systematische Überwachung oder die umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit.
Die Prüfung darf deshalb nicht allein bei der Zahl „20“ enden. Umgekehrt führt eine gelegentliche Datenverarbeitung durch wenige Personen nicht automatisch zur Benennungspflicht.
Keine DSB-Pflicht bedeutet nicht, dass die übrigen DSGVO-Aufgaben entfallen. Verantwortlich bleibt die Geschäftsleitung.
Hohes Risiko
Eine Datenschutz-Folgenabschätzung ist nur erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht.
Bei einer typischen Kundenverwaltung, Buchhaltung, Website und Beschäftigtenverwaltung eines Kleinstunternehmens ist das häufig nicht der Fall. Anders kann es bei umfangreicher Videoüberwachung, systematischem Profiling, sensiblen Gesundheitsdaten, biometrischer Identifizierung oder neuen risikoreichen Technologien aussehen.
Vor neuen oder wesentlich veränderten Verfahren sollte deshalb eine kurze Schwellwertprüfung erfolgen. Das Ergebnis kann im VVT dokumentiert werden.
Datenpannen
Was ist bei einem Datenschutzvorfall zu tun?
Falsch versendete E-Mails, verlorene Geräte, kompromittierte Postfächer, offene Cloud-Freigaben oder unberechtigte Zugriffe können Datenschutzverletzungen sein.
Zuerst ist weiterer Schaden zu begrenzen. Anschließend müssen Sachverhalt, betroffene Daten, Personen, mögliche Folgen und Gegenmaßnahmen dokumentiert werden.
Besteht voraussichtlich ein Risiko für betroffene Personen, ist eine Meldung an die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden erforderlich. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen nötig sein.
Auch nicht meldepflichtige Datenschutzverletzungen müssen nachvollziehbar dokumentiert werden.
Pragmatische Umsetzung
Kunden, Beschäftigte, Website, Werbung, Buchhaltung, Cloud und sonstige Systeme in einem schlanken VVT zusammentragen.
Datenschutzhinweise, Website, Formulare, Newsletter und Einwilligungen zuerst korrigieren.
Hosting, Cloud, IT-Support, Newsletter und Fachsoftware einordnen sowie fehlende Verträge ergänzen.
Updates, Zwei-Faktor-Authentisierung, Verschlüsselung, Backups und Berechtigungen priorisieren.
Fristen festlegen und einen einfachen Ablauf für Auskünfte, Fehlversand und Datenpannen schaffen.
Prüfpunkte
Sind alle regelmäßigen Verarbeitungstätigkeiten bekannt und in einem VVT erfasst?
Ist für jeden Zweck eine passende Rechtsgrundlage festgelegt?
Erhalten Kunden, Bewerber und Beschäftigte die richtigen Datenschutzhinweise?
Stimmt die Datenschutzerklärung mit der tatsächlichen Website-Technik überein?
Wird ein Cookie-Banner nur dort eingesetzt, wo tatsächlich eine Einwilligung benötigt wird?
Sind Newsletter, Werbung und Einwilligungen gesondert geprüft?
Sind Hosting, Cloud, IT-Support und Softwareanbieter richtig eingeordnet?
Bestehen erforderliche AV-Verträge und sind Unterauftragnehmer sowie Drittlandtransfers geprüft?
Gibt es unterschiedliche Löschfristen für Anfragen, Bewerbungen, Verträge und Rechnungen?
Sind Zugriffe nach Aufgaben begrenzt und Zwei-Faktor-Authentisierung sowie Updates eingerichtet?
Werden Backups erstellt und ihre Wiederherstellung geprüft?
Wissen Beschäftigte, wie sie mit Fehlversand, Phishing und Auskunftsersuchen umgehen?
Ist die Pflicht zur Benennung eines Datenschutzbeauftragten vollständig geprüft?
Besteht ein dokumentierter Ablauf für Datenschutzvorfälle und die 72-Stunden-Prüfung?
Häufige Fragen
Gilt die DSGVO auch für Soloselbstständige?
Ja. Sobald geschäftlich personenbezogene Daten verarbeitet werden, kann die DSGVO gelten. Dazu reichen beispielsweise Kundenkontakte, Rechnungen, E-Mails oder eine Website mit Serverprotokollen.
Braucht ein kleines Unternehmen immer ein VVT?
Meist ja. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist eng. Regelmäßige Tätigkeiten wie Kundenverwaltung, Buchhaltung, Website oder Beschäftigtenverwaltung erfolgen nicht nur gelegentlich.
Braucht jedes kleine Unternehmen einen Datenschutzbeauftragten?
Nein. Zu prüfen sind jedoch sowohl die Schwelle von regelmäßig mindestens 20 automatisiert verarbeitenden Personen nach § 38 BDSG als auch die besonderen Voraussetzungen aus Art. 37 DSGVO und weitere Fälle des § 38 BDSG.
Ist für Kundendaten immer eine Einwilligung erforderlich?
Nein. Für Anfrage, Vertrag, Lieferung und Rechnung bestehen häufig andere Rechtsgrundlagen. Einwilligungen werden eher für freiwillige Zusatznutzungen wie bestimmte Werbung oder Newsletter benötigt.
Braucht jede Unternehmenswebsite ein Cookie-Banner?
Nein. Ein Banner ist nur erforderlich, wenn einwilligungsbedürftige Endgerätezugriffe oder Datenverarbeitungen eingesetzt werden. Die Website muss deshalb technisch geprüft werden.
Muss mit jedem Dienstleister ein AV-Vertrag geschlossen werden?
Nein. Ein AV-Vertrag ist erforderlich, wenn der Dienstleister personenbezogene Daten weisungsgebunden im Auftrag verarbeitet. Andere Dienstleister können eigenständig verantwortlich sein.
Reicht eine Datenschutzerklärung aus einem Generator?
Nur wenn sie zur tatsächlichen Verarbeitung passt. Nicht erwähnte Dienste, falsche Rechtsgrundlagen oder abweichende Speicherfristen werden durch einen allgemeinen Generatortext nicht gelöst.
Ergebnis
Datenschutz für kleine Unternehmen muss weder ignoriert noch unnötig aufgebläht werden. Ein schlankes VVT, passende Informationen, geregelte Dienstleister, klare Löschfristen und wirksame Sicherheitsmaßnahmen bilden den Kern.
Nicht jede denkbare DSGVO-Pflicht trifft jeden Betrieb. Ob ein Datenschutzbeauftragter, eine Datenschutz-Folgenabschätzung oder ein Cookie-Banner erforderlich ist, hängt von der konkreten Verarbeitung ab.
Am zuverlässigsten ist eine risikoorientierte Bestandsaufnahme. Sie trennt echte Lücken von unnötigem Papieraufwand und schafft eine Reihenfolge, die im Betriebsalltag umsetzbar bleibt.
Weiterlesen
Nachweise
Eine kurze Bestandsaufnahme zeigt, welche Pflichten tatsächlich bestehen, welche Unterlagen fehlen und welche technischen oder organisatorischen Punkte zuerst umgesetzt werden sollten.
Datenschutz prüfen lassen