Datenschutz für Unternehmen: DSGVO sauber organisieren

Einordnung

Datenschutz für Unternehmen: Worum geht es?

Unternehmen verarbeiten personenbezogene Daten in nahezu jedem Geschäftsbereich. Schon eine Anfrage per E-Mail, ein Angebot, eine Rechnung, ein Bewerbungsprozess oder ein Kontaktformular kann datenschutzrechtlich relevant sein.

Die DSGVO verlangt dabei keine perfekte Bürokratie um ihrer selbst willen. Sie verlangt aber, dass personenbezogene Daten rechtmäßig, zweckgebunden, transparent, sicher und nachvollziehbar verarbeitet werden.

Für kleine Unternehmen und KMU ist besonders wichtig, den Datenschutz pragmatisch aufzubauen. Es geht nicht darum, möglichst viele Dokumente zu erzeugen, sondern die tatsächlichen Risiken und Abläufe sauber zu beherrschen.

Der richtige Einstieg ist deshalb nicht die Frage nach einem Muster, sondern eine Bestandsaufnahme: Welche Daten werden verarbeitet, wofür, in welchem System, durch wen und wie lange?

Grundstruktur

Zentrale Datenschutzpflichten für Unternehmen

Kunden und Interessenten

Datenschutz bei Kundendaten

Kundendaten entstehen bei Anfragen, Angeboten, Aufträgen, Rechnungen, Support, Reklamationen, Terminbuchungen und laufender Kommunikation.

Häufig stützt sich die Verarbeitung auf Vertragserfüllung, vorvertragliche Maßnahmen oder gesetzliche Pflichten. Für Werbung, Newsletter, Tracking oder zusätzliche Auswertungen kann eine andere Rechtsgrundlage erforderlich sein.

Unternehmen sollten deshalb zwischen erforderlicher Vertragsabwicklung und freiwilligen Zusatzverarbeitungen unterscheiden. Nicht alles, was wirtschaftlich sinnvoll ist, ist automatisch für den Vertrag erforderlich.

Praktisch wichtig sind klare Datenschutzhinweise, begrenzte Zugriffsrechte, sichere Kommunikation und eine geordnete Ablage. Kundendaten sollten nicht dauerhaft in privaten Postfächern, unsicheren Excel-Listen oder alten Systemen liegen bleiben.

Personalbereich

Datenschutz bei Beschäftigten und Bewerbern

Beschäftigtendaten sind besonders sensibel, weil sie häufig das Arbeitsverhältnis, Leistung, Krankheit, Abwesenheiten, Bankdaten, Steuerdaten oder interne Bewertungen betreffen.

Auch Bewerbungsunterlagen verdienen besondere Aufmerksamkeit. Sie enthalten oft Lebenslauf, Zeugnisse, Kontaktdaten, Gehaltsvorstellungen und teilweise sensible Zusatzinformationen.

Unternehmen sollten für Bewerbungen, Personalakten, Lohnabrechnung, Zeiterfassung, Krankmeldungen und interne Kommunikation klare Abläufe haben. Nicht jeder im Unternehmen braucht Zugriff auf alle Personaldaten.

Besonders kritisch sind private Messenger, offene Verteiler, ungesicherte Cloud-Ordner und zu lange gespeicherte Bewerbungsunterlagen. Hier entstehen in der Praxis schnell vermeidbare Risiken.

Website und Außenauftritt

Website, Cookies und Marketing

Die Website ist für viele Unternehmen der sichtbarste Datenschutzbereich. Typische Themen sind Datenschutzerklärung, Kontaktformular, Hosting, Cookies, Tracking, Google Fonts, Karten, Videos, Newsletter und Social-Media-Einbindungen.

Wichtig ist, dass die Datenschutzerklärung zur tatsächlichen Website passt. Wenn externe Dienste aktiv sind, müssen sie erkannt, eingeordnet und korrekt beschrieben werden.

Ein Cookie-Banner löst das Problem nur, wenn es technisch richtig funktioniert. Dienste, die eine Einwilligung brauchen, dürfen nicht bereits vor der Einwilligung starten.

Auch Marketingmaßnahmen sollten getrennt geprüft werden. Newsletter, Tracking, Remarketing, Kundenansprache und Social-Media-Kampagnen können jeweils unterschiedliche Anforderungen auslösen.

Externe Anbieter

Dienstleister und Auftragsverarbeitung

Viele Unternehmen nutzen externe Dienstleister für Hosting, IT-Support, E-Mail, Cloud-Speicher, Lohnabrechnung, Buchhaltung, Newsletter, Website-Wartung, Terminbuchung oder Aktenvernichtung.

Datenschutzrechtlich muss geprüft werden, welche Rolle der Dienstleister hat. Häufig liegt Auftragsverarbeitung vor. Dann braucht es einen Vertrag nach Art. 28 DSGVO.

Ein Vertrag allein reicht aber nicht, wenn der Dienstleister technisch oder organisatorisch nicht passt. Unternehmen sollten prüfen, welche Daten der Anbieter erhält, wo die Daten verarbeitet werden, welche Sicherheitsmaßnahmen bestehen und ob Unterauftragnehmer eingesetzt werden.

Bei Cloud-Diensten und internationalen Anbietern kommt zusätzlich die Frage in Betracht, ob Daten außerhalb der EU oder des EWR verarbeitet werden. Dann sind weitere Voraussetzungen zu prüfen.

Nachweise

Dokumentation: Was Unternehmen festhalten sollten

Die DSGVO enthält eine Rechenschaftspflicht. Unternehmen müssen nicht nur datenschutzkonform handeln, sondern wesentliche Entscheidungen auch nachvollziehbar belegen können.

Zur Grundstruktur gehören typischerweise Datenschutzhinweise, ein Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen, Löschregeln und ein Verfahren für Betroffenenanfragen.

Je nach Unternehmen können weitere Unterlagen erforderlich sein, etwa Interessenabwägungen, Einwilligungsnachweise, Datenschutz-Folgenabschätzungen, Schulungsnachweise oder ein Prozess für Datenschutzverletzungen.

Für kleine Unternehmen sollte die Dokumentation schlank, aber belastbar sein. Eine kurze, zutreffende und gepflegte Dokumentation ist besser als ein umfangreicher Ordner, der nicht zur Praxis passt.

Benennungspflicht

Braucht jedes Unternehmen einen Datenschutzbeauftragten?

Nicht jedes Unternehmen muss automatisch einen Datenschutzbeauftragten benennen. Die Pflicht hängt unter anderem von Art und Umfang der Datenverarbeitung, der Anzahl der ständig mit automatisierter Verarbeitung beschäftigten Personen und besonderen Risikofällen ab.

Nach § 38 BDSG ist ein Datenschutzbeauftragter bei nichtöffentlichen Stellen insbesondere dann zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Daneben können weitere Fälle eine Benennungspflicht auslösen, etwa wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder die Kerntätigkeit in bestimmten besonders risikoreichen Verarbeitungen besteht.

Unabhängig von der Benennungspflicht bleibt das Unternehmen für Datenschutz verantwortlich. Auch ohne Datenschutzbeauftragten müssen die Anforderungen der DSGVO eingehalten werden.

Bayerische Einordnung

Was sagt der BayLfD?

Der BayLfD ist in Bayern für öffentliche Stellen zuständig, nicht für private Unternehmen. Seine Hinweise sind für Unternehmen deshalb nicht die primäre aufsichtsbehördliche Quelle.

Fachlich sind seine Grundsätze zur DSGVO dennoch hilfreich: Der BayLfD betont in seinen Materialien insbesondere Rechenschaftspflicht, Datenschutz durch Technikgestaltung, Sicherheit der Verarbeitung und die Pflicht, Verarbeitungsvorgänge nachvollziehbar zu strukturieren.

Für Unternehmen lässt sich daraus praktisch ableiten: Datenschutz muss technisch und organisatorisch mitgedacht werden. Es genügt nicht, nach außen eine Datenschutzerklärung vorzuhalten, wenn intern Zugriffe, Dienstleister, Löschfristen oder Sicherheitsmaßnahmen ungeklärt bleiben.

Bayerische Unternehmen

Was sagt das BayLDA?

Das BayLDA ist in Bayern die zentrale Datenschutzaufsicht für den nichtöffentlichen Bereich. Dazu gehören insbesondere private Unternehmen, Selbstständige, Vereine und ähnliche Stellen.

Für Unternehmen stellt das BayLDA unter anderem Orientierung, Muster und eine Selbsteinschätzung zur DSGVO bereit. Diese Angebote zeigen gut, welche Themen in der Unternehmenspraxis regelmäßig relevant sind.

Dazu gehören insbesondere Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitung, technische und organisatorische Maßnahmen, Betroffenenrechte, Datenschutzverletzungen und die Frage, ob ein Datenschutzbeauftragter benannt werden muss.

Wichtig bleibt: Muster und Checklisten sind nur Einstiegshilfen. Sie müssen an das konkrete Unternehmen, die tatsächlichen Prozesse und die eingesetzten Systeme angepasst werden.

Praxisfehler

Typische Fehler beim Datenschutz für Unternehmen

Orientierung

Orientierungsfragen für Unternehmen

Die folgenden Fragen dienen nur der ersten Einordnung. Sie ersetzen keine vollständige Datenschutzprüfung.

Häufige Fragen

FAQ zu Datenschutz für Unternehmen

Ergebnis

Fazit

Datenschutz für Unternehmen ist vor allem Organisationsarbeit. Wer weiß, welche Daten verarbeitet werden, welche Systeme genutzt werden und welche Dienstleister beteiligt sind, kann die DSGVO deutlich besser umsetzen.

Für kleine Unternehmen und KMU ist ein schlanker, sauberer Aufbau meist der beste Weg: echte Prozesse prüfen, unnötige Daten vermeiden, Dienstleister regeln, Hinweise aktualisieren und Sicherheitsmaßnahmen nachvollziehbar dokumentieren.

Ob ein Unternehmen rechtssicher aufgestellt ist, lässt sich aber nur anhand der konkreten Verarbeitung prüfen. Allgemeine Muster ersetzen diese Einzelfallprüfung nicht.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen