DSGVO für kleine Betriebe: Die wichtigsten IT- und Datenschutz-Pflichten verständlich erklärt
Die DSGVO klingt nach großen Konzernen und teuren Anwälten. Sie trifft aber genauso den Handwerksbetrieb mit fünf Leuten und die Arztpraxis um die Ecke, denn die DSGVO kennt für kleine Betriebe keine allgemeine Ausnahme. Die gute Nachricht: Der Kern ist überschaubar. Dieser Ratgeber sortiert, was Pflicht ist, was oft überschätzt wird und wo die IT ins Spiel kommt.
Gilt die DSGVO überhaupt für meinen kleinen Betrieb?
Ja. Sobald Sie personenbezogene Daten verarbeiten, gilt die DSGVO. Und das tun Sie mit jeder Kundenliste, jeder Lohnabrechnung und jeder E-Mail-Adresse. Eine Mindestgröße gibt es nicht. Der oft gehörte Satz „Wir sind zu klein, uns betrifft das nicht“ verwechselt die DSGVO mit einer einzelnen Pflicht: Einen Datenschutzbeauftragten müssen Sie in der Regel erst benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Alle anderen Grundpflichten gelten unabhängig von der Betriebsgröße. Der Unterschied liegt im Aufwand: Ein Zwei-Mann-Betrieb dokumentiert schlanker als ein Mittelständler, die Grundstruktur ist aber dieselbe.
Was ist das Verzeichnis von Verarbeitungstätigkeiten und brauche ich es?
Das Verzeichnis von Verarbeitungstätigkeiten (oft VVT abgekürzt) ist die zentrale Dokumentationspflicht. Es listet auf, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, wo sie liegen und wie lange sie gespeichert werden. In der Praxis reicht für viele kleine Betriebe eine strukturierte Tabelle.
Typische Einträge: Kundenverwaltung, Buchhaltung, Personalakten, Bewerbungen, Kontaktformular der Website, Newsletter. Für jeden Bereich notieren Sie Zweck, betroffene Personengruppen, Empfänger und Löschfristen. Wer das einmal sauber aufsetzt, hat den größten Teil der Datenschutz-Dokumentation erledigt.
Was bedeuten technische und organisatorische Maßnahmen konkret?
Hinter dem sperrigen Begriff TOM steht eine einfache Frage: Wie schützen Sie die Daten technisch und im Alltag? Hier zahlt sich saubere IT direkt aus. Konkret geht es um diese Punkte:
- Verschlüsselte Festplatten und verschlüsselte Backups.
- Aktuelle Software mit regelmäßigen Updates.
- Ein durchdachtes Rechtekonzept, denn nicht jeder braucht Zugriff auf alles.
- Sichere Passwörter und Zwei-Faktor-Anmeldung.
Dazu kommen organisatorische Punkte: verschließbare Aktenschränke, klare Regeln für Homeoffice und private Geräte sowie das Löschen von Daten, die nicht mehr gebraucht werden. Es muss nicht die teuerste Lösung sein. Aber sie muss zum Risiko passen und nachvollziehbar sein.
Wann brauche ich einen Auftragsverarbeitungsvertrag?
Immer dann, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Das betrifft mehr Betriebe, als sie denken: der Cloud-Speicher, der E-Mail-Anbieter, das Newsletter-Tool, das Online-Terminbuch, der IT-Dienstleister mit Fernwartungszugang.
Mit jedem dieser Partner sollte ein Auftragsverarbeitungsvertrag (AVV) vorliegen. Seriöse Anbieter stellen ihn von sich aus bereit, oft als Download im Kundenkonto. Sammeln Sie diese Verträge an einem Ort, denn bei einer Prüfung wird genau danach gefragt.
Was passiert bei einer Datenpanne?
Ein verlorener Laptop, ein erfolgreicher Phishing-Angriff, eine falsch adressierte E-Mail mit Kundendaten: Das sind Datenpannen. Besteht ein Risiko für die betroffenen Personen, muss die Panne innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Ob ein Risiko vorliegt, ist im Einzelfall nicht immer leicht zu beurteilen. Holen Sie sich dafür im Ernstfall fachlichen Rat.
Wichtiger als jede Frist ist die Vorbereitung. Wer weiß, wo welche Daten liegen und wer im Notfall zu informieren ist, reagiert ruhig statt panisch. Ein kurzer Notfallplan auf einer Seite genügt für den Anfang.
Die häufigsten Fehler bei kleinen Betrieben
In der Praxis sehen wir immer wieder dieselben Lücken: keine oder veraltete Datenschutzerklärung auf der Website, fehlende AVV mit Cloud-Diensten, Backups ohne Verschlüsselung, geteilte Sammel-Passwörter und Mitarbeiter, die nie eine kurze Datenschutz-Unterweisung bekommen haben.
Keine davon erfordert ein großes Projekt. Sie lassen sich einzeln und mit überschaubarem Aufwand schließen. Der Trick ist, nicht alles auf einmal zu wollen, sondern mit den Punkten anzufangen, bei denen ein Fehler am meisten kostet. Das ist dort, wo sensible Daten und viele Betroffene zusammenkommen.
Ihr nächster Schritt
Wenn Sie unsicher sind, wo Ihr Betrieb beim Thema IT und Datenschutz steht, schauen wir gemeinsam drauf. Bei einem unverbindlichen IT-Check gehen wir die technischen Punkte durch: Backups, Zugriffe, Verschlüsselung, Cloud-Dienste. Danach wissen Sie, wo Handlungsbedarf besteht.
Ein ehrlicher Hinweis: Dieser Ratgeber ersetzt keine Rechtsberatung. Bei komplexen datenschutzrechtlichen Fragen arbeiten wir mit Ihrem Datenschutzbeauftragten oder Anwalt zusammen. Melden Sie sich einfach. Wir sind aus der Region Paderborn und Ostwestfalen-Lippe und sprechen Klartext statt Fachchinesisch.