DSGVO für kleine Betriebe: Die wichtigsten IT- und Datenschutz-Pflichten verständlich erklärt
Die DSGVO klingt nach großen Konzernen und teuren Anwälten – trifft aber genauso den Handwerksbetrieb mit fünf Leuten und die Arztpraxis um die Ecke. Die gute Nachricht: Für kleine Betriebe ist der Kern überschaubar. Dieser Ratgeber sortiert, was Pflicht ist, was oft überschätzt wird und wo die IT ins Spiel kommt.
Gilt die DSGVO überhaupt für meinen kleinen Betrieb?
Ja. Sobald Sie personenbezogene Daten verarbeiten – und das tun Sie mit jeder Kundenliste, jeder Lohnabrechnung und jeder E-Mail-Adresse – gilt die DSGVO. Eine Mindestgröße gibt es nicht. Der oft gehörte Satz "unter zehn Mitarbeitern muss ich nichts machen" bezieht sich nur auf eine einzelne Pflicht, nämlich die zum benannten Datenschutzbeauftragten. Alle anderen Grundpflichten gelten unabhängig von der Betriebsgröße. Der Unterschied liegt im Aufwand: Ein Zwei-Mann-Betrieb dokumentiert schlanker als ein Mittelständler, die Grundstruktur ist aber dieselbe.
Was ist das Verzeichnis von Verarbeitungstätigkeiten und brauche ich es?
Das Verzeichnis von Verarbeitungstätigkeiten (oft VVT abgekürzt) ist die zentrale Dokumentationspflicht. Es listet auf, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, wo sie liegen und wie lange sie gespeichert werden. In der Praxis reicht für viele kleine Betriebe eine strukturierte Tabelle. Typische Einträge: Kundenverwaltung, Buchhaltung, Personalakten, Bewerbungen, Website-Kontaktformular, Newsletter. Für jeden Bereich notieren Sie Zweck, betroffene Personengruppen, Empfänger und Löschfristen. Wer das einmal sauber aufsetzt, hat den größten Teil der Datenschutz-Dokumentation erledigt.
Was bedeuten technische und organisatorische Maßnahmen konkret?
Hinter dem sperrigen Begriff "TOM" steht die einfache Frage: Wie schützen Sie die Daten technisch und im Alltag? Hier zahlt sich saubere IT direkt aus. Konkret geht es um Dinge wie verschlüsselte Festplatten und Backups, aktuelle Software, ein durchdachtes Rechtekonzept (nicht jeder braucht Zugriff auf alles), sichere Passwörter und Zwei-Faktor-Anmeldung. Dazu kommen organisatorische Punkte: verschließbare Aktenschränke, klare Regeln für Homeoffice und private Geräte, sowie das Löschen von Daten, die nicht mehr gebraucht werden. Es muss nicht die teuerste Lösung sein – aber es muss zum Risiko passen und nachvollziehbar sein.
Wann brauche ich einen Auftragsverarbeitungsvertrag?
Immer dann, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Das betrifft mehr Betriebe, als sie denken: der Cloud-Speicher, der E-Mail-Provider, die Lohnbuchhaltung über den Steuerberater, das Newsletter-Tool, der IT-Dienstleister für die Fernwartung. Mit jedem dieser Partner sollte ein Auftragsverarbeitungsvertrag (AVV) vorliegen. Seriöse Anbieter stellen ihn von sich aus bereit, oft als Download im Kundenkonto. Sammeln Sie diese Verträge an einem Ort – bei einer Prüfung wird genau danach gefragt.
Was passiert bei einer Datenpanne?
Ein verlorener Laptop, ein erfolgreicher Phishing-Angriff, eine falsch adressierte E-Mail mit Kundendaten – das sind Datenpannen. Bei einem Risiko für die betroffenen Personen besteht grundsätzlich eine Meldepflicht an die zuständige Aufsichtsbehörde, und zwar zügig. Für die Frist und die Bewertung des Einzelfalls sollten Sie im Ernstfall fachlichen Rat einholen. Wichtiger als jede Frist ist die Vorbereitung: Wer weiß, wo welche Daten liegen und wer im Notfall zu informieren ist, reagiert im Ernstfall ruhig statt panisch. Ein kurzer Notfallplan auf einer Seite genügt für den Anfang.
Die häufigsten Fehler bei kleinen Betrieben
In der Praxis sehen wir immer wieder dieselben Lücken: keine oder veraltete Datenschutzerklärung auf der Website, fehlende AVV mit Cloud-Diensten, Backups ohne Verschlüsselung, geteilte Sammel-Passwörter und Mitarbeiter, die nie eine kurze Datenschutz-Unterweisung bekommen haben. Keine davon erfordert ein großes Projekt. Sie lassen sich einzeln und mit überschaubarem Aufwand schließen. Der Trick ist, nicht alles auf einmal zu wollen, sondern mit den Punkten anzufangen, bei denen ein Fehler am meisten kostet – also dort, wo sensible Daten und viele Betroffene zusammenkommen.
Ihr nächster Schritt
Wenn Sie unsicher sind, wo Ihr Betrieb beim Thema IT und Datenschutz steht, schauen wir gemeinsam drauf. Bei einem unverbindlichen IT-Check gehen wir die technischen Punkte durch – Backups, Zugriffe, Verschlüsselung, Cloud-Dienste – und Sie wissen danach, wo Handlungsbedarf besteht. Ein ehrlicher Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Bei komplexen datenschutzrechtlichen Fragen arbeiten wir mit Ihrem Datenschutzbeauftragten oder Anwalt zusammen. Melden Sie sich einfach – wir sind aus der Region Paderborn und Ostwestfalen-Lippe und sprechen Klartext statt Fachchinesisch.