„Wir sind doch viel zu klein für die DSGVO" — dieser Satz ist einer der teuersten Irrtümer im Mittelstand. Die Datenschutz-Grundverordnung kennt keine Bagatellgrenze: Sie gilt ab der ersten Kundendatei, dem ersten Newsletter-Abonnenten, der ersten Bewerbung im Postfach. Die gute Nachricht: Für kleine Unternehmen ist der Pflichtenkatalog überschaubar, wenn man ihn einmal systematisch abarbeitet.

Pflicht 1: Die Datenschutzerklärung auf der Website

Jede geschäftliche Website braucht eine Datenschutzerklärung, die vollständig beschreibt, was tatsächlich passiert: Hosting, Kontaktformular, Newsletter, eingebundene Dienste wie Karten oder Videos, Analyse-Tools. Der häufigste Fehler ist nicht die fehlende Erklärung, sondern die falsche — ein kopierter Mustertext, der Dienste nennt, die gar nicht laufen, oder Tracking verschweigt, das läuft. Prüfen Sie die Erklärung immer dann, wenn sich an der Website etwas ändert.

Wer Cookies oder Tracking einsetzt, das nicht technisch notwendig ist, braucht zusätzlich eine echte Einwilligung — ein Banner, bei dem „Ablehnen" genauso einfach ist wie „Akzeptieren". Wer, wie viele kleine Firmen-Websites, schlicht ohne Tracking auskommt, spart sich das Banner komplett.

Pflicht 2: Das Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis nach Art. 30 DSGVO klingt bürokratischer, als es ist: eine strukturierte Übersicht, welche Daten Sie zu welchem Zweck verarbeiten. Die vielzitierte Ausnahme für Unternehmen unter 250 Mitarbeitern greift praktisch nie, weil sie nur für gelegentliche Verarbeitungen gilt — Kundenverwaltung und Lohnabrechnung sind aber regelmäßig.

Pragmatisch gelöst: eine Tabelle mit einer Zeile pro Verarbeitung (Kundenverwaltung, Rechnungsstellung, Newsletter, Bewerbungen, Videoüberwachung …) und Spalten für Zweck, Datenarten, Empfänger, Löschfrist. Für ein kleines Unternehmen ist das an einem Nachmittag erledigt und bei einer Anfrage der Aufsichtsbehörde Gold wert.

Pflicht 3: Verträge mit Ihren Dienstleistern

Überall dort, wo ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet — Hosting, Cloud-Speicher, Newsletter-Tool, Buchhaltungssoftware, externe Lohnabrechnung — brauchen Sie einen Auftragsverarbeitungsvertrag (AV-Vertrag). Bei seriösen Anbietern ist das Routine: Der Vertrag liegt zum Online-Abschluss bereit, oft ist er bereits in den AGB enthalten. Sammeln Sie diese Verträge an einem Ort; bei einer Prüfung müssen Sie sie vorlegen können.

Pflicht 4: Technische und organisatorische Maßnahmen

Die DSGVO verlangt Sicherheit „nach dem Stand der Technik" — für kleine Betriebe heißt das konkret:

  • Zugriffsschutz: individuelle Konten statt geteiltem Passwort, Zwei-Faktor-Authentifizierung für E-Mail und wichtige Dienste,
  • Verschlüsselung: Websites nur über HTTPS, Laptops und Smartphones mit Geräteverschlüsselung,
  • Backups: regelmäßig, automatisch, getestet,
  • Aufgeräumte Zugänge: Wer das Unternehmen verlässt, verliert am selben Tag seine Zugriffe.

Pflicht 5: Betroffenenrechte und der Ernstfall

Jede Person darf Auskunft über ihre Daten verlangen, Berichtigung und Löschung fordern. Sie haben dafür grundsätzlich einen Monat Zeit — definieren Sie also vorher, wer solche Anfragen beantwortet und wo welche Daten liegen (dabei hilft das Verzeichnis aus Pflicht 2).

Für Datenpannen gilt: Eine Verletzung mit Risiko für Betroffene — verlorener Laptop ohne Verschlüsselung, gehacktes E-Mail-Konto, falsch versandte Kundenliste — müssen Sie binnen 72 Stunden der Aufsichtsbehörde melden. Wer diesen Ablauf einmal durchdacht hat, entscheidet im Ernstfall in Stunden statt in Panik.

Brauchen Sie einen Datenschutzbeauftragten?

In Deutschland erst dann, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — oder wenn besonders sensible Daten den Kern des Geschäfts bilden (etwa im Gesundheitsbereich). Die meisten kleinen Betriebe brauchen also keinen; verantwortlich für den Datenschutz bleibt die Geschäftsführung trotzdem.

Fazit

DSGVO-Konformität ist für kleine Unternehmen kein Dauerprojekt, sondern eine einmalige Aufräumaktion plus Pflege: passende Datenschutzerklärung, Verarbeitungsverzeichnis, AV-Verträge gesammelt, Basissicherheit umgesetzt, Zuständigkeit für Anfragen geklärt. Verlässliche kostenlose Quellen dafür sind der Gesetzestext selbst und die Handreichungen der Aufsichtsbehörden — die wichtigsten haben wir in den Linktipps zusammengestellt. Dieser Artikel ersetzt keine Rechtsberatung im Einzelfall, macht Sie aber zum informierten Gesprächspartner.