Das Wichtigste in Kürze

  • Die DSGVO verlangt von kleinen Betrieben vor allem Dokumentation und Transparenz.
  • Ein Verarbeitungsverzeichnis ist Pflicht, aber auch mit Bordmitteln machbar.
  • Löschfristen und Auftragsverarbeitung sind häufige Stolperfallen im Alltag.

Du stehst morgens an der Theke, kümmerst dich um eine Reklamation und notierst dabei die E-Mail-Adresse des Kunden auf einem Zettel. Am Abend schickst du ihm ein Angebot – und der Zettel wandert in die Schublade. Solche Szenen spielen sich täglich in unzähligen Handwerksbetrieben, Praxen und kleinen Agenturen ab. Genau hier beginnt die DSGVO: bei der ganz normalen Arbeit mit personenbezogenen Daten.

Viele Inhaber denken, die Datenschutz-Grundverordnung sei nur etwas für Großkonzerne. Das Gegenteil ist der Fall: Auch kleine Betriebe haben konkrete Pflichten, die sie im Alltag erfüllen müssen. Dieser Artikel zeigt dir die zehn wichtigsten Aufgaben, sortiert nach praktischer Relevanz. Du erfährst, was du morgen umsetzen kannst, wo typische Fehler lauern und wie du mit vertretbarem Aufwand rechtskonform bleibst – ohne Panik und ohne teure Berater.

Verarbeitungsverzeichnis anlegen

Das Verarbeitungsverzeichnis ist das Herzstück der DSGVO-Dokumentation. Es listet auf, welche personenbezogenen Daten du wofür verarbeitest, woher sie stammen, an wen du sie weitergibst und wie lange du sie speicherst. Viele kleine Betriebe scheuen diesen Aufwand, doch er ist überschaubar: Ein einfaches Tabellenblatt mit Spalten für Zweck, Datenkategorien, Empfänger und Löschfristen genügt.

Wichtig ist, dass das Verzeichnis der Realität entspricht. Nimm dir einen Nachmittag Zeit und gehe alle Abläufe durch: Kundenkartei, Personalakten, Lieferantenkontakte, Buchhaltung, Newsletter-Verteiler. Je präziser du arbeitest, desto leichter fällt dir später der Nachweis gegenüber der Aufsichtsbehörde. Übrigens: Auch wenn du weniger als zehn Mitarbeiter hast, bist du nicht automatisch befreit – die Ausnahme gilt nur für gelegentliche, nicht kerngeschäftliche Verarbeitungen.

  • Liste alle Stellen auf, an denen du personenbezogene Daten speicherst – auch Papierakten.
  • Definiere für jede Verarbeitung den Zweck, zum Beispiel Vertragserfüllung oder Buchhaltung.
  • Trage Löschfristen ein, etwa gesetzliche Aufbewahrungsfristen von sechs oder zehn Jahren.
  • Aktualisiere das Verzeichnis mindestens einmal jährlich oder bei neuen Prozessen.
  • Nutze Vorlagen von Industrie- und Handelskammern oder Berufsverbänden als Startpunkt.
Praxistipp: Starte mit einem einfachen Tabellenblatt und ergänze es laufend – Perfektion ist weniger wichtig als Vollständigkeit.

Auftragsverarbeitung vertraglich absichern

Kaum ein Bereich führt zu mehr Unsicherheit als die Auftragsverarbeitung. Sobald du einen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragst – etwa einen IT-Dienstleister, einen Steuerberater oder einen Newsletter-Anbieter –, brauchst du einen Vertrag. Dieser muss die Pflichten beider Seiten klar regeln: Weisungsbefugnis, technische Maßnahmen, Löschung nach Vertragsende.

Der Gesetzgeber verlangt keine bestimmte Form, aber Schriftform ist üblich. Viele Anbieter stellen Standardverträge bereit, die du nur noch unterschreiben musst. Achte darauf, dass auch Unterauftragnehmer erfasst sind, etwa wenn dein E-Mail-Anbieter ein Rechenzentrum in einem Drittland nutzt. Fehlt die Vereinbarung, drohen Bußgelder – auch wenn die Behörden bei kleinen Verstößen oft Milde walten lassen.

  • Prüfe alle Dienstleister, die personenbezogene Daten verarbeiten, mindestens einmal jährlich.
  • Fordere von jedem Dienstleister eine aktuelle Auftragsverarbeitungsvereinbarung an.
  • Achte auf Regelungen zu Unterauftragnehmern und Datenübermittlung in Drittländer.
  • Dokumentiere die Prüfung und die Verträge in deinem Verarbeitungsverzeichnis.
  • Kündige Verträge mit Anbietern, die keine DSGVO-konforme Vereinbarung anbieten.
Praxistipp: Verlasse dich nicht auf mündliche Zusagen – lass dir die Auftragsverarbeitungsvereinbarung immer schriftlich geben.

Datenschutzerklärung auf der Website anpassen

Die Datenschutzerklärung ist das sichtbarste Zeichen deiner DSGVO-Pflichten. Sie muss verständlich erklären, welche Daten du über die Website erhebst, zu welchem Zweck und auf welcher Rechtsgrundlage. Dazu gehören Kontaktformulare, Analyse-Tools wie Matomo oder Google Analytics, aber auch eingebundene Karten oder Schriftarten. Viele kleine Betriebe kopieren Texte von anderen Seiten – das ist riskant, weil jede Website andere Tools nutzt.

Nimm dir einen Nachmittag Zeit und inventarisiere alle Elemente deiner Website. Prüfe, welche Cookies gesetzt werden und ob du eine Einwilligung benötigst. Seit dem neuen Telekommunikation-Telemedien-Datenschutz-Gesetz ist die Einwilligung für nicht notwendige Cookies Pflicht. Es gibt einfache Lösungen wie Consent-Banner, die du selbst einrichten kannst. Wenn du unsicher bist, lass einen Fachanwalt gegen ein Honorar drüberschauen – das ist günstiger als ein Bußgeld.

  • Erstelle eine Liste aller Tools auf deiner Website, die Daten verarbeiten.
  • Prüfe, ob du eine Einwilligung für Cookies benötigst und setze ein Consent-Tool ein.
  • Formuliere die Datenschutzerklärung in einfacher Sprache und mit konkretem Bezug zu deinem Betrieb.
  • Aktualisiere die Erklärung, sobald du neue Tools einbindest oder Anbieter wechselst.
  • Nenne einen Datenschutzbeauftragten, falls du einen bestellt hast – sonst entfällt dieser Punkt.
Praxistipp: Ein Consent-Banner ist nicht optional, sondern Pflicht – setze ein kostenloses Plugin ein, das nur notwendige Cookies vorauswählt.

Löschkonzept umsetzen

Daten, die du nicht mehr brauchst, musst du löschen. Das klingt banal, scheitert aber oft an der Praxis: E-Mail-Postfächer quellen über, alte Angebote liegen in Ordnern, Kundenkarteien werden nie bereinigt. Ein Löschkonzept hilft dir, Fristen zu definieren und regelmäßig zu prüfen. Dabei gilt: Vertragsdaten unterliegen gesetzlichen Aufbewahrungsfristen, aber Bewerbungsunterlagen abgelehnter Kandidaten solltest du nach sechs Monaten vernichten.

Setze konkrete Löschroutinen um: Richte einen monatlichen Kalendertermin ein, an dem du alte Dateien sichtest und Papierkörbe leerst. Digital hilft dir ein Skript, das automatisch Dateien nach Ablauf der Frist löscht – bei Papier reicht die regelmäßige Aktenvernichtung. Dokumentiere, was du wann gelöscht hast, um im Zweifel nachweisen zu können. Ein einfaches Löschprotokoll in Excel ist ausreichend.

  • Definiere für jede Datenkategorie eine konkrete Löschfrist, etwa 30 Tage nach Vertragsende.
  • Richte einen festen Termin im Kalender ein, zum Beispiel den ersten Montag im Monat.
  • Nutze für Papierdokumente einen Aktenvernichter und für digitale Daten eine Löschfunktion.
  • Dokumentiere Löschungen in einem Protokoll mit Datum und betroffener Datenart.
  • Prüfe bei Vertragsende, ob du Daten wirklich noch für Garantie- oder Gewährleistungsfälle brauchst.
Praxistipp: Beginne mit den offensichtlichsten Daten – zum Beispiel E-Mail-Anhängen mit Kundenadressen, die älter als zwei Jahre sind.

Mitarbeiter schulen und datenschutzfreundlich arbeiten

Die beste Technik nützt nichts, wenn deine Mitarbeiter unachtsam mit Daten umgehen. Deshalb gehört die Schulung zu den zentralen Pflichten. Du musst dein Team regelmäßig über die Grundlagen der DSGVO informieren – nicht in trockenem Juristendeutsch, sondern mit konkreten Beispielen aus dem Arbeitsalltag. Zeige, wie man sichere Passwörter wählt, wie man verschlüsselte E-Mails sendet und warum man fremde Daten nicht auf privaten Geräten speichert.

Einmal pro Jahr eine kurze Schulung von 30 Minuten reicht oft schon aus. Du kannst sie selbst durchführen oder auf Online-Kurse zurückgreifen. Wichtig ist, dass du die Schulung dokumentierst – mit Datum und Teilnehmerliste. Zusätzlich solltest du technische Maßnahmen ergreifen: Bildschirmsperre, verschlüsselte Festplatten, Zugriffsrechte nach dem Need-to-know-Prinzip. So reduzierst du das Risiko von Datenpannen und zeigst der Behörde, dass du deine Sorgfaltspflicht ernst nimmst.

  • Schule alle Mitarbeiter mindestens einmal jährlich und dokumentiere die Teilnahme.
  • Richte Bildschirmsperren und starke Passwörter für alle Geräte ein.
  • Vergib Zugriffsrechte nur so weit, wie es für die Aufgabe nötig ist.
  • Verzichte auf private Cloud-Dienste für geschäftliche Daten.
  • Erstelle einen Notfallplan für den Fall einer Datenpanne – inklusive Meldewegen.
Praxistipp: Eine halbstündige Schulung mit Praxisbeispielen aus deinem Betrieb wirkt mehr als ein 50-seitiges Handbuch.

Fazit

Die DSGVO ist kein Bürokratie-Monster, sondern eine Aufforderung, Ordnung in den eigenen Datenhaushalt zu bringen. Wenn du die zehn Pflichten abarbeitest – vom Verzeichnis über Verträge bis zur Schulung –, bist du auf der sicheren Seite. Du musst nicht alles perfekt machen, aber du musst anfangen und den Prozess kontinuierlich verbessern. Die Aufsichtsbehörden schauen bei kleinen Betrieben oft auf die Verhältnismäßigkeit, aber sie erwarten erkennbare Bemühungen. Nutze die Vorlagen deiner Kammer, setze einfache Tools ein und hole dir im Zweifel einen Berater für eine Stunde. Das spart dir später Ärger und Bußgelder.

Passend dazu

Häufige Fragen

Braucht mein kleines Unternehmen wirklich ein Verarbeitungsverzeichnis?

Ja, grundsätzlich schon. Die DSGVO verlangt ein Verzeichnis, aber es gibt eine Ausnahme für Betriebe mit weniger als 250 Mitarbeitern. Diese gilt nur, wenn die Verarbeitung nicht kerngeschäftlich ist oder nur gelegentlich stattfindet. In der Praxis verarbeiten die meisten Betriebe aber regelmäßig Kundendaten – damit ist das Verzeichnis Pflicht. Halte es einfach und aktuell.

Was passiert, wenn ich gegen die DSGVO verstoße?

Die Aufsichtsbehörden können Bußgelder verhängen – je nach Schwere des Verstoßes bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Bei kleinen Betrieben wird aber oft die Verhältnismäßigkeit geprüft, und es gibt Ermahnungen oder geringe Geldbußen. Schlimmer ist der Imageschaden, wenn eine Datenpanne publik wird. Deshalb: Prävention ist besser als Nachsorge.

Muss ich einen Datenschutzbeauftragten bestellen?

Nur in bestimmten Fällen. Du brauchst einen Datenschutzbeauftragten, wenn du mindestens 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigst oder wenn du besonders sensible Daten wie Gesundheitsdaten verarbeitest. Ansonsten bist du nicht verpflichtet. Du kannst die Aufgaben aber freiwillig delegieren, wenn du willst – das ist aber keine Pflicht.

Wie lange muss ich Kundendaten aufbewahren?

Es gibt keine einheitliche Frist. Für Buchhaltungsunterlagen gilt die steuerliche Aufbewahrungsfrist von zehn Jahren, für Geschäftsbriefe sechs Jahre. Vertragsdaten solltest du löschen, sobald der Vertrag abgewickelt ist und keine gesetzlichen Fristen mehr greifen. Bewerbungsunterlagen abgelehnter Kandidaten löscht du nach sechs Monaten. Lege die Fristen in deinem Löschkonzept fest.