DSGVO für kleine Unternehmen: die wichtigsten Pflichten

Gilt die DSGVO auch für kleine Unternehmen?

Kurz gesagt: ja. Die Datenschutz-Grundverordnung gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von Größe oder Mitarbeiterzahl. Das betrifft dich schon, wenn du Kundendaten speicherst, Rechnungen verschickst oder eine Website mit Kontaktformular betreibst. In Deutschland wird die DSGVO durch das Bundesdatenschutzgesetz (BDSG) ergänzt.

Hinter der Verordnung stehen ein paar klare Grundsätze, die du kennen solltest:

• Rechtmäßigkeit und Transparenz: Jede Verarbeitung braucht eine Rechtsgrundlage (z.B. Einwilligung) und die Betroffenen müssen offen informiert werden.
• Zweckbindung und Datenminimierung: Nur die Daten erheben, die du wirklich für einen festen Zweck brauchst.
• Speicherbegrenzung: Daten nur so lange aufbewahren, wie nötig, danach löschen oder anonymisieren.
• Integrität und Vertraulichkeit: Daten mit technischen und organisatorischen Maßnahmen vor unbefugtem Zugriff schützen.
• Rechenschaftspflicht: Du musst die Einhaltung nachweisen können, etwa durch Datenschutzerklärung, VVT und AV-Verträge.

Datenschutz auf der Website

Deine Website ist der sichtbarste Berührungspunkt mit dem Datenschutz. Zwei Dinge sind hier praktisch immer nötig: eine leicht erreichbare Datenschutzerklärung und, sobald du trackst, ein Cookie-Consent-Tool.

Datenschutzerklärung

Eine Datenschutzerklärung ist Pflicht, sobald auf deiner Website personenbezogene Daten verarbeitet werden, also bei Kontaktformularen, Analysetools oder eingebetteten Diensten wie Google Maps oder YouTube. Sie muss informieren, welche Daten du erhebst, zu welchem Zweck, wie lange du sie speicherst und welche Rechte Betroffene haben. Für gewerblich genutzte Social-Media-Kanäle ist zusätzlich eine eigene Datenschutzerklärung sinnvoll.

Cookie-Consent-Tool

Sobald du Tracking-Cookies oder vergleichbare Technologien zur Analyse des Nutzerverhaltens einsetzt, brauchst du eine echte Einwilligung der Nutzer. Ein bloßer Cookie-Hinweis („Diese Seite nutzt Cookies“) reicht dafür nicht aus.

Zusammenarbeit mit Dienstleistern

Kaum ein Betrieb macht heute alles selbst. Sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet, also dein Hoster, dein Newsletter-Tool, deine IT oder deine Buchhaltung, brauchst du einen Auftragsverarbeitungsvertrag (AV-Vertrag).

Der AV-Vertrag regelt die datenschutzrechtlichen Rechte und Pflichten und legt fest, dass der Dienstleister die Daten nur nach deiner Weisung verarbeitet. Fehlt ein solcher Vertrag, ist das ein Datenschutzverstoß und kann zu Bußgeldern und Haftungsrisiken führen.

Mitarbeiterdatenschutz

Sobald du Menschen beschäftigst, verarbeitest du auch deren Daten, von Gehalt über Krankmeldungen bis zu Leistungsbeurteilungen. Diese Daten dürfen nur rechtmäßig, zweckgebunden und sicher verarbeitet werden.

Im laufenden Arbeitsverhältnis brauchst du klare Regeln für Zeiterfassung, E-Mail- und IT-Nutzung sowie den Zugriff auf Personalakten. Nach dem Ende des Arbeitsverhältnisses müssen Daten fristgerecht gelöscht werden. Wichtig: Deine Mitarbeiter müssen über die Datenverarbeitung informiert und für das Thema sensibilisiert werden.

Auch im Bewerbungsverfahren gilt Datenminimierung: Nur für die Einstellungsentscheidung relevante Daten dürfen erhoben werden. Daten abgelehnter Bewerber musst du nach Ablauf der gesetzlichen Fristen löschen, eine Aufbewahrung für spätere Stellen ist nur mit Einverständnis erlaubt.

DSB, VVT, TOM und DSFA

Hinter diesen Abkürzungen stecken die Dokumentationspflichten. Keine Sorge, für kleine Betriebe ist das meist überschaubar.

• Datenschutzbeauftragter (DSB): Das ist im Grunde genommen eine Person, die im Betrieb auf den Datenschutz aufpasst. In der Regel erst Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Bei besonders risikoreichen Verarbeitungen, etwa umfangreicher Videoüberwachung, kann er auch bei weniger Personen nötig sein.
• Verzeichnis von Verarbeitungstätigkeiten (VVT): Das ist im Grunde genommen eine Liste, in der du aufschreibst, welche Daten du wofür nutzt. Beispiel: Kundennamen für Rechnungen, E-Mail-Adressen für den Newsletter. Pflicht ist es für jedes Unternehmen (Art. 30 DSGVO). Für Betriebe unter 250 Mitarbeitern gibt es Ausnahmen, du solltest als kleines Unternehmen aber trotzdem eine Liste führen.
• Technische und organisatorische Maßnahmen (TOM): Das sind im Grunde genommen alle Vorkehrungen, mit denen du Daten schützt. Beispiel: sichere Passwörter, Verschlüsselung und abschließbare Schränke. Wie viel du tun musst, hängt vom Risiko ab (Art. 32 DSGVO).
• Datenschutz-Folgenabschätzung (DSFA): Das ist im Grunde genommen ein Risiko-Check, bevor du etwas Heikles mit Daten machst. Beispiel: Du willst deine Kunden per Video überwachen. Pflicht nur bei hohem Risiko für die Betroffenen (Art. 35 DSGVO).

Datenpannen und Bußgelder

Trotz aller Vorsicht kann etwas schiefgehen. Bei einer Datenpanne, die voraussichtlich ein Risiko für die Rechte Betroffener bedeutet, musst du die zuständige Aufsichtsbehörde unverzüglich informieren, möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Besteht ein hohes Risiko, musst du auch die betroffenen Personen benachrichtigen (Art. 34 DSGVO).

Der häufigste Fall: Nachricht an den falschen Empfänger

Die typische Datenpanne im kleinen Betrieb ist kein Hackerangriff, sondern die Autovervollständigung im Mailprogramm. Ein Angebot geht an den falschen Kunden, eine Gehaltsabrechnung an die ganze Abteilung, eine Absage an einen Bewerber landet bei jemand anderem. Auch das ist eine Datenschutzverletzung, ganz ohne böse Absicht.

Der Bundesgerichtshof hat im Juni 2026 entschieden, dass daraus ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO entstehen kann. Eine Bank hatte einem Bewerber eine Nachricht mit einem konkreten Gehaltsangebot geschickt, die versehentlich bei einem Dritten ankam. Wichtig ist die Einschränkung: Der bloße Verlust der Kontrolle über die Daten genügt dem BGH nicht. Der Verstoß muss sich tatsächlich ausgewirkt haben. In diesem Fall hatte der unbeabsichtigte Empfänger die Nachricht gelesen und den Bewerber darauf angesprochen. Auch eine nachvollziehbar begründete Sorge vor Missbrauch oder beruflichem Nachteil kann als Schaden zählen. Wer Ansprüche geltend macht, muss diese Auswirkung aber darlegen und beweisen.

Wenn dir das passiert, hilft ein ruhiger Ablauf statt Aktionismus:

1. Dokumentieren: Zeitpunkt, betroffene Daten, tatsächlicher und eigentlicher Empfänger. Das brauchst du später, egal wie du dich entscheidest.
2. Löschung erbitten: Den falschen Empfänger um Löschung bitten und dir das schriftlich bestätigen lassen.
3. Meldung prüfen: Entscheiden, ob eine Meldung nach Art. 33 DSGVO nötig ist. Halte diese Prüfung und ihr Ergebnis schriftlich fest, auch wenn du dich gegen eine Meldung entscheidest.
4. Betroffene informieren: Bei hohem Risiko zusätzlich die betroffene Person benachrichtigen (Art. 34 DSGVO).

Vorbeugen ist hier besonders einfach: Autovervollständigung im Mailprogramm abschalten oder eine kurze Sendeverzögerung aktivieren, Verteilerlisten regelmäßig aufräumen, sensible Anhänge nur verschlüsselt versenden und im Bewerbungsverfahren mit getrennten Vorlagen arbeiten.