DSGVO im kleinen Betrieb: Was wirklich Pflicht ist — und was nicht

Kaum ein Thema sorgt bei kleinen Betrieben für so viel Unsicherheit wie die DSGVO. Die Angst vor hohen Bußgeldern ist real, das Wissen darüber, was tatsächlich gefordert ist, meistens dünn. Das Ergebnis: Entweder wird das Thema verdrängt, oder es wird überreagiert — teure Beratung für Dinge, die ein Betrieb mit zehn Mitarbeitern gar nicht braucht.

Was für die meisten kleinen Betriebe wirklich zählt

Drei Dinge machen in der Praxis den größten Unterschied: eine Datenschutzerklärung auf der Website, die tatsächlich zu dem passt, was dort passiert — nicht eine generische Vorlage, die Funktionen beschreibt, die es gar nicht gibt. Ein Verzeichnis der Verarbeitungstätigkeiten, das nicht perfekt, aber ehrlich ist — wer Kundendaten in einer Software verarbeitet, muss grob wissen, wozu. Und Auftragsverarbeitungsverträge mit jedem Dienstleister, der im Auftrag Daten verarbeitet, etwa ein Hosting-Anbieter oder ein Software-Dienstleister.

Was häufig überschätzt wird

Nicht jeder kleine Betrieb braucht einen eigenen Datenschutzbeauftragten — das hängt von Mitarbeiterzahl und Art der Verarbeitung ab, nicht von der Größe allein. Und nicht jede Kundenliste in Excel ist automatisch ein Rechtsverstoß, solange sie angemessen geschützt ist und nur für den vorgesehenen Zweck genutzt wird.

Was das für Sie heißt

DSGVO-Konformität ist kein einmaliges Projekt, das man abhakt, sondern etwas, das am besten von Anfang an mitgedacht wird — in der Website, in der Software, in den Prozessen. Nachträglich draufgesetzt wird es teuer und löchrig. Eingebaut, wenn ohnehin etwas Neues entsteht, kostet es kaum mehr Aufwand.