Glossar · Datenschutz & Recht
Was ist die DSGVO?
Kurz erklärt
Die DSGVO (Datenschutz-Grundverordnung) ist das EU-weite Gesetz zum Schutz personenbezogener Daten. Seit dem 25. Mai 2018 regelt sie, wie Unternehmen Daten von Kunden, Beschäftigten und Interessenten erheben, nutzen und schützen müssen.
Die DSGVO (Datenschutz-Grundverordnung) ist die EU-Verordnung, die regelt, wie Unternehmen mit personenbezogenen Daten umgehen dürfen. Dazu gehören Namen, E-Mail-Adressen, Telefonnummern, Kundennummern und sogar IP-Adressen. Sie gilt seit Mai 2018 in allen EU-Staaten und betrifft praktisch jedes Unternehmen.
Wie funktioniert die DSGVO?
Die Grundregel lautet: Jede Verarbeitung personenbezogener Daten ist verboten, solange es keine Rechtsgrundlage dafür gibt. Typische Rechtsgrundlagen sind ein Vertrag, eine gesetzliche Pflicht, eine Einwilligung oder ein berechtigtes Interesse. Zusätzlich nennt die DSGVO in Artikel 5 Grundsätze, die immer gelten.
- Rechtmäßigkeit und Transparenz: Betroffene müssen verständlich erfahren, was mit ihren Daten passiert.
- Zweckbindung: Daten nur für den Zweck nutzen, für den sie erhoben wurden.
- Datenminimierung: nur so viele Daten wie wirklich nötig erheben.
- Richtigkeit: falsche Daten berichtigen oder löschen.
- Speicherbegrenzung: Daten löschen, wenn sie nicht mehr gebraucht werden und keine Aufbewahrungspflicht besteht.
- Integrität und Vertraulichkeit: Daten mit angemessenen Maßnahmen schützen.
- Rechenschaftspflicht: Sie müssen die Einhaltung nachweisen können.
Die wichtigsten Pflichten der DSGVO für KMU
| Pflicht | Worum es geht |
|---|---|
| Verzeichnis der Verarbeitungstätigkeiten | Welche Daten werden wofür, wie lange und mit welchen Dienstleistern verarbeitet? |
| Informationspflichten | Datenschutzerklärung auf der Website und Hinweise bei jeder Datenerhebung |
| Auftragsverarbeitung | ein Auftragsverarbeitungsvertrag mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet |
| Datensicherheit | geeignete technische und organisatorische Maßnahmen, etwa Zugriffsschutz, Backup und Verschlüsselung |
| Betroffenenrechte | Auskunft, Berichtigung, Löschung und weitere Rechte, grundsätzlich innerhalb eines Monats |
| Meldung von Datenpannen | an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, außer die Panne führt voraussichtlich zu keinem Risiko für Betroffene |
| Datenschutzbeauftragter | in Deutschland in der Regel, wenn mindestens 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind |
Auf der Website kommen weitere Themen hinzu, etwa ein rechtssicherer Cookie-Consent für Analyse- und Marketingdienste.
Die DSGVO im Arbeitsalltag
Viele Pflichten der DSGVO werden erst an konkreten Situationen greifbar. Die folgenden Beispiele kommen in fast jedem kleinen Unternehmen vor.
- Kontaktformular: Die Datenschutzerklärung muss erklären, was mit den Angaben passiert und wie lange sie gespeichert werden.
- Newsletter: Werbe-E-Mails brauchen in der Regel eine Einwilligung, die meist per Double-Opt-in bestätigt wird.
- Bewerbungen: Unterlagen abgelehnter Bewerber nach einer festgelegten Frist löschen und nicht im Postfach liegen lassen.
- Cloud-Dienste: Für jede Software, die Kundendaten speichert, einen Vertrag zur Auftragsverarbeitung abschließen.
- Datenpanne: Ein verlorener Laptop ohne Verschlüsselung kann meldepflichtig sein.
Was bei Verstößen gegen die DSGVO droht
Die DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Diese Höchstwerte gelten etwa bei Verstößen gegen die Grundsätze, die Rechtsgrundlagen oder die Betroffenenrechte, für viele andere Pflichten liegt die Grenze bei 10 Millionen Euro oder 2 Prozent. Hinzu kommen mögliche Schadensersatzforderungen von Betroffenen.
Für kleine Unternehmen ist oft der Aufwand nach einem Vorfall das größere Problem. Eine Datenpanne bedeutet Meldungen, Rückfragen der Behörde, Gespräche mit Kunden und manchmal einen Imageschaden.
Was bedeutet die DSGVO für Ihr Unternehmen?
Die DSGVO ist kein einmaliges Projekt, sondern eine laufende Aufgabe. Jede neue Software, jeder neue Dienstleister und jedes neue Formular auf der Website wirft die Frage auf, welche Daten verarbeitet werden. Ein Handwerksbetrieb mit Kundenkartei hat dabei andere Schwerpunkte als eine Arztpraxis mit Gesundheitsdaten.
- Nutzen: Saubere Prozesse schaffen Vertrauen bei Kunden und erleichtern Ausschreibungen und Lieferantenfragebögen.
- Kostenfaktoren: interner Zeitaufwand, eventuell ein externer Datenschutzbeauftragter, sichere IT und Schulungen.
- Prüfen: Wo liegen Ihre Daten? Der Serverstandort und die Verträge mit Cloud-Anbietern sind zentrale Fragen.
- Typische Fehler: fehlende Auftragsverarbeitungsverträge, veraltete Datenschutzerklärung, offene Kundenlisten in geteilten Ordnern, keine Löschregeln.
Ein guter Einstieg ist eine Bestandsaufnahme aller Programme und Dienstleister, die mit Kundendaten arbeiten. Unsere DSGVO-Beratung für KMU unterstützt Sie dabei. Dieser Beitrag ersetzt keine Rechtsberatung.
Häufige Fragen
Gilt die DSGVO auch für kleine Unternehmen?
Ja, für jedes Unternehmen, das personenbezogene Daten verarbeitet, also praktisch für alle. Einzelne Pflichten, etwa der Datenschutzbeauftragte, hängen jedoch von der Größe und der Art der Verarbeitung ab.
Darf ich Cloud-Dienste aus den USA nutzen?
Grundsätzlich ja, wenn für die Übermittlung eine Rechtsgrundlage besteht, etwa ein Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln. Zusätzlich brauchen Sie einen Auftragsverarbeitungsvertrag mit dem Anbieter.
Wie schnell muss ich eine Auskunftsanfrage beantworten?
Grundsätzlich innerhalb eines Monats nach Eingang der Anfrage. In komplexen Fällen kann die Frist verlängert werden, die betroffene Person muss darüber aber informiert werden.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema DSGVO (Datenschutz-Grundverordnung)
Leistung
DSGVO für KMU — rechtssicher aufstellen, Abmahnungen vermeiden
DSGVO für KMU: Abmahnschutz, anwaltlich geprüfte Rechtstexte und Datenschutzbeauftragter über unsere Partner-Kanzlei. Technische Umsetzung ab 490 € netto.
Zur Leistung →Im Shop
DSGVO- & Rechtssicherheits-Setup
DSGVO & Rechtssicherheit umsetzen: Rechtstexte einbinden, Consent/Cookie, Verarbeitungsverzeichnis & TOM bis zur Komplett-Umsetzung mit Audit und Schulung. Ab 890 € netto einmalig – laufende Pflege …
890,00 € – 2.400,00 €Preisspanne: 890,00 € bis 2.400,00 € zzgl. MwSt.
Zum Produkt →Weiterlesen
Verwandte Begriffe
Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
