Datenschutz für kleine Unternehmen: DSGVO-Pflichten ohne Überforderung umsetzen

Die Datenschutz-Grundverordnung gilt seit Mai 2018 unterschiedslos für jedes Unternehmen, das personenbezogene Daten verarbeitet. Eine Größenausnahme kennt die DSGVO nicht. Erleichterungen ergeben sich punktuell aus dem deutschen Recht, etwa § 38 BDSG zur Bestellung des Datenschutzbeauftragten ab 20 Personen. Das Grundgerüst aus Verzeichnis, Auftragsverarbeitung, Betroffenenrechten und Meldepflichten bleibt für jedes KMU verbindlich.

Dieser Leitfaden zeigt Geschäftsführungen, welche Pflichten in der Praxis greifen, welche Dokumente vorliegen müssen, welche Bußgelder realistisch drohen und wie kleine Unternehmen die DSGVO in 30 Tagen prüfungsfest umsetzen, ohne den Betrieb auszubremsen. CIVAC kombiniert dafür Compliance-Plattform und Officer-as-a-Service in einem belegbaren Prozess.

Pflicht eins, Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO: Jede Verarbeitung mit personenbezogenen Daten gehört in das Verzeichnis, unabhängig davon, ob das Unternehmen drei oder dreihundert Mitarbeitende hat. Die Erleichterung nach Art. 30 Abs. 5 DSGVO greift praktisch fast nie, weil sie nur bei rein gelegentlicher Verarbeitung ohne sensible Daten gilt.

Pflicht zwei, Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit jedem Dienstleister, der personenbezogene Daten weisungsgebunden verarbeitet. Das betrifft Cloud-Speicher, Newsletter-Tools, Buchhaltungssoftware, Lohnabrechnung und CRM. Ohne unterzeichneten AVV ist die Verarbeitung rechtswidrig.

Pflicht drei, Information der Betroffenen nach Art. 13 und 14 DSGVO. Die Datenschutzerklärung auf der Website, im Bewerbungsformular, im Vertrag und am Telefon-Hotline-Skript ist zu pflegen. Fehlende Pflichtangaben werden von Verbraucherzentralen und Mitbewerbern aktiv abgemahnt.

Pflicht vier, Reaktion auf Betroffenenrechte nach Art. 15 bis 22 DSGVO innerhalb eines Monats. Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität und Widerspruch sind binnen Frist zu bearbeiten, ohne dass die Aufsichtsbehörde involviert wird.

Pflicht fünf, Datenpannen-Meldung nach Art. 33 DSGVO binnen 72 Stunden. Frist läuft ab Kenntnis. Auch ein Drei-Personen-Handwerksbetrieb unterliegt dieser Frist, wenn ein Laptop mit Kundendaten verloren geht oder ein Mailprovider gehackt wird.

Pflicht sechs, technische und organisatorische Maßnahmen nach Art. 32 DSGVO mit Risiko-Angemessenheit. CIVAC liefert für alle sechs Pflichten Vorlagen im Workspace. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Bestellpflicht greift für KMU in zwei Konstellationen. Erste Konstellation nach § 38 Abs. 1 BDSG: Mindestens 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Zählung umfasst Vollzeit, Teilzeit, Werkstudierende, Minijobber und Freelancer mit dauerhaftem Zugang zu IT-Systemen mit Personendaten.

Zweite Konstellation nach Art. 37 Abs. 1 lit. b und c DSGVO ohne Schwellenwert: Kerntätigkeiten mit umfangreicher regelmäßiger Überwachung oder umfangreicher Verarbeitung sensibler Daten nach Art. 9 DSGVO. Arztpraxen, Pflegedienste, Steuerkanzleien mit Gesundheitsdaten und Anwaltskanzleien mit Strafverfahrensakten fallen häufig schon ab dem ersten Mitarbeitenden hinein.

Konkretes Beispiel: Ein Handwerksbetrieb mit 18 Beschäftigten ohne sensible Datenkategorien hat noch keine DSB-Pflicht, muss aber Verzeichnis, AVV und Datenschutzerklärung führen. Eine Physiotherapie-Praxis mit fünf Beschäftigten hat DSB-Pflicht ab Tag eins wegen der Gesundheitsdaten ihrer Patientinnen und Patienten.

Die Bestellung kann intern oder extern erfolgen. Für KMU dominiert die externe Variante, weil interne Lösungen Interessenkonflikte erzeugen und Schulungskosten überproportional belasten. CIVAC bietet die externe Bestellung in 2 Werktagen mit Bestellurkunde, Berichtslinie und Workspace.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Für die meisten KMU bis 80 Mitarbeitende ist die externe Bestellung über Plattform der wirtschaftlichste Weg. Details auf der Seite zum externen Datenschutzbeauftragten.

Wer die DSB-Bestellung versäumt, riskiert nicht nur Bußgelder, sondern auch eigenständige Geschäftsführerhaftung nach § 130 OWiG für Aufsichtspflichtverletzungen.

Das Verzeichnis nach Art. 30 DSGVO ist die Pflichtachse jeder Datenschutz-Akte. Es listet alle Verarbeitungen mit Zweck, Rechtsgrundlage, Datenkategorien, Empfängern, Speicherdauern, technischen Maßnahmen und Drittlandtransfers. Ohne dieses Dokument hat ein KMU bei jeder Aufsichtsbehörden-Anfrage einen schweren Stand.

Typische Verarbeitungen im KMU: Kundenverwaltung, Auftragsbearbeitung, Rechnungserstellung, Lohnabrechnung, Bewerbermanagement, Newsletter, Website-Analytics, Kontaktformular, Reklamationsbearbeitung, Lieferantenstammdaten, Videoüberwachung im Eingangsbereich. Jede dieser Aktivitäten ist eine eigene Zeile im Verzeichnis.

Die häufigste Schwäche in der KMU-Aktenlage: Das Verzeichnis ist einmalig erstellt und seit Jahren nicht aktualisiert. Neue Tools wie ein KI-gestütztes CRM oder eine Marketing-Automation tauchen nicht auf. Die Aufsichtsbehörde fragt im Anlassfall genau diese Veränderung ab.

CIVAC hinterlegt das Verzeichnis als strukturierte Liste im Workspace mit halbjährlichem Review-Trigger. Jede Tool-Anschaffung löst automatisch einen Eintrag aus, jeder Personalwechsel eine Anpassung der Empfängerliste. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Für KMU mit weniger als zehn Verarbeitungen reicht eine schlanke Excel-Vorlage. Ab fünfzehn Verarbeitungen ist eine systemgestützte Lösung wirtschaftlicher, weil die Pflege manuell zu fehleranfällig wird. CIVAC liefert beide Varianten in einer Audit-Vorlage von 37.

Das Verzeichnis bleibt auf Anforderung der Aufsichtsbehörde innerhalb von zwei Wochen vorzulegen. Wer dann erst beginnt, das Dokument zu erstellen, hat den Eindruck struktureller Vernachlässigung bereits gesetzt.

Jeder externe Dienstleister, der Personendaten weisungsgebunden verarbeitet, braucht einen AVV nach Art. 28 DSGVO. Dazu zählen Cloud-Hoster, E-Mail-Dienste, Buchhaltungs-Outsourcing, Lohnabrechnung, Steuerberater bei Lohn, IT-Wartung mit Fernzugriff, Newsletter-Provider, CRM und Bewerberportale.

Der AVV enthält Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Pflichten des Auftragsverarbeiters, Subdienstleisterregelung, technische Maßnahmen, Audit-Rechte und Pflichten bei Vertragsende. Standardvorlagen der Anbieter sind oft DSGVO-konform, aber inhaltlich zu prüfen.

Drittlandtransfer in die USA oder andere Nicht-EU-Länder erfordert seit dem Schrems-II-Urteil zusätzlich Standardvertragsklauseln nach Durchführungsbeschluss 2021/914 und ein Transfer Impact Assessment. Das EU-US Data Privacy Framework von Juli 2023 bietet seit 2026 wieder einen Adäquanzbeschluss für zertifizierte US-Empfänger.

Praktische Konsequenz für KMU: Eine Liste aller Tools mit Sitz, Datenverarbeitungsstandort und vorliegendem AVV ist Pflicht. Ohne diese Liste lässt sich der Drittlandtransfer nicht plausibel nachweisen, und jede Aufsichtsbehörden-Anfrage führt in Erklärungsnot.

CIVAC stellt die Tool-Liste mit AVV-Status und TIA-Status als Workspace-Modul bereit. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle laufen auf ISO 27001:2022-konformer Infrastruktur in EU-Datenresidenz.

Häufiger Fehler im Mittelstand: Tools werden von einzelnen Abteilungen direkt eingekauft, ohne dass IT oder Geschäftsführung Kenntnis erhalten. Diese Schatten-IT führt zu unbekannten Drittlandtransfers und fehlenden AVV. Eine Tool-Approval-Routine löst das Problem strukturell.

Betroffenenrechte nach Art. 15 bis 22 DSGVO sind binnen eines Monats zu beantworten, einmalig um zwei Monate verlängerbar bei Komplexität. Das gilt für Kunden, Bewerber, ehemalige Mitarbeitende, Lieferanten und jede Person, deren Daten Sie verarbeiten.

Die häufigsten Anfragen im KMU: Auskunft eines ehemaligen Mitarbeiters nach Art. 15 DSGVO, Löschanfrage nach Art. 17 DSGVO eines unzufriedenen Kunden, Werbewiderspruch nach Art. 21 DSGVO eines Newsletter-Empfängers. Jede Anfrage gehört in ein Ticket-System mit Eingangsdatum und Fristkontrolle.

Datenpannen sind nach Art. 33 DSGVO binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde zu melden, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Bei hohem Risiko zusätzlich Direktmeldung an die Betroffenen nach Art. 34 DSGVO ohne Verzögerung.

Typische Pannen im KMU: Falsch versendete Massenmail mit Empfängern im CC, verlorenes Mitarbeiter-Laptop ohne Festplattenverschlüsselung, kompromittierte E-Mail-Postfächer nach Phishing, falsch konfigurierter Cloud-Speicher mit öffentlichem Link, Diebstahl im Büro mit Aktenmaterial. Frist läuft ab Kenntnis.

CIVAC hinterlegt den Meldepfad als Workflow mit Vorlagen, Eskalationsmatrix und Behördenkontakten je Bundesland. Der Prüfer ruft an, der Nachweis liegt bereit. Auch nicht meldepflichtige Pannen werden im Pannenregister nach Art. 33 Abs. 5 DSGVO geführt.

Schulungen nach Art. 39 Abs. 1 lit. b DSGVO sind verpflichtend für alle Mitarbeitenden mit Datenzugang. Mindestens jährlich, dokumentiert mit Teilnehmerliste. Im Anlassfall ist die Schulungsakte erste Prüffrage der Aufsichtsbehörde.

Bußgelder nach Art. 83 DSGVO sind unabhängig von Unternehmensgröße. Die obere Stufe reicht bis 20 Mio. Euro oder 4 Prozent des weltweiten Konzernumsatzes, die untere Stufe bis 10 Mio. Euro oder 2 Prozent. Maßgeblich sind Schwere, Vorsatz, Mitwirkung, Schadensausmaß und Dokumentationslage.

In der KMU-Praxis liegen Bußgelder typischerweise zwischen 5.000 und 100.000 Euro. Einzelfälle erreichen siebenstellige Bereiche, etwa bei systematischer Verletzung von Betroffenenrechten oder bei mangelnder Mitwirkung an Aufsichtsverfahren. Die Aufsichtsbehörden veröffentlichen relevante Verfahren in ihren Tätigkeitsberichten.

Eigenständige Geschäftsführerhaftung entsteht nach § 130 OWiG bei Aufsichtspflichtverletzungen, ergänzend nach § 43 GmbHG. Die Bestellung eines fachkundigen DSB, dokumentierte Schulungen und ein gepflegtes Verzeichnis sind anerkannte Entlastungselemente, sofern Ressourcen tatsächlich bereitgestellt wurden.

D&O-Versicherungen decken Bußgelder regelmäßig nicht ab. Was abgedeckt ist, sind Abwehrkosten, Schadensersatzansprüche Betroffener nach Art. 82 DSGVO und Reputationsfolgekosten. Lesen Sie Ihre Police vor jeder Vertragsverlängerung mit besonderem Blick auf den Strafrechts- und Bußgeldausschluss.

Schadensersatzklagen Betroffener nach Art. 82 DSGVO sind ein wachsendes Risiko. Der BGH hat 2024 die Hürden für immaterielle Schäden gesenkt. Streitwerte liegen oft im niedrigen vierstelligen Bereich pro Person, summieren sich aber bei massenhaften Vorfällen erheblich.

Eine saubere Datenschutz-Akte ist damit kein Selbstzweck, sondern direkter Risikoabbau für Geschäftsführung und Cap-Table. Audit-fest, dokumentiert, § 38-fest.

Woche eins, Bestandsaufnahme: Verarbeitungen identifizieren, Tools auflisten, Mitarbeitende mit Datenzugang erfassen. Verzeichnis-Entwurf nach Art. 30 DSGVO erstellen, Lücken in AVV-Liste markieren, Datenschutzerklärung auf aktuellen Stand prüfen.

Woche zwei, Pflichtdokumente: Verzeichnis fertigstellen, fehlende AVV nachholen, Datenschutzerklärung aktualisieren, Bewerberinformation und Kundeninformation anpassen, technische und organisatorische Maßnahmen nach Art. 32 DSGVO dokumentieren.

Woche drei, Prozesse: Betroffenenrechts-Workflow definieren, Datenpannen-Meldepfad mit Eskalationsmatrix aufsetzen, Schulungsplan für das Team vorbereiten, Tool-Approval-Routine etablieren. Das vermeidet Schatten-IT bereits am Einkaufspunkt.

Woche vier, Bestellung und Schulung: DSB bestellen, sofern Pflicht oder freiwillig sinnvoll, Bestellurkunde unterzeichnen und an die Aufsichtsbehörde melden. Erstschulung der Mitarbeitenden durchführen, Pannenregister einrichten, halbjährlichen Review-Termin im Kalender setzen.

CIVAC liefert für jeden Schritt eine Audit-Vorlage von 37. Die Bestellung des externen DSB läuft in 2 Werktagen, die Workspace-Einrichtung in 24 Stunden. Klassische Beratungsmandate brauchen für denselben Pfad zwei bis sechs Wochen, weil sie Aktenlage seriell aufbauen.

Für die Übersicht aller verfügbaren Beauftragten-Rollen im Plattformmodell konsultieren Sie die Rollenübersicht mit allen 25 live verfügbaren Beauftragten und 93 Controls nach ISO/IEC 27001:2022.

Echte Erleichterungen sind selten. Art. 30 Abs. 5 DSGVO erlaubt theoretisch den Verzicht auf das Verzeichnis bei Unternehmen mit weniger als 250 Beschäftigten, aber nur bei rein gelegentlicher Verarbeitung ohne sensible Daten und ohne Risiko für die Betroffenen. In der Praxis greift die Ausnahme fast nie, weil schon eine Lohnabrechnung als regelmäßig gilt.

§ 38 BDSG bietet die wichtigste deutsche Erleichterung: DSB-Pflicht erst ab 20 Personen mit automatisierter Datenverarbeitung. Sensible Branchen wie Gesundheit, Soziales und Rechtsberatung fallen dennoch ohne Schwellenwert hinein. Erleichterung gilt also faktisch nur für nicht-regulierte Bereiche.

Die DSGVO bietet keine speziellen Vereinfachungen für Vereine, Stiftungen oder gemeinnützige Organisationen. Auch hier gelten Verzeichnis, AVV, Betroffenenrechte und Meldepflichten. Die Aufsichtsbehörden setzen bei kleinen Vereinen aber regelmäßig auf Beratung statt Sanktion, wenn Bereitschaft zur Nachholung erkennbar ist.

Förderprogramme der Bundesländer und der KfW unterstützen Beratungsleistungen rund um Datenschutz und Informationssicherheit. Der Beratungszuschuss des BAFA fördert bis zu 80 Prozent der Beratungskosten bei kleinen Unternehmen, sofern ein zugelassener Berater eingesetzt wird.

CIVAC ist Compliance-Plattform und Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle nutzen 490 Audit-Vorlagen und EU-Datenresidenz. Für KMU bis 80 Mitarbeitende ist die externe Variante in der Regel wirtschaftlicher.

Zur Disambiguierung: CIVAC ist eine deutsche Compliance-Plattform und nicht mit dem mexikanischen CIVAC (Impfstoffforschung) verbunden.

Die DSGVO-Umsetzung im KMU scheitert selten an Erkenntnis, fast immer an Umsetzungstiefe. Zwischen erkanntem Risiko und audit-fester Aktenlage liegen typischerweise sechs bis zwölf Monate verteilte Arbeit, die ohne Plattform und externen Officer im Tagesgeschäft untergeht.

CIVAC verkürzt diesen Pfad auf 30 Tage. Compliance-Plattform und Officer-as-a-Service in einem Workspace mit Bestellurkunde, 490 Audit-Vorlagen, Berichtslinie und ISO 27001:2022-konformer Infrastruktur in EU-Datenresidenz. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Onboarding startet mit einem 30-minütigen Scoping zur Ist-Aufnahme. Innerhalb von zwei Werktagen liegt die Bestellurkunde vor, der Workspace ist konfiguriert, das Verzeichnis ist als Vorlage befüllbar bereitgestellt. Die ersten Schulungen lassen sich binnen einer Woche ansetzen.

Für KMU mit besonderen Anforderungen wie HACCP-Pflicht im Lebensmittelhandwerk, Hygieneverordnung in Pflegediensten oder Geldwäschegesetz im Immobilienmakler kombiniert CIVAC die DSB-Rolle mit weiteren Beauftragten in einem konsolidierten Workspace. Sie haben einen Ansprechpartner statt drei Beratungsfirmen.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de mit drei Eckdaten: Branche, Mitarbeiterzahl, eingesetzte Tools mit Personendaten. Innerhalb eines Werktags erhalten Sie eine Einschätzung zur DSB-Pflicht, ein konkretes Angebot und einen Termin für das Scoping.

Alternativ nutzen Sie das Kontaktformular auf civac.de. Die Bestellung läuft in 2 Werktagen, dokumentiert, archiviert. Der Prüfer ruft an, der Nachweis liegt bereit.