DSGVO im Unternehmen

Die Datenschutz-Grundverordnung (DSGVO) gilt für praktisch jedes Unternehmen, das personenbezogene Daten verarbeitet – von der Kundenliste über Bewerbungen bis zur Lohnabrechnung. Sie schreibt keine Technik vor, sondern verlangt einen nachvollziehbaren, dokumentierten Umgang mit Daten. Dieser Guide fasst die Pflichten zusammen, die für den Mittelstand am häufigsten relevant sind.

Was die DSGVO von Unternehmen verlangt

Im Kern verlangt die DSGVO dreierlei: Daten nur für klar definierte Zwecke und auf einer gültigen Rechtsgrundlage zu verarbeiten, angemessen zu schützen und den Umgang jederzeit nachweisen zu können. Dieser Nachweis – die Rechenschaftspflicht (Art. 5 Abs. 2) – ist der rote Faden: Wer Datenschutz nicht dokumentiert, kann ihn im Zweifel gegenüber der Aufsichtsbehörde nicht belegen.

Die sechs Grundsätze der Datenverarbeitung (Art. 5)

Jede Verarbeitung muss diesen Grundsätzen genügen:

• Rechtmäßigkeit, Treu und Glauben, Transparenz – nachvollziehbar und auf gültiger Grundlage.
• Zweckbindung – Daten nur für den Zweck, für den sie erhoben wurden.
• Datenminimierung – nur so viele Daten wie nötig.
• Richtigkeit – Daten aktuell und korrekt halten.
• Speicherbegrenzung – nicht länger speichern als erforderlich.
• Integrität und Vertraulichkeit – angemessen gegen Verlust und Zugriff schützen.

Ergänzt werden sie durch die bereits genannte Rechenschaftspflicht.

Auf welcher Rechtsgrundlage dürfen Sie Daten verarbeiten? (Art. 6)

Ohne Rechtsgrundlage ist jede Verarbeitung unzulässig. In Betracht kommen vor allem: Einwilligung der betroffenen Person, Vertragserfüllung (z. B. Bestellabwicklung), rechtliche Verpflichtung (z. B. steuerliche Aufbewahrung) und das berechtigte Interesse des Unternehmens, sofern die Interessen der Betroffenen nicht überwiegen. Welche Grundlage gilt, sollten Sie je Verarbeitung festlegen und dokumentieren.

Brauchen Sie einen Datenschutzbeauftragten?

In Deutschland ist ein Datenschutzbeauftragter (DSB) in der Regel Pflicht, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Beschäftigtenzahl greift die Pflicht, wenn die Kerntätigkeit in umfangreicher regelmäßiger Überwachung besteht oder besondere Datenkategorien (z. B. Gesundheitsdaten) verarbeitet werden (Art. 37 DSGVO). Der DSB kann intern benannt oder – häufig effizienter – extern bestellt werden.

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30)

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die zentrale Bestandsaufnahme: Es hält fest, welche Daten Sie zu welchem Zweck, auf welcher Grundlage, wie lange und mit welchen Empfängern verarbeiten. Die Erleichterung für Unternehmen unter 250 Beschäftigten greift nur, wenn die Verarbeitung zugleich risikoarm, nur gelegentlich und ohne besondere Datenkategorien erfolgt – in der Praxis benötigt daher fast jedes Unternehmen ein VVT. Es ist zugleich das wichtigste Werkzeug, um die Rechenschaftspflicht zu erfüllen.

Technische und organisatorische Maßnahmen – TOMs (Art. 32)

Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau. Dazu gehören technische Maßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffsschutz, Back-ups) ebenso wie organisatorische (Berechtigungskonzepte, Schulungen, Vertretungsregeln, Löschkonzepte). Entscheidend ist nicht die einzelne Maßnahme, sondern dass Sie Risiken bewertet, passende Maßnahmen gewählt und deren Wirksamkeit regelmäßig überprüft haben – und das belegen können.

Die Rechte der Betroffenen (Art. 15–22)

Personen, deren Daten Sie verarbeiten, haben insbesondere Anspruch auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Auf einen Antrag müssen Sie grundsätzlich innerhalb eines Monats reagieren. Ein definierter Prozess für solche Anfragen verhindert Fristversäumnisse und Beschwerden.

Datenpanne: die 72-Stunden-Meldefrist (Art. 33)

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten – etwa einem Hackerangriff, einer Fehlversendung oder einem verlorenen Laptop – müssen Sie dies der zuständigen Aufsichtsbehörde unverzüglich, spätestens binnen 72 Stunden nach Bekanntwerden melden (Art. 33), sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34). Wichtig ist eine vorbereitete Meldekette, damit die Frist im Ernstfall hält.

Was bei Verstößen droht (Art. 83)

Bei schweren Verstößen drohen Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Neben dem Bußgeld wiegen Reputationsschäden und Auskunftsansprüche oft schwerer. Die gute Nachricht: Wer Datenschutz dokumentiert und ernst nimmt, senkt beides deutlich.

In 5 Schritten DSGVO-konform

1. Bestandsaufnahme: Verarbeitungen erfassen und ein Verzeichnis (VVT) anlegen.
2. Rechtsgrundlagen klären: je Verarbeitung Zweck und Grundlage festlegen.
3. Schutz umsetzen: passende TOMs auswählen und dokumentieren.
4. Prozesse etablieren: Betroffenenrechte und Datenpannen-Meldung vorbereiten.
5. Zuständigkeit sichern: DSB benennen (falls nötig) und Team schulen.

Häufige Fragen

Ab wann braucht mein Unternehmen einen Datenschutzbeauftragten?

In Deutschland ist ein Datenschutzbeauftragter in der Regel Pflicht, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Zahl ist er zudem Pflicht, wenn die Kerntätigkeit in umfangreicher regelmäßiger Überwachung besteht oder besondere Datenkategorien verarbeitet werden (Art. 37 DSGVO).

Muss auch ein kleines Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten führen?

Grundsätzlich ja. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) greift nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Da diese Bedingungen kumulativ gelten und selten alle erfüllt sind, benötigen in der Praxis fast alle Unternehmen ein Verzeichnis.

Wie lange habe ich Zeit, eine Datenpanne zu melden?

Eine meldepflichtige Verletzung des Schutzes personenbezogener Daten müssen Sie der zuständigen Aufsichtsbehörde unverzüglich, spätestens aber binnen 72 Stunden nach Bekanntwerden melden (Art. 33 DSGVO). Besteht ein hohes Risiko für die Betroffenen, sind zusätzlich diese zu benachrichtigen (Art. 34 DSGVO).

Wie hoch können DSGVO-Bußgelder ausfallen?

Bei schweren Verstößen drohen Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher ist (Art. 83 DSGVO).

Was sind technische und organisatorische Maßnahmen (TOMs)?

TOMs sind die konkreten Schutzmaßnahmen, mit denen Sie ein dem Risiko angemessenes Sicherheitsniveau gewährleisten (Art. 32 DSGVO) – etwa Zugriffs- und Berechtigungskonzepte, Verschlüsselung, Pseudonymisierung, Back-up- und Wiederherstellungsprozesse sowie regelmäßige Überprüfung ihrer Wirksamkeit.