We digitalize your business
We digitalize your business
Die Datenschutz-Grundverordnung ist seit Mai 2018 in Kraft. Seitdem hat sich viel getan: Datenschutzbehörden sind aktiver geworden, Beschwerden von Kunden oder Mitbewerbern haben zugenommen, und die Urteile, die in den vergangenen Jahren gefällt wurden, betreffen längst nicht nur Großkonzerne.
Viele kleine Betriebe haben das Thema mit einem aktualisierten Impressum und einer Datenschutzerklärung auf der Website abgehakt. Das ist ein Anfang, aber kein ausreichender Schutz. Die DSGVO betrifft nicht nur die Website, sondern alle Prozesse im Betrieb, bei denen personenbezogene Daten eine Rolle spielen.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare Person beziehen. Das klingt abstrakt, ist aber im Betriebsalltag allgegenwärtig: Name und Adresse eines Kunden, E-Mail-Adresse, Telefonnummer, Kontonummer, Bestellhistorie, aber auch Mitarbeiterdaten wie Gehaltsangaben, Krankenstand oder Bewerbungsunterlagen.
Wer also Kundendaten in einer Excel-Tabelle führt, eine CRM-Software nutzt, Bewerbungen per E-Mail empfängt oder Mitarbeiterdaten verwaltet, verarbeitet personenbezogene Daten im Sinne der DSGVO.
Eines der konkreten Dokumente, die die DSGVO fordert, ist das Verarbeitungsverzeichnis. Darin wird festgehalten, welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange die Daten aufbewahrt werden und wer dafür zuständig ist.
Viele kleine Betriebe haben dieses Dokument nicht. Dabei ist es kein bürokratisches Monster: Ein Verarbeitungsverzeichnis für einen kleinen Handwerksbetrieb oder ein Dienstleistungsunternehmen kann auf zwei bis drei Seiten passen. Wichtig ist, dass es existiert und aktuell gehalten wird.
Die DSGVO erlaubt die Verarbeitung personenbezogener Daten nur, wenn eine der definierten Rechtsgrundlagen vorliegt. Die wichtigsten für kleine Betriebe sind:
Vertragserfüllung: Daten, die zur Abwicklung eines Auftrags oder Vertrags notwendig sind, dürfen ohne gesonderte Einwilligung verarbeitet werden. Name und Adresse eines Kunden für die Rechnungsstellung gehören dazu.
Gesetzliche Pflichten: Daten, die aufgrund gesetzlicher Vorschriften aufbewahrt werden müssen, zum Beispiel Buchhaltungsunterlagen nach Handels- und Steuerrecht, dürfen entsprechend lange gespeichert werden.
Einwilligung: Für Datenverarbeitungen, die über das zur Vertragserfüllung Notwendige hinausgehen, etwa Newsletter-Versand oder Werbeanrufe, braucht man eine dokumentierte Einwilligung.
Berechtigte Interessen: Unter bestimmten Umständen kann auch ein berechtigtes Interesse des Unternehmens eine Rechtsgrundlage sein. Das ist aber kein Freifahrtschein und sollte im Einzelfall geprüft werden.
Unverschlüsselte E-Mails mit sensiblen Daten: Wer Angebote, Verträge oder Patientendaten per normaler E-Mail versendet, schickt diese Informationen im Klartext durchs Netz. Das ist technisch vergleichbar mit einer Postkarte, die jeder lesen kann. Für besonders sensible Daten sollte eine verschlüsselte Übermittlung genutzt werden.
Externe Dienstleister ohne Auftragsverarbeitungsvertrag: Wer einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, zum Beispiel einen Lohnbuchhaltungsservice, einen E-Mail-Dienstleister oder einen Cloud-Anbieter, muss mit diesem einen Auftragsverarbeitungsvertrag abschließen. Dieser Vertrag fehlt in vielen Betrieben.
Daten, die zu lang gespeichert werden: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert oder gesetzliche Aufbewahrungsfristen es verlangen. Wer Bewerbungsunterlagen von abgelehnten Kandidaten jahrelang aufbewahrt, verstößt gegen die DSGVO.
Mitarbeiter ohne Datenschutzschulungen: Die DSGVO fordert, dass Mitarbeiter, die personenbezogene Daten verarbeiten, entsprechend geschult sind. Eine kurze jährliche Unterweisung, was erlaubt ist und was nicht, reicht in vielen kleinen Betrieben aus. Wichtig ist, dass sie dokumentiert wird.
Jede Person, deren Daten verarbeitet werden, hat bestimmte Rechte: Auskunft über die gespeicherten Daten, Berichtigung falscher Daten, Löschung unter bestimmten Umständen, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen bestimmte Verarbeitungen.
Wenn ein Kunde diese Rechte geltend macht, muss der Betrieb in der Regel innerhalb eines Monats antworten. Wer auf solche Anfragen nicht reagiert, riskiert eine Beschwerde bei der Datenschutzbehörde.
Wenn personenbezogene Daten unbefugt offengelegt, verloren oder gestohlen werden, etwa durch einen Hackerangriff, einen verlorenen Laptop oder eine versehentlich falsch adressierte E-Mail, liegt möglicherweise ein meldepflichtiger Vorfall vor.
Die DSGVO fordert in solchen Fällen eine Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden. Ob eine Meldung notwendig ist, hängt davon ab, ob der Vorfall voraussichtlich ein Risiko für die betroffenen Personen darstellt. Im Zweifel ist melden besser als nicht melden.
Wer nicht weiß, wo anfangen: Zunächst eine kurze Bestandsaufnahme, welche Daten im Betrieb verarbeitet werden und wie. Dann das Verarbeitungsverzeichnis erstellen. Anschließend prüfen, ob alle externen Dienstleister, die mit Daten arbeiten, einen Auftragsverarbeitungsvertrag haben. Und sicherstellen, dass Mitarbeiter wissen, was im Umgang mit Kundendaten erlaubt ist.
Das ist kein Projekt, das Monate dauert. Für einen kleinen Betrieb ist es oft ein Thema von wenigen Arbeitstagen, wenn man weiß, was zu tun ist.
Die häufigste Aussage, wenn wir das Thema ansprechen: "Wir sind doch zu klein, das betrifft uns nicht." Das stimmt nicht. Die DSGVO gilt unabhängig von der Unternehmensgröße. Was variiert, sind die Risiken und der Aufwand für die Umsetzung.
Für Betriebe aus Daun, Gerolstein, Mayen und der Region helfen wir dabei, die technische Seite des Datenschutzes sauber aufzusetzen: verschlüsselte Kommunikation, sichere Dateiablage, Zugriffsrechte. Mehr zu unserem Angebot: IT-Beratung und Digitalisierung.
Jetzt kostenloses Erstgespräch vereinbaren
Vereinbaren Sie ein kostenloses Erstgespräch. Wir schauen uns Ihre Situation an und geben eine ehrliche Einschätzung.
Jetzt Termin vereinbaren
📍 Auf der Jeich 8, 56769 Retterath
📞 +49 (0) 2657 3999 833
✉️ hallo [at] godigitalize [dot] me
