Datenschutzpflichten im Kleinbetrieb zuordnen und dokumentieren

Das Wichtigste auf einen Blick

• Jeder Betrieb, der personenbezogene Daten verarbeitet, ist verantwortlich, unabhängig von seiner Größe.
• Pflichten richten sich nach Art, Umfang und Zweck der Verarbeitung; feste Schwellen gelten nur für einzelne Pflichten.
• Ein Datenschutzbeauftragter ist unter anderem in der Regel ab 20 ständig befassten Personen Pflicht.
• Verstöße können Geldbußen und eine Gewerbeuntersagung auslösen.

Welche Grundpflichten gelten für jeden Betrieb

Sobald Sie personenbezogene Daten wie Kundennamen, E-Mail-Adressen oder Personalakten verarbeiten, tragen Sie Verantwortung. Eine Mindestgröße kennt das Datenschutzrecht nicht. Die IHK Berlin stellt klar, dass Sie Ihr Gewerbe nur im Rahmen der geltenden Rechtsvorschriften ausüben dürfen. Die Nichteinhaltung öffentlicher Pflichten kann eine Geldbuße des Ordnungsamts oder ein Verfahren zur Gewerbeuntersagung auslösen (Gewerbeausübung nach der Anmeldung).

Praktisch stehen vier Aufgaben im Vordergrund. Erstens: eine Rechtsgrundlage für jede Verarbeitung (Art. 6 DSGVO). Zweitens: Information der Betroffenen bei der Erhebung (Art. 13 und 14). Drittens: Speicherbegrenzung und Löschfristen. Viertens: angemessene Sicherheit durch technische und organisatorische Maßnahmen. Die Grundsätze der Verarbeitung und die Rechenschaftspflicht stehen in Art. 5 DSGVO.

Ein häufiger Irrtum: Datenschutz betrifft nicht nur digitale Daten. Auch ausgedruckte Kundenlisten und Aktenordner mit Adressen fallen darunter. Die Anforderungen richten sich nach dem Risiko, nicht nach dem Speichermedium.

Verzeichnis von Verarbeitungstätigkeiten als Basis

Das Verzeichnis von Verarbeitungstätigkeiten ist die zentrale Dokumentation Ihrer Verarbeitung (Art. 30 DSGVO). Darin stehen Zweck, Datenkategorien, Empfänger und Speicherdauer jeder Verarbeitung. Betriebe mit weniger als 250 Mitarbeitern müssen nach Art. 30 Abs. 5 DSGVO nur dann kein Verzeichnis führen, wenn die Verarbeitung nur gelegentlich erfolgt, kein Risiko für die Rechte und Freiheiten der Betroffenen birgt und keine Daten nach Art. 9 Abs. 1 oder Art. 10 umfasst.

Für kleine Betriebe bleibt das Verzeichnis überschaubar. Ein Handwerksbetrieb mit Kundenverwaltung, Lohnbuchhaltung und Website-Kontaktformular kommt mit wenigen Einträgen aus. Prüfen Sie es einmal jährlich und tragen Sie Änderungen nach.

Prüfen Sie, ob Ihre Kammer kostenlose Vorlagen anbietet; sie ersetzen keine Rechtsberatung.

Wann ein Datenschutzbeauftragter nötig ist

Ein betrieblicher Datenschutzbeauftragter ist nicht automatisch Pflicht. Nach § 38 Abs. 1 BDSG ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl gilt die Pflicht auch bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei geschäftsmäßiger Verarbeitung zum Zweck der Übermittlung oder für Markt- und Meinungsforschung (§ 38 BDSG). Ergänzende Benennungsgründe nennt Art. 37 DSGVO.

Nach dem Wortlaut zählen Personen, nicht Vollzeitäquivalente. Wer nur gelegentlich Daten einträgt, zählt in der Regel nicht mit. Eine dokumentierte Prüfung belegt Ihre Einschätzung später.

Ein Rechenbeispiel zeigt die Schwelle. Ein Architekturbüro mit acht Beschäftigten, die Kundendaten in einem CRM pflegen, liegt unter 20. Das ist eine Beispielrechnung, keine Rechtsberatung; prüfen Sie die Tätigkeiten einzeln.

Betroffenenrechte und Ihre Antwortpflichten

Betroffene haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Die Antwort ist unverzüglich, spätestens binnen eines Monats zu erteilen; bei komplexen oder zahlreichen Anträgen kann die Frist um zwei Monate verlängert werden, worüber Sie innerhalb eines Monats informieren müssen (Datenschutz-Grundverordnung, EUR-Lex). Wer eine Anfrage liegen lässt, riskiert eine Beschwerde bei der Aufsichtsbehörde.

Für kleine Betriebe empfiehlt sich ein einfacher Ablauf. Notieren Sie jede Anfrage mit Datum und prüfen Sie die Identität der anfragenden Person. Ein vorbereitetes Antwortschreiben spart Zeit und verhindert Formfehler.

Auskunftsrechte kollidieren häufig mit Aufbewahrungspflichten. Handelsrechtliche oder steuerliche Fristen können eine Löschung sperren. Dokumentieren Sie dann, warum Sie die Daten behalten.

Meldepflichten bei Datenschutzverstößen und Bußgeldrahmen

Ein Datenschutzverstoß mit Risiko für Betroffene ist in der Regel binnen 72 Stunden bei der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen (Art. 34 DSGVO). Unabhängig von einer Meldung müssen Sie jeden Verstoß intern dokumentieren, etwa mit Vorfall, Datum und Maßnahmen.

Für die schwersten Verstöße stehen die Obergrenzen in Art. 83 Abs. 5 DSGVO: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. In der Praxis zählen Schwere, Dauer und Vorsatz oder Fahrlässigkeit.

Nicht jede Panne erfordert eine Meldung. Sie müssen aber begründen können, warum Sie davon absehen, und dies schriftlich festhalten.

Häufige Fragen

Muss ich als Einzelunternehmer ohne Angestellte die DSGVO beachten?

Ja. Entscheidend ist, ob Sie personenbezogene Daten verarbeiten. Das gilt für Kundenadressen genauso wie für Bewerberdaten.

Reicht eine Einwilligung meiner Kunden für alles?

Nein. Eine Einwilligung ist nur eine mögliche Rechtsgrundlage. Für Vertragsdurchführung und gesetzliche Pflichten brauchen Sie sie oft nicht, und sie muss freiwillig, informiert und widerrufbar sein.

Wann brauche ich einen Datenschutzbeauftragten?

Unter anderem, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind oder wenn Sie in Ihrer Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen durchführen. Die Schwelle steht in § 38 BDSG, die Überwachung in Art. 37 DSGVO. Prüfen und dokumentieren Sie das Ergebnis für Ihren Betrieb.