DSGVO-Grundlagen für KMU: Verarbeitungsverzeichnis, TOM und praktische Umsetzung

Die DSGVO ist nicht nur für Tech-Giganten. Jedes Unternehmen, das Kundennamen, E-Mail-Adressen, Telefonnummern oder Zahlungsdetails sammelt, muss konform sein. Das umfasst auch dein KMU mit 5 Personen. Verstöße ziehen Bußgelder von bis zu 20 Millionen Euro oder 4 % des jährlichen Umsatzes nach sich — je nachdem, was höher ist. Bei einem Unternehmen mit 10 Millionen Euro Umsatz sind das 400.000 Euro Strafe. Selbst ein Startup mit 1 Million Euro Umsatz riskiert 40.000 Euro.

Dieser Leitfaden zerlegt die DSGVO in umsetzbare Schritte. Du lernst, welche personenbezogenen Daten du legal verarbeiten darfst, wie du das dokumentierst (Verarbeitungsverzeichnis), welche technischen Schutzmaßnahmen (TOM) du umsetzen musst und wie du reagierst, wenn etwas schiefläuft. Am Ende hast du eine praktische Roadmap zur Konformität.

Wer muss die DSGVO einhalten?

Einfache Antwort: Jeder, der personenbezogene Daten verarbeitet. Das ist jedes Unternehmen. Du musst kein globaler Konzern sein. Verarbeitung umfasst:

• Erfassen von Kunden-E-Mail-Adressen für Newsletter oder Bestellbestätigungen
• Speichern von Mitarbeitertelefonnummern in einer Kontaktliste
• Verarbeiten von Kunden-IP-Adressen über Google Analytics
• Führen von Buchhaltungsunterlagen mit Kundennamen und Adressen
• Aufzeichnen von Verkaufstransaktionen mit Zahlungsdetails
• Speichern von Kundenfeedback oder Support-Tickets
• Einsatz von Videoüberwachung (CCTV) mit aufgezeichneten Gesichtern

Die 6 Rechtsgrundlagen für die Verarbeitung (Artikel 6 DSGVO)

Du darfst personenbezogene Daten nicht beliebig verarbeiten. Artikel 6 DSGVO listet genau 6 Szenarien auf, in denen Verarbeitung legal ist. Mindestens eines muss zutreffen.

1. Einwilligung

Die Person erklärt sich ausdrücklich einverstanden. Die Einwilligung muss sein:

• Freiwillig: Nicht erzwungen. Nicht „Stimme zu, oder wir verkaufen dir nichts.“
• Spezifisch: Klar, welche Daten und für welchen Zweck.
• Informiert: Die Person versteht, wozu sie zustimmt.
• Unmissverständlich: Eine bejahende Handlung ist erforderlich. Vorausgewählte Kästchen sind unzulässig.

Beispiel: Newsletter-Anmeldung mit dem Kontrollkästchen „Ich möchte Marketing-E-Mails erhalten“ (standardmäßig nicht angekreuzt). Die Person muss es aktiv ankreuzen.

2. Vertrag (Vertragserfüllung)

Die Verarbeitung ist notwendig, um einen Vertrag mit der Person zu erfüllen. Beispiele: Verarbeitung der Kundenadresse, um eine Bestellung zu versenden; Speicherung von Zahlungsdetails, um Dienste abzurechnen.

Dies ist die einfachste Rechtsgrundlage für E-Commerce- und SaaS-Unternehmen.

3. Rechtliche Verpflichtung

Du bist gesetzlich verpflichtet, die Daten zu verarbeiten. Beispiele: Aufbewahrung von Rechnungen nach deutschem Steuerrecht (GoBD verlangt 10 Jahre), Führen von Arbeitnehmerunterlagen, Meldung verdächtiger Transaktionen zur Geldwäschebekämpfung (AML).

4. Lebenswichtige Interessen

Die Verarbeitung ist notwendig, um Leben oder Gesundheit zu schützen. Beispiel: Verwendung von Krankenakten in einem Krankenhaus. Trifft auf KMU selten zu.

5. Wahrnehmung von Aufgaben im öffentlichen Interesse

Die Verarbeitung ist für eine öffentliche Aufgabe notwendig. Gilt hauptsächlich für Regierungen und öffentliche Einrichtungen, nicht für private Unternehmen.

6. Berechtigte Interessen

Die Verarbeitung dient deinen berechtigten Geschäftsinteressen, sofern nicht die Rechte der betroffenen Person überwiegen. Das ist heikel und hängt vom Einzelfall ab.

Beispiel für ein berechtigtes Interesse: Verarbeitung von Kundenverhaltensdaten, um die UX deiner Website zu verbessern. Du hast ein berechtigtes Interesse an UX-Optimierung, und Kunden haben kein starkes Gegeninteresse.

Beispiel für KEIN berechtigtes Interesse: Verkauf von Kunden-E-Mails an Konkurrenten. Du hast ein Interesse, aber Kunden erwarten klar, dass ihre Daten nicht weitergegeben werden.

Verarbeitungsverzeichnis (VVT)

Artikel 30 DSGVO verlangt von dir ein Verarbeitungsverzeichnis, wenn du:

• 250+ Mitarbeiter hast, ODER
• personenbezogene Daten als Kerngeschäftsaktivität verarbeitest (z. B. als Datenverarbeiter, Marketingagentur, HR-Beratung), ODER
• Daten „in großem Maßstab“ verarbeitest

Praktisch? Fast alle KMU sollten ein VVT führen, weil die meisten Daten in großem Maßstab verarbeiten (z. B. Kundenverzeichnis, Mitarbeiterdaten, Website-Analytics).

Was geht in das VVT:

Du brauchst keine schicke Vorlage. Eine Google-Sheets- oder Excel-Liste mit diesen Spalten reicht aus. Halte sie aktuell, wenn sich deine Datenpraktiken ändern.

Technische und organisatorische Maßnahmen (TOM)

Artikel 32 DSGVO verlangt von dir, angemessene Sicherheitsmaßnahmen zu treffen, um personenbezogene Daten zu schützen. „Angemessen“ bedeutet verhältnismäßig zum Risiko. Ein Solo-Berater mit E-Mail braucht keine Verschlüsselung auf Bankniveau, aber ein Gesundheitsunternehmen schon.

Wesentliche TOM für die meisten KMU:

• Verschlüsselung: Alle sensiblen Daten (Passwörter, Zahlungsdetails) müssen bei der Übertragung (HTTPS) und im Ruhezustand (verschlüsselte Datenbanken) verschlüsselt sein.
• Zugriffskontrolle: Nur autorisierte Mitarbeiter können auf personenbezogene Daten zugreifen. Nutze rollenbasierten Zugriff (z. B. nur das Finanzteam sieht Zahlungsdetails).
• Authentifizierung: Starke Passwörter, Multi-Faktor-Authentifizierung (MFA) für sensible Systeme.
• Datensicherung: Regelmäßige, automatisierte Sicherung kritischer Daten, getestete Wiederherstellungsverfahren.
• Pseudonymisierung: Soweit möglich, nutze anonymisierte Daten (z. B. in Analytics, Identifikatoren entfernen).
• Mitarbeiterschulung: Alle Mitarbeiter, die mit personenbezogenen Daten umgehen, müssen die DSGVO-Grundlagen verstehen. Dokumentiere, dass du sie geschult hast.
• Datenminimierung: Erhebe nur Daten, die du wirklich brauchst. Lösche sie, wenn sie nicht mehr nötig sind.
• Reaktionsplan für Datenpannen: Schriftliches Verfahren für Datenpannen (siehe unten).

Verweise in deinem VVT auf deine TOM. Vermerke für jede Verarbeitungstätigkeit, welche Maßnahmen zutreffen.

Datenschutzbeauftragter (DSB) — Wenn erforderlich

Du brauchst einen Datenschutzbeauftragten, wenn du:

• eine Behörde bist (normalerweise obligatorisch)
• 220+ Mitarbeiter hast, die regelmäßig Daten verarbeiten (Deutschland wendet die DSGVO strenger an als das EU-Recht)
• Daten als Kerngeschäft verarbeitest (Datenhändler, Auftragsverarbeiter)

Die meisten KMU brauchen keinen Vollzeit-Datenschutzbeauftragten. Aber einige sollten jemanden (auch in Teilzeit) für die DSGVO-Konformität benennen — oft die HR- oder Finanzleitung.

Datenverarbeitungsvereinbarungen (Auftragsverarbeitung / AVV)

Wenn du externe Dienstleister einsetzt, die personenbezogene Daten verarbeiten (Cloud-Speicher, SaaS-Tools, Marketingagenturen, Lohnabrechnungsdienstleister), musst du eine Datenverarbeitungsvereinbarung (AVV) haben.

Beispiele, wo du eine AVV brauchst:

• Du nutzt Salesforce, um Kundendaten zu speichern
• Du nutzt Google Analytics, um Websitebesucher zu tracken
• Du nutzt HubSpot für E-Mail-Marketing
• Du nutzt einen Lohnabrechnungsdienstleister (Lexware, Sage usw.), um Mitarbeiterdaten zu verarbeiten
• Du nutzt Dropbox oder Google Drive, um Kundendateien zu speichern
• Du nutzt einen E-Mail-Dienst (Brevo, Klaviyo) für Newsletter

Die AVV legt fest, dass der Auftragsverarbeiter (Dienstleister) Daten nur auf deine Anweisung verarbeiten darf, Sicherheitsmaßnahmen umsetzen muss und Daten nicht ohne Erlaubnis an Dritte weitergeben darf.

Siehe unseren detaillierten Leitfaden auf /blog/auftragsverarbeitung-avv-dsgvo-guide, um AVVs zu verhandeln.

Benachrichtigung bei Datenpannen

Eine Panne = unbefugter Zugriff auf, Offenlegung oder Verlust von personenbezogenen Daten. Beispiele: gehacktes Kundenverzeichnis, gestohlener Mitarbeiterlaptop mit unverschlüsselten Dateien, versehentlich an den falschen Empfänger gesendete E-Mail.

Deine Verpflichtungen:

• Benachrichtige die Behörde (Aufsichtsbehörde): Innerhalb von 72 Stunden, nachdem du von der Panne erfahren hast. Kontaktiere die Datenschutzbehörde deines Bundeslandes (z. B. die baden-württembergische Datenschutzbehörde, wenn du in Baden-Württemberg sitzt).
• Benachrichtige betroffene Personen: Ohne unangemessene Verzögerung, wenn die Panne ein hohes Risiko für ihren Datenschutz darstellt. Beispiel: Kreditkartendaten gestohlen, auf jeden Fall benachrichtigen. Auf anonyme Daten zugegriffen, wahrscheinlich nicht nötig.
• Alles dokumentieren: Halte fest, was passiert ist, wann du es erfahren hast und was du getan hast.

Wichtig: Die Benachrichtigung der Behörden ist obligatorisch und automatisch. Du kannst dich dem nicht durch „stillen Umgang“ entziehen.

Rechte der Betroffenen (Betroffenenrechte)

Personen haben 8 Hauptrechte. Du musst Anfragen innerhalb von 30 Tagen bearbeiten (verlängerbar auf 90 Tage, wenn komplex).

• Auskunftsrecht: „Welche Daten hast du über mich?“ Du musst eine Kopie aller personenbezogenen Daten herausgeben, die du hältst.
• Berichtigungsrecht: „Korrigiere meine Adresse; sie ist falsch.“ Du musst falsche Daten aktualisieren.
• Recht auf Löschung / Recht auf Vergessenwerden: „Lösche meine Daten.“ Du musst sie löschen, außer du hast einen Rechtsgrund, sie zu behalten (z. B. Steuerrecht).
• Recht auf Einschränkung der Verarbeitung: „Nutze meine Daten nicht, bis du es korrigiert hast.“ Du pausierst die Verarbeitung, behältst aber die Daten.
• Recht auf Datenübertragbarkeit: „Gib mir meine Daten in einem portablen Format (CSV, JSON).“ Gilt, wenn du die Verarbeitung auf Einwilligung oder Vertrag gegründet hast.
• Widerspruchsrecht: „Höre auf, meine Daten für Marketing zu verarbeiten.“ Du musst aufhören (außer du hast einen Rechtsgrund wie eine rechtliche Verpflichtung).
• Recht auf Widerruf der Einwilligung: Wenn die Einwilligung die Rechtsgrundlage war, können sie sie jederzeit widerrufen. Du musst die Verarbeitung einstellen.
• Rechte bezüglich automatisierter Entscheidungsfindung: Wenn du KI/Algorithmen verwendest, um Entscheidungen über sie zu treffen (z. B. Kreditgenehmigung), haben sie Rechte auf Erklärung und menschliche Überprüfung.

Praktischer Tipp: Richte ein Verfahren zur Bearbeitung dieser Anfragen ein. Benenne eine Person als Ansprechpartner. Führe ein Verzeichnis der Anfragen und Antworten.

DSGVO-Bußgelder und Strafen

Verstöße ziehen abgestufte Bußgelder nach sich:

Wichtig: Bußgelder basieren auf dem globalen Jahresumsatz, nicht nur auf der deutschen Niederlassung. Ein Unternehmen mit 1 Milliarde Euro Umsatz zahlt 40 Millionen Euro; ein Startup mit 10 Millionen Euro Umsatz zahlt 400.000 Euro.

Anforderungen an die Datenschutzerklärung

Du musst eine Datenschutzerklärung veröffentlichen, die Folgendes beschreibt:

• Welche Daten du sammelst und warum
• Deine Rechtsgrundlage für jede Verarbeitungstätigkeit
• Wie lange du Daten aufbewahrst
• An wen du sie weitergibst (Dritte, Auftragsverarbeiter)
• Wie Personen ihre Rechte ausüben können (Zugriff, Löschung, Widerspruch)
• Kontaktinformationen zur Ausübung der Rechte
• Kontakt deines Datenschutzbeauftragten (falls du einen hast)
• Informationen über automatisierte Entscheidungsfindung / Profiling

Platziere die Datenschutzerklärung auf deiner Website, in E-Mail-Anmeldeformularen und in der App. Mache sie lesbar und zugänglich (nicht im Kleingedruckten versteckt).

Cookie-Einwilligung & Website-Tracking

Tracking-Cookies sind personenbezogene Daten (sie identifizieren Geräte/Personen). Du brauchst eine Einwilligung, bevor du sie setzt.

Ausnahme: „Unbedingt erforderliche“ Cookies (für Seitenfunktionalität, Sicherheit, Lastverteilung) brauchen keine Einwilligung. Alle anderen schon.

Google Analytics: Erfordert technisch eine Einwilligung in der EU (DSGVO + ePrivacy-Richtlinie). Best Practice: Frage um Einwilligung, bevor GA geladen wird.

Tools: Nutze Cookie-Management-Plattformen (Cookiebot, OneTrust, Onetrust CMP), die Einwilligungsbanner verwalten, Einwilligungsentscheidungen verfolgen und Scripts steuern.

E-Mail-Marketing-Einwilligung

Das Senden von Marketing-E-Mails erfordert eine vorherige ausdrückliche Einwilligung (mit begrenzter Ausnahme für Bestandskunden).

Best Practice: Double-Opt-in. Die Person meldet sich an, du sendest eine Bestätigungs-E-Mail mit „Klicke hier zur Bestätigung“, und erst dann nimmst du sie in deine Liste auf. Das hält deine Liste sauber und belegt die Einwilligung.

Jede E-Mail muss enthalten: Abmeldelink, Unternehmensname, Adresse. Bearbeite Abmeldungen sofort.

Mitarbeiterdaten

Die Verarbeitung von Mitarbeiterdaten (Gehalt, Telefon, Adresse, Leistungsbeurteilungen) ist vertragsbasiert (Arbeitsvertrag = Rechtsgrund). Aber du musst trotzdem:

• Die Daten sicher speichern (verschlüsselt, Zugriff begrenzt auf HR/Management)
• Die Aufbewahrung begrenzen (z. B. Leistungsbeurteilungen nach 3 Jahren löschen, Lohnunterlagen laut Steuerrecht 10 Jahre aufbewahren)
• Mitarbeiter in deinem Mitarbeiterhandbuch über die Datenverarbeitung informieren
• Eine AVV haben, wenn du HR-Software nutzt (Personio, BambooHR usw.)
• Mitarbeitern Rechte auf Zugriff auf ihre eigenen Daten geben

10-Schritte-DSGVO-Konformitäts-Checkliste für KMU

• Schritt 1: Inventar: Liste alle Systeme/Software auf, in denen du personenbezogene Daten speicherst (CRM, E-Mail, Website, Buchhaltung, HR-System, Google Analytics, Social Media usw.). Identifiziere, welche Daten jedes sammelt.
• Schritt 2: Rechtsgrundlagen prüfen: Bestimme für jede Datensammlung, welche der 6 Rechtsgrundlagen zutrifft (Einwilligung, Vertrag, rechtliche Verpflichtung usw.). Dokumentiere es.
• Schritt 3: Verarbeitungsverzeichnis erstellen: Baue eine einfache Tabelle, die alle Datenverarbeitungstätigkeiten mit Zweck, Datenart, Aufbewahrungsdauer, Empfängern und TOM auflistet.
• Schritt 4: TOM umsetzen: Prüfe deine technische Sicherheit. Stelle Verschlüsselung (HTTPS, verschlüsselte Datenbanken), Zugriffskontrolle, MFA für sensible Systeme, Datensicherung und Mitarbeiterschulung sicher.
• Schritt 5: Auftragsverarbeitungsverträge (AVV) unterzeichnen: Kontaktiere alle SaaS-Anbieter, fordere ihre AVV an und unterschreibe sie. Dokumentiere die Konformität.
• Schritt 6: Datenschutzerklärung: Schreibe oder aktualisiere deine Datenschutzerklärung. Beschreibe alle Datensammlungen, Rechtsgrundlagen, Aufbewahrung und individuelle Rechte.
• Schritt 7: Cookie-Einwilligung: Installiere eine Cookie-Management-Plattform (Cookiebot, OneTrust) und hole die Einwilligung ein, bevor Tracking-Cookies gesetzt werden.
• Schritt 8: Prozess für Betroffenenrechte: Richte ein einfaches Formular bzw. eine E-Mail-Adresse ein, über die Personen Auskunft, Löschung oder Berichtigung ihrer Daten beantragen können. Dokumentiere die Antworten.
• Schritt 9: Reaktionsplan für Pannen: Schreibe ein Verfahren zur Reaktion auf Datenpannen. Lege fest, wen du benachrichtigen musst (Aufsichtsbehörde), welche Fristen gelten (72 Stunden) und welche Dokumentation du aufbewahren musst.
• Schritt 10: Mitarbeiterschulung: Führe eine DSGVO-Basisschulung mit allen Mitarbeitern durch, die personenbezogene Daten verarbeiten. Dokumentiere, dass sie stattgefunden hat. Wiederhole sie jährlich.

Schrems II und die Auswirkungen auf US-Cloud-Dienstleister

Das Schrems-II-Urteil (Juli 2020) hat den Privacy-Shield-Rahmen für Datenübertragungen von der EU in die USA für ungültig erklärt. Das betrifft AWS, Azure, Google Cloud, Salesforce, HubSpot — alle US-basierten Anbieter.

Anforderung: Wenn du US-Cloud-Dienstleister nutzt, musst du eine Ergänzung mit Standardvertragsklauseln (SCC) mit ausdrücklichen Sicherheitsgarantien unterschreiben. Die meisten seriösen Anbieter (AWS, Salesforce, Azure) enthalten jetzt SCCs.

Alternative: Nutze EU-basierte Anbieter (Hetzner, IONOS, OVH für Hosting; Lexoffice, DATEV für Buchhaltung). So bleiben die Daten in der EU.

Praktische Ressourcen für KMU

• Datenschutzkonferenz (DSK): Deutsche Datenschutzbehörden. Kostenlose Anleitungen auf https://www.datenschutzkonferenz-online.de
• Bundesbeauftragter für den Datenschutz (BfDI): Datenschutzbeauftragter des Bundes. Ausgezeichnete Vorlagen und FAQs auf https://www.bfdi.bund.de
• Landesdatenschutzbehörden: Jedes deutsche Bundesland hat eine Datenschutzbehörde. Finde deine über die BfDI-Website.
• DSGVO-Dokumentationsvorlagen: Kostenlose Vorlagen für VVT, Datenschutzerklärung, AVV von GDPR.eu oder der Datenschutzbehörde deines Bundeslandes.
• Tools: Cookiebot (Cookie-Einwilligung), Termly (Generator für Datenschutzerklärungen), Personio (HR mit enthaltener AVV)

Verbindung zu GoBD und Buchhaltung

Das deutsche Steuerrecht (GoBD) verlangt, Rechnungen und Buchführungsunterlagen 10 Jahre lang mit Metadaten (Datum, Betrag, Parteien) aufzubewahren. Dies ist eine rechtliche Verpflichtung als Rechtsgrundlage nach Artikel 6(1)(c) DSGVO. Dein Buchhalter/das Finanzamt ist Empfänger dieser Daten. Stelle sicher, dass deine Buchhaltungssoftware eine AVV oder zumindest eine Datenverarbeitungsbestimmung hat.

Wann du Hilfe holen solltest

Wenn du nur grundlegende Kundendaten (Namen, E-Mails) für ein einfaches Geschäft verarbeitest, bringt dich die 10-Schritte-Checkliste oben zu 80 % zur Konformität. Aber erwäge, eine DSGVO-Beratung einzuschalten, wenn du:

• sensible Daten verarbeitest (Gesundheit, Zahlungsdetails, Kinderdaten)
• komplexe KI/Algorithmen für Entscheidungsfindung einsetzt
• internationale Kunden hast (die DSGVO gilt global)
• kürzlich eine Datenpanne hattest
• in einer stark regulierten Branche tätig bist (Fintech, Gesundheitswesen)
• 100+ Mitarbeiter hast

Eine DSGVO-Beratung kostet 2.000-10.000 Euro für ein vollständiges Audit und einen Umsetzungsplan — teuer, aber viel billiger als ein Bußgeld von 100.000+ Euro.

Letzter Gedanke

Die DSGVO soll Unternehmen nicht zerstören; sie soll die Privatsphäre von Personen schützen. Wenn du transparent über die Datensammlung bist, angemessene Sicherheit umsetzt, die Rechte der Leute respektierst und deine Entscheidungen dokumentierst, wirst du konform sein. Beginne heute mit der 10-Schritte-Checkliste und bleibe konsequent.