Datenschutz für Gründer: Was ab dem ersten Kunden gilt

Bei der Gründung denken die meisten an Geschäftsidee, Finanzierung und Gewerbeanmeldung. Der Datenschutz kommt oft erst, wenn eine Abmahnung oder ein Schreiben der Aufsichtsbehörde im Briefkasten liegt. Dabei lassen sich die wichtigsten Pflichten am Anfang mit überschaubarem Aufwand erfüllen – und später viel Ärger vermeiden.

Gilt die DSGVO auch für kleine Unternehmen?

Ja. Die Datenschutz-Grundverordnung gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig von seiner Größe. Personenbezogene Daten sind alle Angaben zu einer bestimmten Person: Name, Telefonnummer, E-Mail-Adresse, Anschrift, Bankverbindung, aber auch Fotos oder Kundennotizen. Wer Kunden, Mitarbeitende oder Interessenten hat, verarbeitet solche Daten. Die DSGVO gilt also praktisch ab dem ersten Kunden.

Jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6 DSGVO). Für Kundendaten ist das meist die Erfüllung des Vertrags. Für Werbe-Newsletter brauchen Sie dagegen in der Regel eine Einwilligung.

Ihre Website: Datenschutzerklärung und Cookies

Datenschutzerklärung: Sobald Ihre Website Daten verarbeitet – und das tut praktisch jede Website, schon durch das Hosting –, müssen Sie Besucherinnen und Besucher informieren: wer verantwortlich ist, welche Daten zu welchem Zweck verarbeitet werden, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte die Betroffenen haben (Art. 13 DSGVO). Diese Informationen gehören in eine leicht auffindbare Datenschutzerklärung.

Cookies und Tracking: Für Cookies und ähnliche Techniken, die für den Betrieb der Website nicht unbedingt erforderlich sind – etwa Analyse-, Marketing- oder Social-Media-Tools –, brauchen Sie eine vorherige Einwilligung (§ 25 TDDDG, früher TTDSG). Ein Cookie-Banner, das nur informiert, reicht dafür nicht.

Externe Dienste: Eingebundene Schriftarten, Karten, Videos oder Bewertungs-Widgets übertragen oft schon beim Seitenaufruf Daten an Dritte. Prüfen Sie, welche Dienste Ihre Website lädt, und nennen Sie sie in der Datenschutzerklärung.

Verträge mit Dienstleistern

Lassen Sie Daten von anderen Unternehmen in Ihrem Auftrag verarbeiten – etwa von Ihrem Webhoster, Newsletter-Anbieter, Cloud-Speicher oder einer Buchhaltungssoftware –, brauchen Sie mit ihnen einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Große Anbieter stellen ihn meist im Kundenkonto zum Abschluss bereit. Achten Sie besonders auf Anbieter mit Sitz außerhalb der EU.

Keinen solchen Vertrag brauchen Sie mit Ihrer Steuerberaterin oder Ihrem Steuerberater, auch nicht für Buchhaltung und Lohnabrechnung: Sie sind nach dem Steuerberatungsgesetz selbst für den Datenschutz verantwortlich.

Interne Pflichten: Verzeichnis, Sicherheit, Datenpannen

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Eine Übersicht, welche Daten Sie wofür verarbeiten. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift derzeit in der Praxis selten, weil sie nicht für regelmäßige Verarbeitungen gilt – und Kundendaten verarbeiten Sie regelmäßig. Die EU plant hier Erleichterungen für kleinere Unternehmen; ob und ab wann sie gelten, steht noch nicht fest.
• Sicherheit (Art. 32 DSGVO): Passwörter, Zugriffsrechte, Updates, Datensicherung und verschlüsselte Geräte schützen Sie und Ihre Kunden.
• Datenpannen (Art. 33 DSGVO): Geht ein Laptop verloren, wird ein Konto gehackt oder eine E-Mail an den falschen Verteiler geschickt, müssen Sie das in der Regel innerhalb von 72 Stunden der Datenschutz-Aufsichtsbehörde melden. In bestimmten Fällen müssen Sie auch die betroffenen Personen informieren.
• Auskunft und Löschung (Art. 15 und 17 DSGVO): Kunden können erfahren, welche Daten Sie über sie gespeichert haben, und unter bestimmten Voraussetzungen die Löschung verlangen. Antworten Sie grundsätzlich innerhalb eines Monats.

Brauche ich einen Datenschutzbeauftragten?

Nach deutschem Recht müssen Sie einen Datenschutzbeauftragten benennen, wenn in Ihrem Unternehmen in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Dazu zählen nicht nur Angestellte in Vollzeit, sondern auch Teilzeitkräfte, Auszubildende und freie Mitarbeitende, die regelmäßig mit solchen Daten arbeiten.

Unabhängig von der Zahl brauchen Sie einen Datenschutzbeauftragten unter anderem dann,

• wenn Ihre Verarbeitung eine Datenschutz-Folgenabschätzung erfordert, zum Beispiel bei umfangreicher Verarbeitung von Gesundheitsdaten,
• wenn Sie Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeiten (§ 38 Abs. 1 BDSG),
• wenn Ihre Kerntätigkeit in einer umfangreichen, regelmäßigen Überwachung von Personen oder in der umfangreichen Verarbeitung besonders sensibler Daten besteht (Art. 37 Abs. 1 DSGVO).

Auch ohne Pflicht kann ein externer Datenschutzbeauftragter sinnvoll sein: Er hilft, die Pflichten von Anfang an richtig umzusetzen. Die Verantwortung für den Datenschutz bleibt aber immer beim Unternehmen.

Was passiert bei Verstößen?

Die Aufsichtsbehörden können Bußgelder verhängen, die sich nach der Schwere des Verstoßes und der Größe des Unternehmens richten (Art. 83 DSGVO). Hinzu kommen Schadensersatzansprüche betroffener Personen (Art. 82 DSGVO) und Abmahnungen, etwa wegen einer fehlenden Datenschutzerklärung oder unzulässiger Cookies.

Checkliste für den Start

1. Datenschutzerklärung auf der Website, passend zu den Diensten, die Sie tatsächlich nutzen.
2. Cookie-Einwilligung, wenn Sie Analyse- oder Marketing-Tools einsetzen – oder besser: zunächst auf solche Tools verzichten.
3. Auftragsverarbeitungsverträge mit Hoster, Newsletter-Anbieter, Cloud und Software-Anbietern abschließen.
4. Verzeichnis von Verarbeitungstätigkeiten anlegen.
5. Technische Grundsicherung: sichere Passwörter, Zwei-Faktor-Anmeldung, Updates, Backups.
6. Ablauf für Datenpannen und Auskunftsanfragen festlegen, damit Sie die Fristen einhalten.
7. Prüfen, ob Sie einen Datenschutzbeauftragten brauchen – spätestens, wenn Ihr Team wächst.

Dieser Artikel enthält allgemeine Informationen zur Rechtslage und ersetzt keine Rechtsberatung im Einzelfall. Für eine verbindliche Einschätzung Ihrer Situation sprechen Sie uns gern an.