DSGVO für kleine Unternehmen: Die wichtigsten Pflichten kompakt

Die DSGVO klingt nach großem Konzern mit eigener Rechtsabteilung – gilt aber genauso für den Einzelunternehmer mit drei Kundenlisten in Excel. Die gute Nachricht: Wer die Pflichten einmal ordentlich sortiert, kommt mit überraschend wenig Aufwand aus. Dieser Überblick zeigt, was ein kleines Unternehmen in Österreich tatsächlich erledigen muss – Schritt für Schritt und ohne Paragrafenangst.

Gilt die DSGVO überhaupt für mein kleines Unternehmen?

Die kurze Antwort lautet: mit hoher Wahrscheinlichkeit ja. Die Datenschutz-Grundverordnung greift, sobald Sie personenbezogene Daten verarbeiten – und das tun Sie bereits, wenn Sie Kundennamen speichern, Rechnungen mit Adressen ausstellen, Bewerbungen entgegennehmen oder einen Newsletter versenden. Eine Umsatz- oder Mitarbeitergrenze, unterhalb derer die Verordnung nicht gilt, existiert nicht.

Was für kleine Betriebe wegfällt, sind einzelne Zusatzpflichten. So ist etwa ein hauptamtlicher Datenschutzbeauftragter für die meisten Kleinunternehmen keine Pflicht – erforderlich wird er vor allem, wenn die Kerntätigkeit in umfangreicher, systematischer Beobachtung von Personen oder in der Verarbeitung besonders sensibler Daten besteht. Die genauen Kriterien sollten Sie im Zweifel bei der WKO oder Datenschutzbehörde abklären. Von den Grundpflichten befreit Sie das jedoch nicht.

Der Rest dieses Artikels führt Sie durch die Pflichten in der Reihenfolge, in der sie in der Praxis relevant werden – von der internen Dokumentation über externe Dienstleister bis zur eigenen Website und dem Umgang mit Anfragen und Pannen. Sehen Sie die einzelnen Punkte weniger als juristische Hürden, sondern als Bestandsaufnahme: Am Ende steht kein dicker Ordner, sondern ein klarer Überblick darüber, welche Daten in Ihrem Betrieb wandern und wie Sie sie schützen.

Ein Hinweis vorweg: Dieser Beitrag ersetzt keine Rechtsberatung. Datenschutz lebt von Details, und einzelne Schwellen oder Meldewege können sich ändern. Nutzen Sie diesen Überblick, um die richtigen Fragen zu stellen – konkrete Grenzfälle klären Sie am besten mit der WKO, der Datenschutzbehörde oder einer fachkundigen Beratung.

Pflicht 1: Das Verarbeitungsverzeichnis

Das Verzeichnis der Verarbeitungstätigkeiten ist das Herzstück Ihrer DSGVO-Dokumentation – und für viele Betriebe die wichtigste einzelne Pflicht. Es ist im Grunde eine strukturierte Liste, die festhält: Welche Daten verarbeite ich, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und mit wem teile ich sie?

Für kleine Unternehmen gibt es zwar eine gewisse Erleichterung, doch in der Praxis kommt kaum ein Betrieb ganz ohne Verzeichnis aus – denn regelmäßige Verarbeitungen wie Kundenverwaltung, Lohnabrechnung oder Newsletter fallen fast immer darunter. Statt sich über die feinen Ausnahmen zu streiten, ist es meist einfacher und sicherer, das Verzeichnis schlicht zu führen.

Ein typisches Verzeichnis eines Kleinbetriebs umfasst nur eine Handvoll Einträge. Die häufigsten Verarbeitungstätigkeiten sind:

• Kundenverwaltung und Angebots-/Rechnungsstellung
• Lieferanten- und Geschäftspartnerdaten
• Personalverwaltung und Lohnverrechnung (falls Mitarbeiter beschäftigt sind)
• Bewerbermanagement
• Newsletter- und Marketingversand
• Website-Kontaktformular und Website-Analyse

Zu jedem dieser Punkte notieren Sie die Datenkategorien (z. B. Name, Adresse, E-Mail), den Zweck, die Rechtsgrundlage (Vertrag, Einwilligung, berechtigtes Interesse oder gesetzliche Pflicht) und die Aufbewahrungsdauer. Vieles davon deckt sich mit Fristen, die Sie ohnehin kennen – etwa die steuerliche Aufbewahrungspflicht für Rechnungen. Wie diese Fristen genau ineinandergreifen, beleuchten wir separat im Rahmen der Digitalisierungsthemen.

Pflicht 2: Auftragsverarbeitungsverträge mit Dienstleistern

Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie mit ihm einen Auftragsverarbeitungsvertrag – oft kurz AVV oder englisch DPA genannt. Das betrifft weit mehr Dienstleister, als viele annehmen.

Ein Auftragsverarbeiter ist jeder, der Daten für Sie verarbeitet, ohne selbst über die Zwecke zu entscheiden. Klassische Beispiele im Alltag eines kleinen Unternehmens sind:

• Cloud- und Hosting-Anbieter, bei denen Ihre Kundendaten liegen
• E-Mail- und Newsletter-Dienste
• Buchhaltungs- und Lohnverrechnungs-Software in der Cloud
• IT-Dienstleister mit Fernzugriff auf Ihre Systeme
• externe Callcenter oder Terminvereinbarungs-Dienste

Die gute Nachricht: Seriöse Anbieter stellen einen fertigen AVV bereit, den Sie nur noch abschließen und ablegen müssen. Ein „AVV-Muster“ von Grund auf selbst zu schreiben, ist für die meisten Kleinbetriebe gar nicht nötig – prüfen Sie zuerst, ob Ihr Dienstleister bereits einen anbietet. Wichtig ist, dass Sie alle abgeschlossenen Verträge sammeln und griffbereit haben.

Gerade beim Thema Datenhoheit spielt die technische Umsetzung eine große Rolle. Wer besonders sensible Daten verarbeitet, kann über Lösungen nachdenken, die vollständig im eigenen Haus laufen – etwa eine On-Premise-Einrichtung, bei der keine Daten das Unternehmen verlassen.

Pflicht 3: Datenschutz auf der eigenen Website

Für ein Unternehmen mit Website bündeln sich mehrere Pflichten an einer sehr sichtbaren Stelle. Drei Elemente sollten auf jeder gewerblichen Website vorhanden und aktuell sein: Datenschutzerklärung, Impressum und – falls zutreffend – ein sauberer Cookie-Hinweis.

Datenschutzerklärung

Eine Datenschutzerklärung ist auf einer geschäftlichen Website Pflicht. Sie informiert Besucher darüber, welche Daten beim Aufruf und bei der Nutzung erhoben werden – vom Kontaktformular über eingebundene Schriftarten bis zu Analyse-Werkzeugen. Wichtig ist, dass die Erklärung zur tatsächlichen Technik Ihrer Website passt: Eine Vorlage, die Dienste beschreibt, die Sie gar nicht nutzen, ist ebenso problematisch wie eine, die reale Datenflüsse verschweigt.

Cookie-Banner

Ein Cookie-Banner ist nicht auf jeder Website zwingend – aber sobald Sie nicht technisch notwendige Cookies oder Tracking einsetzen (etwa Statistik-Tools oder Marketing-Pixel), brauchen Sie eine echte Einwilligung. „Echt“ heißt: Der Besucher muss aktiv zustimmen können, und die Ablehnung muss genauso einfach möglich sein wie die Zustimmung. Ein Banner, der nur einen „Akzeptieren“-Knopf zeigt und das Weiternutzen erzwingt, erfüllt diese Anforderung nicht.

Impressum

Das Impressum ist zwar keine reine DSGVO-Pflicht, gehört aber zur selben Website-Compliance und wird oft im selben Atemzug erledigt. In Österreich müssen gewerbliche Websites eine leicht auffindbare Anbieterkennzeichnung enthalten – mit Firmenwortlaut, Kontaktdaten und je nach Rechtsform weiteren Angaben. Ein aktuelles Impressum und eine passende Datenschutzerklärung sind Standardbestandteil jeder professionellen Website-Einrichtung.

Pflicht 4: Die Rechte der Betroffenen

Jede Person, deren Daten Sie verarbeiten, hat Rechte – und Sie müssen darauf reagieren können. Für ein kleines Unternehmen bedeutet das nicht, ständig Anfragen zu bearbeiten, sondern vorbereitet zu sein, falls eine kommt. Die wichtigsten Rechte im Überblick:

• Auskunftsrecht: Betroffene dürfen erfahren, welche Daten Sie über sie gespeichert haben.
• Recht auf Berichtigung: Falsche Daten müssen korrigiert werden.
• Recht auf Löschung: Unter bestimmten Voraussetzungen müssen Daten gelöscht werden – sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Recht auf Datenübertragbarkeit: In bestimmten Fällen müssen Sie Daten in einem gängigen Format herausgeben.
• Widerspruchsrecht: Betroffene können bestimmten Verarbeitungen widersprechen, etwa Werbung.

Für die Beantwortung einer solchen Anfrage haben Sie in der Regel einen Monat Zeit. In der Praxis lässt sich das gut bewältigen, wenn Ihre Daten geordnet sind – hier zahlt sich das Verarbeitungsverzeichnis aus. Wer dagegen Kundendaten über fünf verschiedene Tools und ein paar Excel-Dateien verstreut hat, kämpft bei jeder Auskunftsanfrage.

Pflicht 5: Umgang mit Datenpannen

Eine Datenschutzverletzung – etwa ein verlorener Laptop mit Kundendaten, ein Hackerangriff oder eine falsch adressierte Sammelmail – kann jeden treffen. Entscheidend ist, dass Sie im Ernstfall wissen, was zu tun ist. Bei vielen Datenpannen besteht eine Meldepflicht an die Datenschutzbehörde binnen 72 Stunden nach Bekanntwerden.

Nicht jede Panne ist meldepflichtig – maßgeblich ist das Risiko für die betroffenen Personen. Doch diese Einschätzung unter Zeitdruck zu treffen, ist schwierig. Deshalb lohnt es sich, vorab einen einfachen Ablaufplan festzulegen:

1. 1
   Vorfall dokumentieren

   Halten Sie fest, was passiert ist, wann es entdeckt wurde und welche Daten betroffen sind.
2. 2
   Sofort eindämmen

   Ergreifen Sie Maßnahmen, um den Schaden zu begrenzen – etwa Passwörter ändern, Zugänge sperren, Systeme trennen.
3. 3
   Risiko bewerten

   Prüfen Sie, ob durch die Panne ein Risiko für die betroffenen Personen entsteht. Im Zweifel Rat einholen.
4. 4
   Bei Bedarf melden

   Ist ein Risiko wahrscheinlich, melden Sie den Vorfall binnen 72 Stunden an die Datenschutzbehörde – und bei hohem Risiko auch an die Betroffenen.

Technische und organisatorische Maßnahmen

Die DSGVO verlangt, dass Sie personenbezogene Daten „angemessen“ schützen. Was angemessen ist, hängt vom Risiko ab – ein Einzelunternehmen mit ein paar hundert Kundenadressen braucht keine Konzern-IT. Aber ein paar Grundlagen sollte jeder Betrieb erfüllen:

• Geräte und Zugänge mit sicheren Passwörtern schützen, sensible Zugänge zusätzlich absichern
• regelmäßige Backups, damit Daten nach einem Ausfall wiederherstellbar sind
• Zugriff auf Daten nur für Personen, die ihn wirklich brauchen
• Software und Systeme aktuell halten, um bekannte Sicherheitslücken zu schließen
• vertrauliche Unterlagen sicher aufbewahren und sicher vernichten

Viele dieser Punkte sind ohnehin gute Geschäftspraxis. Der Datenschutz gibt ihnen nur einen rechtlichen Rahmen. Wer seine Prozesse modernisiert und Daten in gut abgesicherten Systemen bündelt, erfüllt die technischen Anforderungen fast nebenbei – ein weiterer Grund, warum sich eine durchdachte technische Einrichtung doppelt auszahlt.

Wichtig ist der Grundsatz der Verhältnismäßigkeit: Sie müssen nicht jede erdenkliche Maßnahme ergreifen, aber die, die zum Risiko Ihrer Datenverarbeitung passen. Ein Betrieb, der nur Namen und Rechnungsadressen speichert, hat einen anderen Schutzbedarf als eine Praxis mit Gesundheitsdaten. Halten Sie die getroffenen Maßnahmen kurz schriftlich fest – das hilft nicht nur im Ernstfall, sondern zeigt bei einer Prüfung, dass Sie das Thema ernst nehmen und strukturiert angehen.

DSGVO-Checkliste für Ihr Unternehmen

Zum Mitnehmen die wichtigsten Punkte in einer Übersicht – als Ausgangspunkt für Ihre eigene Bestandsaufnahme. Die Tabelle zeigt, welche Pflicht typischerweise für wen relevant ist:

DSGVO als Chance statt als Last

Der wohl wichtigste Perspektivwechsel: Die meisten DSGVO-Pflichten sind Nebeneffekte von guter Organisation. Wer weiß, welche Daten er wo liegen hat, wer geordnete Systeme statt verstreuter Excel-Dateien nutzt und wer klare Abläufe für Anfragen und Pannen hat, ist datenschutzrechtlich fast automatisch gut aufgestellt – und arbeitet obendrein effizienter.

Umgekehrt macht chaotische Datenhaltung den Datenschutz teuer und mühsam. Genau hier lohnt es sich, die Compliance nicht als isolierte Aufgabe zu sehen, sondern gemeinsam mit der Digitalisierung des Betriebs anzugehen. Ein gut eingerichtetes System, das Daten zentral, sicher und nachvollziehbar hält, erledigt viele Pflichten im Vorbeigehen.

Häufige Fragen zur DSGVO für kleine Unternehmen