DSGVO für KMU: Was wirklich wichtig ist

VonJanko Williams

Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 in Kraft und stellt viele kleine und mittelständische Unternehmen (KMU) vor grosse Herausforderungen. Oft herrscht Unsicherheit darüber, welche Aspekte wirklich relevant sind und wo man am besten anfängt. Doch keine Sorge: Die DSGVO ist kein undurchdringlicher Dschungel, wenn man sich auf die wesentlichen Punkte konzentriert. Dieser Artikel bietet einen detaillierten Überblick darüber, was für KMU wirklich zählt und wie Sie die Anforderungen pragmatisch umsetzen können.

Was Sie in diesem Artikel erfahren

  • Dateninventur: Wie Sie systematisch erfassen, welche personenbezogenen Daten Ihr Unternehmen verarbeitet und warum dies die Grundlage für alles Weitere ist.
  • Rechtsgrundlagen: Auf welcher rechtlichen Basis Sie Daten verarbeiten dürfen und wie Sie diese korrekt zuordnen.
  • Informationspflichten: Wie Sie eine transparente und DSGVO-konforme Datenschutzerklärung für Ihre Website erstellen.
  • Datensicherheit: Welche konkreten technischen und organisatorischen Massnahmen (TOMs) zum Schutz von Daten unerlässlich sind.
  • Auftragsverarbeitung: Warum Sie Verträge mit externen Dienstleistern benötigen (AVV) und worauf dabei zu achten ist.
  • Betroffenenrechte: Wie Sie auf Anfragen zur Auskunft, Löschung oder Berichtigung von Daten korrekt und fristgerecht reagieren.

1. Verstehen Sie, welche Daten Sie verarbeiten

Der erste und wichtigste Schritt zur DSGVO-Konformität ist, sich einen präzisen Überblick über die Daten zu verschaffen, die Ihr Unternehmen überhaupt verarbeitet. Ohne diese Bestandsaufnahme agieren Sie im Blindflug. Erstellen Sie ein sogenanntes Verzeichnis von Verarbeitungstätigkeiten (gemäss Art. 30 DSGVO). Dieses Dokument ist das Herzstück Ihrer Datenschutz-Dokumentation.

Stellen Sie sich dazu folgende Fragen für jeden Prozess in Ihrem Unternehmen (z.B. Kundengewinnung, Personalwesen, Buchhaltung):

  • Welche personenbezogenen Daten erfassen Sie?
    • Beispiele: Kundennamen, Adressen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, IP-Adressen, aber auch sensible Mitarbeiterdaten wie Krankheitsinformationen oder Bankverbindungen.
  • Woher stammen diese Daten?
    • Quellen können sein: Kontaktformulare auf der Website, Newsletter-Anmeldungen, Visitenkarten von einer Messe, Bestelldaten aus dem Onlineshop oder Bewerbungsunterlagen.
  • Wofür nutzen Sie diese Daten (Zweck)?
    • Definieren Sie den Zweck klar: Vertragsabwicklung, Rechnungsstellung, Newsletterversand, Direktmarketing, Lohnbuchhaltung etc.
  • Wer hat Zugriff auf diese Daten?
    • Intern: Welche Abteilungen oder Mitarbeiter haben Zugriff? (z.B. Vertrieb, Buchhaltung, HR).
    • Extern: Welche Dienstleister haben Zugriff? (z.B. Steuerberater, Cloud-Anbieter, Webhoster).
  • Wie lange speichern Sie die Daten?
    • Legen Sie konkrete Löschfristen fest. Diese orientieren sich oft an gesetzlichen Aufbewahrungspflichten (z.B. 10 Jahre für steuerrechtlich relevante Unterlagen) oder am Zweck der Verarbeitung.

Dieses Verzeichnis ist nicht nur eine gesetzliche Pflicht, sondern auch ein wertvolles Werkzeug, um Datenprozesse zu optimieren und Risiken zu erkennen.

2. Die Rechtsgrundlagen kennen

Jede einzelne Verarbeitung von personenbezogenen Daten benötigt eine rechtliche Legitimation. Sie dürfen Daten nicht einfach “einsammeln”, weil sie nützlich sein könnten. Die häufigsten Rechtsgrundlagen für KMU sind:

  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Dies ist die bekannteste Rechtsgrundlage, aber nicht immer die beste. Sie ist vor allem für Marketingaktivitäten wie den Newsletterversand relevant. Wichtig: Die Einwilligung muss freiwillig, informiert, unmissverständlich und für einen bestimmten Zweck erfolgen. Sie müssen die Einwilligung auch nachweisen können (z.B. durch Double-Opt-In-Verfahren).
  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Wenn Sie Daten benötigen, um einen Vertrag mit einer Person zu erfüllen (oder vorvertragliche Massnahmen durchzuführen), ist dies die passende Rechtsgrundlage. Beispiel: Sie erfassen Name und Adresse eines Kunden, um ihm bestellte Ware zuzusenden.
  • Gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Oft müssen Sie Daten aufgrund gesetzlicher Vorschriften verarbeiten. Das klassische Beispiel sind steuerrechtliche Aufbewahrungspflichten für Rechnungen und Geschäftsunterlagen.
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Diese Rechtsgrundlage ist flexibel, erfordert aber eine sorgfältige Abwägung. Sie dürfen Daten verarbeiten, wenn es zur Wahrung Ihrer berechtigten Interessen erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Beispiele können Direktwerbung an Bestandskunden oder die Videoüberwachung zum Schutz vor Einbrüchen sein. Diese Abwägung müssen Sie dokumentieren.

Prüfen Sie für jede Verarbeitungstätigkeit in Ihrem Verzeichnis, welche Rechtsgrundlage zutrifft.

3. Informationspflichten ernst nehmen

Transparenz ist ein Kernprinzip der DSGVO. Sie müssen betroffene Personen klar und verständlich darüber informieren, was mit ihren Daten geschieht. Das zentrale Instrument hierfür ist die Datenschutzerklärung auf Ihrer Website.

Diese muss leicht zugänglich sein (üblicherweise im Footer verlinkt) und folgende Informationen enthalten:

  • Name und Kontaktdaten des Verantwortlichen (also Ihres Unternehmens).
  • Gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten (für die meisten KMU nicht verpflichtend).
  • Die konkreten Zwecke der Datenverarbeitung (z.B. bei Nutzung eines Kontaktformulars).
  • Die Rechtsgrundlagen für jede Verarbeitung.
  • Die Empfänger oder Kategorien von Empfängern der Daten (z.B. Hosting-Anbieter, Zahlungsdienstleister, Google Analytics).
  • Informationen über eine allfällige Datenübermittlung in Drittländer (z.B. in die USA).
  • Die geplante Speicherdauer der Daten bzw. die Kriterien für die Festlegung der Dauer.
  • Ein klarer Hinweis auf die Rechte der betroffenen Personen (siehe Punkt 6).

Nutzen Sie keine kopierten Mustertexte, sondern passen Sie die Erklärung exakt an die Datenverarbeitungsprozesse in Ihrem Unternehmen an.

4. Datensicherheit gewährleisten

Der Schutz der Ihnen anvertrauten Daten ist eine zentrale Pflicht. Sie müssen geeignete technische und organisatorische Massnahmen (TOMs) treffen, um die Sicherheit der Daten zu gewährleisten. Der Umfang der Massnahmen hängt vom Risiko für die betroffenen Personen ab.

Wichtige Massnahmen für KMU sind:

  • Technische Massnahmen:
    • Verschlüsselung: Eine SSL/TLS-Verschlüsselung für Ihre Website (erkennbar am “https”) ist heute Standard. Auch die Verschlüsselung von Laptops und Backups ist dringend zu empfehlen.
    • Passwortsicherheit: Erzwingen Sie komplexe Passwörter und, wo immer möglich, eine Zwei-Faktor-Authentifizierung (2FA).
    • Sicherheitssoftware: Halten Sie Antivirenprogramme und Firewalls stets aktuell.
    • Regelmässige Backups: Erstellen Sie regelmässig Sicherungskopien Ihrer Daten und testen Sie deren Wiederherstellbarkeit.
  • Organisatorische Massnahmen:
    • Zugriffsbeschränkungen: Stellen Sie sicher, dass Mitarbeiter nur auf die Daten zugreifen können, die sie für ihre Tätigkeit benötigen (“Need-to-know-Prinzip”).
    • Mitarbeiterschulungen: Sensibilisieren Sie Ihr Team für Datenschutzthemen wie Phishing-Mails oder den sicheren Umgang mit Passwörtern.
    • “Clean Desk Policy”: Sorgen Sie dafür, dass keine sensiblen Unterlagen offen auf Schreibtischen liegen bleiben.

Dokumentieren Sie Ihre TOMs, um im Falle einer Prüfung nachweisen zu können, dass Sie Ihren Pflichten nachkommen.

5. Auftragsverarbeitung regeln

Kaum ein KMU kommt heute ohne externe Dienstleister aus. Sobald ein solcher Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, liegt eine Auftragsverarbeitung vor. Beispiele hierfür sind:

  • Ihr Webhoster, der Ihre Website und Datenbanken speichert.
  • Cloud-Anbieter wie Microsoft 365 oder Google Workspace.
  • Newsletter-Tools wie Mailchimp oder CleverReach.
  • Externe Buchhaltungs- oder Lohnbüros.

In all diesen Fällen sind Sie gesetzlich verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Dienstleister abzuschliessen. Dieser Vertrag regelt die Rechte und Pflichten beider Seiten und stellt sicher, dass der Dienstleister die Daten ebenfalls gemäss der DSGVO schützt. Die meisten grossen Anbieter stellen Standard-AVVs zur Verfügung, die Sie online abschliessen können. Prüfen Sie Ihre bestehenden Verträge und fordern Sie fehlende AVVs an.

6. Rechte der Betroffenen beachten

Die DSGVO stärkt die Rechte der Einzelpersonen erheblich. Sie müssen sicherstellen, dass Sie auf Anfragen von Betroffenen reagieren können – in der Regel innerhalb eines Monats. Die wichtigsten Rechte sind:

  • Auskunftsrecht (Art. 15): Jede Person kann von Ihnen Auskunft darüber verlangen, welche Daten Sie über sie gespeichert haben.
  • Recht auf Berichtigung (Art. 16): Fehlerhafte Daten müssen auf Verlangen korrigiert werden.
  • Recht auf Löschung (Art. 17, “Recht auf Vergessenwerden”): Daten müssen gelöscht werden, wenn sie für den ursprünglichen Zweck nicht mehr notwendig sind oder die Einwilligung widerrufen wird (sofern keine andere Rechtsgrundlage greift).
  • Recht auf Einschränkung der Verarbeitung (Art. 18): In bestimmten Fällen kann eine Person verlangen, dass ihre Daten nur noch gespeichert, aber nicht mehr weiterverarbeitet werden.
  • Recht auf Datenübertragbarkeit (Art. 20): Personen haben das Recht, ihre Daten in einem gängigen, maschinenlesbaren Format zu erhalten.
  • Widerspruchsrecht (Art. 21): Insbesondere gegen die Verarbeitung zu Werbezwecken kann jederzeit Widerspruch eingelegt werden.

Es empfiehlt sich, interne Prozesse zu definieren, wie mit solchen Anfragen umgegangen wird, um die Fristen einzuhalten und vollständig zu antworten.

Fazit

Die DSGVO mag auf den ersten Blick komplex und einschüchternd wirken, doch für KMU kommt es auf eine strukturierte und pragmatische Herangehensweise an. Wenn Sie sich auf die hier genannten Kernpunkte konzentrieren, schaffen Sie eine solide Grundlage für den Datenschutz in Ihrem Unternehmen. Beginnen Sie mit einer ehrlichen Bestandsaufnahme Ihrer Daten, schaffen Sie Transparenz durch eine saubere Datenschutzerklärung, setzen Sie grundlegende Sicherheitsmassnahmen um und regeln Sie die Zusammenarbeit mit Ihren Dienstleistern.

Ein bewusster Umgang mit Datenschutz ist nicht nur eine lästige Pflicht, sondern auch ein Qualitätsmerkmal, das Vertrauen bei Kunden und Mitarbeitern schafft. So schützen Sie nicht nur deren Daten, sondern auch Ihr Unternehmen vor empfindlichen Bussgeldern und Reputationsschäden.

Ähnliche Beiträge