Gilt die DSGVO auch für mein Unternehmen?
Ja, in nahezu allen Fällen. Die Datenschutz-Grundverordnung kennt keine Schwelle für Umsatz, Personal oder Sektor. Sobald Ihr Unternehmen Personendaten verarbeitet, wie Namen, E-Mail-Adressen oder Lohndaten, ist die Verordnung auf diese Verarbeitung anwendbar. Das gilt für ein Einzelunternehmen mit einem Kunden ebenso wie für ein Installationsbetrieb mit fünfzig Mitarbeitern.
Der Unterschied zu Regelungen wie NIS2, der CSRD oder dem VSME-Standard besteht darin, dass diese mit Schwellen für Unternehmensgröße oder Sektor arbeiten. Die DSGVO funktioniert anders: nicht die Größe Ihres Unternehmens ist entscheidend, sondern die Frage, ob Personendaten verarbeitet werden und auf welche Weise. Daher betrifft die DSGVO in der Praxis nahezu jedes Unternehmen, auch wenn sich das nicht immer so anfühlt.
Was die Verordnung unter Personendaten versteht
Die DSGVO definiert Personendaten als alle Informationen über eine identifizierte oder identifizierbare natürliche Person. Das ist breiter als viele Unternehmer denken. Eine Adressliste von Kunden, eine Personalakte, ein Bewerbungsschreiben, das noch im Posteingang liegt, oder Kameraaufnahmen am Eingang: all das fällt darunter. Selbst ein Freelancer, der nur Rechnungen mit Namen und Adresse versendet, verarbeitet bereits Personendaten.
Die Verordnung unterscheidet dabei zwischen dem Verantwortlichen, der bestimmt, warum und wie Daten verarbeitet werden, und dem Auftragsverarbeiter, der dies im Auftrag eines anderen tut. Ein Gehaltsabrechnungsbüro ist zum Beispiel Auftragsverarbeiter für die Lohndaten Ihrer Mitarbeiter, während Sie selbst Verantwortlicher sind. Welche Rolle auf Ihr Unternehmen zutrifft und welche Verpflichtungen damit verbunden sind, unterscheidet sich je nach Situation und kann durch die Aufsichtsbehörde und einen Juristen geklärt werden.
Warum dieses Thema in der Frageliste Ihres Kunden vorkommt
Abnehmer fragen ihre Lieferanten zunehmend nicht nur nach Nachhaltigkeit oder Cybersicherheit, sondern auch nach dem Umgang mit Personendaten. Dies geschieht zum Beispiel, wenn Sie im Namen Ihres Kunden Daten dessen Mitarbeiter oder Endkunden verarbeiten, oder wenn Sie Zugriff auf Systeme haben, in denen solche Daten gespeichert sind. In diesem Fall möchte der Abnehmer wissen, ob ein Auftragsverarbeitungsvertrag vorhanden ist, ob ein Verarbeitungsverzeichnis geführt wird und wie eine Datenpanne gemeldet wird.
Diese Fragen überschneiden sich oft mit der Cybersicherheit-Frageliste, da Informationssicherheit und Datenschutz in der Praxis eng beieinander liegen. Ein Unternehmen, das für Kunden Software oder Verwaltungsdienstleistungen erbringt, erhält diese Fragen eher als ein Installationsbetrieb, der hauptsächlich physische Arbeiten ausführt. Wer solche Fragen wiederholt in verschiedenen Formaten verschiedener Kunden antrifft, kann in der Wissensdatenbank zu jedem Thema nachschlagen was der Hintergrund einer solchen Frage ist und wo der offizielle Text zu finden ist.
Was dies in der Praxis bedeutet
Ob die DSGVO spezifische Verpflichtungen wie einen Datenschutzbeauftragten, einen Auftragsverarbeitungsvertrag oder ein Verarbeitungsverzeichnis vorschreibt, hängt von Art und Umfang der Verarbeitung in Ihrem Unternehmen ab. Dies ist keine Frage, die allgemein beantwortet werden kann; die Verordnung selbst und die Leitlinien der nationalen Aufsichtsbehörde geben dafür die Kriterien vor. Für die meisten KMU-Unternehmen ist der Ausgangspunkt einfach: kartografieren Sie, welche Personendaten verarbeitet werden, von wem und zu welchem Zweck.
Diese Übersicht ist auch nützlich, wenn ein Abnehmer danach fragt. Speichern Sie Dokumente wie einen Auftragsverarbeitungsvertrag oder eine Datenschutzerklärung an einem festen Ort, damit Sie nicht jedes Mal danach suchen müssen. Wie dies innerhalb eines Kettenordners funktioniert und wie die darin gespeicherten Daten geschützt werden, finden Sie auf der Seite über wie Daten und Datenschutz geschützt werden.
Möchten Sie zunächst sehen, welche Fragelisten und Themen für Ihr Unternehmen relevant sind, einschließlich der Frage, ob Datenschutz dabei eine Rolle spielt? Führen Sie den kostenlosen Check in ein paar Fragen für eine erste Orientierung durch, oder lesen Sie in der häufig gestellten Fragen wie andere Unternehmer dies angehen. Für die eigene Situation ist es ratsam, bei Zweifel die zuständige Aufsichtsbehörde oder einen Juristen zu befragen.