DSGVO und Datenschutz

Die Datenschutz-Grundverordnung gilt für jeden, der personenbezogene Daten verarbeitet. Kundenname und Adresse in einer Rechnung reichen dafür aus. Die Größe des Betriebs ändert daran nichts, nur den Umfang der Pflichten.

Was du brauchst

Ein Verzeichnis von Verarbeitungstätigkeiten – eine Übersicht, welche Daten du zu welchem Zweck auf welcher Rechtsgrundlage verarbeitest und wie lange du sie aufbewahrst. Für einen Einzelbetrieb sind das zwei bis vier Seiten.

Eine Datenschutzerklärung auf der Website, getrennt vom Impressum. Und technische Maßnahmen: Passwortschutz, Verschlüsselung, Zugriffsbeschränkung, Sicherungen.

Der Datenschutzbeauftragte

Erst ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, ist ein Datenschutzbeauftragter Pflicht. Für Einzelunternehmer und kleine Betriebe entfällt das.

Auftragsverarbeitung

Nutzt du externe Dienste, die Kundendaten verarbeiten – Cloudspeicher, Newslettertool, Buchhaltungssoftware, Terminbuchung – brauchst du mit dem Anbieter einen Auftragsverarbeitungsvertrag. Seriöse Anbieter stellen ihn im Kundenkonto bereit.

Website

Cookies und Tracking, die nicht technisch notwendig sind, brauchen eine vorherige Einwilligung. Wer Google Fonts oder Kartendienste direkt einbindet, überträgt Daten an Dritte – das war Gegenstand zahlreicher Abmahnungen. Lokale Einbindung löst das Problem.

Betroffenenrechte

Auskunft, Berichtigung, Löschung. Anfragen sind binnen eines Monats zu beantworten. Steuerliche Aufbewahrungspflichten gehen dem Löschanspruch vor – Rechnungen bleiben zehn Jahre, auch wenn der Kunde die Löschung verlangt.

Realistische Einordnung

Der Aufwand für einen Kleinbetrieb ist einmalig ein bis zwei Tage. Danach ist es Routine.