Die DSGVO ist kein Formular, das man einmal ausfüllt und dann vergisst. Sie ist eine Art, mit den Daten Ihrer Kunden und Mitarbeiter umzugehen, die Sie dauerhaft aufrechterhalten müssen. Die gute Nachricht für ein kleines Unternehmen: Echte Compliance verlangt keine ganze Rechtsabteilung, sondern Ordnung, ein paar sauber erstellte Dokumente und einen technischen Teil, den fast niemand beachtet, bis ein Vorfall oder eine Kontrolle kommt.
In diesem Leitfaden erklären wir Ihnen, wie Sie in Ihrem Unternehmen die DSGVO einhalten, und konzentrieren uns auf das, was tatsächlich von Ihnen abhängt: Ihre Website, Ihre Verzeichnisse, Ihre Verträge mit Dienstleistern und die Sicherheit der Daten. Das ist keine Rechtsberatung —dafür sind Ihr Anwalt oder Ihr Datenschutzbeauftragter da—, sondern der technische und organisatorische Fahrplan, der verhindert, dass ein dummer Fehler in einem Bußgeld endet.
Was die DSGVO wirklich von Ihnen verlangt (verständlich erklärt)
Verabschieden Sie sich von der Vorstellung, bei der DSGVO gehe es darum, „keine Daten weiterzugeben“. Es geht um etwas Einfacheres und zugleich Anspruchsvolleres: zu wissen, welche Daten Sie haben, wofür Sie sie nutzen, wo sie liegen und wer sie anfasst. Wenn Sie diese vier Fragen zu jedem personenbezogenen Datum beantworten können, das Ihr Unternehmen verarbeitet —die E-Mail eines Kunden, die Gehaltsabrechnung eines Mitarbeiters, den Lebenslauf eines Bewerbers—, sind Sie auf dem richtigen Weg. Wenn nicht, liegt genau da Ihr Problem.
Die Verordnung stützt sich auf Grundsätze, die sich in konkrete und sehr bodenständige Pflichten übersetzen:
- Eine Rechtsgrundlage für jede Verarbeitung. Sie erheben keine Daten „für alle Fälle“: Jedes Datum beruht auf einem Grund (einem Vertrag, einer Einwilligung, einer gesetzlichen Pflicht).
- Datenminimierung. Sie fragen nur ab, was Sie brauchen. Ein Kontaktformular braucht keine Ausweisnummer.
- Transparenz. Die Person weiß, was Sie mit ihren Daten tun, bevor sie sie Ihnen gibt.
- Betroffenenrechte. Jeder kann Auskunft, Berichtigung oder Löschung verlangen, und Sie müssen darauf reagieren können.
- Sicherheit. Sie schützen Daten mit echten technischen Maßnahmen, nicht mit guten Absichten.
Das Entscheidende: Compliance wird nachgewiesen, nicht behauptet. Der Grundsatz der „Rechenschaftspflicht“ bedeutet, dass die Beweislast für die Einhaltung bei Ihnen liegt. Deshalb sind Dokumentation und Verzeichnisse keine Bürokratie, sondern Ihre Verteidigung an dem Tag, an dem jemand nachfragt.
Ihre Website: Rechtstexte, Formulare und Cookies
Die Website ist der Ort, an dem die meisten kleinen Unternehmen eine Beschwerde riskieren, denn sie ist das Einzige, was jeder von außen prüfen kann, ohne Ihr Büro zu betreten. Hier ist kein Platz für Improvisation, und drei Dinge müssen tadellos sein.
Rechtstexte, die die Wahrheit sagen
Sie brauchen eine Datenschutzerklärung, ein Impressum und, falls Sie Cookies einsetzen, eine Cookie-Richtlinie. Der übliche Fehler ist, die einer anderen Website zu kopieren: Sie erhalten ein Dokument, das Zwecke nennt, die Sie nicht verfolgen, und die auslässt, die Sie tatsächlich verfolgen. Die Erklärung muss Ihre Realität widerspiegeln —welche Daten Sie wirklich erheben, mit welchen Werkzeugen (Ihrem CRM, Ihrem E-Mail-Marketing-Anbieter, Ihrer Analytics) und wie lange Sie sie speichern—. Ein generischer Text ist schlimmer als gar keiner, denn er beweist, dass Sie wussten, dass er nötig war, und ihn trotzdem nicht richtig gemacht haben.
Formulare mit echter Einwilligung
Jedes Formular —Kontakt, Newsletter, Angebot— muss angeben, wer die Daten verarbeitet, und auf die Datenschutzerklärung verlinken. Wenn das Ziel der Versand von Werbekommunikation ist, braucht es ein Einwilligungskästchen, das nicht vorab angekreuzt ist. Und diese Einwilligung muss nachweisbar sein: Halten Sie fest, wann und wie sie erteilt wurde. Ein Formular, das nichts protokolliert, ist ein Versprechen, das Sie nicht belegen können.
Cookies: blockieren, bevor akzeptiert wird
Das Cookie-Banner ist nicht dekorativ. Nicht notwendige Cookies —Analytics, Werbung, Social-Media-Pixel— dürfen nicht laden, bevor der Nutzer zustimmt, und Ablehnen muss so einfach sein wie Akzeptieren. Viele „Standard“-Banner zeigen den Hinweis, laden die Skripte aber trotzdem: Das ist ein Verstoß mit Schild dran. Die technische Konfiguration des Banners und des Tag-Managers ist ebenso wichtig wie der Text.
Verarbeitungsverzeichnis und Auftragsverarbeitungsverträge
Hier kommt der Teil, den fast kein kleines Unternehmen erledigt hat, und er gehört zu den ersten, die bei einer Kontrolle verlangt werden. Das Verzeichnis von Verarbeitungstätigkeiten ist das Inventar von allem, was Sie mit personenbezogenen Daten tun: jede Tätigkeit (Kundenverwaltung, Gehaltsabrechnung, Personalauswahl, Videoüberwachung) mit ihrem Zweck, ihrer Rechtsgrundlage, den Datenkategorien, den Aufbewahrungsfristen und den Sicherheitsmaßnahmen.
Sie brauchen kein teures Werkzeug: Eine gut strukturierte und aktuell gehaltene Tabelle genügt. Was nicht genügt, ist, keines zu haben oder ein veraltetes. Das Verzeichnis ist zudem die beste Landkarte für alles Übrige: Wenn Sie es ernsthaft ausfüllen, entdecken Sie Verarbeitungen, die Sie nicht dokumentiert hatten, und Dienstleister, die ohne Vertrag an Daten rühren.
Jedes Unternehmen, dem Sie personenbezogene Daten anvertrauen, damit es für Sie arbeitet, ist ein Auftragsverarbeiter. Und mit jedem brauchen Sie einen unterschriebenen Vertrag. Ohne Ausnahme.
Der Auftragsverarbeitungsvertrag ist ein Dokument nach Artikel 28 der DSGVO, das regelt, was dieser Dienstleister mit den Daten tun darf. Und wer sind Ihre Auftragsverarbeiter? Mehr, als Sie denken:
- Ihr Steuerberater oder Beratungsbüro, das Gehaltsabrechnungen und Steuerdaten bearbeitet.
- Der Anbieter Ihrer E-Mail und Ihres CRM, wo die Kundenkontakte liegen.
- Die E-Mail-Marketing-Plattform, über die Sie Ihren Newsletter versenden.
- Das Hosting, auf dem Ihre Website und ihre Formulare liegen.
- Ihr externer IT-Support, der auf die Geräte und Systeme zugreift.
Viele seriöse Anbieter stellen ihren Auftragsverarbeitungsvertrag bereits unterschriftsfertig bereit (manchmal nennen sie ihn DPA). Ihre Aufgabe ist es, sie alle zusammenzutragen und aufzubewahren. Und Vorsicht bei internationalen Übermittlungen: Wenn Ihr Werkzeug Daten außerhalb des Europäischen Wirtschaftsraums speichert, müssen Sie prüfen, ob eine gültige Garantie besteht. Das ist nicht optional.
Typische Fehler, die in einem Bußgeld enden
Die meisten Bußgelder gegen KMU stammen nicht aus verzwickten Fällen, sondern aus wiederkehrenden Versäumnissen, die sich mit ein wenig Ordnung hätten vermeiden lassen. Das sind die häufigsten:
- Cookies, die ohne Einwilligung laden. Der Klassiker. Ein Banner zur Zierde, während Analytics und Pixel längst laufen.
- Ein Recht nicht rechtzeitig bearbeiten. Jemand verlangt die Löschung seiner Daten, niemand kümmert sich darum, und dieses Schweigen wird zur Beschwerde.
- Eine Datenpanne nicht melden. Bei einem Vorfall, der personenbezogene Daten betrifft, gilt eine Frist von 72 Stunden, um ihn zu bewerten und, wenn nötig, der Behörde zu melden. An diesem Tag zu improvisieren wird teuer.
- Werbekommunikation ohne Einwilligung versenden oder ohne klaren Abmeldelink.
- Ungeschützte Daten. Geteilte Passwörter, unverschlüsselte Laptops, Backups, die niemand testet, noch aktive Zugänge ehemaliger Mitarbeiter.
Achten Sie auf das Muster: Fast alle sind technische und organisatorische Versäumnisse, keine Frage der Rechtsauslegung. Eine Panne durch einen nicht aktualisierten Server, ein Backup, das stillschweigend fehlschlug, oder ein falsch konfiguriertes Banner lassen sich nicht mit einem guten Anwalt beheben; man beugt ihnen mit einer gut aufgebauten und überwachten Infrastruktur vor. Genau da hört der Datenschutz auf, Papierkram zu sein, und wird zu angewandter Cybersicherheit.
Wie MagicBoxDesk Ihnen hilft
Seien wir ehrlich: MagicBoxDesk ist nicht Ihre Rechtsberatung. Wir verfassen weder Ihre Datenschutzerklärung, noch sagen wir Ihnen, welche Rechtsgrundlage für jede Verarbeitung gilt —das ist die Aufgabe Ihres Anwalts oder Ihres Datenschutzbeauftragten—. Was wir tun, ist die technische und sicherheitsbezogene Hälfte der DSGVO, die in der Regel unfertig bleibt und die, wenn sie versagt, in einem Vorfall endet.
Wir sorgen dafür, dass die von der Verordnung geforderten Sicherheitsmaßnahmen wirklich existieren und funktionieren: Zugriffskontrolle, Verschlüsselung, getestete Backups, aktuelle Updates, Überwachung Ihrer Systeme und ein Reaktionsplan für den Tag, an dem eine Panne passiert. Wir konfigurieren Ihre Website und ihr Cookie-Banner richtig, prüfen, wo und wie die von Ihnen verarbeiteten Daten gespeichert werden, und helfen Ihnen, die technische Ordnung zu wahren, die alles Übrige trägt. Da wir Ihre IT-Abteilung auslagern, ist dies kein einmaliges Projekt: Es ist durchgehender Support in ganz Spanien, remote und vor Ort, wenn es nötig ist.
Die DSGVO in Ihrem Unternehmen einzuhalten bedeutet vor allem, die Dinge geordnet und geschützt zu haben, bevor jemand fragt. Wir liefern den technischen Teil, damit Sie sich um Ihr Geschäft kümmern können. Fordern Sie ein unverbindliches Angebot an, und wir gehen mit Ihnen durch, was Sie wirklich brauchen, um ruhig zu schlafen.
