DSGVO für den Mittelstand — die wichtigsten Pflichten ohne Panik

Bei kaum einem Thema schwankt der Mittelstand so zwischen Gleichgültigkeit und Panik wie beim Datenschutz. Die einen winken ab — Datenschutz sei etwas für Großkonzerne. Die anderen fürchten sich vor Bußgeldern in Millionenhöhe und trauen sich kaum noch, eine Kundenliste anzulegen. Die Wahrheit liegt dazwischen. Die DSGVO stellt für ein normales kleines oder mittleres Unternehmen überschaubare Anforderungen, die man mit etwas Struktur gut erfüllen kann. Wir gehen die wichtigsten der Reihe nach durch — sachlich und ohne Angstmacherei.

Das Verzeichnis der Verarbeitungstätigkeiten

Der erste Baustein ist ein internes Verzeichnis darüber, welche personenbezogenen Daten Sie in Ihrem Betrieb überhaupt verarbeiten — Kundendaten, Mitarbeiterdaten, Lieferantenkontakte. Viele hoffen auf die Ausnahme für Unternehmen unter 250 Mitarbeitern, doch die greift in der Praxis fast nie, weil sie an Bedingungen geknüpft ist, die ein normaler Betrieb regelmäßig erfüllt. Gehen Sie also davon aus, dass Sie ein solches Verzeichnis führen müssen. Es ist keine Hexerei, sondern im Kern eine geordnete Übersicht Ihrer Datenflüsse.

Rechtsgrundlage, Information und Betroffenenrechte

Jede Verarbeitung von Daten braucht einen legitimen Grund — etwa die Erfüllung eines Vertrags, eine gesetzliche Pflicht, eine Einwilligung oder ein berechtigtes Interesse. Außerdem müssen Sie die betroffenen Personen darüber informieren, was mit ihren Daten geschieht; das ist die Aufgabe der Datenschutzerklärung. Und schließlich haben Menschen Rechte an ihren Daten: Sie dürfen Auskunft verlangen, Berichtigung, Löschung oder Widerspruch. Auf solche Anfragen müssen Sie grundsätzlich innerhalb eines Monats reagieren.

Brauche ich einen Datenschutzbeauftragten?

Das ist eine der häufigsten Fragen — und die Antwort ist klarer, als viele denken. In Deutschland müssen Sie einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt wird großzügig: Alle, die regelmäßig am Rechner mit personenbezogenen Daten arbeiten, zählen mit — auch Teilzeitkräfte, Minijobber, Azubis und die Geschäftsführung.

Unabhängig von dieser Zahl kann ein Datenschutzbeauftragter aber auch in kleineren Betrieben Pflicht sein, etwa wenn die Kerntätigkeit in umfangreicher Verarbeitung sensibler Daten oder in regelmäßiger Überwachung besteht. Am Rande erwähnt: Es gibt Reformüberlegungen, die 20-Personen-Schwelle künftig zu lockern. Bis dahin bleibt sie aber maßgeblich.

Auftragsverarbeitung: der Vertrag, den viele vergessen

Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung. Das betrifft mehr Fälle, als man denkt: Cloud- und Hosting-Anbieter, Newsletter- und CRM-Tools, externe IT-Wartung, oft auch das Lohnbüro. Fehlt dieser Vertrag, ist das ein eigenständiger Verstoß. Der praktische Nebeneffekt: Je mehr verschiedene Tools Sie einsetzen, desto mehr solcher Verträge müssen Sie führen und im Blick behalten.

Technische Schutzmaßnahmen und der Ernstfall Datenpanne

Die DSGVO verlangt, dass Sie Daten angemessen schützen — durch Maßnahmen wie Zugriffsbeschränkungen, Verschlüsselung, Berechtigungskonzepte und regelmäßige Backups. Was angemessen ist, hängt vom Risiko ab; für ein normales KMU sind das solide, aber machbare Standards. Kommt es doch zu einer Datenpanne, etwa einem Hackerangriff oder einem versehentlichen Datenversand, müssen Sie diese in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde melden. Bei hohem Risiko für die Betroffenen müssen Sie zusätzlich diese informieren.

Wie hoch sind die Bußgelder wirklich?

Die viel zitierten Höchstbeträge — bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes — gelten für die schwersten Verstöße großer Unternehmen. Für formellere Versäumnisse wie ein fehlendes Verarbeitungsverzeichnis liegt der Rahmen bei bis zu 10 Millionen Euro oder zwei Prozent. Für ein KMU, das seine Hausaufgaben grundsätzlich macht und im Ernstfall kooperiert, sind existenzbedrohende Bußgelder unwahrscheinlich. Der eigentliche Sinn der Regeln ist nicht die Bestrafung, sondern ein sorgsamer Umgang mit den Daten Ihrer Kunden und Mitarbeiter.

Warum der Serverstandort so viel einfacher macht

Ein oft unterschätzter Punkt: Werden Ihre Daten innerhalb Deutschlands oder der EU verarbeitet, ist das datenschutzrechtlich unproblematisch. Sobald Daten in Drittländer wie die USA fließen, wird es komplizierter. Zwar gibt es dafür einen Angemessenheitsbeschluss (das EU-US Data Privacy Framework), doch dessen rechtliche Zukunft gilt 2026 als unsicher — Fachleute empfehlen zusätzliche vertragliche Absicherungen. Wer von vornherein auf Verarbeitung in Deutschland oder der EU setzt, umgeht diese ganze Problematik. Ein deutscher Serverstandort ist rechtlich zwar nicht zwingend vorgeschrieben, aber die mit Abstand einfachste und sicherste Variante.

Ein System statt zwölf — auch beim Datenschutz

Datenschutz wird vor allem dann anstrengend, wenn Ihre Daten über zwölf verschiedene Tools verstreut sind: Das bedeutet zwölf Orte mit personenbezogenen Daten, zwölf Auftragsverarbeitungsverträge und zwölf mögliche Lücken. Ein einziges System, bei dem klar ist, wo die Daten liegen, macht die DSGVO deutlich beherrschbarer. Genau das bietet ARGONAUT OS: alle Daten an einem Ort, auf EU-Servern, DSGVO-konform, mit klaren Zugriffsrechten. Statt Datenschutz als Dauerbaustelle zu erleben, haben Sie ihn an einer Stelle im Griff. In einer unverbindlichen Demo zeigen wir Ihnen, wie das aussieht.

Dieser Beitrag ist eine allgemeine, sorgfältig recherchierte Information und ersetzt keine rechtliche oder steuerliche Beratung. Maßgeblich ist immer Ihr konkreter Einzelfall — im Zweifel klären Sie ihn mit Ihrer Steuerberatung oder Ihrem Anwalt. Rechtsstand: Juli 2026.

Ein System statt zwölf — sehen Sie es live.