Datenschutz im KMU: die Pflichten

Die DSGVO kennt keine Kleinunternehmerregelung. Wer personenbezogene Daten verarbeitet, und das tut jeder Betrieb mit Beschäftigten oder Kunden, unterliegt ihr in vollem Umfang. Was mit der Größe variiert, sind nur einzelne organisatorische Pflichten. Genau dort entstehen die Missverständnisse, die im Ernstfall teuer werden.

Wann Sie einen Datenschutzbeauftragten brauchen

Die Schwelle steht nicht in der DSGVO, sondern in § 38 Abs. 1 BDSG: Unternehmen benennen einen Datenschutzbeauftragten, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Drei Begriffe entscheiden über die Zählung:

• „Personen“, nicht Vollzeitstellen. Aushilfen, Werkstudenten, Praktikanten und Geschäftsführer zählen mit, Teilzeit zählt voll.
• „Ständig“, also nicht nur ausnahmsweise. Wer regelmäßig im Kundensystem, im Kassensystem oder in der Personalsoftware arbeitet, ist erfasst.
• „Automatisierte Verarbeitung“ ist mehr als Datenbankpflege. Auch das Schreiben von E-Mails mit Kundenbezug oder das Führen einer Excel-Liste gehört dazu.

In der Praxis erreichen deshalb auch Betriebe die Schwelle, die sich selbst nicht als datenintensiv sehen: eine Kanzlei mit 22 Mitarbeitenden, ein Handwerksbetrieb mit Büro und Montage, eine Praxis mit mehreren Standorten. Und unabhängig von der Zahl gilt die Pflicht nach § 38 Abs. 1 Satz 2 BDSG, wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist oder wenn Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- und Meinungsforschung verarbeitet werden. Ein Adresshändler mit drei Beschäftigten braucht einen Datenschutzbeauftragten, ein Betrieb mit 19 Mitarbeitenden ohne solche Verarbeitung nicht.

Die Schwelle von 20 Personen gilt seit einer Änderung des BDSG im Jahr 2019; davor lag sie bei zehn. Wer seine Einschätzung damals getroffen und seither nicht überprüft hat, sollte nachrechnen, in beide Richtungen.

Die 250-Mitarbeiter-Ausnahme, die fast nie greift

Am häufigsten falsch verstanden wird Art. 30 Abs. 5 DSGVO. Der Absatz nimmt Unternehmen mit weniger als 250 Beschäftigten von der Pflicht zum Verzeichnis der Verarbeitungstätigkeiten aus, aber nur mit vier Rückausnahmen. Die Pflicht besteht trotzdem, wenn:

• die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt,
• die Verarbeitung nicht nur gelegentlich erfolgt,
• besondere Kategorien von Daten nach Art. 9 Abs. 1 DSGVO verarbeitet werden (Gesundheit, Religion, Gewerkschaft, Biometrie),
• oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet werden.

Entscheidend ist die zweite Rückausnahme. Lohnabrechnung, Kundenverwaltung und Bewerbungsverfahren laufen dauerhaft, nicht gelegentlich. Damit ist die Ausnahme für praktisch jedes Unternehmen mit Beschäftigten verbraucht, und das Verzeichnis nach Art. 30 DSGVO ist zu führen. Wer sich auf die Ausnahme beruft, sollte das schriftlich begründen können; im Prüfungsfall ist das Verzeichnis regelmäßig das erste, was die Aufsichtsbehörde anfordert.

Pflichten ohne jede Größenschwelle

Unabhängig von Mitarbeiterzahl und Umsatz gelten unter anderem:

• Informationspflichten nach Art. 13 DSGVO und Art. 14 DSGVO, im Web als Datenschutzerklärung, gegenüber Beschäftigten als eigenes Informationsblatt, gegenüber Bewerbern im Bewerbungsprozess.
• Eine Rechtsgrundlage für jede Verarbeitung nach Art. 6 Abs. 1 DSGVO, im Beschäftigtenkontext ergänzt durch § 26 BDSG.
• Auftragsverarbeitungsverträge nach Art. 28 Abs. 3 DSGVO mit allen Dienstleistern, die Daten für Sie verarbeiten: Steuerberater in der Lohnabrechnung, IT-Dienstleister, Hoster, Cloud- und Newsletter-Anbieter.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, angemessen zum Risiko.
• Bearbeitung von Betroffenenrechten, insbesondere Auskunft nach Art. 15 DSGVO binnen der Monatsfrist aus Art. 12 Abs. 3 DSGVO.
• Meldung von Datenpannen nach Art. 33 DSGVO binnen 72 Stunden und Dokumentation aller Vorfälle nach Art. 33 Abs. 5 DSGVO.
• Einwilligung für nicht erforderliche Cookies und Tracking nach § 25 Abs. 1 TDDDG.

Diese Liste ist der eigentliche Aufwand, und sie schrumpft nicht mit der Betriebsgröße. Was sich unterscheidet, ist die Tiefe der Dokumentation: Ein Handwerksbetrieb braucht kein Verzeichnis mit 80 Verfahren, aber eines, das seine tatsächlichen Abläufe abbildet.

Interner oder externer Datenschutzbeauftragter

Wer intern benennt, muss zwei Dinge beachten. Erstens die Fachkunde nach Art. 37 Abs. 5 DSGVO, die laufend fortzubilden ist, auf Kosten des Unternehmens. Zweitens den Interessenkonflikt aus Art. 38 Abs. 6 DSGVO: Wer über Verarbeitungszwecke mitentscheidet, kann sich nicht selbst kontrollieren. Damit fallen Geschäftsführung, IT-Leitung und Personalleitung als Kandidaten aus, was in kleineren Betrieben den Kreis schnell leert.

Hinzu kommt der Kündigungsschutz: Nach § 38 Abs. 2 BDSG in Verbindung mit § 6 Abs. 4 BDSG ist die Abberufung eines pflichtgemäß benannten internen Datenschutzbeauftragten nur unter engen Voraussetzungen möglich, und der Schutz wirkt über die Funktion hinaus nach. Eine externe Benennung vermeidet beides und macht die Kosten planbar. Sie ersetzt aber nicht die Mitwirkung im Betrieb: Ohne Ansprechpartner, der Auskunft über Systeme und Abläufe gibt, kann auch ein externer Datenschutzbeauftragter kein belastbares Verzeichnis führen.