Die DSGVO gilt für jedes Unternehmen – auch für Einzelunternehmer. Die 10 wichtigsten Pflichten, wann ein Datenschutzbeauftragter nötig ist und welche Bußgelder drohen. CERTISCAN ist DSGVO-konform (AES-256, Hetzner DE).
Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 – und sie gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Auch für den Handwerksbetrieb mit 3 Mitarbeitern, die Arztpraxis oder das Reinigungsunternehmen mit 50 Teilzeitkräften. CERTISCAN ist selbst vollständig DSGVO-konform: AES-256-Verschlüsselung, Hosting bei Hetzner in Deutschland, regelmäßige Penetrationstests und Auftragsverarbeitungsvertrag (AVV) inklusive.
Viele kleine Unternehmen glauben, die DSGVO betreffe nur Großkonzerne. Das ist ein gefährlicher Irrtum. Die Aufsichtsbehörden der Bundesländer haben ihre Prüfkapazitäten in den letzten Jahren massiv ausgebaut und gehen zunehmend auch gegen KMU vor. Die Berliner Datenschutzaufsicht hat 2025 allein 847 Bußgelder gegen Unternehmen mit weniger als 50 Mitarbeitern verhängt. Hinzu kommen Abmahnungen durch Wettbewerber und Beschwerden von Kunden oder Mitarbeitern bei der Aufsichtsbehörde.
Die häufigsten Auslöser für Datenschutzverfahren gegen KMU sind:
Ja, die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet – unabhängig von der Größe. Auch ein Einzelunternehmer, der Kundendaten in einer Excel-Tabelle speichert, unterliegt der DSGVO. Es gibt keine Bagatellgrenze.
In Deutschland muss ein Datenschutzbeauftragter bestellt werden, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§38 BDSG). Unabhängig von der Mitarbeiterzahl ist ein DSB nötig, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht.
Jedes Unternehmen muss dokumentieren, welche personenbezogenen Daten es zu welchem Zweck verarbeitet. Das Verarbeitungsverzeichnis muss mindestens enthalten:
Mehr Details und eine Vorlage finden Sie in unserem Artikel zum Verarbeitungsverzeichnis.
| Kriterium | DSB erforderlich? |
|---|---|
| Ab 20 Mitarbeitern mit automatisierter Datenverarbeitung | Ja |
| Kerntätigkeit: umfangreiche Verarbeitung besonderer Daten | Ja, unabhängig von Mitarbeiterzahl |
| Kerntätigkeit: systematische Überwachung von Personen | Ja, unabhängig von Mitarbeiterzahl |
| Weniger als 20 MA, keine besonderen Daten | Nein (aber empfohlen) |
| Unternehmen mit Videoüberwachung öffentlicher Bereiche | Ja (umstritten, aber empfohlen) |
Der DSB kann intern oder extern bestellt werden. Interne DSBs genießen Sonderkündigungsschutz (§38 Abs. 2 i.V.m. §6 Abs. 4 BDSG). Externe DSBs kosten typischerweise 200-500 EUR/Monat. Prüfen Sie mit dem DSB-Pflicht-Rechner, ob Sie einen Datenschutzbeauftragten benötigen.
Bei jeder Datenerhebung müssen Betroffene informiert werden – in klarer, verständlicher Sprache. Die Information muss den Zweck der Verarbeitung, die Rechtsgrundlage, die Speicherdauer und die Betroffenenrechte umfassen. Typische Anwendungsfälle:
Wenn Sie Dienstleister einsetzen, die in Ihrem Auftrag personenbezogene Daten verarbeiten, benötigen Sie einen AVV. Ohne AVV riskieren Sie ein Bußgeld. Typische Auftragsverarbeiter:
Angemessene Schutzmaßnahmen für personenbezogene Daten – der Umfang richtet sich nach dem Risiko der Verarbeitung:
Datenschutzverletzungen müssen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. Bei hohem Risiko für Betroffene müssen auch diese informiert werden. Beispiele für meldepflichtige Datenpannen: Verlust eines Laptops mit Kundendaten, Hackerangriff auf die Kundendatenbank, versehentlicher E-Mail-Versand an falschen Empfänger mit sensiblen Daten.
Betroffene haben umfangreiche Rechte, die Sie innerhalb eines Monats beantworten müssen:
Bei Verarbeitungen mit hohem Risiko muss vor Beginn eine Folgenabschätzung durchgeführt werden. Dies betrifft KMU vor allem bei Videoüberwachung, systematischem Monitoring von Mitarbeitern und Verarbeitung von Gesundheitsdaten.
Neue Systeme und Prozesse müssen von Anfang an datenschutzfreundlich gestaltet werden. CERTISCAN setzt dieses Prinzip konsequent um: Datensparsamkeit, Pseudonymisierung und rollenbasierte Zugriffsrechte sind Standard. Keine unnötigen Daten werden erhoben, und der Zugriff ist auf das Notwendige beschränkt.
Sie müssen jederzeit nachweisen können, dass Sie die DSGVO einhalten. Dokumentation ist daher entscheidend – und hier hilft der revisionssichere Audit-Trail von CERTISCAN, der jede Datenverarbeitung mit SHA-256-Hash-Chain protokolliert.
Die theoretischen Maximalbußgelder von 20 Mio. EUR treffen in der Praxis nur Großkonzerne. Für KMU sieht die Realität anders aus – aber die Beträge sind dennoch schmerzhaft:
| Verstoß | Typisches Bußgeld KMU | Beispiel |
|---|---|---|
| Fehlende Datenschutzerklärung | 5.000 – 15.000 EUR | Website ohne DSE |
| Kein Verarbeitungsverzeichnis | 5.000 – 25.000 EUR | Prüfung durch Aufsichtsbehörde |
| Fehlender AVV | 5.000 – 10.000 EUR | Cloud-Dienst ohne Vertrag |
| Datenpanne nicht gemeldet | 10.000 – 50.000 EUR | Laptop mit Kundendaten verloren |
| Unzulässige Videoüberwachung | 5.000 – 20.000 EUR | Kamera im Pausenraum |
| Fehlende Einwilligung (Newsletter) | 5.000 – 10.000 EUR | Werbemails ohne Opt-in |
| Kein DSB trotz Pflicht | 10.000 – 25.000 EUR | Ab 20 MA ohne DSB |
| Unzulässige Weitergabe an Dritte | 10.000 – 30.000 EUR | Kundendaten ohne AVV weitergegeben |
Neben den Bußgeldern drohen Schadenersatzansprüche von Betroffenen (Art. 82 DSGVO) und Abmahnkosten von Wettbewerbern. Die Gesamtkosten eines Datenschutzverstoßes können daher deutlich über dem Bußgeld liegen.
CERTISCAN erfüllt als B2B-SaaS-Plattform selbst höchste Datenschutzanforderungen:
| Kriterium | CERTISCAN | Datenschutz-Generator | Externen DSB beauftragen | Selbst machen |
|---|---|---|---|---|
| AVV inklusive | Ja | Nein | Ja (stellt bereit) | Manuell erstellen |
| Verarbeitungsverzeichnis | Im Audit-Trail |
Die DSGVO stellt Anforderungen, die für KMU durchaus umsetzbar sind. Die wichtigsten Schritte: Verarbeitungsverzeichnis führen, AVVs mit Dienstleistern abschließen, Datenschutzerklärung aktuell halten und Mitarbeiter regelmäßig sensibilisieren. Mit einem DSGVO-konformen Tool wie CERTISCAN reduzieren Sie Ihr Risiko erheblich – und können sich auf Ihr Kerngeschäft konzentrieren. Prüfen Sie Ihren ESG- und Compliance-Status mit dem kostenlosen Check.
Die DSGVO sieht Bußgelder von bis zu 20 Millionen EUR oder 4 % des weltweiten Jahresumsatzes vor (Art. 83 DSGVO). In der Praxis bei KMU bewegen sich die Bußgelder typischerweise zwischen 5.000 und 50.000 EUR.
Grundsätzlich ja. Art. 30 DSGVO verpflichtet zur Führung eines Verzeichnisses der Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern greift in der Praxis fast nie.
| Ja (erstellt) |
| Manuell erstellen |
| Kosten/Monat | Ab 29 EUR | 0-50 EUR | 200-500 EUR | 0 EUR (+ hoher Zeitaufwand) |
| Hosting DE | Ja | Teilweise | – | – |
| Mitarbeiterschulung | FAQ + Docs | Nein | Ja | Manuell |
| Audit-Trail | SHA-256 | Nein | Nein | Nein |
| Datenpannen-Prozess | Integriert | Nein | Ja | Manuell |