DSGVO für Unternehmen: Der komplette Leitfaden zur Datenschutz-Compliance

Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 und hat den Umgang mit personenbezogenen Daten in Europa grundlegend verändert. Für Unternehmen bedeutet dies umfangreiche Pflichten, deren Nichteinhaltung empfindliche Bußgelder nach sich ziehen kann. Dieser umfassende Leitfaden zeigt Ihnen Schritt für Schritt, wie Sie Ihr Unternehmen DSGVO-konform aufstellen.

Wichtiger Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Bei komplexen Datenverarbeitungen oder Unsicherheiten sollten Sie einen spezialisierten Datenschutzanwalt oder Datenschutzbeauftragten konsultieren.

DSGVO-Grundlagen: Was Unternehmer wissen müssen

Die DSGVO (Verordnung (EU) 2016/679) regelt die Verarbeitung personenbezogener Daten durch Unternehmen, Behörden und andere Organisationen. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) ergänzt.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Die Definition ist bewusst weit gefasst:

Direkt identifizierende Daten:

Name, Adresse, Geburtsdatum
E-Mail-Adresse, Telefonnummer
Personalausweisnummer, Sozialversicherungsnummer
Bankverbindung, Kreditkartennummer

Indirekt identifizierende Daten:

IP-Adresse, Cookie-Identifier
Standortdaten, GPS-Koordinaten
Gerätekennungen (Device ID)
Online-Kennungen und Pseudonyme

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):

Gesundheitsdaten
Biometrische Daten
Genetische Daten
Religiöse oder weltanschauliche Überzeugungen
Politische Meinungen
Gewerkschaftszugehörigkeit
Daten zur sexuellen Orientierung

Diese sensiblen Daten unterliegen einem grundsätzlichen Verarbeitungsverbot mit engen Ausnahmen.

Die wichtigsten Grundsätze der Datenverarbeitung

Art. 5 DSGVO definiert sechs zentrale Grundsätze, die bei jeder Datenverarbeitung einzuhalten sind:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Daten dürfen nur auf einer Rechtsgrundlage verarbeitet werden, und Betroffene müssen informiert werden.
Zweckbindung: Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden.
Datenminimierung: Es dürfen nur die Daten erhoben werden, die für den Zweck erforderlich sind.
Richtigkeit: Daten müssen sachlich richtig und aktuell sein.
Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist.
Integrität und Vertraulichkeit: Angemessene Sicherheit der Daten muss gewährleistet sein.

Zusätzlich gilt der Grundsatz der Rechenschaftspflicht: Sie müssen die Einhaltung dieser Grundsätze nachweisen können.

Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Art. 6 DSGVO nennt sechs mögliche Rechtsgrundlagen, von denen für Unternehmen hauptsächlich vier relevant sind:

1. Einwilligung (Art. 6 Abs. 1 lit. a)

Die Einwilligung ist die bekannteste, aber nicht immer die beste Rechtsgrundlage.

Anforderungen an eine wirksame Einwilligung:

Freiwillig erteilt (kein Kopplungsverbot umgehen)
Für den bestimmten Fall gegeben (nicht pauschal)
Informiert abgegeben (Kenntnis der Konsequenzen)
Unmissverständlich erklärt (keine Opt-out-Konstruktionen)
Jederzeit widerrufbar (Widerruf muss so einfach sein wie die Erteilung)

Geeignet für:

Newsletter-Anmeldungen
Marketing-Kommunikation
Tracking und Analyse über das technisch Notwendige hinaus
Verarbeitung besonderer Datenkategorien

Nicht empfehlenswert für:

Daten, die zur Vertragserfüllung benötigt werden
Situationen mit Machtungleichgewicht (z.B. Arbeitsverhältnis)

2. Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Die solideste Rechtsgrundlage für die meisten Geschäftsprozesse.

Voraussetzungen:

Vertragsverhältnis mit der betroffenen Person besteht
Datenverarbeitung ist für die Vertragserfüllung erforderlich
Oder: Datenverarbeitung für vorvertragliche Maßnahmen auf Anfrage

Beispiele:

Kundendaten für Bestellabwicklung
Lieferadresse für Versand
Zahlungsdaten für Rechnungsstellung
Kontaktdaten für Kundenservice

Grenzen:

Keine Verarbeitung für Marketingzwecke
Keine Erstellung von Kundenprofilen

3. Berechtigte Interessen (Art. 6 Abs. 1 lit. f)

Eine flexible, aber sorgfältig abzuwägende Rechtsgrundlage.

Dreistufige Prüfung erforderlich:

Liegt ein berechtigtes Interesse des Verantwortlichen vor?
Ist die Verarbeitung zur Wahrung dieses Interesses erforderlich?
Überwiegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht?

Typische berechtigte Interessen:

Direktwerbung an Bestandskunden (mit Widerspruchsmöglichkeit)
IT-Sicherheit und Missbrauchsbekämpfung
Betrugsverhinderung
Interne Verwaltungszwecke
Geltendmachung rechtlicher Ansprüche

Dokumentationspflicht: Die Interessenabwägung sollte schriftlich dokumentiert werden.

4. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)

Wenn eine gesetzliche Pflicht zur Datenverarbeitung besteht.

Beispiele:

Aufbewahrungspflichten nach HGB und AO
Meldepflichten an Behörden
Arbeitsrechtliche Dokumentationspflichten
Geldwäschegesetz-Anforderungen

Informationspflichten: Transparenz schaffen

Die DSGVO verpflichtet Sie, Betroffene umfassend über die Datenverarbeitung zu informieren. Diese Pflichten sind in Art. 13 (Datenerhebung beim Betroffenen) und Art. 14 (Datenerhebung aus anderen Quellen) geregelt.

Pflichtinformationen nach Art. 13 DSGVO

Bei der Erhebung von Daten direkt beim Betroffenen müssen Sie informieren über:

Identität und Kontakt:

Name und Kontaktdaten des Verantwortlichen
Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)

Verarbeitungsdetails:

Zwecke der Verarbeitung
Rechtsgrundlage der Verarbeitung
Bei berechtigten Interessen: Welche Interessen
Empfänger oder Kategorien von Empfängern
Absicht der Übermittlung in Drittländer (mit Angabe der Schutzmaßnahmen)

Speicherung und Rechte:

Speicherdauer oder Kriterien für die Festlegung
Bestehen eines Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit
Bei Einwilligung: Recht auf Widerruf
Beschwerderecht bei einer Aufsichtsbehörde
Ob Bereitstellung gesetzlich oder vertraglich vorgeschrieben ist
Gegebenenfalls: Informationen zu automatisierter Entscheidungsfindung

Zeitpunkt der Information

Datenerhebung beim Betroffenen: Zum Zeitpunkt der Erhebung
Datenerhebung aus anderen Quellen: Innerhalb eines Monats, spätestens bei erster Kommunikation

Datenschutzerklärung erstellen

Die Datenschutzerklärung ist das zentrale Dokument, um Ihre Informationspflichten zu erfüllen. Jede Website und jede App benötigt eine eigene, auf die tatsächlichen Datenverarbeitungen abgestimmte Datenschutzerklärung.

Aufbau einer Datenschutzerklärung

Eine vollständige Datenschutzerklärung sollte folgende Abschnitte enthalten:

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf dieser Website:
[Firmenname]
[Adresse]
E-Mail: [E-Mail]
Telefon: [Telefon]

2. Datenschutzbeauftragter (falls vorhanden)

3. Allgemeine Informationen zur Datenverarbeitung

Umfang der Verarbeitung
Rechtsgrundlagen
Speicherdauer
Ihre Rechte

4. Datenverarbeitung auf der Website

Hosting und Server-Logfiles
Kontaktformulare
Newsletter
Cookies und Tracking
Eingebundene Dienste (Google Analytics, Social Media, etc.)

5. Datenverarbeitung bei Vertragsbeziehungen

Kundendaten
Bestellabwicklung
Zahlungsdienstleister

6. Betroffenenrechte

Detaillierte Erläuterung aller Rechte

7. Aktualität und Änderungen

Häufige Fehler bei Datenschutzerklärungen

Unvollständigkeit: Nicht alle Datenverarbeitungen aufgeführt
Allgemeine Textbausteine: Ohne Anpassung an die tatsächliche Verarbeitung
Veraltete Angaben: Nach Website-Änderungen nicht aktualisiert
Fehlende Rechtsgrundlagen: Nur Zwecke genannt, nicht die Rechtsgrundlagen
Unklare Empfänger: Keine konkreten Angaben zu Drittanbietern
Versteckte Platzierung: Nicht leicht auffindbar auf der Website

Datenschutzerklärung für Kunden und Mitarbeiter

Neben der Website-Datenschutzerklärung benötigen Sie separate Informationen für:

Kunden: Bei Vertragsschluss oder Erstkontakt
Mitarbeiter: Bei Einstellung (Teil der Arbeitsunterlagen)
Bewerber: Bei Erhalt der Bewerbung
Lieferanten und Geschäftspartner: Bei Aufnahme der Geschäftsbeziehung

Verarbeitungsverzeichnis (VVT) führen

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist eine zentrale Dokumentationspflicht.

Wer muss ein VVT führen?

Grundsätzlich sind alle Unternehmen verpflichtet, ein VVT zu führen. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern greift praktisch nie, da sie nur gilt, wenn die Verarbeitung:

Nur gelegentlich erfolgt
Kein Risiko für Betroffene birgt
Keine besonderen Datenkategorien umfasst

Fazit: Praktisch jedes Unternehmen muss ein VVT führen.

Inhalt des Verarbeitungsverzeichnisses

Für jede Verarbeitungstätigkeit müssen dokumentiert werden:

Pflichtangaben nach Art. 30 Abs. 1 DSGVO:

Name und Kontaktdaten des Verantwortlichen
Name und Kontaktdaten des DSB (falls vorhanden)
Zwecke der Verarbeitung
Kategorien betroffener Personen
Kategorien personenbezogener Daten
Kategorien von Empfängern
Übermittlungen in Drittländer (mit Schutzmaßnahmen)
Vorgesehene Löschfristen
Beschreibung der technischen und organisatorischen Maßnahmen

Empfohlene Zusatzangaben:

Rechtsgrundlage der Verarbeitung
Verantwortliche Fachabteilung
Verwendete IT-Systeme
Auftragsverarbeiter

Typische Verarbeitungstätigkeiten

Für die meisten Unternehmen relevant:

Personalverwaltung
Lohn- und Gehaltsabrechnung
Kundenverwaltung/CRM
Buchhaltung und Rechnungswesen
Website-Betrieb
E-Mail-Kommunikation
Newsletter-Versand
Videoüberwachung (falls vorhanden)
Zutrittskontrolle
Bewerbermanagement

Auftragsverarbeitung (AVV) regeln

Wenn Sie personenbezogene Daten durch externe Dienstleister verarbeiten lassen, liegt eine Auftragsverarbeitung vor, die einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erfordert.

Wann liegt Auftragsverarbeitung vor?

Typische Auftragsverarbeiter:

Cloud-Dienste (Hosting, Speicher)
Newsletter-Dienste (Mailchimp, CleverReach)
CRM-Systeme
Lohnbuchhaltungsdienstleister
IT-Wartung mit Datenzugriff
Callcenter
Aktenvernichtungsunternehmen
Marketing-Agenturen (mit Datenzugriff)

Keine Auftragsverarbeitung:

Steuerberater und Rechtsanwälte (eigene Verantwortliche)
Banken bei Zahlungsabwicklung
Post- und Paketdienste
Rein technische Dienstleistungen ohne Datenzugriff

Pflichtinhalte eines AVV

Ein AVV muss mindestens folgende Punkte regeln:

Gegenstand und Dauer der Verarbeitung
Art und Zweck der Verarbeitung
Art der personenbezogenen Daten
Kategorien betroffener Personen
Pflichten und Rechte des Verantwortlichen
Weisungsgebundenheit des Auftragsverarbeiters
Vertraulichkeitsverpflichtung der Mitarbeiter
Technische und organisatorische Maßnahmen
Bedingungen für Unterauftragsverarbeiter
Unterstützung bei Betroffenenrechten
Unterstützung bei Meldepflichten
Löschung nach Beendigung
Nachweispflichten und Audits

Praktische Umsetzung

Bestandsaufnahme:

Liste aller Dienstleister erstellen, die Zugriff auf personenbezogene Daten haben
Prüfen, ob bereits AVV vorhanden sind
Fehlende AVV einfordern oder selbst anbieten

Tipp: Die meisten Cloud-Dienste bieten Standard-AVV an, die online akzeptiert werden können. Prüfen Sie diese auf Vollständigkeit.

Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verpflichtet Unternehmen, angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu implementieren.

Schutzziele

Die TOMs müssen vier Schutzziele gewährleisten:

Vertraulichkeit:

Zugangskontrollen (physisch und logisch)
Berechtigungskonzepte
Verschlüsselung
Pseudonymisierung

Integrität:

Eingabekontrollen
Protokollierung
Schutz vor Manipulation

Verfügbarkeit:

Backup-Systeme
Notfallpläne
Redundanz

Belastbarkeit:

Wiederherstellbarkeit
Regelmäßige Tests

Maßnahmenkatalog

Zutrittskontrolle (physisch):

Schließsysteme, Schlüsselregelungen
Besucherregelungen
Alarmanlage
Videoüberwachung von Eingängen

Zugangskontrolle (Systeme):

Passwortrichtlinien
Zwei-Faktor-Authentifizierung
Automatische Bildschirmsperre
Verschlüsselung von Datenträgern

Zugriffskontrolle (Daten):

Berechtigungskonzept nach dem Minimalprinzip
Protokollierung von Zugriffen
Regelmäßige Überprüfung von Berechtigungen

Weitergabekontrolle:

Verschlüsselung bei Übertragung (TLS/SSL)
VPN für Remote-Zugriff
Sichere E-Mail (bei sensiblen Daten)

Eingabekontrolle:

Protokollierung von Änderungen
Versionierung

Verfügbarkeitskontrolle:

Regelmäßige Backups
USV-Anlagen
Brandschutz
Notfallplan

Trennungskontrolle:

Trennung von Test- und Produktivsystemen
Mandantentrennung

Betroffenenrechte: Anfragen richtig bearbeiten

Die DSGVO gewährt betroffenen Personen umfangreiche Rechte, die Sie innerhalb eines Monats erfüllen müssen.

Übersicht der Betroffenenrechte

Auskunftsrecht (Art. 15): Betroffene können Auskunft verlangen über:

Ob Daten verarbeitet werden
Welche Daten verarbeitet werden
Zwecke, Empfänger, Speicherdauer
Herkunft der Daten
Kopie der Daten

Recht auf Berichtigung (Art. 16): Unrichtige Daten müssen korrigiert werden.

Recht auf Löschung (Art. 17): Löschung bei:

Wegfall des Verarbeitungszwecks
Widerruf der Einwilligung
Widerspruch gegen die Verarbeitung
Unrechtmäßiger Verarbeitung

Recht auf Einschränkung (Art. 18): Daten werden gesperrt statt gelöscht, z.B. während einer Prüfung.

Recht auf Datenübertragbarkeit (Art. 20): Daten in strukturiertem, maschinenlesbarem Format herausgeben.

Widerspruchsrecht (Art. 21): Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.

Prozess für Betroffenenanfragen

Eingang: Anfrage registrieren, Frist notieren (1 Monat)
Identitätsprüfung: Bei Zweifeln Identität verifizieren
Prüfung: Welche Daten sind vorhanden? Welches Recht wird geltend gemacht?
Umsetzung: Auskunft erteilen, Daten löschen, etc.
Dokumentation: Vorgang dokumentieren
Antwort: Fristgerecht und vollständig antworten

Datenschutzbeauftragter: Wann Pflicht?

Die Bestellung eines Datenschutzbeauftragten (DSB) ist in bestimmten Fällen Pflicht.

Pflicht zur Bestellung

Ein DSB muss bestellt werden, wenn:

Mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (BDSG)
Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht
Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder von Daten über Straftaten besteht
Verarbeitungen durchgeführt werden, die einer Datenschutz-Folgenabschätzung unterliegen

Typische Fälle mit DSB-Pflicht:

Arztpraxen und Krankenhäuser
Rechtsanwälte und Steuerberater
Personalvermittlungen
Auskunfteien und Scoringunternehmen
Marktforschungsunternehmen
Online-Händler ab 20 Mitarbeitern

Interner vs. externer DSB

Interner DSB:

Mitarbeiter des Unternehmens
Kündigungsschutz (1 Jahr nach Ende der Tätigkeit)
Muss qualifiziert sein
Interessenkonflikte vermeiden (nicht IT-Leiter, Geschäftsführer)

Externer DSB:

Beauftragung eines Dienstleisters
Flexibler kündbar
Oft kostengünstiger für KMU
Breitere Erfahrung

Aufgaben des DSB

Unterrichtung und Beratung des Unternehmens
Überwachung der Einhaltung der DSGVO
Beratung bei Datenschutz-Folgenabschätzungen
Zusammenarbeit mit der Aufsichtsbehörde
Anlaufstelle für Betroffene

Bußgelder und Risiken

Die DSGVO sieht empfindliche Sanktionen bei Verstößen vor. Die deutschen Aufsichtsbehörden sind zunehmend aktiv.

Bußgeldrahmen

Bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes (höherer Wert) bei:

Fehlenden technischen und organisatorischen Maßnahmen
Fehlendem Verarbeitungsverzeichnis
Fehlendem AVV
Fehlender Benennung eines DSB (wenn Pflicht)
Verstößen gegen Privacy by Design/Default

Bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes bei:

Verarbeitung ohne Rechtsgrundlage
Verstößen gegen Betroffenenrechte
Unrechtmäßiger Datenübermittlung in Drittländer
Verstößen gegen Informationspflichten

Praktische Bußgeldrisiken

Häufige Verstöße in der Praxis:

Fehlende oder mangelhafte Datenschutzerklärung
Newsletter ohne wirksame Einwilligung
Fehlende AVV mit Dienstleistern
Verspätete Bearbeitung von Betroffenenanfragen
Fehlende Cookie-Einwilligung
Videoüberwachung ohne Hinweisschilder
Datenpannen nicht gemeldet

Weitere Risiken:

Abmahnungen durch Wettbewerber oder Verbraucherverbände
Schadensersatzansprüche Betroffener (Art. 82 DSGVO)
Reputationsschäden
Vertrauensverlust bei Kunden

DSGVO-Checkliste für Unternehmen

Nutzen Sie diese Checkliste, um Ihren DSGVO-Compliance-Status zu überprüfen:

Grundlagen

Datenschutzerklärung für Website erstellt und aktuell
Datenschutzhinweise für Kunden vorhanden
Datenschutzhinweise für Mitarbeiter vorhanden
Datenschutzhinweise für Bewerber vorhanden

Dokumentation

Verarbeitungsverzeichnis (VVT) erstellt
VVT enthält alle relevanten Verarbeitungstätigkeiten
Rechtsgrundlagen für alle Verarbeitungen dokumentiert
Löschfristen definiert

Einwilligungen

Newsletter nur mit Double-Opt-In
Einwilligungen nachweisbar dokumentiert
Widerrufsmöglichkeit einfach und kommuniziert
Cookie-Consent-Banner DSGVO-konform

Auftragsverarbeitung

Liste aller Auftragsverarbeiter erstellt
AVV mit allen Auftragsverarbeitern abgeschlossen
Drittlandtransfers geprüft und abgesichert

Technische und organisatorische Maßnahmen

TOMs dokumentiert
Zugangs- und Zugriffskontrollen implementiert
Verschlüsselung für sensible Daten
Backup-Konzept vorhanden und getestet
Mitarbeiter geschult und sensibilisiert

Betroffenenrechte

Prozess für Betroffenenanfragen definiert
Verantwortlichkeiten festgelegt
Fristenkontrolle sichergestellt

Datenschutzbeauftragter

Pflicht zur DSB-Bestellung geprüft
Falls erforderlich: DSB bestellt und gemeldet

Datenpannen

Prozess für Datenpannen-Management definiert
Meldepflicht an Aufsichtsbehörde (72 Stunden) bekannt
Benachrichtigungspflicht an Betroffene bekannt

Regelmäßige Überprüfung

Jährliche Überprüfung der Datenschutz-Compliance geplant
Datenschutzerklärung bei Änderungen aktualisieren
VVT bei neuen Verarbeitungen ergänzen
TOMs regelmäßig überprüfen

Fazit: DSGVO-Compliance als Wettbewerbsvorteil

Die DSGVO-Compliance erscheint auf den ersten Blick als bürokratische Last, bietet aber auch Chancen. Ein transparenter und verantwortungsvoller Umgang mit Kundendaten schafft Vertrauen und kann zum Differenzierungsmerkmal werden.

Die wichtigsten Punkte zusammengefasst:

Rechtsgrundlage vor Verarbeitung: Prüfen Sie für jede Datenverarbeitung die passende Rechtsgrundlage.
Transparenz schaffen: Informieren Sie Betroffene umfassend und verständlich.
Dokumentation ist Pflicht: VVT, TOMs und AVV müssen vorhanden und aktuell sein.
Betroffenenrechte ernst nehmen: Anfragen fristgerecht und vollständig bearbeiten.
Technische Sicherheit: Implementieren Sie angemessene Schutzmaßnahmen.
Datenschutzbeauftragten prüfen: Stellen Sie fest, ob Sie einen DSB benötigen.
Regelmäßig überprüfen: DSGVO-Compliance ist ein kontinuierlicher Prozess.

Unser Rat: Beginnen Sie mit einer Bestandsaufnahme Ihrer Datenverarbeitungen und arbeiten Sie die Checkliste Schritt für Schritt ab. Bei komplexen Fragen oder Unsicherheiten ziehen Sie einen spezialisierten Datenschutzberater hinzu. Die Investition in professionelle Datenschutz-Compliance zahlt sich durch vermiedene Bußgelder und gestärktes Kundenvertrauen aus.

Weitere rechtliche Grundlagen für Ihr Unternehmen finden Sie in unseren Artikeln zu AGB erstellen und Vertragsrecht Grundlagen. Für die rechtliche Struktur Ihres Unternehmens beachten Sie auch unseren Rechtsformen-Überblick.

Hinweis: Dieser Artikel wurde mit größter Sorgfalt erstellt, ersetzt jedoch keine individuelle Rechtsberatung. Für die konkrete Umsetzung in Ihrem Unternehmen konsultieren Sie bitte einen Datenschutzexperten oder Rechtsanwalt.