DSGVO klingt für viele kleine Unternehmen nach Papierflut und Anwaltskosten – dabei lässt sich der Großteil der Anforderungen mit überschaubarem, praktischem Aufwand erfüllen, wenn man weiß, worauf es wirklich ankommt. Wir setzen die DSGVO für kleine und mittlere Unternehmen um, mit Fokus auf das, was tatsächlich verpflichtend und sinnvoll ist – nicht auf das, was sich gut in einem Ordner macht, aber niemand liest.
Was die DSGVO von kleinen Unternehmen wirklich verlangt
Die Datenschutz-Grundverordnung gilt grundsätzlich für jedes Unternehmen, das personenbezogene Daten verarbeitet – und das tut praktisch jeder Betrieb, allein durch Kunden-, Mitarbeiter- oder Bewerberdaten. Die konkreten Pflichten unterscheiden sich aber deutlich nach Größe und Art der Verarbeitung: Ein Kleinunternehmer mit wenigen Kundendaten hat andere Anforderungen als ein Betrieb, der sensible Gesundheits- oder Finanzdaten verarbeitet.
Verzeichnis von Verarbeitungstätigkeiten
Kernstück der DSGVO-Dokumentation ist das Verzeichnis von Verarbeitungstätigkeiten: eine Übersicht, welche personenbezogenen Daten Sie zu welchem Zweck erheben, wie lange Sie diese speichern und wer darauf Zugriff hat. Das klingt aufwändiger, als es ist – für die meisten kleinen Unternehmen reicht ein übersichtliches, einige Seiten umfassendes Dokument, das wir gemeinsam mit Ihnen aus Ihren tatsächlichen Geschäftsprozessen ableiten, statt aus einer generischen Vorlage.
Technische und organisatorische Maßnahmen (TOM)
Die DSGVO verlangt „angemessene" technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten – ein bewusst unscharfer Begriff, der sich an Risiko und Betriebsgröße orientiert. In der Praxis bedeutet das: Zugriffsbeschränkungen, sodass nur befugte Mitarbeiter auf bestimmte Daten zugreifen können, eine Firewall und aktuelle Sicherheitssoftware, regelmäßige und getestete Backups, sowie Verschlüsselung besonders sensibler Daten. Wir setzen diese Maßnahmen technisch um und dokumentieren sie so, dass Sie den Nachweis bei einer Prüfung sofort erbringen können.
Datenschutzbeauftragter – ja oder nein?
Ein interner oder externer Datenschutzbeauftragter ist verpflichtend, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, oder bei bestimmten besonders sensiblen Verarbeitungen unabhängig von der Betriebsgröße. Viele kleinere Handwerksbetriebe oder Dienstleister fallen nicht darunter – müssen aber trotzdem die materiellen DSGVO-Pflichten wie das Verzeichnis und die TOMs erfüllen. Wir klären für Ihren konkreten Fall, ob und in welcher Form ein Datenschutzbeauftragter nötig ist.
Umgang mit Datenpannen
Kommt es zu einer Datenpanne – etwa ein verlorenes Notebook mit Kundendaten oder ein erfolgreicher Phishing-Angriff –, müssen bestimmte Vorfälle innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. Ohne einen vorher festgelegten Prozess geht in solchen Situationen wertvolle Zeit mit Unsicherheit verloren. Wir helfen Ihnen, einen klaren, kurzen Ablaufplan für den Ernstfall festzulegen.
So gehen wir die Umsetzung an
Nach einer Bestandsaufnahme Ihrer aktuellen Datenverarbeitung und IT-Sicherheit erstellen wir gemeinsam das Verzeichnis von Verarbeitungstätigkeiten, schließen technische Lücken und dokumentieren die Maßnahmen verständlich. Das Ziel ist eine DSGVO-Umsetzung, mit der Sie im Alltag arbeiten können, statt eines Aktenordners, der nach der Erstellung nie wieder angefasst wird.
Häufige Fragen zur DSGVO-Umsetzung
Über die häufigsten Fragen hinaus beraten wir Sie gerne zu Detailthemen wie Auftragsverarbeitungsverträgen mit Dienstleistern oder dem datenschutzkonformen Einsatz von Cloud-Diensten. Müssen ausgemusterte Festplatten oder Server DSGVO-konform entsorgt werden, übernehmen wir das ebenfalls – mehr dazu auf unserer Seite Festplatte DSGVO-konform löschen lassen.