Ein Geschäftsführer erhält morgens eine E-Mail seiner IT-Abteilung: Ein externer Dienstleister hat Kundendaten auf einem ungeschützten Server abgelegt. Die Frage, die sich sofort stellt, lautet nicht nur: Was ist passiert? Sondern: Bin ich persönlich haftbar? Und: Was muss ich innerhalb der nächsten Stunden tun?
DSGVO-Compliance für Unternehmen bedeutet die systematische Umsetzung der Vorgaben der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) im Betriebsalltag — von der Vertragsgestaltung mit Dienstleistern über technisch-organisatorische Maßnahmen bis hin zur Dokumentation gegenüber der Aufsichtsbehörde. Verstöße können mit Bußgeldern von bis zu 20 Mio. € oder bis zu 4 % des weltweiten Jahresumsatzes geahndet werden; daneben droht Geschäftsführern die persönliche zivilrechtliche Inanspruchnahme. Dieser Beitrag zeigt, welche Pflichten für den Mittelstand unmittelbar gelten, wo die größten Haftungsrisiken liegen und wie eine strukturierte Compliance-Architektur aufgebaut wird.
Im Folgenden erläutern wir den geltenden Rechtsrahmen, die zentralen Handlungsfelder, die Rolle des Datenschutzbeauftragten, die 72-Stunden-Meldepflicht, die Prüfungslogik der Aufsichtsbehörden sowie die konkreten nächsten Schritte für Geschäftsführer im Mittelstand.
Rechtsrahmen: Was gilt für Unternehmen in Deutschland?
Die rechtliche Grundlage der DSGVO-Compliance für Unternehmen bildet ein zweigliedriges System: Auf europäischer Ebene gilt die Datenschutz-Grundverordnung unmittelbar in jedem Mitgliedstaat; auf nationaler Ebene ergänzt das Bundesdatenschutzgesetz (BDSG) die DSGVO um spezifisch deutsche Öffnungsklauseln und Regelungen, insbesondere für das Beschäftigtendatenschutzrecht.
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten — also Informationen, die sich auf eine identifizierbare natürliche Person beziehen — im Rahmen einer Tätigkeit einer deutschen oder europäischen Niederlassung verarbeitet. Auch rein national tätige Mittelständler sind ohne Ausnahme erfasst. Das Marktortprinzip nach Art. 3 Abs. 2 DSGVO weitet den Anwendungsbereich zudem auf außereuropäische Anbieter aus, die gezielt Waren oder Dienstleistungen in der EU anbieten.
In der Mandatspraxis sehen wir häufig die irrtümliche Annahme, die DSGVO betreffe vor allem große Konzerne oder Technologieunternehmen. Das Gegenteil ist richtig: Für inhabergeführte Unternehmen ab einer Handvoll Beschäftigter gelten nahezu sämtliche Kernpflichten der DSGVO uneingeschränkt. Bereits die Führung einer Kundendatenbank, die Nutzung eines Newsletter-Dienstleisters oder die Verarbeitung von Bewerberdaten begründen vollumfängliche Compliance-Pflichten.
Das BDSG modifiziert und ergänzt dabei die DSGVO in mehreren praxisrelevanten Bereichen: § 26 BDSG regelt den Datenschutz im Beschäftigungsverhältnis, §§ 38 ff. BDSG die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten, und § 83 BDSG enthält eigene Bußgeldvorschriften. Geschäftsführer sind gut beraten, beide Regelwerke als untrennbare Einheit zu verstehen.
Welche konkreten Pflichten treffen Geschäftsführer unmittelbar?
Geschäftsführer haften für DSGVO-Verstöße nicht nur als Organvertreter ihrer Gesellschaft, sondern können im Einzelfall persönlich zivilrechtlich in Anspruch genommen werden — etwa wenn Gesellschafter Schadensersatz nach § 43 Abs. 2 GmbHG geltend machen, weil der Geschäftsführer die Einrichtung eines Compliance-Systems schuldhaft unterlassen hat. Diese persönliche Haftungsdimension wird im Mittelstand nach unserer Erfahrung regelmäßig unterschätzt.
Zu den unmittelbaren Pflichten des Verantwortlichen nach der DSGVO zählen im Kern:
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Jedes Unternehmen mit in der Regel mehr als 250 Beschäftigten ist zur Führung eines vollständigen Verarbeitungsverzeichnisses verpflichtet; unterhalb dieser Schwelle gilt die Pflicht dennoch, soweit die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten betrifft.
- Rechtsgrundlage für jede Verarbeitungstätigkeit (Art. 6 DSGVO): Ohne Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse oder einen anderen anerkannten Erlaubnistatbestand ist jede Datenverarbeitung rechtswidrig.
- Technisch-organisatorische Maßnahmen (Art. 25, 32 DSGVO): Der Stand der Technik, die Implementierungskosten und die Schwere der Risiken bestimmen, welche Sicherheitsmaßnahmen konkret erforderlich sind.
- Betroffenenrechte (Art. 12–22 DSGVO): Auskunftsersuchen nach Art. 15 DSGVO müssen grundsätzlich binnen eines Monats beantwortet werden (Art. 12 Abs. 3 DSGVO).
- Auftragsverarbeitungsverträge (Art. 28 DSGVO): Jeder externe Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, muss vertraglich nach Art. 28 DSGVO gebunden werden.
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist eine förmliche Folgenabschätzung zwingend.
Wer diese Pflichten dokumentiert und nachweisen kann, ist im Prüfungsfall erheblich besser gestellt. Aufsichtsbehörden verlangen bei Beschwerden oder Prüfungen den urkundlichen Nachweis — nicht nur mündliche Zusicherungen.
Wo liegen die größten Haftungsrisiken für den Mittelstand?
Im mittelständischen Alltag konzentrieren sich die Haftungsrisiken auf wenige, häufig wiederkehrende Konstellationen. Die Praxis zeigt, dass Datenpannen, lückenhafte Auftragsverarbeitungsverträge und fehlerhafte Einwilligungsprozesse die häufigsten Auslöser behördlicher Verfahren sind.
Datenpannen und die 72-Stunden-Meldepflicht: Jede Verletzung des Schutzes personenbezogener Daten (sogenannte „Datenpanne"), die zu einem Risiko für natürliche Personen führt, muss nach Art. 33 DSGVO binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Diese Frist läuft ab dem Zeitpunkt, zu dem der Verantwortliche — d. h. das Unternehmen, nicht erst die Geschäftsführung — Kenntnis erlangt. Versäumnisse bei dieser Meldepflicht werden von den Datenschutzaufsichtsbehörden der Länder regelmäßig als eigenständiger Pflichtverstoß gewertet und können die Höhe eines Bußgelds spürbar erhöhen.
Wann muss zusätzlich die betroffene Person benachrichtigt werden? Art. 34 DSGVO verlangt die Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat. Diese zweistufige Prüfung — Risiko für die Allgemeinheit versus hohes Risiko für den Einzelnen — ist eine der anspruchsvollsten Einschätzungen im Datenpannenmanagement. Sie ist möglichst mit anwaltlicher Unterstützung vorzunehmen.
Auftragsverarbeitungsverträge bilden ein weiteres kritisches Feld. Fehlt der Vertrag nach Art. 28 DSGVO vollständig, liegt bereits darin ein bußgeldbewehrter Verstoß. Inhaltliche Lücken — etwa unzureichende Regelungen zu Sub-Auftragsverarbeitern, Löschpflichten oder technisch-organisatorischen Maßnahmen — können die Haftungsposition des Unternehmens gegenüber der Aufsichtsbehörde erheblich verschlechtern.
Einwilligungsprozesse im digitalen Marketing sind ebenfalls ein dauerhafter Prüfungsschwerpunkt der Behörden. Cookie-Consent-Banner müssen technisch so gestaltet sein, dass eine Einwilligung tatsächlich freiwillig, informiert und eindeutig erteilt wird. Vorausgefüllte Checkboxen, irreführende Formulierungen oder die fehlende Möglichkeit, eine Einwilligung gleich leicht zu widerrufen wie zu erteilen, führen regelmäßig zu Beanstandungen.
Wann ist ein Datenschutzbeauftragter zu bestellen?
Die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten ergibt sich für Unternehmen in Deutschland primär aus § 38 BDSG. Danach ist ein Datenschutzbeauftragter zu bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben begründet Art. 37 DSGVO unabhängig von dieser Schwelle eine Bestellungspflicht, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen, regelmäßigen und systematischen Überwachung betroffener Personen besteht oder wenn besondere Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten u. Ä.) in großem Umfang verarbeitet werden.
Der Datenschutzbeauftragte kann intern bestellt oder extern mandatiert werden. In der Praxis wählen mittelständische Unternehmen häufig den externen Datenschutzbeauftragten, weil dieser weisungsunabhängiger agiert, keine Abberufungsrisiken nach Art. 38 Abs. 3 DSGVO begründet und die interne Compliance-Kultur durch sein externes Know-how anreichert. Der Datenschutzbeauftragte ist frühzeitig in alle Projekte einzubinden, die Verarbeitungstätigkeiten berühren — nicht erst, wenn ein Problem bereits eingetreten ist.
Nach unserer Erfahrung besteht in vielen Mittelstandsunternehmen Unsicherheit darüber, ob die Bestellungspflicht tatsächlich greift. Die Zählung der „20 Personen" erfasst sämtliche Mitarbeiterinnen und Mitarbeiter, die mit dem Computer arbeiten und dabei auf personenbezogene Daten zugreifen — also nicht nur die IT-Abteilung, sondern auch Vertrieb, Buchhaltung und Personalwesen. Die Schwelle ist damit in den meisten Betrieben mit mehr als 20 Beschäftigten regelmäßig überschritten.
Wie prüfen Datenschutzaufsichtsbehörden im Mittelstand?
Die deutschen Datenschutzaufsichtsbehörden — in jedem Bundesland jeweils zuständig für privatrechtliche Stellen sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) für öffentliche Stellen des Bundes und bestimmte Sektoren — verfolgen heute einen risikobasierten Prüfungsansatz. Auslöser für Verfahren sind in der Praxis vor allem: Beschwerden betroffener Personen, gemeldete Datenpannen, öffentlich bekannt gewordene Vorfälle und anlasslose Querschnittsprüfungen bestimmter Branchen oder Verarbeitungsformen.
Was passiert, wenn eine Behörde ein Verfahren einleitet? In einem typischen behördlichen Prüfungsverfahren fordert die Aufsichtsbehörde zunächst schriftliche Stellungnahmen und die Vorlage von Dokumenten an — insbesondere das Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Einwilligungserklärungen und Nachweise über technisch-organisatorische Maßnahmen. Unvollständige oder inkonsistente Unterlagen verschlechtern die Verhandlungsposition erheblich. Ist die Dokumentation hingegen lückenlos, bietet sie dem Unternehmen eine belastbare Grundlage, um die Verhältnismäßigkeit eines etwaigen Bußgelds zu verhandeln.
Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder bis zu 4 % des gesamten weltweiten Jahresumsatzes betragen — je nachdem, welcher Betrag höher ist. Der bloße Hinweis, man sei ein kleines Unternehmen, schützt vor hohen Bußgeldern nicht automatisch. Die Behörden sind angehalten, Bußgelder effektiv, verhältnismäßig und abschreckend zu gestalten. Der Europäische Datenschutzausschuss hat Leitlinien zur Bußgeldbemessung veröffentlicht, die neben dem Umsatz auch Schwere des Verstoßes, Zahl der Betroffenen, Kooperationsbereitschaft des Unternehmens und getroffene Abhilfemaßnahmen berücksichtigen.
Ein Praxis-Faktor, der häufig übersehen wird: Kooperation zahlt sich aus. Unternehmen, die nach Bekanntwerden eines Verstoßes proaktiv auf die Aufsichtsbehörde zugehen, Abhilfemaßnahmen dokumentieren und konstruktiv mitwirken, erhalten in der Regel niedrigere Bußgelder als Unternehmen, die abwarten oder mauern.
Praxisfall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen aus der Konsumgüterbranche. Ausgangslage: Im Rahmen einer Kundenbeschwerden zu Werbemails hatte die zuständige Landesbehörde eine förmliche Anfrage gestellt und die Vorlage aller Auftragsverarbeitungsverträge mit dem eingesetzten E-Mail-Marketing-Dienstleister gefordert. Der Vertrag fehlte vollständig. Vorgehen: Die Kanzlei erarbeitete innerhalb weniger Tage einen vollständigen Auftragsverarbeitungsvertrag, ließ ihn von beiden Seiten unterzeichnen und legte der Behörde gleichzeitig eine strukturierte Stellungnahme vor, die auch die eingeleiteten technisch-organisatorischen Maßnahmen und eine überarbeitete Einwilligungslösung dokumentierte. Ergebnis: Das Verfahren wurde nach Abgabe der Stellungnahme ohne förmliche Bußgeldentscheidung eingestellt; das Unternehmen verfügt seither über eine vollständige Compliance-Dokumentation. Keine Erfolgsgarantie — jeder Fall ist einzeln zu bewerten.
Aufbau einer DSGVO-Compliance-Architektur: Schritt für Schritt
Ein belastbares DSGVO-Compliance-System lässt sich nicht mit einer einmaligen Aktion erreichen. Es erfordert eine dauerhaft gepflegte Compliance-Architektur, die auf vier Säulen beruht: Bestandsaufnahme, Dokumentation, Umsetzung und Monitoring.
Bestandsaufnahme (Datenschutz-Audit): Am Anfang steht eine vollständige Erhebung aller Verarbeitungstätigkeiten — strukturiert nach Abteilungen, Systemen und Dienstleistern. Diese Bestandsaufnahme liefert die Grundlage für das Verarbeitungsverzeichnis und deckt Lücken in den Rechtsgrundlagen auf.
Dokumentation: Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist das Herzstück der Compliance-Dokumentation. Hinzu kommen: datenschutzrechtliche Einwilligungserklärungen, Datenschutzhinweise für Kunden und Mitarbeiter (Art. 13, 14 DSGVO), Auftragsverarbeitungsverträge (Art. 28 DSGVO), technisch-organisatorische Maßnahmenbeschreibungen (Art. 32 DSGVO), ggf. Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie interne Richtlinien und Schulungsnachweise.
Umsetzung: Technische Maßnahmen — Verschlüsselung, Zugriffskontrolle, Protokollierung, Backup-Konzepte — müssen dem Stand der Technik entsprechen und laufend angepasst werden. Organisatorische Maßnahmen umfassen klare Verantwortlichkeiten, Schulungsprogramme für Mitarbeiter und definierte Prozesse für Betroffenenanfragen sowie Datenpannen.
Monitoring: DSGVO-Compliance ist kein Projekt mit Endtermin, sondern ein laufender Prozess. Verarbeitungstätigkeiten ändern sich, neue Dienstleister werden eingebunden, die Rechtsprechung entwickelt sich weiter. Ein jährliches Datenschutz-Review sowie anlassbezogene Prüfungen bei neuen IT-Projekten oder Produkteinführungen sind in der Praxis das Minimum.
In der Mandatspraxis beraten wir regelmäßig Unternehmen, die nach einem behördlichen Schreiben oder einer intern entdeckten Datenpanne einen vollständigen Compliance-Aufbau nachholen müssen. Der Aufwand ist dann erheblich größer als bei einem geordneten, proaktiven Aufbau — und die Ausgangslage gegenüber der Behörde ungünstiger.
Drittlandübermittlung: Was gilt bei Datenverarbeitung außerhalb der EU?
Ein in der Praxis dauerhaft relevantes Thema ist die Übermittlung personenbezogener Daten in Länder außerhalb der EU und des EWR — sogenannte Drittlandübermittlungen. Art. 44 ff. DSGVO legen fest, dass solche Übermittlungen nur zulässig sind, wenn ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt, Standarddatenschutzklauseln (SCC) vereinbart wurden, verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) gelten oder eine der engen Ausnahmen nach Art. 49 DSGVO eingreift.
Besondere Aufmerksamkeit gilt den USA: Das EU-US Data Privacy Framework (DPF), das seit Juli 2023 als Angemessenheitsbeschluss gilt, ermöglicht unter bestimmten Voraussetzungen die Datenübermittlung an zertifizierte US-Unternehmen. Für nicht zertifizierte US-Dienstleister bleiben die Standarddatenschutzklauseln (SCC) in der Fassung von 2021 das zentrale Instrument. Die genaue Prüfung, welches Instrument für welchen Dienstleister geeignet ist, empfiehlt sich mit anwaltlicher Unterstützung.
Für mittelständische Unternehmen kommt die Drittlandproblematik häufig über vermeintlich harmlose Standardsoftware ins Haus: Cloud-Dienste amerikanischer Anbieter, Videokonferenzdienste, CRM-Systeme oder E-Mail-Marketing-Plattformen übertragen personenbezogene Daten in Drittstaaten, ohne dass dies dem Verantwortlichen bewusst ist. Eine regelmäßige Überprüfung der eingesetzten Dienstleister auf ihre Drittland-Übermittlungen ist daher Teil jeder soliden DSGVO-Compliance-Architektur.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance im Mittelstand. Ihr konkreter Fall erfordert die Prüfung Ihrer individuellen Verarbeitungstätigkeiten, bestehender Vertragswerke und der einschlägigen Entscheidungspraxis der zuständigen Aufsichtsbehörde. Für eine fachliche Einschätzung Ihrer Datenschutz-Compliance schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen zur DSGVO-Compliance für Unternehmen
Ab welcher Unternehmensgröße gilt die DSGVO?
Die DSGVO gilt unabhängig von der Unternehmensgröße für jedes Unternehmen, das personenbezogene Daten verarbeitet und dabei eine Niederlassung in der EU hat oder Angebote gezielt an Personen in der EU richtet. Es gibt keine Umsatz- oder Mitarbeiterschranke, unterhalb derer die DSGVO vollständig unanwendbar wäre. Lediglich einige spezifische Pflichten — etwa das Verarbeitungsverzeichnis — sind in ihrem Anwendungsbereich eingeschränkt, wenn Verarbeitungen nur gelegentlich stattfinden und kein erhöhtes Risiko besteht. In der Praxis sind mittelständische Unternehmen ab einer Handvoll Mitarbeiterinnen und Mitarbeiter vollumfänglich betroffen.
Was passiert, wenn ein Unternehmen einen Datenschutzverstoß nicht meldet?
Wird eine meldepflichtige Datenpanne nicht binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet, stellt bereits die unterlassene Meldung einen eigenständigen Verstoß gegen Art. 33 DSGVO dar. Die Behörde kann diesen separat ahnden — unabhängig davon, ob der ursprüngliche Datenschutzverstoß selbst schwerwiegend war. Bußgelder nach Art. 83 DSGVO können bis zu 10 Mio. € oder bis zu 2 % des weltweiten Jahresumsatzes für diese Kategorie von Verstößen betragen. Zudem verschlechtert eine versäumte Meldung die Verhandlungsposition im Verfahren erheblich.
Muss jedes Unternehmen einen Datenschutzbeauftragten bestellen?
Nicht jedes Unternehmen ist zur Bestellung verpflichtet. Nach § 38 BDSG greift die Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Art. 37 DSGVO begründet darüber hinaus eine Pflicht unabhängig von der Beschäftigtenzahl, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien oder in der systematischen Überwachung von Personen besteht. Liegt keine gesetzliche Pflicht vor, empfiehlt sich die freiwillige Bestellung dennoch, da ein Datenschutzbeauftragter als Ansprechpartner für Betroffene und Behörden die Compliance-Glaubwürdigkeit des Unternehmens stärkt.
Welche Dokumente sollte ein mittelständisches Unternehmen für die DSGVO-Compliance bereithalten?
Zum Mindestbestand der DSGVO-Dokumentation gehören: das Verarbeitungsverzeichnis (Art. 30 DSGVO), Datenschutzhinweise für Kunden und Beschäftigte (Art. 13, 14 DSGVO), Auftragsverarbeitungsverträge mit allen externen Dienstleistern, die Daten im Auftrag verarbeiten (Art. 28 DSGVO), Nachweise zu technisch-organisatorischen Maßnahmen (Art. 32 DSGVO) sowie Einwilligungsdokumentationen. Bei risikoreichen Verarbeitungen ist zusätzlich eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) zu erstellen und zu dokumentieren. Im Prüfungsfall müssen diese Unterlagen kurzfristig vorgelegt werden können.
Wie lange darf ein Unternehmen personenbezogene Daten speichern?
Die DSGVO schreibt keine fixen Aufbewahrungsfristen vor. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen personenbezogene Daten nur so lange aufbewahrt werden, wie es für den jeweiligen Zweck erforderlich ist. Außerhalb dieses Zwecks darf die Speicherung nur noch für Archivzwecke im öffentlichen Interesse, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke erfolgen. In der Praxis sind außerdem steuerrechtliche und handelsrechtliche Aufbewahrungsfristen zu berücksichtigen, die gesondert gelten und die DSGVO-Löschpflicht vorübergehend überlagern können. Die genauen Fristen sind im Einzelfall anwaltlich zu prüfen.
Die vorstehende Darstellung betrifft die wesentlichen Regelfälle der DSGVO-Compliance für Unternehmen in Deutschland. Ihr konkreter Compliance-Bedarf erfordert die Prüfung Ihrer spezifischen Verarbeitungstätigkeiten, Ihrer eingesetzten Dienstleister und der für Ihr Unternehmen maßgeblichen Aufsichtsbehörde. Zur Klärung, wie eine strukturierte DSGVO-Compliance für Ihr Unternehmen aussehen kann, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.