DSGVO Pflichten verstehen und umsetzen - Alles, was Unternehmen über die Datenschutz-Grundverordnung wissen müssen

Fragen und Antworten

• Was passiert, wenn ich die DSGVO ignoriere?

  Die Nichtbeachtung der DSGVO ist kein Kavaliersdelikt, sondern kann gravierende Folgen haben – sowohl rechtlich als auch wirtschaftlich. Wer als Unternehmen die Regelungen ignoriert oder fahrlässig handelt, riskiert unter anderem:

  • Hohe Bußgelder: Je nach Schwere des Verstoßes drohen Strafen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
    Beispiel: Ein international tätiger Konzern kann so Millionenbeträge verlieren, aber auch kleine Unternehmen wurden bereits mit fünfstelligen Summen belegt.

  • Abmahnungen und Unterlassungsklagen: Wettbewerber oder Verbraucherschutzverbände können DSGVO-Verstöße abmahnen. Es drohen nicht nur Kosten für die Abmahnung, sondern auch gerichtliche Auseinandersetzungen.

  • Vertrauensverlust: Datenpannen und fehlende Transparenz führen schnell zu Imageverlust, Kundenabwanderung und schlechter Presse. Besonders in Zeiten von Datenschutz-Sensibilität ist das fatal.

  • Behördliche Prüfungen: Datenschutzbehörden können Prüfungen anordnen, Einsicht in Dokumentationen verlangen und vor Ort Kontrollen durchführen.

  Kurz gesagt: Ignorieren ist keine Option – die Risiken sind zu hoch, die Umsetzungspflichten zu konkret und die Aufsichtsbehörden wachsam.

• Gilt die DSGVO auch für kleine Unternehmen?

  Ja, die DSGVO gilt ausnahmslos für alle Unternehmen, unabhängig von Größe, Rechtsform oder Branche. Also auch für:

  • Einzelunternehmen

  • Start-ups

  • Online-Shops

  • Vereine und Freiberufler:innen

  Es gibt keine pauschale Ausnahme für „Kleinstunternehmen“, auch wenn sich einige Erleichterungen ergeben können, z. B.:

  • Bei weniger als 250 Mitarbeitenden entfällt die Pflicht zum umfassenden Verzeichnis der Verarbeitungstätigkeiten – es sei denn, es werden regelmäßig sensible Daten verarbeitet oder ein Risiko für Rechte und Freiheiten der Betroffenen besteht.

  • Kleine Unternehmen müssen nicht zwingend einen Datenschutzbeauftragten benennen – aber sie müssen die DSGVO trotzdem vollumfänglich einhalten.

  Besonders im E-Commerce, bei Kundenkommunikation oder bei der Verarbeitung von Mitarbeiterdaten gelten alle Pflichten uneingeschränkt.

  💡 Tipp: Auch kleine Unternehmen profitieren von einem sauberen Datenschutzkonzept, weil es Vertrauen schafft und Risiken minimiert.

• Muss ich einen Datenschutzbeauftragten bestellen?

  Ob ein Unternehmen oder eine Organisation eine:n Datenschutzbeauftragte:n benennen muss, hängt von bestimmten Faktoren ab:

  Pflicht zur Benennung besteht bei:

  1. Mindestens 20 Personen, die regelmäßig mit personenbezogenen Daten arbeiten. Das gilt z. B. für Unternehmen mit Kundendaten, CRM-Systemen oder Lohnabrechnungen.

  2. Wenn sensible Daten verarbeitet werden, z. B.:

     • Gesundheitsdaten

     • Religionszugehörigkeit

     • biometrische Daten

  3. Wenn die Verarbeitung besonders überwachungsintensiv ist, z. B. bei Videoüberwachung oder bei der systematischen Bewertung von Personen (Scoring, Profiling).

  4. Wenn die Verarbeitung im Auftrag Dritter erfolgt, z. B. als IT-Dienstleister oder Cloud-Anbieter.

  Was macht ein:e Datenschutzbeauftragte:r?

  • Beratung und Schulung von Mitarbeitenden
  • Kontrolle der Einhaltung der DSGVO
  • Kommunikation mit Aufsichtsbehörden
  • Dokumentation und Prüfung von Prozessen
  • Unterstützung bei Datenschutz-Folgenabschätzungen

  💡 Tipp: Der oder die Datenschutzbeauftragte kann intern oder extern sein. Kleine Unternehmen greifen oft auf externe Dienstleister zurück, was rechtlich völlig zulässig und oft effizienter ist.

• Müssen Mitarbeitende zur DSGVO geschult werden – und wenn ja, wie oft?

  Ja, eine regelmäßige Schulung der Mitarbeiterinnen und Mitarbeiter ist nicht nur sinnvoll, sondern laut DSGVO sogar verpflichtend – zumindest indirekt. Denn Unternehmen tragen die volle Verantwortung dafür, dass alle Personen, die mit personenbezogenen Daten arbeiten, mit den Grundprinzipien der DSGVO vertraut sind.

  Das betrifft insbesondere:

  • Mitarbeiterinnen und Mitarbeiter im Kundenservice, Vertrieb, Personalwesen oder Marketing
  • IT-Fachkräfte
  • Führungskräfte
  • sowie alle anderen, die mit personenbezogenen Daten umgehen

  Wie oft sollten Schulungen stattfinden?

  • Grundschulung bei Eintritt ins Unternehmen oder bei DSGVO-Umstellungen
  • Auffrischung mindestens einmal jährlich oder bei relevanten Änderungen (z. B. neuer Datenschutzbeauftragter, neue Tools, neue Prozesse)
  • Anlassbezogen, z. B. nach einer Datenpanne oder nach Einführung eines neuen Systems

  Was sollte eine DSGVO-Schulung beinhalten?

  • Grundlagen des Datenschutzes und rechtlicher Rahmen
  • Rechte der Betroffenen
  • Was sind personenbezogene Daten?
  • Technische und organisatorische Maßnahmen
  • Verhalten im Alltag (z. B. E-Mail, Passwortsicherheit, mobiles Arbeiten)
  • Meldepflichten bei Datenschutzvorfällen

  Empfohlene DSGVO-Schulung 

  Für alle, die in der Finanzbranche tätig sind (z. B. als Versicherungs- oder Finanzberater:innen), empfehlen wir die kompakte und praxisnahe Online-Schulung der Akademie für Finanzberatung:

  DSGVO & Datenschutz – WBThek® Online-Kurs

  Vorteile dieser Schulung:

  • speziell zugeschnitten auf die Finanzdienstleistungsbranche
  • kompakt und praxisnah
  • vollständig online und flexibel abrufbar
  • inklusive Teilnahmezertifikat zur Nachweisführung gegenüber Aufsichtsbehörden