Einer der hartnäckigsten Mythen im europäischen Geschäftsleben lautet: „Wir sind zu klein, als dass die DSGVO für uns gilt.“ Er wird in Facebook-Gruppen wiederholt, unter Unternehmern weitergegeben und täglich von Tausenden kroatischen und europäischen KMU angenommen.
Er ist völlig falsch.
Die DSGVO gilt für Ihr Unternehmen unabhängig von Größe, Umsatz oder Mitarbeiterzahl. Wenn Sie personenbezogene Daten von Personen in der EU erheben, speichern oder verarbeiten — eine Kontaktformular-Einsendung, eine Newsletter-Anmeldung, eine Kundenbestellung — sind Sie im Anwendungsbereich. Punkt.
Dieser Leitfaden erklärt, was die DSGVO eigentlich ist, was sie in verständlicher Sprache von Ihnen verlangt, und die 7 praktischen Schritte, die jedes kleine Unternehmen 2026 gehen muss.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung (EU) 2016/679 — DSGVO — ist ein Gesetz der Europäischen Union, das am 25. Mai 2018 in Kraft trat. Sie ersetzte einen Flickenteppich nationaler Datenschutzgesetze der EU-Mitgliedstaaten durch einen einheitlichen Rahmen, der regelt, wie personenbezogene Daten erhoben, verarbeitet, gespeichert und gelöscht werden müssen.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Dazu gehören:
- Namen, E-Mail-Adressen, Telefonnummern
- IP-Adressen und Cookie-Kennungen
- Standortdaten
- Fotos und Videoaufnahmen
- Geschäftliche Kontaktdaten (wenn sie zur Ansprache von Einzelpersonen genutzt werden)
- Jede Kombination von Daten, die eine Person identifizieren könnte
Wenn Sie eine Website mit Kontaktformular betreiben, verarbeiten Sie personenbezogene Daten. Wenn Sie einen Newsletter versenden, verarbeiten Sie personenbezogene Daten. Wenn Sie Google Analytics nutzen, verarbeiten Sie personenbezogene Daten. Die Schwelle ist niedrig — mit Absicht.
Gilt die DSGVO für kleine Unternehmen?
Die kurze Antwort: ja — mit einer engen Ausnahme.
Artikel 30 Abs. 5 DSGVO sieht eine begrenzte Befreiung von der Pflicht vor, detaillierte schriftliche Verzeichnisse der Verarbeitungstätigkeiten zu führen, für Organisationen mit weniger als 250 Beschäftigten, aber nur wenn die Verarbeitung:
- gelegentlich erfolgt (nicht systematisch oder regelmäßig)
- voraussichtlich kein Risiko für Betroffene birgt
- keine Daten besonderer Kategorien betrifft (Gesundheit, Religion, sexuelle Orientierung usw.)
Diese Ausnahme ist enger, als die meisten KMU annehmen. Wenn Sie regelmäßig Newsletter versenden, einen Onlineshop betreiben oder Analysetools nutzen, ist Ihre Verarbeitung systematisch — nicht gelegentlich. Die Ausnahme gilt nicht für Sie.
Alle übrigen DSGVO-Pflichten gelten unabhängig von der Unternehmensgröße. Dazu gehören die Pflicht zu einer Rechtsgrundlage für die Verarbeitung, eine Datenschutzerklärung, ein Cookie-Einwilligungsmechanismus und die Fähigkeit, auf Betroffenenanfragen zu antworten.
Die Durchsetzungsdaten bestätigen, dass das nicht theoretisch ist. Ein Bericht der slowakischen Datenschutzbehörde von 2024 ergab, dass 62 % der DSGVO-Bußgelder jenes Jahres an Unternehmen mit weniger als 50 Beschäftigten gingen, bei einem durchschnittlichen Bußgeld von 8.200 €. Das höchste Bußgeld in diesem Zeitraum betrug 94.000 € — gegen einen Onlineshop, der Betroffenenanfragen falsch behandelte. Das sind keine Konzernsummen, aber für ein kleines Unternehmen existenzbedrohend.
Die 7 Kernanforderungen der DSGVO an Ihr Unternehmen
1. Eine Rechtsgrundlage für jede Verarbeitungstätigkeit
Nach Artikel 6 DSGVO dürfen Sie personenbezogene Daten nur mit einer gültigen Rechtsgrundlage verarbeiten. Es gibt sechs Optionen, aber für die meisten KMU sind nur zwei relevant:
Einwilligung (Art. 6 Abs. 1 lit. a) — Die Person hat klar und aktiv zugestimmt, dass ihre Daten für einen bestimmten Zweck verarbeitet werden. Das brauchen Sie für Newsletter-Abos, Marketing-E-Mails und nicht notwendige Cookies.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Sie haben einen echten geschäftlichen Grund, der die Rechte der Person nicht überwiegt. Das gilt etwa für grundlegende Sicherheitsprotokolle der Website oder die Verarbeitung von Anfragedaten, um auf eine Nachricht zu antworten.
Das entscheidende Wort ist spezifisch. Vage Formulierungen wie „zur Verbesserung unserer Dienste“ reichen nicht. Jede Verarbeitungstätigkeit braucht ihren eigenen ausdrücklichen, dokumentierten Zweck. Die Aufsichtsbehörden prüfen das seit 2024 aktiv.
2. Eine Datenschutzerklärung, die wirklich etwas erklärt
Ihre Datenschutzerklärung ist keine Formalität — sie ist ein nach Artikel 13 und 14 DSGVO vorgeschriebenes Rechtsdokument. Sie muss Besuchern sagen:
- Welche personenbezogenen Daten Sie erheben und warum
- Die Rechtsgrundlage jeder Verarbeitungstätigkeit
- Wie lange Sie Daten aufbewahren
- Mit wem Sie sie teilen (einschließlich Drittanbieter-Tools wie Mailchimp, Google Analytics, Stripe)
- Die Rechte nach der DSGVO (Auskunft, Löschung, Übertragbarkeit, Widerspruch)
- Wie man Sie mit einer Datenanfrage erreicht
- Das Recht auf Beschwerde bei einer Aufsichtsbehörde
Eine generische, aus dem Internet kopierte Datenschutzerklärung erfüllt diese Anforderungen mit ziemlicher Sicherheit nicht. Sie muss auf Ihr Unternehmen und Ihre tatsächlichen Datenflüsse zugeschnitten sein.
3. Ein konformes Cookie-Banner
Wenn Ihre Website Cookies verwendet, die über das für den Betrieb unbedingt Notwendige hinausgehen — und das tut fast jede Website — brauchen Sie einen Einwilligungsmechanismus.
Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Das bedeutet:
- Keine vorangekreuzten Kästchen
- Keine Formulierungen wie „Durch die weitere Nutzung stimmen Sie zu“
- Eine echte, gleich prominente Ablehnen-Option neben Akzeptieren
- Granulare Kontrollen nach Cookie-Kategorie
Wir behandeln das im Detail in unserem Begleitartikel: Die 5 häufigsten Cookie-Banner-Fehler.
4. Ein Mechanismus für Betroffenenrechte
Die DSGVO gibt Einzelpersonen acht Rechte über ihre personenbezogenen Daten. Am häufigsten ausgeübt werden:
- Auskunftsrecht (Art. 15): Das Recht, eine Kopie aller über sie gespeicherten personenbezogenen Daten zu erhalten
- Recht auf Löschung (Art. 17): Das „Recht auf Vergessenwerden“ — die Löschung der eigenen Daten verlangen
- Recht auf Datenübertragbarkeit (Art. 20): Die eigenen Daten in einem maschinenlesbaren Format erhalten
- Widerspruchsrecht (Art. 21): Widerspruch gegen Verarbeitung auf Basis berechtigten Interesses
Sie müssen auf diese Anfragen innerhalb von 30 Tagen kostenlos antworten können. Sie brauchen einen klaren Mechanismus — eine gekennzeichnete E-Mail-Adresse oder ein Webformular — über den Anfragen eingereicht werden können. Ihn in einer langen Datenschutzerklärung zu verstecken, reicht nicht.
5. Vereinbarungen mit Dritten (AV-Verträge nach Art. 28)
Jedes Drittanbieter-Tool, das personenbezogene Daten in Ihrem Auftrag verarbeitet — Ihre E-Mail-Plattform, Ihr CRM, Ihr Hosting-Anbieter, Ihr Analysetool — ist ein „Auftragsverarbeiter“ nach der DSGVO. Mit jedem brauchen Sie einen Auftragsverarbeitungsvertrag (AVV).
Die gute Nachricht: Die meisten seriösen SaaS-Anbieter stellen AVVs bereits in ihren Nutzungsbedingungen oder Rechtsdokumenten bereit. Sie müssen diese prüfen, bestätigen und dokumentieren.
6. Ein Cookie- und Datenverzeichnis
Sie können keine Daten schützen, von denen Sie nichts wissen. Der Rechenschaftsgrundsatz der DSGVO (Art. 5 Abs. 2) verlangt, dass Sie Compliance nachweisen können — und das beginnt damit zu wissen, welche Daten Sie erheben, wohin sie fließen und wie lange Sie sie aufbewahren.
Für die meisten kleinen Unternehmen ist das ein einfaches Dokument mit:
- Welche personenbezogenen Daten Sie erheben
- Woher sie stammen (Website-Formulare, E-Mail, Telefon)
- Wer sie verarbeitet (Sie, Drittanbieter-Tools)
- Wie lange Sie sie aufbewahren
- Wo sie gespeichert sind (EU/Nicht-EU)
7. Ein Plan für Datenpannen
Nach Artikel 33 DSGVO müssen Sie bei einer Verletzung des Schutzes personenbezogener Daten — ein Hack, eine versehentliche E-Mail an die falsche Person, ein verlorener Laptop — Ihre Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen. In Kroatien ist das die AZOP (Agencija za zaštitu osobnih podataka).
Das heißt nicht, ein komplexes Incident-Response-Team zu haben. Für ein kleines Unternehmen heißt es zu wissen: was eine Datenpanne ist, wen man kontaktiert (AZOP: azop.hr) und welche Informationen eine Meldung enthalten muss.
Verbreitete Mythen widerlegt
„Wir haben kein Büro in der EU, also gilt die DSGVO nicht.“
Falsch. Die DSGVO gilt für jede Organisation, die Daten von EU-Bürgern verarbeitet, unabhängig vom Sitz der Organisation. Ein US-Unternehmen mit EU-Kunden ist im Anwendungsbereich.
„Wir erheben nur geschäftliche E-Mail-Adressen, keine privaten.“
Geschäftliche E-Mail-Adressen im Format firstname.lastname@company.com sind personenbezogene Daten. Die DSGVO gilt.
„Wir haben ein Cookie-Banner, also sind wir konform.“
Ein Banner zu haben ist nicht dasselbe wie ein konformes Banner. Die meisten Cookie-Banner, die wir prüfen, weisen mindestens zwei bis drei Verstöße auf. Details in unserem Cookie-Artikel.
„Die DSGVO betrifft nur große Unternehmen.“
Die Durchsetzungsdaten aus der ganzen EU zeigen konsistent, dass KMU zunehmend im Fokus stehen. Die slowakische und die spanische Datenschutzbehörde verhängten 2024 mehr Bußgelder gegen kleine als gegen große Unternehmen.
Was passiert bei Nicht-Einhaltung?
Die Folgen der Nicht-Einhaltung lassen sich in drei Kategorien einteilen:
Behördliche Bußgelder — bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bei schweren Verstößen. Bei leichteren Verstößen bis zu 10 Millionen € oder 2 % des Umsatzes. Für ein KMU mit 1 Million € Umsatz bedeutet die obere Stufe 40.000 €.
Reputationsschaden — Datenpannen und DSGVO-Durchsetzungsmaßnahmen sind öffentlich. Ihre Wettbewerber, Kunden und Partner können sie sehen.
B2B-Vertragsrisiko — größere Kunden verlangen zunehmend von Lieferanten und Dienstleistern den Nachweis der DSGVO-Konformität als Geschäftsbedingung. Nicht-Einhaltung kann Aufträge kosten.
Wo Sie anfangen sollten
Der wirksamste Ausgangspunkt ist ein Compliance-Audit — zu verstehen, was Sie derzeit tun, wo die Lücken liegen und was behoben werden muss. Das muss weder teuer noch komplex sein.
Sie können jetzt sofort mit dem Tool oben auf dieser Seite ein kostenloses Audit Ihrer Website durchführen. Es prüft 10 kritische DSGVO-Anforderungen in unter 30 Sekunden und liefert eine priorisierte Liste dessen, was zu beheben ist.
Wenn Sie Hilfe bei der Umsetzung möchten, oder einfach jemanden, der Ihre Datenschutzerklärung und Ihr Cookie-Setup verständlich und ohne Juristenjargon prüft — genau das macht GDPRGard. Kostenlose Beratung buchen →
Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Bei komplexen Compliance-Situationen wenden Sie sich an eine qualifizierte Datenschutzfachkraft oder Anwältin.
Lesen Sie auch: