Datenschutz: Was dein Unternehmen einhalten muss
Führst du eine Kundenliste mit Namen und Telefonnummern, verarbeitest du bereits personenbezogene Daten — und die Datenschutzgesetze, allen voran die DSGVO, gelten auch für dein Unternehmen, nicht nur für Konzerne. Die gute Nachricht: Das Wesentliche einzuhalten verlangt keine Rechtsabteilung — es verlangt fünf Prinzipien zu verstehen und ein Minimal-Kit aufzubauen.
6. Oktober 20255 Min. LesezeitIn diesem Artikel
Führst du eine Kundenliste mit Namen und Telefonnummern, verarbeitest du bereits personenbezogene Daten. Verschickst du WhatsApp-Aktionen, hast ein Formular auf deiner Website oder speicherst Kaufhistorien, verarbeitest du ziemlich viele davon. Und die Datenschutzgesetze — allen voran die DSGVO als weltweites Modell — gelten auch für dein Unternehmen, nicht nur für Konzerne: Bußgelder skalieren mit der Schwere, nicht nur mit der Größe.
Die gute Nachricht gegen den Schrecken: Das Wesentliche einzuhalten verlangt keine Rechtsabteilung — es verlangt, die fünf Prinzipien zu verstehen, die alle diese Gesetze teilen, und ein Minimal-Kit aufzubauen, das in Wochen steht. Dieser Guide gibt dir beides, plus die Karte der Punkte, an denen dein Geschäft unbemerkt Daten anfasst.
Was als personenbezogen zählt (mehr, als du denkst)
Personenbezogen ist jede Information, die eine Person identifiziert oder identifizierbar macht: Name, Telefon, E-Mail, Adresse, Ausweisnummer, Foto, eine Kaufhistorie mit Personenbezug — nach der DSGVO sogar die IP-Adresse. Und es gibt eine zweite Kategorie mit höherer Latte: die besonderen Kategorien — Gesundheit, Finanzen, Weltanschauung, Daten von Minderjährigen —, die verstärkten Schutz und in der Regel ausdrückliche Einwilligung verlangen. Die Faustregel: Wäre eine konkrete Person betroffen, wenn das Datum durchsickert, ist es personenbezogen; würde es ihr zudem peinlich oder ernsthaft schaden, ist es besonders schützenswert.
Die fünf Prinzipien, die alle Gesetze teilen
- Rechtsgrundlage: Du brauchst für jedes Datum einen gültigen Grund — die Einwilligung der Person, einen Vertrag, der es erfordert, oder eine gesetzliche Pflicht; "ich hab's und ich nutze es" ist keine Grundlage.
- Zweckbindung: Daten werden für das genutzt, was du beim Erheben gesagt hast — die fürs Koordinieren einer Lieferung gegebene Telefonnummer ist nicht automatisch ein Marketingkanal.
- Datenminimierung: Erhebe nur, was du brauchst; jedes zusätzliche Formularfeld ist zusätzliche Haftung ohne Nutzen.
- Betroffenenrechte: Die Person kann verlangen, ihre Daten zu sehen, zu korrigieren und — mit Nuancen — löschen zu lassen; dein Unternehmen muss antworten können.
- Sicherheit: Das Gespeicherte zu schützen ist nicht optional — es ist Teil des Gesetzes, und die Praktiken stehen im Guide zur Datensicherheit.
Wo dein Geschäft Daten anfasst (die Karte)
| Berührungspunkt | Erhobene Daten | Worauf achten |
|---|---|---|
| Webformulare | Name, E-Mail, Telefon, Anfrage | Verlinkte Datenschutzerklärung und minimale Felder — Details im Guide zu Formularen |
| Verkauf und Rechnung | Steuernummer, Adresse, Historie | Klare Rechtsgrundlage (der Vertrag/die Rechnung liefert sie) — aber nur für diesen Zweck |
| Marketing und Newsletter | E-Mail, Telefon, Verhalten | Dokumentierte Einwilligung und einfache Abmeldung in jedem Versand — die Zone der meisten Verstöße |
| Dienstleister und Werkzeuge | Deine Kundendaten, verarbeitet von Dritten (CRM, E-Mail, Cloud) | Auftragsverarbeitungsvertrag (AVV) — du haftest für das, was sie tun |
Die meistgebrochene Regel: Einwilligung wird nicht vermutet
Das Minimal-Kit der Einhaltung
- Mach das Inventar: welche Daten du hast, von wem, wo sie leben und wofür — ein Nachmittag Arbeit, der alles Weitere trägt.
- Veröffentliche eine Datenschutzerklärung in Klartext: was du erhebst, wozu, mit wem du teilst und wie man Rechte ausübt — von jedem Formular verlinkt und auf der Website sichtbar.
- Dokumentiere die Marketing-Einwilligung: wer wann und wie zugestimmt hat — und setze die Ein-Klick-Abmeldung in jeden Versand.
- Definiere den Rechte-Prozess: wer antwortet, wenn jemand seine Daten sehen oder löschen lassen will, und in wie vielen Tagen — die erste echte Anfrage soll dich nicht improvisierend erwischen.
- Deck deine Dienstleister ab: Prüfe, dass die Werkzeuge mit deinen Daten (CRM, E-Mail, Cloud) einen Auftragsverarbeitungsvertrag bieten — und beauftragst du eigene Software, gehören diese Pflichten in die Projektspezifikation.
Die Seite, von der niemand spricht: Einhaltung verkauft
Datenschutz wird meist als Last erzählt, hat aber ein kommerzielles Gesicht: Der Kunde, der ein kurzes Formular mit klarer Erklärung sieht, nur bekommt, was er zu bekommen akzeptierte, und sich mit einem Klick abmelden kann, vertraut mehr — und kauft mehr — als der, der sich beobachtet und bombardiert fühlt. Die Minimierung macht dich zudem billiger: Weniger Daten sind weniger Risiko, weniger Speicher und weniger Angriffsfläche. Und in Märkten, wo kaum jemand sauber arbeitet, hat das Unternehmen, das es tut, ein Seriositätsargument, das die Konkurrenz nicht über Nacht kopiert.
Häufige Fragen
Gelten diese Gesetze wirklich für meinen Fünf-Personen-Betrieb?
Ja — das Kriterium der Gesetze ist die Datenverarbeitung, nicht die Größe des Verarbeitenden. Was mit der Größe wechselt, ist die Intensität mancher formaler Pflichten: Das Verzeichnis von Verarbeitungstätigkeiten trifft praktisch alle, der Datenschutzbeauftragte wird erst ab bestimmten Schwellen (in Deutschland in der Regel ab 20 Personen mit ständiger Datenverarbeitung) oder bei sensiblen Daten Pflicht. Das Minimal-Kit dieses Guides deckt, was ein kleiner Betrieb praktisch braucht; prüfe die Details deines Landes.
Darf ich Bestandskunden Angebote schicken?
In Deutschland gibt es die Bestandskunden-Ausnahme des UWG: E-Mail-Werbung für ähnliche eigene Produkte an Kunden, deren Adresse du beim Verkauf erhalten hast — mit Hinweis auf Widerspruch bei Erhebung und in jeder Mail. Was fast kein Rahmen erlaubt: Nichtkunden ohne Einwilligung anzuschreiben oder Daten zweckfremd zu nutzen. Die sichere und wirksamere Praxis: die ausdrückliche Einwilligung im Verkaufsmoment erfragen — die meisten sagen Ja.
Was mache ich, wenn jemand die Löschung seiner Daten verlangt?
Zuerst die Identität prüfen (lösche niemandes Daten, weil ein Dritter es verlangt), dann unterscheiden: Marketingdaten werden schlicht gelöscht — es ist sein Recht; Daten mit gesetzlichen Pflichten (Rechnungen, Verträge, Gewährleistung) werden für die handels- und steuerrechtlichen Fristen aufbewahrt, und genau das erklärt man. Antworte innerhalb der DSGVO-Frist (ein Monat), dokumentiere das Getane und lösche auch in den Drittwerkzeugen (CRM, Verteiler) — das Datum, das in einer vergessenen Kopie überlebt, bleibt deine Verantwortung.
Brauche ich dafür einen Anwalt?
Für das Minimal-Kit in der Regel nicht: Inventar, Datenschutzerklärung auf Basis seriöser Vorlagen, dokumentierte Einwilligung und Rechte-Prozess schafft jedes geordnete Unternehmen. Der Anwalt lohnt sich in drei Szenarien: sensible Daten im Volumen (Gesundheit, Finanzen, Minderjährige), Datenübermittlung in Drittländer, oder ein Schreiben der Aufsichtsbehörde liegt auf dem Tisch. Die rentabelste Investition vor dem Anwalt: eine Stunde mit dem kostenlosen KMU-Leitfaden deiner Landesdatenschutzbehörde.