Die meisten KMU halten sich für ungefähr DSGVO-konform. Nachweisen können es die wenigsten, wenn eine Behörde, ein Kunde oder ein Investor fragt - und nur der Nachweis zählt. DSGVO-konform zu sein bedeutet, jederzeit zeigen zu können, welche personenbezogenen Daten Sie verarbeiten, warum, auf welcher Rechtsgrundlage und wie Sie sie schützen. Dieser Leitfaden macht das konkret: eine Selbstbewertung, eine DSGVO-Checkliste, die Sie heute durchgehen können, und einen strukturierten Plan, um Fehlendes zu schließen. Starten Sie mit der kostenlosen Bewertung unten und sehen Sie, wo Sie wirklich stehen.
- DSGVO-konform heißt: nachweisbar, nicht gut gemeint - eine Prüfung verlangt Dokumente, keine Zusicherungen.
- Sieben Kernpflichten decken den Großteil dessen ab, was ein KMU braucht: Rechtsgrundlage, Datenschutzerklärung, ROPA, Sicherheitsmaßnahmen, Meldeprozess, DPIA und ein DSB, wo nötig.
- Bußgelder können bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes erreichen, und der Geschäftsführer kann bei Aufsichtspflichtverletzungen zusätzlich persönlich haften (§130 OWiG, §43 GmbHG).
- Ein fokussierter 30-60-90-Tage-Plan bringt ein typisches KMU auf ein belastbares Fundament.
Beantworten Sie ein paar Ja/Nein-Fragen zu Ihren Daten, Ihrer Dokumentation und Ihrem Team. Sie erhalten sofort einen Überblick über Ihre Lücken und die vollständige Checkliste zum Download. Das ist die schnellste ehrliche Antwort auf die Frage „Sind wir DSGVO-konform?“.
Was bedeutet „DSGVO-konform“ wirklich?
Ist Compliance ein Zustand - oder ein Nachweis?
Ein Nachweis. Ein Unternehmen ist DSGVO-konform, wenn es vollständige, aktuelle Dokumentation vorlegen kann, die belegt, dass die Datenverarbeitung der Verordnung entspricht - selbst wenn die Verarbeitung ohnehin korrekt war. Artikel 5 DSGVO legt die Grundsätze fest, die jede Verarbeitung erfüllen muss: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Letztere ist der praktische Kern: Sie müssen Compliance nachweisen können, nicht nur behaupten.
Für ein KMU heißt das selten, dass im Umgang mit Daten grundsätzlich etwas falsch läuft. Es heißt: die Nachweise sind unvollständig - hier ein fehlendes Verzeichnis, dort eine veraltete Erklärung. Ein Beispiel: Sie nutzen ein CRM völlig rechtmäßig, haben den Verarbeitungsvorgang aber nie im ROPA erfasst - die Praxis stimmt, der Nachweis fehlt. DSGVO-konform zu werden ist vor allem die Arbeit, die bestehende Praxis sichtbar und überprüfbar zu machen. Der nächste Schritt ist zu wissen, welche Nachweise das genau sind.
Die 7 DSGVO-Anforderungen für Unternehmen
Was verlangt die Verordnung konkret von einem Unternehmen wie meinem?
Diese sieben Pflichten decken den Großteil der DSGVO-Anforderungen für Unternehmen ab. Gleichen Sie Ihren Ist-Zustand mit jeder ab - das ist das Rückgrat jeder ernsthaften Datenschutz-Risikobewertung.
| Pflicht | Artikel | Was das in der Praxis heißt |
|---|---|---|
| Rechtsgrundlage der Verarbeitung | Art. 6 | Jede Datennutzung braucht eine gültige Grundlage (Einwilligung, Vertrag, berechtigtes Interesse) - pro Verarbeitung dokumentiert |
| Transparenz / Datenschutzerklärung | Art. 13-14 | Eine klare Datenschutzerklärung, die Ihre tatsächlichen Tools benennt |
| Verzeichnis der Verarbeitungstätigkeiten (ROPA) | Art. 30 | Ein zentrales Verzeichnis jeder Verarbeitung mit Personenbezug |
| Technisch-organisatorische Maßnahmen (TOM) | Art. 32 | Konkrete Sicherheit: Verschlüsselung, Zugriffskontrolle, Backups, Logging |
| Meldeprozess bei Datenpannen | Artt. 33, 34 | Die Fähigkeit, eine Datenpanne binnen 72 Stunden zu melden und Betroffene bei hohem Risiko zu informieren |
| Datenschutz-Folgenabschätzung (DPIA) | Art. 35 | Risikobewertung für risikoreiche Verarbeitung - besonders KI-gestützte Entscheidungen |
| Datenschutzbeauftragter (DSB) | Art. 37 | Ein förmlich bestellter DSB, wo das Gesetz ihn verlangt |
Zwei davon tragen in der Praxis das meiste Gewicht: das ROPA, an dem alles andere hängt, und Ihre Sicherheitsmaßnahmen, die eine Behörde am genauesten prüft. Den vollständigen Aufbau der Dokumentationsebene zeigt unser Leitfaden zu ROPA & DSGVO-Dokumentation; ob Sie einen DSB bestellen müssen, klärt die Seite zum externen Datenschutzbeauftragten.
Die DSGVO-Checkliste für Unternehmen
Was muss konkret vorliegen - eine Checkliste, die ich durchgehen kann?
Gehen Sie die folgende DSGVO-Checkliste für Unternehmen durch. Wenn Sie zu jedem Punkt „ja, und ich kann das Dokument zeigen“ sagen können, haben Sie ein belastbares Fundament. Alles, was Sie nicht belegen können, ist eine Lücke.
- Rechtsgrundlage dokumentiert für jede Verarbeitung (Art. 6).
- Datenschutzerklärung veröffentlicht und aktuell - für Website, App und Kundenkommunikation, mit Nennung Ihrer konkreten Tools (Art. 13-14).
- Verzeichnis der Verarbeitungstätigkeiten (ROPA) gepflegt und überprüft, nicht einmal erstellt und vergessen (Art. 30).
- Auftragsverarbeitungsverträge (AVV) abgeschlossen mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet - Hosting, E-Mail, CRM, KI-Tools.
- Technisch-organisatorische Maßnahmen dokumentiert - Verschlüsselung, rollenbasierter Zugriff, getestete Backups, Logging (Art. 32).
- Meldeprozess für Datenpannen definiert - wer wird wie und innerhalb der 72-Stunden-Frist informiert (Art. 33).
- DPIA durchgeführt für jede risikoreiche Verarbeitung, inklusive KI-gestützter Entscheidungen über Personen (Art. 35).
- DSB bestellt, falls Ihr Unternehmen die Schwelle erreicht, und erreichbar (Art. 37-39).
- Prozess für Betroffenenanfragen - Auskunft, Berichtigung, Löschung, Widerspruch - mit definierter Reaktionszeit.
- Mitarbeitende geschult im Umgang mit personenbezogenen Daten in ihrer Rolle, mit dokumentierter Schulung.
- Lösch- und Aufbewahrungskonzept definiert und angewandt - keine Daten länger als nötig.
- Klare Verantwortlichkeit, all dies aktuell zu halten.
Das ist die kompakte Arbeitsversion. Laden Sie die vollständige DSGVO-Checkliste als PDF herunter, um den Fortschritt im Team zu verfolgen, und nutzen Sie den kostenlosen Compliance-Check für Ihren Lückenstatus.
Audit-Vorbereitung: Was Behörden wirklich prüfen
Was passiert bei einer Datenschutz-Prüfung, und was wird verlangt?
Verlangt wird Dokumentation. Eine Aufsichtsbehörde - in Deutschland Ihre Landesdatenschutzbehörde - prüft nicht, ob Sie die Regeln kennen; sie fordert den Nachweis, dass Sie sie befolgen (Rechenschaftspflicht). Bei einer DSGVO-Prüfung oder einem Datenschutz-Audit werden üblicherweise verlangt: Ihr ROPA, Ihre Datenschutzerklärung, Ihre AVVs mit Auftragsverarbeitern, Ihre TOM, Ihre Pannen-Dokumentation und der Nachweis von Mitarbeiterschulungen. Wer diese schnell und konsistent vorlegt, steht stark da. Wer es nicht kann, hat keine Verteidigung - unabhängig davon, wie sorgfältig die tatsächliche Praxis ist.
In der Praxis räumen Behörden nach einer Anfrage oft nur eine knappe Frist ein - wer die Unterlagen erst dann zusammensucht, ist meist zu spät. Auslöser für ein Audit sind zunehmend nicht nur Behörden: Auftraggeber und Investoren führen ihre eigene Datenschutz-Due-Diligence durch, bevor sie unterschreiben, und verlangen dieselben Dokumente. Audit-bereit zu sein ist deshalb nicht nur eine regulatorische Absicherung - es hält Geschäfte am Laufen.
Die Schritt-für-Schritt-Vorbereitung, inklusive was welche Behörde typischerweise anfordert, zeigt unser Leitfaden zur Datenschutz-Audit-Vorbereitung. Die beste Vorbereitung bleibt aber ein vollständiges ROPA - fangen Sie dort an.
DSGVO-Verstoß: Bußgelder und persönliche Haftung
Was sind die tatsächlichen Folgen, wenn es schiefgeht?
DSGVO-Bußgelder erreichen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Über das Bußgeld hinaus kann der Geschäftsführer bei nachweisbar unzureichenden organisatorischen Maßnahmen persönlich haften (§130 OWiG, §43 GmbHG) - dieses Risiko bleibt nicht allein im Unternehmen. Und tritt eine Datenpanne ein, ist die Frist kurz: Sie haben 72 Stunden, um die Aufsichtsbehörde zu informieren (Art. 33) - machbar nur, wenn der Prozess vor dem Vorfall steht. „Unzureichende organisatorische Maßnahmen“ ist dabei kein abstrakter Vorwurf: ein fehlendes Löschkonzept, ungeregelte Zugriffsrechte oder ein nie geprüftes ROPA reichen im Ernstfall aus.
Das hier so deutlich zu sagen, soll nicht alarmieren - es soll die Entscheidung einordnen. Die Kosten, ein belastbares Compliance-Fundament zu bauen, sind planbar und überschaubar. Die Kosten, ohne eines erwischt zu werden, sind es nicht. Wir sorgen dafür, dass es nicht so weit kommt. Der praktische Schritt: die Dokumentationslücken jetzt schließen, solange es Planung ist und kein Notfall.
Häufige Fehler bei der DSGVO-Compliance im KMU
Wo verlieren Unternehmen in der Praxis Punkte?
Die meisten KMU scheitern bei einer Prüfung nicht an der Absicht, sondern an denselben wenigen Lücken. Sie vorab zu kennen, ist der günstigste Weg, sie zu schließen.
- Ein ROPA, einmal erstellt und nie aktualisiert. Jedes neue Tool, jeder Dienstleister verändert Ihre Datenlage; ein veraltetes Verzeichnis gilt wie keines.
- Nur die Website ist dokumentiert. CRM, HR-System, Support-Tool und Newsletter verarbeiten ebenfalls personenbezogene Daten und gehören in die Dokumentation.
- Eine Datenschutzerklärung direkt aus dem Generator. Standardtext nennt Ihre tatsächlichen Tools nicht - und eine Behörde merkt den Unterschied.
- Fehlende AVVs für selbstverständliche Dienstleister. Hosting, E-Mail, CRM und KI-Tools sind Auftragsverarbeiter; ohne Vertrag ist jede Übermittlung rechtswidrig.
- Zu vage beschriebene TOM. „Angemessene Maßnahmen“ ist ein Platzhalter, keine Kontrolle - benennen Sie Verschlüsselung, Zugriffsmodell, Backup-Routine.
- Keine benannte Verantwortung. Ohne eine Person, die die Dokumentation aktuell hält, veraltet sie still.
- KI-Tools komplett ausgeklammert. ChatGPT oder Copilot im Alltag erzeugen heute DSGVO-Pflichten - und parallel AI-Act-Pflichten.
Nutzen Sie den kostenlosen Compliance-Check, um zu sehen, welche dieser Fehler auf Sie zutreffen, und schließen Sie sie nach Risiko.
Ihr 30-60-90-Tage-Weg zur DSGVO-Umsetzung
Schafft ein typisches KMU die DSGVO-Umsetzung realistisch - und wie schnell?
Ja, mit einem klaren Plan und einer Person, die ihn verantwortet. Über Jahre aufgelaufener Rückstand lässt sich nicht an einem Tag aufholen, aber ein strukturiertes Quartal bringt ein typisches KMU auf ein belastbares Fundament. Hier die Abfolge auf einen Blick.
| Phase | Fokus | Ergebnis |
|---|---|---|
| Tag 1-30 | Verarbeitungen erfassen; ROPA aufbauen; Datenschutzerklärung prüfen | Sie wissen, welche Daten wo liegen, und Ihr zentrales Verzeichnis steht |
| Tag 31-60 | TOM dokumentieren; fehlende AVVs schließen; Meldeprozess definieren | Ihre Sicherheits- und Dienstleisterebene ist belegt |
| Tag 61-90 | DPIAs für risikoreiche Verarbeitung; Schulungen; Verantwortlichkeit; Lücken schließen | Ein pflegbares, audit-bereites Fundament |
Das ist die Übersicht. Die ausführliche Version Woche für Woche, mit Vorlagen, finden Sie in unserer DSGVO-Umsetzungs-Roadmap; laden Sie die 30-60-90-Tage-Roadmap herunter, um Verantwortliche und Termine festzulegen. Danach kommt das Aktuellhalten - Compliance ist ein Prozess, kein Projekt, das man abschließt.
Wie ETHYX Sie DSGVO-konform hält
Was bekomme ich über eine Checkliste hinaus?
ETHYX macht aus der Checkliste ein gepflegtes System. Die Plattform führt Sie durch ROPA, TOM, AVV-Tracking und DPIAs mit strukturierten Vorlagen statt Blankoseiten und markiert Einträge zur Überprüfung, wenn sie veralten - damit Ihr Datenschutz-Management nicht zerfällt, sobald das erste Projekt endet. Wo Ihr Plan es vorsieht, prüft ein zertifizierter externer Datenschutzbeauftragter (CIPP/E) Ihre Dokumentation und gibt sie frei - ein nachweisbarer, benannter Ansprechpartner für Behörden und Kunden. Konkret heißt das: Fordert ein Kunde im Einkaufsprozess Ihre Datenschutz-Unterlagen an, liegt die Antwort bereit, statt erst erstellt werden zu müssen.
Der Einstieg beginnt bei 149 €/Monat für die Self-Service-Plattform; der Expert-Tarif für 299 €/Monat ergänzt den bestellten externen DPO und die EU-AI-Act-Deployer-Dokumentation. Wenn Ihr Team KI-Tools nutzt, laufen diese Pflichten parallel zur DSGVO - wie beides zusammenhängt, zeigt EU AI Act Compliance für KMU. Starten Sie mit dem kostenlosen Compliance-Check oben, um zu sehen, welche Lücken zuerst dran sind.
Jetzt starten
Sehen Sie, wo Sie stehen, und schließen Sie die Lücken mit einem klaren Plan - in Ruhe, bevor ein Kunde oder eine Behörde fragt. Die Unternehmen, die vollständige Dokumentation auf Anfrage vorlegen können, halten ihre Geschäfte am Laufen und bleiben aus Schwierigkeiten heraus.