Kurzfassung: DSGVO-Umsetzung im KMU ist kein Jahresprojekt, sondern in wenigen strukturierten Schritten machbar, wenn man mit der Realität des Betriebs arbeitet statt gegen sie. Dieser Fahrplan stammt aus rund 30 Umsetzungsprojekten seit 2018, von der Arztordination bis zum Bildungsanbieter.

Schritt 1: Bestandsaufnahme, was passiert mit welchen Daten?

Ein halber Tag mit den richtigen Fragen: Welche personenbezogenen Daten kommen ins Unternehmen (Kunden, Mitarbeiter, Lieferanten), wo werden sie gespeichert, wer greift zu, welche Tools sind im Einsatz? Das Ergebnis ist die Landkarte für alles Weitere.

Schritt 2: Verfahrensverzeichnis anlegen

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) ist Pflicht und zugleich das nützlichste Dokument des ganzen Projekts: Pro Verarbeitung stehen Zweck, Rechtsgrundlage, Kategorien, Empfänger und Löschfristen an einem Ort. Gut gemacht, beantwortet es 80 % aller späteren Fragen.

Schritt 3: Rechtsgrundlagen klären

Die meisten KMU-Verarbeitungen stützen sich auf Vertrag (Art. 6 Abs. 1 lit. b), rechtliche Pflicht (lit. c) oder berechtigtes Interesse (lit. f). Einwilligungen braucht es seltener, als viele glauben, und wo doch, müssen sie dokumentiert und widerrufbar sein.

Schritt 4: Auftragsverarbeiter unter Vertrag nehmen

Hosting, E-Mail, Buchhaltungssoftware, Cloud-Speicher: Wer personenbezogene Daten im Auftrag verarbeitet, braucht einen AV-Vertrag (Art. 28). Bei Anbietern außerhalb der EU zusätzlich prüfen: Angemessenheitsbeschluss oder Standardvertragsklauseln.

Schritt 5: Datenschutzerklärung, die zur Website passt

Die häufigste Schwachstelle: Textbausteine, die Dienste beschreiben, die es auf der Website gar nicht (mehr) gibt, oder umgekehrt. Die Erklärung muss den Ist-Zustand abbilden: eingesetzte Dienste, Zwecke, Rechtsgrundlagen, Betroffenenrechte, Beschwerdeweg zur Datenschutzbehörde.

Schritt 6: Technische und organisatorische Maßnahmen (TOMs)

Verschlüsselung, Zugriffskonzept, Backups, Passwort-Regeln, Umgang mit mobilen Geräten, dokumentiert und dem Risiko angemessen. Für ein KMU zählt Nachvollziehbarkeit, nicht Perfektion.

Schritt 7: Mitarbeiter schulen, kurz, konkret, wiederholt

Die meisten Datenpannen sind Alltagsfehler. Eine kompakte Schulung mit Fällen aus dem eigenen Betrieb wirkt mehr als jede Richtlinie im Ordner. Seit 2025/26 gehören auch KI-Themen dazu: Was dürfen Mitarbeiter in KI-Tools eingeben, was nicht: Stichwort AI Act und Transparenzpflichten.

Fazit

DSGVO im KMU heißt: einmal sauber aufsetzen, schlank dokumentieren, jährlich aktualisieren. Der Aufwand ist überschaubar, die Alternative (Beschwerde, Datenpanne ohne Prozesse, Vertrauensverlust) ist es nicht.

Häufige Fragen zur DSGVO im KMU

Ab wann gilt die DSGVO für mein Unternehmen?

Sobald personenbezogene Daten verarbeitet werden, also Kunden-, Mitarbeiter- oder Lieferantendaten. Eine Mitarbeiter-Untergrenze gibt es nicht: Auch Ein-Personen-Unternehmen fallen unter die DSGVO.

Ist ein Verfahrensverzeichnis für KMU Pflicht?

Ja. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist grundsätzlich Pflicht. Die Ausnahme für Betriebe unter 250 Mitarbeitenden greift in der Praxis fast nie, weil regelmäßige Verarbeitung wie Kunden- und Personaldaten sie aushebelt.

Wann braucht man einen AV-Vertrag?

Immer wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa Hosting, E-Mail, Buchhaltungssoftware oder Cloud-Speicher. Rechtsgrundlage ist Art. 28 DSGVO; bei Anbietern außerhalb der EU zusätzlich Angemessenheitsbeschluss oder Standardvertragsklauseln prüfen.

Was gehört in die Datenschutzerklärung der Website?

Die tatsächlich eingesetzten Dienste, ihre Zwecke und Rechtsgrundlagen, die Betroffenenrechte und der Beschwerdeweg zur Datenschutzbehörde. Sie muss den Ist-Zustand der Website abbilden, nicht Textbausteine für Dienste, die es gar nicht gibt.

Wie lange dauert die DSGVO-Umsetzung im KMU?

Es ist kein Jahresprojekt. Mit einer sauberen Bestandsaufnahme und wenigen strukturierten Schritten ist der Kern in überschaubarer Zeit machbar; danach reicht eine jährliche Aktualisierung.

Hinweis: Dieser Beitrag ist eine Praxis-Einschätzung und ersetzt keine Rechtsberatung im Einzelfall.