Kurzfassung: Ein KMU muss beim Datenschutz in der Regel fünf Dinge erledigen: ein Verzeichnis von Verarbeitungstätigkeiten führen, mit allen Dienstleistern Auftragsverarbeitungsverträge abschließen, eine Datenschutzerklärung haben, die zur Website passt, technische und organisatorische Maßnahmen dokumentieren und die Mitarbeiter schulen. Dazu kommen zwei Fristen: ein Monat für Anfragen von Betroffenen und möglichst 72 Stunden für die Meldung einer Datenpanne an die Datenschutzbehörde (Art. 12 und 33 DSGVO, Quelle: eur-lex.europa.eu und wko.at, Stand Oktober 2026). Dieser Fahrplan stammt aus rund 30 Umsetzungsprojekten seit 2018, von der Arztordination bis zum Bildungsanbieter.

Gilt die DSGVO auch für kleine Unternehmen?

Ja. Die DSGVO gilt, sobald ein Betrieb personenbezogene Daten verarbeitet, also Kunden-, Mitarbeiter- oder Lieferantendaten. Eine Untergrenze bei der Mitarbeiterzahl gibt es nicht, auch Ein-Personen-Unternehmen fallen darunter. Die Pflichten sind für alle gleich. Der Aufwand hängt davon ab, wie viele Verarbeitungen es im Betrieb gibt. Für ein KMU ist das kein Jahresprojekt und in sieben Schritten machbar.

Schritt 1: Welche Daten verarbeitet Ihr Betrieb?

Ein halber Tag mit den richtigen Fragen: Welche personenbezogenen Daten kommen ins Unternehmen (Kunden, Mitarbeiter, Lieferanten), wo werden sie gespeichert, wer greift zu, welche Tools sind im Einsatz? Das Ergebnis ist die Landkarte für alles Weitere.

Schritt 2: Braucht ein KMU ein Verzeichnis von Verarbeitungstätigkeiten?

In der Regel ja. Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) ist Pflicht und zugleich das nützlichste Dokument des ganzen Projekts: Pro Verarbeitung stehen Zweck, Rechtsgrundlage, Kategorien, Empfänger und Löschfristen an einem Ort. Gut gemacht, beantwortet es die meisten späteren Fragen.

Die Ausnahme für Betriebe mit weniger als 250 Mitarbeitenden greift fast nie. Sie gilt laut WKO nur, wenn die Verarbeitung zusätzlich kein Risiko für die Betroffenen darstellt, nur gelegentlich erfolgt und keine sensiblen Daten enthält. Wer eine Lohnverrechnung oder eine Kundendatei führt, verarbeitet nicht nur gelegentlich und braucht das Verzeichnis (Art. 30 Abs. 5 DSGVO, Quelle: wko.at, Stand 8. Oktober 2026). Laut WKO wird derzeit eine Ausweitung dieser Ausnahme diskutiert („Omnibus IV“). Aktuell gilt die Regel wie beschrieben.

Schritt 3: Auf welcher Rechtsgrundlage verarbeiten Sie die Daten?

Die meisten KMU-Verarbeitungen stützen sich auf Vertrag (Art. 6 Abs. 1 lit. b), rechtliche Pflicht (lit. c) oder berechtigtes Interesse (lit. f). Einwilligungen braucht es seltener, als viele glauben, und wo doch, müssen sie dokumentiert und widerrufbar sein.

Schritt 4: Mit welchen Dienstleistern brauchen Sie einen AV-Vertrag?

Hosting, E-Mail, Buchhaltungssoftware, Cloud-Speicher: Wer personenbezogene Daten im Auftrag verarbeitet, braucht einen AV-Vertrag (Art. 28). Bei Anbietern außerhalb der EU zusätzlich prüfen: Angemessenheitsbeschluss oder Standardvertragsklauseln. Was in den Vertrag gehört und wer unterschreibt, steht im Beitrag Auftragsverarbeitungsvertrag (AVV): Pflicht, Inhalt, Unterschrift.

Schritt 5: Passt die Datenschutzerklärung zur Website?

Die häufigste Schwachstelle: Textbausteine, die Dienste beschreiben, die es auf der Website gar nicht (mehr) gibt, oder umgekehrt. Die Erklärung muss den Ist-Zustand abbilden: eingesetzte Dienste, Zwecke, Rechtsgrundlagen, Betroffenenrechte, Beschwerdeweg zur Datenschutzbehörde. Ob die Website einen Cookie-Banner braucht, zeigt der kostenlose Cookie-Banner-Check.

Schritt 6: Welche technischen und organisatorischen Maßnahmen (TOMs) braucht ein KMU?

Verschlüsselung, Zugriffskonzept, Backups, Passwort-Regeln, Umgang mit mobilen Geräten, dokumentiert und dem Risiko angemessen. Für ein KMU zählt Nachvollziehbarkeit, nicht Perfektion.

Schritt 7: Wie schulen Sie Ihre Mitarbeiter?

Kurz, konkret und wiederholt. Die meisten Datenpannen sind Alltagsfehler. Eine kompakte Schulung mit Fällen aus dem eigenen Betrieb wirkt mehr als jede Richtlinie im Ordner. Seit 2025/26 gehören auch KI-Themen dazu, etwa die Frage, was Mitarbeiter in KI-Tools eingeben dürfen und was nicht. Mehr dazu auf der Seite KI und AI Act.

Welche Fristen muss ein KMU beim Datenschutz kennen?

Zwei Fristen sollten im Betrieb bekannt sein. Anfragen von Betroffenen, etwa auf Auskunft oder Löschung, sind unverzüglich zu beantworten, jedenfalls innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO, Quelle: wko.at, Stand 9. Oktober 2026). Eine Datenschutzverletzung ist der Datenschutzbehörde zu melden, sobald sie festgestellt wird. Wer nicht innerhalb von 72 Stunden meldet, muss die Verspätung begründen (Art. 33 Abs. 1 DSGVO, Quelle: wko.at, Stand 6. Oktober 2026). Für beide Fälle macht es Sinn, vorab festzulegen, wer im Betrieb zuständig ist.

Wie viel Aufwand ist Datenschutz für ein KMU?

DSGVO im KMU heißt: einmal sauber aufsetzen, schlank dokumentieren, jährlich aktualisieren. Der Aufwand ist überschaubar, die Alternative (Beschwerde, Datenpanne ohne Prozesse, Vertrauensverlust) ist es nicht. Was ich dabei übernehme, steht auf der Seite Datenschutz & Compliance, Beispiele aus Projekten finden Sie bei den Datenschutz-Referenzen.

Häufige Fragen zum Datenschutz im KMU

Was müssen KMU beim Datenschutz beachten?

Die Pflichten unterscheiden sich nicht nach Betriebsgröße, nur der Aufwand skaliert: ein Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge mit allen Dienstleistern, eine Datenschutzerklärung, die zur tatsächlich eingesetzten Technik passt, technische und organisatorische Maßnahmen sowie geschulte Mitarbeiter. Ob zusätzlich ein Datenschutzbeauftragter nötig ist, hängt von Art und Umfang der Verarbeitung ab, nicht allein von der Mitarbeiterzahl.

Braucht ein KMU einen Datenschutzbeauftragten?

In der Regel nein. Verpflichtend ist die Bestellung laut WKO nur, wenn die Kerntätigkeit des Unternehmens in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung sensibler Daten oder von Daten über strafrechtliche Verurteilungen. Die Mitarbeiterzahl ist dafür kein Kriterium (Art. 37 Abs. 1 DSGVO, Quelle: wko.at, Stand 9. Oktober 2026).

Was macht eine Datenschutzberatung für KMU?

Sie nimmt den Bestand auf, legt das Verzeichnis von Verarbeitungstätigkeiten an, klärt die Rechtsgrundlagen, bereitet die AV-Verträge mit den Dienstleistern vor, bringt die Datenschutzerklärung auf den Stand der Website, dokumentiert die technischen und organisatorischen Maßnahmen und schult die Mitarbeiter. Danach reicht in der Regel eine jährliche Aktualisierung. Eine Rechtsberatung ist das nicht.

Gilt Datenschutz für mittelständische Unternehmen anders als für kleine?

Nein, die Pflichten sind dieselben. Mit der Größe steigt die Zahl der Verarbeitungen, der Dienstleister und der Mitarbeiter, die geschult werden müssen. Ab 250 Mitarbeitenden entfällt außerdem die Ausnahme vom Verzeichnis von Verarbeitungstätigkeiten, die in der Praxis aber auch kleinere Betriebe kaum nutzen können.

Ab wann gilt die DSGVO für mein Unternehmen?

Sobald personenbezogene Daten verarbeitet werden, also Kunden-, Mitarbeiter- oder Lieferantendaten. Eine Mitarbeiter-Untergrenze gibt es nicht: Auch Ein-Personen-Unternehmen fallen unter die DSGVO.

Ist ein Verfahrensverzeichnis für KMU Pflicht?

Ja. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist grundsätzlich Pflicht. Die Ausnahme für Betriebe unter 250 Mitarbeitenden greift in der Praxis fast nie, weil regelmäßige Verarbeitung wie Kunden- und Personaldaten sie aushebelt.

Wann braucht man einen AV-Vertrag?

Immer wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa Hosting, E-Mail, Buchhaltungssoftware oder Cloud-Speicher. Rechtsgrundlage ist Art. 28 DSGVO; bei Anbietern außerhalb der EU zusätzlich Angemessenheitsbeschluss oder Standardvertragsklauseln prüfen.

Was gehört in die Datenschutzerklärung der Website?

Die tatsächlich eingesetzten Dienste, ihre Zwecke und Rechtsgrundlagen, die Betroffenenrechte und der Beschwerdeweg zur Datenschutzbehörde. Sie muss den Ist-Zustand der Website abbilden, nicht Textbausteine für Dienste, die es gar nicht gibt.

Wie lange dauert die DSGVO-Umsetzung im KMU?

Es ist kein Jahresprojekt. Mit einer sauberen Bestandsaufnahme und wenigen strukturierten Schritten ist der Kern in überschaubarer Zeit machbar; danach reicht eine jährliche Aktualisierung.

Verwendete Quellen: Verordnung (EU) 2016/679 (DSGVO) auf eur-lex.europa.eu, Artikel 12, 30, 33 und 37, abgerufen am 13. Oktober 2026. Dazu wko.at, Bereich DSGVO4KMU (Seiten zum Verzeichnis von Verarbeitungstätigkeiten, zu Datenschutzbeauftragten, Betroffenenrechten und Datenschutzverletzungen, Stand 6. bis 9. Oktober 2026). Stand dieses Beitrags: Oktober 2026.

Hinweis: Dieser Beitrag ist eine Praxis-Einschätzung und ersetzt keine Rechtsberatung im Einzelfall.