Was müssen KMU 2026 bei der DSGVO beachten?
Die Datenschutz-Grundverordnung (DSGVO) gilt seit 2018 – doch viele kleine und mittelständische Unternehmen haben noch immer Nachholbedarf. Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes sind keine leeren Drohungen: Die Aufsichtsbehörden in Deutschland werden zunehmend aktiver. Diese 10-Punkte-Checkliste zeigt Ihnen, worauf es wirklich ankommt.
1. Verzeichnis der Verarbeitungs-Tätigkeiten (VVT)
Nach Art. 30 DSGVO müssen Sie dokumentieren, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, und wie lange. Das VVT ist die Grundlage jeder DSGVO-Compliance und Pflicht für nahezu alle Unternehmen – auch für Kleinbetriebe.
2. Rechtmäßige Grundlage für jede Datenverarbeitung
Für jede Verarbeitung personenbezogener Daten brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO. Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse – prüfen Sie für jeden Verarbeitungsvorgang, welche Grundlage greift.
3. Datenschutz-Information für Betroffene
Informieren Sie Kunden, Mitarbeiter und Bewerber umfassend darüber, wie Sie deren Daten verarbeiten. Die Datenschutzerklärung auf Ihrer Website muss vollständig, aktuell und verständlich sein.
4. Auftrags-Verarbeitungs-Verträge (AVV)
Jeder externe Dienstleister, der für Sie personenbezogene Daten verarbeitet (Buchhaltungssoftware, E-Mail-Marketing, Cloud-Dienste), braucht einen AVV nach Art. 28 DSGVO. Ohne schriftlichen Vertrag verstoßen Sie gegen die DSGVO.
5. Technische und organisatorische Maßnahmen (TOM)
Dokumentieren Sie, wie Sie personenbezogene Daten technisch und organisatorisch schützen: Zugangskontrollen, Verschlüsselung, Backup-Konzepte, Berechtigungsmanagement. Die TOM müssen dem aktuellen Stand der Technik entsprechen.
6. Datenpannen-Management
Bei einem Datenschutzvorfall haben Sie in der Regel 72 Stunden Zeit, um ihn der Aufsichtsbehörde zu melden. Legen Sie jetzt ein Notfallkonzept fest: Wer ist zuständig? Was wird dokumentiert? Wer wird informiert?
7. Betroffenenrechte
Auskunftsrecht, Löschungsrecht, Datenübertragbarkeit – Betroffene können diese Rechte jederzeit geltend machen. Sie müssen innerhalb eines Monats antworten. Legen Sie klare Prozesse fest.
8. Externer Datenschutz-Beauftragter
Ab 20 Personen, die regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist ein Datenschutzbeauftragter Pflicht. Ein externer DSB ist oft die günstigere und rechtssicherere Alternative.
9. Website-Datenschutz
Cookie-Banner, Tracking-Tools, Google Analytics, Kontaktformulare, eingebettete Videos – prüfen Sie Ihre Website auf DSGVO-Konformität. Ein DSGVO-Check durch Experten deckt Lücken auf, bevor es eine Abmahnung tut.
10. Mitarbeiter-Schulungen
Datenschutz ist Chefsache – aber alle Mitarbeiter müssen sensibilisiert sein. Jährliche Schulungen sind nicht nur empfehlenswert, sie können im Schadensfall auch haftungsmindernd wirken.
Fazit: Jetzt handeln, bevor es zu spät ist
DSGVO-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Pylonize unterstützt Sie dabei – von der ersten Bestandsaufnahme bis zum dauerhaft bestellten externen Datenschutzbeauftragten.