DSGVO-Ratgeber für KMU — Ihr Leitfaden für 2026
Die Datenschutz-Grundverordnung (DSGVO) ist seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten unmittelbar geltendes Recht. Für kleine und mittlere Unternehmen (KMU) bedeutet sie eine Reihe konkreter Pflichten, deren Nichteinhaltung empfindliche Bußgelder nach sich ziehen kann. Dieser Ratgeber fasst alles zusammen, was Sie als Geschäftsführer, IT-Verantwortlicher oder Datenschutzbeauftragter im Jahr 2026 wissen müssen — verständlich, praxisnah und mit direkten Handlungsempfehlungen.
Ob Handwerksbetrieb, Online-Shop, Arztpraxis oder Ingenieurbüro: Sobald Sie personenbezogene Daten verarbeiten — und das tun Sie, spätestens bei der Lohnabrechnung — gelten die Regeln der DSGVO für Sie. Dieser Leitfaden hilft Ihnen, den Überblick zu behalten und die wichtigsten Maßnahmen strukturiert umzusetzen.
Was ist die DSGVO und warum betrifft sie Ihr KMU?
Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) regelt den Umgang mit personenbezogenen Daten natürlicher Personen in der Europäischen Union. Sie gilt für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet — unabhängig von Größe, Branche oder Standort.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören unter anderem:
- Name, Anschrift, E-Mail-Adresse, Telefonnummer
- IP-Adressen und Cookie-Kennungen
- Bankverbindungen und Gehaltsdaten
- Gesundheitsdaten, biometrische Daten
- Standortdaten und Bewegungsprofile
Viele KMU unterschätzen den Umfang der Verordnung. Tatsächlich verarbeitet praktisch jedes Unternehmen personenbezogene Daten: Kundenlisten, Mitarbeiterdaten, Newsletter-Abonnenten, Bewerbungsunterlagen oder Website-Analysen — all das fällt unter die DSGVO.
Die gute Nachricht: Die DSGVO verlangt keine Perfektion, sondern ein nachweisbar angemessenes Datenschutzniveau. Mit den richtigen Prozessen und Werkzeugen lässt sich das auch als kleines Unternehmen effizient umsetzen.
Die 10 wichtigsten DSGVO-Pflichten für KMU
Die folgenden zehn Pflichten bilden das Kerngerüst der DSGVO-Compliance. Jede einzelne ist für KMU relevant und sollte dokumentiert umgesetzt werden.
1. Verarbeitungsverzeichnis (Art. 30 DSGVO)
Jeder Verantwortliche muss ein Verzeichnis von Verarbeitungstätigkeiten führen. Darin werden alle Prozesse dokumentiert, bei denen personenbezogene Daten verarbeitet werden: Zweck, Rechtsgrundlage, betroffene Personengruppen, Kategorien der Daten, Empfänger, Löschfristen und technisch-organisatorische Maßnahmen.
Ein gut geführtes Verarbeitungsverzeichnis ist die Grundlage für alle weiteren DSGVO-Maßnahmen. Es zeigt Aufsichtsbehörden bei einer Prüfung, dass Sie Ihre Datenverarbeitung im Griff haben. Hier finden Sie ein ausgefülltes Beispiel für ein Verarbeitungsverzeichnis.
2. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Sie müssen ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu gehören Maßnahmen wie Verschlüsselung, Zugangskontrollen, regelmäßige Backups, Mitarbeiterschulungen und Notfallpläne. Die konkreten Maßnahmen richten sich nach Art und Umfang Ihrer Datenverarbeitung.
Wichtig: Die Maßnahmen müssen nicht nur implementiert, sondern auch dokumentiert und regelmäßig überprüft werden. Lesen Sie unseren ausführlichen Leitfaden zu TOM-Maßnahmen.
3. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Bei Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringen, ist eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Das betrifft beispielsweise systematische Videoüberwachung, Scoring-Verfahren oder die Verarbeitung besonderer Kategorien personenbezogener Daten in großem Umfang.
Die DSFA dokumentiert das Risiko, bewertet die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung und identifiziert Abhilfemaßnahmen.
4. Auftragsverarbeitung (Art. 28 DSGVO)
Wenn externe Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeiten — etwa Cloud-Anbieter, IT-Dienstleister, Lohnbuchhalter oder Newsletter-Tools — benötigen Sie einen Auftragsverarbeitungsvertrag (AVV). Dieser muss die wesentlichen Punkte des Art. 28 DSGVO abdecken: Gegenstand und Dauer der Verarbeitung, Weisungsbindung, technisch-organisatorische Maßnahmen, Subunternehmer-Regelungen und Löschpflichten.
Mehr zur DSGVO-Umsetzung in kleinen Unternehmen.
5. Betroffenenrechte (Art. 15–22 DSGVO)
Betroffene Personen haben umfangreiche Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Sie müssen Prozesse etablieren, um Anfragen innerhalb eines Monats beantworten zu können.
In der Praxis scheitern viele KMU daran, dass sie nicht wissen, wo überall personenbezogene Daten gespeichert sind. Ein vollständiges Verarbeitungsverzeichnis ist daher die Voraussetzung für die effiziente Bearbeitung von Betroffenenanfragen.
6. Datenschutzbeauftragter (Art. 37–39 DSGVO)
In Deutschland ist ein Datenschutzbeauftragter zu benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Mitarbeiterzahl ist ein DSB Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht oder eine Datenschutz-Folgenabschätzung erforderlich ist.
Sie suchen einen externen Datenschutzbeauftragten? Hier erfahren Sie mehr »
7. Informationspflichten (Art. 13–14 DSGVO)
Wenn Sie personenbezogene Daten erheben, müssen Sie die betroffene Person transparent informieren: Wer ist verantwortlich? Welche Daten werden zu welchem Zweck verarbeitet? Auf welcher Rechtsgrundlage? Wie lange werden die Daten gespeichert? Welche Rechte bestehen? Diese Informationen werden typischerweise über Datenschutzerklärungen auf Websites, in Verträgen und in Formularen bereitgestellt.
8. Einwilligungsmanagement (Art. 7 DSGVO)
Wenn die Verarbeitung auf einer Einwilligung beruht, muss diese freiwillig, informiert, unmissverständlich und für den konkreten Fall erteilt worden sein. Sie müssen die Einwilligung nachweisen können und dem Betroffenen den Widerruf so einfach machen wie die Erteilung. Ein professionelles Cookie-Consent-Management ist für jede Website unverzichtbar.
9. Meldepflicht bei Datenschutzvorfällen (Art. 33–34 DSGVO)
Datenschutzverletzungen — etwa ein Hackerangriff, ein verlorener Laptop oder eine versehentlich an den falschen Empfänger gesendete E-Mail — müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht. Bei hohem Risiko müssen auch die Betroffenen selbst informiert werden.
Ein dokumentierter Notfallplan für Datenschutzvorfälle ist daher Pflicht. So melden Sie einen Datenschutzvorfall korrekt.
10. Löschkonzept und Aufbewahrungsfristen
Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Danach müssen sie gelöscht werden — es sei denn, gesetzliche Aufbewahrungspflichten (z. B. steuerrechtlich 10 Jahre, handelsrechtlich 6 Jahre) stehen dem entgegen. Ein Löschkonzept dokumentiert, welche Daten wann und wie gelöscht werden.
Unsere Vorlage für ein DSGVO-Löschkonzept hilft Ihnen beim Einstieg.
DSGVO-Checkliste für KMU (zum Abhaken)
Nutzen Sie die folgende Checkliste, um den Stand Ihrer DSGVO-Umsetzung systematisch zu prüfen. Jeder Punkt sollte dokumentiert nachweisbar sein.
| Nr. | Maßnahme | Status |
|---|---|---|
| 1 | Verarbeitungsverzeichnis erstellt und aktuell | ☐ |
| 2 | Technische und organisatorische Maßnahmen dokumentiert | ☐ |
| 3 | Datenschutzerklärung auf Website aktuell (Art. 13/14) | ☐ |
| 4 | Cookie-Consent-Banner DSGVO-konform | ☐ |
| 5 | Auftragsverarbeitungsverträge mit allen Dienstleistern abgeschlossen | ☐ |
| 6 | Datenschutzbeauftragter benannt (falls Pflicht) | ☐ |
| 7 | Prozess für Betroffenenanfragen definiert | ☐ |
| 8 | Meldeprozess für Datenschutzvorfälle dokumentiert | ☐ |
| 9 | Löschkonzept erstellt und Fristen definiert | ☐ |
| 10 | Mitarbeiter regelmäßig geschult | ☐ |
| 11 | Datenschutz-Folgenabschätzung durchgeführt (falls erforderlich) | ☐ |
| 12 | Drittlandtransfers geprüft und abgesichert | ☐ |
| 13 | Vertraulichkeitsverpflichtungen aller Mitarbeiter eingeholt | ☐ |
| 14 | Regelmäßige Überprüfung und Aktualisierung aller Maßnahmen | ☐ |
Tipp: Laden Sie unsere Datenschutz-Software herunter, um die Checkliste digital zu verwalten und den Fortschritt automatisch zu tracken.
Bußgelder und Strafen bei DSGVO-Verstößen
Die DSGVO sieht zwei Stufen von Bußgeldern vor:
- Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für Verstöße gegen organisatorische Pflichten wie das Verarbeitungsverzeichnis oder die Benennung eines Datenschutzbeauftragten.
- Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes für Verstöße gegen Grundsätze der Verarbeitung, Betroffenenrechte oder unrechtmäßige Datenübermittlungen in Drittländer.
Die Aufsichtsbehörden in Deutschland haben in den letzten Jahren zunehmend auch gegen KMU Bußgelder verhängt. Einige Beispiele aus der Praxis:
- Ein mittelständischer Online-Händler erhielt 2024 ein Bußgeld von 50.000 € wegen fehlendem Cookie-Consent-Management.
- Eine Arztpraxis wurde 2025 mit 15.000 € belegt, weil Patientendaten ohne Auftragsverarbeitungsvertrag an einen Cloud-Dienstleister übermittelt wurden.
- Ein Handwerksbetrieb zahlte 2025 insgesamt 25.000 €, weil auf eine Betroffenenanfrage nicht fristgerecht reagiert wurde.
Neben Bußgeldern drohen Abmahnungen durch Wettbewerber und Schadensersatzforderungen von Betroffenen. Die DSGVO räumt Betroffenen in Art. 82 einen eigenen Schadensersatzanspruch ein — auch für immaterielle Schäden. Die Rechtsprechung des EuGH hat diesen Anspruch in den letzten Jahren gestärkt.
Nutzen Sie unseren DSGVO-Bußgeld-Rechner, um Ihr individuelles Risiko einzuschätzen.
Datenschutzbeauftragter — Braucht mein KMU einen?
In Deutschland gelten strengere Regeln als in vielen anderen EU-Staaten. Ein Datenschutzbeauftragter ist Pflicht, wenn:
- Mindestens 20 Personen im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).
- Die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten etc.) besteht.
- Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.
Intern oder extern? Ein interner DSB muss fachlich qualifiziert sein und genießt besonderen Kündigungsschutz. Ein externer DSB bringt Erfahrung aus verschiedenen Unternehmen mit, ist unabhängig und verursacht keine arbeitsrechtlichen Risiken. Für die meisten KMU ist ein externer Datenschutzbeauftragter die pragmatischere Lösung.
Auch unterhalb der Schwelle von 20 Mitarbeitern kann ein DSB sinnvoll sein — etwa wenn Sie sensible Daten verarbeiten, regelmäßig mit Auftragsverarbeitern zusammenarbeiten oder Ihr Unternehmen schnell wächst.
Externer Datenschutzbeauftragter von TSMONDO — unverbindlich anfragen »
DSGVO-Software für KMU — die digitale Lösung
Viele KMU verwalten ihren Datenschutz noch mit Excel-Tabellen, Word-Dokumenten und Aktenordnern. Das funktioniert — bis zur ersten Aufsichtsbehörden-Anfrage. Dann zeigt sich schnell, dass Dokumente veraltet sind, Fristen verpasst wurden und Nachweise fehlen.
Eine Datenschutz-Software löst diese Probleme systematisch:
- Zentrales Verarbeitungsverzeichnis mit Vorlagen und Assistenten
- Automatische Fristenüberwachung für Löschpflichten
- Workflow für Betroffenenanfragen mit Fristenkontrolle
- TOM-Dokumentation mit Vorlagen nach BSI-Grundschutz
- Auftragsverarbeitungsvertrag-Management
- Audit-Trail für lückenlose Nachweisbarkeit
- Automatische Benachrichtigungen bei Handlungsbedarf
Unsere Datenschutz-Software wurde speziell für KMU und Datenschutzbeauftragte entwickelt. Sie bildet den gesamten DSGVO-Compliance-Prozess digital ab und ist ohne Vorkenntnisse bedienbar.
Datenschutz-Software kostenlos testen »
Erfahren Sie mehr über unser Datenschutz-Management-System.
Häufige Fehler bei der DSGVO-Umsetzung
In unserer Beratungspraxis sehen wir immer wieder dieselben Fehler. Die folgenden fünf sind besonders verbreitet und besonders riskant:
Fehler 1: Verarbeitungsverzeichnis als einmaliges Projekt behandeln
Ein Verarbeitungsverzeichnis ist kein Dokument, das man einmal erstellt und dann abheftet. Es muss bei jeder Änderung der Datenverarbeitung aktualisiert werden — etwa wenn ein neuer Dienstleister eingesetzt, ein neues Tool eingeführt oder ein Geschäftsprozess verändert wird. Setzen Sie sich einen vierteljährlichen Reminder zur Überprüfung.
Fehler 2: Datenschutzerklärung aus dem Internet kopieren
Generische Datenschutzerklärungen aus Generatoren sind ein guter Startpunkt, müssen aber an Ihre tatsächliche Datenverarbeitung angepasst werden. Wenn Ihre Datenschutzerklärung Google Analytics erwähnt, Sie aber Matomo nutzen, ist das ein Verstoß gegen die Informationspflichten. So erstellen Sie eine korrekte Datenschutzerklärung.
Fehler 3: Auftragsverarbeitungsverträge vergessen
Jeder externe Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen AVV. Das betrifft auch SaaS-Lösungen, E-Mail-Dienstleister, Cloud-Speicher und Steuerberater. Erstellen Sie eine vollständige Liste aller Dienstleister und prüfen Sie den AVV-Status.
Fehler 4: Einwilligungen nicht nachweisbar dokumentieren
Im Streitfall müssen Sie nachweisen, dass eine Einwilligung tatsächlich erteilt wurde. Mündliche Einwilligungen ohne Dokumentation, vorausgefüllte Checkboxen oder versteckte Klauseln in AGB reichen nicht aus. Nutzen Sie ein technisches System, das Einwilligungen mit Zeitstempel, IP-Adresse und konkretem Einwilligungstext protokolliert.
Fehler 5: IT-Sicherheit und Datenschutz nicht zusammendenken
Datenschutz ohne IT-Sicherheit ist wie ein Tresor ohne Schloss. Fehlende Verschlüsselung, veraltete Software, schwache Passwörter und ungeschulte Mitarbeiter sind die häufigsten Einfallstore für Datenschutzverletzungen. Ein professionelles IT-Sicherheitsaudit deckt Schwachstellen auf.
Aktuelle Entwicklungen 2026
Das Datenschutzrecht steht nicht still. Folgende Entwicklungen sind für KMU im Jahr 2026 besonders relevant:
EDPB-Transparenzoffensive
Der Europäische Datenschutzausschuss (EDPB) hat Anfang 2026 neue Leitlinien zur Transparenz veröffentlicht. Unternehmen müssen Datenschutzinformationen noch verständlicher und zugänglicher gestalten. Besonderer Fokus liegt auf mehrschichtigen Informationsmodellen (Layered Approach) und der Verwendung von Icons und Piktogrammen.
Verstärkte Durchsetzung bei KMU
Die deutschen Aufsichtsbehörden haben 2025/2026 verstärkt KMU in den Fokus genommen. Schwerpunktprüfungen betreffen insbesondere den Einsatz von Cloud-Diensten, die Umsetzung des Löschkonzepts und die Aktualität von Verarbeitungsverzeichnissen. Die Bußgelder fallen zwar bei KMU niedriger aus als bei Konzernen, sind aber dennoch schmerzhaft.
KI und Datenschutz
Mit dem EU AI Act und der zunehmenden Nutzung von KI-Tools durch KMU gewinnt die Schnittstelle zwischen Datenschutz und Künstlicher Intelligenz an Bedeutung. Wenn Sie KI-basierte Tools einsetzen (z. B. ChatGPT für Kundenservice, KI-gestützte Datenanalyse), müssen Sie die datenschutzrechtlichen Implikationen prüfen und dokumentieren. Leitfaden: KI und Datenschutz im Unternehmen.
Neue Standardvertragsklauseln und Drittlandtransfers
Nach dem Data Privacy Framework zwischen EU und USA beobachten Datenschutzexperten die Entwicklungen aufmerksam. KMU, die US-basierte Dienste nutzen (Microsoft 365, Google Workspace, AWS), sollten ihre Rechtsgrundlage für die Datenübermittlung regelmäßig überprüfen und alternative europäische Anbieter in Betracht ziehen.
Bleiben Sie auf dem Laufenden in unserem Blog »
Fazit und nächste Schritte
Die DSGVO ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Für KMU kommt es darauf an, die wesentlichen Pflichten strukturiert umzusetzen und den Datenschutz in die bestehenden Geschäftsprozesse zu integrieren. Mit einem systematischen Ansatz, den richtigen Werkzeugen und gegebenenfalls externer Unterstützung ist das auch für kleine Teams machbar.
Ihre nächsten Schritte:
- Prüfen Sie anhand der Checkliste oben, wo Sie stehen.
- Identifizieren Sie die drei dringendsten Lücken.
- Testen Sie unsere Datenschutz-Software, um den Prozess zu digitalisieren.
- Holen Sie sich bei Bedarf professionelle Unterstützung — sprechen Sie uns an.
Jetzt Datenschutz-Software kostenlos testen »
Kostenlose Erstberatung anfragen »
Dieser Ratgeber wird regelmäßig aktualisiert. Letzter Stand: April 2026. Alle Angaben ohne Gewähr. Dieser Artikel ersetzt keine individuelle Rechtsberatung.