DSGVO-Compliance für KMU beginnt mit vier Bausteinen: Verzeichnis, Zugriff, Löschkonzept und technische Maßnahmen. So setzen Sie die Pflichten um.
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Das betrifft praktisch alle KMU, denn Adressen, Verträge, Rechnungen, Personalakten und Supportanfragen enthalten personenbezogene Daten. Entscheidend ist nicht die Größe des Unternehmens, sondern dass Sie die Anforderungen kennen und belegen können.
Die Pflichten lassen sich in wenige Bausteine zerlegen: ein Verzeichnis Ihrer Verarbeitungen, ein geregelter Zugriff, ein Löschkonzept und passende technische Maßnahmen. Dieser Beitrag ordnet die Bausteine, zeigt den Weg zur Umsetzung und benennt die Nachweise, die Sie vorlegen können.
Neben der DSGVO zieht das NIS-2-Umsetzungsgesetz Pflichten nach sich. Seit dem 6. Dezember 2025 beaufsichtigt das BSI rund 29.500 wichtige und besonders wichtige Einrichtungen, zuvor waren es etwa 4.500. Erhebliche Sicherheitsvorfälle sind innerhalb von 24 Stunden als frühe Erstmeldung und innerhalb von 72 Stunden zu melden (BSI, NIS-2-Pflichten).
Was die DSGVO von einem kleinen Unternehmen verlangt
Die DSGVO schreibt kein bestimmtes Sicherheitsprodukt vor. Sie verlangt, dass personenbezogene Daten rechtmäßig verarbeitet, technisch geschützt und nachvollziehbar dokumentiert werden. Für ein KMU mit zehn Mitarbeitenden bedeutet das: ein Verzeichnis, das jeder im Team versteht, und Regeln, die im Alltag funktionieren. Viele Unternehmen beginnen beim Thema Datenschutzbeauftragter. Das Thema ist wichtig, aber nicht der erste Schritt. Ohne Verzeichnis und ohne geregelten Zugriff fehlt die Grundlage, auf der ein Datenschutzbeauftragter überhaupt arbeiten könnte.
Die DSGVO gilt außerdem unabhängig von der Größe und unabhängig vom Geschäftsmodell. Auch ein kleines Unternehmen mit wenigen Mitarbeitenden verarbeitet regelmäßig personenbezogene Daten. Das Unternehmen trägt die Verantwortung selbst, auch wenn eine externe IT-Betreuung die Systeme betreibt. Die Verantwortung lässt sich delegieren, aber nicht abschieben.
Die DSGVO-Pflichten mit dem größten Hebel
Nicht jede Pflicht verursacht denselben Aufwand. Die folgende Übersicht zeigt die sechs Bausteine, die in der Praxis den größten Unterschied machen, jeweils mit der Umsetzung und dem passenden Nachweis.
| Pflicht | Was gilt | Wie KMU das erfüllt | Nachweis |
|---|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). | Alle Verarbeitungen personenbezogener Daten werden dokumentiert. | Liste je Anwendung mit Zweck, Rechtsgrundlage, Speicherort und Löschfrist. | Aktuelles Verzeichnis mit Datum und Freigabe. |
| Rechtsgrundlage und Zweckbindung (Art. 5 und 6 DSGVO). | Daten dürfen nur für den angegebenen Zweck verarbeitet werden. | Je Anwendung einen Zweck und eine Rechtsgrundlage festlegen und prüfen. | Zweck- und Rechtsgrundlagen-Matrix im Verzeichnis. |
| Auftragsverarbeitungsvertrag (Art. 28 DSGVO). | Dienstleister mit Zugriff auf personenbezogene Daten brauchen einen Vertrag. | AVV mit allen Dienstleistern schließen und regelmäßig auf Aktualität prüfen. | Unterzeichnete AVV je Anbieter in der Ablage. |
| Löschfristen und Speicherbegrenzung (Art. 5 Abs. 1 Buchst. e DSGVO). | Daten werden gelöscht, sobald ihr Zweck entfallen ist. | Löschkonzept je Datenkategorie festlegen und Löschläufe technisch absichern. | Löschkonzept und Protokoll der Löschläufe. |
| Technische und organisatorische Maßnahmen (Art. 32 DSGVO). | Angemessene Maßnahmen schützen Daten vor Zugriff, Verlust und Manipulation. | Verschlüsselung, Zugriffskontrollen, Mehr-Faktor-Authentifizierung, Backup und Protokollierung. | TOMs-Dokument mit Stand und Prüfnachweis. |
| Meldung von Verletzungen (Art. 33 und 34 DSGVO). | Bestimmte Verletzungen werden gemeldet, Betroffene werden informiert. | Meldeprozess mit Verantwortlichen, Vorlagen und Fristen definieren. | Dokumentierter Meldeprozess und Vorfallprotokoll. |
Alles hängt am Verzeichnis von Verarbeitungstätigkeiten. Es ist der Einstieg in jeden Nachweis. Wer es führt, kann Auskunft geben, Löschfristen steuern und Lücken bei den Auftragsverarbeitungsverträgen erkennen.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO nennt Maßnahmen, die für die Sicherheit der Verarbeitung angemessen sind. Dazu gehören Pseudonymisierung und Verschlüsselung, die laufende Prüfung der Schutzmaßnahmen und die Wiederherstellung nach einem Vorfall. Ob eine Maßnahme angemessen ist, hängt von Ihrer Risikolage ab, nicht von der Unternehmensgröße. Für KMU ist der praktische Ansatz einfach: Daten verschlüsseln, Konten mit Mehr-Faktor-Authentifizierung schützen, Rechte nach Rollen vergeben, Zugriffe protokollieren und die Wiederherstellung regelmäßig testen. Ein TOMs-Dokument mit Stand und Prüfnachweis genügt für den Nachweis.
- 1
Verzeichnis anlegen – jede Anwendung mit Zweck, Rechtsgrundlage, Speicherort und Löschfrist eintragen.
- 2
Auftragsverarbeitung prüfen – für jeden Dienstleister mit Datenzugriff Vertrag und Aktualität dokumentieren.
- 3
Löschkonzept festlegen – je Datenkategorie eine Aufbewahrungsregel und einen Verantwortlichen benennen.
- 4
Zugriffe aufräumen – Konten inventarisieren, Rollen vergeben, Mehr-Faktor-Authentifizierung aktivieren.
- 5
Protokollierung einschalten – Admin- und Zugriffsprotokolle zentral und nachvollziehbar ablegen.
Beginnen Sie mit dem Verzeichnis, auch wenn es unvollständig ist. Ein gepflegtes Verzeichnis mit offenen Punkten ist mehr wert als ein perfektes Dokument im Schrank. Sie sehen damit, wo Daten liegen, wo Dienstleister beteiligt sind und an welcher Stelle ein Löschkonzept fehlt.
Wenn Daten verloren gehen
Eine Verletzung des Schutzes personenbezogener Daten ist ein Vorfall, den Sie bewerten und dokumentieren müssen. Meldepflichten und Fristen stehen in Art. 33 und Art. 34 DSGVO. Welche Pflicht im Einzelfall greift, hängt von Art und Risiko des Vorfalls ab. Für KMU ist die Vorbereitung wichtiger als die Reaktion im Ernstfall. Ein Ablaufplan hilft: Wer meldet an wen, welche Unterlagen werden gebraucht, und wie werden Betroffene informiert. Die Meldung erfolgt an die für Ihr Unternehmen zuständige Datenschutzaufsichtsbehörde.
Melden Sie nicht erst dann, wenn alle Ursachen geklärt sind. Art. 33 und 34 DSGVO regeln die Pflichten zur Meldung und zur Information Betroffener. Welche Frist für Sie im Einzelfall gilt, klären Sie mit Ihrer Rechtsabteilung. Wir sorgen dafür, dass die technischen Unterlagen vollständig sind.
Passende Leistungen
Managed IT Services
Betreuung mit Verträgen, Dokumentation und festen Ansprechpartnern.
Managed M365 Backup
Lösch- und Aufbewahrungskonzept für Daten aus Exchange und SharePoint.
Mailarchivierung
Revisionssichere Ablage von E-Mails mit Löschkonzept.
Managed Security
Zugriffsschutz, Protokollierung und Nachweise für Ihre Audits.
Häufige Fragen zu den DSGVO-Pflichten für KMU
Prüfen wir gemeinsam, wie gut Ihre DSGVO-Unterlagen belastbar sind. Im kostenlosen Erstgespräch nehmen wir Verzeichnis, Verträge, TOMs und Löschkonzept unter die Lupe.
Kostenloses Erstgespräch vereinbarenThemen
Themenfeld
IT-Strategie, Betrieb und Kosten für KMU