Die Datenschutz-Grundverordnung (DSGVO) gilt für jedes Unternehmen in der EU – vom Einzelunternehmer bis zum Konzern. Gerade Gründer unterschätzen oft den Aufwand und die Risiken. Dieser Leitfaden erklärt die wichtigsten Pflichten verständlich und gibt Ihnen eine praxisnahe Checkliste für den Start.
DSGVO-Checkliste für Gründer
Wissen, welche Daten als personenbezogen gelten und welche Rechtsgrundlagen es gibt
Pflichtangaben auf der Website vollständig und verständlich bereitstellen
Alle Datenverarbeitungen nach Art. 30 DSGVO dokumentieren
Auftragsverarbeitungsverträge mit Cloud-Anbietern, Hosting-Providern etc.
Feststellen, ob die Bestellpflicht ab 20 Mitarbeitern greift
TTDSG-konformes Consent-Management für Website-Tracking
Typische Fehler vermeiden und Dokumentation sicherstellen
1DSGVO-Grundlagen für Unternehmen
Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 in der gesamten EU unmittelbar geltendes Recht. Sie regelt, wie Unternehmen personenbezogene Daten erheben, speichern und verarbeiten dürfen. Ergänzt wird sie in Deutschland durch das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG).
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören nicht nur Name und Adresse, sondern auch IP-Adressen, E-Mail-Adressen, Kundennummern und Standortdaten.
Die wichtigsten Rechtsgrundlagen für die Datenverarbeitung:
- Einwilligung (Art. 6 Abs. 1 lit. a): Die betroffene Person hat ausdrücklich zugestimmt, z. B. beim Newsletter-Abo
- Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist zur Erfüllung eines Vertrags erforderlich, z. B. Lieferadresse bei einer Bestellung
- Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Ein Gesetz schreibt die Verarbeitung vor, z. B. steuerliche Aufbewahrungspflichten
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Die Verarbeitung dient einem berechtigten Interesse, z. B. Betrugsprävention – erfordert eine Abwägung
Als Gründer sollten Sie bei jeder Datenverarbeitung prüfen, auf welche Rechtsgrundlage Sie sich stützen. Dokumentieren Sie das von Anfang an – spätestens bei einer Prüfung durch die Aufsichtsbehörde wird diese Zuordnung verlangt.
2Datenschutzerklärung (Website-Pflicht)
Jede Website braucht eine Datenschutzerklärung. Sie muss von jeder Unterseite aus mit maximal zwei Klicks erreichbar sein – in der Praxis bedeutet das einen Link im Footer. Die Datenschutzerklärung ist neben dem Impressum die wichtigste Pflichtseite jeder Unternehmenswebsite.
Diese Angaben muss Ihre Datenschutzerklärung enthalten:
- Name und Kontaktdaten des Verantwortlichen (Ihr Unternehmen)
- Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
- Zwecke und Rechtsgrundlagen jeder Datenverarbeitung
- Empfänger oder Kategorien von Empfängern der Daten
- Speicherdauer oder Kriterien für die Festlegung der Dauer
- Hinweis auf Betroffenenrechte (Auskunft, Löschung, Widerspruch etc.)
- Beschwerderecht bei der zuständigen Aufsichtsbehörde
- Informationen zu eingesetzten Cookies und Tracking-Tools
Praxis-Tipp: Verwenden Sie einen seriösen Datenschutzerklärungs-Generator (z. B. von der Kanzlei Siebert Lexow oder eRecht24) und passen Sie das Ergebnis an Ihre tatsächlichen Verarbeitungen an. Eine kopierte Datenschutzerklärung von einer fremden Website ist fast immer fehlerhaft und kann abgemahnt werden.
3Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist Ihre interne Dokumentation aller Prozesse, bei denen personenbezogene Daten verarbeitet werden. Es ist keine Formalität, sondern das Herzstück Ihrer DSGVO-Compliance. Die Aufsichtsbehörde kann jederzeit Einsicht verlangen.
Auch kleine Unternehmen sind in der Regel zur Führung verpflichtet. Die oft zitierte Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift praktisch nie, weil sie nur gilt, wenn die Verarbeitung kein Risiko für Betroffene birgt und nur gelegentlich erfolgt.
Pflichtinhalte je Verarbeitungstätigkeit:
- Zweck der Verarbeitung: z. B. Kundenverwaltung, Lohnabrechnung, Newsletter-Versand
- Kategorien betroffener Personen: z. B. Kunden, Mitarbeiter, Website-Besucher
- Kategorien personenbezogener Daten: z. B. Name, E-Mail, Bankverbindung
- Empfänger: z. B. Steuerberater, Cloud-Anbieter, Zahlungsdienstleister
- Löschfristen: z. B. 10 Jahre für steuerrelevante Daten, 3 Jahre für Vertragsdaten
- Technische und organisatorische Maßnahmen: z. B. Verschlüsselung, Zugangskontrolle, Backups
Praxis-Tipp: Starten Sie mit einer einfachen Tabelle (z. B. in Excel oder Google Sheets). Listen Sie alle Prozesse auf, bei denen Sie Daten von Personen erfassen – vom Kontaktformular über die Buchhaltung bis zur Personalverwaltung. Ergänzen Sie die Pflichtangaben Schritt für Schritt.
4Auftragsverarbeitung (AVV mit Dienstleistern)
Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, benötigen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Das betrifft nahezu jedes Unternehmen, denn schon der Einsatz von Cloud-Diensten, E-Mail-Marketing-Tools oder Hosting-Anbietern fällt darunter.
Typische Fälle, in denen ein AVV erforderlich ist:
- Hosting-Provider: Ihr Webspace-Anbieter speichert Zugriffsprotokolle und ggf. Formulardaten
- Newsletter-Dienste: Mailchimp, Brevo & Co. verarbeiten E-Mail-Adressen Ihrer Abonnenten
- Cloud-Speicher: Google Workspace, Microsoft 365, Dropbox – sobald personenbezogene Dateien dort liegen
- Buchhaltungssoftware: Cloud-basierte Tools wie Lexoffice, sevDesk oder DATEV Unternehmen Online
- Analyse-Tools: Google Analytics, Matomo (gehostet) und ähnliche Web-Analyse-Dienste
Die meisten großen Anbieter stellen fertige AVVs bereit, die Sie online abschließen können. Prüfen Sie dennoch, ob der Vertrag alle Pflichtinhalte nach Art. 28 Abs. 3 DSGVO enthält: Gegenstand und Dauer der Verarbeitung, Art der Daten, Kategorien betroffener Personen, Weisungsbefugnisse und Unterauftragnehmer.
Nutzen Sie US-Dienste (z. B. Google, AWS, Mailchimp), liegt ein Datentransfer in ein Drittland vor. Seit dem EU-US Data Privacy Framework (DPF) von 2023 ist der Transfer an zertifizierte US-Unternehmen wieder ohne Zusatzmaßnahmen möglich. Prüfen Sie aber, ob Ihr Anbieter tatsächlich DPF-zertifiziert ist.
5Datenschutzbeauftragter (ab 20 Mitarbeitern)
Ein Datenschutzbeauftragter (DSB) muss benannt werden, wenn in Ihrem Unternehmen mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden alle Beschäftigten – Vollzeit, Teilzeit, Minijobber, Leiharbeiter und Praktikanten.
Unabhängig von der Mitarbeiterzahl besteht die Pflicht auch in folgenden Fällen:
- Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Datenkategorien (z. B. Gesundheitsdaten, biometrische Daten)
- Die Kerntätigkeit besteht in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen (z. B. Videoüberwachung, Scoring)
- Es werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung erhoben (z. B. Auskunfteien, Adresshandel)
Interner DSB
- Kennt die internen Abläufe
- Jederzeit verfügbar
- Besonderer Kündigungsschutz
- Schulungskosten und Interessenkonflikte
Externer DSB
- Fachlich spezialisiert und unabhängig
- Kein Kündigungsschutz-Risiko
- Planbare monatliche Kosten (ab ca. 100 €/Monat)
- Geringere Kenntnis interner Prozesse
7Bußgelder und häufige Fehler
Verstöße gegen die DSGVO können teuer werden. Die Verordnung sieht Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. In der Praxis sind die Strafen für Gründer und kleine Unternehmen deutlich geringer – aber Beträge im vier- bis fünfstelligen Bereich kommen regelmäßig vor.
Die häufigsten Fehler bei Gründern:
- Fehlende oder fehlerhafte Datenschutzerklärung: Häufigster Abmahngrund – oft reicht schon ein fehlendes Tool in der Auflistung
- Kein Cookie-Consent-Banner: Google Analytics ohne Einwilligung ist der Klassiker unter den Verstößen
- Fehlende AVVs mit Dienstleistern: Viele Gründer nutzen Cloud-Tools, ohne einen Auftragsverarbeitungsvertrag abzuschließen
- Kein Verarbeitungsverzeichnis: Bei Prüfungen durch die Aufsichtsbehörde wird das VVT als erstes angefordert
- Newsletter ohne Double-Opt-in: E-Mail-Marketing ohne nachweisbare Einwilligung kann Bußgelder und Abmahnungen nach sich ziehen
- Kontaktformular ohne SSL: Unverschlüsselte Datenübertragung verstößt gegen die Pflicht zu technischen Schutzmaßnahmen
Neben Bußgeldern der Aufsichtsbehörden drohen auch wettbewerbsrechtliche Abmahnungen durch Konkurrenten und Verbraucherschutzverbände. Besonders riskant: fehlende Datenschutzerklärung, Google Fonts von externen Servern und Tracking ohne Einwilligung. Die Kosten einer Abmahnung liegen schnell bei 1.000 bis 3.000 Euro.
Fazit
Datenschutz ist kein optionales Thema – er gehört von Tag eins zur Gründung dazu. Die gute Nachricht: Mit einer strukturierten Herangehensweise lassen sich die wichtigsten Pflichten in wenigen Tagen umsetzen. Datenschutzerklärung, Verarbeitungsverzeichnis und AVVs sind die Grundpfeiler. Ein Cookie-Consent-Tool lässt sich in wenigen Stunden einrichten.
Wer von Anfang an sauber dokumentiert, spart sich später teuren Nachholbedarf und schläft ruhiger. Und: Kunden und Geschäftspartner nehmen Datenschutz zunehmend als Qualitätsmerkmal wahr. Ein professioneller Umgang mit Daten stärkt das Vertrauen in Ihr junges Unternehmen.
Aktuelle Neugründungen entdecken
Auf GründungsIndex finden Sie täglich aktuelle Firmengründungen in ganz Deutschland. Beobachten Sie den Markt und entdecken Sie neue Unternehmen in Ihrer Branche.
Zur Gründungs-SucheHäufig gestellte Fragen
Brauche ich als Einzelunternehmer eine Datenschutzerklärung?
Ja, sobald Sie eine Website betreiben oder personenbezogene Daten verarbeiten, sind Sie zur Datenschutzerklärung verpflichtet – unabhängig von Rechtsform oder Unternehmensgröße. Das gilt auch für Freelancer, Kleingewerbetreibende und Einzelunternehmer.
Ab wann brauche ich einen Datenschutzbeauftragten?
Ein Datenschutzbeauftragter ist Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Mitarbeiterzahl besteht die Pflicht auch, wenn Sie besondere Kategorien von Daten (z. B. Gesundheitsdaten) verarbeiten oder Daten geschäftsmäßig zur Übermittlung erheben.
Was passiert, wenn ich gegen die DSGVO verstoße?
Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. In der Praxis liegen Bußgelder für kleine Unternehmen meist im drei- bis fünfstelligen Bereich. Zusätzlich drohen Abmahnungen und Schadensersatzforderungen.
Reicht ein Cookie-Banner ohne Einwilligung?
Nein. Ein reiner Hinweis-Banner ohne echte Wahlmöglichkeit reicht nicht aus. Nach TTDSG und DSGVO müssen technisch nicht notwendige Cookies (z. B. Tracking, Marketing) erst nach aktiver Einwilligung des Nutzers gesetzt werden. Die Einwilligung muss freiwillig, informiert und widerrufbar sein. Vorausgewählte Checkboxen sind unzulässig.