DSGVO für kleine Unternehmen bedeutet keine schwere Bürokratie
Die meisten Pflichten lassen sich auf ein paar einfache Praktiken reduzieren, die konsequent angewendet werden, nicht auf umfangreiche Dokumente, die niemand liest.
Schnelle Checkliste
- Sammle nur, was du brauchst: Frage nicht nach einer Personalausweisnummer oder anderen sensiblen Daten, wenn sie für Vertrag oder Rechnungsstellung nicht zwingend nötig sind.
- Wisse, wo die Daten liegen: an einem einzigen Ort (nicht in Excel-Dateien verstreut auf privaten Laptops).
- Habe für jede Datenkategorie einen Rechtsgrund: meist Vertragserfüllung oder gesetzliche Rechnungspflicht.
- Kannst du die Daten eines Kunden löschen auf Anfrage, ohne bereits ausgestellte Rechnungen zu beeinträchtigen (eine separate gesetzliche Aufbewahrungspflicht).
- Begrenze den internen Zugriff: mit Rollen und Berechtigungen sollte ein neuer Kollege nicht automatisch alle Kunden sehen, sondern nur die ihm zugewiesenen.
Der häufigste Fehler
Kundendaten über ungeschützte Kanäle verschicken, zum Beispiel eine Personalausweisnummer oder Steuernummer in einer WhatsApp-Nachricht. Das ist isoliert betrachtet kein schwerer Verstoß, wird aber riskant, wenn es zur Gewohnheit wird.
Die beste DSGVO-Praxis ist die, die das Team befolgt, ohne darüber nachzudenken, weil sie fest in den Arbeitsablauf eingebaut ist, nicht ein separates Dokument.
Fazit
Du brauchst keine komplizierten Verfahren, du brauchst Kundendaten an einem einzigen Ort, mit Zugriff nur für die, die ihn wirklich brauchen.