„Wir sind zu klein für DSGVO-Bußgelder" — warum das nicht stimmt
Kurz gesagt
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet — unabhängig von Größe, Rechtsform oder Umsatz. Bußgelder gegen Kleinbetriebe im unteren vierstelligen Bereich sind dokumentiert, und Aufsichtsbehörden prüfen seit einigen Jahren spürbar häufiger auch kleinere Unternehmen.
Warum der Mythos so hartnäckig ist
Schlagzeilen zu DSGVO-Bußgeldern drehen sich fast ausschließlich um Millionenstrafen gegen internationale Großkonzerne. Das erzeugt den Eindruck, Behörden interessierten sich nur für Konzerne — ein Trugschluss. Die Datenschutzkonferenz dokumentiert regelmäßig Fälle gegen kleine und mittlere Unternehmen, häufig ausgelöst durch überschaubare, alltägliche Verstöße: zu lange gespeicherte Kameraaufzeichnungen, unverschlüsselt versendete Patientendaten, ein fehlendes Verarbeitungsverzeichnis.
Was dokumentiert ist
- Bußgelder gegen Unternehmen mit unter zehn Mitarbeitenden — bereits im unteren vierstelligen Bereich dokumentiert.
- Beschwerden können von Kunden, Mitbewerbern oder Aktivisten anonym und kostenlos eingereicht werden.
- Aufsichtsbehörden dürfen auch anlasslos prüfen, ohne dass eine Beschwerde vorliegen muss.
- Fehlende Verarbeitungsverzeichnisse zählen zu den häufigsten Beanstandungen mit eigenem Bußgeldrahmen.
- Wiederholte Verstöße werden mit spürbaren Aufschlägen geahndet.
Die DSGVO staffelt Bußgelder am Jahresumsatz — bis zu 2 Prozent für allgemeine, bis zu 4 Prozent für schwerwiegende Verstöße. Auch bei einem überschaubaren Jahresumsatz ergibt das für kleine Unternehmen bereits eine Größenordnung, die spürbar wehtut.
Was Kleinunternehmen jetzt konkret tun sollten
- Verarbeitungsverzeichnis anlegen: jede Datenverarbeitung mit Zweck, Rechtsgrundlage und Speicherdauer erfassen.
- Datenschutzerklärung prüfen: gegen die tatsächlich eingesetzten Tools abgleichen, nicht gegen den Stand beim letzten Website-Relaunch.
- Auftragsverarbeitungsverträge abschließen: mit jedem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet.
- Technische Mindeststandards umsetzen: Cookie-Consent, lokal gehostete Schriftarten, verschlüsselte Übertragung.
Der Vergleich, der überzeugt
Ein eintägiges Basis-Audit durch einen erfahrenen Berater kostet deutlich weniger als das günstigste dokumentierte Bußgeld gegen ein Kleinunternehmen. Kostenlose Checklisten der Aufsichtsbehörden — etwa zum Verzeichnis von Verarbeitungstätigkeiten — sind ein guter, kostenloser Einstieg, bevor eine externe Prüfung folgt.