Gælder GDPR også for freelancere og små virksomheder?

Ja, også enemandsforetagender og små virksomheder er omfattet

GDPR gælder for alle, der behandler personoplysninger, uanset virksomhedens størrelse. Der er ingen minimumsgrænse i loven for antallet af medarbejdere eller omsætningen. Så snart der opbevares navne, e-mailadresser, fakturaer med kundedata, personaleadministration eller en kundedatabase i et CRM-system, er der tale om behandling af personoplysninger i lovens forstand — og dermed om GDPRs anvendelighed. En selvstændig erhvervsdrivende med tre kunder i et regneark falder lige så meget ind under dette som en virksomhed med hundrede medarbejdere.

Det, der derimod varierer, er omfanget af de forpligtelser, der følger af denne anvendelighed. GDPR indeholder således en lettere undtagelse for opbevaring af en behandlingsregister: organisationer med færre end 250 medarbejdere skal som udgangspunkt ikke føre dette register, medmindre behandlingen ikke er sporadisk, udgør en risiko for de registreredes rettigheder, eller vedrører særlige kategorier af oplysninger. I praksis rækker denne undtagelse meget længere for mindre virksomheder end den ser ud til ved første øjekast, da opbevaring af kundedata sjældent er virkelig sporadisk.

Hvor dette kommer fra: artikel 2 og artikel 30 GDPR

GDPRs materielle anvendelsesområde er angivet i artikel 2: forordningen gælder for helt eller delvist automatiseret behandling af personoplysninger og for behandling, der udgør en del af en fil. Undtagelsen fra registreringsforpligtelsen for mindre organisationer er angivet i artikel 30 med de deri nævnte betingelser. Fordi GDPR er en forordning, gælder denne kerne direkte og lige i hver medlemsstat — i Danmark lige så vel som i Tyskland. Hvad der varierer fra land til land, er hvilken tilsynsmyndighed der fører tilsyn: i Danmark er det Datatilsynet, i Tyskland er det tilsynsmyndigheden i den delstat, hvor virksomheden er etableret.