Gilt die DSGVO auch für Freiberufler und kleine Unternehmen?

Ja, auch Einzelunternehmer und kleine Unternehmen unterliegen ihr

Die DSGVO gilt für jeden, der personenbezogene Daten verarbeitet, unabhängig von der Größe des Unternehmens. Das Gesetz sieht keine Untergrenze für die Anzahl der Arbeitnehmer oder den Umsatz vor. Sobald Namen, E-Mail-Adressen, Rechnungen mit Kundendaten, eine Personalverwaltung oder ein Kundenbestand in einem CRM-System gespeichert werden, handelt es sich um eine Verarbeitung personenbezogener Daten im Sinne des Gesetzes — und damit um die Anwendbarkeit der DSGVO. Ein Einzelunternehmer mit drei Kunden in einer Tabellenkalkulation unterliegt dieser Regel genauso wie ein Unternehmen mit hundert Arbeitnehmern.

Was sich jedoch unterscheidet, ist der Umfang der Verpflichtungen, die sich aus dieser Anwendbarkeit ergeben. So kennt die DSGVO eine leichtere Ausnahme für die Führung eines Verzeichnisses von Verarbeitungstätigkeiten: Organisationen mit weniger als 250 Arbeitnehmern müssen dieses Verzeichnis grundsätzlich nicht führen, es sei denn, die Verarbeitung ist nicht gelegentlich, mit sich ein Risiko für die Rechte betroffener Personen bringt oder besondere Kategorien von Daten betrifft. In der Praxis kommt diese Ausnahme vielen kleineren Unternehmen weniger zugute, als sie auf den ersten Blick zu versprechen scheint, denn die Speicherung von Kundendaten ist selten wirklich gelegentlich.

Wo das herkommt: Artikel 2 und Artikel 30 DSGVO

Der sachliche Anwendungsbereich der DSGVO ist in Artikel 2 festgelegt: die Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten und für die Verarbeitung, die Bestandteil eines Dateisystems ist. Die Ausnahme von der Verzeichnispflicht für kleinere Organisationen ist in Artikel 30 geregelt, mit den dort genannten Bedingungen. Da die DSGVO eine Verordnung ist, gilt dieser Kern unmittelbar und gleich in jedem Mitgliedstaat — in den Niederlanden genauso wie in Deutschland. Was von Land zu Land unterscheidet, ist welche Aufsichtsbehörde dies überwacht: In den Niederlanden ist dies die Autoriteit Persoonsgegevens, in Deutschland die Aufsichtsbehörde des Bundeslandes, in dem sich die Niederlassung befindet.