Gilt die DSGVO auch für mein Unternehmen, wenn ich keine Mitarbeiter habe?
Die Datenschutz-Grundverordnung unterscheidet nicht nach Unternehmensgröße. Es gibt nirgendwo in der Verordnung eine Untergrenze für die Anzahl der Mitarbeiter oder den Umsatz, unterhalb derer die Regeln nicht gelten. Entscheidend ist eine einzige Frage: Verarbeiten Sie personenbezogene Daten? Sobald Sie einen Kundennamen, eine E-Mail-Adresse, eine Adresse für eine Rechnung oder Daten eines Bewerbers speichern, führen Sie eine Verarbeitung im Sinne der DSGVO durch – auch wenn Sie der einzige Mitarbeiter Ihres Unternehmens sind.
Das bedeutet in der Praxis, dass nahezu jedes Unternehmen, vom Einzelunternehmen bis zum Großkonzern, irgendwie in den Anwendungsbereich der DSGVO fällt. Der Unterschied liegt nicht darin, ob das Gesetz gilt, sondern im Umfang und in der Art dessen, was Sie verarbeiten: Ein Freiberufler, der drei Kunden pro Jahr abrechnet, hat eine andere praktische Aufgabe als ein Online-Shop mit Tausenden von Kundenprofilen. Die Anforderungen werden strenger, je risikohafter oder umfangreicher die Verarbeitung ist, aber der Grundsatz bleibt für alle gleich.
Was tatsächlich bestimmt, wie schwer die DSGVO für Sie wiegt
Die DSGVO kennt eine konkrete Ausnahme, die mit der Unternehmensgröße zusammenhängt: Die Verpflichtung, ein Verarbeitungsverzeichnis zu führen, gilt grundsätzlich nicht für Organisationen mit weniger als 250 Mitarbeitern, es sei denn, die Verarbeitung ist nicht gelegentlich, sie birgt Risiken für die Rechte der betroffenen Personen oder betrifft besondere Kategorien personenbezogener Daten wie Gesundheitsdaten. In der Praxis fallen die meisten KMU-Unternehmen dennoch unter eine dieser Ausnahmen, einfach weil Kundendaten regelmäßig verarbeitet werden und daher nicht gelegentlich sind. Die Ausnahme ist also enger als sie auf den ersten Blick erscheint.
Wichtiger als diese eine Ausnahme ist die Art der Daten, die Sie verarbeiten. Verarbeiten Sie nur geschäftliche Kontaktdaten anderer Unternehmen, ist das Risiko normalerweise begrenzt. Verarbeiten Sie Daten von Verbrauchern, Personal, Bewerbern oder Videoaufnahmen, gelten die gleichen Anforderungen wie für ein großes Unternehmen: eine Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber betroffenen Personen, Vereinbarungen mit Dritten, die in Ihrem Namen Daten verarbeiten, und einen Plan für den Fall, dass etwas schiefgeht.
Situationen, in denen die DSGVO eindeutig für Sie gilt
Wenn Sie einen Online-Shop betreiben, verarbeiten Sie Kundendaten, Bestelldaten und häufig Daten über einen Zahlungsdienstleister oder eine Lieferfirma. Wenn Sie Personal haben, verarbeiten Sie Lohndaten, Abwesenheitsdaten und manchmal eine Identifikationsnummer. Wenn Sie mit Bewerbern arbeiten, verarbeiten Sie Lebensläufe und Anschreiben. Wenn Sie Videoüberwachung in einer Einrichtung nutzen, verarbeiten Sie Bildmaterial von Besuchern und Mitarbeitern. In all diesen Fällen ist die DSGVO unbestreitbar anwendbar, unabhängig davon, ob Sie allein arbeiten oder mit zehn Personen.
Situationen, in denen sie weniger schwer wiegt, aber nicht verschwindet
Ein Freiberufler, der ausschließlich geschäftliche Auftraggeber abrechnet und weder Personal noch Verbraucher hat, verarbeitet normalerweise weniger sensible Daten und in kleineren Mengen. Das macht die praktische Aufgabe übersichtlicher, bedeutet aber nicht, dass das Gesetz nicht gilt. Auch dann müssen Sie erklären können, warum Sie Daten speichern, wie lange, und mit wem Sie sie möglicherweise teilen, beispielsweise über eine Buchhaltungssoftware oder einen Cloud-Dienst. Die Richtlinien des EDPB und die Erläuterungen der Niederländischen Behörde für den Datenschutz betonen immer wieder, dass sich die Anforderungen mit dem Risiko ändern, nicht dass sie bei kleinen Betrieben wegfallen.
Wie Sie dies für Ihre eigene Situation überprüfen
Die nützlichste Frage ist nicht "bin ich groß genug, um relevant zu sein", sondern "welche personenbezogenen Daten verarbeite ich, von wem und warum". Gehen Sie Ihre wichtigsten Geschäftsprozesse durch: Abrechnung, Kundenkontakt, Personalverwaltung, Marketing, Sicherheit. Bei jedem Prozess, in dem ein Name, eine E-Mail-Adresse oder ein anderes identifizierendes Merkmal vorkommt, ist die DSGVO relevant. Wer diesen Überblick noch nicht hat, findet in der Wissensdatenbank mit Erläuterungen pro Situation ein Ausgangspunkt, um zu bestimmen, welche Verpflichtungen zu welcher Art der Verarbeitung gehören.
Auch die häufigsten Fragen anderer Unternehmer geben einen guten Überblick über die Bereiche, in denen Unsicherheit am größten ist; diese sind gesammelt auf der Seite mit Antworten auf Fragen, die MKB-Unternehmer häufig stellen. Möchten Sie wissen, wie die Informationen auf gdpria.eu zustande kommen und welche Quelle zu welcher Antwort gehört, lesen Sie dies auf der Seite, die erklärt, woher die verwendeten Informationen stammen.
Die endgültige Beurteilung Ihrer eigenen Situation liegt bei Ihnen, gegebenenfalls mit einem Juristen oder mit der Autoriteit Persoonsgegevens als Anlaufstelle für allgemeine Orientierung. Was wir auf diesen Seiten bieten, ist eine Struktur für diese Beurteilung, nicht die Beratung selbst.
Möchten Sie schnell und unverbindlich sehen, welche Verpflichtungen zu Ihrem Unternehmenstyp gehören, dann können Sie ein geschäftliches Konto erstellen und die Übersicht für Ihre eigene Situation aufbauen. Die erste Erkundung, einschließlich der Fundstelle jeder Antwort, ist und bleibt kostenlos.