Ja, die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von der Größe. Es gibt keine generelle KMU-Befreiung.
Was genau gilt?
Die DSGVO findet Anwendung auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten (Art. 2 Abs. 1 DSGVO). Da praktisch jedes Unternehmen Kunden-, Lieferanten- oder Mitarbeiterdaten verarbeitet, ist die DSGVO für nahezu alle Unternehmen relevant.
Die einzige echte Ausnahme
Die DSGVO gilt nicht für natürliche Personen, die Daten ausschließlich für persönliche oder familiäre Tätigkeiten verarbeiten (Art. 2 Abs. 2 lit. c DSGVO, sogenannte "Household-Exemption"). Diese Ausnahme ist eng auszulegen, sobald eine geschäftliche oder öffentliche Komponente hinzukommt, greift die DSGVO.
Erleichterungen für KMU
Obwohl die DSGVO vollumfänglich gilt, gibt es punktuelle Erleichterungen:
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 5 DSGVO): Unternehmen mit weniger als 250 Mitarbeitern können unter bestimmten Voraussetzungen befreit sein. Aber: Die Befreiung entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko besteht oder sensible Daten verarbeitet werden. Da bereits die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten genügt, muss in der Praxis fast jedes Unternehmen ein Verzeichnis führen (DSK-Kurzpapier Nr. 1).
- Datenschutzbeauftragter: Nach § 38 BDSG besteht die Pflicht in der Regel erst ab 20 Personen, die ständig mit automatisierter Datenverarbeitung beschäftigt sind. Die Bundesregierung hat angekündigt, diese deutsche Sonderregel abzuschaffen. Bis zu einer Gesetzesänderung gilt sie weiter. Einzelheiten stehen auf der Seite Wann ist ein Datenschutzbeauftragter Pflicht?.
- Risikobewertung: Der risikobasierte Ansatz der DSGVO (Art. 24, 32 DSGVO) bedeutet, dass der Umfang der Maßnahmen an die Risiken angepasst werden kann. Ein kleiner Handwerksbetrieb muss weniger tun als ein Gesundheitskonzern.
Handlungsempfehlung für Startups
Nehmen Sie Datenschutz von Anfang an ernst (Privacy by Design, Art. 25 DSGVO). Die Grundpflichten gelten auch für Sie: Datenschutzerklärung, Rechtsgrundlagen prüfen, Verarbeitungsverzeichnis führen, Betroffenenrechte gewährleisten. Das ist weniger Aufwand als gedacht und schützt vor Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO).
Auch ohne Pflicht kann ein Datenschutzbeauftragter sinnvoll sein. Datenkodex unterstützt als externer Datenschutzbeauftragter auch kleine Unternehmen, Pakete gibt es ab 147 € netto im Monat.