DSGVO-Leitfaden 2026: Pflichten, Bußgelder, Praxis-Roadmap für KMU

Dieser Leitfaden gibt den Gesamtüberblick über die DSGVO für kleine und mittlere Unternehmen in Deutschland und Österreich. Die einzelnen Pflichten vertiefen die Fachartikel im Themenbereich DSGVO; wo ein Abschnitt hier kurz bleibt, führt ein Link zum ausführlichen Artikel.

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, kurz DSGVO) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten (Art. 99 Abs. 2 DSGVO). Sie schützt natürliche Personen bei der Verarbeitung ihrer personenbezogenen Daten und regelt zugleich den freien Verkehr dieser Daten in der Union (Art. 1 DSGVO). Eine Umsetzung in nationales Recht ist nicht nötig; die Mitgliedstaaten dürfen aber dort ergänzen, wo die Verordnung Öffnungsklauseln enthält.

In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die Verordnung, etwa mit Regeln zur Datenverarbeitung im Beschäftigungsverhältnis (§ 26 BDSG), zur Benennung eines Datenschutzbeauftragten (§ 38 BDSG) und zur Aufsicht über nichtöffentliche Stellen (§ 40 BDSG). Für Cookies und andere Zugriffe auf Endgeräte gilt § 25 TDDDG. In Österreich ergänzt das Datenschutzgesetz (DSG) die Verordnung; die Regel zu Speicherung und Zugriff auf Endeinrichtungen steht in § 165 Abs. 3 TKG 2021.

Stand 2026: was gilt und was nur Vorschlag ist

• Digital-Omnibus zu Daten: Die Kommission hat am 19.11.2025 vorgeschlagen, unter anderem die DSGVO und die ePrivacy-Richtlinie zu ändern (COM(2025) 837, Verfahren 2025/0360(COD)). Der Verfahrensstand lautet „Awaiting committee decision“; zum 17.08.2026 war kein Rechtsakt in Kraft. Art. 30 Abs. 5 DSGVO und alle übrigen Pflichten gelten daher unverändert.
• Nicht verwechseln: Der KI-Teil des Digital-Omnibus ist als Verordnung (EU) 2026/1744 seit 27.07.2026 in Kraft. Er ändert die KI-Verordnung, nicht die DSGVO.
• Drittlandsübermittlung USA: Der Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen (Durchführungsbeschluss (EU) 2023/1795) gilt; die Klage gegen ihn wurde abgewiesen, das Rechtsmittel ist anhängig (Details im Abschnitt zur Drittlandsübermittlung).
• Leitlinien: Die EDSA-Leitlinien 1/2024 zum berechtigten Interesse liegen in der Konsultationsfassung 1.0 vor; eine endgültige Fassung ist in den ausgewerteten Quellen nicht belegt. Für Cookies und digitale Dienste ist die Orientierungshilfe der deutschen Aufsichtsbehörden (DSK) zu § 25 TDDDG „OH Digitale Dienste“ in Version 1.2 (November 2024) die aktuelle Fassung.

Zentral: Die DSGVO ist geltendes Recht für jeden Verantwortlichen, unabhängig von der Unternehmensgröße. Der Verantwortliche muss die Grundsätze des Art. 5 nicht nur einhalten, sondern ihre Einhaltung nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Die 7 Grundsätze nach Art. 5 DSGVO

Art. 5 DSGVO ist das Fundament aller weiteren Pflichten. Jede Verarbeitung muss alle Grundsätze zugleich erfüllen:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (Art. 5 Abs. 1 lit. a): Es braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, also Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, Aufgabe im öffentlichen Interesse oder berechtigtes Interesse. Für besondere Kategorien wie Gesundheitsdaten gilt zusätzlich das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 mit den Ausnahmen des Abs. 2.
2. Zweckbindung (lit. b): Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben. Soll ein neuer Zweck dazukommen, ist die Vereinbarkeit nach Art. 6 Abs. 4 zu prüfen.
3. Datenminimierung (lit. c): nur die Daten, die für den Zweck erforderlich sind.
4. Richtigkeit (lit. d): Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein.
5. Speicherbegrenzung (lit. e): Daten werden nur so lange in identifizierbarer Form gespeichert, wie es für den Zweck erforderlich ist. In der Praxis braucht es dafür ein Löschkonzept mit Fristen.
6. Integrität und Vertraulichkeit (lit. f): angemessene Sicherheit, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, Zerstörung oder Schädigung.
7. Rechenschaftspflicht (Art. 5 Abs. 2): Der Verantwortliche ist für die Einhaltung verantwortlich und muss sie nachweisen können. Deshalb ist Datenschutz in der Praxis vor allem Dokumentation.

Wer ist zur DSGVO verpflichtet?

Die DSGVO knüpft an Rollen an, nicht an Größe oder Branche. Zwei Rollen sind für Unternehmen entscheidend.

Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Verantwortlich ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet. Das betrifft Unternehmen jeder Größe, Vereine, Selbstständige und Freiberufler. Für private Verantwortliche ist die wichtigste Ausnahme die Verarbeitung durch natürliche Personen zu ausschließlich persönlichen oder familiären Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO).

Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO)

Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, also nach dessen Weisung. Typische Beispiele sind Cloud- und Hosting-Anbieter, IT-Dienstleister mit Fernwartungszugriff, Anbieter von HR- oder Newsletter-Software und externe Lohnabrechnungsdienste, die nach Vorgaben des Arbeitgebers arbeiten. Der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Gewähr für geeignete technische und organisatorische Maßnahmen bieten, und muss die Zusammenarbeit in einem Vertrag nach Art. 28 Abs. 3 DSGVO regeln.

Nicht jeder externe Dienstleister ist Auftragsverarbeiter. Der externe Datenschutzbeauftragte nimmt eine eigene gesetzliche Funktion wahr (Art. 37 bis 39 DSGVO) und verarbeitet nicht im Auftrag. Berufsträger wie Steuerberater oder Rechtsanwälte, die Mandate eigenverantwortlich bearbeiten, sind für die Mandatsdaten eigenständig Verantwortliche; ein Auftragsverarbeitungsvertrag ist dann nicht der richtige Vertragstyp. Die Abgrenzung erläutert der Artikel DSGVO bei Steuerberater und Anwaltskanzleien.

Räumlicher Anwendungsbereich (Art. 3 DSGVO)

• Niederlassungsprinzip (Art. 3 Abs. 1): Die DSGVO gilt für jede Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der Union, unabhängig davon, wo die Verarbeitung technisch stattfindet.
• Marktortprinzip (Art. 3 Abs. 2): Auch Verantwortliche und Auftragsverarbeiter ohne Niederlassung in der Union fallen unter die DSGVO, wenn sie betroffenen Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten. Sie müssen in der Regel einen Vertreter in der Union benennen (Art. 27 DSGVO).

Die 8 zentralen Kernpflichten

Dazu kommen zwei Pflichten, die quer zu allen Verarbeitungen liegen: die Informationspflichten gegenüber Betroffenen bei der Erhebung (Art. 13 und 14 DSGVO), umgesetzt vor allem über Datenschutzerklärungen und Informationsblätter, und die Regeln für Übermittlungen in Drittländer (Art. 44 bis 49 DSGVO).

Bußgelder und Haftung

Die DSGVO kennt zwei Bußgeldstufen. Maßgeblich ist jeweils der höhere der beiden Beträge.

Zwei Entscheidungen des EuGH prägen die Haftung. Nach dem Urteil vom 5. Dezember 2023 (C-807/21, Deutsche Wohnen) kann eine Geldbuße gegen ein Unternehmen verhängt werden, ohne dass der Verstoß zuvor einer bestimmten natürlichen Person zugerechnet wurde; nachzuweisen ist aber, dass der Verstoß vorsätzlich oder fahrlässig begangen wurde. Neben Bußgeldern stehen Schadensersatzansprüche Betroffener nach Art. 82 DSGVO: Nach dem Urteil vom 4. Mai 2023 (C-300/21, Österreichische Post) begründet ein bloßer Verstoß allein noch keinen Anspruch, ein immaterieller Schaden muss aber keine Erheblichkeitsschwelle erreichen.

Aktuelle Bußgeldfälle

Einzelne Bußgeldentscheidungen mit Beträgen, Aufsichtsbehörden und Verfahrensstand führt der DSGVO-Bußgeld-Tracker 2025/26; dort stehen auch Fälle aus dem Mittelstand. Wie ein Verfahren nach der Anzeige abläuft und welche Rechte Unternehmen darin haben, erklärt der Artikel zum DSGVO-Bußgeldverfahren. Eine erste Einordnung der Größenordnung liefert der Bußgeld-Rechner.

10-Schritte-Praxis-Roadmap

Eine pragmatische Umsetzung für mittelständische Unternehmen plant mit drei bis vier Monaten bei priorisierter Bearbeitung. Die Wochenangaben sind Planungswerte aus der Praxis, keine gesetzlichen Fristen.

1. Bestandsaufnahme (Woche 1 bis 2): Welche personenbezogenen Daten verarbeiten wir, in welchen Systemen, mit welchen Datenflüssen nach innen und außen?
2. Verarbeitungsverzeichnis (Woche 2 bis 4): alle Tätigkeiten mit den Angaben nach Art. 30 Abs. 1 DSGVO erfassen (Zwecke, Kategorien von Personen und Daten, Empfänger, Drittlandsübermittlungen, wenn möglich Löschfristen und TOM-Beschreibung); die Rechtsgrundlage zusätzlich festhalten, um sie nachweisen zu können (Art. 5 Abs. 2 DSGVO).
3. TOM-Konzept (Woche 3 bis 4): Maßnahmen nach Risiko festlegen und eine regelmäßige Wirksamkeitsprüfung vorsehen (Art. 32 DSGVO). Wie eine prüffähige Gliederung aussieht, zeigt die TOM-Prüfliste.
4. Auftragsverarbeitung prüfen (Woche 4 bis 6): Cloud- und Hosting-Anbieter, IT-Wartung, HR- und Newsletter-Software: Liegt für jeden Auftragsverarbeiter ein Vertrag nach Art. 28 Abs. 3 vor, und ist er aktuell? Eigenständig verantwortliche Berufsträger gehören nicht in diese Liste.
5. Informationspflichten (Woche 5): Datenschutzerklärung für Website und App sowie Informationen für Beschäftigte, Bewerber, Kunden und Lieferanten nach Art. 13 und 14 DSGVO.
6. DSB prüfen (Woche 5): Pflicht nach Art. 37 DSGVO und, in Deutschland, nach § 38 BDSG prüfen; bei Pflicht benennen, die Kontaktdaten des DSB veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).
7. Prozess für Betroffenenrechte (Woche 6 bis 8): Wer nimmt Anträge an, wer prüft die Identität, wer antwortet? Die Monatsfrist des Art. 12 Abs. 3 DSGVO und die Möglichkeit der Verlängerung um zwei Monate im Prozess abbilden.
8. Prozess für Datenpannen (Woche 7 bis 8): Meldekette mit Zuständigkeiten und Vertretung, Risikobewertung, Meldung unverzüglich und möglichst binnen 72 Stunden; jede Panne intern dokumentieren, auch wenn keine Meldung nötig ist (Art. 33 Abs. 5 DSGVO).
9. Drittlandsübermittlungen absichern (Woche 8 bis 10): Für US-Empfänger prüfen, ob sie auf der Data Privacy Framework List stehen; sonst geeignete Schutzmaßnahmen nach Art. 46 DSGVO, etwa Standarddatenschutzklauseln, mit Prüfung des Schutzniveaus im Empfängerland. Details im Schrems-II- und DPF-Update.
10. Beschäftigte sensibilisieren (Woche 10 bis 12): Vertraulichkeitsverpflichtung und Unterweisung. Die DSGVO schreibt keine Schulung als eigene Pflicht vor; Verantwortliche müssen aber sicherstellen, dass unterstellte Personen Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO), und zu den Aufgaben eines DSB gehört die Überwachung der Einhaltung einschließlich der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter (Art. 39 Abs. 1 lit. b DSGVO). Für die Umsetzung gibt es die DSGVO-Schulung als E-Learning.

Drittlandsübermittlung: USA und Data Privacy Framework

Daten dürfen in ein Drittland nur übermittelt werden, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Am einfachsten ist das mit einem Angemessenheitsbeschluss der Kommission nach Art. 45 DSGVO. Für die USA besteht ein solcher Beschluss zum EU-US-Datenschutzrahmen, der Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023. Er gilt aber nur für Organisationen, die auf der vom U.S. Department of Commerce geführten Data Privacy Framework List stehen. Die Kommission überwacht den Rahmen fortlaufend und kann den Beschluss nach Art. 45 Abs. 5 DSGVO aussetzen, ändern oder widerrufen.

Zum Verfahrensstand: Das Gericht der EU hat die Klage auf Nichtigerklärung am 3. September 2025 abgewiesen (T-553/23, Latombe). Gegen dieses Urteil ist seit 31. Oktober 2025 das Rechtsmittel C-703/25 P beim Gerichtshof anhängig; eine Entscheidung lag zum 17.08.2026 nicht vor. Wer US-Dienste nutzt, sollte deshalb dokumentieren, auf welcher Grundlage jede Übermittlung beruht.

Steht ein Empfänger nicht auf der Liste, braucht es geeignete Schutzmaßnahmen nach Art. 46 DSGVO, in der Praxis meist Standarddatenschutzklauseln der Kommission. Seit dem Urteil Schrems II (EuGH, 16. Juli 2020, C-311/18) muss der Exporteur dabei prüfen, ob das Schutzniveau im Empfängerland dem der Union der Sache nach gleichwertig ist; dasselbe Urteil hat den früheren Privacy-Shield-Beschluss (EU) 2016/1250 für ungültig erklärt. Wie die Prüfung aufgebaut wird, zeigt der Abschnitt zu den Standardvertragsklauseln im Schrems-II-Artikel.

Brauche ich einen Datenschutzbeauftragten (DSB)?

EU-weit ist ein DSB nach Art. 37 Abs. 1 DSGVO in drei Fällen zu benennen: bei Behörden und öffentlichen Stellen, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen erfordert, und wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen nach Art. 10 besteht. In Deutschland kommt § 38 Abs. 1 BDSG hinzu: Pflicht ab in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und unabhängig von der Personenzahl, wenn eine Verarbeitung einer DSFA unterliegt oder Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Österreich sieht keine Zahlenschwelle vor; die Pflicht folgt allein aus Art. 37 DSGVO, § 5 DSG regelt ergänzend die Geheimhaltung des DSB. Eine Pflicht allein wegen der Branche oder ab dem ersten Mitarbeiter ergibt sich aus diesen Normen nicht; entscheidend ist, ob die Kerntätigkeit im Einzelfall „umfangreich“ ist. Wer unsicher ist, dokumentiert die Prüfung. Interne und externe Lösung, Aufgaben und Kündigungsschutz behandelt der Artikel Datenschutzbeauftragter ab wann.

Branchen-Praxis: fünf Sektoren im Kurzüberblick

Die Pflichten sind dieselben, die Schwerpunkte verschieben sich je nach Branche. Die Branchenartikel vertiefen jeden Sektor.

• Steuerberater und Anwaltskanzleien: Mandatsdaten unterliegen neben der DSGVO der beruflichen Verschwiegenheit. Für die Mandatsbearbeitung sind die Kanzleien eigenständig Verantwortliche; Auftragsverarbeitungsverträge brauchen sie mit ihren eigenen Dienstleistern, etwa für Software und Hosting. Mehr dazu: DSGVO bei Steuerberater und Anwaltskanzleien.
• Arztpraxen, MVZ und Therapeuten: Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO. Nach einem Vorfall wie einem Ransomware-Angriff ist neben der Meldung an die Aufsicht zu prüfen, ob ein hohes Risiko besteht und Patienten nach Art. 34 DSGVO zu benachrichtigen sind. Mehr dazu: DSGVO in Arztpraxen und bei Therapeuten.
• IT-Dienstleister und SaaS-Anbieter: Sie sind häufig Auftragsverarbeiter ihrer Kunden, brauchen für Unterauftragsverarbeiter die Genehmigung des Verantwortlichen (Art. 28 Abs. 2 und 4 DSGVO) und melden Datenpannen dem Kunden unverzüglich (Art. 33 Abs. 2 DSGVO). Mehr dazu: DSGVO für SaaS-Anbieter und DSGVO-Vorlagen für IT-Dienstleister.
• E-Commerce und Online-Shops: Cookies und vergleichbare Zugriffe auf Endgeräte brauchen außerhalb des unbedingt Erforderlichen eine Einwilligung, in Deutschland nach § 25 TDDDG, in Österreich nach § 165 Abs. 3 TKG 2021. Werbung und Newsletter folgen eigenen Regeln. Mehr dazu: Cookie-Banner nach § 25 TDDDG und DSGVO im Marketing.
• Jeder Arbeitgeber: Beschäftigtendaten sind in Deutschland nach § 26 BDSG zu beurteilen; Kontrollen und Videoüberwachung haben enge Grenzen. Mehr dazu: Grenzen der Mitarbeiter-Überwachung und Videoüberwachung am Arbeitsplatz.

EuGH-Rechtsprechung mit Praxisfolgen (Auswahl)

Vier Entscheidungen des Gerichtshofs sind für KMU im Alltag besonders relevant:

• C-311/18 (Schrems II, 16.07.2020): Privacy Shield ungültig; bei Standarddatenschutzklauseln muss das Schutzniveau im Empfängerland der Sache nach gleichwertig sein. Fehlt ein Angemessenheitsbeschluss und können die Klauseln im Drittland nicht eingehalten werden und lässt sich der erforderliche Schutz nicht mit anderen Mitteln gewährleisten, muss die Aufsicht die Übermittlung aussetzen oder verbieten, sofern der Exporteur sie nicht selbst ausgesetzt oder beendet hat.
• C-300/21 (Österreichische Post, 04.05.2023): Ein bloßer Verstoß begründet noch keinen Schadensersatz nach Art. 82 DSGVO; ein nationaler Schwellenwert der Erheblichkeit für immaterielle Schäden ist aber unzulässig.
• C-807/21 (Deutsche Wohnen, 05.12.2023): Geldbußen gegen Unternehmen setzen nicht voraus, dass der Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde, wohl aber einen vorsätzlichen oder fahrlässigen Verstoß.
• C-634/21 (SCHUFA Scoring, 07.12.2023): Schon die automatisierte Erstellung eines Bonitätswerts durch eine Wirtschaftsauskunftei ist eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO, wenn ein Dritter, dem der Wert übermittelt wird, seine Vertragsentscheidung maßgeblich darauf stützt.

Erstmaßnahmen-Checkliste für KMU

Diese zwölf Punkte sollten vorliegen, bevor eine Anfrage der Aufsichtsbehörde oder einer betroffenen Person eintrifft:

1. Aktuelles Verarbeitungsverzeichnis mit allen Tätigkeiten (Art. 30 DSGVO)
2. Datenschutzerklärung auf der Website und Informationen nach Art. 13 und 14 DSGVO für Beschäftigte, Bewerber, Kunden und Lieferanten
3. Einwilligungsverwaltung für Cookies (Deutschland: § 25 TDDDG; Österreich: § 165 Abs. 3 TKG 2021), ohne voreingestellte Zustimmung
4. Geprüfte DSB-Pflicht; bei Pflicht schriftliche Benennung und Mitteilung an die Aufsicht
5. Dokumentierte TOM mit Wirksamkeitsprüfung (Art. 32 DSGVO)
6. Auftragsverarbeitungsverträge mit allen Auftragsverarbeitern (Art. 28 DSGVO)
7. Unterzeichnete Vertraulichkeitsverpflichtungen der Beschäftigten
8. Meldekette für Datenpannen mit Ziel „unverzüglich, möglichst binnen 72 Stunden“ und internem Register (Art. 33 DSGVO)
9. Löschkonzept mit Fristen (Art. 5 Abs. 1 lit. e DSGVO)
10. Prozess für Betroffenenrechte mit Monatsfrist und Verlängerungsregel (Art. 12 Abs. 3 DSGVO)
11. Dokumentierte Grundlage für jede Drittlandsübermittlung (Art. 44 bis 49 DSGVO)
12. Regelmäßige, dokumentierte Unterweisung der Beschäftigten

Fehlt ein Punkt, ist er der nächste Arbeitsschritt. Eine schnelle Selbsteinschätzung bietet der 1-Minuten-Quicktest DSGVO.

Häufige Fehler und Missverständnisse

• „Wir sind zu klein“: Die DSGVO gilt größenunabhängig. Die Ausnahme vom Verarbeitungsverzeichnis für Einrichtungen unter 250 Mitarbeitern greift nicht, wenn die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder Daten nach Art. 9 oder 10 einschließt (Art. 30 Abs. 5 DSGVO); laufende Personal- und Kundendaten sind in aller Regel nicht nur gelegentlich.
• „Das Impressum reicht“: Art. 13 und 14 DSGVO verlangen Informationen zu Zwecken, Rechtsgrundlagen, Empfängern, Speicherdauer und Betroffenenrechten. Ein Impressum enthält sie nicht; in der Praxis bündelt sie eine eigene Datenschutzerklärung.
• „Einwilligung passt immer“: Im Beschäftigungsverhältnis ist die Freiwilligkeit unter Berücksichtigung der Abhängigkeit zu beurteilen (§ 26 Abs. 2 BDSG); oft trägt eine andere Rechtsgrundlage besser.
• „Voreingestellte Häkchen genügen“: Eine Einwilligung setzt eine Erklärung oder eine eindeutige bestätigende Handlung voraus (Art. 4 Nr. 11 DSGVO); bereits angekreuzte Kästchen oder Untätigkeit genügen nach Auffassung der deutschen Aufsichtsbehörden (DSK) nicht (OH Digitale Dienste, Rn. 44). Eine gleichwertige Ablehnungsmöglichkeit verlangen die deutschen Aufsichtsbehörden als Auslegung, nicht als Gesetzeswortlaut.
• „Eine Panne regeln wir intern“: Meldepflichtige Pannen sind der Aufsicht zu melden, und jede Panne ist zu dokumentieren (Art. 33 Abs. 1 und 5 DSGVO).
• „Alte Privacy-Shield-Klauseln gelten noch“: Der Privacy Shield ist seit dem Urteil C-311/18 ungültig; maßgeblich sind heute der Datenschutzrahmen oder Maßnahmen nach Art. 46 DSGVO.

Weitere typische Fehler mit Gegenmaßnahmen sammelt der Artikel DSGVO Top-10 Fehler bei KMU.

Deutschland und Österreich: Aufsicht und nationale Regeln

Die DSGVO gilt in beiden Ländern gleich, die ergänzenden Gesetze und die Aufsicht unterscheiden sich. In Deutschland ist die Aufsicht föderal organisiert: Für nichtöffentliche Stellen, also auch für Unternehmen, ist die nach Landesrecht zuständige Landesdatenschutzbehörde zuständig (§ 40 Abs. 1 BDSG). Die Datenschutzaufsichtsbehörden des Bundes und der Länder stimmen sich in der Datenschutzkonferenz (DSK) ab, deren Orientierungshilfen Auslegungshilfen sind, keine Gesetze. Kirchen und religiöse Vereinigungen können nach Art. 91 DSGVO eigene Aufsichtsbehörden haben. Für Unternehmen ist in Österreich allein die Datenschutzbehörde zuständig, die als nationale Aufsichtsbehörde eingerichtet ist (§ 18 Abs. 1 DSG). Bei grenzüberschreitender Verarbeitung in der Union ist die Aufsicht am Ort der Hauptniederlassung federführend (Art. 56 DSGVO); die Aufsichtsbehörden arbeiten im Kohärenzverfahren zusammen (Art. 63 DSGVO); der Europäische Datenschutzausschuss stellt die einheitliche Anwendung der Verordnung sicher (Art. 70 Abs. 1 DSGVO).

Österreich-spezifische Fragen wie die Anpassung der Dokumente an das DSG vertieft der Artikel DSGVO-Komplettpaket Österreich.

Vorlagen und Schulung

Wer die Dokumentation nicht von null aufbauen will, findet im DSGVO-Kit 69 bearbeitbare Word-, Excel- und PowerPoint-Vorlagen in 16 Ordnern: vom Verarbeitungsverzeichnis über TOM, Auftragsverarbeitung und DSFA bis zum Meldeformular für Datenpannen. Das Kit gibt es in einer Fassung für Deutschland oder für Österreich, in drei Paketen von 990 € bis 1.690 € netto, einmalig, mit 12 Monaten Rechtsstand-Updates. Die Unterweisung der Beschäftigten unterstützt das E-Learning „Datenschutz im Job“ mit 8 Kapiteln in rund 45 Minuten, als HTML-Datei oder SCORM-Paket für das eigene LMS und mit Teilnahmenachweis, einzeln ab 490 € netto oder im Paket Komplett. Vorlagen strukturieren die Arbeit; die Prüfung des eigenen Falls ersetzen sie nicht.