DSGVO & Datenschutz
Verarbeitungsverzeichnis, Auftragsverarbeitung, TOM nach Art. 32, DSFA, Cookie-Banner, Schrems II, Datenpannenmeldung — die DSGVO-Praxisstrecke für KMU in Deutschland und Österreich.
Die wichtigsten DSGVO-Themen im Detail
Schritt-für-Schritt-Anleitungen mit Vorlagen, Verordnungs-Bezug und Audit-Checklisten.
DSGVO-Leitfaden 2026
Pflichten, Bußgelder, Praxis-Roadmap
Verarbeitungsverzeichnis erstellen 2026
Excel-Vorlage + 14 KMU-Beispiele + 9 Pflichtfelder
AVV-Vorlage 2026 (Art. 28 DSGVO)
Mustervertrag + 8 Pflichtinhalte + Schrems-II-Anhang
TOM nach Art. 32: 8-Bereiche-Prüfliste
60-Maßnahmen-Katalog · Stand der Technik 2026
Cookie-Banner § 25 TDDDG
Equal-Choice + 12-Punkte-Audit · deutsches Recht
Schrems II + DPF Update 2026
Trump-EO + 12 EU-Alternativen
Datenpannenmeldung 72h
Art. 33/34 DSGVO Schritt-für-Schritt
DSGVO-Bußgeldverfahren: 8 Schritte
Vom Eingang der Beschwerde bis zur Klage
DSB ab wann Pflicht?
§ 38 BDSG (DE) + Kosten-Vergleich intern vs. extern
DE/AT: was identisch ist — und was nicht. Die DSGVO ist eine EU-Verordnung. Alle hier zitierten Artikel — Art. 28 (Auftragsverarbeitung), Art. 30 (Verarbeitungsverzeichnis), Art. 32 (TOM), Art. 33/34 (Meldung binnen 72 Stunden), Art. 35 (DSFA) und Art. 83 (Geldbußen bis 20 Mio. EUR bzw. 4 % des weltweiten Jahresumsatzes) — gelten in Deutschland und Österreich wortgleich. Unterschiedlich sind Aufsicht und nationales Ergänzungsrecht:
- Aufsicht: In Deutschland überwachen die nach Landesrecht zuständigen Landesdatenschutzbehörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG); für öffentliche Stellen des Bundes ist die oder der BfDI zuständig (§ 9 Abs. 1 BDSG). In Österreich ist allein die Datenschutzbehörde zuständig — sie ist als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet (§ 18 Abs. 1 DSG).
- Nationales Ergänzungsrecht: in Deutschland das BDSG, in Österreich das Datenschutzgesetz (DSG). Wo unsere Artikel „§ … BDSG“ zitieren, ist das deutsches Recht.
- Datenschutzbeauftragter: Die Schwelle „in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind“ stammt aus § 38 Abs. 1 BDSG und gilt nur in Deutschland. Österreich kennt keine zahlenmäßige Schwelle: Die Benennungspflicht folgt dort unmittelbar aus Art. 37 DSGVO; § 5 DSG regelt ergänzend nur Verschwiegenheit und die Weisungsfreiheit im öffentlichen Bereich.
- Cookies: § 25 TDDDG (seit 14.05.2024 die Nachfolgebezeichnung des TTDSG) ist eine deutsche Norm und gilt nicht in Österreich. Die Anforderungen an die Einwilligung selbst folgen in beiden Ländern aus Art. 6 Abs. 1 lit. a und Art. 7 DSGVO.
- Nationale Sanktionsnormen neben Art. 83 DSGVO: in Deutschland § 43 BDSG (Bußgeld bis 50.000 EUR), in Österreich § 62 Abs. 1 DSG (Verwaltungsstrafe bis 50.000 EUR).
Listicles & Top-Listen
Kompakte Übersichten — perfekt für Vorstandsmeetings, Newsletter oder als A4-Druckvorlage.
Praxis-Cluster & Glossar
Spezial-Themen für Branchen, Use-Cases und Pflicht-Begriffe.
Audit-fertig in 2-4 Stunden
Statt monatelanger Recherche: einsatzbare Vorlagen, personalisiert mit Ihrem Firmennamen, einmalige Investition statt Beraterhonorar.
DSGVO-Kit ansehen →Quellen
- Verordnung (EU) 2016/679 (DSGVO) — deutscher Volltext, EUR-Lex (Stand: 27.04.2016, geltend seit 25.05.2018)
- Bundesdatenschutzgesetz (BDSG) — gesetze-im-internet.de (Stand: laufend, BMJ-Servicestelle; § 9, § 38, § 40, § 43 BDSG)
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) — gesetze-im-internet.de (Stand: laufend, § 25 TDDDG; seit 14.05.2024 Nachfolgebezeichnung des TTDSG)
- Datenschutzgesetz (DSG, Österreich) — RIS, geltende Fassung (Stand: laufend, § 5, § 18 und § 62 DSG)
- Europäische Kommission — Datenschutz-Hauptseite (Stand: laufend)
- Europäische Kommission — Digital Omnibus Pressemitteilung (Stand: 19.11.2025, Trilog laufend)
Alle Artikel zu DSGVO (32)
- AVV mit Microsoft 365: Pflicht-Anpassungen 2026
AVV mit Microsoft 365: Standard-DPA reicht nicht. EU Data Boundary, Copilot-Tenant, US-Sub-Verarbeiter, Schrems II — Pflicht-Anpassungen für DACH-KMU.
- AVV-Vorlage 2026: was rein muss, was nicht (Art. 28 DSGVO)
Vollständige AVV-Vorlage nach Art. 28 DSGVO mit 8 Pflichtinhalten, 14 Sub-Auftragsverarbeiter-Beispielen und Schrems-II-/DPF-Anhang. Stand 04/2026.
- Cookie-Banner 2026: § 25 TDDDG + Art. 6 DSGVO korrekt umsetzen
Rechtskonformes Cookie-Banner nach § 25 TDDDG + Art. 6 DSGVO: 7 Banner-Pflichten, EuGH C-673/17 Planet49, BGH I ZR 7/16, OVG-Urteile 2025. Inkl.
- Datenpannenmeldung 72h: das genaue Verfahren (Art. 33 + 34 DSGVO)
72h-Datenpannenmeldung nach Art. 33 DSGVO Schritt für Schritt: Erkennen, Klassifizieren, AB-Meldung, Betroffenen-Information (Art. 34), Dokumentation.
- Datenschutzbeauftragter ab wann? DSB-Pflicht 2026
DSB-Pflicht nach Art. 37 DSGVO + § 38 BDSG: ab 20 Mitarbeitenden mit Datenzugriff. Plus Sonderpflichten unabhängig von Größe. Stand 04/2026.
- DPF-Kollaps-Plan B: 12 EU-Alternativen für US-Tools
DPF-Kollaps-Plan B 2026: 12 EU-Alternativen für M365, Salesforce, Slack, AWS — Migrations-Aufwand, Kosten, Risiko-Reduktion.
- DSFA für HR-Recruiting mit KI: 7-Schritt-Vorlage
Datenschutz-Folgenabschätzung für KI-gestützte Recruiting-Tools: Bias-Test, Bewerber-Risiken, Maßnahmen, Konsultation. § 22 AGG i.V.m. Art. 26.
- DSGVO 2026: 6 Spar-Tipps für KMU
6 Spar-Tipps für DSGVO-Compliance bei KMU: externer DSB, Compliance-Kit, EU-Anbieter, cookieless Analytics. 30-60k EUR Einsparung.
- DSGVO 2026: 8 kostenlose Einstiegs-Tools für KMU
8 kostenlose Tools für DSGVO-Einstieg bei KMU: Selbsttest, VVT-Excel, Generatoren, Tätigkeitsberichte, Praxis-Werkzeuge. Ohne Investment.
- DSGVO bei Apps + Mobile: 6 Pflichten 2026
DSGVO bei Apps + Mobile-Anwendungen: § 25 TDDDG, App-Tracking-Transparency, Push-Notifications, In-App-Werbung, Kinder-Apps.
- DSGVO in Arztpraxen + Therapeuten: 8 Pflichten
DSGVO in Arztpraxis: Patientendaten Art. 9, KIS-Software, eRezept-Schnittstelle, Schweigepflicht § 203 StGB, Telematik-Infrastruktur.
- DSGVO-Bußgelder 2025/26: was wirklich kostet
Tracker der größten DSGVO-Bußgelder 2025/26: TikTok, Meta, Vodafone, Deutsche Wohnen. Welche 14 Dokumente Aufsichten in 80 % der Fälle vermissen.
- DSGVO-Bußgeldverfahren: was nach Anzeige passiert (8 Schritte)
Vom Eingang der Beschwerde bis zur Zahlung: 8-Schritt-Ablauf nach §§ 41 ff. BDSG, Verfahrensrechte des Betroffenen, BVerwG 6 C 6.20 zu Akteneinsicht.
- DSGVO Cloud-Migration: 12-Punkte-Checkliste
DSGVO-konforme Cloud-Migration: 12 Punkte von TIA über AVV bis Datenrückführungs-Klauseln. Pre-Migration + Migration + Post-Migration.
- Cookieless Marketing Zukunft 2026+: 5 Strategien
Cookieless Marketing nach Google-Cookies-Ende 2025 + DSGVO 2026: 5 Strategien (Server-Side, First-Party, Contextual, Pirsch, Consent-Mode-v2).
- DSGVO im Handwerk: 6 typische Fallen + Lösungen
DSGVO im Handwerk + Baugewerbe: Kunden-Daten, Mitarbeiter-Tracking, Foto-Doku Baustellen, Subunternehmer-AVV, Praxis-Lösungen.
- DSGVO bei internationalen Kunden: territoriale Reichweite
DSGVO bei internationalen Kunden: Art. 3 territoriale Reichweite, USA/UK/Asien-Praxis, Multi-Jurisdiktions-Compliance.
- DSGVO + EU AI Act bei KI-Anwendungen: Doppel-Pflicht 2026
DSGVO + EU AI Act bei KI-Anwendungen: Verzahnung von Art. 22 DSGVO + Art. 14 EU AI Act, DSFA + FRIA Doppel-Pflicht, EuGH-Linie SCHUFA.
- DSGVO-Komplettpaket Österreich: was AT-Unternehmen anders brauchen
DSGVO-Compliance für österreichische KMU: AT-spezifische Besonderheiten (DSB-AT, DSG-Anpassungen, ÖDSB-Aufsicht), 14 typische Verarbeitungen + AT-Vorlagen.
- DSGVO Marketing 2026: Newsletter, Werbung, Profilbildung
DSGVO-konformes Marketing 2026: Newsletter-Einwilligung, Werbe-Cookies, Profilbildung, Re-Targeting, Personalisierung — Praxis-Leitfaden mit.
- DSGVO Mitarbeiter-Überwachung: 6 Grenzen + BAG-Linie
DSGVO Mitarbeiter-Überwachung 2026: § 26 BDSG + BAG-Linie, Limited Tracking, Bildschirm-Recording, Tastatur-Logger, KI-Performance-Tracking.
- DSGVO Personalakte digital: 5 Pflichten + Aufbewahrung
Digitale Personalakte DSGVO-konform: 5 Pflichten (Zugriff, Aufbewahrung, Löschung, Auskunft, Export). Bewerber-/Mitarbeiter-Spezifika.
- DSGVO für SaaS-Anbieter: 10 Pflichten 2026
DSGVO für SaaS-Anbieter: 10 Pflichten von AVV-Standard über DSFA bis Customer-Lockbox. Praxisleitfaden für KMU-SaaS-Builder.
- DSGVO bei Steuerberater + Anwaltskanzleien
DSGVO bei Steuerberater + Anwaltskanzleien: Mandanten-Daten, Berufsgeheimnis § 203 StGB, BayLDA-Klarstellung 2024 (kein AV).
- DSGVO Top-10 Fehler bei KMU 2026
Die 10 häufigsten DSGVO-Fehler bei KMU 2026: VVT veraltet, AVVs fehlen, Cookie-Banner manipuliert. Median-Bußgeld 12.500 EUR. Sofort-Fix-Plan.
- DSGVO bei Vereinsmitgliederverwaltung: 8 Pflichten
DSGVO bei Vereinen: Mitgliederverwaltung, Datenschutzerklärung, Newsletter, Sport-/Kultur-Vereine. Praxis-Hinweise + Vorlagen.
- DSGVO Videoüberwachung am Arbeitsplatz: § 4 BDSG + DSFA
Videoüberwachung am Arbeitsplatz DSGVO-konform: § 4 BDSG, DSFA-Pflicht, BAG-Urteile, Hinweisschilder, Aufbewahrungsfristen, Betriebsrats-Mitbestimmung.
- Schrems II + DPF Update 2026: was nach Trump-2-Regierung gilt
EU-US Data Privacy Framework Status 04/2026: Trump-Executive-Order-Auswirkungen, EDSA-Stellungnahme 03/2026, TIA-Pflicht, SCC-Update. KMU-Praxisleitfaden.
- TOM nach Art. 32 DSGVO: 14 prüffeste Maßnahmen
14 typische TOMs nach Art. 32 DSGVO: MFA, Verschlüsselung, Backup, Berechtigungskonzept, Schulungen. Mit ISO-27001-Mapping und Aufsichts-Praxis.
- TOM-Basis-Paket für KMU: 12 Mindest-Maßnahmen
Technische und organisatorische Maßnahmen Art. 32 DSGVO für KMU: 12 Mindest-Maßnahmen für 50-250 MA. Stand der Technik 2026 + Praxis-Implementierung.
- Verarbeitungsverzeichnis erstellen 2026: Vorlage Art. 30 DSGVO
Vollständige Anleitung zum Verarbeitungsverzeichnis nach Art. 30 DSGVO mit Excel-Vorlage, 14 KMU-Beispielen, 9 Pflichtfeldern und Pflicht-Checkliste 2026.
- VVT für E-Commerce: 8 typische Verarbeitungen
Verarbeitungsverzeichnis für Online-Shops: Bestellabwicklung, Kundenkonto, Newsletter, Cookies, Bewertungen, Versand, Retouren, Marketing — mit.