Ehrlich gesagt: Wir kennen das. Die DSGVO stand seit Monaten auf der Liste, und dann kamen Aufträge, Personalausfälle und das Tagesgeschäft dazwischen. Jetzt sind es noch knapp zwei Wochen bis zum 25. Mai, und in Ihrem Betrieb ist noch nicht viel passiert. Bevor Sie in Panik verfallen oder resigniert die Website abschalten: Mit einem klaren Plan lässt sich auch DSGVO last minute noch eine solide Grundlage schaffen. Perfekt wird es nicht, aber vorzeigbar.
Erst einmal durchatmen
Die DSGVO ist kein Schalter, der am 25. Mai umgelegt wird, und danach ist alles vorbei. Sie ist ein Dauerzustand. Was zählt, ist, dass Sie die Pflichten kennen, die wichtigsten Risiken angegangen haben und zeigen können, dass Sie strukturiert weiterarbeiten. Wie die Aufsichtsbehörden in den ersten Monaten vorgehen werden, weiß heute niemand genau. Sicher ist aber: Wer gar nichts getan hat, steht schlechter da als jemand mit einem ehrlichen Plan.
Die Prioritäten für DSGVO last minute
Wir sortieren nach zwei Fragen: Was ist von außen sichtbar? Und wo ist das Risiko am größten? Sichtbar sind vor allem Website und Newsletter, denn dort kann jeder nachsehen. Das größte Risiko liegt meist bei unzureichend geschützten Daten und fehlenden Verträgen mit Dienstleistern.
| Tag | Aufgabe | Zeitbedarf ca. |
|---|---|---|
| 1 | Website prüfen: HTTPS, Datenschutzerklärung, eingebundene Dienste | halber Tag |
| 2 | Datenschutzerklärung aktualisieren, überflüssige Plugins entfernen | halber Tag |
| 3 | Liste aller Dienstleister mit Datenzugriff erstellen | 2 Stunden |
| 4 | Auftragsverarbeitungsverträge anfordern bzw. online abschließen | halber Tag |
| 5 | Prüfen, ob ein Datenschutzbeauftragter nötig ist | 1 Stunde |
| 6–7 | Verzeichnis der Verarbeitungstätigkeiten in einfacher Form anlegen | 1 Tag |
| 8 | Technische Schutzmaßnahmen kurz dokumentieren, offensichtliche Lücken schließen | halber Tag |
| 9 | Newsletter-Verteiler prüfen, Adressen ohne Einwilligung aussortieren | 2 Stunden |
| 10 | Mitarbeiter informieren und auf Vertraulichkeit verpflichten, Ablauf für Anfragen und Pannen festlegen | halber Tag |
Die Aufgaben im Detail
Website zuerst
Ihre Website ist das Schaufenster, auch für Datenschutzfragen. Drei Dinge sind hier entscheidend: Läuft die Seite über HTTPS, vor allem dort, wo Formulare sind? Gibt es eine Datenschutzerklärung, die den Anforderungen der DSGVO entspricht und die tatsächlich eingebundenen Dienste beschreibt? Und sind alte, ungenutzte Plugins, Zähler oder Social-Media-Knöpfe entfernt? Jeder Dienst, den Sie nicht nutzen, ist einer, den Sie nicht erklären müssen.
Dienstleister und Verträge
Gehen Sie Ihre Eingangsrechnungen durch: Hoster, E-Mail-Anbieter, IT-Betreuer, Cloud-Speicher, Lohnrechenzentrum, Aktenvernichtung. Die meisten großen Anbieter stellen ihre Verträge zur Auftragsverarbeitung inzwischen online bereit, oft genügt ein Klick im Kundenkonto. Bei kleinen Dienstleistern schicken Sie eine kurze Mail mit der Bitte um einen Vertrag. Auch wenn er nicht bis zum 25. Mai unterschrieben vorliegt: Dokumentieren Sie, dass Sie angefragt haben.
Datenschutzbeauftragter
Wenn in Ihrem Betrieb in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, müssen Sie einen Datenschutzbeauftragten benennen. Darunter kann es trotzdem eine Pflicht geben, etwa bei besonders sensiblen Daten. Die Benennung müssen Sie der Aufsichtsbehörde mitteilen. Für viele Kleinbetriebe ist ein externer Datenschutzbeauftragter die pragmatischste Lösung.
Das Verzeichnis in einfach
Das Verzeichnis der Verarbeitungstätigkeiten muss kein dicker Ordner sein. Eine Tabelle mit einer Zeile pro Tätigkeit genügt für den Anfang: Bezeichnung, Zweck, betroffene Personen, Datenarten, Empfänger, Löschfrist, Schutzmaßnahmen. Typische Zeilen bei einem kleinen Betrieb sind Kundenverwaltung, Angebote und Rechnungen, Lohn und Personal, Bewerbungen, Website, E-Mail und Newsletter.
Technische Schutzmaßnahmen
Schreiben Sie auf, was Sie schon tun, und schließen Sie die offensichtlichen Lücken: Haben alle Mitarbeiter eigene Zugänge statt eines gemeinsamen Passworts? Sind Notebooks verschlüsselt? Gibt es ein Backup, und wurde schon einmal getestet, ob die Wiederherstellung funktioniert? Sind Virenschutz und Updates aktuell?
Mitarbeiter mitnehmen
Ein kurzes Teamgespräch von einer halben Stunde wirkt oft mehr als ein langes Rundschreiben. Erklären Sie, worum es geht, wer Ansprechpartner ist und was zu tun ist, wenn ein Kunde Auskunft verlangt oder etwas schiefgeht, etwa eine Mail an den falschen Empfänger. Lassen Sie sich die Verpflichtung auf die Vertraulichkeit unterschreiben.
Was warten kann
Nicht alles muss am 25. Mai fertig sein. Diese Punkte können Sie guten Gewissens in den Juni oder Juli schieben, wenn Sie den Rest erledigt haben:
- ausführliche Löschkonzepte für alle Datenbestände,
- eine detaillierte Dokumentation aller technischen Maßnahmen,
- Schulungen mit Nachweis für das gesamte Team,
- die Überarbeitung von Formularen und Verträgen, die nur selten genutzt werden.
Wichtig ist, dass Sie diese Punkte mit Termin notieren. Ein Plan mit Datum zeigt, dass Sie das Thema ernst nehmen.
Was nach dem 25. Mai kommt
Planen Sie gleich einen Termin Ende Juni ein, an dem Sie sich eine Stunde Zeit nehmen: Was ist erledigt, was ist offen, haben sich Dienstleister gemeldet? Datenschutz funktioniert am besten als fester Termin im Kalender, nicht als Feuerwehreinsatz kurz vor einer Frist.
Was Sie nicht tun sollten
Lassen Sie sich nicht von teuren „DSGVO-Komplettpaketen“ unter Druck setzen, die per Fax oder Mail mit Drohkulisse angeboten werden. Und schalten Sie Ihre Website nicht aus Angst ab. Eine Seite mit Impressum, sauberer Datenschutzerklärung und HTTPS ist kein großes Risiko, aber eine abgeschaltete Seite kostet Sie sicher Kunden.
Wir helfen Ihnen gerne
Sie schaffen die zehn Tage nicht allein? Das Datenschutz-Team der Mittelstandsoptimierer unterstützt Kleinbetriebe in Mainz und der Region auch kurzfristig, mit Website-Check, Vorlagen und, wenn nötig, als externer Datenschutzbeauftragter. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
