23. Juli 2026 · 10 Min. Lesezeit · DSGVO

DSGVO-Compliance-Guide für kleine Unternehmen (2026)

Die DSGVO – die Datenschutz-Grundverordnung – gilt für jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet. Egal, ob Sie ein 2-Personen-Startup in Iowa oder ein 500-Mitarbeiter-Unternehmen in London sind. Wenn Sie EU-Nutzer haben, gilt die DSGVO.

Die Strafen betragen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, was höher ist. Aber bei der DSGVO-Compliance geht es nicht nur darum, Strafen zu vermeiden. Es geht darum, Vertrauen aufzubauen und eine solide Grundlage für die Datenverwaltung zu schaffen.

Hier ist, was Sie tatsächlich tun müssen, in der Reihenfolge der Priorität.

Schritt 1: Datenschutzerklärung (Das Wichtigste zuerst)

Ihre Datenschutzerklärung ist der Grundstein der DSGVO-Compliance. Sie muss:

• Transparent sein: In klarer, verständlicher Sprache verfasst – kein Juristendeutsch
• Spezifisch sein: Genaue Datentypen, genaue Zwecke, genaue Drittanbieter nennen
• Zugänglich sein: Von jeder Seite verlinkt (Footer), bei Anmeldeformularen, im Checkout
• Vollständig sein: Alle DSGVO-pflichtigen Angaben abdecken

Artikel 13 DSGVO verlangt die Angabe von: Identität des Verantwortlichen, Kontaktdaten, Zwecke und Rechtsgrundlage der Verarbeitung, berechtigte Interessen (falls darauf gestützt), Empfänger personenbezogener Daten, Angaben zur internationalen Übermittlung, Speicherfristen und alle Betroffenenrechte.

→ DSGVO-konforme Datenschutzerklärung erstellen (kostenlos)

Schritt 2: Cookie-Einwilligung (Das Zweitwichtigste)

Gemäß DSGVO + ePrivacy-Richtlinie benötigen Sie eine ausdrückliche, informierte Einwilligung, bevor Sie nicht notwendige Cookies setzen. Das bedeutet:

• Ein Cookie-Banner, das erscheint, BEVOR Cookies gesetzt werden – nicht „durch Nutzung dieser Seite stimmen Sie zu" (das ist nach DSGVO rechtswidrig)
• Klare Erklärung, was jede Cookie-Kategorie bewirkt
• Granulare Einwilligung: Nutzer können Analyse-Cookies akzeptieren, aber Marketing-Cookies ablehnen
• Einfacher Widerruf: Der Widerruf der Einwilligung muss genauso einfach sein wie die Erteilung
• Cookie-Richtlinien-Seite mit vollständigen Details zu jedem verwendeten Cookie

Notwendige Cookies (Session, CSRF-Token, Warenkorb) benötigen keine Einwilligung. Sie müssen sie aber trotzdem in Ihrer Cookie-Richtlinie offenlegen.

→ Cookie-Richtlinie erstellen (kostenlos)

Schritt 3: Rechtsgrundlage für die Verarbeitung

Für jedes Datum, das Sie erheben, müssen Sie eine der sechs Rechtsgrundlagen nach DSGVO haben:

1. Einwilligung: Der Nutzer hat ausdrücklich zugestimmt. Muss freiwillig, spezifisch, informiert und eindeutig sein. Kann jederzeit widerrufen werden.
2. Vertrag: Erforderlich zur Erfüllung eines Vertrags mit dem Nutzer (z. B. Lieferadresse für den Versand).
3. Rechtliche Verpflichtung: Gesetzlich vorgeschrieben (z. B. Steuerunterlagen, KYC).
4. Lebenswichtige Interessen: Zum Schutz von Leben (selten – meist medizinisch).
5. Öffentliche Aufgabe: Im öffentlichen Interesse (hauptsächlich Behörden).
6. Berechtigtes Interesse: Die Verarbeitung ist für Ihre berechtigten Interessen erforderlich und überwiegt nicht die Rechte der Nutzer. Am flexibelsten – erfordert jedoch eine Abwägung (Interessensabwägung). Verwendet für Betrugsprävention, Direktmarketing (B2B), Netzwerksicherheit.

Profitipp: Die meisten Startups nutzen eine Mischung aus „Vertrag" (zur Bereitstellung des Dienstes), „Einwilligung" (Marketing-E-Mails) und „berechtigtem Interesse" (Analytics, Sicherheit). Dokumentieren Sie Ihre Begründung für jeden Zweck.

Schritt 4: Betroffenenrechte (DSARs)

Die DSGVO gewährt Nutzern 8 Rechte. Sie benötigen einen Prozess, um Anfragen innerhalb von 30 Tagen zu bearbeiten:

1. Recht auf Auskunft – der Nutzer fragt, welche Daten Sie haben. Sie müssen diese in einem portablen Format bereitstellen.
2. Recht auf Berichtigung – unrichtige Daten korrigieren.
3. Recht auf Löschung – Daten löschen. Ausnahmen: gesetzliche Verpflichtungen, Rechtsansprüche.
4. Recht auf Einschränkung der Verarbeitung – Verarbeitung pausieren, während Streitigkeiten geklärt werden.
5. Recht auf Datenübertragbarkeit – Daten in maschinenlesbarem Format aushändigen.
6. Widerspruchsrecht – der Nutzer kann der Verarbeitung auf Grundlage berechtigten Interesses oder Direktmarketing widersprechen.
7. Recht, nicht einer automatischen Entscheidungsfindung unterworfen zu werden – einschließlich Profiling mit rechtlichen oder erheblichen Auswirkungen.

Für ein kleines Unternehmen können DSARs manuell ablaufen: Der Nutzer sendet eine E-Mail, Sie exportieren seine Daten und antworten per E-Mail. Dokumentieren Sie den Prozess.

Schritt 5: Auftragsverarbeitungsverträge (AVVs)

Jeder Drittanbieter-Dienst, der EU-Personendaten berührt, benötigt einen AVV. Dazu gehören:

• Cloud-Hosting (AWS, Google Cloud, Vercel)
• Analytics (Google Analytics, Mixpanel)
• E-Mail (Mailchimp, SendGrid)
• Zahlungen (Stripe, PayPal)
• KI-/ML-APIs (OpenAI, Anthropic, DeepSeek)
• Support (Intercom, Zendesk)
• CDN (Cloudflare)

Die meisten Unternehmensanbieter stellen Standard-AVVs bereit. Sammeln und speichern Sie diese. Führen Sie eine Liste der Auftragsverarbeiter und verlinken Sie diese in Ihrer Datenschutzerklärung.

Schritt 6: Meldeplan für Datenpannen

Die DSGVO verlangt, dass Sie die zuständige Datenschutzbehörde innerhalb von 72 Stunden nach Bekanntwerden einer personenbezogenen Datenpanne benachrichtigen. Betroffene Nutzer sind „unverzüglich" zu informieren, wenn die Panne ein hohes Risiko darstellt.

Halten Sie einen Plan bereit: Wer wird benachrichtigt, was wird gesagt, wie wird die Panne eingedämmt. Dokumentieren Sie ihn. Testen Sie ihn.

Schritt 7: Datenschutz-Folgenabschätzung (DSFA)

Erforderlich bei Verarbeitungen, die „voraussichtlich ein hohes Risiko" für natürliche Personen darstellen – umfangreiche Verarbeitungen, systematische Überwachung, sensible Daten, neue Technologien. Die meisten kleinen Unternehmen benötigen anfangs keine formelle DSFA, aber wissen Sie, wann sie erforderlich ist.

Brauchen Sie einen DSB?

Ein Datenschutzbeauftragter ist erforderlich, wenn: (a) Sie eine Behörde sind, (b) Ihre Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Betroffenen besteht oder (c) Sie umfangreich besondere Kategorien von Daten (Gesundheit, Biometrie, Politik, Religion) verarbeiten. Die meisten kleinen SaaS-Unternehmen benötigen KEINEN DSB.