DSGVO im Betrieb: Die 7 häufigsten Fehler

Viele kleine und mittlere Betriebe glauben, die DSGVO sei ein Thema für Konzerne. Ein Irrtum: Kundendaten, Mandantenakten, Bewerbungen und Personalunterlagen stehen in jedem Unternehmen unter dem Schutz der Verordnung. Verstöße können Bußgelder nach sich ziehen. Schwerer wiegt oft der Vertrauensverlust bei Kunden.

Die meisten Verstöße passieren nicht aus bösem Willen, sondern aus Gewohnheit. Diese sieben Fehler begegnen uns in Betrieben am häufigsten.

Die 7 häufigsten Fehler

1. Unverschlüsselte E-Mails mit sensiblen Daten: Ein Vertragsentwurf oder eine Lohnabrechnung als normaler Anhang ist wie eine Postkarte. Für vertrauliche Inhalte gehören verschlüsselte Wege genutzt.
2. Ungesperrte Bildschirme im Kundenbereich: Der Monitor mit offener Kundenkartei, einsehbar für jeden am Tresen. Automatische Bildschirmsperre und richtige Monitor-Ausrichtung lösen das.
3. Ein WLAN für alles: Gäste-WLAN und Firmennetz gehören strikt getrennt. Ein gemeinsames Netz öffnet den Weg zu den Firmendaten.
4. Fehlende Verträge zur Auftragsverarbeitung: Jeder Dienstleister mit Zugriff auf personenbezogene Daten — IT-Betreuung, Lohnbüro, Cloud-Dienste, Aktenvernichtung — braucht einen AV-Vertrag nach Art. 28 DSGVO.
5. Alte Rechner und Festplatten ohne sichere Löschung entsorgt: Daten sind auch auf defekten Geräten rekonstruierbar. Datenträger gehören zertifiziert gelöscht oder vernichtet, mit Nachweis.
6. Private Geräte und Messenger im Betrieb: Kundenfotos auf dem Privathandy oder Absprachen über private Chat-Apps sind ein Datenschutz- und ein Haftungsproblem. Dienstliche Wege festlegen.
7. Kein Löschkonzept und keine Zugriffsregeln: Wer darf was sehen, wie lange wird was aufbewahrt, was wird wann gelöscht? Ohne dokumentierte Regeln lässt sich im Prüfungsfall nichts nachweisen.

Was im Ernstfall zählt

Kommt es trotz allem zu einer Datenpanne, läuft eine Frist: Meldepflichtige Vorfälle müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Wer vorbereitet ist, dokumentierte Abläufe hat und schnell reagiert, steht dabei deutlich besser da.

Ab einer bestimmten Betriebsgröße ist zudem ein Datenschutzbeauftragter Pflicht, in der Regel ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten. Auch kleinere Betriebe profitieren von einer festen Ansprechperson für das Thema. Für Kanzleien kommt die berufsrechtliche Verschwiegenheit hinzu, die noch strengere Maßstäbe setzt.

Technische Basismaßnahmen, die jeder Betrieb braucht

Unabhängig von der Betriebsgröße gibt es einen technischen Grundstock, den die Aufsichtsbehörden voraussetzen. Dazu gehören getrennte Netze für Firma und Gäste-WLAN, verschlüsselte Festplatten auf allen Geräten mit personenbezogenen Daten und individuelle Benutzerkonten statt eines Sammel-Logins für das ganze Team.

Dazu kommen automatische Bildschirmsperren, ein aktueller Virenschutz, zeitnah eingespielte Sicherheitsupdates und Backups nach der 3-2-1-Regel: drei Kopien, zwei Speichermedien, eine davon außer Haus. Und weil ein Backup nur so gut ist wie seine Wiederherstellung, gehört ein regelmäßiger Restore-Test dazu.

Nichts davon ist exotisch. Es ist solide IT-Grundhygiene, die ein Dienstleister im Rahmen der laufenden Betreuung einrichtet und überwacht.

So gehen Sie es pragmatisch an

DSGVO im Betrieb ist kein Papierprojekt, sondern zu achtzig Prozent solide IT: getrennte Netze, Verschlüsselung, Zugriffsrechte, sichere Löschung, geprüfte Backups. Der Rest ist Dokumentation und Gewohnheit im Team.

Unser Vorgehen: Erst ein ehrlicher Check, was heute wirklich gelebt wird. Dann die technischen Lücken schließen, danach die Abläufe dokumentieren. In dieser Reihenfolge wird aus der Pflicht ein belastbarer Schutz — für Ihre Kunden und für Ihren Betrieb.