DSGVO-Praxis: Aktuelle Entwicklungen und was Unternehmen beachten müssen

DSGVO - sieben Jahre nach Inkrafttreten

Die DSGVO ist seit Mai 2018 in Kraft - und die Behörden werden zunehmend strenger. Während in den ersten Jahren noch viel erklärt und beraten wurde, folgen nun konsequent Bußgelder auch gegen kleinere Unternehmen. 2024 wurden in Europa Bußgelder in Milliardenhöhe verhängt.

Doch die DSGVO entwickelt sich auch weiter: Neue Technologien, neue Gerichtsurteile und neue Leitlinien der Datenschutzbehörden schaffen ständig neue Anforderungen.

Die wichtigsten DSGVO-Entwicklungen der letzten Jahre

1. KI und Datenschutz - ein heißes Thema

Der EU AI Act trat 2024 in Kraft und ergänzt die DSGVO um spezifische Anforderungen für KI-Systeme. Für Unternehmen, die KI einsetzen oder entwickeln, entsteht ein komplexes Regelwerk.

Was das für KMU bedeutet:

KI-Tools wie ChatGPT, Copilot oder Bildgeneratoren dürfen keine personenbezogenen Daten verarbeiten, ohne entsprechende Rechtsgrundlage

Wer KI-Tools für Bewerbungsverfahren oder Personalentscheidungen nutzt, muss besondere Anforderungen erfüllen

Datenschutzfolgenabschätzung (DSFA) bei KI-Nutzung oft Pflicht

Praxistipp: Bevor Sie KI-Tools einsetzen, prüfen Sie die Datenschutzerklärung des Anbieters und schließen Sie einen Auftragsverarbeitungsvertrag ab.

2. Internationale Datentransfers - weiterhin kompliziert

Das EU-US Data Privacy Framework von 2023 erlaubt wieder Datentransfers in die USA zu zertifizierten Unternehmen. Doch es bleibt ein kritisches Thema: Österreichs Datenschutzbehörde und der Europäische Datenschutzausschuss sehen es skeptisch.

Konsequenz für die Praxis:

Prüfen Sie, welche US-amerikanischen Dienste Sie nutzen (Google Analytics, Microsoft, Salesforce etc.)

Stellen Sie sicher, dass die Anbieter nach dem EU-US Data Privacy Framework zertifiziert sind

Erwägen Sie europäische Alternativen für besonders sensible Daten

3. Cookie-Einwilligung unter der Lupe

Datenschutzbehörden gehen verstärkt gegen ungültige Cookie-Einwilligungen vor. Was viele Unternehmen noch falsch machen:

❌ **Fehler häufig gesehen:**

"Alle akzeptieren" prominenter gestalten als "Ablehnen"

Ablehnen erfordert mehrere Klicks, Akzeptieren nur einen

Vorangehakte Checkboxen für nicht-essentielle Cookies

Cookie-Banner erscheint erneut nach jedem Seitenaufruf (Belästigung)

Keine einfache Möglichkeit, die Einwilligung zu widerrufen

✅ **DSGVO-konform:**

Gleichwertige Optionen für Akzeptieren und Ablehnen

Einwilligung ist freiwillig, spezifisch, informiert und eindeutig

Einfacher Widerruf jederzeit möglich (z.B. über Footer-Link)

Keine "Cookie Walls" (Zugangssperre ohne Einwilligung)

4. Datenpannen - Meldepflicht ernst nehmen

Die Datenschutzbehörden gehen zunehmend härter gegen nicht oder zu spät gemeldete Datenpannen vor.

Pflichten bei einer Datenpanne:

**72 Stunden**: Meldung an die Landesbehörde für Datenschutz (in NRW: LDI NRW)

Wenn betroffene Personen gefährdet: Unverzügliche Benachrichtigung der Betroffenen

Dokumentation in einem Verzeichnis von Datenpannen

Was zählt als Datenpanne?

Verlorenes oder gestohlenes Laptop/Smartphone mit unverschlüsselten Daten

Ransomware-Angriff mit Zugriff auf personenbezogene Daten

Versehentliches Versenden von E-Mails an falsche Empfänger

Fehlgeleitete Post mit personenbezogenen Daten

5. Verzeichnis der Verarbeitungstätigkeiten (VVT)

Das VVT ist Pflicht für alle Unternehmen mit mehr als 250 Mitarbeitern - und für kleinere Unternehmen, die regelmäßig besondere Kategorien von Daten verarbeiten oder deren Verarbeitung zu Risiken führt.

In der Praxis: Fast alle Unternehmen sollten ein VVT führen. Die gute Nachricht: Es muss nicht komplex sein.

Minimalinhalt pro Verarbeitungstätigkeit:

Name und Kontaktdaten des Verantwortlichen

Zweck der Verarbeitung

Kategorien von betroffenen Personen und Daten

Empfänger der Daten

Löschfristen

Die häufigsten DSGVO-Verstöße bei KMU

Kein oder unvollständiges Impressum / Datenschutzerklärung

Jede Website braucht eine aktuelle Datenschutzerklärung. Häufige Fehler:

Veraltete Datenschutzerklärung (z.B. noch auf alter Rechtsgrundlage)

Fehlende Angaben zu genutzten Diensten (Google Maps, YouTube-Embeds, Kontaktformulare)

Keine Angabe der Rechtsgrundlagen für die Verarbeitung

Keine Auftragsverarbeitungsverträge (AVV) mit Dienstleistern

Wenn Sie personenbezogene Daten an Dritte weitergeben (Hosting-Provider, Newsletter-Dienste, Cloud-Software), brauchen Sie zwingend einen AVV.

E-Mail-Marketing ohne rechtskonforme Einwilligung

Für Werbe-E-Mails brauchen Sie eine ausdrückliche Einwilligung - außer bei bestehenden Kundenbeziehungen und ähnlichen Produkten.

Fehlende oder unvollständige Löschkonzepte

Daten dürfen nur so lange gespeichert werden, wie nötig. Viele Unternehmen haben kein dokumentiertes Löschkonzept.

Praktische Checkliste für KMU

Sofort prüfen:

[ ] Datenschutzerklärung aktuell und vollständig?

[ ] Cookie-Banner DSGVO-konform?

[ ] Kontaktformular mit Datenschutzhinweis?

[ ] AVV mit Hosting-Provider und wichtigen Software-Anbietern?

Kurzfristig umsetzen:

[ ] Verzeichnis der Verarbeitungstätigkeiten erstellen

[ ] Datenpannen-Prozess definieren (wer meldet, wann, wie?)

[ ] E-Mail-Marketing auf rechtskonforme Grundlage stellen

[ ] Löschkonzept für Kundendaten erstellen

Langfristig:

[ ] Datenschutzschulungen für Mitarbeiter

[ ] Regelmäßige Überprüfung der genutzten Tools und Dienste

[ ] Dokumentation aller Datenschutzmaßnahmen

Was kostet DSGVO-Konformität?

Viele KMU scheuen Datenschutz, weil sie hohe Kosten befürchten. Die Realität: Die Grundanforderungen sind mit überschaubarem Aufwand zu erfüllen.

**Datenschutzerklärung + Cookie-Banner**: einmalig 2-4 Stunden

**AVV mit Dienstleistern**: meist kostenlose Vorlagen der Anbieter

**VVT**: 4-8 Stunden für die Ersterfassung, danach Pflege

**Mitarbeiterschulung**: 2-3 Stunden jährlich

Die Kosten eines Bußgeldes übersteigen diese Investition um ein Vielfaches.

Fazit

DSGVO ist kein abgeschlossenes Thema, sondern ein laufender Prozess. Die Behörden werden konsequenter, die Anforderungen wachsen durch neue Technologien und Gerichtsurteile.

Die gute Nachricht: Wer die Grundlagen im Griff hat, ist gut aufgestellt. Beginnen Sie mit den Basics, dokumentieren Sie Ihre Maßnahmen, und bleiben Sie auf dem Laufenden.

Wir unterstützen Sie gerne bei der DSGVO-Compliance - von der Bestandsaufnahme bis zur dauerhaften Umsetzung.