In einem Satz. Eine DSGVO-Checkliste für KMU bündelt die Pflichten, die jedes kleine und mittlere Unternehmen erfüllen muss — Verarbeitungsverzeichnis (Art. 30), Rechtsgrundlagen (Art. 6), Informationspflichten (Art. 13), AVV (Art. 28), TOM (Art. 32), Löschkonzept (Art. 5/17), Betroffenenrechte und Meldeprozess (Art. 33) — in 20 abarbeitbare Prüfpunkte.
KMU haben dieselben Pflichten wie Konzerne, aber weniger Ressourcen. Diese Checkliste priorisiert das Wesentliche und gibt einen realistischen 90-Tage-Plan. Eine ausführlichere Variante finden Sie in der DSGVO-Checkliste und der DSGVO-Prüfung-Checkliste 2026.
Wichtige Punkte
- Gleiche Pflichten wie Großunternehmen, wenige Ausnahmen.
- Verzeichnis, Rechtsgrundlagen und AVV sind die Grundpfeiler.
- DSB-Pflicht unter den Voraussetzungen des § 38 BDSG, insbesondere bei in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen.
- Bußgeld bis 20 Mio. € / 4 % (Art. 83 Abs. 5) — trifft auch KMU.
- Nachweisbarkeit (Art. 5 Abs. 2) ist entscheidend.
Die 20 Prüfpunkte
| # | Prüfpunkt | Norm | ✓ |
|---|---|---|---|
| 1 | Verarbeitungsverzeichnis geführt und aktuell | Art. 30 | ☐ |
| 2 | Rechtsgrundlage je Verarbeitung dokumentiert | Art. 6 | ☐ |
| 3 | Datenschutzerklärung auf der Website aktuell | Art. 13, TDDDG | ☐ |
| 4 | Bei nicht erforderlichen Trackern wirksame Einwilligung eingeholt | § 25 TDDDG | ☐ |
| 5 | Rollen der Dienstleister geprüft; AVV bei Auftragsverarbeitung | Art. 28 | ☐ |
| 6 | TOM dokumentiert und umgesetzt | Art. 32 | ☐ |
| 7 | Löschkonzept mit Fristen vorhanden | Art. 5, 17 | ☐ |
| 8 | Prozess für Auskunftsersuchen definiert | Art. 15 | ☐ |
| 9 | Meldeprozess für Datenpannen (72 h) | Art. 33 | ☐ |
| 10 | Internes Datenpannen-Verzeichnis | Art. 33 (5) | ☐ |
| 11 | DSB-Pflicht geprüft / ggf. bestellt | § 38 BDSG | ☐ |
| 12 | Beschäftigte instruiert, Zugriffe begrenzt | Art. 29, 32 | ☐ |
| 13 | Risikogerechte Mitarbeiterschulung | Art. 24, 32 | ☐ |
| 14 | Einwilligungen sauber dokumentiert | Art. 7 | ☐ |
| 15 | Drittlandtransfers mit passendem Instrument geprüft (z. B. Angemessenheitsbeschluss oder SCC) | Art. 44 ff. | ☐ |
| 16 | Backups vorhanden und getestet | Art. 32 (1) c | ☐ |
| 17 | Zugriffs-/Berechtigungskonzept | Art. 32 | ☐ |
| 18 | DSFA bei Hochrisiko-Verarbeitung | Art. 35 | ☐ |
| 19 | IT-Nutzungs-/Homeoffice-Regeln geprüft | Art. 24, 32 | ☐ |
| 20 | Verantwortlichkeiten / Ansprechpartner benannt | Art. 5 (2) | ☐ |
Der 90-Tage-Plan
TAGE 1–30 – BESTANDSAUFNAHME
- Verarbeitungsverzeichnis erstellen (Punkt 1, 2)
- Alle Dienstleister listen, AVV-Status prüfen (Punkt 5)
- Website/Datenschutzerklärung/Cookies prüfen (Punkt 3, 4)
- DSB-Pflicht klären (Punkt 11)
TAGE 31–60 – LÜCKEN SCHLIESSEN
- Fehlende AVV nachholen (Punkt 5)
- TOM dokumentieren, Backups testen (Punkt 6, 16, 17)
- Löschkonzept + Fristen (Punkt 7)
- Drittland-Transfers absichern (Punkt 15)
TAGE 61–90 – PROZESSE & NACHWEIS
- Prozesse Auskunft & Datenpanne aufsetzen (Punkt 8, 9, 10)
- Richtlinien + Verpflichtung + Schulung (Punkt 12, 13, 19)
- DSFA prüfen, Verantwortliche benennen (Punkt 18, 20)
- Gesamtreview + Nachweis-Ordner anlegen
So passen Sie die Checkliste an
- Priorisieren nach Risiko. Verarbeiten Sie besondere Kategorien oder betreiben Sie einen Online-Shop, rücken Punkte 4, 15 und 18 nach vorne.
- Mit dem Verzeichnis starten. Das Verarbeitungsverzeichnis ist die Grundlage — ohne es sind die übrigen Punkte kaum zu belegen.
- AVV konsequent einsammeln. Jeder Dienstleister ohne AVV ist eine offene Flanke.
- Nachweisordner führen. Rechenschaftspflicht heißt: alles dokumentiert vorlegen können.
- Jährlich wiederholen. Die Checkliste ist kein Einmalprojekt, sondern ein jährlicher Zyklus.
Die vier Grundpfeiler zuerst
Von den 20 Prüfpunkten sind vier so grundlegend, dass ohne sie die übrigen kaum belastbar sind. Der erste ist das Verarbeitungsverzeichnis (Punkt 1): Es zwingt Sie, alle Datenverarbeitungen systematisch zu erfassen, und ist die Grundlage für Rechtsgrundlagen, Löschfristen und Informationspflichten. Der zweite sind die AVV mit den tatsächlichen Auftragsverarbeitern (Punkt 5): Bei Cloud-, Newsletter- oder IT-Diensten sind Rolle, Zugriff und gegebenenfalls der Art.-28-Vertrag zu prüfen. Der dritte sind die TOM (Punkt 6): Ohne dokumentierte und tatsächlich umgesetzte Sicherheitsmaßnahmen fehlt der Kern des Art. 32. Der vierte ist der Meldeprozess für Datenpannen (Punkt 9): Die 72-Stunden-Frist lässt keine Zeit für Improvisation.
Wer diese vier Grundlagen aufgebaut hat, kann die übrigen Punkte gezielter bearbeiten. Umgekehrt nützen aufwendig gestaltete Einzelmaßnahmen wenig, solange Datenflüsse unbekannt sind und tatsächliche Auftragsverarbeiter ohne passenden Vertrag arbeiten. Priorisieren Sie deshalb nach diesem Fundament, bevor Sie sich in Detailfragen verlieren.
KMU-Erleichterungen realistisch einschätzen
Die DSGVO gewährt kleinen Unternehmen nur wenige echte Erleichterungen — und diese greifen selten. Die bekannteste ist die Ausnahme vom Verarbeitungsverzeichnis für Unternehmen unter 250 Beschäftigten (Art. 30 Abs. 5). Sie ist aber an strenge Bedingungen geknüpft: Die Verarbeitung darf nur gelegentlich erfolgen, kein Risiko für Betroffene bergen und keine besonderen Kategorien betreffen. Da viele Unternehmen Kunden- und Beschäftigtendaten nicht nur gelegentlich verarbeiten, muss die Ausnahme im Einzelfall sorgfältig geprüft werden. Auch die DSB-Pflicht (Punkt 11) knüpft mit der 20-Personen-Schwelle des § 38 BDSG an eine niedrige Grenze an, die Teilzeitkräfte einschließt. Verlassen Sie sich deshalb nicht auf vermeintliche „KMU-Rabatte", sondern prüfen Sie jede Erleichterung konkret — die Grundpflichten bleiben in aller Regel vollständig bestehen.
Häufige Fehler
- „Wir sind zu klein." Die DSGVO gilt unabhängig von einer Mindestzahl an Beschäftigten, soweit ihr sachlicher und räumlicher Anwendungsbereich eröffnet ist. Auch KMU werden sanktioniert; Bußgelder bemessen sich zwar am Umsatz, treffen aber empfindlich.
- Kein Verzeichnis. Ohne Art.-30-Verzeichnis fehlt die Grundlage für alles Weitere — und der erste Eindruck bei der Aufsicht ist negativ.
- Alte Muster ungeprüft. Datenschutzerklärungen und Cookie-Banner veralten; nicht genutzte Dienste werden beschrieben, genutzte fehlen.
- AVV-Lücken. Ein Vertrag fehlt oder beschreibt den tatsächlichen Zugang des Dienstleisters nicht; prüfen Sie zuerst die Rolle und dann die vertraglichen Anforderungen.
- Löschen vergessen. Daten werden im Hauptsystem entfernt, bleiben aber in Exporten, Testsystemen oder bei Dienstleistern erhalten; Punkt 7 braucht einen überprüfbaren Prozess.
Für KMU ohne eigene Datenschutzabteilung kann eine zentrale Aufgaben- und Evidenzliste die Zusammenarbeit erleichtern. Entscheidend ist, dass fachliche Entscheidungen, Belege und offene Ausnahmen überprüfbar bleiben.
Aus der Checkliste eine belastbare Bestandsaufnahme machen
Die 20 Punkte wirken erst, wenn sie den realen Datenfluss abbilden. Beginnen Sie mit einem Geschäftsvorfall, etwa einer Online-Bestellung: Welche Daten erfasst die Website, welche landen im Shopsystem, bei Zahlungsdienst, Versanddienstleister und Buchhaltung, und wer kann sie sehen? Notieren Sie je Schritt Zweck, Rechtsgrundlage, Verantwortliche, Dienstleister, Speicherort und Löschkriterium. Wiederholen Sie das für Beschäftigte, Bewerbungen, Support, Newsletter und Sicherheitsprotokolle. Der Leitfaden zum Verarbeitungsverzeichnis erläutert, wie daraus ein Art.-30-Eintrag wird. Erst diese Karte zeigt, welche Verträge, Informationspflichten und technischen Maßnahmen fehlen.
Ein kleiner Betrieb muss nicht jedes Feld am ersten Tag perfekt ausfüllen. Er sollte aber Lücken sichtbar machen, einen Eigentümer nennen und einen Termin zur Nacharbeit festlegen. Ein Eintrag „AVV offen – Lohnbüro – Verantwortliche Geschäftsführung – Prüfung bis 15. Oktober“ ist als Arbeitssteuerung besser als ein pauschal auf „erledigt“ gesetzter Prüfpunkt. Bei einem neuen Dienst oder einer geänderten Geschäftsaktivität muss die Karte aktualisiert werden. Ein jährlicher Review allein reicht nicht, wenn mitten im Jahr ein neuer Cloud-Dienst oder eine neue Marketingintegration eingeführt wird.
Die Rechtsgrundlage wird pro Zweck geprüft. Die Adresse für Warenversand kann für die Vertragserfüllung nötig sein, dieselbe Adresse für eine Werbeaktion nicht. Die sechs Rechtsgrundlagen nach Artikel 6 sind daher kein Auswahlmenü nach Bequemlichkeit. Auch die gesetzlichen Pflichten zur Aufbewahrung einzelner Belege sind von der Dauer der Kundenbeziehung zu unterscheiden. Eine Datenschutzinformation, die alle Vorgänge pauschal auf „Einwilligung“ stützt, erzeugt falsche Erwartungen über Widerruf und Löschung.
Dienstleister, Rechte und Löschung im Alltag
Prüfpunkt 5 bedeutet nicht, mit jedem Empfänger einen AVV zu schließen. Ein Auftragsverarbeiter handelt für das Unternehmen nach dessen Weisungen; ein eigener Verantwortlicher verfolgt eigene Zwecke. Für jeden Dienstleister sollte die Funktion, Datenzugriff, Rolle, gegebenenfalls Art.-28-Vertrag, Unterauftragnehmer, Sicherheitsnachweise und mögliche Drittlandübermittlung dokumentiert sein. Eine reine Rechnungsliste übersieht oft Webanalyse, Terminbuchung, Support-Chat und Backups. Die AVV-Anleitung hilft, den Vertragsinhalt zu prüfen; die Einstufung der Rolle muss vorher aus den Tatsachen folgen.
Ein Auskunftsersuchen kann per E-Mail, Kontaktformular oder Post eintreffen; es muss nicht „DSGVO-Antrag“ heißen. Das Team braucht einen Eingangskanal, einen Verantwortlichen, eine angemessene Identitätsprüfung und Zugriff auf die relevanten Systeme. Nach Artikel 12 ist grundsätzlich innerhalb eines Monats zu antworten; eine Verlängerung kann bei Komplexität möglich sein, muss aber rechtzeitig mitgeteilt werden. Die Anleitung zum Auskunftsrecht kann als Prozessvorlage dienen. Bei einer Löschanfrage ist zuerst zu trennen, was zu entfernen ist und was aus einer Rechtsvorschrift weiter aufbewahrt werden muss. Die Antwort sollte beide Entscheidungen erklären, statt pauschal „alles gelöscht“ zu behaupten.
Für Prüfpunkt 7 ist eine Aufbewahrungsmatrix nützlich: Datenart, Zweck, Frist oder Ereignis, gesetzliche Ausnahme, Löschort und Nachweis. „Solange nötig“ im Konzept ist zu ungenau, wenn alte Bewerbungen, exportierte Kundenlisten und Backups nie überprüft werden. Ein Löschlauf sollte technisch überprüft werden: Wird der Datensatz im produktiven System entfernt? Bleibt er in Exporten, Testumgebungen oder einem Dienstleisterkonto? Was geschieht bei einer Wiederherstellung aus Backup? Ein Löschkonzept ist erst dann hilfreich, wenn ein konkreter Verantwortlicher und ein prüfbarer Rhythmus hinterlegt sind.
Sicherheit anhand von Szenarien prüfen
Eine Liste mit „Verschlüsselung, Backup, Firewall“ sagt wenig über den tatsächlichen Schutz aus. Nehmen Sie zwei plausible Vorfälle: Eine Mitarbeiterin verliert ein Gerät, und das Unternehmen verliert für einen Tag Zugang zum Cloud-System. Prüfen Sie, ob das Gerät verschlüsselt ist, Zugänge gesperrt werden können, der Vorfall gemeldet wird und ein Backup tatsächlich zurückgespielt wurde. Dokumentieren Sie gemessene Wiederherstellungszeit, nicht nur den Planwert. Artikel 32 verlangt dem Risiko angemessene Maßnahmen; ein kleiner Betrieb mit Gesundheitsdaten kann höhere Schutzanforderungen haben als ein größerer Betrieb mit wenig sensiblen Daten.
Prüfpunkt 9 braucht eine Entscheidung über das Risiko für Menschen. Ein Sicherheitsvorfall ist nicht stets ein meldepflichtiger Datenschutzvorfall; ein Fehlversand an einen unbefugten Empfänger kann es aber sein. Legen Sie fest, wer den Vorfall entgegennimmt, wer ihn klassifiziert, wann die 72-Stunden-Frist geprüft wird und wer die zuständige Aufsicht kontaktiert. Auch eine Nichtmeldung wird nach Artikel 33 Absatz 5 dokumentiert. Die Anleitung zu Artikel 33 bietet die Einzelheiten. Testen Sie den Ablauf an einem Freitagabend, wenn Leitung oder IT-Dienstleister nicht sofort erreichbar sind.
Die Datenschutz-Folgenabschätzung nach Prüfpunkt 18 ist eine risikobasierte Vorabprüfung, keine Pflicht für jeden Datensatz und keine reine Formularaufgabe. Umfangreiche Verarbeitung besonderer Kategorien, systematische Überwachung oder neue Profilierung können eine DSFA erfordern. Im Dossier stehen Zweck, Notwendigkeit, mögliche Folgen für Betroffene, Schutzmaßnahmen und verbleibendes Risiko. Wenn es trotz Maßnahmen hoch bleibt, ist die vorherige Konsultation der Aufsicht nach Artikel 36 zu prüfen. Ein Projekt sollte nicht live gehen, während diese Kernfrage ungeklärt ist.
Verantwortlichkeiten und Prioritäten für 90 Tage
Für die ersten 30 Tage kann die Geschäftsführung einen fachlichen Eigentümer benennen und jede Verarbeitung einem Team zuordnen. Das ist nicht automatisch die Rolle des Datenschutzbeauftragten: Dieser berät und überwacht, während die Geschäftsführung Ressourcen und Entscheidungen verantwortet. Prüfen Sie die DSB-Pflicht anhand von § 38 BDSG: Die 20-Personen-Schwelle bezieht sich auf Personen, die in der Regel ständig mit automatisierter Verarbeitung beschäftigt sind; bei bestimmten risikoreichen Verarbeitungen können Pflichten unabhängig von der Zahl bestehen. Die bloße Beschäftigtenzahl ist daher nicht die einzige Frage.
Für Tage 31 bis 60 sollten zuerst Lücken mit unmittelbarer Wirkung geschlossen werden: ungeschützte Zugänge, fehlende Backups, offene Auftragsverarbeitung, falsch verwendete Einwilligung und unnötige Kopien sensibler Daten. An Tagen 61 bis 90 folgen Übungen und Nachweise: eine simulierte Auskunft, ein Datenpannen-Szenario, ein Wiederherstellungstest und eine Stichprobe gelöschter Datensätze. Diese Reihenfolge ist ein Arbeitsplan, keine gesetzliche Schonfrist von 90 Tagen. Bereits geltende Pflichten bleiben vom ersten Tag an zu erfüllen; akute Risiken werden sofort adressiert.
Ein Abschlussgespräch sollte nicht nur abhaken, sondern Belege zeigen: aktuelles Verzeichnis, geänderte Informationen, unterschriebene AVV, dokumentierte Zugriffskontrolle, Ergebnisse der Tests und offene Risiken mit Verantwortlichen und Terminen. Wer im Folgequartal einen neuen Dienst einkauft, wiederholt die passenden Prüfpunkte vor dem Start. So wird die Checkliste zur laufenden Kontrolle und nicht zu einer einmaligen Selbstbescheinigung.
Bei knappen Ressourcen helfen klare Auslöser für eine erneute Prüfung. Ein neues CRM verändert Empfänger und Löschorte, eine Kamera verändert die Erwartungen von Beschäftigten und Kunden, ein externer Supportanbieter braucht eine Rollen- und Vertragsprüfung. Vor jeder Anschaffung kann der Einkauf drei kurze Fragen stellen: Werden personenbezogene Daten verarbeitet? Entsteht ein neuer Zugriff oder Speicherort? Ändert sich der Zweck? Lautet eine Antwort ja, erhält die zuständige Person die Datenflusskarte und prüft die betroffenen Punkte der Liste vor Freigabe. So werden Probleme abgefangen, bevor ein bereits laufender Dienst nachträglich mühsam korrigiert werden muss.
Was in einen monatlichen Nachweisbericht gehört
Ein kleiner Betrieb braucht keine umfangreiche Scorecard. Vier Zeilen reichen als Start: neu hinzugekommene Verarbeitungen, überfällige Löschungen, offene Dienstleisterprüfungen und getestete Wiederherstellungen. Zu jeder Zeile gehören Zahl, konkret betroffene Systeme und die Person, die eine Abweichung behebt. So kann die Geschäftsführung erkennen, ob sich die Lage verbessert oder lediglich Dokumente aktualisiert wurden. Die Datenschutzfunktion kann zusätzlich stichprobenartig prüfen, ob ein als geschlossen markierter Punkt tatsächlich im System umgesetzt ist. Diese Trennung zwischen Entscheidung, Ausführung und Prüfung schützt vor einer bloß formalen Checkliste.
FAQ
Gilt die DSGVO auch für sehr kleine Unternehmen?
Ja. Die DSGVO kennt keine generelle Bagatellgrenze; sie gilt, sobald personenbezogene Daten verarbeitet werden — also praktisch für jedes Unternehmen mit Kunden oder Beschäftigten. Erleichterungen gibt es punktuell (etwa die eingeschränkte Ausnahme beim Verarbeitungsverzeichnis), die aber selten greifen.
Was ist der wichtigste erste Schritt?
Das Verarbeitungsverzeichnis nach Art. 30. Es zwingt Sie, alle Datenverarbeitungen systematisch zu erfassen, und bildet die Grundlage für Rechtsgrundlagen, Löschfristen, AVV und Informationspflichten. Wer hier sauber beginnt, hat den größten Teil der Struktur bereits gelegt.
Brauche ich als KMU einen Datenschutzbeauftragten?
Nur, wenn eine Pflicht besteht: in Deutschland unter den Voraussetzungen des § 38 BDSG, insbesondere bei in der Regel mindestens 20 ständig mit automatisierter Verarbeitung beschäftigten Personen oder bei besonders risikoreicher Kerntätigkeit (Art. 37 DSGVO). Liegt keine Pflicht vor, ist ein DSB freiwillig, aber die übrigen Pflichten bleiben vollständig bestehen.
Wie lange dauert die DSGVO-Umsetzung im KMU?
Mit dem 90-Tage-Plan lässt sich in einem Quartal ein solider Grundzustand erreichen, sofern jemand die Verantwortung trägt und wöchentlich Zeit reserviert. Die Bestandsaufnahme (Verzeichnis, Dienstleister, Website) beansprucht den ersten Monat, das Schließen der Lücken den zweiten und der Aufbau der Prozesse und Nachweise den dritten. Wichtig: Datenschutz ist kein Projekt mit Enddatum, sondern ein Dauerzustand — nach der Ersteinrichtung folgt der jährliche Review-Zyklus.
Wer haftet im KMU für Datenschutzverstöße?
Verantwortlich ist das Unternehmen als solches — bei einer GmbH die Gesellschaft, vertreten durch die Geschäftsführung. Die Geschäftsführung kann bei Organisationsverschulden auch persönlich in die Haftung geraten, etwa wenn sie erkennbare Pflichten dauerhaft ignoriert. Ein bestellter Datenschutzbeauftragter haftet dagegen grundsätzlich nicht für die Verstöße des Unternehmens: Er berät und überwacht, entscheidet aber nicht. Diese Rollentrennung ist wichtig — die Verantwortung für die Umsetzung der 20 Prüfpunkte bleibt bei der Leitung und lässt sich nicht auf den DSB oder einen externen Dienstleister abschieben. Genau deshalb ist der dokumentierte Nachweis (Art. 5 Abs. 2) für die Geschäftsführung das wirksamste Mittel, ihr eigenes Haftungsrisiko zu begrenzen.
Fazit
Datenschutz im KMU ist kein Hexenwerk, sondern eine Frage der Struktur. Arbeiten Sie die 20 Prüfpunkte ab, folgen Sie dem 90-Tage-Plan und legen Sie einen Nachweisordner an. Beginnen Sie mit dem Verarbeitungsverzeichnis und den AVV — das schließt die größten Lücken zuerst. Danach halten Sie den Stand mit einem jährlichen Review. Die Bußgeldvorschriften finden Sie in Art. 83 bei EUR-Lex, praxisnahe KMU-Hilfen beim BfDI.