DSGVO im Mittelstand: 20-Millionen-Bußgeld und Verarbeitungsverzeichnis

Die DSGVO ist kein IT-Thema. Sie ist eine Organisationspflicht mit persönlicher Haftung. § 38 BDSG-neu zwingt Unternehmen ab 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten umgehen, einen Datenschutzbeauftragten zu bestellen. Tun Sie das nicht, droht ein Bußgeld nach Art. 83 Abs. 4 DSGVO bis 10 Mio. EUR. Das ist die untere Stufe.

Art. 83 Abs. 5 DSGVO hebt den Rahmen auf 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes. Der höhere Wert gilt. Bei einem Mittelständler mit 80 Mio. EUR Umsatz sind das 3,2 Mio. EUR. Ein fehlendes Verarbeitungsverzeichnis nach Art. 30 DSGVO reicht aus, um diese Bußgeld-Skala zu öffnen. Die Aufsichtsbehörden – in Deutschland je nach Bundesland der Landesdatenschutzbeauftragte oder der BfDI – prüfen das Verarbeitungsverzeichnis als erstes.

Das Verarbeitungsverzeichnis ist das Fundament jeder DSGVO-Compliance. Es listet jede Verarbeitungstätigkeit: welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, wer empfängt sie, wie lange werden sie gespeichert. Art. 30 Abs. 1 DSGVO verlangt schriftlich oder elektronisch. Führen Sie es nicht, liegt ein systematischer Verstoß vor. Die Aufsichtsbehörde wertet das als Indiz für fehlende Compliance-Organisation.

Praxistipp: Verzeichnis nach Abteilungen gliedern. Personalabteilung, Vertrieb, Buchhaltung, IT. Jede Abteilung definiert ihre Verfahren. Ein 150-MA-Unternehmen kommt auf 25–40 Verarbeitungstätigkeiten. Füllen Sie pro Tätigkeit ein Blatt. Rechtsgrundlage: Art. 6 DSGVO (Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse). Bei sensiblen Daten nach Art. 9 DSGVO: Zusatzvoraussetzungen.

Auftragsverarbeitungsverträge nach Art. 28 DSGVO fehlen in 80 % der KMU. Jeder Dienstleister, der personenbezogene Daten verarbeitet – Cloud-Anbieter, Lohnabrechnung, CRM-SaaS – braucht einen AVV. Ohne AVV ist die Verarbeitung rechtswidrig. Die Aufsichtsbehörde kann das Bußgeld verschärfen. Musterverträge gibt es bei der Landesdatenschutzbehörde. Passen Sie sie an Ihr konkretes Verarbeitungsprofil an.

Data Breach Notification nach Art. 33 DSGVO: 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten Meldung an die Aufsichtsbehörde. Frist läuft ab Kenntnis des Verantwortlichen. Nicht ab Entdeckung durch IT. Ein verpasster Login-Versuch am Freitagabend, der am Montag gemeldet wird – drei Tage Verspätung. Bußgeldrahmen dafür: bis 10 Mio. EUR oder 2 % des Jahresumsatzes nach Art. 83 Abs. 4 DSGVO.

Die Dokumentation der Meldung muss enthalten: Art der Verletzung, Kategorien und Anzahl betroffener Personen, Kategorien und Anzahl betroffener Datensätze, Folgen und ergriffene Maßnahmen. Art. 33 Abs. 3 DSGVO. Führen Sie ein Incident-Log. Jeder Vorfall wird eingetragen, auch wenn keine Meldepflicht besteht. Die Behörde fragt im Prüfungsfall das Log ab.

Meldung an die betroffenen Personen nach Art. 34 DSGVO: nur bei hohem Risiko für deren Rechte und Freiheiten. Beispiel: unverschlüsselter Laptop mit Patientenakten gestohlen. Meldepflicht. Bei verschlüsseltem Gerät: kein hohes Risiko, keine Meldung. Entscheidung dokumentieren.

Bußgeldpraxis in Deutschland: Die Aufsichtsbehörden haben 2023 Bußgelder in Höhe von über 30 Mio. EUR verhängt. Schwerpunkt: fehlende Rechtsgrundlage, unzureichende Information nach Art. 13/14 DSGVO, fehlende AVV. Der Höchstbetrag für ein KMU in Deutschland lag bei 2,5 Mio. EUR. Das ist existenzgefährdend für ein Unternehmen mit 50–200 MA.

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat. Beispiel: Mitarbeiter-Profiling, Videoüberwachung öffentlicher Bereiche, umfangreiche Nutzung sensibler Daten. Die Liste der Aufsichtsbehörde (positive Liste) gibt vor, wann eine DSFA Pflicht ist. Ohne DSFA bei Pflicht: Bußgeldverschärfung.

Zusammenfassung: DSGVO-Compliance ist kein Projekt mit Enddatum. Sie ist ein Dauerprozess. Verarbeitungsverzeichnis, AVV, Incident-Log, DSFA, Bestellung des Datenschutzbeauftragten – das sind die tragenden Säulen. Prüfen Sie jährlich, ob die Dokumentation noch aktuell ist. Ein veraltetes Verzeichnis ist im Prüfungsfall wertlos. KanB Access baut Ihnen die Struktur. Audit-ready ab Tag eins.