Datenschutz im kleinen Betrieb: Was gilt für Kundendaten?

Hinweis vorab: Dieser Artikel gibt einen praktischen Überblick, ersetzt aber keine Rechtsberatung. Bei konkreten Fragen zur eigenen Situation lohnt sich der Gang zu einer Fachperson.

Was überhaupt als personenbezogene Daten zählt

Name, Adresse, Telefonnummer, E-Mail-Adresse eines Kunden — das alles fällt unter die DSGVO, sobald es gespeichert wird, egal ob in einer Excel-Liste, einem CRM-System oder auf Papier im Aktenordner. Das betrifft also praktisch jeden Betrieb mit Kundenkontakt, nicht nur Online-Shops oder große Unternehmen.

Die wichtigsten Grundprinzipien, kurz zusammengefasst

• Datensparsamkeit — nur das erfassen, was tatsächlich gebraucht wird, nicht "auf Vorrat" sammeln.
• Zweckbindung — Daten, die für die Auftragsabwicklung erhoben wurden, nicht ohne Weiteres für Werbezwecke nutzen.
• Speicherbegrenzung — Daten nicht unbegrenzt aufbewahren, sondern löschen, wenn sie nicht mehr gebraucht werden (unter Beachtung gesetzlicher Aufbewahrungsfristen, z. B. für Rechnungen).
• Angemessene Sicherheit — Kundendaten vor unbefugtem Zugriff schützen, etwa durch Zugangsbeschränkungen und aktuelle Software.

Praktische Stolperfallen im Alltag

Ein paar Situationen, die in der Praxis häufiger übersehen werden, als man denkt: Kundendaten per unverschlüsselter E-Mail an Subunternehmer weiterreichen. Ein gemeinsames Excel-Sheet mit Kundendaten, das jeder im Team ungeschützt einsehen kann. Alte Kundenunterlagen, die Jahre nach Vertragsende noch irgendwo digital herumliegen, ohne dass irgendjemand mehr weiß, wofür.

Das Kontaktformular auf der eigenen Website

Auch die eigene Website ist datenschutzrechtlich relevant: Wer ein Kontaktformular anbietet, muss in einer Datenschutzerklärung erklären, was mit den eingegebenen Daten passiert — welche Daten erhoben werden, wofür, und wie lange sie gespeichert bleiben.

Was im Ernstfall zu tun ist

Werden Kundendaten durch einen Sicherheitsvorfall (z. B. gestohlener Laptop, gehackter E-Mail-Account) offengelegt, kann eine Meldepflicht gegenüber der Datenschutz-Aufsichtsbehörde innerhalb von 72 Stunden bestehen. Das ist ein weiterer Grund, warum Prävention (Backups, Verschlüsselung, Zugriffsbeschränkungen) günstiger ist als Schadensbegrenzung im Nachhinein.

Datenschutz ist selten das Problem eines einzelnen großen Fehlers — meistens sind es viele kleine Nachlässigkeiten, die sich summieren.