DSGVO für EPU und kleine Firmen: was du wirklich tun musst

Gilt die DSGVO für mich als EPU?

In aller Regel ja. Sobald du personenbezogene Daten für dein Geschäft verarbeitest, gilt die DSGVO, egal ob du allein arbeitest oder zehn Leute beschäftigst. Kundenkartei, Rechnungen, E-Mails, Telefonkontakte am Handy und Fotos von Baustellen mit Personen darauf zählen dazu. Die WKO weist ausdrücklich darauf hin, dass Unternehmen jeder Größe und Rechtsform haften können, auch Einzelunternehmen.

Die gute Nachricht: Für die meisten Kleinbetriebe ist der Aufwand überschaubar. Wenn du die Datenverarbeitung einmal sauber aufschreibst, sind die übrigen Pflichten schnell erledigt.

Verarbeitungsverzeichnis: fast jeder braucht eines

Art. 30 DSGVO verlangt grundsätzlich ein Verzeichnis aller Verarbeitungstätigkeiten. Die Ausnahme für Betriebe unter 250 Beschäftigten greift nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine sensiblen Daten betrifft. Die WKO hält fest: Wer eine Kundendatei oder Lohnverrechnung führt, verarbeitet nicht nur gelegentlich und braucht das Verzeichnis.

Pro Tätigkeit notierst du Zweck, betroffene Personen, Datenarten, Empfänger (etwa Steuerberater, Sozialversicherung, Finanzamt), Übermittlungen außerhalb der EU, Löschfristen und deine Sicherheitsmaßnahmen. Eine Excel-Tabelle reicht. Die WKO stellt ein ausfüllbares Muster mit Beispielen zur Verfügung.

AV-Verträge mit Dienstleistern

Wer Daten in deinem Auftrag und nach deinen Weisungen verarbeitet, ist Auftragsverarbeiter: Cloud-Speicher, Buchhaltungs- oder Rechnungssoftware, Webhoster, Newsletter-Tool, Terminbuchung, der IT-Betreuer mit Fernzugriff. Mit jedem brauchst du in der Regel eine Vereinbarung nach Art. 28 DSGVO.

Große Anbieter binden den Vertrag meist in ihre Nutzungsbedingungen ein und nennen ihn „Auftragsverarbeitungsvertrag“, „AVV“ oder „Data Processing Agreement (DPA)“. Such ihn im Kundenkonto, speichere ihn als PDF und trag den Anbieter im Verzeichnis ein. Für kleinere Dienstleister bietet die WKO eine Mustervereinbarung.

Auskunft und andere Betroffenenrechte

Jeder Kunde, Interessent oder Mitarbeiter kann fragen, welche Daten du über ihn hast. Die Anfrage braucht keine Begründung und keine bestimmte Form, sie kann auch mündlich oder per WhatsApp kommen. Laut Art. 12 DSGVO musst du unverzüglich antworten, spätestens innerhalb eines Monats. In Ausnahmefällen kannst du um zwei Monate verlängern, musst das aber innerhalb des ersten Monats mitteilen und begründen.

Die Auskunft ist grundsätzlich kostenlos. Hast du über die Person gar keine Daten, schickst du eine Negativauskunft. Bei begründeten Zweifeln an der Identität darfst du einen Nachweis verlangen. Dieselbe Frist gilt für Löschung, Berichtigung und Widerspruch. Einem Widerspruch gegen Direktwerbung musst du laut Art. 21 DSGVO jedenfalls nachkommen.

Datenpanne: 72 Stunden für die Meldung

Eine Datenpanne ist zum Beispiel ein gestohlener Laptop ohne Verschlüsselung, ein Ransomware-Angriff, ein gehacktes E-Mail-Konto oder eine Kundenliste im offenen Verteiler. Führt sie voraussichtlich zu einem Risiko für die Betroffenen, musst du sie laut Art. 33 DSGVO der Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden melden, nachdem du davon erfahren hast.

1. 1

   Schaden begrenzen

   Passwörter ändern, Gerät sperren oder aus der Ferne löschen, betroffenes System vom Netz nehmen, IT-Betreuer anrufen.

2. 2

   Risiko einschätzen

   Welche Daten, wie viele Personen, wie sensibel? Waren die Daten verschlüsselt? Ist kein Risiko zu erwarten, entfällt die Meldung.

3. 3

   Melden

   Am besten über das Online-Formular der Datenschutzbehörde, sonst per PDF-Formular oder an dsb@dsb.gv.at. Inhalt: was passiert ist, wie viele Personen und Datensätze ungefähr, Kontaktperson, Folgen und Gegenmaßnahmen. Fehlende Infos darfst du nachreichen.

4. 4

   Betroffene informieren

   Bei voraussichtlich hohem Risiko, etwa wenn Bankdaten oder Gesundheitsdaten offenliegen, musst du auch die Betroffenen unverzüglich benachrichtigen.

5. 5

   Dokumentieren

   Halte jede Panne intern fest, auch wenn du sie nicht meldest: Datum, Ablauf, Einschätzung, Maßnahmen. Das verlangt Art. 33 Abs. 5 DSGVO. Die WKO nennt das Verarbeitungsverzeichnis als zentralen Ort für solche Dokumentation.

Kundendaten am Handy und Datensicherheit

Bei kleinen Betrieben liegen die meisten Kundendaten am Smartphone: Kontakte, Fotos, Mails, Nachrichten. Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Für ein EPU heißt das vor allem:

• Bildschirmsperre mit PIN oder Biometrie, automatische Sperre nach kurzer Zeit
• Geräteverschlüsselung aktiv (bei aktuellen iPhones und den meisten aktuellen Android-Geräten mit Sperrcode meist schon eingeschaltet, prüf es in den Einstellungen)
• „Gerät suchen“ bzw. Fernlöschung eingeschaltet
• Updates zeitnah installieren, keine Apps aus unbekannten Quellen
• Eigenes Passwort pro Dienst, Passwortmanager, Zwei-Faktor-Anmeldung für E-Mail und Cloud
• Regelmäßiges Backup, mindestens eine Kopie getrennt vom Gerät
• Geschäftliches und Privates trennen, am besten mit eigenem Diensthandy oder Arbeitsprofil

WhatsApp im Geschäft

WhatsApp ist für viele Handwerker und Dienstleister der schnellste Weg zum Kunden. Das Datenschutzproblem liegt weniger in den Nachrichten als im Adressbuch: Laut IT-Recht Kanzlei (Deutschland) überträgt die App die Telefonnummern deiner Kontakte an den Anbieter, auch die von Personen, die WhatsApp gar nicht nutzen. Sie empfiehlt deshalb, am Geschäftshandy nur Kontakte zu speichern, die selbst per WhatsApp mit dir schreiben.

Praktisch heißt das: ein eigenes Geschäftshandy oder zumindest die WhatsApp-Business-App mit getrenntem Adressbuch, keine privaten Kontakte darauf, und für sensible Unterlagen wie Ausweiskopien oder Gesundheitsdaten lieber einen anderen Weg. Werbenachrichten per WhatsApp brauchen wie E-Mail-Werbung in der Regel eine vorherige Einwilligung, laut WKO zählen Direktnachrichten zur elektronischen Post.

Häufige Fragen