Datenschutz im Betrieb: Was Unternehmen wirklich beachten müssen

Aktualisiert: Juni 2026 · Lesedauer ca. 12 Minuten

Datenschutz im Betrieb ist keine Kür – er ist gesetzliche Pflicht für jedes Unternehmen in Deutschland, unabhängig von Größe oder Branche.

DSGVO und BDSG gelten seit 2018 verbindlich. Wer personenbezogene Daten verarbeitet – und das tut praktisch jeder Betrieb – muss Rechtsgrundlagen dokumentieren, Betroffenenrechte sicherstellen und technische Schutzmaßnahmen umsetzen. Bei Verstößen drohen Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Allein 2023 verhängten deutsche Behörden 325 Bußgelder mit einer Gesamtsumme von 42,2 Millionen Euro. Was du konkret tun musst, zeigt dieser Artikel.

Rechtsrahmen: DSGVO und BDSG als verbindliche Grundlage

Zwei Regelwerke bestimmen den betrieblichen Datenschutz in Deutschland: die Datenschutz-Grundverordnung (DSGVO) der EU und das Bundesdatenschutzgesetz (BDSG), oft als BDSG-neu bezeichnet. Beide gelten für Unternehmen jeder Größe – vom Einzelunternehmer bis zum Konzern. Es gibt keine Bagatellgrenze, unterhalb derer Datenschutz keine Rolle spielt.

Das zentrale Prinzip ist das Verbot mit Erlaubnisvorbehalt nach Art. 6 DSGVO. Datenverarbeitung ist grundsätzlich verboten, es sei denn, eine ausdrückliche Erlaubnis liegt vor. Drei Erlaubnisgründe kommen in der Praxis am häufigsten vor:

• Einwilligung der betroffenen Person – freiwillig, spezifisch, informiert, jederzeit widerrufbar
• Vertragserfüllung – Datenverarbeitung ist zur Erfüllung eines Vertrags notwendig
• Gesetzliche Grundlage – z. B. steuerrechtliche Aufbewahrungspflichten

Dazu kommt das Prinzip der Datenminimierung nach Art. 5 DSGVO. Es dürfen nur so viele personenbezogene Daten erhoben und verarbeitet werden, wie für den jeweiligen Zweck unbedingt erforderlich sind. Wer mehr Daten sammelt als nötig, verstößt bereits hier gegen geltendes Recht – auch ohne Datenpanne.

Art. 25 DSGVO geht noch weiter: Privacy by Design und Privacy by Default sind keine Empfehlungen, sondern Pflichten. Systeme müssen so entwickelt werden, dass Datenschutz von Anfang an eingebaut ist. Und die Standardeinstellungen müssen datenschutzfreundlich sein – nicht erst nach Nutzereingriff. Wer neue Software einführt oder Prozesse digitalisiert, muss das bereits in der Planungsphase berücksichtigen.

Eng damit verbunden ist die Transparenz- und Informationspflicht. Betroffene Personen – Kunden, Mitarbeiter, Bewerber – müssen wissen, welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und welche Rechte sie haben. Diese Information muss aktiv bereitgestellt werden, nicht erst auf Nachfrage. Eine Datenschutzerklärung auf der Website reicht allein nicht aus, wenn intern keine entsprechenden Prozesse existieren.

Die wichtigsten Pflichten im Überblick: Checkliste für Unternehmen

Datenschutz im Betrieb ist kein einmaliges Projekt. Es ist ein laufender Prozess mit konkreten Dokumentations-, Informations- und Schutzpflichten. Hier sind die wichtigsten Punkte, die kein Unternehmen ignorieren darf.

Verzeichnis der Verarbeitungstätigkeiten (VVT)

Das VVT dokumentiert alle Vorgänge, bei denen personenbezogene Daten verarbeitet werden: Zweck, Datenkategorien, Empfänger, Speicherdauer und eingesetzte technische Schutzmaßnahmen. Formal gilt die Pflicht ab 250 Mitarbeitern – faktisch aber auch für kleinere Betriebe, wenn die Verarbeitung nicht nur gelegentlich erfolgt. In der Praxis betrifft das fast jeden Betrieb, der Kundendaten, Bewerberdaten oder Mitarbeiterdaten verwaltet. Fehlende Dokumentation ist einer der häufigsten Prüfungsfehler bei Behördenkontrollen.

Rechtsgrundlagen dokumentieren

Für jeden einzelnen Verarbeitungsvorgang muss eine Rechtsgrundlage nach Art. 6 DSGVO vorliegen und dokumentiert sein. Es reicht nicht, pauschal auf die DSGVO zu verweisen. Wer Kundendaten für Marketingzwecke nutzt, braucht eine andere Grundlage als wer Mitarbeiterdaten für die Lohnabrechnung verarbeitet.

Auftragsverarbeitungsvertrag (AVV)

Sobald ein externer Dienstleister Zugriff auf personenbezogene Daten hat, ist ein AVV nach Art. 28 DSGVO Pflicht. Das gilt für Cloud-Anbieter, Hosting-Provider, HR-Software, IT-Support und viele weitere Dienstleister. Ohne AVV ist die Beauftragung rechtswidrig – unabhängig davon, wie seriös der Anbieter ist.

Betroffenenrechte sicherstellen

Betroffene Personen haben nach DSGVO umfangreiche Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Unternehmen müssen Prozesse etablieren, die diese Rechte innerhalb der gesetzlichen Fristen erfüllen – in der Regel innerhalb eines Monats.

72-Stunden-Meldepflicht bei Datenpannen

Kommt es zu einer Datenschutzverletzung – Datenverlust, unbefugter Zugriff, versehentliche Weitergabe – muss die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informiert werden (Art. 33 DSGVO). Bei hohem Risiko für Betroffene kommt zusätzlich eine unverzügliche Benachrichtigung der betroffenen Personen hinzu (Art. 34 DSGVO). Wer diese Frist verpasst, riskiert ein eigenständiges Bußgeld.

Schulungen und Verpflichtung der Mitarbeiter

Alle Mitarbeiter mit Zugang zu personenbezogenen Daten müssen regelmäßig geschult und auf das Datengeheimnis verpflichtet werden. Einmalige Schulungen bei der Einstellung reichen nicht. Datenschutz muss als kontinuierliches Thema in der Unternehmenskultur verankert sein. Bei Verstößen durch Mitarbeiter können arbeitsrechtliche Konsequenzen bis zur Kündigung folgen.

Technische und organisatorische Maßnahmen (TOM): So schützen Sie Daten wirksam

Art. 32 DSGVO verpflichtet Unternehmen, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Was „angemessen" bedeutet, hängt von der Art der verarbeiteten Daten, dem Verarbeitungsumfang und den möglichen Folgen eines Sicherheitsvorfalls ab. Ein Arztpraxis, die Gesundheitsdaten verarbeitet, muss andere Maßnahmen ergreifen als ein kleines Handelsunternehmen.

TOM lassen sich in mehrere Kategorien einteilen. Jede adressiert einen anderen Angriffspunkt:

Zutrittskontrolle schützt physische Räume. Serverräume müssen gesichert sein – durch Sicherheitsschlösser, Alarmanlagen und gegebenenfalls Videoüberwachung. Unbefugte dürfen keinen physischen Zugang zu Hardware erhalten, auf der personenbezogene Daten gespeichert sind.

Zugangskontrolle regelt, wer sich an Systemen anmelden darf. Starke Passwörter sind Mindeststandard – aber längst nicht ausreichend. Zwei-Faktor-Authentifizierung (2FA) ist heute für alle Systeme mit Personendaten Pflicht. Biometrische Verfahren können ergänzend eingesetzt werden.

Zugriffskontrolle geht einen Schritt weiter: Wer sich einloggen darf, darf noch lange nicht auf alle Daten zugreifen. Rollenbasierte Berechtigungskonzepte und das Need-to-know-Prinzip stellen sicher, dass Mitarbeiter nur die Daten sehen, die sie für ihre Aufgaben tatsächlich brauchen. Zugriffsprotokollierung macht nachvollziehbar, wer wann auf welche Daten zugegriffen hat.

Weitergabekontrolle schützt Daten beim Transport. Alle Datenübertragungen müssen verschlüsselt erfolgen – TLS/SSL für Web-Kommunikation, VPN für Remote-Zugriffe. Unsichere Übertragungswege wie unverschlüsselte E-Mails für sensible Daten sind nicht akzeptabel.

Verfügbarkeitskontrolle sichert den Betrieb bei Ausfällen. Regelmäßige Backups, redundante Systeme und dokumentierte Notfallpläne sind keine Luxus – sie sind Pflicht. Ein Ransomware-Angriff ohne funktionierendes Backup ist gleichzeitig eine Datenschutzverletzung.

Wichtig: TOM sind keine einmalige Aufgabe. Art. 32 Abs. 1 lit. d DSGVO verlangt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Regelmäßige Audits und Penetrationstests sind empfohlen – und bei größeren Unternehmen faktisch unverzichtbar.

Datenschutzbeauftragter: Wann Pflicht, intern oder extern?

Die Frage, ob ein Datenschutzbeauftragter (DSB) bestellt werden muss, stellen sich viele Unternehmen – und beantworten sie zu häufig falsch. Der Schwellenwert liegt nach § 38 BDSG bei 20 Personen, die ständig und automatisiert personenbezogene Daten verarbeiten. Dabei zählen nicht nur Vollzeitkräfte: Teilzeitkräfte, Leiharbeitnehmer, Auszubildende, freie Mitarbeiter, Praktikanten und Homeoffice-Beschäftigte werden mitgezählt.

Ein häufiges Missverständnis: Wer die 20er-Grenze kurzzeitig unterschreitet – etwa durch Fluktuation – ist trotzdem weiter zur Bestellung verpflichtet. Die Pflicht erlischt erst, wenn das Unterschreiten dauerhaft ist.

Darüber hinaus gibt es Fälle, in denen die Bestellpflicht unabhängig von der Mitarbeiterzahl gilt:

• Die Kerntätigkeit besteht in der regelmäßigen und systematischen Beobachtung von Personen – z. B. verhaltensbasierte Werbung, Scoring, Standortverfolgung, KI-Anwendungen
• Besonders sensible Daten werden verarbeitet (Gesundheitsdaten, Biometrie, genetische Daten)
• Verarbeitungen unterliegen einer Datenschutz-Folgenabschätzung (DSFA)
• Daten werden geschäftsmäßig zum Zweck der Übermittlung oder für Markt- und Meinungsforschung verarbeitet

Ist die Pflicht klar – stellt sich die Frage: intern oder extern? Beide Optionen sind rechtlich zulässig. Die Entscheidung hängt von Unternehmensgröße, Budget und verfügbarem Fachwissen ab.

Ein interner DSB kennt die Unternehmensstrukturen genau. Das ist ein echter Vorteil bei der Umsetzung. Aber: Die Kosten sind erheblich. Gehalt, Weiterbildung und Ressourcen summieren sich auf 60.000 bis 100.000 Euro pro Jahr. Dazu kommt das Risiko von Interessenkonflikten, wenn der DSB gleichzeitig andere Funktionen im Unternehmen innehat.

Ein externer DSB bringt spezialisiertes, aktuelles Fachwissen mit. Interessenkonflikte sind strukturell ausgeschlossen. Die Kosten liegen bei 100 bis 1.000 Euro pro Monat bzw. 5.000 bis 20.000 Euro pro Jahr – je nach Unternehmensgröße und Leistungsumfang. Für KMU ist das in der Regel die wirtschaftlichere und praktikablere Lösung.

Mitarbeiterdaten und Personalakte: Was erlaubt ist und was nicht

Beschäftigtendaten sind ein besonders sensibler Bereich. Die Rechtsgrundlage liefert § 26 BDSG: Erlaubt ist die Verarbeitung von Daten, die für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich sind. Das klingt weit, ist es aber nicht.

Ohne gesonderte Einwilligung dürfen Arbeitgeber folgende Basisdaten erheben und verarbeiten: Name, Adresse, Kontaktdaten, Kontoverbindung, Steuerklasse und Steuer-ID. Diese Daten sind für die Lohnabrechnung und Vertragsdurchführung notwendig – damit ist die Rechtsgrundlage klar.

Anders sieht es bei besonders schützenswerten Daten aus. Gesundheitsdaten, Religionszugehörigkeit, Gewerkschaftszugehörigkeit, genetische und biometrische Daten sowie Daten zum Sexualleben oder zur sexuellen Orientierung dürfen nur unter besonderen Bedingungen verarbeitet werden. Für viele dieser Kategorien ist eine ausdrückliche, freiwillige und informierte Einwilligung erforderlich.

Ein häufig übersehener Punkt: Gesundheitsdaten des Betriebsarztes müssen separat von der regulären Personalakte aufbewahrt werden. Der Arbeitgeber hat darauf keinen Zugriff. Wer Betriebsarztberichte in die allgemeine Personalakte einordnet, verstößt gegen das BDSG.

Die Personalakte darf analog (Papier) oder digital geführt werden – die DSGVO-Anforderungen gelten für beide Formen gleichermaßen. Digitale Personalakten müssen verschlüsselt gespeichert, mit Zugriffsprotokollen versehen und durch ein Löschkonzept ergänzt sein.

Für Aufbewahrungsfristen gilt: Je nach Dokumenttyp sind 6 oder 10 Jahre vorgeschrieben. Wer Daten zu früh löscht oder zu lange aufbewahrt, riskiert Bußgelder. Ein dokumentiertes Löschkonzept ist deshalb Pflicht.

Die Zugriffsrechte auf Personalakten müssen klar definiert sein. Nur HR-Mitarbeiter und Vorgesetzte mit berechtigtem Interesse dürfen Zugriff haben. Kollegen aus anderen Abteilungen haben grundsätzlich kein Recht auf Einsicht – auch nicht die Geschäftsführung, wenn kein konkreter Anlass besteht.

Mitarbeitende selbst haben nach Art. 15 DSGVO ein Einsichtsrecht in ihre Personalakte. Dieses Recht muss aktiv gewährt werden – auf Anfrage, innerhalb eines Monats, vollständig und kostenlos.

Wer externe HR-Software oder Cloud-Dienste einsetzt, braucht zwingend einen AVV nach Art. 28 DSGVO. Bei Anbietern außerhalb der EU oder des EWR kommen zusätzliche Anforderungen nach Art. 44 ff. DSGVO hinzu – etwa Standardvertragsklauseln oder ein Angemessenheitsbeschluss der EU-Kommission.

Bußgelder und Konsequenzen: Was Verstöße wirklich kosten

Die Zahlen sprechen eine klare Sprache. Allein in Deutschland wurden 2023 325 Bußgelder verhängt – mit einer Gesamtsumme von 42,2 Millionen Euro. Das ist ein deutlicher Anstieg gegenüber 2022 (14,4 Millionen Euro). Weltweit wurden bis Mai 2024 über 2.000 Bußgelder mit einem Gesamtvolumen von über 4,5 Milliarden Euro ausgesprochen.

Das höchste deutsche Bußgeld 2023 traf die SCHUFA Holding AG mit 10,4 Millionen Euro – wegen Verstößen gegen das Auskunftsrecht und unzulässiger Speicherung von Daten aus Restschuldbefreiungsverfahren. Bereits 2019 zahlte die Deutsche Wohnen SE 8 Millionen Euro wegen mangelhafter Archivierung von Mieterdaten.

Die häufigsten Bußgeldgründe sind: unzureichende technische und organisatorische Maßnahmen, fehlende Rechtsgrundlagen für die Datenverarbeitung und Verstöße gegen Betroffenenrechte. Das sind keine exotischen Spezialfälle – das sind alltägliche Versäumnisse.

Neben Bußgeldern drohen weitere Konsequenzen:

• Schadensersatzansprüche betroffener Personen für materielle und immaterielle Schäden
• Abmahnungen und Unterlassungsklagen durch Wettbewerber oder Verbraucherschutzverbände
• Betriebliche Einschränkungen: Aufsichtsbehörden können Datenverarbeitung untersagen
• Reputationsschäden und Vertrauensverlust bei Kunden und Geschäftspartnern
• Arbeitsrechtliche Konsequenzen für Mitarbeiter: Abmahnung, Kündigung, Schadensersatz; bei schwerwiegenden Fällen strafrechtliche Ermittlungen

Die maximale Bußgeldhöhe nach DSGVO beträgt 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, was höher ist. Für große Konzerne kann das existenzbedrohend werden. Für KMU sind selbst fünfstellige Bußgelder eine ernste finanzielle Belastung.

Quellen

• IHK Stuttgart – Bestellung eines betrieblichen Datenschutzbeauftragten
• DSGVO-Portal – Rückblick Bußgeldverfahren und Datenpannen 2024
• Stiftung Datenschutz – Technische und organisatorische Maßnahmen
• dr-datenschutz.de – Folgen von Datenschutzverstößen
• Bundesdatenschutzgesetz (BDSG) – § 26, § 38
• Datenschutz-Grundverordnung (DSGVO) – Art. 5, 6, 25, 28, 32, 33, 34, 44 ff.
• Conceptboard / TechConsult – Studie zur DSGVO-Wirkung auf digitale Prozesse (2023)