Datenschutzkonzept erstellen – einfach & kostenlos

Ein Datenschutzkonzept ist ein unternehmensinternes Dokument, das alle relevanten Maßnahmen und Verantwortlichkeiten zur Einhaltung der DSGVO bündelt.

Es dient als Nachweis gegenüber Aufsichtsbehörden, Kunden und Geschäftspartnern und dokumentiert transparent, wie mit personenbezogenen Daten im Unternehmen umgegangen wird.

Ein Datenschutzkonzept für kleine Unternehmen sollte mindestens die folgenden Informationen enthalten: 

1. Allgemeine Rechenschaftspflichten nach Art. 5 (2) DSGVO
2. Weisungsbindung des Auftragsverarbeiters nach Art. 28 DSGVO
3. Dokumentation und Einholung von Einwilligungen nach Art 7 DSGVO
4. Dokumentation der technischen und organisatorischen Maßnahmen (TOM) nach Art. 24 DSGVO
5. Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO

Grundsätzlich jedes Unternehmen, das personenbezogene Daten verarbeitet – vom Einzelunternehmen bis zur GmbH. Für ein Einzelunternehmen ist es ausreichend, ein allgemeines Datenschutzkonzept zu erstellen. Ein Datenschutzkonzept für die GmbH mit wachsender Beschäftigtenzahl fällt deutlich komplexer aus. 

Hinweis: Ab einer regelmäßigen Beschäftigung von mindestens 20 Personen mit automatisierter Datenverarbeitung ist zusätzlich ein Datenschutzbeauftragter zu benennen (§ 38 BDSG).

Zu den personenbezogenen Daten im Sinne der DSGVO zählen u.a.:

1. Vor- und Nachname
2. E-Mail-Adresse
3. Telefonnummer
4. IP-Adresse
5. Cookie-Identifikatoren
6. Standortdaten
7. Kontodaten

Beispiele für die Verarbeitung von sensiblen Daten gemäß DSGVO auf Webseiten & Online-Shops sind u.a.:

• die Übermittlung bzw. Speicherung von IP-Adressen von Website-Besuchern
• das Vorhandensein einer Kommentarfunktion (mit E-Mail-Angabe)
• das Vorhandensein eines Kontaktformulars
• Integration von Abo-Lösungen oder Newsletter-Anmeldungen
• Verwendung von Analysetools zur Untersuchung des Nutzerverhaltens
• Setzen von Cookies
• Social Media Plugins ohne 2-Klick-Lösung 

Tipp: Im Gastbeitrag und Webinar erklärt Daniel John Ferris, zertifizierter Datenschutzbeauftragter (TÜV) warum die Gefahr von Hackerangriffen auch für kleine Unternehmen eine reale Bedrohung ist und wie du dich am besten schützen kannst.

Ein vollständiges Datenschutzkonzept für kleine Unternehmen sollte folgende Punkte enthalten:

• Datenschutzgrundsätze und -politik
• Verantwortlichkeiten im Unternehmen
• Technische und organisatorische Maßnahmen (TOM)
• Verzeichnis von Verarbeitungstätigkeiten
• Nachweise über Einwilligungen (Art. 7 DSGVO)
• Verträge zur Auftragsverarbeitung (Art. 28 DSGVO)
• Schulungspflichten und Prüfprotokolle

Technische und organisatorische Maßnahmen (TOM) sind alle Schutzmaßnahmen, die ein Unternehmen ergreift, um personenbezogene Daten vor Verlust, Missbrauch oder unbefugtem Zugriff zu schützen – wie es die DSGVO verlangt.

TOM sorgen dafür, dass Daten sicher verarbeitet werden – technisch einwandfrei und im Alltag korrekt organisiert.

Technische Maßnahmen sind z. B.:

• Passwörter und Zugriffskontrollen
• Firewalls und Virenschutz
• Verschlüsselung von Daten
• regelmäßige Backups

Organisatorische Maßnahmen sind z. B.:

• klare Zuständigkeiten im Datenschutz
• Schulungen der Mitarbeitenden
• geregelte Abläufe für Löschung oder Datenweitergabe
• Zugriffsrechte nach dem Need-to-know-Prinzip (=Datenzugriff nur für berechtigte Personen)

Die Plicht zur Beauftragung eines Datenschutzbeauftragten ist in § 38 BDSG geregelt. Ein Unternehmen muss einen Datenschutzbeauftragten benennen, wenn:

• mindestens 20 Mitarbeitende regelmäßig mit personenbezogenen Daten arbeiten – z. B. in der Kundenverwaltung, im Marketing oder der Lohnbuchhaltung.
• besondere Risiken bei der Datenverarbeitung bestehen – z. B. durch eine Datenschutz-Folgenabschätzung* oder bei der systematischen Nutzung von Daten für Übermittlungen, Markt- oder Meinungsforschung. In diesem Fall gilt die Pflicht unabhängig von der Mitarbeiterzahl.

*Hinweis: Die Datenschutzkonferenz (DSK) hat eine Liste mit Verarbeitungstätigkeiten veröffentlicht, für die im nicht-öffentlichen Bereich eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 4 DSGVO verpflichtend ist.

Verarbeitungsvorgänge mit DSFA-Pflicht sind demnach u.a.:

• Biometrie & Genetik: z. B. Fingerabdruckscanner, DNA-Tests, Gesichtserkennung
• Scoring & Profilbildung: z. B. Bonitätsprüfungen, Kundenbewertungen, Risikobewertungen
• Tracking & Standortdaten: z. B. GPS-Ortung, Kundenlaufwege, Fahrzeugdaten
• Verhaltensanalyse Beschäftigter: z. B. Internet-/E-Mail-Überwachung, Geolokalisierung
• Big Data & KI-Einsatz: z. B. verhaltensbasierte Werbung, automatisierte Entscheidungen
• Bewertung durch Dritte: z. B. Inkasso, Auskunfteien, Bewertungsportale
• Nutzung sensibler Daten: z. B. Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen
• Sensor- und App-Nutzung: z. B. Fitnessdaten, Telemedizin, Wearables

Experten empfehlen eine jährliche Überprüfung, mindestens aber bei:

• der Neuerung von IT-Systemen,
• der Integration von neuen Software-Tools oder
• Veränderungen in der Organisationsstruktur.

So stellst du sicher, dass dein Konzept weiterhin rechtskonform und praxisnah bleibt.

Mit einer Muster-Vorlage können kleine Unternehmen ein Datenschutzkonzept schnell, sicher und DSGVO-konform erstellen. Die ZANDURA Datenschutzkonzept-Vorlage ist kostenlos und individuell anpassbar: Zum kostenlosen Download

Mit dieser 7-Punkte-Checkliste erstellst du ein allgemeines Datenschutzkonzept:

1. Bestandsaufnahme & Dokumente zusammenstellen: Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen (TOM), AV-Verträge – alles sollte vollständig und jederzeit griffbereit sein.
2. Verantwortliche benennen (ggf. Datenschutzbeauftragte): Kläre, wer für den Datenschutz verantwortlich ist – intern oder extern.
3. Mitarbeitende schulen und Schulung dokumentieren: Alle Beschäftigten müssen wissen, wie mit personenbezogenen Daten umzugehen ist.
4. Datenschutzkonzept gemeinsam erarbeiten: Binde alle relevanten Personen ein und nutze ggf. eine Vorlage als Grundlage.
5. Zugriffsrechte klar regeln („Need-to-know“-Prinzip): Nur wer bestimmte Daten zur Erfüllung seiner Aufgaben wirklich braucht, erhält auch Zugriff – das reduziert Risiken und schützt sensible Informationen.
6. Dokument rechtssicher fertigstellen und unterschreiben: Mit Briefkopf und Unterschrift wird das Konzept zum offiziellen Unternehmensdokument.
7. Regelmäßige Überprüfung & Aktualisierung festlegen: Mindestens einmal jährlich – oder bei Änderungen im Unternehmen.

Ein Datenschutzkonzept ist für Unternehmen in Deutschland kein „Kann“, sondern gesetzliche Pflicht. Wenn du nachvollziehbar dokumentierst, wie in deinem Betrieb mit personenbezogenen Daten umgegangen wird – ob im Online-Shop, auf deiner Webseite oder einem internen System – schützt du dich nicht nur vor Abmahnungen und teuren Bußgeldern, sondern schaffst auch Vertrauen.