Da sitzen Sie nun, eine Tasse Melange in der Hand, und blicken auf einen 99-seitigen Gesetzestext, der sich anfühlt wie eine Betriebsanleitung für ein Raumschiff – dabei wollen Sie doch nur Ihre Tischlerei, Ihr Architekturbüro oder Ihre kleine Marketing-Agentur rechtskonform betreiben. Die Datenschutz-Grundverordnung ist für kleine und mittlere Unternehmen in Österreich kein abstraktes Brüsseler Konstrukt, sondern geschäftlicher Alltag. Dieser Artikel führt Sie durch die DSGVO für KMU und erklärt Ihnen die Datenschutz-Grundlagen so, dass sie im Gedächtnis bleiben und sich umsetzen lassen – ohne Juristendeutsch und ohne Panikmache.
Was die DSGVO für Ihr Unternehmen wirklich bedeutet
Die DSGVO regelt seit Mai 2018 den Umgang mit personenbezogenen Daten in der gesamten Europäischen Union. Für Ihr KMU bedeutet das keine lästige Zusatzaufgabe, sondern ein Qualitätsversprechen an Ihre Kunden. Wer denkt, er könne sich als Zehn-Personen-Betrieb unter dem Radar bewegen, irrt. Die Verordnung gilt unabhängig von Größe, Branche oder Firmensitz: Sobald Sie Daten von EU-Bürgern verarbeiten, greift sie. Das betrifft den Wiener Installateur genauso wie den Vorarlberger Onlinehändler oder den Salzburger Softwareentwickler. Vor einigen Monaten erzählte mir ein Inhaber einer kleinen Käserei im Bregenzerwald, wie überrascht er war, als er erfuhr, dass selbst die handschriftliche Notiz mit dem Geburtstag eines Stammkunden unter die DSGVO fällt – eine Anekdote, die zeigt, wie nah die Theorie an den gelebten Alltag rückt.
Personenbezogene Daten sind dabei nicht nur der klassische Name oder die E-Mail-Adresse. Die DSGVO versteht darunter alle Informationen, die sich direkt oder indirekt auf eine identifizierte oder identifizierbare natürliche Person beziehen – auch IP-Adressen, Kfz-Kennzeichen, Kunden-IDs oder Standortdaten. Und ja, auch die gute alte Karteikarte im Schuhkarton fällt darunter, sobald Sie darauf Namen und Telefonnummern notiert haben. Die Verordnung verlangt von Ihnen, dass Sie diese Daten rechtmäßig, transparent und zweckgebunden verarbeiten.
Interessant ist der Kontrast zwischen öffentlicher Wahrnehmung und betrieblicher Realität. Viele Unternehmer verbinden die DSGVO in erster Linie mit Cookie-Bannern und Newsletter-Einwilligungen – dabei machen diese beiden Punkte vielleicht zehn Prozent der tatsächlichen Pflichten aus. Der Löwenanteil liegt in der sauberen Dokumentation, der Vertragsgestaltung mit Dienstleistern und der internen Organisation. Gerade für KMU ist das eine Chance: Sie können Prozesse von Grund auf DSGVO-konform aufbauen, ohne historisch gewachsene Altlasten großer Konzerne mitschleppen zu müssen.
Die sieben Grundsätze – Ihr Kompass im Datendschungel
Die Datenschutz-Grundverordnung wurde 2016 verabschiedet und galt ab dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Sie löste das österreichische Datenschutzgesetz 2000 ab und brachte für KMU eine grundlegende konzeptionelle Änderung mit sich: den Wechsel von der passiven Pflichterfüllung zur aktiven Rechenschaftspflicht. Statt nur Regeln einzuhalten, müssen Sie deren Einhaltung nun lückenlos nachweisen können – ein fundamentaler Perspektivenwechsel, der in der Beratungspraxis immer wieder für Stirnrunzeln sorgt.
Die DSGVO definiert im Kern sieben Grundsätze, die wie ein Kompass funktionieren, wenn Sie bei einer konkreten Frage einmal nicht weiterwissen. Der erste Grundsatz, Rechtmäßigkeit und Transparenz, verlangt für jede Datenverarbeitung eine solide Rechtsgrundlage – sei es eine bewusste Einwilligung Ihres Kunden, die Erfüllung eines Vertrags, das Erfüllen einer rechtlichen Verpflichtung oder Ihr berechtigtes Interesse als Unternehmer. Der zweite Grundsatz, die Zweckbindung, stellt klar: Wenn Sie Daten für eine Rechnungsstellung erheben, dürfen Sie diese nicht plötzlich für einen Newsletter verwenden. Drittens fordert die Datenminimierung, dass Sie wirklich nur das erheben, was Sie brauchen – das Geburtsdatum beim Herunterladen eines Whitepapers ist schlicht überflüssig und datenschutzrechtlich unzulässig. Viertens geht es um die Richtigkeit der Daten: Veraltete Adressen führen zu falschen Lieferungen und verärgerten Kunden, Datenpflege ist also auch im Eigeninteresse. Fünftens verlangt die Speicherbegrenzung, dass Sie Daten löschen, sobald der Zweck erfüllt ist – eine Disziplin, die in vielen Betrieben leider dem Tagesgeschäft zum Opfer fällt. Sechstens müssen Sie durch angemessene technische und organisatorische Maßnahmen für Integrität und Vertraulichkeit sorgen, also für Schutz vor unbefugtem Zugriff. Und siebtens, als Klammer um alles, steht die Rechenschaftspflicht: Sie müssen die Einhaltung all dieser Prinzipien nachweisen können.
„Die DSGVO verpflichtet Unternehmen dazu, personenbezogene Daten transparent, zweckgebunden und sicher zu verarbeiten. Entscheidend ist nicht die schiere Größe des Betriebs, sondern die Sensibilität der verarbeiteten Daten.“
– WKO-Leitfaden zur DSGVO für KMU
Für Ihr KMU bedeuten diese sieben Grundsätze etwas sehr Konkretes: Sie ersetzen diffuse Rechtsunsicherheit durch ein klares Prüfraster. Wann immer Sie eine neue Software einführen, einen Newsletter starten oder eine Kundendatei anlegen, fragen Sie sich: Warum tue ich das, welche Daten brauche ich wirklich, wie lange behalte ich sie und wer darf darauf zugreifen? Diese vier Fragen lösen erfahrungsgemäß rund achtzig Prozent aller DSGVO-Zweifel auf. Wenn Sie an dieser Stelle tiefer einsteigen möchten, lohnt ein Blick in eine fundierte strategische Beratung, die speziell auf die Abläufe kleiner und mittlerer Betriebe eingeht.
Das Verarbeitungsverzeichnis – Ihr betriebliches Rückgrat
Das Verzeichnis von Verarbeitungstätigkeiten, oft VVT abgekürzt, ist das zentrale Dokument, das in den meisten KMU-Leitfäden und Checklisten zur DSGVO an erster Stelle genannt wird. Es handelt sich um eine strukturierte Bestandsaufnahme sämtlicher Prozesse, bei denen personenbezogene Daten eine Rolle spielen. Klingt nach Bürokratie-Monster, ist aber im Kern nichts anderes als eine Landkarte Ihrer Datenströme. Für ein typisches KMU mit fünf bis fünfzig Mitarbeitern umfasst das Verzeichnis üblicherweise zwischen acht und zwanzig Verarbeitungstätigkeiten – eine überschaubare Größe, die Sie an einem konzentrierten Vormittag skizzieren können.
Was gehört konkret hinein? Sie müssen für jeden Verarbeitungsvorgang benennen, wer verantwortlich ist, zu welchem Zweck die Daten verarbeitet werden, welche Kategorien von Personen betroffen sind – Kunden, Mitarbeiter, Lieferanten, Bewerber –, welche Datenkategorien verarbeitet werden, wer die Empfänger sind, wie lange die Daten gespeichert werden und welche technischen und organisatorischen Maßnahmen zum Schutz ergriffen werden. Bei einem Salzburger Hotel umfasst das Verzeichnis beispielsweise die Gästeregistrierung, die Lohnverrechnung, die Videoüberwachung des Parkplatzes, den Newsletter-Versand und die Weitergabe von Meldedaten an die Gemeinde. Ich erinnere mich an eine Hoteldirektorin in Zell am See, die nach einer ersten Bestandsaufnahme erleichtert feststellte, dass sie nicht bei null anfangen musste, sondern lediglich ihre bestehenden Prozesse in eine nachvollziehbare Struktur bringen musste.
Wichtig für kleine Unternehmen mit weniger als 250 Mitarbeitern: Die Pflicht zur Führung eines Verarbeitungsverzeichnisses gilt grundsätzlich immer, jedoch entfällt die schriftliche Dokumentationspflicht unter bestimmten Umständen – etwa wenn die Verarbeitung nur gelegentlich erfolgt und kein Risiko für die Rechte der Betroffenen birgt. In der Praxis ist diese Ausnahme jedoch so eng gefasst, dass die meisten KMU gut beraten sind, das Verzeichnis trotzdem zu führen. Es ist schließlich Ihre Versicherungspolice im Falle einer Prüfung, und die österreichische Datenschutzbehörde honoriert proaktive Transparenz ausdrücklich mit einem wohlwollenderen Blick auf den Gesamtbetrieb.
Technische und organisatorische Maßnahmen – Schutz, der mehr ist als ein Passwort
TOMs, wie die technischen und organisatorischen Maßnahmen im Datenschutz-Jargon heißen, sind das Fundament des praktischen Datenschutzes. Die DSGVO schreibt vor, dass Sie unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs sowie der Wahrscheinlichkeit und Schwere des Risikos für die Rechte natürlicher Personen geeignete Maßnahmen treffen müssen. Dieser etwas sperrige Satz lässt sich für den Alltag übersetzen: Was ein vernünftiger, wirtschaftlich denkender Unternehmer in Ihrer Situation tun würde, um Daten zu schützen, das müssen auch Sie tun. Die österreichische Datenschutzbehörde stellt hierzu praxisnahe Orientierungshilfen bereit, die genau dieses Prinzip der Verhältnismäßigkeit in den Mittelpunkt stellen.
| Maßnahmenbereich | Basisanforderung KMU | Fortgeschrittene Umsetzung |
|---|---|---|
| Zugriffskontrolle | Individuelle, starke Passwörter pro Mitarbeiter | Zwei-Faktor-Authentifizierung für sensible Systeme |
| Verschlüsselung | Festplattenverschlüsselung aller Firmengeräte | Ende-zu-Ende-Verschlüsselung für E-Mail-Versand |
| Updates | Regelmäßige Sicherheitsupdates für Betriebssysteme | Patch-Management mit dokumentiertem Prozess |
| Backup | Tägliche Datensicherung auf externem Medium | Verschlüsseltes Cloud-Backup mit Versionierung |
| Schulung | Jährliche Datenschutz-Unterweisung aller Mitarbeiter | Phishing-Tests und rollenspezifische Sensibilisierung |
Die Tabelle zeigt bewusst eine Abstufung: Sie müssen nicht sofort auf der fortgeschrittenen Ebene einsteigen, aber die Basisanforderungen sollten Sie lückenlos erfüllen. Besonders die Verschlüsselung von Geräten wird oft unterschätzt. Ein gestohlenes Laptop mit unverschlüsselten Kundendaten kann für ein kleines Unternehmen existenzbedrohend sein – nicht nur wegen des möglichen Bußgelds von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, sondern vor allem wegen des Reputationsverlusts. Ein befreundeter Kärntner IT-Dienstleister berichtete mir kürzlich von einem Mandanten, dessen unverschlüsselter Firmenlaptop aus dem Auto entwendet wurde – der finanzielle Schaden durch Kundenabwanderung und das aufwändige Meldeverfahren bei der Behörde belief sich auf ein Vielfaches dessen, was eine Festplattenverschlüsselung gekostet hätte.
Die Wahl der richtigen Maßnahmen hängt von der Sensibilität der Daten ab. Ein Kärntner Psychotherapeut, der Gesundheitsdaten verarbeitet, muss strengere TOMs anwenden als ein Steinmetzbetrieb, der ausschließlich Rechnungsdaten speichert. Diese Verhältnismäßigkeit ist der Schlüssel. Gerade deshalb ist die Dokumentation so entscheidend: Wenn Sie begründen können, warum eine bestimmte Maßnahme für Ihr Unternehmen unverhältnismäßig teuer wäre und warum die gewählte Alternative dennoch angemessenen Schutz bietet, ist das ein legitimer Ansatz. Versuchen Sie jedoch niemals, eine professionelle Herangehensweise durch Halbwissen zu ersetzen – die Kosten einer falschen Selbsteinschätzung übersteigen das Honorar für qualifizierte externe Expertise bei Weitem.
Brauchen Sie einen Datenschutzbeauftragten? Die Gretchenfrage für KMU
Die Frage nach dem Datenschutzbeauftragten, dem DSB, treibt viele Mittelständler um. Die gesetzliche Regelung ist scheinbar einfach: Benennen müssen Sie einen Datenschutzbeauftragten, wenn mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Achtung, hier zählen keine Vollzeitäquivalente, sondern Köpfe. Wer in einem Team von zwölf Mitarbeitern regelmäßig am Computer arbeitet und dabei Kundendaten verarbeitet, ist noch unter der Schwelle. Bei einundzwanzig wird es sofort Pflicht – eine Grenze, die in wachsenden Agenturen oder Handwerksbetrieben mit zentraler Verwaltung schnell erreicht ist.
Unabhängig von der Mitarbeiterzahl müssen KMU einen DSB benennen, wenn sie einer Datenschutz-Folgenabschätzung unterliegen, weil ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht – etwa bei Gesundheitsdaten, Daten über strafrechtliche Verurteilungen oder bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche. Ein Hotel mit Videoüberwachung des gesamten Areals oder ein Personalvermittler, der Gesundheitsdaten von Bewerbern verarbeitet, fällt also auch als Kleinbetrieb unter die DSB-Pflicht. Ein Tiroler Skiverleih mit fünf Mitarbeitern hingegen nicht, es sei denn, er filmt flächendeckend seine Verleihstationen.
Das Thema DSB ist eng verknüpft mit der Frage, ob Sie jemanden intern oder extern benennen. Externe Datenschutzbeauftragte sind für KMU oft die wirtschaftlich sinnvollere Lösung. Sie zahlen ein monatliches Honorar von einigen hundert Euro, erhalten dafür aber die Sicherheit, dass jemand mit der aktuellen Rechtsentwicklung vertraut ist und im Ernstfall als Ansprechpartner für die Datenschutzbehörde fungiert. Ein interner DSB, der diese Funktion neben seiner eigentlichen Tätigkeit ausübt, gerät schnell in Interessenkonflikte – der IT-Leiter, der zugleich Datenschutzbeauftragter ist, soll die IT-Sicherheit kontrollieren, die er selbst verantwortet. Klingt widersinnig, ist es auch, und die österreichische Datenschutzbehörde sieht das kritisch.
Auftragsverarbeiter und Verträge – wer für wen Daten verarbeitet
In der Praxis ergeben sich die meisten Datenschutzverstöße bei KMU nicht aus bösem Willen, sondern aus schlichter Unkenntnis über die Rolle von Dienstleistern. Wenn Sie als Unternehmer Ihre Buchhaltung an einen Steuerberater auslagern, Ihre Website von einem externen Hoster betreiben lassen, einen Cloud-Dienst für die gemeinsame Dateiablage nutzen oder Ihre Kundendaten in ein CRM-Tool einpflegen, das auf Servern eines Softwareanbieters läuft, dann beauftragen Sie einen Auftragsverarbeiter. Und für diesen brauchen Sie einen Vertrag zur Auftragsverarbeitung, kurz AVV. Die korrekte vertragliche Einbindung solcher Partner ist eine der häufigsten Stolperfallen bei Betriebsprüfungen.
Der AVV ist kein nettes Beiwerk, sondern eine gesetzliche Pflicht. In ihm wird geregelt, welche Daten der Dienstleister wie, wie lange und zu welchem Zweck verarbeiten darf, welche Sicherheitsmaßnahmen er ergreift, ob er Subunternehmer einsetzt und was mit den Daten nach Vertragsende geschieht. Ohne einen solchen schriftlichen Vertrag verarbeiten Sie Daten unrechtmäßig – ein direkter Verstoß gegen die DSGVO. Die gute Nachricht: Seriöse Anbieter wie Microsoft, Google oder Salesforce stellen standardisierte AV-Verträge bereit, die Sie prüfen und unterzeichnen können.
Gefährlich wird es bei kleineren Dienstleistern oder Freelancern, die oft gar nicht wissen, dass sie als Auftragsverarbeiter gelten. Der freiberufliche Webentwickler, der für Sie die Kundenplattform programmiert und dabei vollen Zugriff auf die Live-Datenbank hat, ist ein Paradebeispiel. Wenn Sie mit ihm keinen AVV abschließen und er eines Tages mitsamt den Zugangsdaten verschwindet, haften Sie als Verantwortlicher. Achten Sie bei einem professionellen Webdesign daher von Anfang an darauf, dass der Vertrag eine klare Datenschutzklausel enthält und die Rollen von Verantwortlichem und Auftragsverarbeiter unmissverständlich definiert sind.
Betroffenenrechte und der transparente Umgang mit Kunden
Die Datenschutzerklärung ist das Aushängeschild Ihres Unternehmens in Sachen Transparenz. Sie ist Pflicht und muss in präziser, leicht zugänglicher Form über sämtliche Datenverarbeitungen informieren. Eine Datenschutzerklärung, die aus zwanzig Seiten Juristendeutsch besteht und bei der der Leser nach dem dritten Absatz aufgibt, erfüllt ihren Zweck nicht – die DSGVO verlangt ausdrücklich eine verständliche, klare und einfache Sprache. Gerade KMU können hier mit einer ehrlichen, knappen Erklärung punkten, die tatsächlich gelesen wird und Vertrauen schafft.
In der Datenschutzerklärung müssen Sie als österreichisches Unternehmen unter anderem Name und Kontaktdaten des Verantwortlichen nennen, die Zwecke und Rechtsgrundlagen der Verarbeitung, die Empfänger der Daten, die Speicherdauer, die Rechte der Betroffenen und, falls zutreffend, Informationen zur Datenübermittlung in Drittländer. Ein häufiger Fehler ist die Annahme, eine allgemeine Standarderklärung reiche aus. Jede Verarbeitung muss genannt sein. Wenn Sie also ein Kontaktformular auf der Website haben, einen Newsletter versenden und Google Analytics einsetzen, müssen alle drei Vorgänge in der Datenschutzerklärung auftauchen. Vergessen Sie einen, ist die Erklärung unvollständig und angreifbar. Ich habe selbst erlebt, wie ein Innsbrucker Kleinunternehmer eine Abmahnung erhielt, nur weil sein Webentwickler den Analysedienst nicht in der Erklärung ergänzt hatte – ein Ärgernis, das mit einem strukturierten Freigabeprozess vermeidbar gewesen wäre.
Eng damit verknüpft sind die Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Für KMU klingt das nach einem administrativen Albtraum, in der Praxis aber sind Auskunftsersuchen selten. Das sollten Sie dennoch vorbereitet haben. Schreiben Sie eine kurze interne Prozessanweisung, die festlegt, wer im Unternehmen Auskunftsersuchen entgegennimmt, wie die Frist von einem Monat überwacht wird und in welchem Format die Daten herausgegeben werden. Das gibt Sicherheit und erspart im Ernstfall Hektik. Die korrekte Umsetzung der Betroffenenrechte ist auch eine Frage der eingesetzten Systeme. Ein CRM, aus dem Sie auf Knopfdruck einen vollständigen Datensatz exportieren können, ist die Voraussetzung für die fristgerechte Auskunftserteilung. Eine chaotische Mischung aus Excel-Tabellen, E-Mail-Postfächern und Notizzetteln hingegen macht es nahezu unmöglich, alle Daten zu einer Person zusammenzutragen. Datenschutz ist daher auch ein Katalysator für die interne Digitalisierung und saubere Prozesse – eine willkommene Begleiterscheinung, die über die reine Compliance hinaus Wert schafft.
Datenschutz als Chance für Ihr Unternehmen
Die DSGVO ist für KMU kein juristisches Minenfeld, das man zitternd durchschreiten muss. Sie ist eine Einladung, die eigenen Prozesse zu durchleuchten, Datenmüll zu entsorgen und Kunden zu zeigen: Wir nehmen Ihre Privatsphäre ernst. Wer die sieben Grundsätze verinnerlicht, ein ehrliches Verarbeitungsverzeichnis führt, saubere Verträge mit Dienstleistern schließt und seine Mitarbeiter ins Boot holt, hat neunzig Prozent des Weges zurückgelegt. Die verbleibenden zehn Prozent sind Feinschliff, für den Sie sich bei Bedarf Unterstützung holen sollten.
Starten Sie nicht morgen, starten Sie heute. Eine halbe Stunde Bestandsaufnahme oder ein Website-Check bringt Sie Ihrem rechtssicheren Unternehmen näher als monatelanges Grübeln. Und sollte doch einmal Unsicherheit aufkommen: Lieber eine Frage stellen, als einen Verstoß riskieren.
Jetzt Kontakt aufnehmen und Ihre individuelle Datenschutz-Strategie besprechen.
Häufig gestellte Fragen
Gilt die DSGVO auch für Einzelunternehmer und Kleinstbetriebe?
Ja, uneingeschränkt. Die DSGVO unterscheidet nicht nach Unternehmensgröße, sondern stellt allein auf die Verarbeitung personenbezogener Daten ab. Ein Wiener Einzelunternehmer, der einen Onlineshop mit Kundenregistrierung betreibt, unterliegt denselben Grundpflichten wie ein Konzern. Allerdings gilt der Grundsatz der Verhältnismäßigkeit: Der Umfang Ihrer Maßnahmen muss Ihrem Risiko angemessen sein. Ein Kleinstbetrieb mit fünfzehn Kundenkontakten pro Monat muss kein aufwändiges Datenschutz-Managementsystem aufbauen, ein Verarbeitungsverzeichnis und saubere AV-Verträge sind aber dennoch Pflicht.
Was sind die häufigsten DSGVO-Verstöße, die bei KMU zu Bußgeldern führen?
Nach den veröffentlichten Entscheidungen der österreichischen Datenschutzbehörde sind es vor allem drei Kategorien: fehlende oder unvollständige Auftragsverarbeitungsverträge mit Dienstleistern, mangelhafte oder gar keine Rechtsgrundlage für Datenverarbeitungen – etwa bei unzulässiger Videoüberwachung – und Verstöße gegen die Informationspflichten durch unvollständige Datenschutzerklärungen. Deutlich seltener, aber oft teurer sind Verstöße gegen die technischen und organisatorischen Maßnahmen, etwa wenn unverschlüsselte Datenträger verloren gehen und ein Datenleck nicht oder zu spät gemeldet wird.
Kann ich meine Datenschutzerklärung selbst schreiben oder brauche ich einen Anwalt?
Grundsätzlich können Sie Ihre Datenschutzerklärung selbst entwerfen, wenn Sie über ausreichende Fachkenntnis verfügen. Die Praxis zeigt jedoch, dass selbst kleine Ungenauigkeiten – etwa eine falsche Rechtsgrundlage oder eine vergessene Verarbeitungstätigkeit – teure Abmahnungen nach sich ziehen können. Gerade in Österreich, wo Mitbewerberabmahnungen über das UWG möglich sind, sollten Sie eine Datenschutzerklärung von einem Fachanwalt prüfen lassen. Die einmaligen Kosten von einigen hundert Euro sind im Verhältnis zum Bußgeldrisiko eine vernünftige Investition.
Wie oft muss ich mein Verzeichnis von Verarbeitungstätigkeiten aktualisieren?
Es gibt keine feste Frist, aber die DSGVO verlangt, dass das Verzeichnis aktuell gehalten wird. Jede Änderung in Ihren Verarbeitungsprozessen muss zeitnah dokumentiert werden. Führen Sie eine neue Software ein, starten Sie einen Newsletter oder schaffen Sie eine Videoüberwachung an, muss das innerhalb weniger Tage im VVT ergänzt werden. Unabhängig von Einzelereignissen empfehlen wir eine vollständige jährliche Überprüfung, die Sie schriftlich dokumentieren – ein weiterer Nachweis Ihrer Rechenschaftspflicht, den die Datenschutzbehörde positiv bewertet.
Was ist der Unterschied zwischen DSGVO und dem österreichischen Datenschutzgesetz?
Die DSGVO ist eine EU-Verordnung mit unmittelbarer Wirkung in allen Mitgliedstaaten. Sie bildet den europaweit einheitlichen Rahmen. Das österreichische Datenschutzgesetz – offiziell DSG – ist das nationale Ausführungsgesetz, das die DSGVO ergänzt und konkretisiert, wo die Verordnung den Mitgliedstaaten Öffnungsklauseln einräumt. Relevant für KMU sind etwa die nationalen Regelungen zum Beschäftigtendatenschutz oder zum Datenschutzbeauftragten. Beide Regelwerke sind nebeneinander anzuwenden, Sie müssen also sowohl die DSGVO als auch das DSG kennen. In der Praxis orientieren Sie sich besser an der strengeren der beiden Vorschriften, um auf der sicheren Seite zu sein.