Die DSGVO gilt für jede Organisation, die personenbezogene Daten erhebt, unabhängig von ihrer Größe. SYAGA CONSULTING hilft Ihnen, ein Verzeichnis von Verarbeitungstätigkeiten zu formalisieren, Ihre Auftragsverarbeiter vertraglich einzubinden, die DSGVO-Fragebögen Ihrer Kunden und Versicherer zu beantworten und bei Bedarf eine Datenschutz-Folgenabschätzung durchzuführen.
Die DSGVO ist seit 2018 in Kraft, bleibt in KMU aber weitgehend nicht formalisiert
Sobald eine Organisation personenbezogene Daten erhebt (Kunden, Mitarbeiter, Interessenten), ist sie betroffen. Eine begrenzte Ausnahme gilt für Organisationen mit weniger als 250 Beschäftigten, deren Verarbeitung nur gelegentlich erfolgt, sie deckt jedoch keine regelmäßige Geschäftstätigkeit ab.
Viele KMU haben ihr Verzeichnis nie formalisiert oder es einmalig erstellt und seitdem nie aktualisiert, obwohl sich ihre Verarbeitungen, Auftragsverarbeiter und Tools geändert haben.
Ein Kunde, eine Bank oder ein Cyberversicherer verlangt zunehmend von seinen Lieferanten, einen Fragebogen zum Datenschutz zu beantworten (Art. 28): Auftragsverarbeitung, Verschlüsselung, MFA, Backups, Protokollierung, Notfallplan.
Ein Verzeichnis zu erstellen, Auftragsverarbeiter vertraglich einzubinden oder eine Folgenabschätzung durchzuführen, erfordert juristische und technische Fachkenntnisse, über die nur wenige KMU intern verfügen.
Eine strukturierte Methode, angepasst an die Größe und den tatsächlichen Kontext Ihrer Organisation
Gespräch mit der Geschäftsführung oder dem DSGVO-Ansprechpartner. Identifizierung der Verarbeitungen personenbezogener Daten (Kunden, Mitarbeiter, Interessenten, Lieferanten), der eingesetzten Tools und der bereits vorhandenen Auftragsverarbeiter.
Erstellung des Verzeichnisses der Verarbeitungstätigkeiten: Zwecke, Rechtsgrundlagen, Kategorien der betroffenen Daten und Personen, Empfänger, Aufbewahrungsfristen, Sicherheitsmaßnahmen.
Prüfung oder Erstellung der Auftragsverarbeitungsklauseln (Art. 28) mit Ihren Dienstleistern sowie Vorbereitung der Antworten auf die DSGVO-Fragebögen Ihrer Kunden oder Versicherer (technische und organisatorische Maßnahmen).
Übergabe der Dokumente und Präsentation vor der Geschäftsführung. Fällt Ihre Verarbeitung unter einen der in Art. 35(3) DSGVO vorgesehenen Fälle (Profiling mit Rechtswirkung, sensible Daten in großem Umfang, systematische Überwachung eines öffentlich zugänglichen Bereichs), wird eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt oder mit Ihnen abgestimmt.
Dokumente, die auf Ihre tatsächliche Organisation zugeschnitten sind, keine generischen Vorlagen
Vollständiges Verzeichnis gemäß Artikel 30 der DSGVO.
Vertragliche Einbindung Ihrer Dienstleister im Sinne von Artikel 28.
Wird nur durchgeführt, wenn Artikel 35(3) der DSGVO dies vorschreibt, oder vorsorglich auf Anfrage.
Vorbereitung der Antworten auf Fragebögen Ihrer Kunden, Banken oder Cyberversicherer.
Bestandsaufnahme der nach Artikel 32 der DSGVO erforderlichen Maßnahmen.
Die Leistungen werden Ihnen in direkt nutzbaren Formaten übergeben.
Die DSGVO (Verordnung (EU) 2016/679) strukturiert die RGPD-Express-Vorgehensweise
Pflicht zur Führung eines Verzeichnisses, sowohl für den Verantwortlichen als auch für den Auftragsverarbeiter. Die in 30.5 vorgesehene Ausnahme für Organisationen mit weniger als 250 Beschäftigten gilt nur für gelegentliche Verarbeitungen.
Vertragliche Einbindung jedes Auftragsverarbeiters, der Daten in Ihrem Auftrag verarbeitet: hinreichende Garantien, verpflichtende Klauseln, nachgelagerte Auftragsverarbeitung nur mit vorheriger schriftlicher Genehmigung.
Dem Risiko angemessene technische und organisatorische Maßnahmen: Pseudonymisierung, Verschlüsselung, Mittel zur Gewährleistung von Vertraulichkeit und Verfügbarkeit, Verfahren zur regelmäßigen Überprüfung und Bewertung.
Nur verpflichtend, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt: systematische Bewertung mit Rechtswirkung, sensible Daten in großem Umfang, oder systematische Überwachung eines öffentlich zugänglichen Bereichs.
Jede Organisation hat einen unterschiedlichen Verarbeitungsumfang: der Preis wird nach dem Auftaktgespräch festgelegt
Kleinstunternehmen / KMU, einfacher Verarbeitungsumfang
KMU mit mehreren Auftragsverarbeitern und wiederkehrenden Fragebögen
Organisation mit sensiblen Verarbeitungen oder branchenspezifischer Regulierung
Was der Text wirklich sagt, in einfache Worte übersetzt. Jeder Punkt verweist auf den offiziellen Text.
Das ist der europäische Rechtstext, der die Erhebung und Nutzung personenbezogener Daten regelt (Kunden, Mitarbeiter, Interessenten...). Sie wurde am 27. April 2016 verabschiedet und am 4. Mai 2016 im Amtsblatt der Europäischen Union veröffentlicht.
Die Verordnung trat zwanzig Tage nach ihrer Veröffentlichung in Kraft, ist aber erst seit dem 25. Mai 2018 tatsächlich anwendbar. Dieses Datum zählt für Ihre konkreten Pflichten.
Sie müssen eine Liste dessen führen, was Sie mit personenbezogenen Daten tun: wofür, mit wem, wie lange Sie sie aufbewahren, wie Sie sie schützen. Für Strukturen mit weniger als 250 Beschäftigten gibt es eine Ausnahme, allerdings nur bei gelegentlicher Verarbeitung; eine regelmäßige Geschäftstätigkeit profitiert nicht davon.
Das ist nur in drei genau festgelegten Fällen verpflichtend: Sie sind eine öffentliche Stelle, oder Ihre Haupttätigkeit besteht in der regelmäßigen und umfangreichen Überwachung von Personen, oder in der umfangreichen Verarbeitung sensibler Daten. Außerhalb dieser Fälle bleibt die Benennung eines DSB freiwillig.
Wenn personenbezogene Daten verloren gehen, gestohlen oder offengelegt werden, müssen Sie die CNIL (oder die zuständige Behörde) spätestens 72 Stunden nach Kenntnisnahme informieren, außer wenn das Risiko für die betroffenen Personen vernachlässigbar ist. Sie müssen außerdem jeden Vorfall schriftlich dokumentieren.
Wenn eine Datenpanne ein hohes Risiko für die betroffenen Personen mit sich bringt, müssen Sie diese direkt und in klarer, einfacher Sprache informieren. Von dieser Benachrichtigung können Sie befreit sein, wenn die Daten verschlüsselt waren oder Sie das Risiko bereits neutralisiert haben.
Bei einem Verstoß kann die Geldbuße bis zu 10 Millionen Euro (oder 2% des weltweiten Jahresumsatzes des Unternehmens) für die häufigsten Verstöße betragen und bis zu 20 Millionen Euro (oder 4% des weltweiten Jahresumsatzes) für die schwerwiegendsten Verletzungen der Rechte betroffener Personen; maßgeblich ist stets der höhere Betrag. Die tatsächliche Höhe hängt von der Schwere, der Gutgläubigkeit und der Kooperation mit der Behörde ab.
Die Frage, die uns am häufigsten gestellt wird: "Betrifft mich das wirklich, als kleines Unternehmen?" Kurze, quellenbelegte Antwort: ja, fast immer.
Die DSGVO gilt, sobald eine Organisation, und sei es nur teilweise, auf automatisierte Weise oder in einer strukturierten Datei, eine Information verarbeitet, die sich auf eine identifizierte oder identifizierbare Person bezieht: Name, E-Mail, Telefonnummer, IP-Adresse, Standortdaten...
Konkret betrifft das eine Kundendatei, die Lohnabrechnung der Mitarbeiter, eingegangene Bewerbungen, eine Videoüberwachungskamera, einen Newsletter, ein CRM oder Reichweiten-Messcookies.
Die DSGVO gilt in vier genau festgelegten Fällen nicht:
Die DSGVO gilt, sobald Ihr Unternehmen eine Niederlassung in der Europäischen Union hat, oder sobald Sie Personen ansprechen, die sich dort befinden: indem Sie ihnen Waren oder Dienstleistungen anbieten (auch kostenlose), oder indem Sie ihr Verhalten verfolgen (Profiling, Tracking-Cookies).
Die CNIL nennt zwei anschauliche Beispiele: Ein französisches Unternehmen, das ausschließlich nach Marokko exportiert, unterliegt weiterhin der DSGVO, sobald es Daten von Personen in der EU verarbeitet; eine chinesische E-Commerce-Website, die nach Frankreich liefert, muss sie ebenfalls einhalten.
Verantwortlicher: die Stelle, die entscheidet, warum und wie die Daten genutzt werden (Ihr Unternehmen, eine Gemeinde, ein Verein). Das sind in der Regel Sie.
Auftragsverarbeiter: der Dienstleister, der diese Daten in Ihrem Auftrag verarbeitet (Hosting-Anbieter, Lohnbuchhaltungssoftware, Marketing-Agentur...). Auch er hat eigene Pflichten, die sich von den Ihren unterscheiden.
Privatunternehmen
vom Kleinstunternehmen bis zum Großkonzern, ab der ersten Kundendatei oder der ersten Gehaltsabrechnung
Öffentlicher Sektor
Gemeinden, Gebietskörperschaften, Verwaltungen, Gesundheitseinrichtungen
Vereine, Handwerker, Selbstständige
freie Berufe, Einzelhändler, Start-ups: keine Befreiung aufgrund des Status
Kein Rechtsjargon: die 7 häufigsten Fragen, eine einfache Antwort, und der offizielle Text hinter jeder Antwort.
Klicken Sie auf eine Frage, um die Antwort und ihre Quelle zu sehen.
Nein. Die Einwilligung ist nur eine von sechs Optionen. Die DSGVO (Artikel 6) erlaubt die Verarbeitung auch, wenn sie zur Erfüllung eines Vertrags, zur Erfüllung einer rechtlichen Verpflichtung, zum Schutz lebenswichtiger Interessen, zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder zur Wahrung berechtigter Interessen Ihres Unternehmens erforderlich ist (zum Beispiel die Verwaltung der Beziehung zu einem bestehenden Kunden), solange die Rechte der betroffenen Person nicht überwiegen.
Das hängt davon ab, wen Sie kontaktieren:
In jedem Fall gilt: identifizierbarer Absender und ein einfacher Abmeldelink.
Im Allgemeinen ja, insbesondere wenn die Daten nicht mehr benötigt werden, wenn die Person ihre Einwilligung widerruft, oder wenn sie ohne entgegenstehenden berechtigten Grund Ihrerseits widerspricht. Sie können dies jedoch ablehnen, wenn Sie die Daten aufgrund einer rechtlichen Verpflichtung aufbewahren müssen, zum Beispiel eine Rechnung, die 10 Jahre lang aus buchhalterischen Gründen aufbewahrt werden muss, oder um sich vor Gericht zu verteidigen.
1 Monat ab Erhalt der Anfrage. Diese Frist kann bei komplexen Anfragen oder hohem Anfrageaufkommen um 2 Monate verlängert werden, Sie müssen die betroffene Person jedoch innerhalb des ersten Monats über diese Verlängerung informieren.
Ja, aber nicht ohne Vorsichtsmaßnahmen. Drei mögliche Fälle: das Land profitiert von einem offiziellen Angemessenheitsbeschluss der Europäischen Kommission; andernfalls muss Ihr Dienstleister geeignete Garantien bieten (meist Standardvertragsklauseln); oder, nur für punktuelle Fälle, gilt eine genau festgelegte Ausnahme (ausdrückliche Einwilligung, Vertragserfüllung...).
Ja. Die meisten Cookies (personalisierte Werbung, Social-Media-Schaltflächen...) erfordern die vorherige Einwilligung Ihres Besuchers, die freiwillig und ebenso leicht widerrufbar wie erteilbar sein muss. Die Annahme allgemeiner Geschäftsbedingungen gilt nicht als gültige Einwilligung. Einige technisch notwendige Cookies (Warenkorb, Authentifizierung, Spracheinstellung) sind von dieser Einwilligung befreit.
Die CNIL beginnt im Allgemeinen mit einer Kontrolle (vor Ort oder online), gefolgt von einer förmlichen Aufforderung, sich innerhalb einer bestimmten Frist in Konformität zu bringen. Finanzielle Sanktionen existieren, bleiben aber verhältnismäßig zur Größe der Struktur: die CNIL hat beispielsweise kleine Unternehmen mit Beträgen zwischen 2.000 und 20.000 Euro für Verstöße bei Sicherheit, Cookies oder Auskunftsrecht sanktioniert, weit entfernt von den Höchstgrenzen (bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes für die schwerwiegendsten Verstöße).
Die DSGVO ist nicht erst 2018 entstanden und seitdem auch nicht unverändert geblieben. Hier ist, der Reihe nach, was bereits geschehen ist (und heute weiterhin die geltende Regel ist) und was in Brüssel noch diskutiert wird - mit dem offiziellen Text, der jede Etappe belegt.
Das Europäische Parlament und der Rat verabschieden die Verordnung (EU) 2016/679, die DSGVO. Quelle EUR-Lex ↗
Der Text wird im Amtsblatt der Europäischen Union veröffentlicht (ABl. L 119, Seiten 1 bis 88). Quelle EUR-Lex ↗
Die Verordnung "tritt am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft" (Art. 99). Sie besteht damit rechtlich, ihre tatsächliche Anwendung auf Unternehmen wird jedoch noch um zwei Jahre verschoben - Zeit, um sich zu organisieren. Quelle CNIL, Art. 99 ↗
Ab diesem Datum müssen alle Organisationen, die personenbezogene Daten von Einwohnern der EU verarbeiten, tatsächlich konform sein, nicht nur "auf dem Papier". Das ist das Datum, das man sich merken muss. Quelle CNIL, Art. 99 ↗
Das Gesetz Nr. 2018-493 passt das französische Recht an die DSGVO an und setzt die Richtlinie "Polizei-Justiz" (2016/680) um, aufbauend auf dem Gesetz "Informatique et Libertés" von 1978. Quelle Légifrance ↗
Die Verordnung Nr. 2018-1125 vollendet die Angleichung des Gesetzes "Informatique et Libertés" an die DSGVO und die Richtlinie 2016/680. Quelle Légifrance ↗
Zwei Jahre nach ihrem Anwendungsbeginn veröffentlicht die Kommission ihren ersten Bericht: die DSGVO erreicht ihre Ziele, doch Verbesserungen sind notwendig (Harmonisierung zwischen den Ländern, Zusammenarbeit der Behörden). Quelle EUR-Lex (COM 2020) ↗
Der Gerichtshof der Europäischen Union erklärt den "Privacy Shield", der die Datenübermittlungen in die Vereinigten Staaten regelte, für ungültig: die amerikanischen Garantien zum Zugriff der Behörden auf die Daten werden als nicht ausreichend erachtet. Quelle EUR-Lex ↗
Neue Klauselmodelle zur Regelung von Datenübermittlungen außerhalb der EU treten in Kraft, mit einer Übergangsfrist von 15 Monaten, um bereits unterzeichnete alte Verträge zu ersetzen. Quelle EUR-Lex (2021/914) ↗
Die Kommission verabschiedet den Angemessenheitsbeschluss "EU-US Data Privacy Framework", der den 2020 für ungültig erklärten Privacy Shield ersetzt und die Datenübermittlungen an zertifizierte amerikanische Unternehmen wieder absichert. Quelle EUR-Lex (2023/1795) ↗
Deutlicher Anstieg der Sanktionen gegen große Technologieunternehmen, doch zwischen den nationalen Behörden bestehen weiterhin Unterschiede. Die Kommission empfiehlt, KMU besser zu begleiten. Quelle EUR-Lex (COM 2024) ↗
Die Kommission schlägt in ihrem Vereinfachungspaket für den Binnenmarkt vor, die Ausnahme von der vollständigen Führung des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30) auf 750 Beschäftigte (statt 250) auszuweiten, begrenzt auf "risikoreiche" Verarbeitungen. Das ist ein Vorschlag, noch kein geltendes Recht. Quelle Europäische Kommission ↗
Rat und Europäisches Parlament einigen sich politisch auf zusätzliche Verfahrensregeln zur Harmonisierung der Zusammenarbeit nationaler Aufsichtsbehörden bei grenzüberschreitenden Untersuchungen. Die formale Annahme und Veröffentlichung im Amtsblatt stehen noch aus. Quelle Europäische Kommission ↗
Zeitplan erstellt anhand offizieller Quellen (EUR-Lex, CNIL, Légifrance, Europäische Kommission), abgerufen am 18. Juli 2026. Die letzten beiden Etappen sind Vorschläge oder politische Einigungen im laufenden Verfahren - wir aktualisieren sie, sobald sie formal angenommen und im Amtsblatt veröffentlicht werden. Dies ist eine didaktische Zusammenfassung und stellt keine Rechtsberatung dar.
Die Zahl, die Angst macht - "20 Millionen Euro" - kursiert überall, sagt aber nicht, wie das wirklich funktioniert. Hier ist, gestützt auf offizielle Quellen, wer sanktioniert, wie, und mit welchen tatsächlichen Beträgen.
oder bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens (maßgeblich ist der höhere der beiden Beträge).
Diese Stufe gilt für "gängige" Verstöße: Verzeichnis von Verarbeitungstätigkeiten, Datensicherheit, Pflichten des Auftragsverarbeiters, fehlende Folgenabschätzung...
oder bis zu 4 % des weltweiten Jahresumsatzes (auch hier ist der höhere der beiden Beträge maßgeblich).
Diese Stufe gilt für die schwerwiegendsten Verstöße: fehlende Rechtsgrundlage, Verletzung der Rechte betroffener Personen, unrechtmäßige Übermittlungen außerhalb der EU...
Es ist nicht die CNIL im "allgemeinen" Sinne, die sanktioniert, sondern ein eigenständiges, unabhängiges Gremium: die formation restreinte (Sanktionskammer), bestehend aus 5 Mitgliedern und einem eigenen Vorsitzenden, der nicht mit dem Präsidenten der CNIL identisch ist. Sie allein prüft die Vorgänge und verhängt die Sanktionen. Die wichtigsten Entscheidungen werden veröffentlicht.
Artikel 83 der DSGVO verpflichtet die CNIL, vor der Festlegung einer Geldbuße mehrere Kriterien zu berücksichtigen, insbesondere:
| Datum | Organisation | Betrag | Grund |
|---|---|---|---|
| 21.01.2019 | Google LLC | 50 Mio. € | Mangelnde Transparenz, fehlende gültige Einwilligung für personalisierte Werbung |
| 07.12.2020 | Amazon Europe Core | 35 Mio. € | Cookies ohne vorherige Einwilligung gesetzt |
| 31.12.2021 | Google LLC / Google Ireland | 150 Mio. € | Ablehnung von Cookies komplizierter als Annahme |
| 31.12.2021 | Facebook Ireland (Meta) | 60 Mio. € | Gleicher Grund: Ablehnung von Cookies zu erschwert |
| 17.10.2022 | Clearview AI | 20 Mio. € | Gesichtserkennung ohne Rechtsgrundlage, Verweigerung der Zusammenarbeit |
| 10.11.2022 | Discord Inc. | 800.000 € | Übermäßige Datenspeicherung, unzureichende Sicherheit und Information |
| 15.06.2023 | Criteo | 40 Mio. € | Verstöße gegen die Cookie-Einwilligung und die Rechte betroffener Personen |
Die CNIL sanktioniert auch kleine und mittlere Strukturen, jedoch mit Beträgen, die in keinem Verhältnis zu internationalen Konzernen stehen. Allein bei den Entscheidungen vom Dezember 2025 finden sich beispielsweise: 5.000 € für eine Hotelverwaltungsgesellschaft (nicht konforme Videoüberwachung), 7.000 € und 5.000 € für zwei Zeitungsverlage (ungültige Cookies), 10.000 € für ein Flughafen-Frachtunternehmen (unrechtmäßige Videoüberwachung), oder auch 20.000 € für eine Universität (Zweckentfremdung). Am anderen Ende der Skala wurde ein Unternehmen aus dem Dienstleistungssektor im selben Monat mit 3,5 Mio. € für eine Anhäufung schwerer Verstöße sanktioniert (Sicherheit, Transparenz, Cookies). Der Betrag folgt der Schwere und der Größe, nicht umgekehrt.
In Europa hat jedes Land seine eigenen Behörden. Hier finden Sie, für die 30 Länder des Europäischen Wirtschaftsraums, die Datenschutzbehörde (Ihr Ansprechpartner für die DSGVO) und die nationale Cybersicherheitsbehörde. Jeder Name verweist auf die offizielle Website.
Quellen: offizielle Websites der Behörden und Mitgliederliste der EDPB (edpb.europa.eu), abgerufen am 18. Juli 2026. Datenschutzbehörden bestätigt: 30/30. Cybersicherheitsbehörden bestätigt: 28/30. Die Angaben "à confirmer" (noch zu bestätigen) kennzeichnen eine bislang nicht stabilisierte offizielle Quelle.
Schreiben Sie uns für ein erstes Auftaktgespräch und ein individuelles, unverbindliches Angebot.
Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.
contact@syaga.eu