Guten Tag,
der April bringt Bewegung: Ein wegweisendes EuGH-Urteil verändert, wie Datenschutzbehörden künftig mit Verstößen umgehen — und was das für Ihr Unternehmen bedeutet, lesen Sie gleich. Dazu: Warum Ihr Verarbeitungsverzeichnis wahrscheinlich Lücken hat, wie Sie das in fünf Schritten beheben, und welche drei Datenschutz-Irrtümer ich immer wieder höre.
Alexander Kroes · Externer Datenschutzbeauftragter · Kufstein, Tirol
In dieser Ausgabe
EuGH-Urteil · C-741/21 · März 2026
Der Europäische Gerichtshof hat klargestellt: Stellt eine Datenschutzbehörde einen DSGVO-Verstoß fest, ist sie grundsätzlich verpflichtet, ein Bußgeld zu verhängen. Eine bloße Verwarnung oder Empfehlung genügt nur noch in begründeten Ausnahmefällen — und diese Ausnahme muss die Behörde aktiv begründen.
„Wer bisher auf die Kulanz der Behörde gehofft hat, sollte seine Datenschutzmaßnahmen jetzt überprüfen. Die Schonzeit ist vorbei."
Für österreichische und deutsche KMU heißt das konkret: Die Zeiten, in denen ein Behördenbrief mit einer freundlichen Empfehlung endete, sind vorbei. Fehlende Verarbeitungsverzeichnisse, lückenhafte Datenschutzerklärungen oder fehlende Auftragsverarbeitungsverträge sind die häufigsten Beanstandungen — und genau dort setzt die Behörde nun mit erhöhtem Nachdruck an.
Was das für Sie bedeutet
Interne Verteilerlisten, die unverschlüsselt weitergeleitet werden, verstoßen regelmäßig gegen Art. 32 DSGVO. Eine einfache Ende-zu-Ende-Verschlüsselung schafft Abhilfe.
Kameraüberwachung im Lager ist auch ohne Betriebsrat unter strengen Bedingungen zulässig — aber nur mit dokumentiertem Verdacht und verhältnismäßiger Dauer.
Viele Banner sind immer noch nicht konform. Entscheidend: Der "Ablehnen"-Button darf nicht versteckt oder kleiner gestaltet sein als "Zustimmen".
Behörden haben angekündigt, ab Sommer aktiv zu prüfen. Betroffene Unternehmen sollten ihre Meldewege und Sicherheitsmaßnahmen jetzt dokumentieren.
Schritt für Schritt
Das Verarbeitungsverzeichnis ist die Grundlage jeder DSGVO-Prüfung — und bei vielen KMU der erste Schwachpunkt. So machen Sie es sauber:
Vollständigkeit prüfen: Erfassen Sie alle Verarbeitungstätigkeiten — auch kleine wie die Visitenkartensammlung, den Bewerberpool oder das Newsletter-Tool.
Rechtsgrundlage benennen: Für jede Tätigkeit muss eine Rechtsgrundlage nach Art. 6 DSGVO dokumentiert sein. "Berechtigtes Interesse" reicht nur mit Interessenabwägung.
Löschfristen festlegen: Wann werden welche Daten gelöscht? Orientieren Sie sich an gesetzlichen Aufbewahrungsfristen und dokumentieren Sie die Entscheidung.
Auftragsverarbeiter eintragen: Cloud-Dienste, Buchhaltungssoftware, E-Mail-Anbieter — all das muss ins Verzeichnis, inklusive geschlossenem AVV.
Aktuell halten: Das Verzeichnis ist kein Einmal-Dokument. Bei jeder neuen Software oder Datennutzung sofort ergänzen und jährlich vollständig überprüfen.
DSGVO-Bußgelder 2025
Die europäischen Datenschutzbehörden haben 2025 erneut Rekordsummen verhängt. Ein Blick auf die Daten zeigt: Es trifft nicht nur Konzerne.
Falsch. Größe schützt nicht. Behörden reagieren auf Beschwerden — und die kommen häufiger von Mitarbeitenden oder Kunden als durch aktive Kontrollen. Ein einziges unzufriedenes ehemaliges Teammitglied reicht aus, um eine Prüfung auszulösen.
Eine Datenschutzerklärung ist nur ein kleiner Teil der DSGVO-Compliance. Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Schulungen, AVV mit Dienstleistern — all das gehört dazu. Die Erklärung auf der Website ist das Schaufenster, aber nicht das ganze Haus.
Gutes Datenschutzmanagement ist ein Wettbewerbsvorteil — besonders im B2B-Bereich. Immer mehr Auftraggeber verlangen Nachweise über Datenschutz-Compliance als Voraussetzung für die Zusammenarbeit. Und: Kunden vertrauen Unternehmen mehr, die transparent mit ihren Daten umgehen.
Datenschutz ist kein Hindernis für Ihr Geschäft. Er ist der Beweis, dass Sie Ihr Geschäft ernst nehmen.
Alexander Kroes · Externer Datenschutzbeauftragter
Newsflash – Jetzt anmelden · Für Inhaber, Geschäftsführungen und Verantwortliche
Monatlich: aktuelle News im Datenschutzrecht, praxisnahe Tipps für Ihr Unternehmen und Hinweise auf neue Bußgeldentscheidungen. Kompakt und garantiert ohne Juristendeutsch.
Jetzt kostenlos abonnierenKein Spam · Jederzeit abmeldbar · Kostenlos