In einem kleinen Maschinenbaubetrieb wird eine Kundendatei in Excel gepflegt. Die Personalabteilung verwaltet Bewerbungen und Krankmeldungen. Auf der Webseite gibt es ein Kontaktformular und ein Statistik-Tool, der Vertrieb speichert Ansprechpartner bei Geschäftskunden, und ein Cloud-Dienstleister stellt die zentrale Projektplattform bereit. Irgendwann steht die Frage im Raum: Gilt die DSGVO hier überhaupt? Schließlich handelt es sich nicht um einen Online-Konzern, sondern um ein ganz normales Unternehmen.
Genau hier liegt eines der häufigsten Missverständnisse im Datenschutzrecht. Die DSGVO gilt nicht nur für große Internetplattformen oder Unternehmen, die „mit Daten handeln“. Sie gilt immer dann, wenn personenbezogene Daten verarbeitet werden – unabhängig von Größe, Branche oder Geschäftsmodell. Ob die DSGVO anwendbar ist, lässt sich im Kern an drei Fragen festmachen: Geht es um personenbezogene Daten? Werden diese Daten verarbeitet? Und fällt die Verarbeitung sachlich und räumlich unter die DSGVO?
Personenbezogene Daten: Der Ausgangspunkt jeder Prüfung
Die DSGVO gilt nur, wenn personenbezogene Daten betroffen sind. Nach Art. 4 Nr. 1 DSGVO sind das alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – etwa über Namen, Kennnummer, Standortdaten, Online-Kennung oder andere Merkmale. In der Praxis ist dieser Begriff deutlich weiter, als viele zunächst vermuten: Er umfasst nicht nur Namen und Kontaktdaten, sondern auch IP-Adressen, Cookie-IDs, Fotos und Videoaufnahmen, auf denen Personen erkennbar sind, Kfz-Kennzeichen oder Gesprächsnotizen aus dem Support.
Wichtig ist dabei die Unterscheidung: Die DSGVO schützt natürliche Personen, also Menschen. Reine Unternehmensdaten einer GmbH, etwa die allgemeine Firmenadresse oder die Handelsregisternummer, sind für sich genommen keine personenbezogenen Daten. Anders sieht es aber aus, sobald in der Kommunikation konkrete Ansprechpartner auftauchen – eine persönliche E-Mail-Adresse, eine Durchwahl oder eine Gesprächsnotiz zu einer bestimmten Person. Gerade im B2B-Bereich entsteht deshalb häufig der Irrtum, die DSGVO spiele keine Rolle, weil nur mit Unternehmen gearbeitet werde. Tatsächlich verarbeitet fast jedes B2B-Unternehmen personenbezogene Daten: Ansprechpartner im Einkauf, technische Projektleiter, Geschäftsführer oder Ansprechpartner bei Lieferanten sind allesamt natürliche Personen.
Was bedeutet „Verarbeitung“?
Der zweite zentrale Begriff ist die Verarbeitung, und auch dieser ist bewusst weit gefasst. Art. 4 Nr. 2 DSGVO nennt unter anderem das Erheben, Speichern, Verwenden, Übermitteln und Löschen personenbezogener Daten. Das bedeutet: Verarbeitung beginnt nicht erst bei komplizierter Datenanalyse, sondern schon bei ganz alltäglichen Vorgängen. Wenn ein Kunde seine Daten in ein Kontaktformular einträgt, ein Mitarbeiter einen neuen Kontakt im CRM anlegt oder die Buchhaltung Lohndaten an den Steuerberater übermittelt, handelt es sich jeweils bereits um eine Verarbeitung im Sinne der DSGVO. Sogar das Löschen alter Kundendaten zählt dazu – was auf den ersten Blick ungewöhnlich klingt, aber praktisch wichtig ist: Auch der Löschvorgang muss nachvollziehbar und sicher organisiert sein.
Der sachliche Anwendungsbereich: Digital und auf Papier
Nach Art. 2 Abs. 1 DSGVO gilt die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung, die in einem Dateisystem gespeichert ist oder gespeichert werden soll. Automatisierte Verarbeitung liegt praktisch immer dann vor, wenn IT-Systeme im Spiel sind – vom E-Mail-Postfach über das CRM-System bis zur einfachen Excel-Liste. Sobald personenbezogene Daten digital verarbeitet werden, ist der sachliche Anwendungsbereich der DSGVO also in aller Regel eröffnet.
Weniger bekannt ist, dass die DSGVO auch für Papierunterlagen gilt, wenn diese in einem strukturierten Dateisystem abgelegt sind – etwa alphabetisch sortierte Kundenordner oder Personalakten in einem Aktenschrank. Der Europäische Gerichtshof hat diesen Begriff in seinem Urteil zu den Zeugen Jehovas (C-25/17) bewusst weit ausgelegt: Entscheidend ist nicht eine besonders technische Ablagestruktur, sondern allein, ob die Daten so strukturiert sind, dass bestimmte Personen darin gezielt auffindbar sind. Für Unternehmen bedeutet das: Papier ist kein datenschutzfreier Raum. Wer Personalakten oder Kundenordner geordnet ablegt, bewegt sich damit regelmäßig im Anwendungsbereich der DSGVO.
Eine praktisch bedeutsame Ausnahme enthält Art. 2 Abs. 2 DSGVO für ausschließlich persönliche oder familiäre Tätigkeiten – die sogenannte Haushaltsausnahme. Ein privates Adressbuch oder Fotos im Urlaubsalbum fallen darunter. Für Unternehmen hilft diese Ausnahme aber praktisch kaum weiter, da geschäftliche Tätigkeiten gerade nicht ausschließlich privat sind. Wie eng diese Ausnahme auszulegen ist, zeigt die Entscheidung des Europäischen Gerichtshofs in der Rechtssache Ryneš (C-212/13): Schon eine private Videokamera am eigenen Wohnhaus fällt nicht mehr unter die Haushaltsausnahme, sobald sie auch öffentlichen Raum erfasst. Für Unternehmen gilt das erst recht – Videoüberwachung im Eingangsbereich, Kundenkommunikation oder Mitarbeiterverwaltung lassen sich nie mit der Haushaltsausnahme rechtfertigen.
Der räumliche Anwendungsbereich: Wer fällt unter die DSGVO?
Neben der Frage, welche Verarbeitungen erfasst werden, regelt Art. 3 DSGVO, wer räumlich unter die Verordnung fällt. Die DSGVO gilt zunächst für jede Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der EU – unabhängig davon, ob die technische Verarbeitung selbst innerhalb der Union stattfindet. Praktisch heißt das: Ein Unternehmen mit Sitz in Deutschland fällt bei seinen geschäftlichen Datenverarbeitungen grundsätzlich unter die DSGVO, auch wenn der Server in den USA steht oder ein Cloud-Anbieter aus einem Drittland eingesetzt wird. Der Ort der technischen Verarbeitung allein entscheidet also nicht über die Anwendbarkeit.
Darüber hinaus erweitert Art. 3 Abs. 2 DSGVO den Anwendungsbereich auf Unternehmen ganz ohne Niederlassung in der EU – das sogenannte Marktortprinzip. Wer als Anbieter aus einem Drittland gezielt Personen in der EU Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, etwa durch Tracking-Cookies oder Profilbildung, fällt ebenfalls unter die DSGVO. Anhaltspunkte für ein gezieltes Angebot sind zum Beispiel die Verwendung einer EU-Sprache oder -Währung, Werbung mit europäischen Kunden oder länderspezifische Domains. Die bloße technische Abrufbarkeit einer Webseite aus der EU reicht dafür allein nicht aus. Wie ernst die Aufsichtsbehörden diese Reichweite nehmen, zeigt das Verfahren gegen Clearview AI: Die französische Datenschutzaufsicht (Beschluss SAN-022-019) verhängte gegen das US-Unternehmen ein Bußgeld von 20 Millionen Euro, weil es personenbezogene Daten von Personen in der EU verarbeitet hatte, ohne selbst dort ansässig zu sein.
Typische Irrtümer in der Praxis
In der Beratungspraxis begegnen einem regelmäßig dieselben Denkfehler. Die DSGVO enthält keine allgemeine Kleinunternehmer-Ausnahme – ein kleines Unternehmen kann genauso personenbezogene Daten verarbeiten wie ein Großkonzern, Unterschiede ergeben sich allenfalls beim Umfang der Pflichten. Auch der Hinweis „wir machen nur B2B“ trägt nicht, da auch dort Ansprechpartner, Einkäufer und Geschäftsführer als natürliche Personen erfasst werden. Ebenso wenig schützt es vor der DSGVO, wenn der Server im Ausland steht oder ein Dienstleister die technische Verarbeitung übernimmt: Das Unternehmen bleibt für seine eigene Verarbeitung in aller Regel Verantwortlicher und kann sich nicht allein auf den Dienstleister berufen.
Zusammenfassung
Der Anwendungsbereich der DSGVO ist weit, aber gut beherrschbar. In der Praxis gilt sie immer dann, wenn ein Unternehmen personenbezogene Daten automatisiert oder in strukturierten Ablagen verarbeitet und ein ausreichender Bezug zur EU besteht – und das betrifft praktisch jedes Unternehmen, das Kunden verwaltet, Mitarbeiter beschäftigt, Bewerbungen bearbeitet oder eine Webseite betreibt. Der entscheidende erste Schritt ist deshalb keine abstrakte Rechtsfrage, sondern eine klare Bestandsaufnahme: Welche personenbezogenen Daten werden im Alltag verarbeitet, zu welchem Zweck, mit welchen Systemen und durch welche Beteiligten? Aus dieser Übersicht ergibt sich meist sehr schnell, ob die DSGVO anwendbar ist und welche praktischen Maßnahmen als Nächstes anstehen.
Autorin
Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
