⚖️ Kostenlose Checkliste

DSGVO-Basis-Checkliste für KMUs

43 Pflichtpunkte und Empfehlungen für einen rechtssicheren Datenschutz in Ihrem Unternehmen.

📋 43 Punkte € Bußgelder bis 20 Mio. € 📅 Stand: 2026 🔒 DSGVO-konform

⚠️

Wichtiger Hinweis

Diese Checkliste bietet eine praktische Übersicht — sie ersetzt keine individuelle Rechtsberatung. Bei Unsicherheiten empfehlen wir die Rücksprache mit einem Datenschutzbeauftragten.

Erledigt: 0 von 43

📜

Rechtliche Grundlagen

8 Punkte

Datenschutzbeauftragter (DSB) bestellt oder geprüft ob Pflicht besteht

Pflicht ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten. Bei sensiblen Daten bereits früher.

PflichtBußgeldrisiko

Verzeichnis der Verarbeitungstätigkeiten (VVT) erstellt

DSGVO Art. 30: Dokumentiert welche Daten zu welchem Zweck verarbeitet werden. Pflicht für alle Unternehmen.

PflichtBußgeldrisiko

Rechtsgrundlage für jede Datenverarbeitung dokumentiert

Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse (Art. 6 DSGVO) — für jeden Zweck belegt.

Pflicht

Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen

Pflicht bei Videoüberwachung, biometrischen Daten, systematischer Profilerstellung und ähnlichen Risiken.

Bei Bedarf

Einwilligungen dokumentiert und widerrufbar

Jede Einwilligung muss freiwillig, informiert und nachweisbar sein. Widerruf muss so einfach sein wie die Einwilligung.

PflichtBußgeldrisiko

Datenschutzrichtlinie intern für Mitarbeiter erstellt

Interne Richtlinien zu erlaubter Datennutzung, BYOD, E-Mail-Nutzung und Datenschutz am Arbeitsplatz.

Empfohlen

Aufbewahrungsfristen definiert und umgesetzt

GoBD: 10 Jahre für Buchungsbelege, 6 Jahre für Geschäftsbriefe. Datenschutz: so kurz wie möglich.

Pflicht

Löschkonzept erstellt und umgesetzt

Wann werden welche Daten gelöscht? Technische und organisatorische Umsetzung dokumentiert.

Empfohlen

🌐

Website & Online-Präsenz

9 Punkte

Aktuelle Datenschutzerklärung auf der Website

Vollständig, aktuell, gut erreichbar (Footer). Alle Dienste (Analytics, Fonts, CDN etc.) aufgeführt.

PflichtBußgeldrisiko

Cookie-Banner DSGVO-konform implementiert

Opt-in (nicht Opt-out) für nicht notwendige Cookies. Ablehnen muss so einfach sein wie Zustimmen.

PflichtBußgeldrisiko

Keine US-Dienste ohne angemessenes Schutzniveau

Google Analytics, Facebook Pixel, Google Fonts via CDN = problematisch. EU-Alternativen nutzen oder selbst hosten.

PflichtBußgeldrisiko

SSL/TLS auf allen Websites aktiv (HTTPS)

Verschlüsselte Übertragung ist technische Pflichtmaßnahme (Art. 32 DSGVO).

Pflicht

Kontaktformulare datenschutzkonform (Hinweis + Mindestfelder)

Nur notwendige Felder abfragen. Datenschutzhinweis mit Checkbox vor Absenden. Kein Tracking im Formular.

Pflicht

Impressumspflicht erfüllt

Vollständiges Impressum mit Verantwortlichem, Adresse, Kontakt, ggf. Handelsregisternummer.

Pflicht

Newsletter mit Double-Opt-in und Abmeldemöglichkeit

Jede Newsletter-E-Mail braucht Abmeldelink. Einwilligung nachweisbar (Timestamp, IP).

Pflicht

Social-Media-Präsenz in Datenschutzerklärung erwähnt

Facebook-/Instagram-/LinkedIn-Seite = gemeinsame Verantwortlichkeit. Muss dokumentiert sein.

Empfohlen

Web-Analytics DSGVO-konform oder deaktiviert

Matomo (self-hosted, ohne Cookies) oder vollständiger Verzicht. Google Analytics 4 ohne Einwilligung = rechtswidrig.

Empfohlen

👨‍💼

Mitarbeiter & Prozesse

8 Punkte

Mitarbeiter auf Datengeheimnis verpflichtet

Schriftliche Verpflichtungserklärung für alle Mitarbeiter mit Zugang zu personenbezogenen Daten.

Pflicht

Datenschutz-Schulungen regelmäßig durchgeführt

Mindestens jährlich. Neue Mitarbeiter bei Einstieg. Teilnahme dokumentieren.

Empfohlen

Bewerber-Datenschutz: Daten nach Absage gelöscht

Bewerbungsunterlagen spätestens nach 6 Monaten löschen (oder kürzer per Einwilligung für Bewerberpool).

Pflicht

Personalakte: Nur notwendige Daten, Zugriff beschränkt

Keine Gesundheitsdaten ohne explizite Einwilligung. Zugriff nur für HR und direkte Vorgesetzte.

Pflicht

Clean-Desk-Policy implementiert

Keine Dokumente mit personenbezogenen Daten offen auf Schreibtischen. Bildschirm sperren beim Verlassen.

Empfohlen

Druckerzugang geregelt (keine sensiblen Ausdrucke frei zugänglich)

Vertrauliche Dokumente sofort mitnehmen. Drucker nicht im öffentlich zugänglichen Bereich.

Empfohlen

Prozess für Betroffenenrechte definiert

Wer beantwortet Auskunft, Löschung, Berichtigung? 1-Monats-Frist (DSGVO Art. 12). Zuständigkeit dokumentiert.

PflichtBußgeldrisiko

Homeoffice-Regelung mit Datenschutzvorgaben

VPN-Pflicht, verschlüsselte Geräte, kein privater Drucker für dienstliche Dokumente.

Empfohlen

🤝

Auftragsverarbeitung (AVV)

6 Punkte

AVV mit allen Auftragsverarbeitern abgeschlossen

Cloud-Dienste, IT-Dienstleister, Steuerberater, Newsletter-Tool, Buchhaltungssoftware — alle brauchen einen AVV.

PflichtBußgeldrisiko

Liste aller Auftragsverarbeiter gepflegt

Übersicht: Dienstleister, verarbeitete Datenkategorien, Sitz des Unternehmens (EU/Drittland).

Empfohlen

AVVs mit US-Diensten auf Rechtsgrundlage geprüft

EU-US Data Privacy Framework (seit 2023) oder Standardvertragsklauseln (SCCs). Kein AVV allein genügt.

Pflicht

IT-Dienstleister: AVV + TOM-Nachweis vorliegend

Technische und organisatorische Maßnahmen (TOM) des Dienstleisters müssen dokumentiert sein.

Pflicht

Steuerberater/WP: AVV abgeschlossen

Auch Steuerberater sind Auftragsverarbeiter wenn sie Zugang zu Mitarbeiterdaten oder Kundendaten haben.

Pflicht

AVVs jährlich auf Aktualität geprüft

Neue Dienste ergänzen, weggefallene Dienstleister entfernen, geänderte Konditionen prüfen.

Empfohlen

🔐

Technische Maßnahmen (TOM)

7 Punkte

Zugangskontrolle: Nur Berechtigte haben Systemzugang

Unique User Accounts, keine gemeinsamen Passwörter, Ausgeschiedene sofort deaktivieren.

Pflicht (Art. 32)

Verschlüsselung sensitiver Daten (at rest & in transit)

Festplattenverschlüsselung (BitLocker), verschlüsselte E-Mails bei sensiblen Inhalten, HTTPS überall.

Pflicht (Art. 32)

Datensicherung regelmäßig und geprüft

Tägliches Backup, externe Kopie, Restore-Test mindestens jährlich.

Pflicht (Art. 32)

Protokollierung von Zugriffen auf sensible Daten

Wer hat wann auf welche Kundendaten zugegriffen? Audit-Logs aktiviert und aufbewahrt.

Empfohlen

TOM-Dokument erstellt und aktuell

Formelle Dokumentation aller technischen und organisatorischen Sicherheitsmaßnahmen für Prüfzwecke.

Pflicht

Sichere Löschung bei Geräteentsorgung

Festplatten sicher wischen (DBAN, zertifizierte Entsorgung) oder physisch vernichten vor Weitergabe.

Pflicht

Privacy by Design bei neuen Projekten/Systemen

Datenschutz von Anfang an einplanen — nicht nachträglich ergänzen. Datensparsamkeit als Standard.

Pflicht (Art. 25)

🚨

Datenpannen & Betroffenenrechte

5 Punkte

Meldeprozess für Datenpannen definiert (72-Stunden-Frist!)

Bei Datenschutzverletzung: Meldung an Aufsichtsbehörde binnen 72 Stunden. Zuständigkeit und Meldeweg dokumentiert.

PflichtBußgeldrisiko

Zuständige Aufsichtsbehörde bekannt

In Berlin: Berliner Beauftragte für Datenschutz. Kontaktdaten intern dokumentiert.

Pflicht

Datenpannen-Register gepflegt

Alle Vorfälle dokumentieren — auch wenn keine Meldepflicht ausgelöst wurde (Art. 33 DSGVO).

Pflicht

Auskunftsanfragen-Prozess: Identität prüfen vor Auskunft

Identität des Antragstellers verifizieren bevor Daten herausgegeben werden. Keine Daten an Dritte.

Pflicht

Löschungsanfragen zeitnah und vollständig umgesetzt

"Recht auf Vergessenwerden" (Art. 17): In allen Systemen löschen — CRM, E-Mail-Archiv, Backups nach Zyklus.

Pflicht

📋 Ihr DSGVO-Status

Pflichtpunkte erfüllt

Bußgeldrisiken offen

Gesamt erfüllt

Datenschutz lückenlos umsetzen?

Manthey EDV Beratung hilft KMUs in Berlin beim DSGVO-konformen IT-Betrieb — von der technischen Umsetzung bis zur Dokumentation.

📞 Kostenloses Erstgespräch

📧 Ergebnis per E-Mail erhalten

Wir senden Ihnen Ihren DSGVO-Status mit den dringlichsten Massnahmen fuer Ihr Unternehmen.

✓ Danke! Ihr Ergebnis ist unterwegs.

Fehler beim Senden. Bitte schreiben Sie uns direkt: info@manthey-edv-beratung.de

Kein Spam. DSGVO-konform. Jederzeit abbestellbar.

DSGVO-Basis-Checkliste

DSGVO-Basis-Checkliste für KMUs

Wichtiger Hinweis

Rechtliche Grundlagen

Website & Online-Präsenz

Mitarbeiter & Prozesse

Auftragsverarbeitung (AVV)

Technische Maßnahmen (TOM)

Datenpannen & Betroffenenrechte

📋 Ihr DSGVO-Status

Datenschutz lückenlos umsetzen?

Kurz noch — ist Ihr M365 wirklich sicher?

Vielen Dank!