Automatisierung im Mittelstand: Datenschutz ohne Konzern-IT

Automatisierung im Mittelstand scheitert selten an der Technik — Abläufe zwischen Formular, CRM und Buchhaltung sind schnell gebaut. Sie scheitert eher an der Frage, die danach kommt: Wer prüft eigentlich, ob das alles datenschutzkonform ist? Die gute Nachricht: Die DSGVO verlangt vom zehnköpfigen Betrieb dieselben Grundsätze wie vom Konzern, aber nicht denselben Apparat. Mit der richtigen Tool-Auswahl und drei schlanken Prozessen erfüllen Sie die Anforderungen ohne eigene Rechtsabteilung. Dieser Beitrag zeigt, wie.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Warum trifft das Thema den Mittelstand besonders?

Im Konzern prüft ein Team aus Datenschutzbeauftragten, Einkauf und IT-Sicherheit jedes neue Tool, verhandelt Verträge und pflegt die Dokumentation. Im Mittelstand macht das — neben allem anderen — oft eine einzige Person: die Geschäftsführung, die IT-Leitung oder ein extern bestellter Datenschutzbeauftragter mit begrenztem Stundenkontingent.

Gleichzeitig sind die Pflichten nicht kleiner. Auftragsverarbeitungsverträge nach Art. 28 DSGVO, das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, technische und organisatorische Maßnahmen, Betroffenenrechte — all das gilt unabhängig von der Unternehmensgröße. Der Unterschied liegt allein darin, wie viel Aufwand die Erfüllung kostet. Und genau dieser Aufwand ist keine Konstante: Er hängt fast vollständig davon ab, welche Anbieter Sie wählen.

Welche Datenschutz-Anforderungen gelten unabhängig von der Größe?

Vier Bausteine bilden das Fundament — sie sind überschaubar, wenn man sie beim Namen nennt:

• AV-Vertrag mit jedem Dienstleister, der personenbezogene Daten für Sie verarbeitet. Bei SaaS ist das die Regel; was in den Vertrag gehört, zeigt der Beitrag zum AV-Vertrag bei SaaS-Tools.
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): eine strukturierte Übersicht, welche Daten Sie zu welchem Zweck mit welchen Empfängern verarbeiten. Für die Automatisierung heißt das meist nur, bestehende Einträge zu ergänzen.
• Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Zugriffskontrolle, Verschlüsselung, Backups. Den Großteil erbringt bei SaaS der Anbieter — Ihre Aufgabe ist, seine TOM zu prüfen und die eigenen Zugänge sauber zu verwalten.
• Prozesse für Betroffenenrechte: Auskunft, Berichtigung, Löschung. Sie brauchen keinen Konzernprozess, aber eine klare Antwort auf die Frage, wo die Daten einer Person liegen und wie sie gelöscht werden.

Nichts davon erfordert eine Rechtsabteilung. Alles davon wird mühsam, wenn Anbieter die nötigen Dokumente nicht liefern oder die Verarbeitungskette unübersichtlich ist.

Wie erfüllen Sie die Anforderungen ohne eigene Rechtsabteilung?

Wählen Sie Anbieter, die die Dokumente mitliefern

Die effizienteste Datenschutz-Maßnahme im Mittelstand ist eine Einkaufsentscheidung. Ein Anbieter, der einen fertigen AV-Vertrag, eine öffentliche Unterauftragsverarbeiter-Liste und dokumentierte TOM bereitstellt, erledigt den Papierteil Ihrer Pflichten weitgehend mit. Einer, bei dem Sie Dokumente anfordern, prüfen und nachverhandeln müssen, kostet Sie genau die Stunden, die Sie nicht haben. Machen Sie die Verfügbarkeit dieser Dokumente zum K.-o.-Kriterium — noch vor Funktionsumfang und Preis.

Bevorzugen Sie EU-Verarbeitung, um Prüfaufwand zu vermeiden

Jeder Dienst außerhalb der EU bringt Zusatzarbeit mit: Übermittlungsgarantien nach Art. 44 ff. DSGVO, eine Bewertung der Rechtslage im Drittland, laufende Beobachtung. Konzerne haben dafür Fachabteilungen; im Mittelstand ist der einfachere Weg, die Frage zu vermeiden, wo es geht — durch Anbieter, die in der EU verarbeiten. Was sonst zu prüfen wäre, zeigt der Beitrag zur DSGVO-konformen Automatisierung.

Standardisieren Sie, statt Einzelfälle zu prüfen

Drei schlanke Regeln ersetzen im Alltag viele Einzelentscheidungen. Erstens: Neue Abläufe übergeben nur die Felder, die gebraucht werden — Datenminimierung als Bauprinzip statt als Nachkontrolle. Zweitens: Zugänge laufen über den zentralen Unternehmens-Login (SSO), damit Berechtigungen beim Ausscheiden automatisch enden. Drittens: Jeder neue Ablauf mit einer neuen Datenkategorie wird kurz im Verzeichnis nach Art. 30 vermerkt. Wer diese drei Regeln einhält, hat den Alltag geregelt und muss nur noch Ausnahmen diskutieren — etwa den ersten KI-Schritt in einem Workflow.

Schreiben Sie die drei Regeln dorthin, wo Abläufe gebaut werden — als kurze interne Notiz, nicht als Richtlinien-Dokument, das niemand öffnet. Datenschutz funktioniert im Mittelstand dann am besten, wenn er im Arbeitsfluss steht statt daneben.

Ein Beispiel: derselbe Ablauf, zwei Aufwände

Wie stark die Tool-Auswahl den Aufwand bestimmt, zeigt ein alltäglicher Ablauf: Eine Formularantwort mit Name und E-Mail-Adresse wird ins CRM übernommen, kategorisiert und dem Vertrieb gemeldet. Mit einem EU-Anbieter, der AV-Vertrag und Unterauftragsverarbeiter-Liste bereitstellt, besteht die Datenschutz-Arbeit aus drei Handgriffen: Vertrag ablegen, Verzeichnis-Eintrag ergänzen, Felder im Ablauf auf das Nötige beschränken — eine Stunde, einmalig.

Derselbe Ablauf auf einer US-Plattform mit undokumentierter Kette bedeutet: Übermittlungsgarantien prüfen, die Rechtslage bewerten und beides bei jeder Änderung der Liste erneut — wiederkehrende Arbeit ohne Ende. Der Ablauf ist identisch, die Compliance-Rechnung nicht. Genau an dieser Stelle entscheidet der Mittelstand über seinen Datenschutz-Aufwand: nicht beim Bauen der Abläufe, sondern beim Auswählen der Plattform.

Holen Sie sich punktuell externe Unterstützung

Ohne Konzern-IT heißt nicht ohne Fachwissen. Ein extern bestellter Datenschutzbeauftragter oder eine punktuelle Beratung ist gut investiert, wenn es um sensible Datenkategorien, Beschäftigtendaten oder die erste Datenschutz-Folgenabschätzung geht. Der Unterschied zur Konzernwelt: Sie kaufen Stunden für die schwierigen fünf Prozent, nicht einen Apparat für die einfachen fünfundneunzig. Und je besser Ihre Anbieter dokumentiert sind, desto weniger dieser Stunden verbraucht die Routine — die Beratung kann sich dann auf die Fragen konzentrieren, die tatsächlich Ihr Unternehmen betreffen, statt Standarddokumente zusammenzusuchen.

Was kostet DSGVO-konforme Automatisierung im Mittelstand?

Weniger, als die Compliance-Aura vermuten lässt — wenn das Preismodell zum Mittelstand passt. Zwei Eigenschaften zählen: Planbarkeit, weil Budgets einmal im Jahr festgelegt werden, und der Verzicht auf Aufpreise für Grundfunktionen der Sicherheit. Verbreitet ist leider das Gegenteil: SSO, Audit-Logs oder der AV-Vertrag liegen hinter „Enterprise"-Tarifen, deren Preis auf Anfrage beginnt. Datenschutz wird so zum Aufpreisprodukt.

Zauberflow setzt bewusst dagegen: ein Festpreis ohne Task-Limit — 19 € pro Monat im Tarif Pro, 79 € pro Monat im Tarif Business, jeweils jährlich und netto zzgl. USt. SSO über Google oder Microsoft ist in allen Tarifen enthalten, nicht erst ab Konzerngröße. Der Business-Tarif ergänzt, was nachweispflichtige Umgebungen brauchen: Audit-Log, AV-Vertrag und ein SLA für die EU-Datenresidenz — gehostet wird ohnehin bei netcup in Nürnberg. Die Details stehen auf der Preisseite; testen können Sie 14 Tage kostenlos, ohne Kreditkarte.

Häufige Fragen

Brauchen wir als kleines Unternehmen einen Datenschutzbeauftragten?

Nicht jedes Unternehmen muss einen benennen — die Pflicht hängt unter anderem davon ab, wie viele Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind und ob besonders sensible Verarbeitungen stattfinden. Unabhängig von der Benennungspflicht gelten die materiellen Pflichten der DSGVO aber vollständig; im Zweifel klärt eine kurze externe Beratung die Frage abschließend.

Gilt das Verzeichnis von Verarbeitungstätigkeiten auch für kleine Betriebe?

Die Ausnahme des Art. 30 Abs. 5 DSGVO für Unternehmen unter 250 Mitarbeitenden ist schmaler, als sie klingt: Sie greift nicht bei regelmäßiger Verarbeitung — und die liegt bei CRM, Newsletter oder Automatisierung praktisch immer vor. Planen Sie das Verzeichnis also ein; gut geführt ist es ohnehin Ihre beste Übersicht über die eigenen Datenflüsse.

Reicht es, wenn unser Automatisierungs-Anbieter DSGVO-konform ist?

Der Anbieter liefert die Grundlage — Verträge, Sicherheit, EU-Verarbeitung —, aber die Verantwortung für die Abläufe bleibt bei Ihnen: welche Daten hineinfließen, zu welchem Zweck, wie lange Protokolle aufbewahrt werden. Konform ist am Ende nicht das Tool, sondern Ihre Nutzung des Tools.

Was ist der häufigste Datenschutz-Fehler bei der Einführung von Automatisierung?

Der Klassiker ist unspektakulär: Es fehlt der AV-Vertrag, weil das Tool „nur mal eben ausprobiert" und dann produktiv weiterverwendet wurde. Der zweite Platz gehört Abläufen, die ganze Datensätze durch alle Schritte reichen, obwohl zwei Felder genügt hätten. Beides ist mit einer halben Stunde Sorgfalt bei der Einführung vermeidbar.