DSGVO für Kleinunternehmen und Vereine — die praktische Checkliste 2026

Die DSGVO gilt für alle — vom Einpersonen­unternehmen bis zum Verein mit fünfhundert Mitgliedern. Das größte Missverständnis ist „wir sind zu klein, das betrifft uns nicht“. Doch — es betrifft Sie. Für kleine Organisationen sind die Regeln aber meist einfacher als gedacht.

Was die DSGVO wirklich verlangt — die Kurzfassung

1. Sie dürfen nur Daten erheben, für die Sie eine Rechtsgrundlage haben
2. Sie müssen sagen können, was Sie haben, warum, wo es liegt und wer Zugriff hat
3. Betroffene haben Rechte — Auskunft, Berichtigung, Löschung
4. Sie müssen Daten technisch schützen — Verschlüsselung, Zugriffssteuerung, sichere Anmeldung
5. Bei einer Datenpanne müssen Sie binnen 72 Stunden die zuständige Aufsichtsbehörde (in Deutschland die Landesdatenschutzbehörde, bundesweit BfDI) informieren

Die Checkliste — 12 Punkte

1. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Pflicht für alle Unternehmen ab 250 Mitarbeitern und für alle Verarbeitungen mit Risiko. Praktisch: führen Sie es auch in kleineren Strukturen — die Aufsichtsbehörden fragen oft danach. Tabelle: was / warum / wo / wie lange.

2. Rechtsgrundlage für jede Kategorie

• Vertrag — E-Mail-Adresse zum Versand der Rechnung
• Berechtigtes Interesse — Sicherheits­protokolle
• Einwilligung — Newsletter, Werbung
• Rechtliche Verpflichtung — Aufbewahrung nach HGB/AO (10 Jahre)

3. Datenschutzerklärung auf der Website

Eine bis zwei Seiten reichen. Unsere Datenschutzerklärung als Vorlage.

4. Cookie-Banner

Werbe-Cookies erfordern ausdrückliche Einwilligung (Urteil EuGH „Planet49“ 2019, BGH I ZR 7/16). Funktionale Cookies dürfen ohne Einwilligung geladen werden. Google CMP oder Usercentrics lösen das.

5. Sicherer Umgang

• Keine geteilten Konten
• 2FA überall, wo möglich
• Keine personenbezogenen Daten in E-Mail-Anhängen
• Passwort-Manager für das Team

6. Auftragsverarbeitungsverträge (AVV)

Für jeden externen Dienst mit Personendaten brauchen Sie einen AVV nach Art. 28 DSGVO. Die meisten modernen SaaS bieten Klick-AVV (z. B. Google, Stripe, 1invoice.online).

7. Plan für Auskunftsanfragen

Sie haben einen Monat (DSGVO Art. 12.3). Prozess vorbereiten: wer empfängt die Anfrage, wie wird exportiert, Antwortvorlage.

8. Datenschutzpanne — Meldepflicht 72 Stunden

Innerhalb von 72 Stunden: Meldung an die zuständige Landesdatenschutzbehörde (z. B. LDA Bayern, LfDI Baden-Württemberg). Bei hohem Risiko zusätzlich Information der Betroffenen.

9. Datenminimierung — löschen, was nicht mehr nötig ist

• Rechnungsdaten: 10 Jahre (HGB §257, AO §147)
• Inaktive Mitglieder: 1–3 Jahre
• Newsletter-Empfänger: max. 12 Monate ohne Interaktion
• Logs: 30–90 Tage

10. Vereinsregister

Das Mitgliederverzeichnis ist erforderlich zur Erfüllung des Mitgliedschaftsvertrags. Nur Notwendiges speichern — Name, Kontakt, Mitgliedskategorie. Keine Gesundheitsdaten oder politischen Ansichten (besondere Kategorien, Art. 9 DSGVO).

11. Backups und Löschung

Datenlöschung muss auch Backups erfassen. 30–90 Tage rotierendes Backup sind üblich.

12. Rechenschaftspflicht — alles dokumentieren

Art. 5(2) DSGVO: Sie müssen Compliance nachweisen können. Eine interne Policy-Datei reicht.

Brauchen wir einen Datenschutzbeauftragten (DSB)?

In Deutschland: Pflicht ab 20 Mitarbeitenden, die regelmäßig personenbezogene Daten verarbeiten (§38 BDSG). Auch bei Kerntätigkeit mit besonderen Daten unabhängig von der Größe. Kleinunternehmen unter 20 Mitarbeitenden: meist nicht erforderlich.

Wie 1invoice.online hilft

• EU-Hosting (Supabase Frankfurt)
• Verschlüsselte Speicherung + TLS 1.3
• Row-Level Security — Mandantenisolation
• Ein-Klick-Export als CSV+JSON ZIP
• Magic-Link-Anmeldung — keine Passwörter

Kostenloses Konto erstellen und mehrere Punkte heute abhaken.