Ein Sanitärbetrieb aus dem Raum Krefeld. Fünfzehn Mitarbeiter, gut ausgelastet, seit zwanzig Jahren am Markt. Im Sommer bemerkt eine Mitarbeiterin, dass der alte Laptop eines ausgeschiedenen Kollegen noch mit allen Kundendaten – Namen, Adressen, Telefonnummern, Auftragshistorie – im Büro herumsteht. Sie fragt beim Chef nach. Der winkt ab: „Ist doch nichts passiert."
Ein halbes Jahr später meldet sich die Landesdatenschutzbehörde. Jemand hat Beschwerde eingereicht. Der Laptop war in der Zwischenzeit bei einer Veranstaltung dabei – und kurzzeitig für Außenstehende zugänglich gewesen.
Was folgt, ist keine Katastrophe. Aber es ist teuer. Und vor allem: Es hätte sich mit wenig Aufwand verhindern lassen.
Wenn über DSGVO-Bußgelder gesprochen wird, fallen immer die großen Zahlen: 20 Millionen Euro, 4 % des weltweiten Jahresumsatzes. Das sind die theoretischen Obergrenzen für schwere Fälle – Google, Meta, große Konzerne. Für einen kleinen Betrieb in Mönchengladbach oder Viersen sieht die Realität anders aus. Aber günstiger ist sie nicht unbedingt.
Ebene 1: Das Bußgeld
Die deutschen Aufsichtsbehörden verhängen bei KMU in der Regel Bußgelder im vier- bis fünfstelligen Bereich. Das klingt überschaubar – bis es tatsächlich so weit ist. 3.000 bis 15.000 Euro für einen fehlenden Auftragsverarbeitungsvertrag, einen nicht benannten Datenschutzbeauftragten oder eine unzureichende Datenschutzerklärung: Das sind reale Beispiele aus der Prüfpraxis der Landesbeauftragten NRW. In schwereren Fällen, etwa wenn Patientendaten oder Beschäftigtendaten betroffen sind, steigen die Beträge deutlich.
Ebene 2: Anwalts- und Verfahrenskosten
Ein Bußgeld kommt selten allein. Wer sich gegen einen Bescheid wehren will, braucht Rechtsbeistand. Wer eine Datenpanne hat und diese korrekt melden muss, braucht rechtliche Beratung für die Kommunikation mit der Behörde. Und wer abgemahnt wird – etwa weil die Website nicht DSGVO-konform ist –, zahlt die Anwaltskosten des Abmahnenden gleich mit. Schnell kommen hier noch einmal mehrere Tausend Euro zusammen.
Ebene 3: Der Schaden, der nicht auf der Rechnung steht
Das ist die Ebene, die viele unterschätzen. Ein Vorfall wird bekannt – durch eine Kundenbeschwerde, durch eine Meldung in der Lokalpresse, durch eine Googlerezension. Was passiert dann? Kunden fragen sich, ob ihre Daten sicher sind. Geschäftspartner werden vorsichtig. Mitarbeiter verlieren Vertrauen. Der Schaden an der Reputation ist schwer zu beziffern – aber er ist real. Und er erholt sich langsamer als das Bankkonto.
Hier lohnt sich eine nüchterne Gegenrechnung. Ein externer Datenschutzbeauftragter kostet für einen kleinen Betrieb typischerweise einige Hundert Euro im Monat – je nach Unternehmensgröße und Paket. Auf das Jahr gerechnet sprechen wir von einem Betrag, der deutlich unter dem liegt, was ein einzelnes Bußgeld, eine Abmahnung oder ein Anwaltsbrief kosten kann.
Dazu kommt: Ein benannter DSB ist kein reiner Kostenpunkt. Er ist auch ein aktives Signal an Kunden, Geschäftspartner und Behörden, dass du das Thema ernst nimmst. Bei einer Prüfung – und die Landesbeauftragte NRW prüft aktiv auch kleinere Betriebe – macht es einen erheblichen Unterschied, ob ein Datenschutzbeauftragter vorhanden ist und Dokumentation vorliegt, oder ob man erst anfängt zu erklären.
Bei TemQ ist die Benennung ab Tag 1 offiziell – Bestellungsvertrag, Meldung an die Behörde, fertig. Danach arbeiten wir systematisch die offenen Punkte ab, mit einem DSM-Tool und einer fairen Monatspauschale.
Der Sanitärbetrieb aus dem Eingangsbeispiel hat am Ende ein Bußgeld bezahlt, das gut das Dreifache einer Jahrespauschale für einen externen DSB betragen hat. Nicht weil etwas Böses passiert wäre. Sondern weil niemand das Thema auf dem Schirm hatte.
Du willst nicht herausfinden, was ein Verstoß dich kostet – sondern es von vornherein verhindern? Dann lass uns reden. 30 Minuten, kostenlos, ohne Druck. 📞 02162 / 5472815 · 📧 kontakt@temq.de · → Kostenloses Erstgespräch
Manuel Forche · temq.de · Externer Datenschutzbeauftragter aus Viersen Für KMU in Viersen, Mönchengladbach, Krefeld und Erkelenz.
Ja. Die Landesbeauftragte NRW führt auch anlasslose Kontrollen durch und reagiert auf Beschwerden von Kunden oder Mitarbeitern. Gerade Beschwerden durch unzufriedene ehemalige Mitarbeiter sind ein häufiger Auslöser für Prüfverfahren – auch bei kleineren Betrieben in Viersen oder Krefeld.
Ja, Bußgeldbescheide können angefochten werden. Das kostet aber Zeit, Nerven und Anwaltsgebühren. Und die Chancen stehen besser, wenn man nachweisen kann, dass man aktiv an der Compliance gearbeitet hat – also wenn ein DSB vorhanden war, Dokumentation existiert und Maßnahmen ergriffen wurden.
Eigenverantwortliches Handeln wird von Behörden in der Regel positiv gewertet. Wer eine Datenpanne selbst meldet (Pflicht innerhalb von 72 Stunden, Art. 33 DSGVO) und gleichzeitig zeigen kann, dass Vorkehrungen getroffen waren, kommt oft mit milderen Konsequenzen davon als jemand, bei dem der Verstoß durch eine externe Beschwerde auffliegt.
Das hängt von der Rechtsform und dem Einzelfall ab. Bei Kapitalgesellschaften haftet zunächst das Unternehmen. Aber auch persönliche Haftung der Geschäftsführung ist in bestimmten Konstellationen möglich – etwa wenn grob fahrlässig gehandelt wurde. Das ist ein Grund mehr, das Thema nicht auf die lange Bank zu schieben.
Das ist verständlich. Das Thema hat viele Facetten, und kein kleiner Betrieb kann alles auf einmal in Ordnung bringen. Entscheidend ist, dass du anfängst – mit den wichtigsten Punkten zuerst. Genau dabei helfe ich: strukturiert, pragmatisch und ohne Panik.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.