Brauchen Sie einen Datenschutzbeauftragten für einen kleinen Salon, eine Praxis oder ein Geschäft? Klare Kriterien, ohne Panik

Hat Ihnen jemand gesagt: „Wenn Sie Kunden haben, müssen Sie einen Datenschutzbeauftragten bestellen, sonst werden Sie gebüßt"? In den meisten Fällen stimmt das für einen Salon, eine kleine Praxis oder ein Geschäft im Viertel nicht. Die DSGVO verlangt tatsächlich einen Datenschutzbeauftragten, aber nur in wenigen, klar definierten Situationen — nicht für jedes Unternehmen mit einer Kundendatenbank.

Das Problem ist, dass dieses Thema mit Angst verkauft wird. Es kursieren Angebote für „Pflicht-DPO-Pakete" für mehrere hundert Euro pro Jahr, gerichtet an Unternehmen, die rechtlich gar nicht verpflichtet sind, jemanden zu bestellen. In diesem Artikel erkläre ich Ihnen klar und verständlich, wann Sie wirklich einen Datenschutzbeauftragten brauchen, wann nicht, und was Sie unabhängig von der Antwort ohnehin tun müssen.

Was ein Datenschutzbeauftragter eigentlich ist

DPO steht für Data Protection Officer, auf Deutsch Datenschutzbeauftragter. Das ist die Person, die überwacht, wie das Unternehmen die Datenschutzregeln einhält: prüft, berät, hält den Kontakt zu Kunden, die ihre Daten einsehen möchten, und ist Ansprechpartner für die Aufsichtsbehörde ANSPDCP (die rumänische Datenschutzbehörde).

Einige wichtige Punkte vorab:

• Ein Datenschutzbeauftragter kann intern (ein Mitarbeiter) oder extern (ein Dienstleister oder eine Firma) sein.
• Er kann in Teilzeit tätig sein und sich mehrere Firmen teilen.
• Er ersetzt nicht Ihre Pflichten — Sie bleiben rechtlich verantwortlich, auch mit Datenschutzbeauftragtem.
• Einen Datenschutzbeauftragten zu haben ist nicht dasselbe wie „DSGVO-konform zu sein". Das sind zwei verschiedene Dinge.

Die drei Fälle, in denen die DSGVO wirklich einen Datenschutzbeauftragten verlangt

Die Regel stammt aus Artikel 37 der DSGVO. Sie sind nur in einer dieser drei Situationen verpflichtet, einen Datenschutzbeauftragten zu bestellen:

• Sie sind eine Behörde oder öffentliche Stelle (Rathaus, staatliche Schule, öffentliches Krankenhaus).
• Ihre Kerntätigkeit besteht in der systematischen und umfangreichen Überwachung von Personen — etwa umfassende Videoüberwachung, massives Online-Tracking, Profiling.
• Ihre Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Datenkategorien: Gesundheitsdaten, ethnische Herkunft, sexuelle Orientierung, biometrische Daten oder strafrechtliche Daten.

Die Schlüsselwörter sind „Kerntätigkeit" und „umfangreich". Wenn die Datenverarbeitung nicht das Kerngeschäft Ihres Unternehmens ist, sondern nur eine normale Folge davon, dass Sie Kunden haben, fallen Sie höchstwahrscheinlich nicht darunter.

Was das konkret für Salon, Praxis oder Geschäft bedeutet

Gehen wir es der Reihe nach durch, so wie es in der Realität vorkommt:

• Kosmetiksalon, Friseur, Nagelstudio: Sie führen Termine, Namen, Telefonnummern, vielleicht Fotos. Das ist keine umfangreiche Überwachung, keine Überwachungstätigkeit. Normalerweise brauchen Sie keinen Datenschutzbeauftragten.
• Kleines Geschäft oder kleiner Online-Shop: Name, Lieferadresse, Bestellungen. Auch hier ist die Verarbeitung gewöhnlich und im kleinen Umfang. Normalerweise brauchen Sie keinen Datenschutzbeauftragten.
• Kleine Arzt- oder Zahnarztpraxis: Hier verarbeiten Sie Gesundheitsdaten, die sensibel sind. Aber das Gesetz spricht von „umfangreicher" Verarbeitung. Eine einzelne oder kleine Praxis, in der die Gesundheitsdaten vom behandelnden Fachmann für die eigenen Patienten geführt werden, gilt normalerweise nicht als „umfangreich".

Übersetzt heißt das: Die meisten kleinen Unternehmen dieser Art sind rechtlich nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen. Eine große Klinikkette, ein Filialnetz mit Tracking, eine Plattform mit vielen Nutzern — dort sieht die Sache anders aus.

Was Sie ohnehin tun müssen, auch ohne Datenschutzbeauftragten

Hier kommt der Teil, den Ihnen niemand sagt, wenn er Ihnen Angst verkauft. Die DSGVO gilt ohnehin, mit oder ohne Datenschutzbeauftragten. Unabhängig davon, ob Sie zur Bestellung verpflichtet sind, müssen Sie trotzdem:

• Eine klare Datenschutzerklärung auf der Website und am Empfang haben, die angibt, welche Daten Sie erheben und warum.
• Wo nötig, korrekt Einwilligung einholen (z. B. Newsletter, Fotos für Werbung).
• Ihre Daten sicher aufbewahren: Passwörter, eingeschränkter Zugriff, das Terminbuch nicht offen liegen lassen.
• Daten löschen, wenn Sie sie nicht mehr brauchen, und reagieren, wenn ein Kunde die Löschung verlangt.
• Für jede Art von Daten, die Sie nutzen, eine Rechtsgrundlage haben.

Das ist die reale „DSGVO-Konformität" für ein kleines Unternehmen — und sie kostet deutlich weniger als ein unnötiges DPO-Abonnement.

Wie wir Ihnen helfen können, ohne Angstmacherei

Bei MPO Web Studio erstellen wir Websites für kleine Unternehmen im ganzen Land, remote, und dabei gehört es selbstverständlich dazu, den Datenschutz korrekt zu gestalten: eine verständliche Datenschutzerklärung, ein Terminformular, das nur das Nötigste abfragt, klare Einwilligung, wo erforderlich, und ein Cookie-Banner, der den Kunden nicht nervt.

Wir verkaufen keine „Pflicht-DPO-Pakete" an Unternehmen, die so etwas nicht brauchen. Wenn Sie einen Salon, eine kleine Praxis oder ein Geschäft betreiben, brauchen Sie in den meisten Fällen eine saubere Website und korrekte Rechtstexte, kein monatliches Abonnement mit eingebauter Angst.

Wenn Sie sehen möchten, wie das aussehen würde — wir erstellen Ihnen eine fertige Demo, kostenlos, bevor Sie etwas bezahlen. Schreiben Sie uns auf WhatsApp, und wir sagen Ihnen ehrlich, ob Sie in Ihrem Fall einen Datenschutzbeauftragten brauchen oder nicht.