DSGVO

Die DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679) regelt EU-weit, wann und wie personenbezogene Daten verarbeitet werden dürfen. Die Verordnung gilt seit 25. Mai 2018 unmittelbar auch in Österreich und betrifft jeden Betrieb, der Namen, Kontaktdaten, Termine oder Rechnungen von Kund:innen speichert.

Die Grundsätze in einfachen Worten

Artikel 5 der DSGVO nennt sechs Grundsätze. Übersetzt in den Alltag eines kleinen Betriebs heißen sie:

• Rechtmäßig und transparent: Kund:innen wissen, was du speicherst und warum.
• Zweckbindung: Die Telefonnummer für die Terminerinnerung ist nicht automatisch für Werbeanrufe da.
• Datenminimierung: Nur speichern, was du für die Leistung wirklich brauchst.
• Richtigkeit: Veraltete Angaben korrigieren.
• Speicherbegrenzung: Löschen, wenn der Zweck wegfällt und keine Aufbewahrungspflicht besteht.
• Integrität und Vertraulichkeit: Passwörter, Zugriffsrechte und Sicherungen schützen die Daten.

Dazu kommt die Rechenschaftspflicht: Du musst zeigen können, dass du dich an diese Grundsätze hältst.

Wann du Daten verarbeiten darfst

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6. Im Betrieb sind meist drei entscheidend: der Vertrag (Termin, Leistung, Rechnung), eine gesetzliche Pflicht wie die siebenjährige Aufbewahrung von Belegen nach § 132 BAO und die Einwilligung, etwa für den Newsletter. Diese muss freiwillig erfolgen und lässt sich jederzeit widerrufen.

Für Gesundheitsdaten wie Allergien oder Beschwerden gelten nach Art. 9 strengere Regeln. Solche Angaben dürfen in der Regel nur mit ausdrücklicher Einwilligung gespeichert werden.

DSGVO in Österreich: DSG und Datenschutzbehörde

Ergänzt wird die Verordnung durch das österreichische Datenschutzgesetz (DSG). Zuständige Aufsichtsbehörde ist die Datenschutzbehörde (DSB) in Wien, bei der sich Betroffene beschweren können. Für sie ist das kostenlos (Art. 57 Abs. 3), die Hürde ist also niedrig. Die DSGVO sieht Geldbußen bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Bei erstmaligen Verstößen setzt die DSB laut § 11 DSG aber insbesondere auf Verwarnungen.

Was das im Kleinbetrieb konkret heißt

• ein Verzeichnis der Verarbeitungstätigkeiten führen – laut WKO braucht das jedes Unternehmen mit Kundendateien
• mit Hoster, Software- und Newsletter-Anbieter einen Auftragsverarbeitungsvertrag abschließen
• auf der Website eine Datenschutzerklärung bereitstellen
• Anfragen nach dem Auskunftsrecht spätestens binnen eines Monats beantworten
• Datenpannen mit Risiko möglichst binnen 72 Stunden an die DSB melden
• ein einfaches Löschkonzept festlegen und einmal im Jahr anwenden

Das klingt nach viel, ist aber meist einmal Arbeit und danach Routine. Am meisten hilft, Kundendaten nicht über Excel, Handy und Zettel zu verteilen, sondern an einer Stelle zu führen.

Typische Irrtümer

• „Für Kleinbetriebe gilt das nicht.“ Die DSGVO kennt keine allgemeine Ausnahme nach Betriebsgröße. Erleichterungen gibt es nur in einzelnen Punkten.
• „Ich brauche für alles eine Einwilligung.“ Für Termin und Rechnung reicht der Vertrag. Eine überflüssige Einwilligung schafft eher Probleme, weil sie widerrufen werden kann.
• „Bei einem Löschwunsch muss alles weg.“ Rechnungen bleiben trotzdem bis zum Ende der Aufbewahrungsfrist gespeichert, nur nicht mehr für andere Zwecke.

In BigCRM sind dafür Werkzeuge eingebaut: Auskunft, Export, Löschung und Anonymisierung, Einwilligungen bei Formularen und Newsletter, Rechte je Bereich und ein Änderungsprotokoll. Was du konkret speichern darfst, erklärt der Beitrag Kundendaten & DSGVO. Welche Pflichtangaben auf die Website gehören, zeigt der Artikel Impressum, Datenschutz & Cookies.

Stand: Oktober 2026. Diese Erklärung ist eine praktische Orientierung und ersetzt keine Rechtsberatung.