DSGVO für Kleinunternehmen: Die 5 häufigsten Fehler

Die DSGVO klingt für viele Selbständige nach einem Bürokratie-Monster. In der Praxis sind es aber meist nur eine Handvoll konkreter Fehler, die kleine Unternehmen angreifbar machen — und die sich mit überschaubarem Aufwand beheben lassen. Dieser Ratgeber zeigt die fünf häufigsten, was sie 2026 so gefährlich macht und wie Sie sie dauerhaft abstellen. Wenn Sie ohnehin gerade über eine neue Website nachdenken, lohnt vorab auch der Blick auf Website mieten oder kaufen — denn beide Modelle bringen eigene Datenschutzpflichten mit.

Die neue Bedrohungslage: Abmahnung durch Mitbewerber

Lange war umstritten, ob Wettbewerber DSGVO-Verstöße abmahnen dürfen. Der Europäische Gerichtshof öffnete mit dem Urteil vom 4. Oktober 2024 (Rs. C-21/23, „Lindenapotheke“) die Tür, indem er klarstellte, dass die DSGVO nationale Durchsetzungswege nicht sperrt. Darauf aufbauend beendete der Bundesgerichtshof am 27. März 2025 in drei Grundsatzurteilen (u. a. Az. I ZR 222/19 und I ZR 223/19) den jahrelangen Streit: DSGVO-Verstöße sind nach § 3a UWG abmahnfähig, soweit die verletzte Norm eine Marktverhaltensregel ist.

Als solche Marktverhaltensregeln gelten ausdrücklich die Bedingungen für die Einwilligung (Art. 7 DSGVO), das Verbot der Verarbeitung sensibler Daten ohne ausdrückliche Einwilligung (Art. 9 DSGVO) sowie die Transparenz- und Informationspflichten (Art. 12 und 13 DSGVO). Ein abmahnfähiger Nachteil liegt bereits dann vor, wenn sich ein Unternehmen durch die Missachtung der DSGVO einen Wettbewerbsvorteil verschafft — etwa durch den Verzicht auf ein lästiges Cookie-Banner, um Registrierungsraten künstlich zu erhöhen.

DACH im Vergleich: Deutschland, Österreich, Schweiz

Die DSGVO gilt EU-weit einheitlich — die Durchsetzung und die nationalen Zusatzgesetze unterscheiden sich jedoch erheblich. Wer im gesamten DACH-Raum tätig ist, sollte die wichtigsten Unterschiede kennen.

Fehler 1: Google Fonts und Drittdienste dynamisch laden

Die Unternehmenswebsite ist der häufigste Auslöser für kostspielige Abmahnungen. Das prominenteste Beispiel: dynamisch eingebundene Google Fonts. Wird eine Schriftart live von Google-Servern in den USA nachgeladen, wandert die IP-Adresse jedes Besuchers ohne Einwilligung in ein Drittland. Das Landgericht München I stufte das bereits im Januar 2022 als DSGVO-Verstoß ein und sprach dem Nutzer Schadensersatz zu.

Dasselbe Problem betrifft eingebettete YouTube-Videos ohne erweiterten Datenschutzmodus, Google Maps, Schriften-CDNs oder externe Analyse-Skripte. Die Lösung ist in allen Fällen identisch: Externe Ressourcen lokal auf dem eigenen Server hosten oder erst nach aktiver Einwilligung laden. Vorsicht bei kostenlosen Online-Font-Checkern — sie prüfen meist nur eine einzelne Seite und übersehen Drittdienste auf Unterseiten.

Fehler 2: Unvollständige Datenschutzerklärung und wirkungsloser Cookie-Banner

Viele Kleinunternehmen kopieren ihre Datenschutzerklärung aus dem Netz oder lassen sie einmalig generieren — und vergessen sie danach. Eine solche Erklärung spiegelt die tatsächlichen Datenflüsse fast nie korrekt wider. Sobald sie Tracking-Tools verschweigt, falsche Speicherfristen nennt oder Drittdienste auslässt, liegt eine irreführende geschäftliche Handlung nach § 5a UWG vor — und damit ein Abmahngrund.

Genauso kritisch ist der Cookie-Banner: Analytics- und Marketing-Tools dürfen erst nach aktiver, freiwilliger Einwilligung laden. Ein Banner, der Tracking schon vor dem Klick startet oder bei dem „Alle ablehnen“ schwerer erreichbar ist als „Alle akzeptieren“, ist wirkungslos — und nach der BGH-Rechtsprechung sogar abmahnfähig.

• Kontaktformulare ohne klaren Hinweis auf die Datenverarbeitung
• Eingebundene YouTube-Videos ohne erweiterten Datenschutzmodus
• Tracking, das schon vor der Einwilligung startet
• Eine Datenschutzerklärung, die nicht zu den real eingesetzten Tools passt

Fehler 3: Die KMU-Ausnahme beim Verarbeitungsverzeichnis falsch verstehen

Hartnäckig hält sich der Irrglaube, Unternehmen mit weniger als 250 Mitarbeitern seien generell von der Pflicht zum Verzeichnis von Verarbeitungstätigkeiten (VVT, Art. 30 DSGVO) befreit. Tatsächlich greift die Ausnahme nur, wenn die Verarbeitung kein Risiko birgt, keine sensiblen Daten betrifft und ausschließlich gelegentlich erfolgt. Genau diese „Gelegentlichkeit“ ist in der digitalen Praxis fast nie erfüllt.

Sobald Sie eine Kundendatenbank pflegen, monatlich Löhne abrechnen, ein CRM nutzen oder einen Newsletter versenden, liegt eine dauerhafte, systematische Verarbeitung vor — die VVT-Pflicht greift. Da Aufsichtsbehörden bei Prüfungen zuerst das VVT anfordern, führt sein Fehlen sofort zu einer Verletzung der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Fehler 4: Fehlende Auftragsverarbeitungsverträge (AVV)

Wer personenbezogene Daten von externen Dienstleistern weisungsgebunden verarbeiten lässt, braucht zwingend einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Typische Fälle: Cloud-Speicher, externe IT-Dienstleister mit Fernzugriff, Newsletter-Tools, Hosting-Anbieter. Das Fehlen eines AVV ist ein eigenständiger formaler Verstoß — unabhängig davon, ob jemals Daten abhandenkommen.

Fehler 5: Keine Prozesse für Betroffenenrechte und Datenpannen

Das Auskunftsrecht nach Art. 15 DSGVO wird zunehmend strategisch eingesetzt — von unzufriedenen Kunden oder ehemaligen Mitarbeitern als Druckmittel. Geht eine Anfrage ein, müssen Sie innerhalb eines Monats vollständig und strukturiert Auskunft erteilen. Wer Daten erst aus E-Mail-Postfach, CRM, Buchhaltung und Backup zusammensuchen muss, reißt die Frist regelmäßig — und auch eine verspätete Auskunft ist seit März 2025 abmahnfähig.

Ebenso unvorbereitet treffen Datenpannen viele Betriebe: Schwerwiegende Vorfälle müssen nach Art. 33 DSGVO binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden. Ohne vorbereiteten Ablauf verstreicht dieses Fenster ungenutzt — was das Bußgeld bei späterer Aufdeckung deutlich erhöht. Legen Sie daher vorab fest, wer im Ernstfall was tut und wo welche Daten liegen.

Soforthilfe: Was tun bei einer DSGVO-Abmahnung?

Eine Abmahnung im Briefkasten ist unangenehm — Panik ist aber der schlechteste Ratgeber. Diese fünf Schritte schützen vor teuren Fehlern:

1. 1Ruhe bewahren. Den gegnerischen Anwalt nicht direkt kontaktieren — er vertritt ausschließlich die Gegenseite.
2. 2Fristen dokumentieren. Die gesetzten (meist kurzen) Fristen und den Posteingang sofort festhalten.
3. 3Sachverhalt prüfen lassen. Liegt der Verstoß wirklich vor? Sind die Kosten angemessen? Gibt es Anzeichen für Rechtsmissbrauch?
4. 4Unterlassungserklärung nie ungeprüft unterschreiben. Bei berechtigtem Verstoß eine modifizierte Erklärung abgeben, um Vertragsstrafen zu begrenzen.
5. 5Nicht voreilig zahlen. Bei unwirksamer oder rein gewinnorientierter Massenabmahnung entfällt die Kostenpflicht.

Ausblick: Was sich 2026 und danach ändert

Die Pflicht zum Datenschutzbeauftragten könnte in Deutschland gelockert werden: Die Ministerpräsidentenkonferenz will § 38 Abs. 1 BDSG bis Ende 2026 aufheben. Die scheinbare Entlastung kann jedoch zur Falle werden — fällt die klare 20-Personen-Grenze weg, müssen Unternehmen selbst über eine komplexe Risikoanalyse bewerten, ob sie einen Beauftragten brauchen.

Parallel verschärft der EU AI Act die Lage: Ab dem 2. August 2026 greifen Transparenzpflichten für KI-generierte Inhalte (Art. 50). Wer ungekennzeichnete KI-Texte oder -Bilder einsetzt, riskiert — analog zur DSGVO-Rechtsprechung — wettbewerbsrechtliche Abmahnungen. In der Schweiz gilt seit September 2023 das revidierte nDSG mit eigenen Regeln: strafrechtliche Bussen gegen Personen statt Bußgeldern gegen Unternehmen, dafür keine Pflicht zu Cookie-Banner und Datenschutzbeauftragtem.

Der einfache Ausweg

Die gute Nachricht: Die meisten der genannten Fehler entstehen auf der Website — und genau dort lassen sie sich am einfachsten von vornherein vermeiden. Bei SiteFlat ist DSGVO-Konformität ab Werk eingebaut: lokal gehostete Schriften, datensparsame Analytics ohne Cookies, ein sauberer Consent-Banner, eine zu den eingesetzten Diensten passende Datenschutzerklärung und ein Auftragsverarbeitungsvertrag. Hosting läuft in der EU, SSL ist Standard. Wie laufende Pflege solche Risiken dauerhaft klein hält, lesen Sie im Beitrag Website-Wartung 2026. Und wenn Sie wissen möchten, was eine rechtssichere Website realistisch kostet, hilft Was kostet eine Website 2026? weiter.