Kurzantwort
Unter 20 Mitarbeitenden besteht keine gesetzliche Benennungspflicht nach BDSG, außer besondere Datenkategorien oder Überwachung kommen ins Spiel. Sobald die Schwelle überschritten wird oder Kernaufgaben automatisiert ablaufen, greift die Pflicht trotzdem.
Warum die Grenze trügt
Cloud-Tools, CRM, Bewerbermanagement und Zahlungsdienste verarbeiten personenbezogene Daten in jeder Firmengröße. Die Pflicht hängt an Art und Risiko der Verarbeitung, nicht an der Kopfzahl allein.
Was jetzt sinnvoll ist
Kleine Unternehmen dokumentieren ihre Verarbeitung, prüfen Dienstleister und legen Benennung oder bewusste Verzichtsbegründung schriftlich fest. Beides ist vertretbar, nur nichts davon geht ohne Nachweis.
Prüfliste
- verarbeitete Datenarten und Tools auflisten
- Beschäftigtenzahl und besondere Kategorien prüfen
- Benennung oder Verzicht schriftlich begründen
- Dienstleister und Auftragsverarbeitung erfassen