Zum Inhalt springen
Porträt einer Person mit Haube und Bart, die in einer Tür steht und eine Schiefertafel hält, auf der das Wort offen steht. Neben der Türe ist ein großes Fenster, in dem sich ein Gebäude spiegelt
© WavebreakMediaMicro | stock.adobe.com

DSGVO bei Unternehmensgründung: Das müssen Gründer:innen beachten

Die wichtigsten Datenschutzpflichten von der Planung bis zum laufenden Unternehmen – praxisnah in Fragen und Antworten erklärt

Lesedauer: 8 Minuten

24.09.2026
Datenschutz ist bereits bei der Unternehmensgründung zu berücksichtigen. Behandelt werden Rollen nach der Datenschutz-Grundverordnung, Rechtsgrundlagen, Informationspflichten, Auftragsverarbeitung, Betroffenenrechte, Datensicherheit, Datenschutzverletzungen sowie Pflichten bei Website, Bewerbungen und Direktwerbung.

Allgemeine Informationen

Wer ein Unternehmen gründet, verarbeitet häufig schon ab dem ersten Tag personenbezogene Daten. Datenschutz ist daher ein wichtiger Bestandteil einer rechtssicheren Unternehmensorganisation. Die folgenden Fragen und Antworten bieten Gründer:innen einen praxisorientierten Überblick über die wichtigsten datenschutzrechtlichen Anforderungen und Pflichten.

Was müssen Sie als Gründer:in beim Datenschutz bereits vor der Unternehmensgründung beachten?

Datenschutz sollte bereits in der Planungsphase Ihres Unternehmens berücksichtigt werden. Sobald Sie personenbezogene Daten von Kund:innen, Geschäftspartner:innen, Interessent:innen oder Bewerber:innen verarbeiten, sind nämlich die Vorgaben der DSGVO zu beachten.

Planen Sie frühzeitig, welche Daten Sie verarbeiten werden, zu welchen Zwecken dies erfolgen wird und wer Zugriff auf die Daten haben wird. Achten Sie zudem darauf, geeignete IT-Systeme und Auftragsverarbeiter auszuwählen und erforderlichenfalls entsprechende Verträge abzuschließen.
Ebenso sollten Sie von Beginn an angemessene Sicherheitsmaßnahmen, wie sichere Passwörter, Zugriffsbeschränkungen und Datensicherungen, vorsehen.

Ab wann gelten die Datenschutzvorschriften für Ihr Unternehmen? 

Die DSGVO gilt ab dem Zeitpunkt, an dem Sie personenbezogene Daten verarbeiten. Das kann bereits vor der eigentlichen Unternehmensgründung der Fall sein, etwa wenn Sie Kontaktdaten von Kund:innen, Interessent:innen oder Geschäftspartner:innen erfassen, Bewerbungen entgegennehmen oder eine Website mit Kontaktformular betreiben.

Welche datenschutzrechtliche Rolle hat Ihr Unternehmen? Sind Sie Verantwortlicher oder Auftragsverarbeiter? 

Als Gründer:in sollten Sie zunächst klären, welche datenschutzrechtliche Rolle Ihr Unternehmen einnimmt. In den meisten Fällen ist Ihr Unternehmen Verantwortlicher, da Sie selbst entscheiden, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden. Verarbeiten Sie personenbezogene Daten hingegen ausschließlich im Auftrag eines anderen Unternehmens und nach dessen Weisungen, sind Sie Auftragsverarbeiter.

Hinweis
Selbst wenn Sie für Kund:innen als Auftragsverarbeiter tätig werden, bleiben Sie für die Datenverarbeitungen in Ihrem eigenen Unternehmen, beispielsweise für die Personalverwaltung oder das Rechnungswesen, Verantwortlicher.

Wann liegt bei einer Kooperation mit anderen Unternehmen eine gemeinsame Verantwortlichkeit vor?

Wenn Sie gemeinsam mit einem anderen Unternehmen festlegen, warum und wie personenbezogene Daten verarbeitet werden, kann eine gemeinsame Verantwortlichkeit vorliegen. Dies kann beispielsweise bei gemeinsam betriebenen Online-Plattformen, Veranstaltungen oder Marketingaktionen der Fall sein. Als Gründer:in sollten Sie solche Kooperationen datenschutzrechtlich prüfen und die jeweiligen Zuständigkeiten der beteiligten Unternehmen klar regeln.

Nähere Informationen zur gemeinsamen Verantwortlichkeit finden Sie auf unserer Infoseite Verantwortlicher und Auftragsverarbeiter.

Welche Grundsätze der Datenverarbeitung müssen Sie als Gründer:in beachten, etwa bei der Speicherdauer von Kundendaten?

Die DSGVO sieht mehrere Grundsätze vor, die Sie bei jeder Verarbeitung personenbezogener Daten einhalten müssen. Dazu gehört unter anderem, dass Daten nur für festgelegte Zwecke verarbeitet und nicht länger gespeichert werden dürfen, als es für diese Zwecke erforderlich ist. Als Gründer:in sollten Sie daher bereits frühzeitig festlegen, welche Daten Sie benötigen, wofür diese verwendet werden und wann sie wieder gelöscht werden müssen.

Welche Formen der rechtlichen Erlaubnis kommen für Ihre Datenverarbeitungen in Betracht? 

Um personenbezogene Daten zu verarbeiten, benötigen Sie eine rechtliche Erlaubnis. In der Praxis kommen insbesondere die Vertragserfüllung, die Erfüllung rechtlicher Verpflichtungen, berechtigte Interessen oder die Einwilligung der betroffenen Person in Betracht. Welche Form der rechtlichen Erlaubnis die richtige ist, hängt vom jeweiligen Zweck der Datenverarbeitung ab und sollte für jede Verarbeitungstätigkeit gesondert geprüft werden.

Benötigen Sie als Gründer:in bereits bei der Gründung eine Datenschutzerklärung? 

Sobald Sie personenbezogene Daten verarbeiten, müssen Sie die betroffenen Personen über diese Verarbeitung informieren. Eine Datenschutzerklärung ist ein wichtiges Instrument, um diese Informationspflichten zu erfüllen. 

Beispiele
Annahme von Bewerbungsunterlagen, Neukundenakquise per Post, Bearbeitung von Kundenanfragen per E-Mail.

Hinweis
Unser Tipp für noch mehr Datenschutz:
Unser Online-Ratgeber DSGVO Generator für Datenschutzerklärungen unterstützt Sie dabei, betroffene Personen DSGVO-konform zu informieren.

Müssen Sie als Gründer:in Auftragsverarbeiterverträge abschließen?

Ja, wenn Sie Dienstleister einsetzen, die personenbezogene Daten in Ihrem Auftrag verarbeiten, müssen Sie in der Regel einen Auftragsverarbeitervertrag abschließen.

Beispiel
Sie entscheiden sich die personenbezogenen Daten Ihrer Kund:innen in einer Cloud zu speichern. Der Cloud-Dienstleister ist Ihr Auftragsverarbeiter. Es ist erforderlich einen Auftragsverarbeitervertrag abzuschließen.

Wie gehen Sie als Gründer:in mit Auskunfts- und Löschbegehren betroffener Personen um?

Betroffene Personen haben nach der DSGVO verschiedene Rechte, darunter das Recht auf Auskunft und unter bestimmten Voraussetzungen das Recht auf Löschung ihrer personenbezogenen Daten. Als Gründer:in sollten Sie sicherstellen, dass Ihr Unternehmen solche Anfragen fristgerecht (siehe Übersichtsseite Betroffenenrechte Frage 10) bearbeiten und die Identität der anfragenden Person überprüfen (siehe Übersichtsseite Betroffenenrechte Frage 9) kann. Klare interne Abläufe helfen Ihnen dabei, Betroffenenrechte rechtskonform zu erfüllen.

  • Nähere Informationen zu den Pflichten rund um die Betroffenenrechte finden Sie auf unserer Infoseite Betroffenenrechte.

Welche Anforderungen gelten für Sie als Gründer:in bei der Speicherung von Daten außerhalb der EU? 

Wenn personenbezogene Daten in ein „Drittland“ außerhalb der EU übermittelt werden, müssen die besonderen Vorgaben der DSGVO für internationale Datenübermittlungen eingehalten werden. Als Gründer:in sollten Sie daher prüfen, wo Ihre Dienstleister:innen Daten verarbeiten und auf welcher rechtlichen Grundlage eine Datenübermittlung in Drittländer erfolgt. Dies betrifft beispielsweise Cloud-Dienste, Softwarelösungen oder andere digitale Angebote mit Serverstandorten außerhalb der EU.

Welche Sicherheitsmaßnahmen müssen Sie als Gründer:in von Anfang an umsetzen?

Bereits von Beginn an müssen Sie personenbezogene Daten angemessen schützen. Für Ihr Unternehmen bedeutet das vor allem: Sie müssen insbesondere personenbezogene Daten so organisieren, dass sie vor Verlust, unbefugtem Zugriff und Fehlverwendung geschützt sind. Ihr Unternehmen muss Datenschutz und Datensicherheit deshalb frühestmöglich mitdenken und in Prozesse, Software, Geräte und Abläufe integrieren.

Was müssen Sie als Gründer:in im Fall einer Datenschutzverletzung („Data Breach“) tun? 

Eine Datenschutzverletzung (auch „Data Breach“ oder „Sicherheitsvorfall“ genannt) liegt vor, wenn Sie die Sicherheit der Daten nicht – oder nicht mehr - gewährleisten können. In diesen Fällen kommt es zu einem ungewollten Umgang mit personenbezogenen Daten. Im Zusammenhang mit einem Data Breach müssen Sie Dokumentations-, Melde- und Benachrichtigungspflichten beachten.

Müssen Sie als Gründer:in eine:n Datenschutzbeauftragte:n bestellen?

Nicht jedes Unternehmen muss eine:n Datenschutzbeauftragte:n bestellen. Ob eine Bestellpflicht besteht, hängt insbesondere von der Art und dem Umfang der Datenverarbeitung in Ihrem Unternehmen ab. Dabei kommt es unter anderem darauf an, worin die Kerntätigkeit Ihres Unternehmens besteht und ob Sie personenbezogene Daten umfangreich verarbeiten.

Wann ist für Sie als Gründer:in eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?

Als Verantwortlicher müssen Sie insbesondere dann eine DSFA durchführen, wenn z. B. aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Ziel der DSFA ist es, die möglichen Risiken für die Betroffenen zu erkennen (Worst-Case-Szenario) und geeignete Maßnahmen festzulegen, um diese Risiken zu beseitigen oder zumindest deutlich zu verringern („Gefahr erkannt, Gefahr gebannt“).

Müssen Sie als Gründer:in ein Verzeichnis von Verarbeitungstätigkeiten führen?

Nähere Informationen zum Verarbeitungsverzeichnis finden Sie auf unserer Infoseite Verzeichnis von Verarbeitungstätigkeiten (VVT). 

Welche Sanktionen drohen Ihnen als Gründer:in bei Datenschutzverstößen?

Die DSGVO sieht im Falle eines Verstoßes neben Schadenersatzansprüchen der betroffenen Personen unter anderem empfindliche Geldstrafen vor.

Welche Datenschutzpflichten gelten für Sie als Gründer:in bei einer Unternehmenswebsite? 

Beim Betrieb einer Unternehmenswebsite müssen Sie verschiedene datenschutzrechtliche Anforderungen beachten. Dazu zählen insbesondere die Bereitstellung einer Datenschutzerklärung, die rechtmäßige Einbindung von Cookies sowie von Tracking- und Analayse-Tools. Als Gründer:in sollten Sie daher bereits bei der Erstellung Ihrer Website prüfen, welche personenbezogenen Daten verarbeitet werden und welche rechtlichen Verpflichtungen sich daraus ergeben.

Welche Datenschutzpflichten haben Sie als Gründer:in im Bewerbungsprozess zu beachten? 

Bereits im Bewerbungsprozess verarbeiten Sie personenbezogene Daten von Bewerber:innen und müssen daher die Vorgaben der DSGVO einhalten. Als Gründer:in sollten Sie insbesondere darauf achten, Bewerber:innen über die Datenverarbeitung zu informieren und personenbezogene Daten nicht länger als erforderlich aufzubewahren.

Dürfen Sie als Gründer:in Neukundenakquise per E-Mail durchführen? 

Grundsätzlich nein. Nähere Informationen zur elektronischen Direktwerbung ohne Einwilligung finden Sie auf unserer Infoseite Datenschutz und Direktwerbung. 

Hinweis
Sie dürfen jedoch unter gewissen Voraussetzungen postalisch Neukundenakquise durchführen.

Zum Nachschlagen: Gesetzliche Bestimmungen zum Thema

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.