DSGVO für Praxen, Vereine und Kanzleien: die fünf Pflichten, die wirklich jeden treffen
Die DSGVO gilt nicht erst ab einer bestimmten Größe – sie gilt, sobald personenbezogene Daten verarbeitet werden. Die gute Nachricht: Der Kern lässt sich auf fünf Pflichten herunterbrechen.
Terminanfrage, Mitgliedsantrag, Mandatsannahme – überall entstehen personenbezogene Daten, und mit ihnen Pflichten. Wer die folgenden fünf Punkte im Griff hat, hat den Alltag der DSGVO im Wesentlichen abgedeckt.
1. Verantwortung annehmen
Ihre Einrichtung ist Verantwortlicher: Sie entscheidet, welche Daten wofür verarbeitet werden – und haftet dafür. Das lässt sich nicht an Dienstleister abgeben. Wer für Sie arbeitet und dabei Daten anfasst, braucht einen Vertrag zur Auftragsverarbeitung; die Details erklärt der Beitrag AV-Vertrag einfach erklärt.
2. Für jede Verarbeitung einen Grund haben
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 DSGVO – meist Vertrag (die Mitgliedschaft, der Behandlungsvertrag, das Mandat), rechtliche Pflicht (Aufbewahrungsfristen) oder Einwilligung (der Newsletter). Verschärft gilt das für besondere Kategorien nach Art. 9 DSGVO: Gesundheitsdaten in der Praxis – aber auch die Religionszugehörigkeit, die ein alevitisches Kulturzentrum mit jeder Mitgliederliste implizit verarbeitet. Hier braucht es eine ausdrückliche Grundlage, häufig die Einwilligung.
3. Informieren, bevor Daten fließen
Betroffene müssen erfahren, was mit ihren Daten geschieht. Praktisch heißt das: eine verständliche Datenschutzerklärung auf der Website und kurze Hinweise dort, wo Daten erhoben werden – im Kontaktformular, auf dem Mitgliedsantrag, im Anamnesebogen.
4. Betroffenenrechte bedienen können
Auskunft, Berichtigung, Löschung, Datenübertragung – auf solche Anfragen muss Ihre Einrichtung binnen eines Monats reagieren. Die Vorfrage ist banal: Wissen Sie, wo überall Daten einer Person liegen? Software mit eingebautem Export und eingebauter Löschung macht aus dieser Pflicht einen Knopfdruck statt einer Suchaktion. Anmerkung in eigener Sache: Meine Produkte bringen das mit – Nutzer exportieren ihre Daten selbst und können ihr Konto eigenständig löschen.
5. Daten technisch und organisatorisch schützen
Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen": Verschlüsselung, Zugriff nach Rollen, Sicherungen, sparsame Datenerhebung – dokumentiert im Verarbeitungsverzeichnis. Auch der Speicherort gehört dazu; mehr im Beitrag Ihr Server, Ihre Daten.
Kurz-Fazit
DSGVO im Alltag heißt nicht Perfektion, sondern Ordnung: wissen, welche Daten man hat, einen Grund nennen können, informieren, reagieren können, Technik sauber halten. Wer diese fünf Punkte einmal aufräumt, verliert die Angst vor dem Thema meist dauerhaft.
Häufige Fragen
Brauchen wir einen Datenschutzbeauftragten?
In der Regel erst ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten – oder bei umfangreicher Verarbeitung besonderer Kategorien. Die Pflichten gelten aber auch ohne.
Gilt die DSGVO auch für kleine, ehrenamtlich geführte Vereine?
Ja, vollständig – es gibt keine Bagatellgrenze nach Größe. Aufsichtsbehörden berücksichtigen aber Umfang und Umstände; erkennbares Bemühen zählt.
Was kostet ein Verstoß realistisch?
Die Schlagzeilen-Millionen treffen Konzerne; für kleine Einrichtungen sind eher drei- bis fünfstellige Bußgelder dokumentiert. Teurer ist oft der Vertrauensschaden.
Stand: August 2026 · Dieser Beitrag informiert allgemein und ist keine Rechtsberatung.
Frage stellen — ich antworte immer persönlich.
Klingt nach Ihrem Thema?
Lassen Sie uns unverbindlich klären, wo bei Ihnen der größte Hebel liegt.
