DSGVO для малого бизнеса в Германии: что действительно обязательно

Про DSGVO (Datenschutz-Grundverordnung, она же GDPR) малый бизнес в Германии обычно слышит две крайности. Первая: «это только для корпораций, нас не касается». Вторая: «за любую мелочь штраф в 20 миллионов». Правда, как обычно, посередине — и она гораздо практичнее, чем кажется.

В этой статье — то, что я вижу у клиентов с 5–50 сотрудниками: интернет-магазины, транспортные компании, службы по уходу, строительные фирмы, автосалоны. Без юридического языка, с конкретными шагами.

Важно: я системный администратор, а не юрист. Это не юридическая консультация, а практический обзор с точки зрения IT. Если у вас сложный случай — например, медицинские данные или большой объём клиентской базы — покажите этот список вашему юристу или Datenschutzbeauftragter.

Касается ли DSGVO вашей компании вообще?

Да. Если у вас есть хотя бы один сотрудник, один клиент или один посетитель сайта — вы обрабатываете персональные данные. Имя, e-mail, номер телефона, IP-адрес, номер автомобиля, данные о зарплате — всё это персональные данные по DSGVO.

Размер компании влияет не на то, применяется ли регламент, а на то, сколько от вас требуется. Для малого бизнеса требований меньше, чем пугают, но они есть.

Что обязательно: шесть пунктов

1. Реестр обработки данных (Verarbeitungsverzeichnis)

Это документ, в котором перечислено, какие данные вы обрабатываете, зачем, где они хранятся и кто имеет доступ. Звучит страшно, на практике — таблица на две-три страницы.

Для компании до 250 сотрудников есть исключение, но оно почти никогда не срабатывает: как только обработка данных происходит «регулярно» (а зарплаты, клиенты и переписка — это регулярно), реестр нужен. Проверяющие из Landesdatenschutzbehörde спрашивают его первым делом.

Что туда входит, по-простому:

• Данные сотрудников (кадры, зарплата, рабочее время)
• Данные клиентов (заказы, счета, переписка)
• Данные поставщиков и партнёров
• Сайт и аналитика (если есть Google Analytics, формы, cookies)
• Видеонаблюдение, если есть

Шаблоны есть бесплатно у IHK и у земельных Datenschutzbehörden. Заполнить реально за один вечер.

2. Договоры об обработке данных (AVV)

Каждый, кто обрабатывает ваши данные по вашему поручению, должен подписать с вами Auftragsverarbeitungsvertrag (AVV). Это:

• Хостер сайта и интернет-магазина
• Провайдер электронной почты (Microsoft 365, Google Workspace, IONOS, Strato…)
• Облачное хранилище, резервное копирование
• Налоговый консультант — в некоторых случаях
• Системный администратор или IT-подрядчик, у которого есть доступ к вашим системам

Последний пункт — самая частая дыра у малого бизнеса. «Знакомый айтишник» или фрилансер из-за рубежа имеет полный доступ к серверу, почте и клиентской базе, но ни одной бумаги об этом нет. С точки зрения DSGVO это проблема именно для вас, а не для него: ответственность несёт владелец данных, то есть компания.

У крупных провайдеров AVV подписывается в пару кликов в личном кабинете. С подрядчиком-человеком — это обычный документ на 3–5 страниц, стандартные шаблоны есть у тех же IHK.

3. Политика конфиденциальности на сайте (Datenschutzerklärung)

Если у вас есть сайт, на нём обязательно должна быть Datenschutzerklärung: что собираете, какие cookies, какие сторонние сервисы (аналитика, карты, формы, шрифты Google, видео YouTube).

Типичные ошибки, которые я вижу:

• Политика скопирована с чужого сайта и описывает сервисы, которых у вас нет (или не описывает те, что есть)
• Google Analytics или Facebook Pixel подключены без согласия пользователя — cookie-баннер либо отсутствует, либо «для галочки»
• Шрифты Google загружаются с серверов Google — за это в Германии реально приходили письма с требованием компенсации

Генераторы вроде e-recht24 или datenschutz-generator.de делают приличную базовую политику. Главное — честно отметить всё, что реально используется на сайте.

4. Доступы сотрудников и их отзыв

DSGVO требует «технических и организационных мер» (TOM — technische und organisatorische Maßnahmen). Для малого бизнеса это в первую очередь:

• У каждого сотрудника свой логин, никаких «общих» паролей на всех
• Доступ только к тому, что нужно для работы: бухгалтеру — бухгалтерия, водителю — не бухгалтерия
• Когда сотрудник уходит — доступы отключаются в тот же день, не «когда руки дойдут»
• Двухфакторная аутентификация хотя бы для почты и облака

Если у бывшего сотрудника через полгода после увольнения всё ещё работает пароль от Microsoft 365 — это нарушение, даже если он им не пользуется.

5. Резервные копии и защита от потери данных

Это тоже часть DSGVO: регламент требует «доступности» данных и возможности их восстановить. На практике:

• Резервные копии делаются автоматически, не «иногда вручную на флешку»
• Хотя бы одна копия хранится отдельно от основных систем (другой сервер, другое помещение, другой провайдер)
• Восстановление проверяется. Не раз в жизни, а регулярно — хотя бы раз в квартал

Вирус-шифровальщик (Ransomware) в малой компании — это не теория, это самая частая причина, по которой мне звонят в выходные. Разница между «восстановили за три часа» и «потеряли всё за пять лет» — в том, проверялись ли копии.

6. Процесс на случай утечки

Если данные утекли (украли ноутбук, взломали почту, отправили таблицу с клиентами не тому адресату), у вас есть 72 часа, чтобы сообщить в Datenschutzbehörde. Для этого не нужен сложный регламент — нужно, чтобы сотрудники знали: о таком говорят сразу, а не скрывают.

Простая памятка на одну страницу: «Что делать, если…» с номером того, кому звонить. Обычно это владелец и IT-подрядчик.

Что НЕ обязательно для большинства малых компаний

Чтобы не тратить деньги зря:

• Datenschutzbeauftragter (уполномоченный по защите данных) — обязателен, только если минимум 20 сотрудников постоянно работают с персональными данными, либо при особых категориях данных (здоровье, например, в службах по уходу). Для строительной фирмы с 15 рабочими — нет.
• Сертификация ISO 27001 — не требуется. Это добровольный стандарт для тех, у кого его требуют крупные заказчики.
• Дорогие «DSGVO-аудиты» от консультантов — чаще всего продают те же шесть пунктов выше, упакованные в 40 страниц.
• Хранение серверов исключительно в Германии — не требование DSGVO. Требование — внутри ЕС или с надлежащими гарантиями. Но немецкий дата-центр заметно упрощает жизнь и убирает вопросы.

Чек-лист на один вечер

1. Скачать шаблон Verarbeitungsverzeichnis у IHK и заполнить
2. Проверить, с кем из провайдеров и подрядчиков нет AVV, и подписать
3. Прогнать сайт через бесплатный сканер cookies и сравнить с Datenschutzerklärung
4. Составить список всех логинов в компании и отключить лишние
5. Узнать, когда последний раз проверяли восстановление из резервной копии
6. Написать памятку «если что-то случилось — звонить сюда»

Шесть пунктов, ни одного юридического термина, который нельзя объяснить за минуту. Это и есть «DSGVO для малого бизнеса» в реальной жизни.

Где здесь роль IT-подрядчика

Пункты 2, 4, 5 и 6 — это чистая IT. Хороший системный администратор не просто «настраивает сервер», а приносит вам AVV на подпись сам, ведёт список доступов, проверяет резервные копии и первым узнаёт, если что-то пошло не так.

Если ваш нынешний айтишник ни разу не упоминал слова AVV — это повод задать ему вопрос. Или задать его мне.

Статья носит информационный характер и не является юридической консультацией. Требования могут отличаться в зависимости от отрасли и федеральной земли.