På grund av brister i lagstiftningen beslöt Europaparlamentet och EU:s ministerråd år 2016 att en ny förordning rörande hantering av personuppgifter skulle råda i Europeiska unionen från och med den 25 maj 2018. Denna förordning kallas GDPR och kommer ersätta PUL. Förordningen innehåller bland annat krav på principer som måste följas vid behandling av personuppgifter, de rättsliga grunder som användas för laglig personuppgiftsbehandling så som samtycke från den registrerade samt redogörelse för de olika ansvarsrollernars skyldigheter. GDPR kommer innebära att Datainspektionen får ett utökat uppdrag som bland annat kan resultera i utdömandet av höga sanktioner om behandlingen inte utförs i enlighet med förordningen. Uppsatsen fastställer gällande rätt vid behandling av personuppgifter efter GDPR, samt undersöker hur företag kan förbereda sig inför förändringen och hur många småföretag som faktiskt är förberedda en månad innan införandet. För att besvara syftet har i första hand en rättsdogmatisk metod använts. Denna har kompletterats med en kvalitativ undersökning. Den nya förordningen kommer att påverka alla företag, därav måste alla småföretag sätta in sig i de nya reglerna och undersöka hur de hanterar personuppgifter och hur de ska gå till väga för att hanteringen ska vara laglig. Två olika undersökningar presenteras, dels en undersökning utförd av Visma två månader innan GDPR träder i kraft, dels undersökning inom ramen för denna uppsats utförd en månad innan införandet av förordningen. Båda studierna pekar på att många småföretagare är dåligt förberedda och resultatet från den undersökning som utförts inom ramen för uppsatsen visar att många företag inte har satt sig in i de nya reglerna.