Die DSGVO gilt für Firmen erst ab einer bestimmten Größe.

Nein, AFAIK gilt das für JEDE Website. Insbesondere, wenn man z.B. ein Forum betreibt:

e-recht24 . de/datenschutzgrundverordnung.html#irrtum

Standardmäßig werden außerdem in MLF Nutzerdaten stets erst mal "ewig" gespeichert. Ich nutze MLF seit 2009, und habe etliche "tote" Nutzereinträge. Also Nutzer, die sich irgendwann mal registriert haben, aber nur ein einziges Mal (vereinzelt sogar nie) was gepostet haben. Ich glaube nicht, dass das jetzt noch rechtskonform ist.

Martin