Also das klingt ja gar nicht gut. Die DSGVO ist ja nicht erst gestern in Kraft getreten.
Hast du deinen Chef darauf schon angesprochen? Denn da besteht dringender Handlungsbedarf, wenn ihr nicht mit Bußgelder bestraft werden wollt.
Zuerst finde ich es wichtig, dass du alle Beteiligten zusammenrufst und einen Crashkurs zur DSGVO durchführst. Um dir Zeit zu sparen, kannst du vorgefertigte Präsentationen verwenden, die du bspw. hier finden kannst:
https://www.teachtoprotect.de/lehre-um-zu-schuetzen-doch-warum-sollten-sie-das-tun/
Dann sollte so schnell wie möglich ein IT-Sicherheitsbeauftragter gewählt werden, der sich um den Schutz der Daten kümmert (aus technischer Sicht). Du hast dann die Aufgabe, dies alles zu Überwachung dafür zu sorgen, dass die Richtlinien der DSGVO eingehalten werden.