Datenschutz im Handwerksbetrieb: Diese DSGVO-Pflichten hat auch der kleine Betrieb

Datenschutz gilt auch für den kleinen Betrieb

Die Datenschutz-Grundverordnung (DSGVO) schützt personenbezogene Daten – alles, was sich einem Menschen zuordnen lässt: Name, Anschrift, Telefonnummer, ein Foto, die Stunden eines Gesellen. Wer darüber entscheidet, was mit diesen Daten passiert, ist „Verantwortlicher“. Das bist du, egal ob du allein arbeitest oder mit 30 Leuten. Die Handwerkskammer für München und Oberbayern schreibt es ausdrücklich: Die DSGVO gilt für alle Handwerksbetriebe, unabhängig von der Größe.

Das Verzeichnis der Verarbeitungstätigkeiten

Das Verzeichnis ist eine Liste aller Abläufe, in denen du personenbezogene Daten verarbeitest – nicht eine Liste deiner Kunden. Auf dem Papier sind Betriebe mit weniger als 250 Beschäftigten davon befreit (Art. 30 Abs. 5 DSGVO). Die Ausnahme gilt aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Die Datenschutzkonferenz, das gemeinsame Gremium der Aufsichtsbehörden, nennt als Beispiel genau das, was jeder Betrieb tut: die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten. Die bayerische Aufsicht (BayLDA) sagt es für das Handwerk direkt: Handwerksbetriebe müssen ein – überschaubares – Verzeichnis führen.

Was hinein muss, steht in Art. 30 Abs. 1: wer verantwortlich ist, wozu die Daten dienen, welche Personen und Daten betroffen sind, wer sie bekommt, ob sie in Länder außerhalb der EU gehen, wann sie gelöscht werden und wie du sie schützt. Die Form ist frei, eine Tabelle genügt. Vorzeigen musst du das Verzeichnis nur, wenn die Aufsichtsbehörde danach fragt (Art. 30 Abs. 4). Das BayLDA hat ein Muster-Verzeichnis für einen Handwerksbetrieb veröffentlicht – ein guter Startpunkt.

Auf EU-Ebene läuft seit 2025 ein Gesetzgebungsverfahren, das die Ausnahme auf Unternehmen mit weniger als 750 Beschäftigten ausweiten soll – dann nur noch bei hohem Risiko. Abgeschlossen ist es beim Erscheinen dieses Artikels nicht. Bis die Änderung im Amtsblatt steht, gilt die heutige Regel.

Kunden informieren, ohne Papierkrieg

Wer Daten direkt beim Betroffenen erhebt, muss ihn zu diesem Zeitpunkt informieren (Art. 13 DSGVO) – also beim ersten Anruf, beim Kontaktformular, beim Aufmaß vor Ort. Dazu gehören:

• Name und Kontakt deines Betriebs, falls vorhanden auch des Datenschutzbeauftragten
• Zweck und Rechtsgrundlage – meist die Abwicklung des Auftrags
• Empfänger, etwa Steuerbüro oder Software-Anbieter
• wie lange du die Daten speicherst
• die Rechte des Kunden auf Auskunft, Berichtigung, Löschung und Widerspruch sowie sein Beschwerderecht bei der Aufsichtsbehörde

Praktisch schreibst du das einmal als Datenschutzhinweis und legst ihn überall ab, wo Kunden auf dich treffen: auf der Website, als Link unter jeder Mail und als Satz im Angebot. Was auf die Website gehört, steht im Ratgeber Website für Handwerker. Deine Mitarbeiter und Bewerber informierst du genauso.

Dienstleister: der Vertrag zur Auftragsverarbeitung

Verarbeitet ein fremdes Unternehmen Daten in deinem Auftrag und nach deinen Vorgaben, ist es Auftragsverarbeiter. Dann brauchst du vorher einen Vertrag nach Art. 28 DSGVO, und du darfst nur mit Anbietern arbeiten, die hinreichende Garantien für den Schutz der Daten bieten. Typische Fälle, angelehnt an die Liste der Datenschutzkonferenz:

• Cloud-Dienste, in denen deine Kundendaten liegen – auch Büro-Software im Browser
• Fernwartung und externer IT-Support für deine Rechner
• ausgelagerte E-Mail-Verwaltung und Betreuung von Kontaktformularen
• externe Datensicherung und Archivierung
• Entsorgung von Akten und Datenträgern durch einen Dienstleister

Kein Auftragsverarbeiter ist, wer eigenverantwortlich arbeitet: Steuerberater, Rechtsanwalt, Bank, Post. Mit ihnen brauchst du keinen solchen Vertrag. Den Vertrag mit deinem Software-Anbieter solltest du haben, bevor du die ersten Kundendaten eingibst – worauf du bei der Auswahl sonst achtest, steht im Ratgeber Handwerkersoftware auswählen.

Datenschutzbeauftragter: erst ab 20 Personen

Einen Datenschutzbeauftragten musst du benennen, wenn du in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigst (§ 38 Abs. 1 BDSG). Es zählen also nicht alle Köpfe im Betrieb. Nach der Auslegung des BayLDA zählt, wer ständig etwa Kunden- oder Personalverwaltung macht – nicht der Handwerker, der nur Namen und Adressen der Kunden kennt. Unabhängig von der Zahl brauchst du einen, wenn du Verarbeitungen durchführst, für die eine Datenschutz-Folgenabschätzung vorgeschrieben ist. Das ist im Handwerk die Ausnahme.

Fotos, WhatsApp und das verlorene Handy

Baustellenfotos sind erlaubt, solange du dokumentierst, was zum Auftrag gehört. Personen, Familienbilder und Post auf dem Tisch bleiben draußen, und für die Website brauchst du eine Einwilligung – Einzelheiten im Ratgeber Fotodokumentation auf der Baustelle.

Heikler ist WhatsApp. Sobald die App auf die Kontakte zugreifen darf, überträgt sie die Nummern aus dem Adressbuch – auch von Menschen, die nie zugestimmt haben. Das BayLDA schreibt, dass ein datenschutzkonformer Einsatz im Unternehmen deshalb und wegen der in den USA verarbeiteten Metadaten „in der Regel nicht zu begründen“ ist, und empfiehlt andere Messenger. Selbst wenn du das Adressbuch-Problem löst, müssen Kunden jederzeit einen gleichwertigen anderen Kontaktweg haben, etwa Telefon und E-Mail.

Löschen und Werbung: wie lange Kundendaten bleiben dürfen

Personenbezogene Daten darfst du nur so lange speichern, wie du sie brauchst (Art. 5 Abs. 1 Buchstabe e DSGVO). Gesetzliche Aufbewahrungspflichten gehen dem Löschen vor (Art. 17 Abs. 3): Rechnungen und andere Buchungsbelege acht Jahre, Bücher und Abschlüsse zehn (§ 147 AO). Bei Bauleistungen brauchst du die Auftragsunterlagen außerdem, solange Mängelansprüche drohen. Danach wird gelöscht. Das BayLDA nennt als Beispiel den Kunden, der mehrere Jahre lang keinen neuen Auftrag erteilt hat. Welche Frist für welches Papier gilt, steht im Ratgeber Aufbewahrungsfristen.

Und die Mail an alle Kunden, dass die Heizungswartung fällig ist? Werbung per E-Mail braucht grundsätzlich eine ausdrückliche Einwilligung (§ 7 Abs. 2 UWG). Ohne Einwilligung geht es nur bei Bestandskunden: Du hast die Adresse beim Auftrag bekommen, wirbst für eigene ähnliche Leistungen, der Kunde hat nicht widersprochen, und du weist ihn bei jeder Mail auf sein Widerspruchsrecht hin (§ 7 Abs. 3 UWG).

Fazit

Datenschutz im Handwerksbetrieb ist weniger Bürokratie, als der Ruf vermuten lässt: ein Verzeichnis mit fünf, sechs Zeilen, ein Datenschutzhinweis für Kunden und Mitarbeiter, Verträge mit den Dienstleistern, die deine Daten verarbeiten, und klare Regeln für Handy, Fotos und Messenger. Einen Datenschutzbeauftragten brauchen die meisten kleinen Betriebe nicht. Wer das einmal ordentlich aufsetzt, muss es danach nur noch aktuell halten.