Der Datenschutz-Check für Handwerk & Kleinbetriebe

Ja. Jede geschäftliche Website braucht eine vollständige, aktuelle Datenschutzerklärung – auch die kleinste Handwerker-Seite mit nur einer Kontaktseite. Eine fehlende oder veraltete Datenschutzerklärung ist einer der häufigsten Abmahngründe für kleine Betriebe. Sie muss alle tatsächlich genutzten Dienste abdecken: Kontaktformular, eingebundene Karten, Schriften und Statistik-Tools. Der Aufwand für die Korrektur ist gering – das Risiko, es zu lassen, sind Abmahnkosten ab mehreren hundert Euro.

Nein. Solche Drittdienste übertragen Besucherdaten in die USA, bevor der Besucher zustimmen konnte – das verstößt gegen DSGVO und TDDDG und ist für jeden Abmahner von außen in Sekunden nachweisbar. Erlaubt sind sie nur nach vorheriger Einwilligung über ein Banner mit echter Blockierung. Alternativen: Karten als Bild einbinden, Videos mit Zwei-Klick-Lösung, datenschutzfreundliche Statistik-Tools.

Nur mit dokumentierter Einwilligung, sobald Personen erkennbar sind. Jede erkennbare Person auf Ihren Fotos – Mitarbeiter wie Kunden – kann die Veröffentlichung untersagen und Schadensersatz verlangen. Besonders heikel: ausgeschiedene Mitarbeiter auf der Team-Seite. Die Lösung ist eine kurze schriftliche Einwilligung als Standard-Formular, bei Mitarbeitern getrennt vom Arbeitsvertrag, damit sie freiwillig bleibt.

Nur mit nachweisbarer Einwilligung. Werbe-Mails ohne Einwilligung verstoßen gegen UWG und DSGVO – schon eine einzige Mail kann eine Abmahnung auslösen. Auch die freundliche „Wir machen jetzt auch Badsanierung"-Mail an alte Kunden ist rechtlich Werbung. Für Bestandskunden gibt es eine enge Ausnahme (§ 7 Abs. 3 UWG), die aber vier Bedingungen gleichzeitig erfordert. Sauberes Double-Opt-in für neue Kontakte ist der sichere Weg.

Ja, ein großes. Privates WhatsApp lädt das komplette Adressbuch – also alle Kundenkontakte – auf Meta-Server, ohne dass die Kunden je zugestimmt haben. Dazu liegen Baustellenfotos und Absprachen auf Privatgeräten, die dem Betrieb nicht gehören. Geregelte Alternativen: eine Firmen-App mit Rollensystem (z. B. eine Baustellendoku-App) oder WhatsApp Business auf einem dedizierten Firmengerät mit klaren Regeln.

Ein AVV ist Pflicht, sobald ein Dienstleister Zugriff auf Ihre Kunden- oder Mitarbeiterdaten hat – etwa IT-Betreuung, Website-Hoster, Cloud-Software oder externes Lohnbüro (Art. 28 DSGVO). Ohne AVV haften Sie für Fehler des Dienstleisters mit, und der fehlende Vertrag selbst ist bereits ein Verstoß. Die gute Nachricht: Seriöse Anbieter halten fertige AVV zum Download bereit – oft ist es ein Klick im Kundenkonto.

Ja – jede beschäftigte Person, auch Azubis und Aushilfen, sollte einmalig eine Verpflichtung auf die Vertraulichkeit (das „Datengeheimnis") unterschreiben. Ohne diese Dokumentation können Sie bei einer Datenpanne durch einen Mitarbeiter nicht nachweisen, dass Sie Ihre Pflichten erfüllt haben – die Verantwortung bleibt komplett bei Ihnen. Es genügt eine einseitige Standard-Erklärung, die in der Personalakte abgelegt wird.

Praktisch ja: Aufsichtsbehörden fragen im Ernstfall zuerst nach Schulungsnachweisen. Die meisten Datenpannen passieren durch Unwissen – die E-Mail an den falschen Verteiler, der Phishing-Klick. Es muss kein Seminar sein: Eine kurze jährliche Unterweisung von etwa 30 Minuten mit Merkblatt und unterschriebener Teilnehmerliste reicht für den Anfang. Wichtig ist, dass sie stattfindet und dokumentiert ist.

Vor unbefugtem Zugriff geschützt: abschließbarer Schrank für Papier, zugriffsbeschränkte Ordner für digitale Unterlagen. Gesundheitsdaten (Krankmeldungen!) und Gehälter gehören zu den sensibelsten Daten im Betrieb – sie gehen nur die Geschäftsführung und die Lohnabrechnung etwas an. Liegen sie im offenen Regal oder auf dem gemeinsamen Netzlaufwerk, ist das ein Verstoß mit hohem Konfliktpotenzial im Team.

Ja. Mit geteilten Zugängen lässt sich nie nachvollziehen, wer was gemacht hat – und ein einziger unvorsichtiger Mitarbeiter kompromittiert alles. Die DSGVO verlangt angemessene technische Maßnahmen (Art. 32), dazu gehören eigene Benutzerkonten pro Person, ein Passwort-Manager für den Betrieb und Zwei-Faktor-Anmeldung mindestens für E-Mail-Konto und Online-Banking.

Veraltete Systeme sind das häufigste Einfallstor für Verschlüsselungstrojaner – und wenn dabei Kundendaten abfließen, ist das eine meldepflichtige Datenpanne. Deshalb gilt: automatische Updates auf allen PCs, Smartphones und Kassensystemen aktivieren und Altgeräte ohne Update-Versorgung ausmustern oder vom Netz trennen. Auch das alte Büro-Notebook in der Ecke zählt – gerade das.

Ja – die DSGVO verlangt ausdrücklich die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen (Art. 32). Ohne funktionierendes Backup bedroht ein Kryptotrojaner oder ein Festplattendefekt direkt die Existenz des Betriebs. Bewährt ist die 3-2-1-Regel: drei Kopien, zwei verschiedene Medien, eine Kopie außer Haus – plus eine Probewiederherstellung einmal im Jahr. Ein Backup, das nie zurückgespielt wurde, ist nur eine Hoffnung.

Nur mit klarer schriftlicher Regelung. Verlässt ein Mitarbeiter den Betrieb, gehen Kundendaten und Fotos sonst einfach mit – und bei Verlust des Privathandys haben Sie eine Datenpanne auf einem Gerät, auf das Sie keinen Zugriff haben. Entweder Firmengeräte stellen oder eine BYOD-Vereinbarung mit Mindestschutz treffen: Sperrcode, keine Weitergabe an Dritte, Löschung bei Austritt.

Sie bleiben verantwortlich, egal wo die Daten liegen. Wichtig sind der Speicherort (EU bevorzugt) und ein Auftragsverarbeitungsvertrag mit dem Anbieter. Bei Anbietern außerhalb der EU braucht es eine geprüfte Rechtsgrundlage wie das Data Privacy Framework oder Standardvertragsklauseln. Einmal alle genutzten Dienste auflisten und Speicherort plus AVV prüfen – das ist in ein bis zwei Stunden erledigt.

Das VVT ist die zentrale Übersicht, welche personenbezogenen Daten Ihr Betrieb wofür verarbeitet (Art. 30 DSGVO) – und das erste Dokument, das eine Aufsichtsbehörde bei einer Prüfung anfordert. Es nicht zu haben, ist ein eigenständiger Verstoß. Die oft zitierte Ausnahme für Kleinbetriebe greift nicht, sobald regelmäßig Mitarbeiter- oder Kundendaten verarbeitet werden – also praktisch immer. Mit Vorlagen ist es für einen typischen Handwerksbetrieb in wenigen Stunden erstellt.

Schnell handeln: Datenpannen – gestohlener Laptop, gehacktes E-Mail-Konto, Fehlversand – müssen der Aufsichtsbehörde gegebenenfalls binnen 72 Stunden gemeldet werden (Art. 33 DSGVO). Die Frist läuft ab Kenntnis, auch übers Wochenende; eine verspätete Meldung wird separat sanktioniert. Deshalb gehört in jeden Betrieb ein einseitiger Notfallplan: Wer wird informiert, wann muss gemeldet werden, wie lautet der Kontakt der Aufsichtsbehörde.

Jeder Kunde kann Auskunft verlangen, welche Daten Sie über ihn gespeichert haben, und deren Löschung fordern – Sie haben dafür einen Monat Zeit. Eine unvollständige oder verspätete Antwort ist ein beliebter Hebel in Konflikten und führt regelmäßig zu Beschwerden bei der Aufsichtsbehörde. Voraussetzung ist, dass Sie wissen, wo Kundendaten überall liegen: E-Mail, Rechnungsprogramm, Ordner, Handy. Genau diese Übersicht liefert das Verarbeitungsverzeichnis.

Ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, ist die Benennung eines Datenschutzbeauftragten gesetzlich vorgeschrieben (§ 38 BDSG) – die Nichtbenennung ist unmittelbar bußgeldbewehrt. Unabhängig von dieser Schwelle gilt die Pflicht auch bei besonders sensiblen Datenkategorien. Für kleine Betriebe ist ein externer Datenschutzbeauftragter meist deutlich günstiger als ein intern ausgebildeter – und das Fachwissen kommt gleich mit ins Haus.