Was ein Handwerksbetrieb an Daten verarbeitet
Ein typischer Betrieb kennt Namen, Anschriften, Telefonnummern und E-Mail-Adressen seiner Kunden, Angebote, Aufträge und Rechnungen, manchmal Fotos von Baustellen und Kundenräumen, Bewerbungen sowie Daten seiner Beschäftigten. Dazu kommen Daten der eigenen Website. Das sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung. Die Handwerkskammer für München und Oberbayern formuliert es so: Datenschutz ist Chefsache, die DSGVO gilt unabhängig von der Betriebsgröße.
Rechtsgrundlagen im Alltag
Für Kundendaten genügen in der Regel gesetzliche Grundlagen, ohne dass Sie eine Einwilligung brauchen (Art. 6 Abs. 1): Angebot, Auftrag und Rechnung stützen Sie auf den Vertrag (Buchstabe b), Buchhaltung und Aufbewahrung auf rechtliche Verpflichtungen (Buchstabe c). Berechtigte Interessen (Buchstabe f) kommen zum Beispiel für Werbung an Bestandskunden oder die Sicherung Ihres Betriebs in Betracht, sofern die Interessen der Betroffenen nicht überwiegen. Eine Einwilligung brauchen Sie für alles darüber hinaus, etwa Fotos von Beschäftigten, die Sie auf der Website veröffentlichen.
Kunden informieren
Nach Art. 13 informieren Sie betroffene Personen zum Zeitpunkt der Datenerhebung: wer verantwortlich ist, wofür Sie die Daten brauchen, auf welcher Rechtsgrundlage, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte bestehen. Nach der Handwerkskammer kann die Information direkt auf Angeboten oder Rechnungen stehen, es genügt auch ein Aushang oder ein Informationsblatt. Sie darf mehrstufig sein, muss aber vollständig zugänglich sein. Nach dem Bayerischen Landesamt für Datenschutzaufsicht informieren Sie Kunden bei Auftragsannahme, Mitarbeiter bei Beginn der Tätigkeit und mit einer Datenschutzerklärung auf Ihrer Website.
Website und Datenschutzerklärung
Wer eine Website betreibt, braucht eine Datenschutzerklärung, auch als Kleinunternehmer. Die Handwerkskammer weist darauf hin, dass Cookies grundsätzlich erst nach Einwilligung gesetzt werden dürfen, außer technisch notwendige. Kontaktformular, Karte, Analysewerkzeug und Schriftarten sind typische Stellen, an denen Daten fließen. Prüfen Sie, ob Ihr Anbieter Daten in Ihrem Auftrag verarbeitet, dann brauchen Sie einen Vertrag.
Dokumentation und Schutz der Daten
- Verzeichnis von Verarbeitungstätigkeiten: Handwerksbetriebe gehen regelmäßig mit Kunden- und Mitarbeiterdaten um und müssen nach dem Bayerischen Landesamt ein überschaubares Verzeichnis führen, einmal pro Verarbeitungsvorgang, nicht pro Kunde. Siehe Verzeichnis von Verarbeitungstätigkeiten.
- Beschäftigte: Wer mit personenbezogenen Daten umgeht, wird informiert und verpflichtet und regelmäßig geschult.
- Löschen: Erst nach Ablauf der gesetzlichen Aufbewahrungsfristen, die Fristen finden Sie im Beitrag Löschkonzept.
- Sicherheit: Nach dem Bayerischen Landesamt reichen im Regelfall Standardmaßnahmen: aktuelle Systeme, Passwortschutz, regelmäßige Datensicherung, Virenschutz und Benutzerrechte. Besonders wichtig bei Tablets und Smartphones, auf denen Kundendaten liegen. Mehr: technische und organisatorische Maßnahmen.
- Dienstleister: Mit Dienstleistern wie Website-Hosting schließen Sie einen Auftragsverarbeitungsvertrag. Ihren Steuerberater sieht das Bayerische Landesamt als eigenständigen Verantwortlichen, dafür ist kein Vertrag nötig.
Fotos auf der Baustelle und Messenger im Kundenkontakt
Zu Fotos von Baustellen und Kundenräumen haben wir keine Veröffentlichung einer Aufsichtsbehörde gefunden. Unsere Einschätzung nach den allgemeinen Regeln: Machen Sie Fotos zu einem klaren Zweck, etwa zur Dokumentation des Zustands oder zum Nachweis der Leistung, und achten Sie darauf, dass keine Personen, Dokumente oder persönliche Gegenstände erkennbar sind. Veröffentlichen Sie Fotos aus Kundenräumen, etwa auf Website oder in sozialen Medien, nur mit Einwilligung des Kunden. Mitarbeiterfotos auf der Website brauchen nach der Handwerkskammer ebenfalls eine Einwilligung.
Die Handwerkskammer bewertet die Nutzung von WhatsApp und ähnlichen Diensten im betrieblichen Kontext als datenschutzrechtlich kritisch. Besprechen Sie deshalb im Betrieb, welche Kanäle für Kundennachrichten erlaubt sind, und senden Sie Rechnungen, Pläne und Ausweisdaten nicht über private Messenger.
Datenpanne im Handwerk
Das Bayerische Landesamt nennt als Beispiele Diebstahl oder Verlust eines Tablets oder Smartphones mit unverschlüsselten Kundendaten, Hacking und die Fehlversendung einer Rechnung. Eine Meldung an die Aufsichtsbehörde erfolgt im Regelfall binnen 72 Stunden, Betroffene informieren Sie nur bei hohem Risiko. Ablauf: Datenpanne melden.
Datenschutzbeauftragter im Handwerksbetrieb
Ein Datenschutzbeauftragter ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG), oder wenn die anderen Pflichtfälle vorliegen. Kunden- und Personalverwaltung zählt. Handwerker und Produktionsmitarbeiter, die nur Namen und Adressen von Kunden nutzen, zählen nach dem Bayerischen Landesamt nicht mit. Ältere Veröffentlichungen nennen noch die Grenze von zehn Personen, sie ist überholt. Mehr: Datenschutzbeauftragter: ab wann Pflicht? Nach der Handwerkskammer ist eine gemeinsame Lösung über die Innung möglich.
Datenschutz ohne Papierkrieg
Ein externer Datenschutzbeauftragter bringt Ihren Betrieb mit überschaubarem Aufwand in Ordnung. Preise und Pakete: Preise.
