Die meisten Handwerksbetriebe brauchen keinen Datenschutzbeauftragten – müssen die DSGVO aber trotzdem vollständig einhalten. Das ist der Punkt, der regelmäßig missverstanden wird: Die Benennungspflicht und die Datenschutzpflichten sind zwei verschiedene Dinge. Wer unter der 20-Personen-Schwelle liegt, spart sich den Beauftragten, nicht die Dokumentation.
Wann ein Handwerksbetrieb einen Beauftragten benennen muss
Nach § 38 Abs. 1 BDSG, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Mitgezählt wird jede Person, die regelmäßig am Rechner mit Kunden-, Lieferanten- oder Beschäftigtendaten arbeitet – auch Teilzeitkräfte und Aushilfen, und unabhängig davon, ob es ihre Hauptaufgabe ist.
Das führt in gewachsenen Betrieben häufiger zur Pflicht als gedacht: Wenn Monteure Aufträge auf dem Tablet abrufen und Rückmeldungen erfassen, zählen sie mit. Mehr zur Schwelle steht auf der Seite Externer Datenschutzbeauftragter.
Was auch ohne Beauftragten gilt
Das Verarbeitungsverzeichnis
Art. 30 Abs. 5 DSGVO enthält zwar eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten – die aber praktisch kaum greift. Sie entfällt nämlich schon dann, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Laufende Kundenverwaltung und Lohnabrechnung sind nicht gelegentlich. Im Ergebnis braucht auch der Kleinbetrieb ein Verzeichnis.
Informationspflichten
Nach Art. 13 DSGVO sind Kunden bei der Erhebung ihrer Daten zu informieren – auf der Website, aber auch im Angebot und im Auftragsformular. Nach Art. 14 gilt das auch für Daten, die nicht beim Betroffenen selbst erhoben wurden.
Betroffenenrechte
Auskunft nach Art. 15, Berichtigung nach Art. 16, Löschung nach Art. 17. Die Frist von einem Monat aus Art. 12 Abs. 3 DSGVO gilt auch für den Zweimannbetrieb.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt ein angemessenes Schutzniveau. Angemessen heißt: passend zur Größe und zum Risiko – nicht, dass nichts nötig wäre.
Die typischen Stolperfallen im Handwerk
Fotos von der Baustelle
Referenzbilder auf Website und Social Media sind Standard. Sind Personen erkennbar, braucht es eine Rechtsgrundlage nach Art. 6 DSGVO; bei Beschäftigten kommt § 26 BDSG hinzu, und für die Veröffentlichung von Bildnissen ist zusätzlich das Kunsturhebergesetz zu beachten. Eine Einwilligung des Auftraggebers für sein Objekt ersetzt nicht die Einwilligung abgebildeter Personen.
GPS in Fahrzeugen
Ortung von Firmenfahrzeugen ist eine Verarbeitung von Beschäftigtendaten. Sie braucht eine tragfähige Rechtsgrundlage, eine Zweckbindung und – wo ein Betriebsrat besteht – dessen Beteiligung. Dauerhafte Ortung ohne konkreten Zweck ist regelmäßig unzulässig.
WhatsApp für die Auftragsabwicklung
Bequem und weit verbreitet, datenschutzrechtlich heikel: Kundennamen, Adressen und Fotos laufen über einen Dienst, für den weder ein Auftragsverarbeitungsvertrag noch eine belastbare Rechtsgrundlage vorliegt. Für die betriebliche Nutzung sollte eine Alternative geprüft werden.
Videoüberwachung von Lager und Hof
Zulässig bei berechtigtem Interesse nach Art. 6 Abs. 1 lit. f DSGVO, aber nur mit Hinweisbeschildern, begrenzten Speicherfristen und ohne Erfassung öffentlicher Flächen oder von Arbeitsplätzen.
Der alte Rechner im Büro
Nicht mehr mit Updates versorgte Systeme mit Kundendaten sind ein Verstoß gegen Art. 32 DSGVO – und der häufigste Einstiegspunkt für Ransomware. Was dann passiert, steht unter Datenpanne melden.
Was ein Kleinbetrieb realistisch braucht
Kein Ordnersystem und keine Konzernlösung. Gebraucht werden: ein aktuelles Verarbeitungsverzeichnis, Datenschutzhinweise für Kunden und Beschäftigte, Auftragsverarbeitungsverträge für die eingesetzten Dienstleister, ein knappes Löschkonzept und eine geregelte Meldekette für Zwischenfälle. Das ist überschaubar – aber es muss existieren, bevor jemand danach fragt.
Ob in Ihrem Betrieb eine Benennungspflicht besteht, klären wir in einem kurzen Gespräch. Wir betreuen Betriebe in Stadt und Landkreis Osnabrück vor Ort: 05406 500 4210 oder über das Kontaktformular. Womit zu rechnen ist, steht unter Kosten.
Häufige Fragen
Braucht ein Handwerksbetrieb einen Datenschutzbeauftragten?
Nur, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind (§ 38 Abs. 1 BDSG) oder eine der Ausnahmen nach Art. 37 Abs. 1 DSGVO greift. Unterhalb der Schwelle gelten die übrigen Datenschutzpflichten trotzdem.
Zählen Monteure mit Tablet zur 20-Personen-Schwelle?
In der Regel ja, wenn sie regelmäßig Auftragsdaten abrufen oder erfassen. Entscheidend ist die ständige Befassung mit automatisierter Verarbeitung, nicht die Stellenbezeichnung.
Muss ein kleiner Betrieb ein Verarbeitungsverzeichnis führen?
In aller Regel ja. Die Ausnahme in Art. 30 Abs. 5 DSGVO entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt – was bei laufender Kundenverwaltung der Fall ist.
Dürfen Baustellenfotos auf die Website?
Nur mit tragfähiger Rechtsgrundlage. Sind Personen erkennbar, ist zusätzlich das Recht am eigenen Bild zu beachten; die Zustimmung des Auftraggebers genügt dafür nicht.
Ist WhatsApp im Betrieb erlaubt?
Für die Verarbeitung von Kundendaten ist die Nutzung datenschutzrechtlich problematisch, weil weder Auftragsverarbeitungsvertrag noch belastbare Rechtsgrundlage vorliegen. Für betriebliche Zwecke sollte eine Alternative eingesetzt werden.
