In einem Satz. Auch Handwerksbetriebe unterliegen vollständig der DSGVO — typische Pflichten betreffen Kundendaten (Auftrag, Rechnung), Foto-Dokumentation von Baustellen, AVV mit Subunternehmern und Buchhaltern, sowie Mitarbeiterdaten — pragmatische Umsetzung mit minimalem Aufwand ist Standard für KMU mit <250 Beschäftigten.
Wichtige Punkte
- Kein DSB-Pflicht bei <20 Personen mit Datenverarbeitung.
- Verzeichnis nach Art. 30 trotzdem erforderlich.
- Foto-Dokumentation Baustelle: Einwilligung bei Personen.
- AVV mit Buchhalter, Steuerberater, Cloud-Diensten.
- Innungs-/Kammer-Vorlagen oft als Basis nutzbar.
1. Typische Verarbeitungen
| Zweck | Rechtsgrundlage |
|---|---|
| Auftragsabwicklung | Art. 6 Abs. 1 lit. b |
| Rechnungsstellung | Art. 6 Abs. 1 lit. c |
| Marketing | Art. 6 Abs. 1 lit. a |
| Foto-Dokumentation Baustelle | Art. 6 Abs. 1 lit. f / a |
| Mitarbeiterdaten | BDSG § 26 |
2. Datenschutzbeauftragter — Pflicht?
Pflicht nach BDSG § 38 nur wenn:
- mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt, ODER
- besondere Datenkategorien (Gesundheit) systematisch, ODER
- DSFA-pflichtige Verarbeitung.
Die meisten Handwerksbetriebe (< 20 Personen) brauchen keinen DSB — aber alle Pflichten gelten trotzdem.
3. Verzeichnis nach Art. 30
Pflicht ab erster Verarbeitung. Inhalte:
- Verantwortlicher, Kontakt.
- Verarbeitungszwecke.
- Kategorien Betroffener und Daten.
- Empfänger (z.B. Steuerberater).
- Löschfristen.
- Technische/organisatorische Maßnahmen.
4. Foto-Dokumentation Baustelle
- Sachfotos (nur Bauteile): Art. 6 Abs. 1 lit. f, kein Personenbezug.
- Fotos mit Mitarbeitern: § 26 BDSG + Einwilligung.
- Fotos mit Kunden/Anwohnern: Einwilligung oder berechtigtes Interesse.
- Veröffentlichung in Social Media: KunstUrhG § 22 zusätzlich beachten.
5. Subunternehmer
- AVV nach Art. 28 wenn Subunternehmer im Auftrag Daten verarbeitet (selten bei klassischen Gewerken).
- Bei Datenübermittlung (z.B. Kundenadresse zur Materiallieferung): nicht zwingend AVV, aber Vertrag mit Geheimhaltung.
6. Steuerberater und Buchhalter
- AVV erforderlich, da sie Kunden- und Mitarbeiterdaten verarbeiten.
- Standard-AVVs der Steuerberaterkammer nutzbar.
- Aufbewahrungsfristen 10 Jahre (HGB, AO).
7. Cloud-Tools
Typische Handwerker-Tools (HERO, openHandwerk, MeisterTask):
- AVV vorhanden? Standard-Vertrag prüfen.
- Server in EU?
- Backup-Konzept?
- Bei US-Tools: TIA und SCC.
8. Mitarbeiterdaten
- Personalakte digital oder Papier nach BDSG § 26.
- Zugriff streng auf Inhaber/Personalverantwortliche begrenzt.
- Lohnabrechnung beim Steuerberater = AVV oder Funktionsübertragung.
- Bewerberdaten: Löschung nach 6 Monaten (AGG-Klagefrist) Standard.
9. Webseite
- Datenschutzerklärung Pflicht.
- Cookie-Banner mit echter Wahl bei Tracking-Cookies.
- Kontaktformular: nur erforderliche Felder Pflicht.
- Hosting in EU bevorzugen.
10. Datenpanne
11. Tool-Unterstützung
11. Sektor-spezifische Enforcement-Fälle
| Jahr | Behörde | Fall | Sanktion | Lehre |
|---|---|---|---|---|
| 2020 | LfDI BW | H&M Hamburg (Retail-Beispiel) | 35.300.000 € | exzessive Mitarbeiterprofile |
| 2020 | LfD Berlin | Deutsche Wohnen (Immobilien) | 14.500.000 € | Aufbewahrungsverstoß |
| 2021 | LfDI Niedersachsen | Notebooksbilliger (E-Commerce) | 10.400.000 € | dauerhafte Videoüberwachung |
| 2022 | LDA Bayern | VW (Industrie) | 1.100.000 € | unzureichende AVV-Kontrolle |
| 2023 | HmbBfDI | Vattenfall (Energie) | 900.000 € | unzulässige Bonitätsprüfung |
| 2023 | LfD Berlin | Online-Plattform | 525.000 € | unzulässiges Targeted Advertising |
| 2024 | LDA Bayern | Pflegedienst | 280.000 € | Patientenakten ungesichert |
Aus diesen Fällen lassen sich Branchenmuster ableiten: Sanktionen treffen typisch Großbetriebe mit jahrelang aufgebauten unzulässigen Praktiken (Massenüberwachung, Profilbildung) oder mittelständische Akteure mit systematischen TOM-Defiziten.
12. Sektor-Standards und Codes of Conduct
Branchenspezifische Standards reduzieren das Compliance-Risiko:
Zertifizierung allein schützt nicht vor Sanktionen, dokumentiert aber Sorgfalt — wirkt sich bußgeldmindernd aus.
13. AVV-Anforderungen im Sektor
Typische Sub-Auftragsverarbeiter im Sektor: Cloud-Hoster (AWS, Azure, GCP, Deutsche Cloud-Anbieter), CRM-Anbieter (HubSpot, Salesforce, Pipedrive), E-Mail-Versender (Brevo, Mailjet, Inxmail), Hosting (Hetzner, Strato), Analytics (Matomo, Plausible). Jeder benötigt eigenen AVV plus TIA bei Drittlandstransfer.
14. 5-Schritte-Compliance-Plan für den Sektor
15. Häufige Audit-Befunde im Sektor
16. Branchenvergleich Sanktionsrisiko
| Branche | Typisches Sanktionsvolumen | Häufigste Verstöße |
|---|---|---|
| Handel/E-Commerce | 50.000 - 10 Mio. € | Marketing-Tracking, AVV-Lücken |
| Industrie | 100.000 - 35 Mio. € | Beschäftigtendatenschutz |
| Gesundheit/Pflege | 30.000 - 1 Mio. € | TOM-Defizite, Akten ungesichert |
| Energie/Versorger | 50.000 - 900.000 € | SCHUFA-Abfragen, Smart-Meter |
| Bildung | 5.000 - 100.000 € | MS 365 ohne TIA, Schülerdaten |
| Vereine/NGO | 1.000 - 50.000 € | fehlender DSB, AVV-Lücken |
| Influencer/Creator | 5.000 - 200.000 € | Cookie-Banner, Tracking-Pixel |
Höhere Sanktionen treten meist erst nach systematischen Verstößen oder Wiederholungsfällen auf. Erstverfahren enden in 60-70 % der Fälle mit Verwarnung oder Anordnung.
18. DSFA-Pflicht im Sektor
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist im Sektor regelmäßig erforderlich bei: systematischer Überwachung von Personen, Verarbeitung besonderer Kategorien in großem Umfang, Profiling mit Rechtsfolgen, Einsatz neuer Technologien (KI, Biometrie, IoT). Die DSK-Liste “Muss-DSFA” gibt verbindliche Beispiele. Ablauf: (1) Schwellenwertanalyse, (2) systematische Beschreibung, (3) Notwendigkeits- und Verhältnismäßigkeitsprüfung, (4) Risikobewertung, (5) Schutzmaßnahmen, (6) DSB-Stellungnahme, ggf. Konsultation Aufsichtsbehörde nach Art. 36.
Praxis-Tipp: DSFA-Templates der DSK oder der CNIL (PIA-Tool) verwenden — beide werden von deutschen Aufsichten anerkannt.
19. Branchenkodex und Zertifizierung
Branchenspezifische Verhaltensregeln nach Art. 40 DSGVO können bei akkreditiertem Verband bindende Wirkung entfalten. Bestehende Kodizes: GDD-Code für KMU, BVDW-Code für Online-Marketing, DGUV-Sektorstandards Gesundheit. Zertifizierung nach Art. 42 DSGVO durch akkreditierte Stellen (z.B. TÜV, DEKRA, EuroPriSe) dokumentiert Sorgfalt, wirkt bußgeldmindernd. Kosten Erstzertifizierung 15.000-80.000 €, Re-Audit alle 3 Jahre.
20. Schnittstelle zu NIS2 und DORA
21. Häufige strategische Fehler im Sektor
- Datenschutz wird als reine IT-Aufgabe gesehen, nicht als Geschäftsprozess.
- DSB ohne Direktzugang zur Geschäftsleitung — Verstoß Art. 38 Abs. 3.
- Kein Budget für Schulungen — Risiko über Mitarbeiterfehler.
- Cloud-Migration ohne TIA und ohne Vertragsanpassung.
- Marketing-Tracking ohne TTDSG-konforme Einwilligung.
- Keine dokumentierte Schwellenwertanalyse für DSFA-Pflicht.
- Vorhandene AVV werden nicht regelmäßig auf Aktualität geprüft.
Fazit
Handwerk ist nicht von DSGVO ausgenommen, aber die Pflichten sind im Vergleich zu Industrie/Online überschaubar. Mit Standard-Vorlagen der Innung und einem 2-3-stündigen Setup ist solide Konformität für die meisten Betriebe machbar. Wer zusätzlich ein Ladengeschäft betreibt, findet die Handelsthemen in unserem Leitfaden für den Einzelhandel.
Amtliche Quellen
- Verordnung (EU) 2016/679 (DSGVO) — konsolidierter Volltext auf EUR-Lex
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)
- Datenschutzkonferenz (DSK) — Beschlüsse und Orientierungshilfen der Aufsichtsbehörden
- Europäischer Datenschutzausschuss (EDPB) — Leitlinien
FAQ
Brauche ich als Handwerker einen DSB?
Nur ab 20 Personen mit ständiger automatisierter Verarbeitung. Die meisten Handwerksbetriebe sind unter der Schwelle.
Darf ich Baustellenfotos posten?
Sachfotos ja, Fotos mit erkennbaren Personen nur mit Einwilligung. Auf Social Media zusätzlich KunstUrhG beachten.
Brauche ich AVV mit dem Steuerberater?
Ja, Standard-AVV der Steuerberaterkammer ist üblich und ausreichend.
Wie lange muss ich Kundendaten aufbewahren?
Buchhaltungsrelevante Daten 10 Jahre (HGB, AO). Marketing-Daten bis Widerruf der Einwilligung.
Was bei verlorenem Handwerker-Tablet?
Wenn Kundendaten betroffen: 72h-Meldepflicht an Landes-DPA prüfen. Mit Geräteverschlüsselung sinkt Risiko erheblich.
Welche Behörde ist für meinen Sektor zuständig?
Brauche ich einen Datenschutzbeauftragten?
Nach § 38 BDSG ab 20 mit der automatisierten Verarbeitung beschäftigten Personen, unabhängig vom Sektor. Zusätzlich Pflicht nach Art. 37 DSGVO bei Kernverarbeitung sensibler Daten oder umfangreicher systematischer Überwachung — typisch bei Pflegediensten, Online-Shops mit Profiling, Influencern mit Tracking. Externer DSB kann beauftragt werden; Vorteile: spezialisierte Expertise, Kosten 6.000-30.000 €/Jahr je nach Unternehmensgröße.
Wie hoch sind realistische Bußgelder im Mittelstand?
Erstverfahren ohne Vorsatz typisch 5.000-50.000 €. Wiederholungsfälle oder vorsätzliche Verstöße können in den 6-stelligen Bereich gehen. Systematische Verstöße (Massenverarbeitung, Profilbildung) bis 7-stellig und höher — siehe Notebooksbilliger 10,4 Mio. €. Die Bemessung folgt EDSA-Guidelines 4/2022 mit Multiplikator nach Konzernumsatz. Kooperation und Mitwirkung senken den Betrag deutlich.
Welche TOM sind im Sektor Pflicht?
Wie läuft ein Audit der Behörde ab?
Ankündigung (in der Regel 2-6 Wochen vor Ort), Unterlagenanforderung (Art. 30-Verzeichnis, AVV-Liste, DSFA, TOM-Dokumentation, Schulungsnachweise, DSB-Berichte), Vor-Ort-Besuch (1-3 Tage), Befundbericht, Anhörung, Maßnahmenkatalog mit Fristen, bei Verstößen Bußgeldverfahren. Vorbereitung: dokumentierte Compliance, klare Verantwortlichkeiten, geübter DSB als Single Point of Contact.