DSGVO im Handwerk: 6 typische Fallen + Lösungen

Hauptartikel: Verarbeitungsverzeichnis erstellen — dort stehen die neun VVT-Felder je Verarbeitungstätigkeit (acht Pflichtfelder aus den sieben Angaben des Art. 30 Abs. 1 lit. a–g DSGVO, dazu die Rechtsgrundlage als Praxisfeld), die 250-Beschäftigten-Ausnahme im Detail und 14 typische KMU-Einträge.

1. Kunden-Daten in Excel-Listen

Eine Excel-Kundenliste mit Adressen und Terminen ist kein Problem an sich — sie gehört aber ins Verarbeitungsverzeichnis (VVT), braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, eine Zugriffsbeschränkung und eine Löschregel.

Konkret: Art. 30 Abs. 1 DSGVO zählt sieben Pflichtangaben auf (lit. a–g). Weil lit. c zwei Punkte bündelt — Kategorien betroffener Personen und Kategorien personenbezogener Daten —, führt die Praxis daraus acht Pflichtfelder je Verarbeitungstätigkeit, ergänzt um die Rechtsgrundlage als neuntes Feld. Die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur kumulativ: weniger als 250 Beschäftigte UND kein Risiko für die Rechte und Freiheiten der betroffenen Personen UND keine regelmäßige Verarbeitung UND keine besonderen Kategorien nach Art. 9 bzw. strafrechtlichen Daten. Kundenstamm, Newsletter und Lohnabrechnung sind regelmäßige Verarbeitungen — damit ist die Ausnahme für den typischen Handwerksbetrieb erledigt. Der amtliche Wortlaut stellt dabei auf „ein Risiko" ab, nicht auf ein hohes Risiko; die Schwelle „hohes Risiko" gilt allein für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO.

„Zugriff einschränken" ist die technische und organisatorische Maßnahme nach Art. 32 DSGVO; im VVT genügt der Verweis auf ein zentrales TOM-Konzept statt einer Wiederholung je Zeile — kein VVT ohne TOM-Anhang, und die Aufsicht prüft das Konzept daraufhin, ob es zur Risikolage der Verarbeitungen passt. Praxisempfehlung (keine gesetzliche Vorgabe): Für die Kundenliste heißt das konkret: benannter Ablageort statt Desktop-Kopien, namentliches Rechtekonzept, verschlüsseltes Laufwerk oder Passwortschutz — einmal im TOM-Anhang festgehalten, im VVT nur referenziert. Bei den Löschfristen sind die Aufbewahrungspflichten je Datenkategorie zu erfassen (in Deutschland HGB/AO 10 Jahre, SGB 5 Jahre, arbeitsrechtliche Aufbewahrung); der Konflikt mit dem Löschanspruch aus Art. 17 DSGVO wird dokumentiert, nicht ignoriert. Ein Dokumentationsfehler taucht dabei immer wieder auf: ein VVT als PDF statt in einem bearbeitbaren Format.

2. Mitarbeiter-Tracking via GPS-Fahrzeug

In Deutschland steht und fällt die GPS-Ortung von Firmenfahrzeugen mit zwei datenschutzrechtlichen Prüfungen: den Voraussetzungen des § 26 BDSG für Beschäftigtendaten und einer Datenschutz-Folgenabschätzung bei hohem Risiko; daneben ist die Mitbestimmung des Betriebsrats zu klären, soweit im Betrieb ein Betriebsrat besteht. Für Österreich gilt der Maßstab am Ende dieses Abschnitts.

In Deutschland ist § 26 BDSG die Norm für Beschäftigtendaten — sie gilt nur dort. Ergibt die Vorprüfung ein voraussichtlich hohes Risiko für die Rechte und Freiheiten der Betroffenen, insbesondere bei Verwendung neuer Technologien, ist die Datenschutz-Folgenabschätzung vorab durchzuführen (Art. 35 Abs. 1 DSGVO); Regelbeispiele nennt Art. 35 Abs. 3 DSGVO, unter anderem die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Praxisempfehlung (keine gesetzliche Vorgabe): das Ergebnis dieser Vorprüfung schriftlich festhalten, auch wenn es gegen eine DSFA ausfällt — bei einer Aufsichtsanfrage ist die Dokumentation der Nachweis (Art. 5 Abs. 2 DSGVO).

Die Folge wird häufig übersehen: Unterliegt eine Verarbeitung der DSFA-Pflicht nach Art. 35 DSGVO, ist in Deutschland ein Datenschutzbeauftragter zu benennen — unabhängig von der Zahl der beschäftigten Personen (§ 38 Abs. 1 Satz 2 BDSG). Ein Betrieb mit acht Beschäftigten kann also zur Benennung eines Datenschutzbeauftragten verpflichtet sein, ohne die 20-Personen-Schwelle des § 38 Abs. 1 Satz 1 BDSG je zu erreichen.

Österreich: Das DSG enthält keinen eigenen Beschäftigtendatenschutz-Paragrafen. Maßstab sind Art. 6 und Art. 88 DSGVO; enthalten die Beschäftigtendaten besondere Kategorien, gilt zusätzlich das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO. Kontrollmaßnahmen, die die Menschenwürde berühren, sind nur mit Zustimmung des Betriebsrats bzw. per Betriebsvereinbarung zulässig (§ 96 Abs. 1 Z 3 ArbVG). Die Verarbeitung gehört ins Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO); „Fuhrpark + GPS-Tracking" gehört zu den typischen KMU-Einträgen. Praxisempfehlung (keine gesetzliche Vorgabe): den Ortungszweck schriftlich begrenzen.

3. Baustellen-Fotos (Personen erkennbar)

Sobald Personen auf dem Foto erkennbar sind, verarbeiten Sie personenbezogene Daten und brauchen eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, bevor das Bild auf Website, Angebot oder Social Media landet — praktisch führen zwei Wege am schnellsten zum Ziel: Pixelung oder schriftliche Einwilligung.

Wer die Einwilligung wählt (Art. 6 Abs. 1 lit. a DSGVO), muss nachweisen können, dass eingewilligt wurde (Art. 7 Abs. 1 DSGVO), und den Widerruf jederzeit sowie so einfach ermöglichen, wie die Einwilligung erteilt wurde (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Praxisempfehlung (keine gesetzliche Vorgabe): Zu jedem Foto eine Liste der Veröffentlichungsorte führen — ohne sie lässt sich ein Widerruf praktisch nicht umsetzen. Wer sich stattdessen auf berechtigte Interessen stützt (Art. 6 Abs. 1 lit. f DSGVO), dokumentiert die Abwägung; die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt den Nachweis. Der andere Weg, die Pixelung, trägt nur, soweit auf dem Bild danach keine Person mehr erkennbar ist; bleibt sie erkennbar, gilt der erste Satz dieses Abschnitts und Sie brauchen weiterhin eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.

Deutschland: Neben Art. 6 DSGVO tritt bei erkennbaren Personen das KunstUrhG (Recht am eigenen Bild) — rein deutsches Recht. Sind eigene Beschäftigte auf dem Bild, kommt § 26 BDSG als Norm für Beschäftigtendaten hinzu (siehe Abschnitt 2).

Österreich: Der Bildnisschutz folgt aus § 78 UrhG. Läuft auf der Baustelle nicht nur die Handykamera, sondern eine dauerhafte Bildaufnahme (Videoüberwachung), greifen zusätzlich §§ 12, 13 DSG: Kennzeichnungspflicht nach § 13 Abs. 5 DSG und die 72-Stunden-Regel des § 13 Abs. 3 DSG — eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen. Eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist nach § 12 Abs. 4 Z 2 DSG unzulässig.

4. Subunternehmer-AVV

Zuerst die Rolle klären, dann den Vertrag: Wer bei einer Daten-Weitergabe in Ihrem Auftrag verarbeitet — typischerweise IT-Dienstleister oder Buchhaltung —, ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) und braucht einen AVV nach Art. 28 DSGVO; wer Zwecke und Mittel gemeinsam mit Ihnen festlegt, ist gemeinsam Verantwortlicher (Art. 26 DSGVO). Der Steuerberater ist dagegen eigenständig Verantwortlicher, kein Auftragsverarbeiter: Er gehört als Empfänger ins VVT, einen AVV braucht es für ihn nicht.

Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag muss nach Art. 28 Abs. 3 DSGVO mindestens Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Die Rollenzuordnung selbst folgt Art. 4 Nr. 7 DSGVO (Verantwortlicher) und Art. 4 Nr. 8 DSGVO (Auftragsverarbeiter) — Auftragsverarbeitung mit eigentlich gemeinsamer Verantwortlichkeit zu verwechseln, gehört zu den häufigen Dokumentationsfehlern.

Jeder Empfänger gehört zusätzlich ins VVT: Die Kategorien der Empfänger sind Pflichtangabe nach Art. 30 Abs. 1 DSGVO. Veraltete Empfänger-Listen — der alte IT-Dienstleister steht noch drin, der neue fehlt — sind nach Praxiserfahrung ein häufiger Befund in der Prüfung; nach Einschätzung der Redaktion geht die Aufsicht dabei typischerweise in der Reihenfolge VVT, AVV, TOM, DSFA vor. Praxisempfehlung: AVV und VVT-Zeile beim Vertragsschluss gemeinsam anlegen, nicht nachträglich.

Österreich: Für die Auftragsverarbeitung gibt es keine AT-Sonderregel — es gilt Art. 28 Abs. 1 und Abs. 3 DSGVO. Zusätzlich verpflichtet § 6 DSG Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter auf das Datengeheimnis.

5. WhatsApp-Kommunikation mit Kunden

WhatsApp ist ein US-Anbieter, die Nutzung also eine Drittlandübermittlung — Sie brauchen eine separate, dokumentierte Einwilligung des Kunden oder eine Alternative wie Threema Work oder Element, deren Sitz, Serverstandort und AVV nach Art. 28 DSGVO Sie vorab prüfen; bleibt es bei WhatsApp, kommt der Eintrag zur Drittlandübermittlung mit Garantie im VVT hinzu.

Eine in den AGB "mitverpackte" Einwilligung genügt nicht: Die Einwilligung muss für den konkreten Fall, in informierter Weise und unmissverständlich erteilt werden (Art. 6 Abs. 1 lit. a DSGVO); sie muss nachweisbar und so einfach widerrufbar sein, wie sie erteilt wurde (Art. 7 Abs. 1 und Abs. 3 DSGVO, ausformuliert in Abschnitt 3).

Ergänzend zur Dokumentation: Drittlandübermittlungen gehören mit der jeweiligen Garantie (SCC, Data Privacy Framework oder BCR) ins VVT — der fehlende Drittland-Hinweis bei US-Tools gehört nach Praxiserfahrung zu den häufigen VVT-Fehlern. Rechtsgrundlage und Übermittlungsgarantie sind dabei zwei getrennte VVT-Felder: Die dokumentierte Einwilligung gehört in das Feld zur Rechtsgrundlage (Art. 6 Abs. 1 lit. a DSGVO), die Garantie in das Feld zur Drittlandübermittlung — eines ersetzt das andere nicht. Praxisempfehlung: Welche der drei Garantien ein Anbieter nutzt, steht in seinen Datenschutzangaben; im VVT gehört sie in eine eigene Spalte neben die Drittlandübermittlung — nach dem Muster der Beispiel-Einträge im Hauptartikel zum Verarbeitungsverzeichnis, etwa „Mailchimp (USA, DPF)" oder „Google Workspace (USA, DPF)". Praktisch heißt Art. 7 Abs. 3 DSGVO: Wer die Einwilligung per Nachricht einholt, muss den Widerruf per Nachricht akzeptieren und festhalten. Und die Kundenkommunikation über E-Mail, Telefon oder Chat ist eine eigene Verarbeitungstätigkeit im VVT — eine pauschale „Sammelverarbeitung Kommunikation" ist zu unspezifisch.

6. Bewerber-Daten via E-Mail

Drei Punkte entscheiden: die Datenschutzerklärung im Bewerbungsformular, eine terminierte Löschung sechs Monate nach Verfahrensende und — für den Talent-Pool — eine eigene Einwilligung; die sechs Monate leiten sich dabei aus den Geltendmachungsfristen ab und werden in der VVT-Praxis als Löschfrist-Beispiel geführt.

Die Informationspflicht folgt unmittelbar aus Art. 13 DSGVO und gilt für das Bewerbungsformular ebenso wie für das Bewerbungspostfach. Die Frist-Logik dahinter unterscheidet sich nach Land: In Deutschland sind Ansprüche nach § 15 Abs. 1 oder 2 AGG binnen zwei Monaten schriftlich geltend zu machen, bei einer Bewerbung ab Zugang der Ablehnung (§ 15 Abs. 4 AGG). Der VVT-Eintrag dazu lautet „Bewerber 6 Monate (AGG)". In Österreich ist der Anker ein anderer: Ansprüche wegen Nichtbegründung des Arbeitsverhältnisses sind binnen sechs Monaten ab Ablehnung gerichtlich geltend zu machen (§ 15 bzw. § 29 GlBG); eine Kündigung oder Entlassung ist binnen 14 Tagen anzufechten.

Der Weg über E-Mail hat einen eigenen Schwachpunkt: das Postfach, in dem die Unterlagen landen. Praxisempfehlung (keine gesetzliche Vorgabe): für Bewerbungen eine eigene Adresse statt des allgemeinen Sammelpostfachs, Zugriff namentlich auf die am Verfahren beteiligten Personen begrenzt, Weiterleitungen an Fachabteilungen nur auszugsweise und dokumentiert. Die Zugriffsbeschränkung ist auch hier die technische und organisatorische Maßnahme nach Art. 32 DSGVO (siehe Abschnitt 1).

Für den Talent-Pool gilt Art. 6 Abs. 1 lit. a DSGVO: eine eigene Einwilligung, nachweisbar und so einfach widerrufbar, wie sie erteilt wurde (Art. 7 Abs. 1 und Abs. 3 DSGVO, ausformuliert in Abschnitt 3). Enthalten Unterlagen Angaben nach Art. 9 Abs. 1 DSGVO — etwa Gesundheitsdaten —, greift das grundsätzliche Verarbeitungsverbot mit den engen Ausnahmen des Art. 9 Abs. 2 DSGVO. Verlangt eine abgelehnte Person Auskunft, läuft die Monatsfrist des Art. 12 Abs. 3 DSGVO — Einzelheiten dazu in den FAQ.

Welche Pflicht welche Falle auslöst

Die sechs Fallen laufen auf wenige, klar benannte Pflichten hinaus. Jede Zeile der Tabelle nennt eine gesetzliche Pflicht mit ihrem Auslöser, der Fundstelle und den Fallen, aus denen sie entsteht; empfohlene Prüf-Rhythmen stehen weiter unten im Abschnitt „Praxis-Rhythmus im Betrieb".

Wenn Daten abhandenkommen: 72 Stunden

Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Erfolgt die Meldung später, ist ihr eine Begründung für die Verzögerung beizufügen. Bei voraussichtlich hohem Risiko kommt die Benachrichtigung der Betroffenen hinzu (Art. 34 Abs. 1 DSGVO); sie ist nicht erforderlich, wenn geeignete Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden, das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder der Aufwand unverhältnismäßig wäre — nur in diesem letzten Fall tritt eine öffentliche Bekanntmachung an ihre Stelle (Art. 34 Abs. 3 DSGVO).

Praxis-Einordnung aus dem Datenpannen-Verfahren: Eine verlorene, verschlüsselte Festplatte wird als niedriges Risiko eingestuft (keine Meldung, keine Betroffenen-Information), eine unverschlüsselte als hohes Risiko (Meldung und Betroffenen-Information); eine E-Mail mit Stammdaten an den falschen Empfänger ist meldepflichtig, löst aber regelmäßig keine Betroffenen-Information aus.

Adressat: In Deutschland melden Unternehmen an die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG); der oder die BfDI ist für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG), nicht für Handwerksbetriebe. In Österreich ist die Datenschutzbehörde als nationale Aufsichtsbehörde zuständig (§ 18 Abs. 1 DSG).

Deutschland und Österreich: Wo es abweicht

Die DSGVO-Artikel selbst (u.a. Art. 6, Art. 7, Art. 28, Art. 33, Art. 35) gelten in beiden Ländern identisch. Unterschiedlich sind das ergänzende nationale Recht und die zuständige Aufsicht — hier die Übersicht, mit Verweis auf die Abschnitte, in denen die Einzelheiten ausformuliert sind:

• Deutschland: Ergänzend gilt das BDSG. Aufsicht über nichtöffentliche Stellen: die nach Landesrecht zuständigen Landesdatenschutzbehörden (§ 40 Abs. 1 BDSG). Beschäftigtendaten nach § 26 BDSG: siehe Abschnitt 2; Bildnisschutz nach dem KunstUrhG (Recht am eigenen Bild, rein deutsches Recht): siehe Abschnitt 3; die Benennungsschwellen des § 38 Abs. 1 BDSG: siehe Pflichten-Tabelle.
• Österreich: Ergänzend gilt das DSG. Es sieht keine zahlenmäßige Schwelle für den Datenschutzbeauftragten vor (§ 5 DSG regelt ergänzend Verschwiegenheit und — im öffentlichen Bereich — Weisungsfreiheit). Aufsicht: die Datenschutzbehörde als nationale Aufsichtsbehörde nach § 18 Abs. 1 DSG. Verwaltungsstrafen bis 50.000 EUR nach § 62 Abs. 1 DSG treten neben Art. 83 DSGVO — sie erfassen eigene Tatbestände, etwa den vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung oder die vorsätzliche Übermittlung in Verletzung des Datengeheimnisses (§ 6 DSG). Ergänzend sieht § 11 DSG die verhältnismäßige Anwendung des Art. 83 DSGVO vor — insbesondere bei erstmaligen Verstößen eine Verwarnung statt einer Geldbuße. Bildnisschutz nach § 78 UrhG statt KunstUrhG: siehe Abschnitt 3; Beschäftigtendaten (kein Äquivalent zu § 26 BDSG) und Kontrollmaßnahmen nach § 96 Abs. 1 Z 3 ArbVG: siehe Abschnitt 2.

Der Bußgeldrahmen ist in beiden Ländern der der DSGVO: bis zu 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs bei Verstößen unter anderem gegen die Art. 25 bis 39 DSGVO (Art. 83 Abs. 4 DSGVO) und bis zu 20 Mio. EUR oder 4 % bei Verstößen gegen die Verarbeitungsgrundsätze, die Einwilligungsbedingungen oder die Rechte der betroffenen Personen (Art. 83 Abs. 5 DSGVO) — je nachdem, welcher Betrag höher ist.

Praxis-Rhythmus im Betrieb

Die folgenden Rhythmen und Intervalle sind Praxisempfehlungen aus der Umsetzung; die darin in Bezug genommenen Fristen sind demgegenüber gesetzliche Fristen. Die gesetzlichen Pflichten und ihre Auslöser stehen in der Tabelle oben.

• Ad hoc bei jeder Änderung: neue Verarbeitung, neues IT-System, neuer Auftragsverarbeiter — VVT-Zeile ergänzen und AVV prüfen.
• Quartalsweise: VVT-Review als Praxis-Standard, besonders in wachsenden Betrieben; als Untergrenze empfiehlt sich ein jährlicher Review plus Anlassfälle (Praxis-Rhythmus, keine gesetzliche Frist).
• Vor jeder Veröffentlichung: Foto-Einwilligungen und die Liste der Veröffentlichungsorte abgleichen; abgelegt wird die erteilte Einwilligung selbst.
• Nach jedem Bewerbungsverfahren: Löschtermin im Kalender setzen statt „irgendwann aufräumen" — die Fristanker für Deutschland und Österreich stehen in Abschnitt 6; dokumentiert wird der ausgeführte Löschlauf, nicht die Absicht.
• Immer: jede VVT-Änderung mit Datum und Bearbeiter versionieren — bei einer Aufsichtsanfrage ist die Aktualität des Verzeichnisses Teil der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).