Kurzantwort. Ein Handwerksbetrieb braucht keine Sonder-DSGVO. Er muss für Angebote, Aufträge, Baustellenfotos, Beschäftigtendaten und eingesetzte Dienste jeweils Zweck, Rechtsgrundlage, Zugriff und Aufbewahrung klären. Entscheidend ist, dass die Regeln auf dem Firmenhandy und auf der Baustelle ebenso funktionieren wie im Büro.
Wer als Elektrikerin, Dachdecker oder Sanitärbetrieb arbeitet, erhält schon vor dem Auftrag Namen, Adressen, Fotos und Angaben zu Wohnungen. Später kommen Terminpläne, Rechnungen, Schlüsselcodes und Personalunterlagen hinzu. Dieser Leitfaden begleitet einen konkreten Auftrag vom Erstkontakt bis zur Löschung. Die allgemeinen deutschen Einordnungsfragen behandelt DSGVO im Handwerk Deutschland; für die rechtlichen Grundlagen lesen Sie DSGVO-Anforderungen.
Vom Erstkontakt zum Auftrag: Daten nach Zweck ordnen
Ein Anruf wegen einer undichten Leitung rechtfertigt die Kontaktdaten und Angaben, die für Rückruf, Besichtigung und Angebot benötigt werden. Werden die Angaben auf Anfrage der betroffenen Person für einen möglichen Vertrag verarbeitet, kommt Artikel 6 Absatz 1 Buchstabe b DSGVO in Betracht. Die Rechtsgrundlage erlaubt keinen späteren Werbeverteiler. Fragen Sie beim Kontaktformular nur nach dem, was für die erste Antwort nötig ist. Ein Freitextfeld kann sensible Informationen enthalten; begrenzen Sie dessen Zugriff und weisen Sie darauf hin, keine unnötigen Angaben einzutragen.
Kommt ein Auftrag zustande, können Anschrift, Termin, Leistungsbeschreibung und die notwendigen Kontaktdaten zur Vertragserfüllung verarbeitet werden. Die Rechnung folgt zusätzlich steuer- und gegebenenfalls handelsrechtlichen Pflichten. Ein Zugangscode zur Wohnung hat einen engeren Zweck: Er muss nur den eingeteilten Personen zugänglich sein und nach Ende des Einsatzes aus frei zugänglichen Chats und Einsatzplänen entfernt werden. Einen allgemeinen Einstieg zur Wahl der Rechtsgrundlage gibt Artikel 6; Datenminimierung und Zweckbindung erklärt Artikel 5.
Nehmen Sie als Beispiel einen Betrieb mit zwei Monteuren: Der Kunde sendet eine Telefonnummer, die Heizungsstörung und ein Foto vom Typenschild. Die Disposition sieht die Nummer und den Termin; die Monteure erhalten Adresse, Kontakt und technische Angaben. Die Buchhaltung braucht erst später die abrechnungsrelevanten Daten. Diese Trennung ist eine praktische Umsetzung von Datenminimierung, keine Forderung nach vier verschiedenen Programmen.
Angebote, Auftragsakten und Gewährleistung
Nicht jedes abgelehnte Angebot hat dieselbe Löschfrist. Prüfen Sie, ob das Angebot ein aufzubewahrender Handels- oder Geschäftsbrief ist, ob ein Streit über Preis oder Leistung noch möglich ist und ob ein Auftrag daraus entstand. Ein bloßer Telefonvermerk ohne Auftrag kann früher entfallen als ein formelles Angebot mit Schriftverkehr. Legen Sie für die Kategorien dokumentierte Fristen und einen Prüftermin fest, statt pauschal „sechs bis zwölf Monate“ als Gesetz auszugeben. Ein Angebot darf nicht allein deshalb unbegrenzt im E-Mail-Postfach bleiben, weil dort auch Rechnungen liegen.
Bei einem abgeschlossenen Bauauftrag können Leistungsnachweise und Mängelkommunikation für Gewährleistungs- oder Streitfragen relevant sein. Welche Frist gilt, hängt von Vertragsart und Anspruch ab; § 634a BGB unterscheidet beispielsweise Werkleistungen und Arbeiten an Bauwerken. Halten Sie fest, warum konkrete Unterlagen noch nötig sind. Löschen Sie Kopien in Baustellen-Apps nicht automatisch gleichzeitig mit einer aufbewahrungspflichtigen Rechnung, aber vermeiden Sie eine zweite, unkontrollierte Dauerablage auf privaten Geräten. Die Speicherbegrenzung verlangt einen begründeten Lebenszyklus je Datensatz. Bei einem konkreten Löschverlangen sind zusätzlich die Voraussetzungen und Ausnahmen des Artikels 17 zu prüfen.
Baustellenfotos: Dokumentation und Werbung trennen
Ein Foto kann personenbezogen sein, auch wenn niemand frontal zu sehen ist: Ein erkennbares Wohnhaus, ein Namensschild, ein Kennzeichen oder die Inneneinrichtung können eine Person identifizierbar machen. Für die Dokumentation eines Mangels, einer verdeckten Leitung oder des Baufortschritts prüfen Sie Zweck und erforderlichen Bildausschnitt. Machen Sie bei Bedarf eine Nahaufnahme des Bauteils statt einer Aufnahme der ganzen Wohnung. Speichern Sie sie in der Auftragsakte mit begrenztem Zugriff. Bei Fotos von Beschäftigten sind zusätzlich die Anforderungen des Beschäftigtendatenschutzes zu prüfen.
Die Veröffentlichung als Referenz auf Website oder Social Media ist ein neuer Zweck. Eine für die Mängeldokumentation zulässige Aufnahme wird dadurch nicht automatisch zur Werbefotografie. Holen Sie bei identifizierbaren Personen gegebenenfalls eine geeignete Einwilligung ein und prüfen Sie Bildnisrechte. Bei privaten Räumen empfiehlt sich eine ausdrückliche Freigabe auch dann, wenn kein Gesicht zu sehen ist; die Datenschutzprüfung allein ersetzt nicht das Hausrecht oder vertragliche Absprachen. Eine Einwilligung muss freiwillig und widerrufbar sein. Wenn eine Freigabe ausbleibt, nutzen Sie eine unkenntlich gemachte Detailaufnahme oder veröffentlichen Sie das Bild nicht.
Dokumentieren Sie für Referenzfotos, wer das Bild aufgenommen hat, wozu es veröffentlicht wird, wo es erscheint und wer einer Veröffentlichung zugestimmt hat. Vermeiden Sie die Formel „Sachfoto immer frei“: Eine erkennbare Hausnummer kann den Personenbezug schon herstellen. Die sichere praktische Frage lautet, ob der Betroffene aus dem Bild oder seinem Kontext bestimmbar ist und ob der neue Zweck tatsächlich gedeckt ist.
Messenger, Firmenhandy und Zugriffe unterwegs
Viele Kunden wünschen schnelle Abstimmung über einen Messenger. Das allein macht eine bestimmte App weder verboten noch automatisch datenschutzkonform. Prüfen Sie, welche Kontakte hochgeladen werden, ob ein dienstliches oder privates Adressbuch verbunden ist, welche Metadaten entstehen, welche Rollen Anbieter und Betrieb haben und ob Daten außerhalb des EWR übermittelt werden. Senden Sie Schlüsselcodes, Ausweiskopien oder Gesundheitsinformationen nicht beiläufig in Gruppenchats. Bieten Sie einen praktikablen alternativen Kanal und erklären Sie den genutzten Kommunikationsweg in den Datenschutzhinweisen.
Für Diensthandys sind Bildschirmsperre, aktuelle Software, kontrollierte App-Berechtigungen und eine Möglichkeit zum Entzug des Zugangs nach Verlust konkrete Schutzmaßnahmen. Ein Mitarbeiterwechsel erfordert auch die Prüfung von Cloud-Freigaben und Chat-Gruppen. Falls private Geräte eingesetzt werden, legen Sie fest, wie berufliche Daten getrennt und nach Austritt entfernt werden. Artikel 32 DSGVO fordert ein dem Risiko angemessenes Schutzniveau; er schreibt nicht für jeden Betrieb dasselbe Produkt vor.
Bei einem verlorenen Telefon erfassen Sie zuerst, welche Daten tatsächlich auf dem Gerät lagen, ob es verschlüsselt und gesperrt war und ob Fernzugriff möglich ist. Eine Verletzung des Schutzes personenbezogener Daten ist zu dokumentieren. Eine Meldung einer Datenpanne nach Artikel 33 an die zuständige Behörde ist ohne unangemessene Verzögerung und möglichst binnen 72 Stunden ab Bekanntwerden erforderlich, sofern ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist. Erfolgt sie später, sind die Gründe für die Verzögerung mitzuteilen. Ein hohes Risiko kann zusätzlich eine Information der Betroffenen nach Artikel 34 auslösen. Verschlüsselung senkt das Risiko, ersetzt aber die Einzelfallprüfung nicht.
Software, Steuerberatung und Auftragsverarbeitung
Eine Handwerkersoftware oder ein Cloud-Hoster verarbeitet Kundendaten oft nach Weisung des Betriebs. Dann braucht die Verarbeitung eine Vereinbarung nach Artikel 28 DSGVO: Sie regelt Gegenstand, Dauer, Zwecke, Datenarten, Pflichten und insbesondere Unterauftragnehmer und Unterstützung. Prüfen Sie außerdem Zugriff, Export und Löschung bei Vertragsende. Das Verhältnis zur Auftragsverarbeitung richtet sich nach der tatsächlichen Rolle, nicht nach der Bezeichnung „Dienstleister“.
Ein Steuerberater handelt bei der steuerlichen Beratung typischerweise mit eigenen berufsrechtlichen Pflichten und eigener Entscheidung über die fachliche Leistung. Ein pauschaler AVV für jede Steuerberatung ist daher falsch. Bei ausgelagerten technischen oder rein weisungsgebundenen Tätigkeiten kann die Einordnung anders ausfallen. Auch eine Bank oder ein Versandunternehmen ist nicht allein wegen Datenempfang Auftragsverarbeiter. Halten Sie die Rollenentscheidung je Dienst fest; schließen Sie einen AVV dort, wo tatsächlich Auftragsverarbeitung vorliegt.
Wird ein Anbieter außerhalb des EWR eingebunden, prüfen Sie zuerst, ob überhaupt eine Drittlandübermittlung stattfindet und auf welcher Grundlage Kapitel V DSGVO sie gestattet. Ein Angemessenheitsbeschluss für den konkreten Empfänger und Umfang ist anders zu behandeln als Standardvertragsklauseln, bei denen ergänzende Prüfung nötig sein kann. Ein „Transfer Impact Assessment“ ist keine automatische Pflicht für jede US-Adresse im Vertrag. Verlassen Sie sich nicht auf den Serverstandort allein, wenn Fernzugriffe oder Unterauftragnehmer anderswo stattfinden.
Personalakten, Bewerbungen und Fahrzeuge
Beschäftigtendaten sind für Einstellung, Durchführung und Beendigung des Arbeitsverhältnisses nur im erforderlichen Umfang zu verarbeiten; § 26 BDSG und die DSGVO bilden den Rahmen. Zugriff auf Krankmeldungen oder Lohnangaben brauchen andere Regeln als Zugriff auf Schichtpläne. Eine Einwilligung im Arbeitsverhältnis ist wegen des Abhängigkeitsverhältnisses besonders sorgfältig auf Freiwilligkeit zu prüfen. Für Bewerbungen gibt es keine pauschale gesetzliche Sechsmonatsfrist: Ein angemessener Zeitraum kann sich unter anderem aus möglichen Ansprüchen ergeben; dokumentieren Sie den konkreten Löschzeitpunkt und die Begründung.
Fahrzeugortung kann zur Disposition erforderlich sein, doch lückenlose Verhaltensprofile der Beschäftigten sind damit nicht gerechtfertigt. Prüfen Sie mildere Mittel: aktuelle Einsatzposition statt dauerhafter Historie, nur dienstliche Zeitfenster und begrenzter Zugriff. Wenn eine Überwachung voraussichtlich ein hohes Risiko erzeugt, ist eine Datenschutz-Folgenabschätzung zu prüfen. Informieren Sie Beschäftigte vorab über Zweck, Speicherdauer und Zugriffsberechtigte.
Datenschutzbeauftragter und Verarbeitungsverzeichnis
Nach § 38 BDSG ist für nichtöffentliche Stellen zusätzlich zu den Fällen des Artikels 37 DSGVO ein Datenschutzbeauftragter zu benennen, wenn regelmäßig mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl nennt § 38 weitere Fälle, etwa Verarbeitungen, die einer Folgenabschätzung unterliegen. Auch Artikel 37 kann schon bei weniger Personen eingreifen, etwa wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung umfasst. Die Mitarbeiterzahl ist also nur eine Prüffrage, kein Freibrief.
Artikel 30 Absatz 5 DSGVO enthält eine begrenzte Ausnahme vom Verzeichnis für Unternehmen unter 250 Beschäftigten. Sie entfällt unter anderem, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Ein Handwerksbetrieb mit laufender Kunden- und Personaldatenverarbeitung sollte daher die Voraussetzungen konkret prüfen und seine wesentlichen Tätigkeiten nachvollziehbar erfassen. Eine VVT-Vorlage ist eine Arbeitshilfe, kein Nachweis allein durch Download. Notieren Sie zum Beispiel „Angebot und Auftrag“, „Personalverwaltung“ und „Website-Anfragen“ mit Zwecken, Empfängern, Löschkriterien und Schutzmaßnahmen.
Website, Werbung und Aufbewahrung
Eine Website mit Kontaktformular braucht verständliche Informationen nach Artikel 13 DSGVO über Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger und Rechte. § 25 TDDDG verlangt vor dem Speichern oder Auslesen nicht unbedingt erforderlicher Informationen auf Endgeräten grundsätzlich eine informierte Einwilligung. Ein Warenkorb oder eine vom Nutzer gewünschte Funktion kann unter die enge Ausnahme fallen; Statistik- und Werbetechnik ist separat zu prüfen. Ein Banner ist kein Selbstzweck, sondern soll eine tatsächlich einwilligungspflichtige Technik vor deren Einsatz steuern. Details bietet Cookie-Banner nach TDDDG.
Wer nach erledigtem Auftrag per E-Mail Werbung senden will, muss zusätzlich § 7 UWG beachten. Die Ausnahme für eigene ähnliche Waren oder Dienstleistungen bei Bestandskunden setzt kumulativ voraus, dass die Adresse im Zusammenhang mit einem Verkauf erlangt wurde, kein Widerspruch vorliegt und bei Erhebung sowie jeder Nutzung klar auf den Widerspruch hingewiesen wird. Ein Angebot ohne Verkauf erfüllt diese Ausnahme nicht. Für andere Werbe-E-Mails ist grundsätzlich vorherige ausdrückliche Einwilligung erforderlich; ein dokumentierter Bestätigungsprozess hilft, diese nachzuweisen.
Für Bücher und bestimmte Aufzeichnungen nennt § 147 AO zehn Jahre, für Buchungsbelege seit der Fristverkürzung acht Jahre, für weitere Unterlagen oft sechs Jahre. § 257 HGB unterscheidet ebenfalls zehn Jahre für Bücher, acht für Buchungsbelege und sechs für Handelsbriefe. Welche Norm auf eine konkrete Rechnung oder ein Angebot anwendbar ist, muss die Buchhaltung anhand der Dokumentfunktion prüfen. Die Frist beginnt grundsätzlich mit Ablauf des maßgeblichen Kalenderjahrs; offene Steuerverfahren können die Aufbewahrung verlängern. Es ist falsch, sämtliche Kundendaten „zehn Jahre“ stehenzulassen. Trennen Sie den aufzubewahrenden Beleg vom aktiven Kundenprofil und den Baustellenkopien.
Ein umsetzbarer Ablauf für den nächsten Auftrag
Beginnen Sie mit einem echten Vorgang: Eingang einer Anfrage, Angebot, Termin, Foto, Rechnung. Zeichnen Sie auf, in welchem Postfach und welcher App jede Information landet. Entscheiden Sie dann je Station, wer sie sehen muss und wann sie wieder entfernt wird. Prüfen Sie Verträge für Hoster und Software anhand der Rollen. Halten Sie eine kurze Anweisung für Fotos und Messenger bereit und führen Sie einen Probe-Löschwunsch durch: Finden Sie Kundendaten auch auf dem Diensthandy und in der Cloud?
Setzen Sie anschließend einen Verantwortlichen für die regelmäßige Prüfung fest. Ein Wechsel des Werkstattprogramms, eine neue Website-Technik oder eine neue Marketingkampagne kann eine erneute Bewertung erfordern. Ein DSGVO-Checklistenprozess hilft beim Abarbeiten; der vorliegende Beitrag dient der Entscheidung im Handwerksalltag. Wer zusätzlich einen Laden betreibt, sollte die Besonderheiten des Einzelhandels prüfen.
Übergabe zwischen Büro, Baustelle und Buchhaltung prüfen
Die meisten Fehler entstehen an Übergängen. Ein Monteur fotografiert einen Mangel mit dem Diensthandy, sendet das Bild an die Disposition und lädt es zusätzlich in eine private Cloud, um es später wiederzufinden. Für den Auftrag kann die Aufnahme nötig sein; die zusätzliche private Ablage ist es meist nicht. Legen Sie einen einfachen Übertragungsweg fest und kontrollieren Sie an einem echten abgeschlossenen Auftrag, ob das Foto nur in der vorgesehenen Akte bleibt. Erklären Sie, wer versehentlich versandte Kopien entfernt und wie der Kunde bei einer Auskunft wiedergefunden wird.
Ähnlich bei der Buchhaltung: Die Rechnung kann aufbewahrungspflichtig sein, doch der dazugehörige Türcode und eine Reihe von Wohnungsfotos gehören nicht automatisch in dieselbe Langzeitablage. Markieren Sie im System die Belegfunktion und trennen Sie die technische Auftragsdokumentation. Stimmen Sie mit der steuerlichen Betreuung ab, welche konkrete Unterlage als Buchungsbeleg, Geschäftskorrespondenz oder Buch gilt. So wird eine gesetzliche Frist nicht zur Ausrede für unbegrenzte Speicherung aller Baustellendaten.
Prüfen Sie schließlich einen Vertretungsfall. Kann bei Krankheit des Inhabers jemand die Anfrage eines Kunden bearbeiten, ohne vollständigen Zugriff auf alle Personalakten zu erhalten? Gibt es eine erreichbare Meldestelle für einen verlorenen Dienstschlüssel oder ein Gerät? Diese Fragen betreffen Datenschutz und normalen Betriebsablauf zugleich; eine kurze schriftliche Rollenliste ist oft nützlicher als ungenutzte Mustertexte.
Häufige Fragen
Braucht ein kleiner Betrieb einen Datenschutzbeauftragten?
Die Schwelle des § 38 BDSG betrifft regelmäßig mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Zusätzlich können die besonderen Fälle des § 38 oder Artikel 37 DSGVO greifen. Dokumentieren Sie die Prüfung; unter 20 entfällt nicht die DSGVO insgesamt.
Darf ich ein Foto des fertig sanierten Bads veröffentlichen?
Für die interne Auftragsdokumentation und die öffentliche Referenz gelten unterschiedliche Zwecke. Prüfen Sie Personenbezug auch über Adresse und Inneneinrichtung. Für die Veröffentlichung empfiehlt sich eine konkrete Freigabe des betroffenen Kunden; sichtbare Personen und Bildnisrechte sind zusätzlich zu beachten.
Wie lange bleibt ein nicht angenommenes Angebot gespeichert?
Dafür gibt es keine einheitliche DSGVO-Monatszahl. Ein aufbewahrungspflichtiger Geschäftsbrief kann sechs Jahre relevant sein; andere Anfragen können früher zu löschen sein. Dokumenttyp, mögliche Ansprüche und Zweck entscheiden über die Frist.
Muss ich mit dem Steuerberater einen AVV abschließen?
Nicht pauschal. Bei eigenverantwortlicher steuerlicher Beratung liegt regelmäßig keine Auftragsverarbeitung vor. Für weisungsgebundene technische Dienstleistungen prüfen Sie die Rollen gesondert.
Muss jedes verlorene Firmenhandy binnen 72 Stunden gemeldet werden?
Nein. Dokumentieren und bewerten müssen Sie den Vorfall. Eine Behördenmeldung ist nötig, sofern ein Risiko für die Rechte und Freiheiten der Betroffenen nicht unwahrscheinlich ist; die 72 Stunden laufen ab Bekanntwerden und sind kein Ersatz für die Risikoprüfung.
Rechtsquellen (geprüft am 27. September 2026): DSGVO, insbesondere Art. 5, 6, 13, 28, 30, 32–35 und 37, § 26 BDSG, § 38 BDSG, § 25 TDDDG, § 7 UWG, § 147 AO und § 257 HGB.