DSGVO Handwerk Deutschland: Pflichten 2026

In einem Satz. Auch Handwerksbetriebe unterliegen vollständig der DSGVO — typische Pflichten betreffen Kundendaten (Auftrag, Rechnung), Foto-Dokumentation von Baustellen, AVV mit Subunternehmern und Buchhaltern, sowie Mitarbeiterdaten — pragmatische Umsetzung mit minimalem Aufwand ist Standard für KMU mit <250 Beschäftigten.

In Deutschland gibt es ca. 1 Mio. Handwerksbetriebe. Aufsichtsbehörden (Länder-DPAs) prüfen zunehmend gezielt. Ähnlich pragmatisch lässt sich Datenschutz übrigens in Vereinen und Stiftungen umsetzen. Siehe DSGVO Anforderungen als allgemeiner Einstieg. Eine vertiefte praxisnahe Darstellung bietet DSGVO im Handwerksbetrieb — praktischer Leitfaden.

Wichtige Punkte

• Kein DSB-Pflicht bei <20 Personen mit Datenverarbeitung.
• Verzeichnis nach Art. 30 trotzdem erforderlich.
• Foto-Dokumentation Baustelle: Einwilligung bei Personen.
• AVV mit Buchhalter, Steuerberater, Cloud-Diensten.
• Innungs-/Kammer-Vorlagen oft als Basis nutzbar.

1. Typische Verarbeitungen

Zweck	Rechtsgrundlage
Auftragsabwicklung	Art. 6 Abs. 1 lit. b
Rechnungsstellung	Art. 6 Abs. 1 lit. c
Marketing	Art. 6 Abs. 1 lit. a
Foto-Dokumentation Baustelle	Art. 6 Abs. 1 lit. f / a
Mitarbeiterdaten	BDSG § 26

2. Datenschutzbeauftragter — Pflicht?

Pflicht nach BDSG § 38 nur wenn:

• mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt, ODER
• besondere Datenkategorien (Gesundheit) systematisch, ODER
• DSFA-pflichtige Verarbeitung.

Die meisten Handwerksbetriebe (< 20 Personen) brauchen keinen DSB — aber alle Pflichten gelten trotzdem.

3. Verzeichnis nach Art. 30

Pflicht ab erster Verarbeitung. Inhalte:

• Verantwortlicher, Kontakt.
• Verarbeitungszwecke.
• Kategorien Betroffener und Daten.
• Empfänger (z.B. Steuerberater).
• Löschfristen.
• Technische/organisatorische Maßnahmen.

Siehe VVT-Leitfaden.

4. Foto-Dokumentation Baustelle

• Sachfotos (nur Bauteile): Art. 6 Abs. 1 lit. f, kein Personenbezug.
• Fotos mit Mitarbeitern: § 26 BDSG + Einwilligung.
• Fotos mit Kunden/Anwohnern: Einwilligung oder berechtigtes Interesse.
• Veröffentlichung in Social Media: KunstUrhG § 22 zusätzlich beachten.

5. Subunternehmer

• AVV nach Art. 28 wenn Subunternehmer im Auftrag Daten verarbeitet (selten bei klassischen Gewerken).
• Bei Datenübermittlung (z.B. Kundenadresse zur Materiallieferung): nicht zwingend AVV, aber Vertrag mit Geheimhaltung.

6. Steuerberater und Buchhalter

• AVV erforderlich, da sie Kunden- und Mitarbeiterdaten verarbeiten.
• Standard-AVVs der Steuerberaterkammer nutzbar.
• Aufbewahrungsfristen 10 Jahre (HGB, AO).

7. Cloud-Tools

Typische Handwerker-Tools (HERO, openHandwerk, MeisterTask):

• AVV vorhanden? Standard-Vertrag prüfen.
• Server in EU?
• Backup-Konzept?
• Bei US-Tools: TIA und SCC.

8. Mitarbeiterdaten

• Personalakte digital oder Papier nach BDSG § 26.
• Zugriff streng auf Inhaber/Personalverantwortliche begrenzt.
• Lohnabrechnung beim Steuerberater = AVV oder Funktionsübertragung.
• Bewerberdaten: Löschung nach 6 Monaten (AGG-Klagefrist) Standard.

9. Webseite

• Datenschutzerklärung Pflicht.
• Cookie-Banner mit echter Wahl bei Tracking-Cookies.
• Kontaktformular: nur erforderliche Felder Pflicht.
• Hosting in EU bevorzugen.

10. Datenpanne

• Verlorenes Smartphone mit Kundendaten = potentielle Datenpanne.
• Frist 72h nach Bekanntwerden.
• Online-Meldung an zuständige Landes-DPA.
• Siehe Datenpanne melden.

11. Tool-Unterstützung

Legiscope bietet Handwerker-Vorlagen für Verzeichnis, AVV, Einwilligung Foto-Dokumentation und Datenschutzerklärung.

11. Sektor-spezifische Enforcement-Fälle

Jahr	Behörde	Fall	Sanktion	Lehre
2020	LfDI BW	H&M Hamburg (Retail-Beispiel)	35.300.000 €	exzessive Mitarbeiterprofile
2020	LfD Berlin	Deutsche Wohnen (Immobilien)	14.500.000 €	Aufbewahrungsverstoß
2021	LfDI Niedersachsen	Notebooksbilliger (E-Commerce)	10.400.000 €	dauerhafte Videoüberwachung
2022	LDA Bayern	VW (Industrie)	1.100.000 €	unzureichende AVV-Kontrolle
2023	HmbBfDI	Vattenfall (Energie)	900.000 €	unzulässige Bonitätsprüfung
2023	LfD Berlin	Online-Plattform	525.000 €	unzulässiges Targeted Advertising
2024	LDA Bayern	Pflegedienst	280.000 €	Patientenakten ungesichert

Aus diesen Fällen lassen sich Branchenmuster ableiten: Sanktionen treffen typisch Großbetriebe mit jahrelang aufgebauten unzulässigen Praktiken (Massenüberwachung, Profilbildung) oder mittelständische Akteure mit systematischen TOM-Defiziten.

12. Sektor-Standards und Codes of Conduct

Branchenspezifische Standards reduzieren das Compliance-Risiko:

• B3S (Branchenspezifische Sicherheitsstandards) nach § 8a BSI-Gesetz / NIS2UmsuCG.
• ISO 27001:2022 für ISMS-Zertifizierung.
• ISO 27701:2019 für Privacy Information Management (PIMS).
• BSI IT-Grundschutz Bausteine pro Sektor (siehe BSI-Grundschutz).
• TISAX für Automotive-Lieferketten.
• C5 (Cloud Computing Compliance Criteria Catalogue) für Cloud-Anbieter.
• Branchenkodizes nach Art. 40 DSGVO (Verband akkreditiert).

Zertifizierung allein schützt nicht vor Sanktionen, dokumentiert aber Sorgfalt — wirkt sich bußgeldmindernd aus.

13. AVV-Anforderungen im Sektor

Auftragsverarbeitungsverträge nach Art. 28 DSGVO sind sektorkritisch. Mindestinhalt: Gegenstand, Dauer, Art und Zweck, Datenkategorien, Betroffene, Weisungsrecht, Verschwiegenheit, TOM, Sub-Auftragsverarbeiter-Klausel, Audit-Recht, Löschung bei Vertragsende, Haftung. Mustervorlage: Auftragsverarbeitungsvertrag AVV.

Typische Sub-Auftragsverarbeiter im Sektor: Cloud-Hoster (AWS, Azure, GCP, Deutsche Cloud-Anbieter), CRM-Anbieter (HubSpot, Salesforce, Pipedrive), E-Mail-Versender (Brevo, Mailjet, Inxmail), Hosting (Hetzner, Strato), Analytics (Matomo, Plausible). Jeder benötigt eigenen AVV plus TIA bei Drittlandstransfer.

14. 5-Schritte-Compliance-Plan für den Sektor

1. Bestandsaufnahme (Datenkartierung, Datenkategorien, Empfänger, Aufbewahrungsfristen, Sub-Prozessoren).
2. Risikoanalyse pro Verarbeitungstätigkeit nach Standard-Datenschutzmodell (SDM), mit Schwellenwertanalyse für DSFA-Pflicht nach Art. 35.
3. Rechtsgrundlagen-Mapping: Art. 6 Abs. 1 (a-f) pro Tätigkeit, bei besonderen Kategorien Art. 9 Abs. 2.
4. TOM und AVV nach DSGVO Art. 32 Sicherheit und Art. 28.
5. Wirksamkeitsprüfung mindestens jährlich, DSB-Bericht an Geschäftsleitung, Re-Audit nach Vorfällen.

15. Häufige Audit-Befunde im Sektor

• Verarbeitungsverzeichnis unvollständig oder veraltet (häufigster Befund, 70 % der Audits).
• AVV-Lücken bei IT-Dienstleistern, Druckerei, Lohnbüro.
• Fehlende oder unvollständige DSFA bei Hochrisiko-Verarbeitungen.
• Cookie-Banner ohne TTDSG-konforme Reject-Option.
• Bewerberdaten länger als 6 Monate gespeichert (Verstoß Art. 5 Abs. 1 lit. e).
• Newsletter ohne dokumentierten Double-Opt-In-Nachweis.
• Kameraüberwachung ohne Beschilderung und Interessensabwägung.
• Mitarbeiterüberwachung (Bossware) ohne Information / Betriebsvereinbarung.
• Backups unverschlüsselt oder offen erreichbar.
• Verspätete Datenpannenmeldung — siehe Datenpanne melden.

16. Branchenvergleich Sanktionsrisiko

Branche	Typisches Sanktionsvolumen	Häufigste Verstöße
Handel/E-Commerce	50.000 - 10 Mio. €	Marketing-Tracking, AVV-Lücken
Industrie	100.000 - 35 Mio. €	Beschäftigtendatenschutz
Gesundheit/Pflege	30.000 - 1 Mio. €	TOM-Defizite, Akten ungesichert
Energie/Versorger	50.000 - 900.000 €	SCHUFA-Abfragen, Smart-Meter
Bildung	5.000 - 100.000 €	MS 365 ohne TIA, Schülerdaten
Vereine/NGO	1.000 - 50.000 €	fehlender DSB, AVV-Lücken
Influencer/Creator	5.000 - 200.000 €	Cookie-Banner, Tracking-Pixel

Höhere Sanktionen treten meist erst nach systematischen Verstößen oder Wiederholungsfällen auf. Erstverfahren enden in 60-70 % der Fälle mit Verwarnung oder Anordnung.

18. DSFA-Pflicht im Sektor

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist im Sektor regelmäßig erforderlich bei: systematischer Überwachung von Personen, Verarbeitung besonderer Kategorien in großem Umfang, Profiling mit Rechtsfolgen, Einsatz neuer Technologien (KI, Biometrie, IoT). Die DSK-Liste “Muss-DSFA” gibt verbindliche Beispiele. Ablauf: (1) Schwellenwertanalyse, (2) systematische Beschreibung, (3) Notwendigkeits- und Verhältnismäßigkeitsprüfung, (4) Risikobewertung, (5) Schutzmaßnahmen, (6) DSB-Stellungnahme, ggf. Konsultation Aufsichtsbehörde nach Art. 36.

Praxis-Tipp: DSFA-Templates der DSK oder der CNIL (PIA-Tool) verwenden — beide werden von deutschen Aufsichten anerkannt.

19. Branchenkodex und Zertifizierung

Branchenspezifische Verhaltensregeln nach Art. 40 DSGVO können bei akkreditiertem Verband bindende Wirkung entfalten. Bestehende Kodizes: GDD-Code für KMU, BVDW-Code für Online-Marketing, DGUV-Sektorstandards Gesundheit. Zertifizierung nach Art. 42 DSGVO durch akkreditierte Stellen (z.B. TÜV, DEKRA, EuroPriSe) dokumentiert Sorgfalt, wirkt bußgeldmindernd. Kosten Erstzertifizierung 15.000-80.000 €, Re-Audit alle 3 Jahre.

20. Schnittstelle zu NIS2 und DORA

Sektoren mit KRITIS- oder NIS2-Pflicht müssen ihr Datenschutz-Compliance-System mit dem Cybersecurity-Programm integrieren. Doppelmeldepflichten beachten: Datenpannenmeldung an Datenschutzbehörde nach Art. 33 (Datenpanne melden) UND Cyber-Vorfallmeldung ans BSI nach § 35 NIS2UmsuCG (NIS2 Deutschland) — Fristen 72 h bzw. 24 h. Finanzinstitute zusätzlich DORA-Meldung an BaFin.

21. Häufige strategische Fehler im Sektor

• Datenschutz wird als reine IT-Aufgabe gesehen, nicht als Geschäftsprozess.
• DSB ohne Direktzugang zur Geschäftsleitung — Verstoß Art. 38 Abs. 3.
• Kein Budget für Schulungen — Risiko über Mitarbeiterfehler.
• Cloud-Migration ohne TIA und ohne Vertragsanpassung.
• Marketing-Tracking ohne TTDSG-konforme Einwilligung.
• Keine dokumentierte Schwellenwertanalyse für DSFA-Pflicht.
• Vorhandene AVV werden nicht regelmäßig auf Aktualität geprüft.

Fazit

Handwerk ist nicht von DSGVO ausgenommen, aber die Pflichten sind im Vergleich zu Industrie/Online überschaubar. Mit Standard-Vorlagen der Innung und einem 2-3-stündigen Setup ist solide Konformität für die meisten Betriebe machbar. Wer zusätzlich ein Ladengeschäft betreibt, findet die Handelsthemen in unserem Leitfaden für den Einzelhandel.

FAQ

Brauche ich als Handwerker einen DSB?

Nur ab 20 Personen mit ständiger automatisierter Verarbeitung. Die meisten Handwerksbetriebe sind unter der Schwelle.

Darf ich Baustellenfotos posten?

Sachfotos ja, Fotos mit erkennbaren Personen nur mit Einwilligung. Auf Social Media zusätzlich KunstUrhG beachten.

Brauche ich AVV mit dem Steuerberater?

Ja, Standard-AVV der Steuerberaterkammer ist üblich und ausreichend.

Wie lange muss ich Kundendaten aufbewahren?

Buchhaltungsrelevante Daten 10 Jahre (HGB, AO). Marketing-Daten bis Widerruf der Einwilligung.

Was bei verlorenem Handwerker-Tablet?

Wenn Kundendaten betroffen: 72h-Meldepflicht an Landes-DPA prüfen. Mit Geräteverschlüsselung sinkt Risiko erheblich.

Welche Behörde ist für meinen Sektor zuständig?

Grundsätzlich die Landesdatenschutzbehörde am Sitz des Verantwortlichen — siehe etwa BayLDA für Bayern. Bei mehreren Niederlassungen greift One-Stop-Shop nach Art. 56 DSGVO mit Federführung der Hauptniederlassungs-Behörde. Telekommunikation, Post und Bundesbehörden unterliegen dem BfDI. Bei grenzüberschreitenden EU-Verfahren koordiniert der EDSA über das Konsistenzverfahren nach Art. 63 ff.

Brauche ich einen Datenschutzbeauftragten?

Nach § 38 BDSG ab 20 mit der automatisierten Verarbeitung beschäftigten Personen, unabhängig vom Sektor. Zusätzlich Pflicht nach Art. 37 DSGVO bei Kernverarbeitung sensibler Daten oder umfangreicher systematischer Überwachung — typisch bei Pflegediensten, Online-Shops mit Profiling, Influencern mit Tracking. Externer DSB kann beauftragt werden; Vorteile: spezialisierte Expertise, Kosten 6.000-30.000 €/Jahr je nach Unternehmensgröße.

Wie hoch sind realistische Bußgelder im Mittelstand?

Erstverfahren ohne Vorsatz typisch 5.000-50.000 €. Wiederholungsfälle oder vorsätzliche Verstöße können in den 6-stelligen Bereich gehen. Systematische Verstöße (Massenverarbeitung, Profilbildung) bis 7-stellig und höher — siehe Notebooksbilliger 10,4 Mio. €. Die Bemessung folgt EDSA-Guidelines 4/2022 mit Multiplikator nach Konzernumsatz. Kooperation und Mitwirkung senken den Betrag deutlich.

Welche TOM sind im Sektor Pflicht?

Mindestens: Zugangs-, Zutritts-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle nach Anlage zu § 9 BDSG a.F. (gilt fort als Auslegungshilfe). Konkret nach DSGVO Art. 32 Sicherheit: Pseudonymisierung, Verschlüsselung (BSI TR-02102), Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, regelmäßige Wirksamkeitsprüfung. Bei besonderen Kategorien (Art. 9) zusätzlich erweiterte Maßnahmen.

Wie läuft ein Audit der Behörde ab?

Ankündigung (in der Regel 2-6 Wochen vor Ort), Unterlagenanforderung (Art. 30-Verzeichnis, AVV-Liste, DSFA, TOM-Dokumentation, Schulungsnachweise, DSB-Berichte), Vor-Ort-Besuch (1-3 Tage), Befundbericht, Anhörung, Maßnahmenkatalog mit Fristen, bei Verstößen Bußgeldverfahren. Vorbereitung: dokumentierte Compliance, klare Verantwortlichkeiten, geübter DSB als Single Point of Contact.