Das Wichtigste in Kürze
- Die DSGVO gilt unabhängig von der Betriebsgröße; für kleine Betriebe lassen sich die Pflichten auf acht Punkte bringen.
- Rechtsgrundlage nach Artikel 6, Information nach Artikel 13 und das Verzeichnis nach Artikel 30 sind die Grundlagen.
- Sicherheitsmaßnahmen, Verträge mit Dienstleistern und ein fester Ablauf für Auskunftsanfragen gehören dazu.
- Datenpannen sind binnen 72 Stunden zu melden; ein Datenschutzbeauftragter wird ab zwanzig Personen an der Datenverarbeitung Pflicht (Stand September 2026).
- Ein Nachmittag reicht für Verzeichnis, Vertraulichkeitsverpflichtung und zwei Vorlagen.
Was die DSGVO von einem Handwerksbetrieb verlangt
Ein Sanitärbetrieb mit acht Mitarbeitern verarbeitet jeden Tag personenbezogene Daten, ohne darüber nachzudenken: Kundenadressen auf dem Auftragszettel, Telefonnummern im Handy des Monteurs, Krankmeldungen in der Personalakte, Fotos der Baustelle mit dem Nachbarn im Hintergrund. Die Datenschutz-Grundverordnung gilt für all das, unabhängig von der Betriebsgröße.
Die gute Nachricht: Für einen kleinen Betrieb lassen sich die Pflichten auf acht Punkte zusammenfassen. Keiner davon verlangt einen Juristen. Sie brauchen ein paar Dokumente, klare Absprachen im Team und einen festen Umgang mit Anfragen.
Rechtsgrundlage, Information, Verzeichnis
Erstens: Jede Verarbeitung braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Für Kundendaten ist das fast immer der Vertrag, für Personaldaten das Arbeitsverhältnis, für die Buchhaltung die gesetzliche Pflicht. Eine Einwilligung brauchen Sie nur dort, wo keine dieser Grundlagen greift, etwa für Werbung per E-Mail oder für Fotos von Mitarbeitern auf der Website.
Zweitens: Sie müssen die Betroffenen informieren (Artikel 13 DSGVO). Auf der Website erledigt das die Datenschutzerklärung; gegenüber Kunden und Mitarbeitern reicht ein kurzes Informationsblatt, das Sie mit dem Auftrag oder dem Arbeitsvertrag aushändigen.
Drittens: das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Die Ausnahme für kleine Betriebe greift in der Praxis selten, weil Personal- und Kundendaten regelmäßig verarbeitet werden. Das Verzeichnis ist eine Tabelle: welche Daten, zu welchem Zweck, wer hat Zugriff, wie lange gespeichert. Für einen Handwerksbetrieb sind das meist nur eine Handvoll Zeilen.
Sicherheit, Dienstleister, Betroffenenrechte
Viertens: technische und organisatorische Maßnahmen nach Artikel 32 DSGVO. Gemeint sind Passwörter, Zugriffsrechte, Verschlüsselung auf Laptops und Handys, Sicherungen und die Regel, dass Kundenlisten nicht auf privaten Geräten liegen. Halten Sie fest, was Sie tun; das Dokument muss keine zehn Seiten haben.
Fünftens: Verträge mit Dienstleistern, die für Sie Daten verarbeiten (Artikel 28 DSGVO). Das betrifft den Anbieter Ihrer Buchhaltungssoftware, den Hoster Ihrer Website, den E-Mail-Dienst und das Lohnbüro. Seriöse Anbieter stellen den Auftragsverarbeitungsvertrag bereit; fragen Sie außerdem, wo die Daten liegen, denn ein Anbieter mit Servern in der EU macht die Sache einfacher.
Sechstens: Betroffenenrechte. Kunden und Mitarbeiter dürfen Auskunft verlangen, Berichtigung, Löschung und unter Umständen Widerspruch einlegen (Artikel 15 bis 21 DSGVO). Sie müssen ohne unangemessene Verzögerung antworten, in der Regel innerhalb eines Monats (Artikel 12 DSGVO). Legen Sie fest, wer im Betrieb solche Anfragen bearbeitet und wo die Daten zu finden sind.
Datenpannen und Datenschutzbeauftragter
Siebtens: Datenpannen melden. Geht ein Laptop mit Kundendaten verloren oder verschickt jemand die Lohnliste an den falschen Empfänger, müssen Sie das innerhalb von 72 Stunden der Aufsichtsbehörde melden, wenn ein Risiko für die Betroffenen besteht (Artikel 33 DSGVO). In Niedersachsen ist das die Landesbeauftragte für den Datenschutz. Wer die Frist kennt und weiß, wo das Meldeformular liegt, handelt im Ernstfall ruhig.
Achtens: Datenschutzbeauftragter. Pflicht wird er nach § 38 BDSG, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (Stand September 2026). Der Sanitärbetrieb mit acht Mitarbeitern braucht also keinen, bleibt aber für alle anderen Pflichten verantwortlich. Wächst der Betrieb, behalten Sie die Schwelle im Blick.
Typische Fehler im Handwerk
Die meisten Verstöße in kleinen Betrieben sind keine böse Absicht, sondern Gewohnheit. Diese Punkte fallen bei Beschwerden und Prüfungen immer wieder auf:
- Fotos von Baustellen und Kunden auf Website oder Social Media ohne Einwilligung, oft mit erkennbaren Personen oder Hausnummern.
- Kundendaten im privaten Messenger des Monteurs, weil es schneller geht als über das Firmenhandy.
- Bewerbungen, die Jahre nach der Absage noch im Postfach liegen, obwohl sie nach wenigen Monaten gelöscht sein sollten.
- Mitarbeiter, die nie auf Vertraulichkeit verpflichtet wurden und nicht wissen, was sie weitergeben dürfen.
- Websites mit Tracking oder eingebundenen Diensten, die ohne Einwilligung Daten an Dritte senden.
Ein Nachmittag für die Grundlagen
Nehmen Sie sich einen Nachmittag ohne Termine. Schreiben Sie zuerst das Verzeichnis, weil es alle anderen Punkte sichtbar macht: wo Daten liegen, wer zugreift, welche Dienstleister beteiligt sind. Sammeln Sie danach die fehlenden Auftragsverarbeitungsverträge ein und verpflichten Sie Ihr Team schriftlich auf Vertraulichkeit.
Legen Sie zum Schluss zwei Vorlagen an: eine Antwort auf Auskunftsersuchen und einen Ablauf für Datenpannen mit Ansprechpartner und Behördenkontakt. Vieles davon bieten die Handwerkskammern als Muster an. Danach ist der Betrieb nicht perfekt, aber er ist auskunftsfähig, und genau das erwartet die Aufsichtsbehörde von einem kleinen Unternehmen.
