DSGVO im Handwerk - Was Sie wissen sollten
Die Datenschutz-Grundverordnung (DSGVO) gilt für alle Handwerksbetriebe – unabhängig von der Betriebsgröße.
Grundsätzlich gilt: Datenschutz ist Chefsache.
Das Bayerische Landesamt für Datenschutzaufsicht (LDA) stellt hierfür kompakte Hinweise und Beispiele zur Verfügung, auch speziell für kleine Betriebe.
Im Folgenden finden Sie die wichtigsten Anforderungen für die Praxis übersichtlich zusammengefasst. Für detailliertere Informationen steht Ihnen Ihr Ansprechpartner der Handwerkskammer zur Verfügung.
Ansprechperson
Technologie- und Innovationsberatung
Telefon 089 5119-187
Verantwortung im Betrieb
Ein betrieblicher Datenschutzbeauftragter (DSB) ist erforderlich, wenn mindestens 20 Personen regelmäßig mit personenbezogenen Daten arbeiten, beispielsweise in Geschäftsführung, Lohnbuchhaltung oder Kundenverwaltung. Bestimmte Betriebe mit hoheitlichen Aufgaben – etwa im Schornsteinfegerhandwerk – sind unabhängig davon verpflichtet, einen Datenschutzbeauftragten zu benennen. In solchen Fällen kann auch eine gemeinsame Lösung über Innungen oder Verbände erfolgen.
Dokumentation der Datenverarbeitung
Um nachvollziehbar zu machen, wie Daten im Betrieb verarbeitet werden, ist ein Verzeichnis von Verarbeitungstätigkeiten zu erstellen.
Dieses Verzeichnis wird nicht für jeden einzelnen Kunden, sondern einmal pro Verarbeitungsvorgang (z. B. „Vertragserfüllung“) erstellt. Voraussetzung ist, dass Daten regelmäßig verarbeitet werden oder dabei ein erhöhtes Risiko besteht.
Umgang mit Beschäftigten
Alle Mitarbeitenden, die mit personenbezogenen Daten arbeiten, sollten schriftlich auf den Datenschutz verpflichtet werden.
Darüber hinaus schreibt die DSGVO auch in kleinen Betrieben eine Schulung zum sicheren Umgang mit Daten vor.
Sonderfall Homeoffice: Damit Ihre Mitarbeiter DSGVO konform im Homeoffice arbeiten können, bietet das LDA eine Checkliste.
Transparenz gegenüber Kunden und Mitarbeitenden
Sie sind verpflichtet, sowohl Kunden als auch Mitarbeitende darüber zu informieren, wie und wofür Daten erhoben und verwendet werden.
Bei Kunden kann dies beispielsweise direkt auf Angeboten oder Rechnungen erfolgen. In anderen Fällen reicht auch ein Aushang oder ein Informationsblatt. Die Informationen können dabei in mehreren Stufen bereitgestellt werden, müssen jedoch vollständig zugänglich sein.
Auch Mitarbeitende müssen über die Verarbeitung ihrer Daten, etwa im Rahmen der Lohnabrechnung, informiert werden.
Für die Nutzung von Mitarbeiterfotos ist eine Einwilligung erforderlich.
Speichern und Löschen von Daten
Personenbezogene Daten sind zu löschen, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden – es sei denn, es bestehen gesetzliche Aufbewahrungspflichten oder nachvollziehbare betriebliche Gründe.
Beispielsweise müssen Rechnungen 10 Jahre aufbewahrt werden. In bestimmten Branchen kann es zudem sinnvoll sein, Unterlagen wie Pläne oder Auftragslisten deutlich länger vorzuhalten.
Zusammenarbeit mit Dienstleistern
Werden Daten durch externe Dienstleister verarbeitet, liegt eine Auftragsverarbeitung vor. In diesem Fall ist ein entsprechender Vertrag abzuschließen.
Typische Beispiele sind die Lohnabrechnung über einen Steuerberater oder das digitale Archivieren von Unterlagen.
Nicht jede Zusammenarbeit fällt darunter, wie etwa die Lieferung von Material an die Baustelle auf Kommission oder der Einsatz von Subunternehmen.
DSGVO und Internet
Website: Eine Datenschutzerklärung ist verpflichtend. Cookies dürfen grundsätzlich erst nach Einwilligung gesetzt werden, ausgenommen technisch notwendige Cookies.
WhatsApp & Co.: Die Nutzung im betrieblichen Kontext ist datenschutzrechtlich kritisch zu bewerten.
Facebook: Betreiber von Unternehmensseiten tragen Mitverantwortung für Datenschutzverstöße und sollten Impressum und Datenschutzhinweise aktuell halten.
DSGVO und Betriebsnachfolge
Sollte Sie Ihren Betrieb an einen Nachfolger übergeben oder einen Betrieb geerbt haben, so gibt es auch beim Thema DSGVO einiges zu beachten. Die Kollegen der Betriebswirtschaft haben hierzu ein Merkblatt erstellt und stehen Ihnen für Fragen zur Verfügung.
Umgang mit Datenpannen
Kommt es zu einer Datenschutzverletzung, muss diese innerhalb von 72 Stunden dem Bayerischen Landesamt für Datenschutzaufsicht (LDA) gemeldet werden.