"Wir sind doch nur ein kleiner Handwerksbetrieb — uns trifft die DSGVO nicht." Diesen Satz höre ich seit Jahren regelmäßig. Er ist falsch. Tatsächlich verarbeiten Handwerker tagtäglich personenbezogene Daten — und übersehen dabei sieben Risiken, die im Bußgeldverfahren teuer werden können.
Im Folgenden die sieben häufigsten Fallstricke aus der Beratungspraxis — jeweils mit der konkreten Lösung, mit der Sie das Risiko in unter zwei Stunden eliminieren.
Fallstrick 01 · Kundendaten
Kundenstamm in Excel-Listen und WhatsApp-Gruppen
Adressen, Telefonnummern, Auftragsdetails landen häufig in geteilten Excel-Tabellen oder werden über private WhatsApp-Gruppen koordiniert. Das ist schnell, aber rechtlich problematisch: Excel-Tabellen sind selten zugriffsbeschränkt, WhatsApp läuft über Meta-Server (Drittlandtransfer) und ohne dokumentierte Rechtsgrundlage.
Lösung: Ein einfaches CRM- oder Branchen-Tool (z.B. ToolTime, Streit V.1, openHandwerk) mit zugriffsbeschränkten Nutzerprofilen — und WhatsApp Business nur mit dokumentierter Einwilligung der Kunden.
Fallstrick 02 · Bewerbungen
Bewerbungsunterlagen ohne Löschkonzept
Bewerbungen kommen per E-Mail, werden im Postfach abgelegt — und bleiben dort jahrelang. Das ist eine doppelte Verletzung: keine Zugriffsbeschränkung (jeder im Mail-System sieht sie) und keine Löschung nach Abschluss des Bewerbungsverfahrens. Standardpraxis im Handwerk, aber gegen Art. 5 (1) e DSGVO ("Speicherbegrenzung").
Lösung: Bewerbungs-Postfach getrennt einrichten, Zugriff nur Geschäftsführung & HR. Nach Absage oder Einstellung: 6 Monate Aufbewahrungsfrist (zur Verteidigung gegen Gleichbehandlungs-Klagen), danach Löschung. Schriftlich dokumentieren.
Fallstrick 03 · Baustellen-Fotos
Personen im Hintergrund von Baustellen-Fotos
Foto vom abgeschlossenen Bad für Instagram. Im Spiegel: der Auftraggeber. Auf der Hausbaustelle: Nachbarskinder im Garten. Solche Aufnahmen sind personenbezogene Daten und brauchen eine Rechtsgrundlage — eine Einwilligung oder berechtigtes Interesse mit Interessenabwägung.
Lösung: Vor Veröffentlichung gezielt prüfen, wer erkennbar ist. Im Zweifel verpixeln oder ausschneiden. Bei geplanten Referenzfotos: kurze schriftliche Einwilligung des Auftraggebers (zwei Sätze auf dem Auftragsformular reichen).
Fallstrick 04 · Subunternehmer
Subunternehmer ohne Auftragsverarbeitungsvertrag
Sie geben Kundendaten an einen Subunternehmer (Elektriker, Bodenleger, Gerüstbauer). Damit wird er zum Auftragsverarbeiter nach Art. 28 DSGVO — und braucht einen schriftlichen Auftragsverarbeitungsvertrag (AVV). Ohne AVV ist die Datenweitergabe rechtswidrig — auch wenn der Sub die Daten zur Auftragserfüllung braucht.
Lösung: Standard-AVV-Vorlage (z. B. von der WKO) erstellen und mit jedem regelmäßigen Subunternehmer abschließen. Bei einmaliger Tätigkeit reicht meist eine kurze Datenschutz-Klausel im Werkvertrag.
Fallstrick 05 · Privatgeräte
Mitarbeiter nutzen private Smartphones für Kundendaten
Der Polier ruft Kunden vom eigenen Handy an, speichert Adressen im persönlichen Kontaktbuch, fotografiert Schäden mit der privaten Kamera-App. Wenn er das Handy verliert oder den Job wechselt, sind die Daten unkontrolliert verteilt. Im Bußgeldfall: Sie haften für die mangelnde organisatorische Sicherheit.
Lösung: Entweder Diensthandys ausgeben (sauber) oder eine schriftliche Bring-Your-Own-Device-Richtlinie mit verpflichtender App-Trennung (z.B. via Microsoft Intune) und Löschpflicht beim Austritt.
Fallstrick 06 · Social-Media-DMs
Kundenanfragen über Instagram- und Facebook-DM
Anfragen kommen zunehmend über Direktnachrichten in Instagram oder Facebook. Praktisch — aber Sie können die Konversation nicht in Ihr CRM exportieren, nicht nach Kategorie suchen, nicht im DSAR-Fall (Auskunftsanfrage) sauber liefern. Plus: Daten landen unkontrolliert auf Meta-Servern in den USA.
Lösung: In der Bio einen klaren Hinweis setzen: "Anfragen bitte per Mail an info@…". Über DMs eintreffende Anfragen aktiv in Ihr Mail-/CRM-System überführen, dann dort weiterbearbeiten. Den Übergang dokumentieren.
Fallstrick 07 · Cloud-Sicherheit
Mitarbeiterdaten unverschlüsselt im Cloud-Tool
Lohnzettel, Krankenstandsmeldungen, Bewerbungsunterlagen, Verträge — alles im Dropbox-Ordner "HR" oder im Microsoft-OneDrive der Geschäftsführung. Häufig: keine Zwei-Faktor-Authentifizierung, keine Verschlüsselung, kein dokumentiertes Berechtigungskonzept.
Lösung: 2FA aktivieren (Pflicht). Sensitive Ordner mit getrennten Zugriffsrechten anlegen. Verschlüsselung "at rest" prüfen (bei Microsoft 365 Business standardmäßig aktiv). Berechtigungskonzept dokumentieren — wer darf was.
Wie viel Aufwand kommt auf Ihren Betrieb zu?
Realistisch: 15–25 Stunden über vier bis sechs Wochen verteilt, plus die Kosten für ggf. neue Tools (CRM, Diensthandys, AVV-Vorlagen). Bei einem Stundensatz von 80 € in der Geschäftsführung sind das rund 1.500 € Eigenleistung — gegenüber Bußgeldern, die ab 5.000 € beginnen und in vergleichbaren Fällen auch sechsstellig werden können.
Datenschutz im Handwerk ist nicht teuer. Teuer ist es nur, wenn man ihn ignoriert. Aus der Beratungspraxis
Tipp für die Reihenfolge: Beginnen Sie mit Fallstrick 04 (Subunternehmer-AVV) und 07 (Cloud-Sicherheit) — das sind die, die im Audit am häufigsten geprüft werden. Die anderen folgen, sobald die Basis steht.
Was als Nächstes
Die meisten Handwerksbetriebe haben drei oder vier dieser Fallstricke gleichzeitig — und wissen es nicht. Eine kurze DSGVO-Erstanalyse deckt in 60 Minuten die konkreten Lücken auf und priorisiert die Maßnahmen. Kostenlos, unverbindlich, ohne Verkaufsdruck.