DSGVO im Handwerk: Die häufigsten Fehler und wie Sie sie vermeiden

Jeder Handwerksbetrieb verarbeitet personenbezogene Daten: Kundenadressen, Baustellenfotos, Telefonnummern, Daten der Mitarbeiter. Die meisten Datenschutz-Probleme entstehen nicht durch böse Absicht, sondern durch Gewohnheit. Die häufigsten lassen sich in einer Woche abstellen.

Was bei Verstößen droht

Die DSGVO sieht Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor, bei Unternehmen gilt der höhere Wert. Die tatsächliche Höhe bemessen die Aufsichtsbehörden nach Schwere, Dauer und Größe des Betriebs. Im Alltag wichtiger: Eine einzige Kundenbeschwerde bei der Behörde reicht, damit Sie Fragen beantworten müssen.

Die häufigsten Fehler im Handwerk

1. Kundenfotos und Adressen in WhatsApp

Baustellenfotos mit Hausnummer, Namensschild oder Personen sind personenbezogene Daten. WhatsApp gehört zu Meta und gleicht beim Einrichten das Adressbuch mit den Servern des Konzerns ab. Für den geschäftlichen Austausch mit Kundendaten ist das rechtlich heikel.

Besser: Fotos direkt im Auftrag Ihrer Betriebssoftware ablegen statt im Gruppenchat. Für Absprachen im Team einen Firmen-Messenger mit Servern in der EU nutzen.

2. Rundmails mit allen Adressen in CC

Wer allen Kunden eine Mail schickt und die Adressen ins CC-Feld setzt, gibt jede Adresse an alle anderen weiter. Aufsichtsbehörden haben dafür bereits Bußgelder verhängt.

Besser: Immer BCC verwenden, oder ein Werkzeug, das jede Mail einzeln verschickt.

3. Kundendaten auf privaten Handys

Speichern Mitarbeiter Kundennummern im privaten Adressbuch, wandern diese oft automatisch in die Cloud von Apple oder Google.

Besser: Firmengeräte oder eine klare schriftliche Regel, welche Daten auf private Geräte dürfen und welche nicht.

4. Cloud-Dienste ohne Vertrag

Wer Kundendaten in einer Cloud speichert, braucht mit dem Anbieter einen Auftragsverarbeitungsvertrag (AVV). Bei US-Anbietern kommt eine zweite Frage dazu: Seit 2023 gibt es mit dem EU-US Data Privacy Framework zwar wieder eine Rechtsgrundlage für zertifizierte US-Firmen. US-Behörden können nach dem CLOUD Act aber auch Zugriff auf Daten verlangen, die in Europa liegen.

Besser: Anbieter mit Rechenzentrum in der EU wählen, AVV abschließen und ablegen. Und nachfragen, welche Unterauftragnehmer der Anbieter selbst einsetzt.

5. Auftragszettel im Papiermüll

Lieferscheine und Notizen mit Kundendaten gehören nicht in die blaue Tonne.

Besser: Ein Aktenvernichter mit Sicherheitsstufe P-4 reicht für die meisten Betriebe.

Was wir selbst gelernt haben

Den Unterauftragnehmern nicht blind trauen. Bei einem Dienst, den wir für rein europäisch hielten, zeigte die eigene Datenschutzerklärung des Anbieters, dass er Dienstleister in den USA einbindet. Seitdem lesen wir diese Liste bei jedem neuen Anbieter, bevor Kundendaten fließen.

Eingestellt heißt nicht geschützt. Ob ein Zugang wirklich gesperrt ist, zeigt nur ein Test von außen, also so, wie ihn ein Fremder sehen würde. Eine Einstellung in der Software allein beweist nichts. Wir prüfen unsere Systeme deshalb regelmäßig von außen.

Offen sagen, wo Daten liegen. ASKI Base speichert alle Daten auf Servern von Hetzner in Deutschland. Die KI-Verarbeitung läuft bei Microsoft Azure im Rechenzentrum Schweden, mit Auftragsverarbeitungsvertrag. Die Daten bleiben damit in der EU, Microsoft ist aber ein US-Unternehmen. Wir sagen das offen, und Sie sollten es Ihren Kunden genauso offen sagen können.

Drei Schritte für diese Woche

1. Liste machen: Wo liegen bei Ihnen Kundendaten? Handy, Mailpostfach, Cloud, Ordner im Büro.
2. Die zwei schnellen Punkte zuerst: Keine Kundenfotos mehr in WhatsApp-Gruppen, Rundmails nur noch per BCC.
3. Verträge prüfen: Gibt es für jeden Cloud-Dienst einen AVV? Wenn nicht, anfordern.

Dieser Artikel ersetzt keine Rechtsberatung. Stand: Oktober 2026.