DSGVO im Handwerk: Pflichten & Checkliste 2026

DSGVO im Handwerksbetrieb: Diese 8 Pflichten müssen Sie kennen

Seit 2018 gilt die DSGVO für alle Betriebe – auch für Ihren Handwerksbetrieb mit 3 Mitarbeitern. Welche Pflichten wirklich gelten, welche Fehler Bußgelder kosten und was Sie jetzt konkret tun müssen: Unsere Checkliste zeigt es Ihnen.

Gilt die DSGVO wirklich für jeden Handwerksbetrieb?

Ja – die DSGVO gilt für jeden Handwerksbetrieb in Deutschland, egal ob Einzelunternehmer, 5-Mann-Betrieb oder Familienunternehmen mit 40 Mitarbeitern. Es gibt keine Ausnahme für Kleinstbetriebe. Seit dem 25. Mai 2018 sind alle Betriebe zur Einhaltung verpflichtet.

Viele Handwerker wissen das noch immer nicht – oder verdrängen es. „Das betrifft doch nur große Konzerne“ ist ein weit verbreiteter Irrtum. Dabei verarbeitet selbst ein kleiner Malerbetrieb täglich personenbezogene Daten: Kundennamen, Adressen, Telefonnummern, E-Mail-Adressen, Fotos von Baustellen. All das fällt unter die DSGVO.

Die gute Nachricht: Die wichtigsten Pflichten sind überschaubar. Wer die 8 zentralen Punkte dieser Checkliste umsetzt, ist auf der sicheren Seite. Und das Risiko bei Nichteinhaltung ist real: Die Datenschutzbehörden können Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro verhängen – auch gegen kleine Betriebe.

Datenschutz im Handwerk: Die Realität in Zahlen

96%
der Handwerksbetriebe sorgen sich um IT- und Datensicherheit
Bitkom-Studie 2025
20 Mio.
Euro maximales Bußgeld bei DSGVO-Verstößen – auch für kleine Betriebe
DSGVO Art. 83
72 Std.
haben Sie Zeit, um eine Datenpanne der Behörde zu melden
DSGVO Art. 33

DSGVO-Checkliste für Handwerksbetriebe: 8 Pflichten im Überblick

Gehen Sie diese 8 Punkte durch. Alles, was Sie noch nicht umgesetzt haben, ist Ihr Handlungsbedarf – je früher, desto besser.

1

1. Verzeichnis von Verarbeitungstätigkeiten (VVT) führen

Das VVT ist die Grundlage Ihrer DSGVO-Compliance. Darin dokumentieren Sie, welche personenbezogenen Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeiten.

Was gehört ins VVT?

  • Kundendaten (Name, Adresse, Telefon, E-Mail)
  • Mitarbeiterdaten (Lohnabrechnung, Zeiterfassung, Krankmeldungen)
  • Bewerberdaten
  • Lieferanten- und Subunternehmerdaten
  • Bilder und Videos von Baustellen (wenn Personen erkennbar sind)

Das VVT muss schriftlich oder digital vorliegen und der Datenschutzbehörde auf Anfrage sofort vorgelegt werden können. Kostenlose Vorlagen bietet der ZDH (Zentralverband des Deutschen Handwerks) auf seiner Website an.

2

2. Datenschutzerklärung auf der Website

Haben Sie eine Website? Dann ist eine Datenschutzerklärung Pflicht – auch wenn Sie nur 2 Mitarbeiter haben. Fehlt sie, drohen Abmahnungen und Bußgelder.

Was muss die Datenschutzerklärung enthalten?

  • Name und Kontaktdaten des Verantwortlichen (Sie als Betriebsinhaber)
  • Welche Daten gesammelt werden (z. B. Kontaktformular, Google Analytics, Cookies)
  • Zu welchem Zweck und auf welcher Rechtsgrundlage
  • Wie lange die Daten gespeichert werden
  • Rechte der Betroffenen (Auskunft, Löschung, Berichtigung)

Wichtig: Wenn Sie Google Maps, Google Analytics, Instagram-Feeds oder ähnliche Drittdienste einbinden, müssen diese explizit in der Datenschutzerklärung erwähnt werden. Nutzen Sie einen kostenlosen Generator wie den des Anwalts Dr. Schwenke für eine rechtssichere Vorlage.

3

3. Auftragsverarbeitungsverträge (AVV) abschließen

Jedes Mal, wenn ein externer Dienstleister für Sie personenbezogene Daten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV). Das gilt für:

  • Cloud-Software und Apps (Handwerkersoftware, Zeiterfassungs-Apps)
  • Ihren Webhosting-Anbieter
  • E-Mail-Dienstleister
  • Lohnbuchhaltungssoftware oder Ihren Steuerberater
  • Google (Analytics, Maps, Ads)

Die meisten seriösen Softwareanbieter stellen AVVs automatisch bereit oder verlinken sie in ihren AGBs. Prüfen Sie Ihre aktuellen Software-Abonnements: Liegt ein AVV vor? Falls nicht, kontaktieren Sie den Anbieter.

4

4. Mitarbeiter schriftlich auf Datenschutz verpflichten

Alle Mitarbeiter, die mit personenbezogenen Daten arbeiten, müssen schriftlich auf die Einhaltung des Datenschutzes verpflichtet werden. Das ist eine der am häufigsten vergessenen DSGVO-Pflichten im Handwerk.

Was muss die Verpflichtung enthalten?

  • Erklärung, welche Daten der Mitarbeiter verarbeitet
  • Hinweis auf die Schweigepflicht gegenüber Dritten
  • Hinweis auf Konsequenzen bei Verstößen
  • Unterschrift des Mitarbeiters

Eine kurze Schulung (30–60 Minuten) zum Datenschutz im Betriebsalltag ist zusätzlich empfehlenswert. Kostenlose Schulungsmaterialien gibt es bei den Handwerkskammern.

5

5. Kundendaten: nur das Notwendige speichern

Die Grundregel der DSGVO heißt Datensparsamkeit: Speichern Sie nur die Daten, die Sie wirklich brauchen. Ohne ausdrückliche Einwilligung dürfen Sie nur Daten erheben, die zur Vertragserfüllung notwendig sind.

Ohne Einwilligung erlaubt (zur Vertragserfüllung):

  • Name, Adresse, Telefonnummer, E-Mail (für die Auftragsabwicklung)
  • Bankdaten (für die Zahlung)
  • Auftragsdokumentation (Fotos ohne erkennbare Personen)

Nur mit Einwilligung erlaubt:

  • Newsletter-Versand
  • Fotos mit erkennbaren Personen für Werbezwecke
  • Gesundheitsdaten von Mitarbeitern
  • Weitergabe von Kundendaten an Subunternehmer
6

6. Löschkonzept für Daten erstellen

Daten dürfen nicht ewig gespeichert werden. Das DSGVO-Prinzip der Speicherbegrenzung schreibt vor, dass Daten nur so lange gespeichert werden dürfen, wie es notwendig ist.

Typische Aufbewahrungsfristen im Handwerk:

  • Steuerlich relevante Unterlagen (Rechnungen, Verträge): 10 Jahre (§ 147 AO)
  • Geschäftsbriefe, E-Mails mit Geschäftsinhalt: 6 Jahre
  • Bewerberdaten bei Ablehnung: 6 Monate
  • Kundendaten nach Auftragsende: 6 Monate bis 2 Jahre (je nach Gewährleistungsansprüchen)

Erstellen Sie ein einfaches Löschkonzept: Wann werden welche Daten gelöscht? Legen Sie konkrete Zeitpunkte oder Ereignisse fest (z. B. „6 Monate nach Rechnungsbegleichung“).

7

7. Datenpannen innerhalb von 72 Stunden melden

Wenn personenbezogene Daten unbefugt weitergegeben, gestohlen oder vernichtet werden, müssen Sie das innerhalb von 72 Stunden der zuständigen Datenschutzbehörde melden.

Wann ist eine Datenpanne meldepflichtig?

  • Laptop oder Smartphone mit Kundendaten gestohlen
  • E-Mail mit Kundendaten an falschen Empfänger geschickt
  • Hackerangriff auf Ihre IT-Systeme
  • Papierakte mit Kundendaten verloren

Die Meldung erfolgt online beim zuständigen Landesamt für Datenschutzaufsicht (LDA). Zum Zeitpunkt der Meldung müssen Sie nicht alle Details kennen – melden Sie den bekannten Sachverhalt und aktualisieren Sie die Meldung bei weiteren Erkenntnissen.

8

8. Datenschutzbeauftragten bestellen (wenn nötig)

Nicht jeder Betrieb braucht einen Datenschutzbeauftragten (DSB). Die Pflicht besteht in Deutschland, wenn mindestens 20 Mitarbeiter regelmäßig mit personenbezogenen Daten arbeiten (§ 38 BDSG).

Wichtig: Dabei zählen alle Mitarbeiter, die personenbezogene Daten verarbeiten – also fast alle. Ein Elektriker, der auf der Baustelle Kundendaten in einer App einträgt, zählt dazu.

Hat Ihr Betrieb weniger als 20 Mitarbeiter? Dann ist kein DSB Pflicht, aber empfehlenswert. Für Betriebe ab 20 Mitarbeitern gilt: Den DSB können Sie intern benennen oder extern beauftragen. Externe DSBs kosten je nach Aufwand zwischen 50 und 200 € monatlich – deutlich günstiger als ein Bußgeld.

Die 5 häufigsten DSGVO-Fehler im Handwerk

Datenschutzbehörden berichten immer wieder von denselben Verstößen in Handwerksbetrieben. Diese 5 Fehler kosten am häufigsten Bußgeld:

  1. Keine Datenschutzerklärung auf der Website – oder eine veraltete ohne Hinweis auf aktuelle Drittdienste (Google Maps, Social Media)
  2. Mitarbeiter nicht auf Datenschutz verpflichtet – besonders bei Azubis und Aushilfen vergessen
  3. Baustellen-Fotos mit erkennbaren Personen für Social Media oder Werbung ohne Einwilligung
  4. WhatsApp für Kundenkommunikation – WhatsApp überträgt Metadaten in die USA und ist ohne besondere Maßnahmen DSGVO-kritisch
  5. Kein AVV mit Software-Anbietern – viele Betriebe nutzen Cloud-Software, ohne je einen Auftragsverarbeitungsvertrag abgeschlossen zu haben

Besonders der letzte Punkt wird unterschätzt: Wenn Sie eine digitale Lösung für Ihre Dokumentenverwaltung nutzen, sollte der Anbieter Ihnen einen AVV anbieten. Prüfen Sie das bei Ihren aktuellen Tools.

Zum Thema rechtssichere digitale Dokumentation lesen Sie auch unseren Artikel zur GoBD-konformen Dokumentation im Handwerk.

Darf ich WhatsApp im Betrieb nutzen? Und was ist mit Baustellen-Fotos?

Zwei Fragen, die fast jeder Handwerker stellt:

WhatsApp im Betrieb: WhatsApp ist für private Nutzung konzipiert. Für die professionelle Kommunikation mit Kunden ist es problematisch, weil Metadaten automatisch an Meta-Server in die USA übertragen werden – oft ohne Einwilligung Ihrer Kunden. Datenschutzbehörden sehen das kritisch. Besser: Nutzen Sie für die Teamkommunikation eine DSGVO-konforme Alternative, die auf europäischen Servern betrieben wird.

Baustellen-Fotos: Fotos ohne erkennbare Personen (nur das fertige Werk, die Baustelle, Materialien) dürfen Sie grundsätzlich für Werbung nutzen. Sobald Personen erkennbar sind – Kunden, Mitarbeiter, Passanten – brauchen Sie deren schriftliche Einwilligung. Auch Fotos, die persönliches Eigentum der Kunden zeigen (Innenräume, Möbel), sind sensibel.

Fazit: Setzen Sie auf digitale Lösungen, die von Haus aus DSGVO-konform sind und Ihnen den Aufwand der Datenschutz-Dokumentation abnehmen. Lesen Sie dazu auch, wie die E-Rechnungspflicht im Handwerk mit digitalen Tools einfach umgesetzt werden kann.

DSGVO-Pflichten auf einen Blick: Wer muss was tun?

Alle Betriebe

VVT führen, Datenschutzerklärung auf Website, AVV mit Software-Anbietern, Mitarbeiter verpflichten, Löschkonzept erstellen

Ab 20 Mitarbeiter

Datenschutzbeauftragten benennen (intern oder extern) – zusätzlich zu allen Pflichten kleinerer Betriebe

Bei Datenpanne

Innerhalb von 72 Stunden Meldung an Datenschutzbehörde. Betroffene informieren wenn hohes Risiko besteht

Gilt die DSGVO auch für Kleinstbetriebe und Einzelunternehmer im Handwerk?

Ja, die DSGVO gilt für alle Betriebe ohne Ausnahme – auch für den Einzelunternehmer mit einem Mitarbeiter. Die Größe des Betriebs bestimmt nicht ob die DSGVO gilt, sondern nur welche Pflichten in welchem Umfang gelten. Zum Beispiel ist ein Datenschutzbeauftragter erst ab 20 Mitarbeitern Pflicht.

Drohen Handwerksbetrieben wirklich Millionenbußgelder bei DSGVO-Verstößen?

Theoretisch ja – die DSGVO sieht Bußgelder bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro vor. In der Praxis verhängen die Behörden bei kleinen Handwerksbetrieben deutlich niedrigere Bußgelder. Dennoch sind Strafen von einigen Tausend Euro bei klaren Verstößen keine Seltenheit. Abmahnungen durch Mitbewerber oder Abmahnkanzleien sind ebenfalls möglich.

Muss ein Betrieb mit 10 Mitarbeitern einen Datenschutzbeauftragten benennen?

Nein. In Deutschland ist ein Datenschutzbeauftragter erst Pflicht, wenn mindestens 20 Mitarbeiter regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Bei einem Betrieb mit 10 Mitarbeitern ist kein DSB vorgeschrieben, aber freiwillig empfehlenswert – besonders wenn Sie viele sensible Kundendaten verarbeiten.

Darf ich Fotos von Baustellen für Social Media und Werbung nutzen?

Fotos ohne erkennbare Personen dürfen Sie grundsätzlich für Werbezwecke nutzen. Sobald Personen erkennbar sind – Kunden, Mitarbeiter, Passanten – brauchen Sie deren ausdrückliche schriftliche Einwilligung. Fotos, die persönliche Gegenstände der Kunden zeigen (Innenräume, Möbel), sind ebenfalls sensibel. Im Zweifel gilt: Fragen Sie vorher und holen Sie eine kurze Einwilligung ein.

Was muss ich tun, wenn ein Laptop mit Kundendaten gestohlen wird?

Bei einer solchen Datenpanne haben Sie 72 Stunden Zeit, um den Vorfall der zuständigen Datenschutzbehörde (Landesamt für Datenschutzaufsicht Ihres Bundeslandes) zu melden. Ist das Risiko für die betroffenen Personen hoch, müssen Sie diese ebenfalls informieren. Sie müssen zum Zeitpunkt der Meldung nicht alle Details kennen – melden Sie den bekannten Sachverhalt und ergänzen Sie die Meldung später.

Welche Daten darf ich von Kunden ohne Einwilligung speichern?

Zur Vertragserfüllung dürfen Sie ohne gesonderte Einwilligung speichern: Name, Adresse, Telefonnummer, E-Mail, Bankdaten sowie alle Unterlagen, die zur Auftragsabwicklung notwendig sind. Für alles andere – Newsletter, Werbung, Weitergabe an Dritte, Fotos für Marketingzwecke – brauchen Sie eine ausdrückliche Einwilligung.

Was ist ein Auftragsverarbeitungsvertrag (AVV) und wann brauche ich einen?

Ein AVV ist ein Vertrag, der regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten darf. Sie brauchen ihn immer dann, wenn ein Externer Ihre Kundendaten, Mitarbeiterdaten oder andere personenbezogene Daten verarbeitet – also bei Cloud-Software, Webhosting-Anbietern, E-Mail-Diensten, Lohnbuchhaltungssoftware und Ihrem Steuerberater. Die meisten seriösen Anbieter stellen AVVs auf Anfrage bereit.

Ist WhatsApp für die Kundenkommunikation im Handwerk erlaubt?

WhatsApp ist DSGVO-kritisch für die professionelle Nutzung, weil Metadaten automatisch an Meta-Server in die USA übertragen werden – oft ohne Einwilligung der Betroffenen. Datenschutzbehörden sehen das skeptisch. Für Teamkommunikation und Kundenkontakt empfehlen sich DSGVO-konforme Alternativen, die auf europäischen Servern betrieben werden.

Datenschutz einfacher machen – mit der richtigen Software

Digitale Dokumentation, DSGVO-konforme Datenspeicherung, Auftragsverarbeitungsverträge mit Handwerkersoftware: Testen Sie MeinHandwerker-App 30 Tage kostenlos und sehen Sie, wie digitale Prozesse Ihren Büroalltag und Ihre Compliance-Last gleichzeitig reduzieren.

Jetzt kostenlos testen Beratung anfragen

App-Funktionen entdecken

Urlaub digital beantragen – direkt über die App

Mit der MeinHandwerker App können Ihre Mitarbeiter ihren Urlaub bequem per App beantragen. Der Antrag...

Materialanforderung direkt über die Handwerker-App

Mit der MeinHandwerker App können Ihre Mitarbeiter benötigtes Material direkt von der Baustelle aus anfordern....

Materialverbrauch erfassen – digital, schnell und transparent

Mit der MeinHandwerker App können Ihre Mitarbeiter den Materialverbrauch auf Baustellen direkt in der App...

Digitale Krankmeldung – einfach & schnell

Mit der MeinHandwerker App melden sich Ihre Mitarbeiter bequem per Smartphone krank – ganz ohne...

Baustellen-Chat-App – direkte Kommunikation auf der Baustelle

Effiziente Kommunikation ist ein entscheidender Erfolgsfaktor im Handwerk. Mit dem Baustellen-Chat der MeinHandwerker App tauschen...

Effizientes Dokumentenmanagement für Handwerksbetriebe

Mit der MeinHandwerker-App behalten Sie nicht nur den Überblick über Projekte, Mitarbeiter und Zeiterfassung –...

Weitere Blog-Artikel

Cookie Consent mit Real Cookie Banner