Ein Passant läuft an deinem Firmenwagen vorbei. Auf dem Armaturenbrett liegt der Auftragszettel, mit Name, Adresse und allem, was dazugehört. Ein Foto, eine Mail an die Datenschutzbehörde, und du hast ein Problem. Corinna Göring erzählt dieses Beispiel in ihren Kursen an der Handwerkskammer, und die meisten Teilnehmer fangen an zu schmunzeln, weil jeder so einen Wagen kennt. Corinna hat 26 Jahre ein IT-Systemhaus geführt und ist heute Datenschutzbeauftragte für Solo- und Kleinbetriebe. Ihre Beobachtung: DSGVO im Handwerk ist kein Thema mehr, das nur die Großen betrifft. In diesem Artikel erfährst du, wo dein Betrieb angreifbar ist, warum WhatsApp dabei ganz vorne steht und wie du mit überschaubarem Aufwand aufräumst.
Viele Chefs mit 10 oder 12 Leuten denken: Wo kein Kläger, da kein Richter. Corinna macht seit 2015 Datenschutz, und in den ersten Jahren hatte sie kaum Beschwerden auf dem Tisch. Seit anderthalb, zwei Jahren ändert sich das. Gekündigte Mitarbeiter und unzufriedene Kunden suchen einen Punkt, an dem sie ihren Frust loswerden, und Datenschutz ist dafür ein beliebter Hebel. Auskunftsanfragen und Beschwerden landen dann nicht beim Konzern, sondern bei dir. Die Frage ist also nicht mehr, ob sich jemand für deinen Betrieb interessiert, sondern ob du ihm eine Angriffsfläche bietest.
Jeder hat WhatsApp, jeder nutzt es, auch im Betrieb. Das Problem: WhatsApp greift auf das komplette Telefonbuch im Handy zu. Das machen andere Messenger auch. WhatsApp gibt die Nummern aber weiter.
Aber WhatsApp zieht alle Telefonnummern ab, die da drin sind und schickt die weiter an Meta, an Facebook zu Marketingzwecken. Corinna Göring
Hast du die Nummer einer 80-jährigen Kundin gespeichert, die selbst gar kein WhatsApp hat, liegen ihre Daten trotzdem bei Meta, ohne Einwilligung. Auch „WhatsApp Business“ ist laut Corinna nicht automatisch DSGVO-konform, obwohl es groß draufsteht. Sauber ist es nur über eine technische Schnittstelle, etwa als Chat auf deiner Website. Corinna selbst hat WhatsApp auf dem Handy, speichert dort aber nur private Nummern und Kontakte, die eingewilligt haben. Kundennummern speichert sie grundsätzlich nicht.
Der zweite typische Angriffspunkt ist die Website. Wenn Corinna für Kunden einen Cookie-Banner prüft, fragt sie oft: Nutzt du überhaupt Google Analytics? Die Antwort ist häufig: „Nö, was ist denn das? Mein Webdesigner hat das draufgemacht.“ Wenn du es nicht aktiv für Werbung nutzt, schmeiß es runter. Ohne Cookies brauchst du auch keinen Cookie-Banner. Dazu kommt die Datenschutzerklärung, die oft vor fünf, sechs Jahren erstellt und nie angepasst wurde, obwohl neue Funktionen auf die Seite kamen.
Das heißt, der Webdesigner ist nicht in der Haftung. Das heißt, ich selber als Webseitenbetreiber, als Inhaber bin in der Haftung. Corinna Göring
Corinnas Rat: Mindestens einmal im Jahr die Website anschauen und dabei auch mal jemanden draufschauen lassen, der nicht dein Webdesigner ist.
Nach dem Bundesdatenschutzgesetz brauchst du einen Datenschutzbeauftragten, wenn mindestens 20 Mitarbeiter automatisiert Daten verarbeiten. Dazu zählen alle, die am PC arbeiten, und auch der Vorarbeiter, der auf der Baustelle mit dem Notebook Projekte pflegt. Wer morgens den Regiezettel in Papierform abholt, zählt nicht. Wichtig: Liegst du unter der Grenze, ist dir die DSGVO nicht egal. Dann bist du als Inhaber oder Geschäftsführer selbst verantwortlich. Das gilt übrigens auch für KI: Was deine Mitarbeiter mit ChatGPT und Co. machen, fällt auf dich zurück. Eine Excel-Tabelle mit Kunden- oder Mitarbeiterdaten hat in einem kostenlosen KI-Tool nichts zu suchen.
Corinna sieht Datenschutz nicht nur als Bürokratie. Die technisch-organisatorischen Maßnahmen, kurz TOMs, schützen dich auch vor Datenverlust und Hackerangriffen. Und größere Auftraggeber wie Hausverwaltungen, Architekten oder öffentliche Stellen haben Compliance-Richtlinien. Wer dann sagen kann „Ich habe mein Datenschutzkonzept und habe es umgesetzt“, ist im Vorteil. Eine Kundin von Corinna hat sich genau dafür bedankt, weil sie nur dadurch einen Auftrag bekommen hat.
Der Kunde kauft bei einem wegen Vertrauen. Und wenn ich vertrauensvoll mit seinen Daten umgehe, dann ist das doch sozusagen auch etwas Gutes nach außen. Corinna Göring
Wie es umgekehrt aussieht, zeigt ein Fall aus der Fotografenbranche: Ein Cloud-Anbieter, über den Fotografen Kita- und Schulfotos an Eltern verkauften, wurde gehackt und erpresst. Jeder Fotograf, der das Tool genutzt hatte, musste eine Datenpanne melden und alle Eltern informieren. Du kannst nicht einfach sagen, der Anbieter ist schuld. Du bist mit in der Haftung.
Du musst nicht alles auf einmal lösen. Schreib zuerst auf, welche Daten du überhaupt hast und welcher Mitarbeiter worauf zugreifen muss. Dann schließ die einfachen Lücken: Kundennummern raus aus privaten WhatsApp-Telefonbüchern, Cookies runter, die keiner nutzt, Klemmmappe statt Zettel auf dem Armaturenbrett. Laut Corinna steht das Grundgerüst mit Hilfe nach drei bis vier Tagen Gesamtaufwand, danach wird es in den Folgejahren deutlich weniger. Wo du gerade stehst, zeigt dir Corinnas DSGVO-Self-Check, den du im Members-Bereich findest: bauimpulse.digital/members.
Hör dir jetzt die Podcast-Episode mit Corinna Göring an und teile sie, wenn sie dir gefallen hat!
Datenschutz im Handwerk beginnt nicht mit Formularen, sondern mit einem Blick aufs eigene Handy, die eigene Website und das Armaturenbrett deiner Firmenwagen.
Rechtssicher kaum, weil WhatsApp alle Nummern aus deinem Telefonbuch an Meta weitergibt, auch von Kunden ohne WhatsApp. Wenn überhaupt, dann auf einem Gerät, auf dem nur Kontakte gespeichert sind, die eingewilligt haben. Sauberer ist ein Chat über eine technische Schnittstelle, etwa auf deiner Website.
Nicht automatisch, auch wenn es so beworben wird. Konform ist es nur, wenn du es über die offizielle Schnittstelle anbindest. Die normale Business-App auf dem Handy liegt in einer Grauzone.
Ab 20 Mitarbeitern, die automatisiert Daten verarbeiten, also zum Beispiel am PC oder mit dem Notebook auf der Baustelle. Darunter brauchst du keinen bestellten Beauftragten, bist als Inhaber aber selbst für den Datenschutz verantwortlich.
Nein. Als Betreiber der Website haftest du selbst. Lass die Seite deshalb mindestens einmal im Jahr prüfen, am besten von jemandem außerhalb deiner Agentur.
Im schlimmsten Fall bis zu vier Prozent des Jahresumsatzes, nicht des Gewinns. Entscheidend ist, ob ein Verstoß fahrlässig, grob fahrlässig oder vorsätzlich war. Meist kommt zuerst ein Fragebogen der Aufsichtsbehörde, in dem du deine Datenschutzkonzepte vorlegen musst.
Nein, keine personenbezogenen Daten in kostenlose KI-Tools. Anonymisiere Texte vorher, aus „Max Müller“ wird „Herr X“. Seit dem AI Act musst du außerdem nachweisen, dass Mitarbeiter, die KI nutzen, dafür geschult sind.
"Bei Achim wusste ich gleich, dass ich viele gute Infos finde!"
„Durch das Anmelden bist du damit einverstanden, dass deine Angaben gemäß unserer Datenschutzerklärung verarbeitet werden.“
