Und für alle die es genauer wissen möchten…

Der Datenschutz ist ein wichtiger und not­wendiger Baustein für jeden Betrieb. Auch Handwerksbetriebe sind von der Daten­schutz­grund­verordnung (DSGVO) be­troffen und müssen diese umsetzen – unab­hängig davon, wie viele Mitarbeiter im Betrieb beschäftigt sind. Daher sind Aussagen wie “Wir sind nur ein kleines Unter­nehmen.” oder “Wir haben weniger als 10 Mitar­beiter.” keine Befreiung vom Daten­schutz.

Was ist das Besondere beim Datenschutz bei Handwerksbetrieben?

Handwerksunternehmen sind häufig durch eine klassische Unternehmensstruktur ge­prägt. Entsprechend müssen Daten­schutz­anforderungen effizient und effek­tiv umgesetzt werden, um die Betriebs­abläufe nicht zu sehr zu beein­flussen.

Sollten Handwerksbetriebe besonders sensible personenbezogene Daten ver­ar­beiten, sind diese schon bei der Betriebs­größe von unter zehn Mitarbeitern zur Be­stellung eines Datenschutz­beauf­tragten verpflichtet. Hinzu kommt eine Risiko­abschätzung in Form einer Daten­schutz­folgeab­schätzung (DSFA).

Die wesentlichen Punkte beim Datenschutz bei Handwerksbetrieben sind:

• Führen eines Verzeichnisses über aller Verarbeitungstätigkeiten (Lohnabrechnung, Personalverwaltung, Webseite, Kundenverwaltung, …)
• Benennung eines Daten­schutz­beauftragten
• Datenschutzverpflichtung aller Angestellten, die mit personen­bezogenen Daten umgehen
• Veröffentlichung von Informations- und Auskunftspflichten gegenüber Mitarbeitern, Kunden (z.B. in der Datenschutzerklärung auf der Website)
• Durchführung von regelmäßigen Datenlöschungen und nach Ablauf gesetzlicher Aufbewahrungspflichten
• Abschließen von AV-Verträgen (z.B. Hostinganbieter, Newsletter-Anbieter, …)
• Meldung von Datenschutzverstößen an die zuständige Aufsichtsbehörde

Wo werden personenbezogene Daten erhoben?

Handwerksbetriebe verarbeiten perso­nenbe­zogene Daten bereits bei der ersten Kontakt­aufnahme durch ein Anfrage­formular. Auch wenn es zu keinem Vertragsab­schluss kommen sollte, werden die vom Kunden einge­gebenen Daten ge­speichert. Dies kann entweder direkt im Email-Post­fach sein oder auch über eine Kunden­management-Soft­ware.
Die Verar­beitung von personen­bezogenen Daten bei Angeboten, Rech­nungen, Nach­lieferungen etc. ist dagegen nichts Unbe­kanntes.

Was sind personenbezogene Daten?

Die genaue Definition von personen­bezogenen Daten ist im Artikel 4 der DSGVO geregelt und wird wie folgt beschrieben (Stand: 07. Juli 2020):
… „personenbezogene Daten“ alle Infor­mationen, die sich auf eine identifi­zierte oder identi­fizier­bare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identi­fizier­bar wird eine natür­liche Person ange­sehen, die direkt oder indirekt, insbe­sondere mittels Zuord­nung zu einer Kennung wie einem Namen, zu einer Kenn­nummer, zu Standort­daten, zu einer Online-Kennung oder zu einem oder mehreren beson­deren Merk­malen identi­fiziert werden kann, die Aus­druck der phy­sischen, physiologischen, gene­tischen, psychischen, wirt­schaft­lichen, kulturellen oder sozialen Ident­ität dieser natür­lichen Person sind; …

Vereinfacht definiert sind personen­bezogene Daten alle Daten, mit deren Hilfe ein Personen­bezug hergestellt werden kann.
Hierzu zählen also beispielsweise:

• Name
• Adresse
• Staatsangehörigkeit
• Telefonnummer
• Email
• Kreditkartendaten
• Kontodaten
• Personalnummer
• Autokennzeichen
• Online-Daten wie IP-Adresse
• Standortdaten
• Physische Daten wie Aussehen
• Religionszugehörigkeit
• Jegliche Daten die der Gesundheit zugeordnet werden können
• Mitgliedschaften

Was ist der Unterschied zwischen anonymisierten Daten und pseudonymisierten Daten?

Bei anonymisierten Daten ist die betroffene Person weder identifiziert noch identifi­zierbar, sie zählen also nicht zu den personen­bezogenen Daten.
Ein Beispiel wäre bei einer politischen Wahl – die Person ist mit seiner Wahl nicht identifi­zierbar.

Pseudonymisierte Daten dagegen fallen unter die personen­bezogenen Daten, sobald Zusatz­wissen vorliegt, mit dessen Hilfe die Daten wieder der ursprüng­lichen Person zuge­ordnet werden könnten.
Ein Beispiel wäre hier die Verwen­dung eines ID-Schlüssels, mit dem gear­beitet wird, um eine Person nicht direkt mit dem Klar­namen einzu­sehen. Aller­dings kann jeder, dem dieser Schlüs­sel vorliegt, die Personen ein­deutig identi­fizieren.

Wie erfolgt eine Prüfung durch die Aufsichtsbehörden?

Es erfolgt eine stichpunktartige Prüfung, wie die personenbezogenen Daten ver­arbeitet, gespeichert und gelöscht werden. Dies beginnt bei der Datener­hebung und reicht bis hin zum Backup bzw. Archi­vierung. Auch das Löschen veral­teter Kunden­daten, sofern diese nicht durch gesetzliche Aufbe­wahrungs­fristen vorge­schrieben sind, ist ein wesent­licher Bestandt­eil.
Bei gravierenden Verstößen sind die Auf­sichts­behörden berechtigt, Bußgelder zu ver­hängen. Ein Beispiel wäre der Fall der Deutschen Wohnen – 14,5 Millionen Euro.

Datenschutz ist keine einmalige Angelegenheit

Der Datenschutz in Handwerksbetrieben ist keine einmalige Angelegenheit und erfor­dert eine regelmäßige Überprüfung und Aktu­alisierung. Dies liegt an der konti­nuier­lichen Anpassung gesetzlicher Rahmen­be­dingungen durch rechtskräftige Urteile.