Datenschutz (DSGVO) in der Schreinerei

DSGVO-Check: Wo steht dein Betrieb?

Abhaken, was erledigt ist – der Check zeigt die wichtigsten offenen Punkte und ob ein Datenschutzbeauftragter nötig ist:

Das Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis (Art. 30 DSGVO) ist die Bestandsaufnahme: welche Daten der Betrieb wofür verarbeitet, wer Zugriff hat, wohin sie gehen, wann sie gelöscht werden und wie sie geschützt sind.

Für eine Schreinerei reichen meist sechs bis zehn Einträge – die Zeilen der Tabelle oben sind ein guter Anfang: Kundenaufträge, Buchhaltung, Lohn und Personal, Bewerbungen, Website, Lieferanten. Die Aufsichtsbehörden der Länder bieten kostenlose Muster an. Die Ausnahme für Betriebe unter 250 Beschäftigten hilft praktisch nie, weil sie nur für gelegentliche Verarbeitungen ohne Risiko und ohne Gesundheitsdaten gilt.

Kunden und Beschäftigte informieren

Wer Daten erhebt, muss die Betroffenen informieren: wer verantwortlich ist, wofür die Daten genutzt werden, auf welcher Grundlage, an wen sie gehen, wie lange sie bleiben und welche Rechte bestehen (Art. 13 DSGVO).

• Für Kunden: ein kurzer Datenschutzhinweis im Angebot oder auf dem Kundendatenblatt mit Link auf die ausführliche Fassung auf der Website
• Für Beschäftigte: ein eigenes Informationsblatt zu Personalakte, Lohn, Zeiterfassung und Fahrzeugen bei der Einstellung
• Für Bewerber: Hinweis in der Stellenanzeige oder in der Eingangsbestätigung
• Auskunftsersuchen innerhalb eines Monats beantworten – vollständig, mit Kopie der Daten

Dienstleister: der Auftragsverarbeitungsvertrag

Verarbeitet ein Dienstleister personenbezogene Daten nach deiner Weisung, braucht es einen Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO). Fehlt er, ist das schon für sich ein Verstoß.

Liegen die Daten bei einem Anbieter außerhalb der EU, kommt die Frage nach der Übermittlung in Drittländer dazu. Für die USA gilt seit 2023 ein Angemessenheitsbeschluss für Anbieter, die sich zertifiziert haben. Viele Branchenprogramme lassen sich auch mit Servern in der EU betreiben – im Zweifel die einfachere Wahl.

Daten schützen: was wirklich hilft

Die DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“. In der Praxis verhindern ein paar Grundregeln die meisten Vorfälle:

Löschen: Fristen festlegen, einmal im Jahr aufräumen

Daten dürfen nur so lange gespeichert werden, wie es der Zweck verlangt – und keine Sekunde kürzer, als das Steuer- und Handelsrecht vorschreibt.

• Angebote, aus denen kein Auftrag wurde: Kontaktdaten nach etwa einem Jahr löschen, das Angebot selbst als Geschäftsbrief sechs Jahre aufbewahren
• Rechnungen und Buchungsbelege acht, Geschäftsbriefe sechs, Bücher zehn Jahre – danach löschen
• Bewerbungen abgelehnter Bewerber nach etwa sechs Monaten – länger nur mit Einwilligung für einen Bewerberpool
• Personalakten nach dem Austritt nur, was für Zeugnis, Rente und Aufbewahrungspflichten nötig ist
• Einmal im Jahr, etwa im Januar, löschen und vernichten, was fällig ist – in Software, Postfächern und Papierordnern

Welche Unterlage wie lange aufbewahrt werden muss, zeigt der Aufbewahrungsrechner unter Aufbewahrungspflichten und GoBD.

Website, Werbung und Bewertungen

Die Website ist die sichtbarste Stelle – und die einzige, die Mitbewerber und Abmahnvereine ohne Weiteres prüfen können.

• Impressum und Datenschutzerklärung von jeder Seite aus mit einem Klick erreichbar
• Cookies und Tracking, die nicht technisch nötig sind – etwa Analyse- oder Werbe-Cookies –, nur nach Einwilligung über ein Banner
• Schriften und Skripte möglichst vom eigenen Server laden; Karten und Videos erst nach Klick einbinden
• Kontaktformular verschlüsselt (https), nur abfragen, was für die Anfrage nötig ist
• Newsletter nur mit bestätigter Einwilligung (Double-Opt-in) und Abmeldelink
• E-Mail-Werbung und Bewertungsanfragen an Kunden nur mit Einwilligung oder unter den engen Bedingungen der Bestandskundenregel

Projektfotos

Fotos fertiger Arbeiten sind die beste Werbung einer Schreinerei – und die häufigste Datenschutzfrage.

WhatsApp und andere Messenger

Auf der Baustelle ist der Messenger oft das schnellste Werkzeug – Fotos vom Aufmaß, kurze Absprachen mit dem Kunden. Datenschutzrechtlich heikel ist vor allem der Abgleich des Adressbuchs.

• Diensthandys oder ein getrennter Arbeitsbereich, in dem der Messenger keinen Zugriff auf private Kontakte hat
• Kunden vorher fragen, ob sie über den Messenger kommunizieren möchten
• Wichtiges – Maße, Freigaben, Änderungswünsche – zusätzlich in die Projektakte übernehmen
• Für die interne Kommunikation gibt es Alternativen mit Servern in der EU und AV-Vertrag

Beschäftigte und ihre Daten

Personal- und Lohndaten gehören zu den sensibelsten Daten im Betrieb – Krankmeldungen sind Gesundheitsdaten.

• Alle Beschäftigten, die mit Daten arbeiten, schriftlich auf Vertraulichkeit verpflichten und einmal im Jahr kurz unterweisen
• Personalakten nur für Chef und Lohnbuchhaltung zugänglich, Krankmeldungen getrennt von der übrigen Akte
• Arbeitszeiterfassung: nur, was nötig ist – Beginn, Ende, Pausen, Auftrag; keine heimliche Ortung
• Videoüberwachung nur zum Schutz von Eigentum, mit Hinweisschild und nie in Pausen- oder Umkleideräumen
• Beim Austritt: Zugänge sperren, Diensthandy zurücksetzen, nicht mehr benötigte Daten löschen

KI-Werkzeuge wie Chatbots sind praktisch für Texte und Angebote – Kundendaten oder Personaldaten gehören aber nur in Werkzeuge mit AV-Vertrag.

Wenn doch etwas passiert: die Datenpanne

Ein gestohlener Laptop, eine E-Mail mit Kundendaten an die falsche Adresse, ein Trojaner, der die Festplatten verschlüsselt: Für solche Fälle gilt eine kurze Frist.

1. 1

   Eindämmen

   Gerät vom Netz, Passwörter ändern, falsch versandte E-Mail zurückrufen und den Empfänger um Löschung bitten, verlorenes Diensthandy fernlöschen.

2. 2

   Bewerten

   Welche Daten, wie viele Personen, wie wahrscheinlich ist ein Schaden? Ein verschlüsselter verlorener Laptop ist meist kein meldepflichtiger Fall, eine Ransomware-Attacke auf die Kundendatenbank schon.

3. 3

   Melden – binnen 72 Stunden

   Besteht ein Risiko für die Betroffenen, muss die Panne innerhalb von 72 Stunden nach Bekanntwerden der Datenschutz-Aufsichtsbehörde des Landes gemeldet werden – online über deren Formular. Bei hohem Risiko werden auch die Betroffenen informiert.

4. 4

   Dokumentieren

   Jede Panne – auch die nicht meldepflichtige – kommt mit Ablauf, Bewertung und Maßnahmen in eine kurze Dokumentation. Sie ist Pflicht und zeigt im Ernstfall, dass der Betrieb sorgfältig war.