Datenschutz Handwerksbetrieb – Welche Pflichten gelten für kleine Firmen?

Inhalt in Kürze

• Die DSGVO gilt für jeden Handwerksbetrieb – unabhängig von Größe, Gewerk oder Mitarbeiterzahl. Es gibt keine generelle Ausnahme für kleine Firmen.
• Einen Datenschutzbeauftragten brauchen Sie erst ab 20 Personen, die regelmäßig personenbezogene Daten am PC verarbeiten (§ 38 BDSG).
• Grundpflichten wie Verarbeitungsverzeichnis, Datenschutzerklärung und AVVs gelten ab dem ersten Mitarbeiter und dem ersten Kunden.
• Verstöße werden bestraft – auch bei Drei-Mann-Betrieben. Die Aufsichtsbehörden prüfen stichprobenartig und nach Beschwerden.

---

“Wir sind doch nur ein kleiner Handwerksbetrieb. Brauchen wir das wirklich?”

Diese Frage hören wir jede Woche. Vom Malermeister mit vier Mitarbeitern. Vom Elektrobetrieb mit acht. Von der Tischlerei, die gerade den ersten Großkunden an Land gezogen hat – und jetzt einen Fragebogen zum Datenschutz auf dem Tisch liegen hat.

Die kurze Antwort: Ja, Sie brauchen das. Die lange Antwort: Nicht alles, was große Unternehmen machen müssen, betrifft auch Sie. Aber die Grundpflichten der DSGVO gelten ohne Ausnahme.

Dieser Artikel zeigt, welche Datenschutz-Pflichten für Ihren Handwerksbetrieb tatsächlich relevant sind – und wo Sie sich Aufwand sparen können.

Warum Datenschutz auch kleine Handwerksbetriebe betrifft

Ein Handwerksbetrieb verarbeitet mehr personenbezogene Daten, als die meisten Inhaber vermuten:

• Kundendaten: Name, Adresse, Telefonnummer, E-Mail, manchmal Fotos der Baustelle
• Mitarbeiterdaten: Lohnabrechnungen, Krankmeldungen, Bewerbungen
• Lieferantendaten: Ansprechpartner, Bankverbindungen
• Website-Besucher: IP-Adressen, Cookie-Daten, Kontaktformulare

Sobald Sie auch nur einen Kunden in einer Excel-Tabelle oder einer Handwerker-Software erfassen, verarbeiten Sie personenbezogene Daten im Sinne der DSGVO. Der Zentralverband des Deutschen Handwerks (ZDH) stellt dazu klar: Die Datenschutz-Grundverordnung macht keinen Unterschied zwischen einem DAX-Konzern und einem Fliesenlegerbetrieb.

Datenschutzbeauftragter im Handwerk: Ab wann ist er Pflicht?

Die Frage, die am häufigsten kommt: “Brauche ich einen Datenschutzbeauftragten?”

Die Antwort hängt von der Betriebsgröße ab – und von der Art Ihrer Arbeit.

Die 20-Personen-Regel nach § 38 BDSG

Seit November 2019 gilt: Ein Datenschutzbeauftragter (DSB) ist Pflicht, wenn mindestens 20 Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen. Teilzeitkräfte und Minijobber zählen mit.

Entscheidend: Es zählen nur Mitarbeiter, die tatsächlich am PC oder Tablet mit personenbezogenen Daten arbeiten. Der Geselle, der seine Aufträge auf Papier bekommt und kein Firmen-Tablet nutzt, zählt in der Regel nicht.

Ausnahmen: Wann ein DSB trotzdem Pflicht ist

Unabhängig von der Mitarbeiterzahl brauchen Sie einen Datenschutzbeauftragten, wenn Ihr Betrieb besonders sensible Daten verarbeitet. Das betrifft im Handwerk vor allem die Gesundheitsgewerke:

• Hörgeräteakustiker
• Optiker
• Orthopädiemechaniker
• Zahntechniker

Auch Schornsteinfeger können betroffen sein, da sie hoheitliche Aufgaben wahrnehmen.

Übersicht: Was gilt ab welcher Betriebsgröße?

Betriebsgröße	DSB-Pflicht?	DSGVO-Grundpflichten?	Verarbeitungsverzeichnis?
1–5 Mitarbeiter	Nein (Ausnahme: Gesundheitsgewerke)	Ja	Ja
6–19 Mitarbeiter	Nein (Ausnahme: Gesundheitsgewerke)	Ja	Ja
20+ Mitarbeiter (mit PC-Zugang)	Ja	Ja	Ja
Gesundheitsgewerke (jede Größe)	Ja	Ja	Ja

Die Mindest-Pflichten für jeden Handwerksbetrieb

Egal ob Sie drei oder dreißig Mitarbeiter haben – diese Pflichten gelten immer:

Checkliste: DSGVO-Grundpflichten im Handwerk

• Verarbeitungsverzeichnis führen – Welche Daten verarbeiten Sie, warum und wie lange? (Art. 30 DSGVO)
• Datenschutzerklärung auf der Website – Vollständig, aktuell, verständlich. (Art. 13/14 DSGVO)
• Auftragsverarbeitungsverträge (AVVs) – Mit jedem Dienstleister, der Zugriff auf Kundendaten hat: Cloud-Software, Steuerberater, IT-Dienstleister. (Art. 28 DSGVO)
• Löschfristen einhalten – Kundendaten nicht ewig aufheben. Nach Ablauf der Aufbewahrungsfrist löschen. (Art. 17 DSGVO)
• Datenpannen melden – Innerhalb von 72 Stunden an die Aufsichtsbehörde. (Art. 33 DSGVO)
• Mitarbeiter sensibilisieren – Kurze Schulung zu Datenschutz-Grundlagen. Dokumentieren, dass sie stattgefunden hat.
• Technische Maßnahmen – Passwortschutz, Bildschirmsperre, verschlüsselte E-Mails bei sensiblen Daten.
• Einwilligungen einholen – Für Newsletter, Fotos von Baustellen mit Personen, Bewerberdaten.

Datenschutz im Handwerks-Alltag: Typische Stolperfallen

Die WhatsApp-Gruppe mit Kundendaten

Ein Klassiker: Der Chef schickt Auftragsdetails mit Kundenadresse per WhatsApp an die Monteure. Streng genommen verarbeitet Meta dabei personenbezogene Daten Ihrer Kunden – ohne AVV und ohne Rechtsgrundlage. Besser: Ein DSGVO-konformer Messenger oder klassisch per Auftragszettel.

Fotos von der Baustelle

Vorher-Nachher-Fotos für Instagram oder die Website? Wenn Personen erkennbar sind, brauchen Sie eine Einwilligung. Das gilt auch für Fotos, auf denen Klingelschilder oder Hausnummern zu sehen sind.

Die alte Festplatte im Regal

Wenn Sie einen PC austauschen, müssen die Daten auf der alten Festplatte sicher gelöscht werden. “Formatieren” reicht nicht. Eine professionelle Datenlöschung oder physische Zerstörung ist nötig.

“Viele Unternehmer denken, ich bin doch zu klein für das ganze Thema Datenschutz. Wir haben Mandanten mit drei, vier, fünf Mitarbeitern – die arbeiten für große Kunden mit enormen Ansprüchen an den Datenschutz.”

– Nils, Datenschutzberater bei frag.hugo

Was passiert, wenn Sie nichts tun?

Viele Handwerker verlassen sich darauf, dass die Behörden schon nicht bei ihnen anklopfen werden. Das stimmt – meistens. Aber es reicht ein unzufriedener Mitarbeiter, ein Streit mit einem Kunden oder eine zufällige Stichprobe.

Die Folgen bei Verstößen:

• Bußgelder: Auch für Kleinbetriebe werden vier- bis fünfstellige Beträge verhängt
• Abmahnungen: Besonders bei fehlerhaften Datenschutzerklärungen auf der Website
• Kundenverlust: Großkunden prüfen zunehmend den Datenschutz ihrer Lieferanten und Subunternehmer
• Haftung: Die Geschäftsleitung haftet persönlich für Datenschutzverstöße

Prüfen Sie Ihren aktuellen Stand in wenigen Minuten: Der frag.hugo Datenschutz-Check zeigt Ihnen, wo Ihr Betrieb steht.

So setzen Sie Datenschutz pragmatisch um

Sie müssen kein 200-seitiges Datenschutzkonzept schreiben. Für die meisten Handwerksbetriebe reichen wenige, aber saubere Dokumente:

1. Verarbeitungsverzeichnis erstellen – Nehmen Sie sich zwei Stunden Zeit. Listen Sie alle Datenverarbeitungen auf: Kundenverwaltung, Lohnabrechnung, Website, E-Mail-Marketing.
2. Datenschutzerklärung prüfen – Stimmen die aufgeführten Dienste mit dem überein, was Sie tatsächlich nutzen?
3. AVVs einsammeln – Schreiben Sie Ihre Softwareanbieter an. Die meisten haben fertige AVVs zum Download.
4. Löschkonzept festlegen – Wann löschen Sie Kundendaten? Nach Abschluss des Auftrags? Nach Ablauf der Gewährleistung? Nach der steuerlichen Aufbewahrungsfrist?
5. Mitarbeiter kurz schulen – 30 Minuten reichen für die Grundlagen.

Wer Unterstützung braucht, findet bei einem externen Datenschutzbeauftragten den schnellsten Weg zur Compliance – auch wenn Sie unter der 20-Personen-Schwelle liegen. Mehr zur generellen DSB-Pflicht lesen Sie in unserem Artikel Datenschutzbeauftragter: Pflicht ab wann?. Eine umfassende Prüfliste finden Sie in unserer DSGVO-Checkliste 2026.

Datenschutz im Hamburger Handwerk

Die Handwerkskammer Hamburg vertritt rund 15.000 Betriebe – vom Elektroinstallateur in Wandsbek bis zur Tischlerei in Harburg. Viele dieser Betriebe arbeiten als Subunternehmer für Großkunden, die einen lückenlosen Datenschutznachweis verlangen. Die Innungen berichten, dass Aufträge zunehmend an Datenschutz-Anforderungen geknüpft werden. Wer als Handwerksbetrieb in Hamburg seine DSGVO-Pflichten strukturiert angehen will, findet bei einem externen Datenschutzbeauftragten vor Ort den schnellsten Einstieg.

Häufige Fragen (FAQ)

Gilt die DSGVO auch für kleine Handwerksbetriebe?

Ja. Die DSGVO kennt keine Ausnahme für Betriebsgröße oder Branche. Sobald Sie personenbezogene Daten verarbeiten – und das tut jeder Handwerksbetrieb mit Kunden- und Mitarbeiterdaten –, gelten die Datenschutzpflichten.

Braucht ein Handwerksbetrieb einen Datenschutzbeauftragten?

Nur wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Für die meisten kleinen Handwerksbetriebe besteht keine Pflicht, die übrigen DSGVO-Pflichten gelten aber trotzdem.

Welche Datenschutz-Pflichten hat ein Handwerksbetrieb mindestens?

Datenschutzerklärung auf der Website, Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge mit IT-Dienstleistern und Cloud-Anbietern, Informationspflichten gegenüber Kunden und Mitarbeitern sowie angemessene technische Schutzmaßnahmen.

Was sind typische Datenschutz-Fehler im Handwerk?

Kundendaten auf privaten Handys ohne Passwortschutz, Auftragszettel mit Namen offen im Fahrzeug, keine Auftragsverarbeitungsverträge mit Cloud-Diensten und fehlende Datenschutzhinweise auf der Website.

Welche Bußgelder drohen einem Handwerksbetrieb bei DSGVO-Verstößen?

Die DSGVO erlaubt Bußgelder bis 20 Millionen Euro, aber bei kleinen Betrieben fallen die Summen deutlich geringer aus. In der Praxis bewegen sich Bußgelder für KMU meist im vier- bis fünfstelligen Bereich. Auch Abmahnungen durch Wettbewerber sind möglich.