Datenschutz in der Werkstatt: die kurze Liste

Datenschutz wird in Werkstätten entweder als Formularschlacht erlebt oder gar nicht. Beides geht an der Sache vorbei. Die Grundpflichten sind an einem Vormittag erledigt und danach jahrelang unauffällig; die Fälle, die tatsächlich Geld und Nerven kosten, kommen aus zwei anderen Ecken: aus der Werbung per E-Mail und aus dem Auskunftsverlangen, das ein unzufriedener Kunde als Druckmittel einsetzt.

Dazu kommt eine Besonderheit Deiner Branche. Ein Fahrzeug ist heute ein Datenspeicher. Wer ein Steuergerät ausliest, ein Infotainment koppelt oder ein Fahrzeug für den Weiterverkauf vorbereitet, hat mit Fahrprofilen, Navigationszielen und fremden Telefonbüchern zu tun – auch wenn im Auftrag nur „Fehlerspeicher auslesen“ steht.

Personenbezogen ist alles, was sich einer Person zuordnen lässt – auch über Umwege. Kennzeichen und Fahrgestellnummer gehören dazu, weil sie über den Halter zuordenbar sind.

Die letzte Spalte ist keine Fleißaufgabe. Sie entscheidet darüber, was Du mit den Daten tun darfst und wie lange Du sie behältst – und sie ist genau der Inhalt, den das Verarbeitungsverzeichnis abfragt. Wer die Tabelle einmal ausfüllt, hat das Verzeichnis fast fertig.

• Informieren (Art. 13 DSGVO). Bei der Erhebung, also an der Annahme. In der Praxis: ein kurzer Datenschutzhinweis auf dem Auftragsformular der Fahrzeugannahme mit Verweis auf die ausführliche Fassung als Aushang und auf der Website.
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO). Die Ausnahme für Betriebe unter 250 Beschäftigten gilt nur, wenn die Verarbeitung gelegentlich erfolgt – das trifft auf laufende Kundendaten nie zu. Du brauchst also eins, es ist aber kurz.
• Auftragsverarbeitungsverträge (Art. 28 DSGVO) mit jedem Dienstleister, der Daten in Deinem Auftrag verarbeitet: Werkstattsoftware in der Cloud, SMS- und Terminerinnerungsdienste, IT-Betreuung mit Fernwartung, Aktenvernichter.
• Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Passwörter, gesperrte Bildschirme, Zugriffsrechte, Backups, verschlossener Schrank für Papierakten.

Beim Steuerberater wird die Einordnung unterschiedlich beurteilt: Für die steuerberatende Tätigkeit gilt er überwiegend als eigener Verantwortlicher, für die reine Lohnabrechnung wird auch Auftragsverarbeitung vertreten. Frag ihn – seine Kanzlei hat die Antwort für ihr Haus längst schriftlich.

Datenschutzbeauftragter: die Schwelle zählt Köpfe

§38 Absatz 1 BDSG verlangt einen Datenschutzbeauftragten, sobald in der Regel 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Köpfe, nicht Vollzeitstellen – Teilzeitkräfte, Aushilfen und Auszubildende zählen mit, wenn sie am Rechner arbeiten. In einem Betrieb, in dem jeder Monteur Aufträge im System bucht, ist die Schwelle schneller erreicht, als die Belegschaftsgröße vermuten lässt.

Der praktisch häufigste Verstoß ist baulich

Der Bildschirm an der Annahme, auf dem die Historie des vorherigen Kunden steht, während der nächste daneben wartet. Das ist keine Formalie, sondern die Verarbeitung, die Dir am ehesten eine Beschwerde einbringt – und die einzige, die Du mit einem Handgriff abstellst.

Hier liegt der Fehler, den fast jeder Betrieb macht, der Kundenbindung ernst nimmt. Für Werbung per E-Mail entscheidet nicht allein die DSGVO, sondern zusätzlich §7 UWG – und der ist strenger.

Grundsatz: E-Mail-Werbung ohne vorherige ausdrückliche Einwilligung ist unzulässig. §7 Absatz 3 UWG lässt eine Ausnahme für Bestandskunden zu, aber nur, wenn alle vier Voraussetzungen erfüllt sind:

• Du hast die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten.
• Du wirbst für eigene ähnliche Waren oder Dienstleistungen.
• Der Kunde hat nicht widersprochen.
• Du hast bei der Erhebung und bei jeder Verwendung klar auf das Widerspruchsrecht hingewiesen.

Der vierte Punkt ist der, an dem es scheitert. Ein Hinweis nur im Auftragsformular reicht nicht, er muss in jeder einzelnen Nachricht stehen.

Erinnerung, Werbung, Vertragserfüllung

Die Grenze verläuft nicht dort, wo man sie vermutet. Eine Erinnerung an einen bereits vereinbarten Termin ist Vertragserfüllung und unproblematisch. Der Hinweis „Ihr Ölwechsel wäre wieder fällig“ ist dagegen Werbung, auch wenn er hilfreich gemeint ist und niemand ihn als Reklame empfindet. Für Telefonwerbung gegenüber Privatkunden verlangt §7 UWG sogar eine vorherige ausdrückliche Einwilligung; gegenüber gewerblichen Kunden genügt eine mutmaßliche.

Praktische Konsequenz: Hol Dir die Einwilligung für Serviceerinnerungen und für die Bitte um eine Bewertung bei der Auftragsannahme, mit einem eigenen Feld, und dokumentiere wann und wie. Das ist eine Zeile auf dem Formular und erspart Dir die ganze Diskussion.

Der Fall kommt regelmäßig: Ein Kunde verlangt die Löschung all seiner Daten. Vollständig löschen darfst Du nicht – und musst Du auch nicht. Art. 17 Absatz 3 DSGVO nimmt die Verarbeitung aus, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, und dazu gehören die steuer- und handelsrechtlichen Aufbewahrungspflichten.

Der Zwischenschritt heißt Einschränkung der Verarbeitung nach Art. 18 DSGVO: Die Daten bleiben, werden aber nicht mehr genutzt und zum Fristende gelöscht. Wie lange welche Unterlage bleiben muss und was sich zuletzt geändert hat, steht unter Rechnungen revisionssicher archivieren; die Anforderungen an die Unveränderbarkeit stehen unter GoBD in der Werkstatt.

Das Auskunftsverlangen im Streitfall

Art. 15 DSGVO gibt jedem Kunden Anspruch auf Auskunft über die zu ihm gespeicherten Daten und auf eine Kopie davon. Beantworten musst Du in der Regel innerhalb eines Monats, verlängerbar bei Komplexität. In der Praxis kommt dieses Verlangen selten von Datenschutzinteressierten und oft von jemandem, mit dem Du gerade über eine Rechnung streitest.

Dagegen hilft nur Ordnung: Wenn alle Vorgänge zu einem Kunden an einer Stelle liegen, ist die Auskunft eine halbe Stunde Arbeit. Liegen sie in vier Systemen und zwei Ordnern, ist sie ein Tag – und eine unvollständige Auskunft ist selbst wieder ein Verstoß.

Beim Auslesen eines Steuergeräts oder beim Vorbereiten eines Fahrzeugs für den Weiterverkauf begegnen Dir Daten, die Dich nichts angehen: gespeicherte Navigationsziele samt Heimatadresse, gekoppelte Telefonbücher, Fahrprofile. Die Regel ist einfach und selten ausgesprochen – Du verarbeitest sie nur so weit, wie der Auftrag es erfordert, und Du löschst sie, bevor ein Fahrzeug den Halter wechselt. Beim Zurücksetzen des Infotainments ist das ein Arbeitsschritt, kein Datenschutzprojekt.

Videoüberwachung auf dem Hof

• Ein Hinweisschild gehört vor den Erfassungsbereich, nicht daneben.
• Der öffentliche Straßenraum darf nicht mitgefilmt werden, auch nicht ein Streifen davon.
• Die Speicherdauer muss kurz sein. Eine Zahl steht nicht im Gesetz; die Aufsichtsbehörden erwarten in aller Regel wenige Tage und verlangen eine Begründung für alles darüber.
• Arbeitsplätze dauerhaft zu überwachen ist ein eigenes Thema mit eigenen Hürden – und mit Mitbestimmung, wenn es einen Betriebsrat gibt.

Die Datenpanne und die 72 Stunden

Art. 33 DSGVO verlangt die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde binnen 72 Stunden, wenn ein Risiko für die Betroffenen besteht; bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen. Die typischen Fälle in einer Werkstatt sind unspektakulär: der Serienmail an 300 Kunden mit allen Adressen im offenen Verteiler, der verlorene Laptop, die Rechnung an den falschen Empfänger.

Deshalb gehört in den Ablauf ein einziger Satz: Wer so etwas bemerkt, meldet es sofort intern – der Fristlauf beginnt mit der Kenntnis im Betrieb, nicht mit der Entscheidung, sich damit zu befassen. Und wenn die Vorgänge ohnehin in einem System liegen, das Zugriffe protokolliert und Rechte trennt, ist der Nachweis der getroffenen Maßnahmen kein Projekt: die Werkstattsoftware ist an dieser Stelle Teil der technischen Maßnahmen, nicht nur Verwaltung.