DSGVO in der Werkstatt: Was beim Umgang mit Kundendaten zu beachten ist

Die Datenschutz-Grundverordnung (DSGVO) gilt unabhängig von der Betriebsgröße für jede Verarbeitung personenbezogener Daten — es gibt keine generelle Ausnahme für kleine Handwerksbetriebe. Sobald eine Werkstatt Name, Kontaktdaten, Kennzeichen oder Fahrzeugdaten eines Kunden erfasst, verarbeitet sie personenbezogene Daten im Sinne der DSGVO und muss die zentralen Grundsätze der Verordnung einhalten.

Das klingt zunächst nach zusätzlichem Aufwand, deckt sich in der Praxis aber größtenteils mit dem, was ohnehin sinnvolle Sorgfalt im Umgang mit Kundendaten wäre.

Im Zusammenhang mit der Reifeneinlagerung fallen typischerweise Name, Adresse, Telefonnummer und E-Mail-Adresse des Kunden an, dazu Fahrzeugdaten wie Kennzeichen und Fahrzeugmodell sowie Angaben zum eingelagerten Radsatz selbst. Kennzeichen und Fahrzeugdaten gelten in Verbindung mit den übrigen Kundendaten ebenfalls als personenbezogen, da sich darüber eine Person identifizieren lässt.

Für die Verarbeitung der zur Reifeneinlagerung notwendigen Kundendaten ist in der Regel keine gesonderte Einwilligung erforderlich. Die DSGVO erlaubt die Verarbeitung, wenn sie zur Erfüllung eines Vertrags mit der betroffenen Person notwendig ist (Art. 6 Abs. 1 lit. b DSGVO) — und genau das ist bei der Reifeneinlagerung der Fall: Ohne Kundendaten lässt sich der Einlagerungsvertrag schlicht nicht abwickeln.

Anders sieht es bei Daten aus, die über das für die Vertragserfüllung Notwendige hinausgehen — etwa Werbe-E-Mails zu neuen Angeboten. Dafür ist in der Regel eine gesonderte Rechtsgrundlage wie eine Einwilligung oder ein berechtigtes Interesse notwendig.

Zwei Grundsätze der DSGVO sind für die Werkstattpraxis besonders relevant: Datenminimierung bedeutet, nur die Daten zu erfassen, die für den jeweiligen Zweck tatsächlich gebraucht werden — nicht jedes zusätzliche Feld in einem Formular ist automatisch sinnvoll. Speicherbegrenzung bedeutet, Daten nicht länger aufzubewahren, als nötig.

Bei Kundendaten aus der Reifeneinlagerung überschneidet sich diese Frage häufig mit handels- und steuerrechtlichen Aufbewahrungspflichten für die zugehörigen Rechnungen und Geschäftsunterlagen — diese können eine längere Aufbewahrung ausdrücklich vorschreiben, auch wenn der eigentliche Einlagerungszweck bereits erfüllt ist.

Wie sich Aufbewahrungspflichten und Löschpflicht in der Praxis zueinander verhalten, beschreibt der Ratgeber Aufbewahrungspflichten bei der Reifeneinlagerung im Überblick.

Wer für die Reifenlagerverwaltung, Buchhaltung oder Kundenkommunikation einen externen Software-Anbieter einsetzt, gibt damit personenbezogene Daten an einen Dritten weiter, der sie im Auftrag der Werkstatt verarbeitet. Dafür schreibt die DSGVO einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vor, den seriöse Anbieter in der Regel standardmäßig anbieten. Vor der Auswahl eines Anbieters lohnt sich deshalb ein Blick darauf, ob ein solcher Vertrag vorliegt und wo die Daten tatsächlich gespeichert werden.

Kunden haben das Recht, Auskunft über die zu ihrer Person gespeicherten Daten zu verlangen (Art. 15 DSGVO) sowie unter bestimmten Voraussetzungen deren Löschung zu fordern (Art. 17 DSGVO). Eine Löschung ist allerdings nicht uneingeschränkt möglich, wenn gesetzliche Aufbewahrungspflichten dem entgegenstehen — in diesem Fall überwiegt die gesetzliche Pflicht, und die betreffenden Daten dürfen bis zum Ablauf der Frist weiter aufbewahrt werden.

Neben den rechtlichen Grundlagen verlangt die DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz der Daten (Art. 32 DSGVO). Im Werkstattalltag heißt das konkret: Zugriff auf Kundendaten nur für Mitarbeiter, die ihn für ihre Arbeit brauchen, individuelle statt gemeinsam genutzte Zugänge zu digitalen Systemen, und ein bewusster Umgang mit Ausdrucken oder Notizzetteln, die Kundendaten enthalten.