DSGVO für Kfz Werkstätten: Drei sofort umsetzbare Schritte

Hände legen ein Datenschutzdokument ab

Jede Kfz-Werkstatt in Deutschland unterliegt der DSGVO, sobald sie Kundendaten verarbeitet, also praktisch immer. Zu den Pflichten gehören ein Verzeichnis von Verarbeitungstätigkeiten, ein geprüfter Auftragsverarbeitungsvertrag mit IT-Dienstleistern und ein klares Löschkonzept. Beginnen Sie mit drei Schritten: Datenschutzhinweis auf dem Auftragsformular ergänzen, VVT anlegen und AVV mit Ihrer Software oder Ihrem Hoster prüfen. Denken Sie an die 72-Stunden-Meldefrist bei Datenpannen und an die gesetzliche, längere Aufbewahrungspflicht für Rechnungen.

Kurz gesagt:

  • Werkstätten müssen ein Verzeichnis von Verarbeitungstätigkeiten erstellen, AV-Verträge prüfen und ein Löschkonzept umsetzen, um DSGVO-konform zu bleiben.
  • Das Verzeichnis sollte Zweck, Datenarten, Empfänger und Löschfristen enthalten, umEffizienz und Rechtssicherheit zu gewährleisten.
  • Bei Datenlöschung gilt es, zwischen CRM-Daten und steuerlich relevanten Rechnungsdaten zu trennen, um gesetzlichen Aufbewahrungsfristen zu entsprechen.
  • Externe Dienstleister benötigen nur dann einen Auftragsverarbeitungsvertrag, wenn sie personenbezogene Kundendaten verarbeiten.
  • Bei Datenpannen ist eine Meldung an die Behörde innerhalb von 72 Stunden Pflicht, mit vollständiger Dokumentation aller Maßnahmen.

Inhaltsverzeichnis

Dsgvo-Werkstatt-Checkliste: Was zuerst, was später?

Sie müssen nicht alles gleichzeitig umsetzen. Sortieren Sie nach Dringlichkeit, dann bleibt die Umsetzung machbar, auch neben dem Tagesgeschäft am Hebebühnenplatz.

Sofort erledigen sollten Sie diese Punkte:

  • Datenschutzhinweis am Tresen und auf dem Auftragsformular ergänzen (Zweck der Datenerhebung, Rechtsgrundlage, Kontakt)
  • Datenerhebung am Empfang auf das Nötigste reduzieren, also keine Adressdaten „auf Vorrat“ sammeln
  • Zugriff auf die Kundenkartei auf die tatsächlich benötigten Mitarbeiter beschränken

Kurzfristig, innerhalb der nächsten Wochen:

  • Verzeichnis von Verarbeitungstätigkeiten anlegen
  • AVV mit Hosting-Anbieter, IT-Support und Softwarehersteller prüfen oder nachfordern
  • Passwortrichtlinie einführen, inklusive Mindestlänge und Wechselintervall

Mittelfristig, im laufenden Betrieb verankern:

  • Löschkonzept mit festen Fristen umsetzen
  • Backup-Strategie und Zugriffsrechte dokumentieren
  • Schulungen durchführen und schriftlich nachweisen

Profi-Tipp: Bearbeiten Sie die Checkliste in genau dieser Reihenfolge. Ein VVT ohne vorherige Datenminimierung am Empfang dokumentiert nur das Problem, löst es aber nicht.

Wie sieht ein Verzeichnis von Verarbeitungstätigkeiten für Werkstätten aus?

Das VVT ist die Pflichtdokumentation nach Art. 30 DSGVO, und für Werkstätten mit wenigen Mitarbeitern reicht ein kompaktes Dokument. Der BayLDA Muster 2: Kfz-Werkstatt liefert dafür eine fertige Vorlage mit den Feldern, die Aufsichtsbehörden erwarten.

Ein vollständiger Eintrag braucht folgende Angaben:

  • Zweck der Verarbeitung (etwa „Abwicklung Reparaturauftrag“)
  • Kategorien betroffener Personen und Datenarten (Name, Adresse, Fahrzeug-Identifikationsnummer, Kilometerstand)
  • Empfänger der Daten (Versicherung, Teilehändler, Steuerberater)
  • Löschfristen je Datenkategorie
  • Rechtsgrundlage (meist Vertragserfüllung nach Art. 6 Abs. 1 lit. b)
  • Verantwortliche Stelle im Betrieb

Ein Beispiel-Eintrag „Reparaturauftrag“ umfasst typischerweise Kundenname, Kontaktdaten, Fahrzeugdaten, Zahlungsinformationen und die interne Werkstattnummer, jeweils mit eigener Löschfrist. Das VVT ist dabei mehr als reine Pflichtübung: Wer es sorgfältig führt, deckt dabei oft auch Ineffizienzen in der eigenen Datenhaltung auf und erleichtert sich spätere Löschanfragen erheblich.

Profi-Tipp: Legen Sie das VVT als lebendes Dokument an, nicht als einmalige Pflichtübung. Jede neue Software oder jeder neue Dienstleister gehört sofort ergänzt.

Löschantrag trotz Aufbewahrungspflicht: So gehen Sie vor

Ein Kunde verlangt die Löschung seiner Daten, gleichzeitig verpflichtet Sie die GoBD zur zehnjährigen Aufbewahrung von Rechnungen. Beide Pflichten bestehen nebeneinander, der Trick liegt in der Trennung der Datenarten.

  1. Trennen Sie technisch und organisatorisch zwischen CRM- beziehungsweise Marketingdaten und steuerlich relevanten Rechnungsdaten. Nur Erstere dürfen Sie auf Wunsch vollständig löschen.
  2. Bei Rechnungsdaten empfiehlt sich statt physischer Löschung eine logische Löschung oder Anonymisierung, solange die Aufbewahrungspflicht läuft. Die Daten bleiben für die Steuerprüfung verfügbar, verschwinden aber aus dem aktiven Kundenmarketing.
  3. Dokumentieren Sie jeden Schritt: Wann kam der Antrag, was wurde inaktiviert, was blieb aus rechtlichen Gründen erhalten.
  4. Halten Sie die Bearbeitungsfrist ein: Grundsätzlich einen Monat, bei komplexen Fällen verlängerbar um bis zu zwei weitere Monate, wobei Sie den Antragsteller darüber informieren müssen.

Auch Backups verkomplizieren die Sache: Wird ein gelöschter Datensatz aus einem Backup wiederhergestellt, braucht es einen dokumentierten Prozess, der die erneute Löschung sicherstellt. Eine strukturierte Kundenverwaltung trennt diese Datenebenen von Anfang an, statt sie im Nachhinein mühsam zu entflechten.

Welche technischen Maßnahmen braucht eine kleine Werkstatt wirklich?

Art. 32 DSGVO verlangt „angemessene“ technische und organisatorische Maßnahmen, kurz TOMs, und für einen Betrieb mit fünf bis fünfzehn Mitarbeitern bedeutet das keine IT-Abteilung, sondern solide Basisarbeit.

Diese Maßnahmen deckt der LDA-Bayern-Leitfaden für kleine Unternehmen als ausreichend ab:

  • Aktuelle Betriebssysteme mit automatischen Sicherheitsupdates
  • Virenschutz auf allen Rechnern, auch am Werkstatt-Terminal
  • Verschlüsselte Verbindungen (HTTPS) für jede Software mit Kundendatenzugriff
  • Festplattenverschlüsselung auf Laptops und mobilen Geräten
  • Zwei-Faktor-Authentifizierung für Cloud-Zugänge, wo verfügbar

Bei der Zugriffsregelung gilt das Prinzip „Need-to-know“: Der Azubi an der Reifenwechsel-Bühne braucht keinen Zugriff auf Zahlungsdaten, die Buchhaltung braucht ein eigenes Konto ohne Vollzugriff auf alle Werkstattdaten. Ihr Backup-Konzept muss zudem Wiederherstellbarkeit UND Löschvorgaben gleichzeitig abbilden, sonst tauchen gelöschte Daten nach einem Wiederherstellungsvorgang plötzlich erneut auf.

Wann brauchen Werkstätten einen Auftragsverarbeitungsvertrag?

Sobald ein externer Dienstleister mit personenbezogenen Kundendaten in Berührung kommt, ohne selbst Verantwortlicher zu sein, brauchen Sie einen AVV nach Art. 28 DSGVO. Das betrifft praktisch immer den Hosting-Anbieter Ihrer Werkstattsoftware, den IT-Support und Cloud-Backup-Dienste.

Prüfen Sie jeden Vertrag auf diese Mindestinhalte:

  • Klar definierter Zweck und Umfang der Datenverarbeitung
  • Angabe eingesetzter Subunternehmer und deren Standort
  • Regelung zu Löschung oder Rückgabe der Daten nach Vertragsende
  • Beschriebene Sicherheitsmaßnahmen des Dienstleisters
  • Ihr Prüfrecht als Auftraggeber

Fragen Sie aktiv nach, wenn ein Anbieter keinen AVV vorlegt. Seriöse Softwareanbieter für Werkstätten stellen ihn standardmäßig zur Verfügung, oft direkt im Kundenportal zum Download.

Was tun bei einer Datenpanne? Der 72-Stunden-Ablaufplan

Eine Datenpanne, etwa ein verlorener Laptop mit Kundendaten oder ein Hackerangriff auf Ihr Werkstattsystem, löst eine Meldepflicht aus. Innerhalb von 72 Stunden nach Bekanntwerden muss die zuständige Aufsichtsbehörde informiert werden, sofern ein Risiko für die betroffenen Personen besteht.

So gehen Sie im Ernstfall vor:

  1. Vorfall sofort intern protokollieren: Zeitpunkt, betroffene Daten, vermutete Ursache
  2. Risiko einschätzen: Betrifft es wenige Kontaktdaten oder sensible Zahlungs- und Fahrzeugdaten?
  3. Bei relevantem Risiko die Meldung an die Landesdatenschutzbehörde vorbereiten und fristgerecht einreichen
  4. Bei hohem Risiko für Betroffene diese nach Art. 34 DSGVO direkt informieren, etwa per E-Mail oder Anruf

Die 72-Stunden-Frist beginnt mit dem Bekanntwerden der Panne, nicht mit deren tatsächlichem Eintritt. Ein Vorfall, der erst zwei Wochen später auffällt, muss trotzdem binnen drei Tagen nach Entdeckung gemeldet werden.

Ihr internes Protokoll sollte Datum, Uhrzeit, betroffene Systeme, ergriffene Sofortmaßnahmen und die Namen der informierten Personen enthalten. Das erspart Ihnen im Nachhinein viel Rekonstruktionsarbeit.

Welche Pflichten haben Mitarbeiter beim Datenschutz?

Jeder Mitarbeiter mit Zugriff auf Kundendaten muss schriftlich auf Vertraulichkeit verpflichtet werden, das gilt für den Meister genauso wie für den Aushilfsfahrer, der Fahrzeuge zwischen Werkstatt und Kunde bewegt. Eine einfache Unterschrift auf einem Verpflichtungsformular reicht als Nachweis.

Sinnvolle Schulungsinhalte umfassen:

  • Datensparsamkeit bei der Auftragsannahme
  • Umgang mit Fahrzeugfotos, insbesondere bei sichtbaren Kennzeichen oder Personen im Bild
  • Regeln zur Nutzung von Messenger-Diensten für Kundenkommunikation
  • Verhalten bei Verdacht auf eine Datenpanne

Wiederholen Sie die Schulung jährlich, bei neuen Mitarbeitern zusätzlich in der Einarbeitung. Dokumentieren Sie jede Schulung mit einer Teilnahmebestätigung und bewahren Sie diese wie andere Nachweise auf. Eine Betriebsvereinbarung zum Datenschutz rundet das Bild ab, ist aber nur bei größeren Betrieben mit Betriebsrat verpflichtend.

Wie unterstützt Werkstattsoftware die DSGVO-Umsetzung?

Hände halten ein Tablet im Werkstattbüro

Viel DSGVO-Arbeit in der Werkstatt ist eigentlich Datenorganisation, und genau da hilft gute Software mehr als jede Excel-Tabelle. Kleine Betriebe profitieren besonders von Funktionen, die automatische Inaktivierung, Protokollierung und getrennte Archivierung unterstützen, statt Löschanträge manuell durch Ordner und Dateien zu jagen.

CarsKeeper bildet genau diese Trennung technisch ab:

  • Getrennte Archivierung von Buchhaltungsdaten und Kundenstammdaten, sodass eine Löschanfrage nicht versehentlich Rechnungsbelege mitreißt
  • Inaktivierungs- und Löschfunktionen für Kundendaten außerhalb der steuerlichen Aufbewahrungspflicht
  • Dokumentierte Auftragshistorie, die als Beleg für Ihr VVT dient
  • Protokollierung von Einwilligungen und Kundenkommunikation

Wer wissen möchte, welche Funktionen im Detail verfügbar sind, findet dort eine vollständige Übersicht. Der digitale Auftragsdurchlauf liefert zusätzlich die Nachweise, die Sie bei einer Prüfung ohnehin vorlegen müssten.

Praxisblick: Typische Fehler vermeiden

Die drei häufigsten Fehler, die ich bei Werkstätten sehe: kein VVT, kein geprüfter AVV mit dem Softwareanbieter, und Löschprozesse, die Rechnungsdaten und Kundendaten nicht trennen. Alle drei kosten wenig Zeit, wenn Sie sie früh angehen, aber viel Ärger, wenn eine Behörde nachfragt.

Fangen Sie mit der wirtschaftlichsten Maßnahme an: Ein überarbeiteter Datenschutzhinweis auf dem Auftragsformular reduziert das Risiko sofort, kostet nichts und dauert eine Stunde. Alles andere folgt danach in Ruhe.

— Fabian

Wo finden Sie offizielle Muster und Rechtstexte zur DSGVO?

Für die praktische Umsetzung reichen drei Quellen völlig aus. Das LDA-Muster 2 für Kfz-Werkstätten liefert die VVT-Vorlage mit Erläuterungen. Der Volltext der DSGVO auf EUR-Lex klärt Detailfragen zu Art. 17, 30 und 33. Der BfDI und die jeweilige Landesdatenschutzbehörde nennen die korrekten Meldewege bei Datenpannen.

  • LDA-Muster: fertige VVT-Vorlage speziell für Kfz-Betriebe
  • EUR-Lex: verbindlicher Gesetzestext für Zweifelsfälle
  • BfDI und Landesbehörden: Ansprechpartner bei Meldepflichten

CarsKeeper als Werkstattsoftware mit eingebauter DSGVO-Struktur

Anders als eine Kombination aus Excel-Tabelle, separater Buchhaltungssoftware und Papierordner sorgt CarsKeeper dafür, dass Kundendaten, Aufträge und Rechnungen an einem Ort liegen, mit klar getrennten Löschregeln für jede Datenart.

Carskeeper

Für Werkstattinhaber, die gerade ihr VVT aufbauen oder einen AVV-Nachweis brauchen, bedeutet das weniger Suchen und mehr fertige Nachweise auf Knopfdruck. Die Software läuft vollständig cloudbasiert auf jedem Gerät, von der Kundenverwaltung über digitale Aufträge bis zur Rechnungsstellung mit E-Rechnung und ZUGFeRD. Ein Blick auf die Funktionsübersicht zeigt, wie sich Kundendatenverwaltung, Auftragsabwicklung und Buchhaltung DSGVO-konform in einem System verbinden lassen, statt über drei verschiedene Programme mit drei verschiedenen Datenschutzrisiken verteilt zu sein. Testen Sie die Werkstattsoftware direkt und prüfen Sie, wie sich Ihr aktuelles VVT damit abbilden lässt.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

Empfehlungen

← Zurück zum Blog