Die DSGVO gilt für jede Kfz-Werkstatt – unabhängig von der Betriebsgröße –, sobald personenbezogene Daten verarbeitet werden. Schon Kundenname, Telefonnummer, Zulassungsdaten oder der ausgelesene Fehlerspeicher zählen dazu. Wer die wichtigsten Pflichten kennt und sauber dokumentiert, vermeidet Bußgelder und schafft Vertrauen bei seinen Kunden.
Warum die DSGVO jede Kfz-Werkstatt betrifft
Die EU-Datenschutz-Grundverordnung (DSGVO) ist seit dem 25. Mai 2018 in Kraft und greift immer dann, wenn ein Betrieb personenbezogene Daten erhebt, speichert oder verarbeitet. Auf die Größe der Werkstatt kommt es dabei nicht an – die Vorgaben gelten für den Ein-Mann-Betrieb genauso wie für den Meisterbetrieb mit 30 Mitarbeitern.
Im Werkstattalltag fallen personenbezogene Daten an vielen Stellen an, häufig ohne dass es bewusst auffällt:
- Kundendaten: Name, Anschrift, Telefonnummer, E-Mail, Bankverbindung
- Fahrzeug- und Zulassungsdaten: Halterdaten, Fahrzeugschein-Kopien, Kennzeichen
- Auftrags- und Reparaturdaten: Servicehistorie, ausgelesener Fehlerspeicher über die OBD-Schnittstelle, Telematik- und Diagnosedaten
- Mitarbeiterdaten: Personalakten, Lohnabrechnung, Arbeitszeiten
- Lieferanten- und Geschäftspartnerdaten
Sobald solche Daten verarbeitet werden, ist die Werkstatt als „Verantwortlicher” im Sinne der DSGVO in der Pflicht.
Die wichtigsten Pflichten im Überblick
Verzeichnis von Verarbeitungstätigkeiten:
Jede Kfz-Werkstatt muss ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) führen. Darin wird dokumentiert, welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet werden. Die Ausnahme für kleine Unternehmen greift hier in der Regel nicht, weil die Verarbeitung von Kunden- und Mitarbeiterdaten regelmäßig und nicht nur gelegentlich erfolgt.
Informationspflicht:
Betroffene Personen – also Kunden und Mitarbeiter – müssen bereits bei der Datenerhebung darüber informiert werden, was mit ihren Daten geschieht (Art. 13 und 14 DSGVO). In der Praxis geschieht das über eine Datenschutzinformation, etwa auf dem Auftragsformular und auf der Website.
Rechtsgrundlage und Einwilligung:
Jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6 DSGVO). Für die Auftragsabwicklung selbst ist das in der Regel die Vertragserfüllung. Für zusätzliche Zwecke wie Werbung oder einen Newsletter ist dagegen eine ausdrückliche Einwilligung des Kunden erforderlich.
Technische und organisatorische Maßnahmen (TOM):
Daten müssen vor unbefugtem Zugriff geschützt werden (Art. 32 DSGVO) – etwa durch Passwortschutz, Zugriffsbeschränkungen, aktuellen Virenschutz und abschließbare Aktenschränke.
Löschkonzept und Aufbewahrung:
Daten dürfen nicht unbegrenzt gespeichert werden. Sobald keine Rechtsgrundlage und keine gesetzliche Aufbewahrungsfrist mehr bestehen, sind die Daten zu löschen. Aufbewahrung und Löschung sollten nachvollziehbar dokumentiert sein.
Betroffenenrechte:
Kunden und Mitarbeiter haben das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten. Werkstätten sollten einen klaren Prozess haben, um solche Anfragen fristgerecht zu beantworten.
Auftragsverarbeitung: Werkstattsoftware, Cloud und externe Dienstleister
Sobald externe Dienstleister im Auftrag der Werkstatt mit personenbezogenen Daten arbeiten, ist ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO erforderlich. Typische Fälle sind der Anbieter der Werkstattsoftware bzw. des DMS, Cloud-Speicher oder ein externer IT-Dienstleister.
Ein wichtiger Sonderfall: Übernimmt ein Steuerberater die Buchhaltung und Lohnabrechnung, gilt dies in der Regel nicht als Auftragsverarbeitung, da der Steuerberater selbst eigenständig Verantwortlicher ist. Hier ist kein AVV nötig.
Brauche ich einen Datenschutzbeauftragten?
Ein betrieblicher Datenschutzbeauftragter (DSB) muss erst bestellt werden, wenn mindestens 20 Personen im Betrieb ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Diese Schwelle wurde 2019 von zehn auf 20 Personen angehoben – ältere Quellen nennen teils noch die alte Zahl.
„Ständig beschäftigt” ist, wer regelmäßig mit Kunden- oder Personalverwaltung zu tun hat. Mechatroniker, die im Rahmen eines Reparaturauftrags lediglich gelegentlich den Fehlerspeicher über die OBD-Schnittstelle auslesen, zählen nach gängiger Auslegung der Aufsichtsbehörden in der Regel nicht dazu. Die meisten kleinen und mittleren Werkstätten liegen damit unter der Schwelle.
Wichtig: Auch ohne Pflicht zur Bestellung eines DSB bleibt die Werkstattleitung – meist die Geschäftsführung – für die korrekte Umsetzung der DSGVO verantwortlich.
Sonderfall Videoüberwachung am Betrieb
Viele Werkstätten überwachen ihren Hof oder die Werkstatt per Kamera. Auch das ist eine Datenverarbeitung und unterliegt strengen Regeln: Es braucht eine Rechtsgrundlage (in der Regel das berechtigte Interesse), einen deutlich sichtbaren Hinweis auf die Videoüberwachung sowie eine möglichst kurze, zweckgebundene Speicherdauer. Bereiche, die nicht überwacht werden dürfen (etwa öffentliche Gehwege oder Nachbargrundstücke), sind auszusparen.
Was bedeutet das für die Praxis?
- Bestandsaufnahme machen: Listen Sie alle Stellen, Systeme und Abläufe auf, an denen im Betrieb personenbezogene Daten verarbeitet werden. Daraus entsteht das Verarbeitungsverzeichnis.
- Datenschutzinformation bereitstellen: Sorgen Sie für eine verständliche Information für Kunden (Auftrag, Website) und Mitarbeiter.
- Verträge prüfen: Schließen Sie mit allen relevanten Dienstleistern (Werkstattsoftware, Cloud, IT) einen AVV ab.
- Zugriffe absichern: Vergeben Sie Berechtigungen sparsam, schützen Sie Systeme mit Passwörtern und halten Sie Software aktuell.
- Löschroutinen festlegen: Definieren Sie, wann welche Daten gelöscht werden, und dokumentieren Sie das.
Branchenverbände und die Datenschutz-Aufsichtsbehörden der Länder stellen Musterverzeichnisse und Leitfäden speziell für Kfz-Werkstätten bereit, die den Einstieg deutlich erleichtern.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine individuelle Rechtsberatung. Für eine verbindliche Einschätzung Ihres Betriebs wenden Sie sich an eine Datenschutz-Fachkraft oder die zuständige Aufsichtsbehörde.
Häufige Fragen zur DSGVO in der Kfz-Werkstatt
Gilt die DSGVO auch für kleine Werkstätten?
Ja. Die DSGVO gilt unabhängig von der Betriebsgröße, sobald personenbezogene Daten verarbeitet werden. Das trifft auf praktisch jede Werkstatt zu, sobald Kunden- oder Mitarbeiterdaten erfasst werden – vom Ein-Mann-Betrieb bis zum größeren Meisterbetrieb.
Welche Kundendaten darf eine Werkstatt speichern?
Gespeichert werden dürfen die Daten, die für die Auftragsabwicklung erforderlich sind – etwa Kontakt-, Fahrzeug- und Auftragsdaten sowie Daten für die Rechnungslegung. Für darüber hinausgehende Zwecke wie Werbung oder Newsletter ist eine gesonderte Einwilligung des Kunden nötig.
Braucht jede Kfz-Werkstatt einen Datenschutzbeauftragten?
Nein. Ein Datenschutzbeauftragter ist erst Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Die meisten kleinen und mittleren Betriebe liegen unter dieser Schwelle.
Muss ich ein Verarbeitungsverzeichnis führen?
In der Regel ja. Da Werkstätten Kunden- und Mitarbeiterdaten regelmäßig verarbeiten, greift die Ausnahme für Kleinunternehmen meist nicht. Das Verzeichnis dokumentiert, welche Daten zu welchem Zweck und wie lange verarbeitet werden.
Brauche ich einen Vertrag mit meinem Werkstattsoftware-Anbieter?
Ja, in der Regel ist ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO erforderlich, wenn der Anbieter im Auftrag der Werkstatt personenbezogene Daten verarbeitet. Das gilt auch für Cloud-Dienste und externe IT-Dienstleister.
Was droht bei Verstößen gegen die DSGVO?
Bei Verstößen können Aufsichtsbehörden Bußgelder verhängen, deren Höhe sich nach Schwere und Umständen des Verstoßes richtet. Mindestens ebenso wichtig ist der Vertrauensverlust bei Kunden. Eine saubere Dokumentation und klare Abläufe sind der beste Schutz.