Kurz gesagt: Der Auslöser ist fast immer dasselbe Formular: „Offerte anfragen“. Wer darüber Name, Adresse, Telefon und eine Beschreibung des Problems entgegennimmt, bearbeitet Personendaten und muss vorher sagen, was damit geschieht.
Ich habe 16 Elektro-Websites, 13 Schreinereien, 9 Maler- und Gipserbetriebe, 7 Sanitärbetriebe und 14 Gartenbaubetriebe geprüft. Bei den Elektrikern hatten 4 von 16 keine lesbare Datenschutzerklärung, bei den Schreinereien 5 von 13. Der Gartenbau schnitt am besten ab, dort fehlte sie nur bei 2 von 14.
Was ein Offertformular auslöst
Es ist kein Newsletter und kein Tracking, sondern eine ganz normale Datenbearbeitung. In die Erklärung gehört:
- welche Angaben du verlangst
- wozu: Offerte erstellen, Termin vereinbaren, Auftrag abwickeln
- wer sie sonst sieht: dein Buchhaltungsprogramm, allenfalls ein Subunternehmer
- wie lange du sie behältst, wenn kein Auftrag zustande kommt
Der letzte Punkt fehlt in fast jeder Vorlage. Anfragen, aus denen nichts wurde, müssen nicht ewig im Postfach liegen.
Drei Punkte, die im Handwerk regelmässig auftauchen
Fotos von der Baustelle. Referenzbilder sind Werbung und meist unproblematisch, solange keine Personen erkennbar sind und keine fremde Wohnung so gezeigt wird, dass Rückschlüsse möglich sind. Bei einer Privatwohnung fragst du die Eigentümerschaft.
Der Notfalldienst. Wer eine Nummer rund um die Uhr anbietet, notiert Anrufe. Das ist eine Bearbeitung wie jede andere, sie gehört in die Erklärung, wenn du die Angaben behältst.
Die Buchhaltung. Sie sieht Namen und Adressen deiner Kundschaft und ist damit Empfänger. Genügt als Kategorie: „Treuhand und Buchhaltung“. Geschäftsbücher und Belege bewahrst du ohnehin zehn Jahre auf (Art. 958f OR), und das darf so in der Erklärung stehen.
Was auf Handwerker-Websites technisch läuft
Im Schnitt weniger als bei anderen Branchen, aber selten null: eine Karte auf der Kontaktseite, Schriftarten aus dem Theme, gelegentlich eine Statistik. Der Hoster kommt immer dazu.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.