Dsgvo konformität prüfen

Montag, 6:40 Uhr. Auf der Baustelle stehen sieben neue WhatsApp-Gruppen vom Wochenende bereit. Darin liegen Fotos von einem Wasserschaden, Sprachnachrichten des Auftraggebers und Telefonnummern von Mietern. Der Vorarbeiter fragt sich nicht nur, ob das praktisch war, sondern auch, wo diese Daten eigentlich sicher gespeichert sind, wer darauf zugreifen darf und wann sie gelöscht werden.

Genau dort beginnt die Frage, ob ein Betrieb seine DSGVO-Konformität prüfen kann. Nicht bei der Verbotsdebatte über WhatsApp, sondern bei belastbaren Nachweisen. Können Sie einem Kunden, einer Aufsichtsbehörde oder Ihrem eigenen Büro zeigen, welcher Mitarbeiter wann welche Information verarbeitet hat? Sind Löschfristen, Verantwortlichkeiten und projektbezogene Ablagen geregelt?

Seit dem 25. Mai 2018 gilt die DSGVO in Deutschland unmittelbar. Bitkom zeigte bereits 2018, dass 63 Prozent der Unternehmen angaben, die Vorgaben zu erfüllen. Die Prüfung ist damit kein einmaliges Projekt, sondern ein dauerhafter Prozess aus Dokumentation, Kontrolle und Nachweisführung, wie die Bitkom-Zeitreihe zur DSGVO einordnet. Für Handwerksbetriebe betrifft das mobile Fotos, Chats und Sprachdaten genauso wie Akten im Büro.

Warum die Prüfung der DSGVO-Konformität auf der Baustelle oft schiefgeht

Markus, der Vorarbeiter aus dem Neubauviertel, hat keine Datenschutzprüfung geplant. Er will einen Wasserschaden dokumentieren, den Bauleiter erreichen und dem Auftraggeber schnell antworten. Also fotografiert er die betroffene Wand, sendet das Bild in die Gruppe und leitet eine Sprachnachricht weiter. Im Hintergrund landen die Inhalte auf privaten Geräten, in privaten Backups und in Chats, deren Mitglieder sich im Lauf des Projekts verändert haben.

Das Problem ist nicht automatisch die einzelne Nachricht. Das Problem ist die fehlende Struktur dahinter. Niemand kann auf Anhieb sagen, ob der Kunde wirksam zugestimmt hat, welche Rechtsgrundlage gilt, ob der Empfänger tatsächlich beteiligt ist oder wann das Foto aus allen Ablagen verschwindet.

Die Baustelle ist kein datenschutzfreier Raum

Baustellenkommunikation enthält oft mehr personenbezogene Daten, als dem Team bewusst ist. Auf einem Foto können Gesichter, Namensschilder, Hausnummern oder persönliche Gegenstände erkennbar sein. Eine Sprachnachricht nennt vielleicht den Namen eines Mieters, seine Telefonnummer oder Details zu seiner Wohnsituation.

Handwerksbetriebe unterliegen der DSGVO vollständig, auch kleine Betriebe, Einzelunternehmer und Familienunternehmen. Das Handwerksblatt erklärt die Risiken der WhatsApp-Nutzung im Handwerk und verweist auf die praktische Notwendigkeit klarer Prozesse für Einwilligung, Ablage und Zugriff.

Praxisregel: Wenn niemand sagen kann, wo ein Baustellenfoto gespeichert ist und wer es löschen darf, ist der Prozess nicht prüfbar.

Was bei einer Prüfung tatsächlich fehlt

Viele Betriebe scheitern nicht an fehlendem guten Willen. Sie scheitern an mündlichen Freigaben, privaten Geräten, geteilten Cloud-Ordnern und wechselnden Zuständigkeiten. Ein Mitarbeiter verlässt das Projekt, die Gruppe bleibt bestehen. Ein Auftrag ist beendet, die Bilder liegen weiterhin im Chat. Eine Kundenanfrage trifft ein, aber niemand weiß, welche Version der Dokumentation vollständig ist.

Das schafft Risiken für den Betrieb und kostet Zeit. Die deutschen Aufsichtsbehörden verhängten 2025 249 Bußgelder mit einer Gesamthöhe von rund 46,9 Millionen Euro, wie der Rückblick auf DSGVO-Bußgeldverfahren und Datenpannen 2025 berichtet. Besonders sichtbar waren dabei fehlende Kontrollen von Auftragsverarbeitern und unzureichende Authentifizierung.

Die richtige Frage lautet deshalb nicht: „Ist WhatsApp verboten?“ Sie lautet: „Kann unser Betrieb Zugriffe, Löschfristen und projektbezogene Ablage nachvollziehbar belegen?“

Die fünf Pflichtbausteine einer sauberen DSGVO-Prüfung

Eine belastbare Prüfung braucht keine schwer verständliche Mappe voller Floskeln. Sie braucht fünf klar benannte Bausteine, die ein Bauleiter, eine Bürokraft und ein Vorarbeiter im Alltag anwenden können.

Verarbeitungen konkret erfassen

Starten Sie mit einem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Tragen Sie nicht einfach „Kundenverwaltung“ ein, sondern konkrete Abläufe: Auftragsannahme, Baustellenfotos, Mängeldokumentation, Sprachmitteilungen, Zeiterfassung und Rechnungsablage.

Beispiel: Für ein Badezimmerprojekt dokumentieren Sie, dass Fotos dem Projekt zugeordnet, vom Bauleiter geprüft und nach Abschluss gemäß Löschkonzept archiviert oder gelöscht werden. Damit wird aus einer allgemeinen Pflicht ein nachvollziehbarer Arbeitsablauf.

Rechtsgrundlage und Zweck festlegen

Jede Verarbeitung braucht einen klaren Zweck und eine passende Rechtsgrundlage. Bei der Auftragsabwicklung kann die Vertragserfüllung maßgeblich sein. Bei der Kommunikation mit Lieferanten kann ein berechtigtes Interesse eine Rolle spielen. Für bestimmte Messenger-Nutzungen mit Kundendaten wird in der Praxis häufig eine vorherige Einwilligung verlangt.

Schreiben Sie die Entscheidung auf. Eine Notiz wie „Foto zur Dokumentation des Baufortschritts, Zugriff für Bauleitung und Büro“ ist brauchbarer als eine pauschale Aussage, alle Daten würden „für den Betrieb“ verarbeitet.

Daten sparsam speichern

Ein Foto, eine Adresse oder eine Telefonnummer darf nicht länger und umfassender gespeichert werden, als der Zweck es erfordert. Prüfen Sie deshalb, ob private Chats, vollständige Kontaktlisten oder unnötige Dokumente in einen Baustellenprozess gelangen.

Ein gutes Löschkonzept beantwortet drei Fragen: Was wird gespeichert, warum wird es gespeichert und wer löscht es wann? Für Rechnungen wird regelmäßig eine Aufbewahrung von 10 Jahren genannt, während Angebote häufig nach 6 bis 12 Monaten gelöscht werden können, sofern keine anderen Gründe dagegensprechen, wie die Hinweise zu DSGVO im Handwerk und digitaler Ablage zeigen.

Technische und organisatorische Maßnahmen umsetzen

Gerätesperren, getrennte Rollen, sichere Projektordner und kontrollierte Freigaben sind keine IT-Spielerei. Sie verhindern, dass ein verlorenes Smartphone oder ein falsch adressierter Chat zum Datenschutzproblem wird.

Ein Monteur braucht möglicherweise Zugriff auf aktuelle Arbeitsanweisungen, aber nicht auf sämtliche Personalunterlagen. Der Kunde darf den Fortschritt seines Projekts sehen, aber nicht die Telefonnummern anderer Auftraggeber. Legen Sie diese Rollen fest und prüfen Sie sie bei Teamwechseln.

Nachweisfähigkeit sicherstellen

Der Betrieb muss Auskunftsanfragen, Löschvorgänge, Datenschutzverletzungen und Verträge mit Dienstleistern bearbeiten können. Dazu gehören Auftragsverarbeitungsverträge mit Cloud-, IT- und Steuerdienstleistern sowie ein dokumentierter Meldeweg.

Der BfDI beschreibt für eine technisch belastbare Prüfung einen DSFA-Workflow: Verarbeitung bewerten, Risiken für Rechte und Freiheiten identifizieren, Schutzmaßnahmen dokumentieren und den Datenschutzbeauftragten einbinden. Eine erneute Prüfung ist bei Änderungen, Datenschutzverletzungen oder regelmäßig erforderlich, wie die Hinweise des BfDI zur Datenverarbeitung erläutern.

Risikobereiche im Handwerk im direkten Vergleich

Nicht jeder Datenfluss verdient dieselbe Aufmerksamkeit. Eine einfache Matrix hilft, zuerst die Vorgänge zu bearbeiten, bei denen unkontrollierter Zugriff und mögliche Folgen besonders schwer wiegen.

Risikobereich	Eintrittswahrscheinlichkeit	Schwere	Empfohlene Sofortmaßnahme
Baustellenfotos mit Personen oder privaten Bereichen in privaten Chats	Hoch	Hoch	Fotos nur projektbezogen speichern, Empfänger begrenzen, Löschung festlegen
Kundenadressen auf Geräten ohne Bildschirmsperre	Hoch	Hoch	Gerätesperre aktivieren, Geräteverlust sofort melden
Messenger-Gruppen mit wechselnden Teilnehmern	Hoch	Mittel bis hoch	Gruppenmitglieder regelmäßig prüfen, abgeschlossene Projekte schließen
Routen- und Materialdaten ohne Löschfrist	Mittel	Niedrig bis mittel	Zweck und Aufbewahrungsfrist im Löschkonzept festlegen
Mitarbeiterfotos für soziale Medien ohne dokumentierte Einwilligung	Mittel	Mittel	Einwilligung und Verwendungszweck dokumentieren
Lieferanten- und Subunternehmerdaten	Niedrig bis mittel	Niedrig bis mittel	Zugriff auf Einkauf und Projektleitung beschränken

Wann der Messenger neu gedacht werden muss

Ein Messenger kann dokumentationsfähig sein, wenn der Betrieb Datenflüsse, Zugriffe, Löschung und Verantwortlichkeiten kontrolliert. Fehlt eine dieser Grundlagen, reicht die Bequemlichkeit als Begründung nicht aus.

Ein Foto vom falsch gelieferten Material ist weniger kritisch, wenn keine Personen, Adressen oder sensiblen Angaben sichtbar sind. Ein Bild aus einer bewohnten Wohnung mit erkennbaren Bewohnern gehört dagegen in einen kontrollierten Projektprozess. Die Matrix schafft dafür eine klare Priorität: Zuerst private Geräte, offene Gruppen und ungeschützte Kundendaten ordnen.

WhatsApp auf der Baustelle DSGVO-konform einsetzen

WhatsApp muss nicht pauschal verboten werden. Der Betrieb muss aber ehrlich prüfen, welche Daten tatsächlich über den Dienst fließen und ob sich die Verarbeitung nachweisen lässt.

Schritt eins mit dem Datenfluss beginnen

Gehen Sie ein konkretes Projekt durch und beantworten Sie diese Fragen:

• Welche Inhalte werden gesendet? Fotos, Namen, Adressen, Telefonnummern, Sprachnachrichten oder Ausweisangaben?
• Wer erhält die Inhalte? Nur die Projektleitung, das gesamte Team, der Kunde oder private Kontakte?
• Wo werden sie gespeichert? Im Chat, auf dem Telefon, in Backups oder zusätzlich in einer privaten Cloud?
• Wie endet der Prozess? Werden Nachrichten nach Projektabschluss gelöscht oder bleiben sie unbestimmt lange verfügbar?

Prüfen Sie außerdem, ob eine Einwilligung erforderlich ist, welche Rechtsgrundlage dokumentiert wurde und ob der Dienstleister als Auftragsverarbeiter vertraglich eingebunden werden kann. Bei Verarbeitungen mit voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich, wie der BfDI zur Datenschutz-Folgenabschätzung ausführt.

Die Telefon-Checkliste

Öffnen Sie die Einstellungen nicht nur technisch, sondern prüfen Sie den gesamten Arbeitsablauf:

• Gerät schützen: Ist eine Bildschirmsperre aktiv? Kann der Betrieb ein verlorenes Gerät sperren oder löschen?
• Kontakte trennen: Sind geschäftliche Kontakte von privaten Chats getrennt?
• Gruppen begrenzen: Sind nur Personen eingeladen, die das Projekt tatsächlich bearbeiten?
• Backups prüfen: Werden Nachrichten automatisch in private oder unkontrollierte Sicherungen kopiert?
• Daten minimieren: Werden sensible Angaben nur dann geteilt, wenn sie für den Auftrag erforderlich sind?
• Löschung dokumentieren: Gibt es eine feste Routine für abgeschlossene Projekte?

Bewerten Sie jede Frage mit Ja oder Nein. Grün bedeutet, dass der Prozess dokumentiert und kontrolliert ist. Gelb heißt, dass eine Maßnahme fehlt. Rot steht für einen Ablauf, bei dem der Betrieb weder Zugriff noch Löschung verlässlich nachweisen kann.

Eine kontrollierte Ablage statt Verbotsrhetorik

Wenn WhatsApp im Team bleiben soll, braucht es eine zweite, projektbezogene Ablage für verbindliche Informationen. Dafür kann beispielsweise Vork als digitale Baustellenablage für Handwerker betrachtet werden. Die Anwendung ordnet eingehende Fotos, Sprachnachrichten und Texte Projekten zu und stellt Berichte sowie PDF-Exporte für Nachweise bereit.

Das Ziel ist nicht, jede schnelle Nachricht zu verhindern. Das Ziel ist, dass die relevante Information aus dem Chat in einen kontrollierten Prozess gelangt.

Meldewege, Dokumentationsmuster und Aufbewahrungsfristen

Ein Datenschutzvorfall wird nicht dadurch kleiner, dass er auf einer Baustelle passiert. Wenn ein Smartphone verloren geht, ein Foto an den falschen Empfänger gesendet wird oder ein Dienstleister unbefugt zugreift, braucht der Betrieb einen festen Ablauf.

Bei einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten ist Art. 33 DSGVO maßgeblich. Die Meldung an die zuständige Aufsichtsbehörde muss grundsätzlich innerhalb der 72-Stunden-Frist erfolgen. Ob diese Pflicht besteht, sollte der verantwortliche Ansprechpartner anhand des konkreten Risikos bewerten, nicht erst nach einer internen Chat-Diskussion.

Ein einfacher Meldebogen

Legen Sie eine Vorlage an, die jeder Mitarbeiter sofort ausfüllen kann:

• Vorgang: Was ist passiert?
• Zeitpunkt: Wann wurde der Vorfall entdeckt?
• Betroffene Personen: Welche Kunden, Beschäftigten oder Mieter könnten betroffen sein?
• Datenkategorien: Welche Informationen waren zugänglich?
• Mögliche Folgen: Was kann daraus entstehen?
• Sofortmaßnahmen: Wurde ein Gerät gesperrt, ein Link entfernt oder ein Empfänger kontaktiert?
• Verantwortung: Wer entscheidet über Meldung und weitere Information?

Parallel sollte das Verzeichnis der Verarbeitungstätigkeiten konkrete Einträge für Baustellenfotos, Messenger-Nutzung und Rechnungsablage enthalten. Für Dienstleister gehören Verträge zur Auftragsverarbeitung in dieselbe Prüfmappe. Ein internes Löschprotokoll hält fest, welches Projekt bereinigt wurde, wann die Löschung erfolgte und wer sie kontrolliert hat.

Fristen verständlich organisieren

Fristen müssen zum Zweck und zu gesetzlichen Pflichten passen. Die folgende Tabelle ist ein Arbeitsgerüst, das der Betrieb mit Steuerberatung, Datenschutzbeauftragtem und den jeweils geltenden Aufbewahrungspflichten abgleichen sollte.

Datenkategorie	Aufbewahrungsfrist	Ablage
Kundendaten für laufende Aufträge	Nach Zweck und Vertragsbezug	Geschützte Kunden- und Projektakte
Rechnungen	Regelmäßig 10 Jahre	Revisionssichere Rechnungsablage
Foto-Dokumentation	Bis zum Ende des Dokumentations- oder Gewährleistungszwecks	Projektordner mit Zugriffskontrolle
Personalunterlagen	Nach arbeits- und steuerrechtlichem Zweck	Separater Personalbereich
Nachunternehmer-Vereinbarungen	Nach Vertrags- und Nachweiserfordernis	Projekt- und Vertragsablage

Eine digitale Archivierung mit nachvollziehbaren Exporten kann die Prüfung erleichtern. Hinweise zu elektronischer Archivierung für Handwerker und GoBD helfen dabei, Ablage und Nachweisführung gemeinsam zu betrachten.

Bestimmen Sie außerdem drei Rollen: Eine Person meldet, eine dokumentiert und eine kontrolliert die offenen Fälle. Für die technische Umsetzung kann eine Lösung mit verschlüsselter Ablage, automatisierten Löschläufen und revisionssicherem PDF-Export eingesetzt werden. Entscheidend bleibt, dass der Betrieb die Zuständigkeit schriftlich festlegt.

Wie saubere Dokumentation den Handwerksalltag entlastet

Am Montag sucht Vorarbeiter Markus im Abbruchbetrieb die Absprache zur Containerstellung vom Freitag. Sie steckt in mehreren Chats. Er ruft den Bauleiter an, hört Sprachnachrichten ab und fragt im Büro nach. Die Information ist vermutlich vorhanden, doch im entscheidenden Moment fehlt der belastbare Nachweis.

In einer projektbezogenen Ablage gehören Containerfreigabe, Fotos, Aufmaß und Kundenrückmeldung zum richtigen Auftrag. Markus öffnet das Projekt und findet den Vorgang nach Datum, Kategorie oder Verantwortlichem. Hinweise zur Fotodokumentation auf der Baustelle zeigen, wie sich Ablage und Nachweisführung verbinden lassen.

Der Nutzen zeigt sich außerhalb des Datenschutzes

Eine klare Ablage verringert Rückfragen zwischen Baustelle und Büro. Rechnungen lassen sich vollständiger vorbereiten, weil Fotos, Zusatzleistungen und Freigaben nicht auf privaten Geräten verteilt liegen. Bei einer Reklamation bleibt nachvollziehbar, welche Arbeit ausgeführt, wann ein Mangel gemeldet und wie darauf reagiert wurde.

Neue Mitarbeiter finden sich schneller zurecht. Sie müssen nicht erst herausfinden, in welcher WhatsApp-Gruppe ein Projektverlauf verborgen ist. Die Projektstruktur zeigt, was erledigt, offen oder freigegeben ist.

Praktischer Blick: Datenschutz ist im Handwerk kein Zusatzordner. Gute Datenordnung spart Sucharbeit, klärt Zuständigkeiten und verhindert unnötige Rechnungskorrekturen.

Der Betrieb gewinnt Kontrolle

Der Informationsfluss muss an den Auftrag gebunden sein. Fotos werden einem Projekt zugeordnet. Sprachmitteilungen werden als Aufgaben, Hinweise oder Freigaben erfasst und bleiben dadurch auffindbar.

So kann der Betrieb Zugriffe, Löschfristen und projektbezogene Ablage nachweisen, statt den Ablauf später aus Chatverläufen zusammenzusetzen. Behörden und Kunden erhalten eine nachvollziehbare Dokumentation. Die Bauleitung sieht zugleich Fortschritt, offene Punkte und fehlende Nachweise. Zeit, Nerven und Geld werden dort gespart, wo Dokumentation bisher nebenbei und unkontrolliert entstand.

Dein 7-Tage-Plan für die erste vollständige Prüfung

Die erste Prüfung muss kein monatelanges Projekt sein. Ein Vorarbeiter, eine Bauleitung und eine Bürokraft können die wichtigsten Lücken in einer konzentrierten Arbeitswoche sichtbar machen. Planen Sie pro Tag etwa 60 bis 90 Minuten ein und halten Sie jede Entscheidung schriftlich fest.

Tag eins und zwei

Tag eins, Vorarbeiter: Listen Sie alle Messenger-Gruppen, privaten Geräte, Foto-Speicherorte und Cloud-Ablagen auf. Markieren Sie abgeschlossene Projekte und offene Gruppen.

Tag zwei, Bauleiter: Ordnen Sie die Datenarten den Verantwortlichen zu. Legen Sie fest, wer Kundenkommunikation, Fotos, Löschungen und Datenschutzvorfälle kontrolliert. Bestimmen Sie eine Vertretung, damit der Ablauf nicht an einer Person hängt.

Tag drei bis fünf

Tag drei, Bürokraft oder IT-Verantwortlicher: Gehen Sie die WhatsApp-Einstellungen mit der Telefon-Checkliste durch. Prüfen Sie Gerätesperren, Gruppenmitglieder, Backups, geschäftliche Kontakte und Löschroutinen.

Tag vier, Bauleitung und Büro: Schreiben Sie die Rechtsgrundlagen, Zwecke und Aufbewahrungsfristen für die wichtigsten Prozesse auf. Beginnen Sie mit Auftragsannahme, Baustellenfotos, Messenger-Kommunikation und Rechnungsablage.

Tag fünf, Betriebsinhaber: Erstellen Sie den Meldebogen für Datenpannen. Legen Sie fest, wer einen Vorfall entgegennimmt, wer ihn bewertet, wer dokumentiert und wer gegebenenfalls die Aufsichtsbehörde kontaktiert.

Tag sechs und sieben

Tag sechs, Datenschutzbeauftragter oder externer Berater: Führen Sie eine Probebegehung durch. Lassen Sie sich ein Baustellenfoto, eine Kundenanfrage und einen gelöschten Projektvorgang zeigen. Was nicht auffindbar oder erklärbar ist, kommt auf die Maßnahmenliste.

Tag sieben, Betriebsinhaber und Bauleitung: Schreiben Sie einen kurzen Abschlussbericht mit offenen Punkten, Verantwortlichen und Fristen. Legen Sie außerdem den Termin für die nächste Wiederholungsprüfung fest. Die DSGVO verlangt keine schöne Ablage, sondern einen nachvollziehbaren, fortlaufenden Kontrollprozess.

---

Vork bündelt Baustellenfotos, Sprachnachrichten und Texte projektbezogen und unterstützt kontrollierte Ablage, Berichte sowie PDF-Nachweise, ohne dass Ihr Team eine neue App einführen muss. Prüfen Sie jetzt, wie Vork Ihre Baustellenkommunikation ordnet und die erste DSGVO-Prüfung im Betrieb praktisch umsetzbar macht.