DSGVO Kundendokumentation Handwerk: Praxis für SHK-Betriebe

DSGVO Kundendokumentation Handwerk beginnt im SHK-Betrieb bei der täglichen Arbeit mit Angeboten, Aufmaßen, Baustellenfotos, Einsatzberichten und Wartungsdaten. Kundendaten brauchen definierte Zwecke, passende Zugriffsrechte, sichere Geräte und nachvollziehbare Löschregeln. Eine strukturierte Dokumentation reduziert Suchaufwand, Fehlversand und Abhängigkeiten, ohne den Kundendienst mit zusätzlicher Bürokratie zu belasten.

Warum betrifft die DSGVO nahezu jeden Arbeitsablauf im SHK-Betrieb?

Datenschutz beginnt im Sanitär-, Heizungs- und Klimahandwerk nicht erst mit der Datenschutzerklärung auf der Website. Personenbezogene Daten entstehen bereits beim ersten Anruf eines Interessenten: Name, Telefonnummer, Adresse, E-Mail-Adresse, Angaben zur Immobilie, gewünschte Leistung und mögliche Terminfenster werden aufgenommen und an Vertrieb, Disposition oder Kundendienst weitergegeben.

Spätestens nach der Auftragserteilung wächst der Datenbestand erheblich. Zum Vorgang kommen Angebote, Auftragsbestätigungen, Aufmaßunterlagen, Grundrisse, Heizlastberechnungen, Baustellenfotos, Seriennummern, Wartungsprotokolle, Zählerstände, Einsatzberichte, Rechnungen und Korrespondenz hinzu. Auch Zugangsinformationen, Hinweise auf Anwesenheitszeiten oder der Name eines Hausmeisters können personenbezogen sein.

Selbst rein technisch wirkende Informationen können einen Personenbezug erhalten, sobald sie einem Kunden, einer Wohnung oder einem Einfamilienhaus zugeordnet werden. Verbrauchswerte, Anlagenzustände, Wartungstermine oder fotografierte Räume lassen unter Umständen Rückschlüsse auf Bewohner und Nutzung zu.

Die Datenschutz-Grundverordnung erfasst das Erheben, Ordnen, Speichern, Nutzen, Übermitteln und Löschen personenbezogener Daten. Ein SHK-Betrieb verarbeitet solche Informationen daher nicht nur im Büro, sondern ebenso auf dem Smartphone des Kundendienstmonteurs, im Einsatzfahrzeug, in der Cloud-Anwendung, beim Steuerberater und bei angebundenen IT-Dienstleistern.

Welche Kundendaten werden in einem SHK-Auftrag typischerweise verarbeitet?

Für die Angebotserstellung werden regelmäßig Kontaktdaten, Objektadresse, technische Anforderungen und Kommunikationsinhalte benötigt. Bei einer Heizungsmodernisierung können zusätzlich Gebäudeinformationen, Fotos des Heizraums, Angaben zu Heizflächen, Energieträger, Verbrauchsdaten und Förderunterlagen verarbeitet werden.

Während der Ausführung entstehen weitere Daten. Dazu gehören Terminabsprachen, Aufmaßwerte, Montagefortschritt, Abweichungen von der Planung, Materialnachweise, Abnahmeprotokolle und gegebenenfalls Informationen zu Mietern, Hausverwaltungen, Architekten oder anderen Gewerken.

Im Kundendienst werden Anlagenhistorie, Störungsmeldungen, Messwerte, Fehlermeldungen, Ersatzteile, Arbeitszeiten, Monteurberichte und Unterschriften gespeichert. Bei Wartungsverträgen bleibt diese Historie über einen längeren Zeitraum für Folgetermine und technische Bewertungen relevant.

Die entscheidende Frage lautet nicht, ob der Betrieb überhaupt personenbezogene Daten verarbeitet. Entscheidend ist, welche Daten für welchen Zweck benötigt werden, wo sie gespeichert sind, wer darauf zugreifen darf und wann ihre weitere Speicherung nicht mehr erforderlich ist. Die DSGVO verlangt Zweckbindung, Datenminimierung, Richtigkeit, begrenzte Speicherdauer sowie Schutz vor unbefugtem Zugriff und Verlust.

Welche Rechtsgrundlage passt zu Angebot, Auftrag und Wartung?

Für die Erstellung eines angefragten Angebots und die Durchführung eines Kundenauftrags kommt regelmäßig die Vertragsanbahnung oder Vertragserfüllung nach Art. 6 Abs. 1 Buchst. b DSGVO in Betracht. Der Betrieb darf die Daten verarbeiten, die für Kalkulation, Terminierung, Materialbeschaffung, Ausführung, Abnahme und Abrechnung tatsächlich erforderlich sind.

Gesetzliche Pflichten bilden eine weitere Rechtsgrundlage. Steuer- und handelsrechtliche Vorgaben können dazu führen, dass Rechnungen, Buchungsbelege und geschäftliche Korrespondenz auch nach Abschluss des Auftrags aufbewahrt werden müssen. Eine Löschanfrage führt dann nicht automatisch dazu, dass sämtliche Unterlagen sofort entfernt werden dürfen.

Berechtigte Interessen können beispielsweise bei der Verteidigung gegen Ansprüche, bei der Dokumentation einer Anlagenhistorie oder bei der Organisation eines sicheren Servicebetriebs relevant sein. Dafür muss der Betrieb den eigenen Zweck gegen die Interessen und Rechte der betroffenen Person abwägen und die Entscheidung dokumentieren.

Eine Einwilligung sollte nicht vorsorglich für jede Verarbeitung eingesetzt werden. Sie ist besonders dort relevant, wo die Verarbeitung nicht bereits für den Auftrag erforderlich ist, etwa bei der Veröffentlichung von Referenzfotos, einer namentlichen Kundenstimme oder bestimmten Werbemaßnahmen. Eine Einwilligung muss freiwillig und für den jeweiligen Zweck erteilt werden können.

Warum sollte nicht jede Information im Kundenstamm landen?

Viele Betriebe speichern aus Gewohnheit mehr, als sie später benötigen. Im Freitextfeld des CRM stehen dann private Hinweise, persönliche Einschätzungen oder Informationen, die für den Auftrag keine Bedeutung haben. Solche Einträge erhöhen das Risiko, ohne die Leistung zu verbessern.

Ein Kundendienstmonteur muss wissen, dass sich die Anlage im Keller befindet und der Zugang über die Hausverwaltung organisiert wird. Eine persönliche Bewertung des Kunden gehört dagegen nicht in den Einsatzbericht. Auch Hinweise auf Krankheiten, Familienverhältnisse oder private Gewohnheiten sollten nur erfasst werden, wenn dafür ein zwingender betrieblicher und rechtlich zulässiger Grund besteht.

Freitextfelder sind besonders anspruchsvoll, weil Inhalte später schwer nach Datenkategorie, Zweck und Löschfrist getrennt werden können. Strukturierte Felder für Ansprechpartner, Anlagenstandort, Zugangsregelung, technische Besonderheiten und Terminabsprachen sind meist besser geeignet.

Datenminimierung bedeutet nicht, wichtige technische Dokumentation wegzulassen. Der Betrieb soll die Informationen erfassen, die er für Ausführung, Nachweis, Wartung und mögliche Ansprüche benötigt. Vermieden werden sollten Daten, die lediglich „vielleicht irgendwann“ nützlich sein könnten.

Wie sollten Baustellenfotos und Anlagendokumentationen organisiert werden?

Baustellenfotos sind im SHK-Handwerk oft unverzichtbar. Sie dokumentieren Leitungswege, verdeckte Installationen, Schäden, Montagesituationen, Typenschilder, hydraulische Einbindungen oder den Zustand vor Beginn der Arbeiten. Gleichzeitig können sie Wohnräume, Bewohner, persönliche Gegenstände, Fahrzeugkennzeichen oder Nachbargrundstücke zeigen.

Vor jeder Aufnahme sollte feststehen, wofür das Foto benötigt wird. Der Bildausschnitt sollte sich auf Anlage, Bauteil oder Schadensstelle beschränken. Familienfotos, Schriftstücke, Medikamente, Computerbildschirme und andere private Gegenstände sollten möglichst nicht mitfotografiert werden.

Die Fotos gehören anschließend direkt in den zugehörigen Auftrag oder die Anlagendokumentation. Bleiben sie dauerhaft in der privaten Fotogalerie des Monteurs, entstehen unkontrollierte Kopien, automatische Cloud-Backups und schwer steuerbare Zugriffe.

Sinnvoll ist eine mobile Serviceanwendung, die Bilder unmittelbar verschlüsselt überträgt, dem Auftrag zuordnet und nach erfolgreicher Synchronisierung vom lokalen Gerät entfernt. Dateiname, Aufnahmedatum, Objekt, Zweck und verantwortlicher Mitarbeiter sollten nachvollziehbar bleiben.

Für eine Veröffentlichung auf Website, Social Media oder Referenzunterlagen ist regelmäßig eine gesonderte Bewertung erforderlich. Ein Foto, das intern zur Ausführungsdokumentation zulässig ist, darf nicht automatisch zu Werbezwecken verwendet werden.

Warum sind private Smartphones und Messenger problematisch?

Im Alltag ist es bequem, wenn ein Monteur ein Bild per privatem Messenger an den Meister oder die Disposition sendet. Der betriebliche Informationsfluss verlässt dadurch jedoch häufig die kontrollierte Systemlandschaft. Das Foto liegt möglicherweise auf mehreren privaten Geräten, in Backups und beim Messenger-Anbieter.

Auch der Abgleich privater Adressbücher kann problematisch sein. Kundennummern und Kontaktdaten gelangen dann in Anwendungen, die nicht für die betriebliche Auftragsabwicklung ausgewählt oder vertraglich bewertet wurden.

Betrieblich verwaltete Smartphones bieten bessere Voraussetzungen. Das Unternehmen kann Gerätesperren, Verschlüsselung, App-Auswahl, Updates, getrennte Arbeitsprofile und eine Fernlöschung vorgeben. Scheidet ein Mitarbeiter aus oder geht ein Gerät verloren, lassen sich Zugänge gezielt entziehen.

Für die Kommunikation zwischen Büro und Baustelle sollte der Betrieb definierte Kanäle vorsehen. Eine mobile Auftrags- oder Field-Service-Anwendung ist meist geeigneter als eine Mischung aus SMS, privaten Messengern, E-Mail und handschriftlichen Notizen.

Wie unterscheiden sich ungeordnete und strukturierte Kundendokumentationen?

Eine strukturierte Lösung muss nicht komplizierter sein. Sie reduziert vielmehr die Zahl der Speicherorte und erspart Mitarbeitern die Entscheidung, ob ein Dokument in Outlook, im Netzlaufwerk, im ERP oder auf dem Smartphone abgelegt werden soll.

Wer darf im Betrieb auf welche Informationen zugreifen?

Ein Zugriff sollte sich aus der Aufgabe des Mitarbeiters ergeben. Die Disposition benötigt Kundendaten, Terminfenster, Anlagenart und Einsatzort. Der Servicetechniker braucht die Informationen zum zugewiesenen Auftrag, nicht zwingend die vollständige kaufmännische Historie aller Kunden.

Die Buchhaltung benötigt Rechnungs- und Zahlungsdaten, während technische Fotos oder interne Monteurhinweise nur in bestimmten Fällen erforderlich sind. Auszubildende, Aushilfen und externe Monteure sollten ebenfalls nur auf die Vorgänge zugreifen können, an denen sie tatsächlich mitarbeiten.

Besonders problematisch sind gemeinsame Benutzerkonten. Wenn mehrere Mitarbeiter dasselbe Passwort verwenden, lässt sich später kaum feststellen, wer eine Adresse exportiert, ein Dokument geändert oder eine Datei versendet hat.

Ein Rollen- und Rechtemodell sollte mindestens Vertrieb, Disposition, Projektleitung, Kundendienst, Montage, Buchhaltung, Administration und externe Partner unterscheiden. Bei Niederlassungen oder spezialisierten Teams können weitere Begrenzungen nach Region, Gewerk oder Auftragsart sinnvoll sein.

Berechtigungen müssen regelmäßig überprüft werden. Bei einem Aufgabenwechsel oder Austritt sollten Zugänge unverzüglich angepasst oder gesperrt werden. Die DSGVO verlangt Sicherheitsmaßnahmen, die sich am jeweiligen Risiko der Verarbeitung orientieren.

Wie sollten Nachunternehmer, Hersteller und IT-Dienstleister eingebunden werden?

Nicht jede Datenweitergabe ist Auftragsverarbeitung. Ein Hersteller, der einen eigenen Garantie- oder Servicefall bearbeitet, kann personenbezogene Daten zu eigenen Zwecken und in eigener Verantwortung verarbeiten. Ein Cloud-Anbieter, Hosting-Dienst, externer IT-Support oder Anbieter einer mobilen Auftragsanwendung verarbeitet Kundendaten dagegen häufig im Auftrag des SHK-Betriebs.

Bei einer Auftragsverarbeitung muss der Betrieb den Anbieter auswählen, die Verarbeitung vertraglich regeln und die vereinbarten Sicherheitsmaßnahmen bewerten. Die Vereinbarung sollte unter anderem Gegenstand, Dauer, Datenarten, betroffene Personengruppen, Weisungen, Vertraulichkeit, Unterauftragnehmer, Unterstützung bei Betroffenenrechten sowie Löschung oder Rückgabe der Daten behandeln.

Nachunternehmer benötigen nur die Daten, die sie für ihren Teilauftrag brauchen. Ein Unternehmen, das eine Kernbohrung ausführt, benötigt nicht automatisch den gesamten Wartungsverlauf oder die vollständige Kundenkorrespondenz.

Auch Herstellerportale, Förderplattformen, Fernwartungsdienste und digitale Anlagenüberwachung sollten in die Prüfung einbezogen werden. Entscheidend ist, wer über Zweck und Mittel der jeweiligen Verarbeitung entscheidet und wohin Daten übertragen werden.

Welche Rolle spielt das Verzeichnis der Verarbeitungstätigkeiten?

Das Verzeichnis der Verarbeitungstätigkeiten beschreibt, welche personenbezogenen Daten im Unternehmen zu welchen Zwecken verarbeitet werden. Für einen SHK-Betrieb können darin beispielsweise Interessentenverwaltung, Angebotsbearbeitung, Auftragsabwicklung, Kundendienst, Wartungsverträge, Rechnungswesen, Website-Anfragen und Personalverwaltung als getrennte Verarbeitungstätigkeiten geführt werden.

Für jede Tätigkeit werden Datenkategorien, betroffene Personengruppen, Empfänger, mögliche Übermittlungen, vorgesehene Löschfristen und Sicherheitsmaßnahmen dokumentiert. Das Verzeichnis ist damit kein theoretisches Rechtsdokument, sondern eine Bestandsaufnahme der tatsächlichen Datenflüsse.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit weist darauf hin, dass Behörden und Unternehmen grundsätzlich ein solches Verzeichnis führen müssen. Bei regelmäßig verarbeiteten Kunden-, Auftrags- und Beschäftigtendaten sollte ein SHK-Betrieb nicht davon ausgehen, dass die Ausnahme für nur gelegentliche Verarbeitungen greift.

In der Praxis zeigt das Verzeichnis häufig sofort, wo Probleme liegen: dieselben Daten werden in mehreren Systemen gespeichert, ein Cloud-Dienst wurde nicht bewertet oder es existiert keine festgelegte Löschregel.

Welche Aufbewahrungsfristen sind für SHK-Unterlagen relevant?

Die DSGVO gibt nicht für jede Dokumentart eine feste Aufbewahrungsdauer vor. Maßgeblich sind Verarbeitungszweck, gesetzliche Pflichten, vertragliche Anforderungen und mögliche Ansprüche. Deshalb sollte nicht der komplette Kundenordner pauschal mit einer einzigen Frist versehen werden.

Buchungsbelege sind nach der seit 2025 geltenden steuerlichen Regelung grundsätzlich acht Jahre aufzubewahren. Dazu gehören insbesondere Rechnungen und weitere Unterlagen, die als Buchungsbeleg dienen.

Empfangene und abgesandte Handels- oder Geschäftsbriefe unterliegen regelmäßig einer sechsjährigen Aufbewahrung. Dazu können auftragsbezogene Schreiben und E-Mails gehören, sofern sie ein Handelsgeschäft betreffen.

Für Mängelansprüche bei Arbeiten an einem Bauwerk sieht das Bürgerliche Gesetzbuch grundsätzlich eine Verjährungsfrist von fünf Jahren vor. Bei wirksam einbezogenen Vertragsbedingungen, abweichenden Leistungsarten oder besonderen Vereinbarungen kann eine andere Bewertung erforderlich sein.

Diese Fristen bedeuten nicht, dass jede Baustellenaufnahme, jede Terminnotiz und jede Telefonnummer ebenso lange gespeichert werden muss. Der Betrieb braucht eine Dokumentenmatrix, die jede Datenkategorie einem Zweck, einer Rechtsgrundlage, einer Aufbewahrungsdauer und einem Löschverfahren zuordnet.

Wie könnte eine Aufbewahrungsmatrix für SHK-Betriebe aussehen?

Eine Aufbewahrungsmatrix sollte nicht nur Dokumentnamen auflisten. Sie sollte den betrieblichen Zusammenhang abbilden. Für Rechnungen können steuerrechtliche Pflichten maßgeblich sein, für Montagefotos die Ausführungsdokumentation und Anspruchsabwehr, für Zugangscodes dagegen nur die Dauer des konkreten Einsatzes.

Ein sinnvoller Eintrag enthält:

• Daten- oder Dokumentkategorie
• betroffenen Geschäftsprozess
• Verarbeitungszweck
• Rechtsgrundlage
• führendes System
• zugriffsberechtigte Rollen
• Beginn und Ende der Aufbewahrung
• Ereignis, das eine Prüfung oder Löschung auslöst
• mögliche Sperrung bei laufenden Ansprüchen

Zugangscodes für Schlüsselboxen oder Alarmanlagen sollten beispielsweise nach Abschluss des Einsatzes entfernt werden, wenn sie nicht für einen Wartungsvertrag weiterhin benötigt werden. Nicht beauftragte Angebotsanfragen brauchen eine andere Behandlung als bestehende Kunden mit laufender Gewährleistung oder Wartung.

Das Löschkonzept muss außerdem Sicherungskopien, E-Mail-Archive, mobile Geräte, exportierte Excel-Dateien und Papierunterlagen berücksichtigen. Eine Löschung im ERP reicht nicht aus, wenn derselbe Datensatz an mehreren anderen Stellen weiterbesteht.

Wie lassen sich Wartungshistorie und Datenminimierung miteinander vereinbaren?

Eine belastbare Wartungshistorie ist für den Kundendienst wertvoll. Sie zeigt, welche Störungen bereits aufgetreten sind, welche Bauteile ersetzt wurden, welche Messwerte auffällig waren und ob sich ein Fehler wiederholt.

Datenminimierung verlangt nicht, diese technischen Informationen vorschnell zu löschen. Der Betrieb sollte jedoch unterscheiden zwischen dauerhaft relevantem Anlagenwissen und kurzfristigen organisatorischen Angaben.

Seriennummer, Anlagentyp, Inbetriebnahmedatum, Wartungsmaßnahmen und Ersatzteile können für zukünftige Arbeiten bedeutsam sein. Ein einmaliger Hinweis, wann der Kunde am Tag des damaligen Einsatzes zu Hause war, hat nach Abschluss des Termins meist keinen weiteren Nutzen.

Bei einem Eigentümerwechsel sollte geprüft werden, welche technische Anlagendokumentation weiterhin benötigt wird und welche personenbezogenen Daten des früheren Eigentümers entfernt oder getrennt archiviert werden müssen. Die Anlage darf nicht mit einer unbegrenzten Personenhistorie gleichgesetzt werden.

Wie müssen Kunden über die Datenverarbeitung informiert werden?

Kunden müssen Informationen darüber erhalten, wer ihre Daten verarbeitet, zu welchen Zwecken dies geschieht, welche Rechtsgrundlagen genutzt werden, an welche Empfänger Daten gelangen können und welche Rechte bestehen. Die Informationspflichten ergeben sich insbesondere aus Art. 13 DSGVO.

Die Information kann beispielsweise bei der ersten Datenerhebung über das Kontaktformular, als Anlage zum Angebot, über einen Link in der Terminbestätigung oder in geeigneter Papierform bereitgestellt werden. Wichtig ist, dass der Kunde sie tatsächlich erhalten kann und die verwendete Fassung zum Prozess passt.

Eine allgemeine Website-Datenschutzerklärung reicht nicht automatisch für sämtliche Offline-Prozesse aus. Die Website beschreibt typischerweise Webhosting, Cookies, Kontaktformulare und Analysedienste. Kundendienst, Baustellenfotos, Wartungshistorie, Herstellerportale und Nachunternehmer müssen in der betrieblichen Datenschutzinformation angemessen berücksichtigt werden.

Auch Beschäftigte sollten wissen, wie sie Kundendaten behandeln sollen. Kurze prozessbezogene Anweisungen sind meist wirksamer als ein langes Datenschutzhandbuch, das im Tagesgeschäft kaum verwendet wird.

Wie sollten Auskunfts-, Berichtigungs- und Löschanfragen bearbeitet werden?

Ein Kunde kann wissen wollen, welche personenbezogenen Daten über ihn gespeichert sind. Der Betrieb benötigt deshalb einen internen Ablauf, mit dem Informationen aus ERP, CRM, DMS, E-Mail, mobiler Serviceanwendung und Papierakten zusammengetragen werden können.

Vor der Herausgabe muss die Identität des Antragstellers angemessen geprüft werden. Gleichzeitig dürfen Informationen über andere Personen, interne Geschäftsgeheimnisse und geschützte Daten nicht unkontrolliert mitgeliefert werden.

Bei einer Löschanfrage ist zu prüfen, welche Daten nicht mehr benötigt werden und welche aufgrund gesetzlicher Pflichten, laufender Verträge oder möglicher Ansprüche weiterhin gespeichert werden dürfen. Häufig ist eine teilweise Löschung oder Sperrung erforderlich, keine vollständige Entfernung des gesamten Kundenvorgangs.

Die Verantwortung sollte nicht bei einem beliebigen Mitarbeiter landen. Ein benannter Ansprechpartner koordiniert die Anfrage, dokumentiert die Prüfung und stellt sicher, dass alle relevanten Systeme berücksichtigt werden. Das Auskunftsrecht ist grundsätzlich kostenlos und umfasst auch eine Kopie der verarbeiteten personenbezogenen Daten.

Welche Sicherheitsmaßnahmen passen zum Arbeitsalltag eines SHK-Betriebs?

Sicherheit muss zur tatsächlichen Arbeitsumgebung passen. Kundendaten werden nicht nur in einem geschützten Büro verarbeitet, sondern auf Baustellen, in Fahrzeugen, im Bereitschaftsdienst und über mobile Netze.

Zu den grundlegenden Maßnahmen gehören persönliche Benutzerkonten, Mehrfaktor-Authentifizierung, aktuelle Betriebssysteme, verschlüsselte Geräte, automatische Bildschirmsperren, regelmäßige Datensicherungen und ein dokumentierter Wiederherstellungstest.

Mobile Geräte sollten zentral verwaltet werden. Der Betrieb muss Zugänge sperren und Unternehmensdaten entfernen können, wenn ein Gerät verloren geht oder ein Mitarbeiter ausscheidet.

Papierunterlagen benötigen ebenfalls Schutz. Auftragsmappen mit Kundenadressen, Schlüsselinformationen oder technischen Unterlagen sollten nicht sichtbar im Fahrzeug liegen. Nicht mehr benötigte Unterlagen gehören in eine geeignete Aktenvernichtung und nicht in den normalen Papierkorb.

Berechtigungen, Sicherungen und Updates sollten nicht nur einmal eingerichtet, sondern wiederkehrend geprüft werden. Die DSGVO verlangt technische und organisatorische Maßnahmen, die Art, Umfang, Umstände und Risiken der Verarbeitung berücksichtigen.

Was gilt bei verlorenen Geräten und falsch versendeten Unterlagen?

Ein Datenschutzvorfall kann bereits vorliegen, wenn ein Smartphone mit Kundendaten verloren geht, ein Wartungsbericht an den falschen Empfänger versandt wird, ein offener Cloud-Link erreichbar ist oder eine Auftragsmappe aus dem Fahrzeug gestohlen wird.

Der Mitarbeiter sollte den Vorfall sofort intern melden, statt zunächst selbst über dessen Bedeutung zu entscheiden. Der Betrieb muss feststellen, welche Daten betroffen sind, ob sie geschützt waren, wer Zugriff erhalten haben könnte und welche Folgen für die Kunden möglich sind.

Besteht ein Risiko für die Rechte und Freiheiten der betroffenen Personen, muss eine Meldung an die zuständige Datenschutzaufsichtsbehörde grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Auch Vorfälle, die nicht gemeldet werden müssen, sollten intern mit Bewertung und Entscheidung dokumentiert werden.

Ein vorbereiteter Notfallprozess spart wertvolle Zeit. Er sollte Ansprechpartner, Vertretung, IT-Dienstleister, Versicherer, zuständige Aufsicht und mögliche Sofortmaßnahmen enthalten. Dazu gehören etwa Fernlöschung, Passwortwechsel, Sperrung von Freigabelinks und Rückruf einer Nachricht.

Wie kann KI bei der Kundendokumentation eingesetzt werden?

KI kann Monteurnotizen strukturieren, Sprachaufnahmen in Einsatzberichte überführen, lange E-Mail-Verläufe zusammenfassen oder technische Informationen aus Dokumenten auffindbar machen. Dadurch sinkt der Aufwand für Nachbearbeitung im Innendienst.

Der Einsatz ändert jedoch nichts an der datenschutzrechtlichen Verantwortung des SHK-Betriebs. Kundennamen, Adressen, Fotos, Verbrauchsdaten und Servicehistorien dürfen nicht ungeprüft in frei verfügbare KI-Dienste eingegeben werden.

Vor dem Einsatz muss feststehen, welche Daten verarbeitet werden, wo die Verarbeitung stattfindet, ob Inhalte zu Trainingszwecken genutzt werden, welche Unterauftragnehmer beteiligt sind und wie lange Eingaben sowie Ergebnisse gespeichert bleiben.

Geeignet sind kontrollierte Unternehmenszugänge, begrenzte Datenquellen, Rollenrechte und dokumentierte Auftragsverarbeitung. Wo möglich, sollten direkte Identifikatoren entfernt oder ersetzt werden. Ergebnisse der KI müssen fachlich geprüft werden, insbesondere bei Messwerten, Sicherheitsanforderungen, Wartungsempfehlungen und abrechnungsrelevanten Angaben.

Ein KI-System sollte auf dieselben Berechtigungen achten wie ERP, DMS und Serviceanwendung. Ein Monteur darf über die KI nicht auf Kundenakten zugreifen, die ihm in den Ursprungssystemen nicht zur Verfügung stehen.

Was läuft bei der DSGVO-Kundendokumentation üblicherweise falsch?

Viele Betriebe verteilen Kundendaten auf zu viele Ablagen. Der Auftrag liegt im ERP, Bilder befinden sich im Messenger, Termine in persönlichen Kalendern und technische Hinweise in privaten E-Mail-Ordnern. Eine Auskunft, Löschung oder Berechtigungsprüfung wird dadurch unnötig aufwendig.

Ein weiterer Fehler ist die pauschale Einwilligung. Kunden sollen mit einer allgemeinen Unterschrift jede denkbare Verarbeitung erlauben, obwohl viele Vorgänge bereits auf Vertrag oder gesetzlicher Pflicht beruhen. Dies erschwert die Organisation, weil Einwilligungen widerrufen werden können und für einen bestimmten Zweck formuliert sein müssen.

Häufig fehlen auch Löschregeln. Aus Angst vor zu früher Löschung wird alles dauerhaft aufbewahrt. Das widerspricht der Speicherbegrenzung und vergrößert den möglichen Schaden bei einem Sicherheitsvorfall.

In manchen Betrieben besitzen nahezu alle Mitarbeiter umfassende Rechte. Ein kompromittiertes Konto ermöglicht dann Zugriff auf große Teile des Kundenbestands. Das gleiche Problem entsteht bei gemeinsamen Konten und dauerhaft aktiven Zugängen ausgeschiedener Mitarbeiter.

Schließlich werden neue Cloud-Dienste, Fernwartungslösungen oder KI-Anwendungen eingeführt, ohne Datenschutz, Vertrag, Berechtigungen und Datenexport gemeinsam zu prüfen. Der Nutzen der Anwendung wird bewertet, der gesamte Datenlebenszyklus jedoch nicht.

Wie beginnt ein SHK-Betrieb pragmatisch mit der Neuorganisation?

Der erste Schritt ist eine Bestandsaufnahme entlang eines realen Auftrags. Der Betrieb verfolgt einen Vorgang von der Anfrage über Angebot, Ausführung und Rechnung bis zu Wartung oder Gewährleistung. Dabei werden alle Speicherorte, Datenweitergaben und beteiligten Rollen erfasst.

Anschließend wird für jede Datenkategorie festgelegt, welches System führend ist. Kundendaten gehören beispielsweise in das ERP oder CRM, technische Dokumente in das DMS und Einsatzdaten in die mobile Serviceanwendung. E-Mail sollte Transportmittel und nicht dauerhafte Hauptablage sein.

Danach folgen Rollenrechte, Aufbewahrungsmatrix, Dienstleisterprüfung und ein einfacher Prozess für Datenschutzanfragen sowie Sicherheitsvorfälle. Erst wenn diese Grundlagen stehen, sollten zusätzliche Automatisierungen oder KI-Funktionen angebunden werden.

In der Praxis ist ein Pilot mit einem Prozess sinnvoll, etwa Wartungseinsätze für Wärmepumpen oder die Dokumentation von Heizungsmodernisierungen. Das Team testet, ob Fotos, Messwerte, Unterschriften und Berichte vollständig im Auftrag landen und auf mobilen Geräten keine unkontrollierten Kopien verbleiben.

DSGVO Kundendokumentation Handwerk wird damit nicht als separate Rechtsaufgabe behandelt. Sie wird Bestandteil einer zuverlässigen Auftragsorganisation, die Kundendienst, Verwaltung und Geschäftsführung im Alltag entlastet.

Welche Fragen stellen SHK-Betriebe besonders häufig?

Dürfen SHK-Betriebe Kundendaten ohne Einwilligung speichern?

Ja, wenn die Verarbeitung beispielsweise für eine Angebotsanfrage, die Durchführung des Auftrags, eine Wartungsvereinbarung oder gesetzliche Pflichten erforderlich ist. Eine Einwilligung ist nicht für jeden Arbeitsschritt notwendig. Der Betrieb muss jedoch den Zweck, die passende Rechtsgrundlage, den erforderlichen Datenumfang und die spätere Aufbewahrung für jede Verarbeitung bestimmen.

Dürfen Monteure Baustellenfotos mit dem Smartphone aufnehmen?

Baustellenfotos sind zulässig, wenn sie für Ausführung, Nachweis, Schadensbewertung oder Wartung benötigt werden. Der Bildausschnitt sollte private Bereiche und unbeteiligte Personen möglichst vermeiden. Empfehlenswert sind betrieblich verwaltete Geräte und eine Anwendung, die Fotos direkt dem Auftrag zuordnet, verschlüsselt überträgt und lokale Kopien anschließend entfernt.

Darf ein Kundendienstmonteur WhatsApp für Kundenfotos verwenden?

Private Messenger sind für betriebliche Kundendokumentation häufig ungeeignet, weil Kontakte, Bilder und Backups außerhalb der kontrollierten Systemlandschaft verarbeitet werden können. Der Betrieb sollte einen freigegebenen Kommunikationsweg oder eine mobile Serviceanwendung bereitstellen. Vor dem Einsatz eines Messengers sind Vertrag, Adressbuchzugriff, Speicherung, Berechtigungen und mögliche Drittstaatentransfers zu prüfen.

Wie lange dürfen Kundendaten im SHK-Betrieb gespeichert werden?

Es gibt keine einheitliche Frist für den gesamten Kundenordner. Rechnungen, Geschäftsbriefe, Vertragsunterlagen, Baustellenfotos, Zugangscodes und Wartungsdaten erfüllen unterschiedliche Zwecke. Der Betrieb benötigt deshalb eine Aufbewahrungsmatrix. Nach Ablauf der jeweiligen Pflicht oder des betrieblichen Zwecks werden Daten gelöscht, gesperrt oder in einen begrenzten Archivbereich überführt.

Müssen Baustellenfotos nach Abschluss des Auftrags gelöscht werden?

Nicht zwingend. Fotos können für Ausführungsnachweis, Gewährleistung, Wartung oder die Verteidigung gegen Ansprüche weiterhin benötigt werden. Der Betrieb sollte jedes Fotomotiv einem Zweck und einer Aufbewahrungsregel zuordnen. Aufnahmen ohne weiteren Nutzen sowie Bilder mit unnötigen privaten Details sollten früher entfernt werden als technisch relevante Dokumentationen verdeckter Leitungswege.

Benötigt jeder SHK-Betrieb einen Datenschutzbeauftragten?

Nein. Die Pflicht hängt unter anderem von Unternehmensgröße, Art der Verarbeitung und besonderen Risiken ab. Auch ohne Datenschutzbeauftragten bleibt die Geschäftsführung für die Einhaltung der Vorgaben verantwortlich. Größere Betriebe oder Unternehmen mit umfangreicher digitaler Verarbeitung sollten die gesetzlichen Kriterien prüfen und Verantwortlichkeiten für Datenschutz, IT-Sicherheit und Dokumentation verbindlich zuordnen.

Braucht der Betrieb mit jedem Softwareanbieter einen AV-Vertrag?

Ein Vertrag zur Auftragsverarbeitung ist erforderlich, wenn ein Dienstleister personenbezogene Daten nach Weisung des Betriebs verarbeitet. Das trifft häufig auf Hosting, Cloud-ERP, DMS, Datensicherung oder externen IT-Support zu. Hersteller, Steuerberater oder andere Partner können je nach Tätigkeit eigenständig verantwortlich sein. Entscheidend sind tatsächliche Aufgaben und Entscheidungsbefugnisse, nicht die Bezeichnung des Vertrags.

Was muss bei einem verlorenen Monteur-Smartphone passieren?

Der Verlust sollte unverzüglich intern gemeldet werden. Zugänge, SIM-Karte und betriebliche Konten werden gesperrt; bei verwalteten Geräten kann eine Fernlöschung erfolgen. Anschließend bewertet der Betrieb, welche Kundendaten gespeichert waren, ob Verschlüsselung und Gerätesperre wirksam waren und ob eine Meldung an Aufsicht oder betroffene Kunden erforderlich ist.

Wie können Kundendaten bei einem Mitarbeiterwechsel geschützt werden?

Persönliche Konten und Rollenrechte sollten bereits während der Beschäftigung genutzt werden. Beim Austritt werden Zugänge, mobile Geräte, Schlüssel, Datenträger und lokale Dateien anhand eines festen Offboarding-Prozesses bearbeitet. Gemeinsame Passwörter sollten geändert werden. Zudem ist zu prüfen, ob Kundendaten in privaten Kontakten, E-Mail-Weiterleitungen oder nicht freigegebenen Cloud-Speichern verblieben sind.

Darf KI Kundendienstberichte und Monteurnotizen verarbeiten?

Ja, sofern eine zulässige Rechtsgrundlage, ein geeigneter Anbieter, vertragliche Regelungen, begrenzte Zugriffe und angemessene Sicherheitsmaßnahmen bestehen. Kundendaten sollten nicht in private oder frei verfügbare KI-Konten eingegeben werden. Der Betrieb muss außerdem wissen, ob Inhalte gespeichert, weitergegeben oder zum Training verwendet werden und wie Ergebnisse fachlich geprüft werden.

Wie sollte ein SHK-Betrieb auf eine Löschanfrage reagieren?

Der Betrieb prüft zunächst die Identität des Kunden und ermittelt alle betroffenen Systeme. Danach wird unterschieden zwischen Daten, die nicht mehr benötigt werden, und Unterlagen, die wegen gesetzlicher Pflichten, Verträgen oder möglicher Ansprüche weiter aufbewahrt werden müssen. Das Ergebnis, die ausgeführten Löschungen und verbleibenden Einschränkungen sollten nachvollziehbar dokumentiert und dem Kunden fristgerecht mitgeteilt werden.

Welche Quellen belegen die verwendeten Kennzahlen?

• Bundesministerium der Finanzen: Die wichtigsten steuerlichen Änderungen 2025 – achtjährige Aufbewahrung von Buchungsbelegen
  https://www.bundesfinanzministerium.de/Content/DE/Standardartikel/Themen/Steuern/das-aendert-sich-2025.html
• Handelsgesetzbuch § 257 – sechsjährige Aufbewahrung von Handels- und Geschäftsbriefen
  https://www.gesetze-im-internet.de/hgb/__257.html
• Bürgerliches Gesetzbuch § 634a – fünfjährige Verjährung bei Arbeiten an einem Bauwerk
  https://www.gesetze-im-internet.de/bgb/__634a.html
• Europäischer Datenschutzausschuss: Data Breaches – Meldefrist von 72 Stunden
  https://www.edpb.europa.eu/sme/assess-the-risks/data-breaches_en

Welche weiterführenden Quellen sind empfehlenswert?

• Europäischer Datenschutzausschuss: Datenschutzleitfaden für Kleinunternehmen
  https://www.edpb.europa.eu/sme-data-protection-guide/home_de
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Hinweise und Muster zum Verzeichnis von Verarbeitungstätigkeiten
  https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Allgemein/Verzeichnis-Verarbeitungstaetigkeiten.html
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Muster zur Auftragsverarbeitung
  https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Muster/Muster_zur_Auftragsverarbeitung.html

Der Beitrag bietet eine betriebliche Orientierung und ersetzt keine rechtliche Prüfung des konkreten Einzelfalls.

Alle Artikel zu Branchenlösungen

Alle Artikel zu SHK

Zu den KrambergAI SHK-Branchenlösungen