Datenschutz in der Buchhaltung: DSGVO für Handwerker 2026

Die Datenschutz-Grundverordnung (DSGVO) gilt für jeden Handwerksbetrieb, der Kunden-, Lieferanten- oder Mitarbeiterdaten digital verarbeitet. Einen Datenschutzbeauftragten brauchen Sie erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Datenverarbeitung beschäftigt sind (§ 38 BDSG). Mit Ihrem Softwareanbieter schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, mit Ihrem Steuerberater nicht, denn er ist selbst Verantwortlicher (§ 11 Abs. 2 StBerG). Steuerliche Aufbewahrungsfristen von 8 bzw. 10 Jahren gehen der Löschpflicht vor.

Welche Daten in der Buchhaltung anfallen

Personenbezogene Daten sind alle Angaben, die sich einer natürlichen Person zuordnen lassen. In der Buchhaltung eines Handwerksbetriebs sind das vor allem:

• Kundendaten: Name, Anschrift, Telefonnummer, E-Mail, Bankverbindung, Auftrags- und Rechnungsdaten, bei Privatkunden auch die Baustellenadresse.

• Mitarbeiterdaten: Lohnabrechnung, Steuer-ID, Sozialversicherungsnummer, Bankverbindung, Arbeitszeiten, Arbeitsunfähigkeitszeiten.

• Lieferanten und Subunternehmer: Ansprechpartner, Bankdaten, Freistellungsbescheinigungen, bei Einzelunternehmern auch deren Steuernummer.

• Belege: Quittungen, Tankbelege und Bewirtungsbelege mit Namen von Teilnehmern.

Daten über Firmenkunden in der Rechtsform einer GmbH oder AG sind keine personenbezogenen Daten. Die Namen und Kontaktdaten der Ansprechpartner dort sind es aber, ebenso alle Daten über Kunden, die Einzelunternehmer oder Privatpersonen sind.

Pflichten und Schwellenwerte 2026

Das Verzeichnis nach Art. 30 DSGVO brauchen praktisch alle Betriebe. Lohnabrechnung und Kundenverwaltung laufen nicht nur gelegentlich, und Arbeitsunfähigkeitsdaten sind Gesundheitsdaten und damit eine besondere Datenkategorie. Das Verzeichnis listet je Verarbeitung Zweck, Datenkategorien, Empfänger, Löschfristen und die technischen und organisatorischen Maßnahmen (TOM).

Cloud-Buchhaltung, Belegfotos und Auftragsverarbeitung

Nutzen Sie eine Buchhaltungssoftware in der Cloud, eine Beleg-App oder einen Scan-Dienstleister, verarbeitet der Anbieter Ihre Daten in Ihrem Auftrag. Er ist dann Auftragsverarbeiter. Der Vertrag nach Art. 28 Abs. 3 DSGVO muss unter anderem regeln:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung,

• Art der Daten und Kategorien betroffener Personen,

• Verarbeitung nur auf Ihre dokumentierte Weisung,

• Vertraulichkeit der eingesetzten Personen und Sicherheitsmaßnahmen,

• Bedingungen für Unterauftragnehmer,

• Löschung oder Rückgabe der Daten nach Vertragsende.

Seriöse Anbieter stellen diesen Vertrag im Kundenkonto bereit. Prüfen Sie zusätzlich, wo die Server stehen. Bei Verarbeitung außerhalb der EU bzw. des EWR braucht es eine zulässige Grundlage für die Übermittlung.

Belegfotos sind datenschutzrechtlich unproblematisch, wenn sie direkt in der Buchhaltungs-App landen. Problematisch sind Fotos, die zusätzlich in der privaten Galerie mit automatischem Cloud-Backup oder in Messenger-Chats liegen.

Steuerberater, Lohnbüro, Bank: wer ist Auftragsverarbeiter?

Steuerberater und Steuerberatungsgesellschaften verarbeiten die personenbezogenen Daten ihrer Mandanten weisungsfrei und unter ihren Berufspflichten. Das Gesetz stellt ausdrücklich klar, dass sie dabei Verantwortliche im Sinne der DSGVO sind (§ 11 Abs. 2 StBerG). Ein Auftragsverarbeitungsvertrag mit der Kanzlei ist daher nicht nötig. Das gilt für Buchhaltung, Lohn und Steuererklärungen gleichermaßen. Die Kanzlei schließt ihrerseits Verträge mit ihren Rechenzentren und Softwareanbietern.

Technische und organisatorische Maßnahmen im Betrieb

Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen (TOM), also Schutzvorkehrungen, die zum Risiko passen. Verstöße gegen diese Pflicht fallen unter den Bußgeldrahmen des Art. 83 Abs. 4 DSGVO. Für einen Handwerksbetrieb mit digitaler Buchhaltung gehören dazu in der Regel:

• Eigene Zugänge für jede Person, die mit Buchhaltung, Lohn oder Kundenverwaltung arbeitet, mit starken Passwörtern und Zwei-Faktor-Anmeldung, wo der Anbieter sie anbietet.

• Rollen und Rechte: Monteure brauchen Zugriff auf Aufträge, nicht auf Lohnabrechnungen.

• Verschlüsselte Geräte: Laptops, Tablets und Firmenhandys mit Gerätesperre und Verschlüsselung, damit ein Verlust keine Datenpanne wird.

• Datensicherung: regelmäßige Sicherung lokaler Daten an einem getrennten Ort.

• Papier im Büro: Lohnunterlagen und Personalakten unter Verschluss, Aktenvernichtung statt Altpapier.

• Ausscheidende Mitarbeiter: Zugänge am letzten Arbeitstag sperren, Geräte zurücknehmen.

Wer den ersten Mitarbeiter einstellt, sollte diese Punkte von Anfang an festlegen und im Verzeichnis der Verarbeitungstätigkeiten dokumentieren.

Aufbewahren und löschen: das Löschkonzept

Nach Art. 17 DSGVO sind Daten zu löschen, sobald ihr Zweck entfallen ist. Die Pflicht entfällt aber, soweit die weitere Speicherung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). Die steuer- und handelsrechtlichen Aufbewahrungsfristen gehen also vor. Nach Fristablauf müssen die Daten dann aber gelöscht werden, wenn kein anderer Grund für die Speicherung besteht.

Beispiel: Ein Sanitärbetrieb legt in seinem Löschkonzept fest, wann Daten aus 2026 frühestens zu löschen sind.

Die Fristen ergeben sich aus § 147 AO und für das Lohnkonto aus § 41 Abs. 1 EStG. Details zu Fristbeginn und Ablaufhemmung lesen Sie unter Aufbewahrungsfristen und GoBD. Während der Aufbewahrung sollten Sie den Zugriff auf diese Daten beschränken, etwa auf Buchhaltung und Geschäftsführung.

Sonderfälle

Arbeitsunfähigkeit und Gesundheitsdaten

Daten über Arbeitsunfähigkeit sind Gesundheitsdaten und damit besonders geschützt. Sie gehören nicht in allgemein zugängliche Ordner und nicht in Gruppenchats der Baustelle. Für die Lohnabrechnung genügen Zeitraum und Art der Abwesenheit.

Subunternehmer und Freistellungsbescheinigungen

Die Freistellungsbescheinigung eines Subunternehmers müssen Sie vorhalten und prüfen. Ist der Subunternehmer ein Einzelunternehmer, enthält sie personenbezogene Daten. Bewahren Sie sie bei den Belegen auf und nicht lose im Bauwagen.

Privatkunden und Handwerkerbonus

Privatkunden brauchen Ihre Rechnung für den Handwerkerbonus nach § 35a EStG. Rechnungen an Privatkunden gehen nur an den Kunden selbst oder an Personen, die er benennt, zum Beispiel die Hausverwaltung.

Datenpanne

Ein verlorenes Firmenhandy mit unverschlüsselten Kundendaten oder eine falsch versandte Lohnabrechnung kann eine meldepflichtige Datenpanne sein. Die Meldung an die Aufsichtsbehörde ist unverzüglich, möglichst binnen 72 Stunden fällig, es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich (Art. 33 DSGVO).

Typische Fehler in der Praxis

• Kein Verzeichnis von Verarbeitungstätigkeiten. Die 250-Mitarbeiter-Ausnahme greift für Betriebe mit Lohnabrechnung praktisch nie.

• AV-Vertrag mit der Software fehlt. Gerade bei Beleg-Apps und frei verfügbaren Online-Tools wird er oft vergessen.

• AV-Vertrag mit dem Steuerberater verlangt. Er ist nicht nötig und passt rechtlich nicht, weil die Kanzlei selbst Verantwortliche ist.

• Belege im Messenger. Rechnungen und Lieferscheine per Chat an Büro oder Kanzlei zu schicken, verteilt Kundendaten auf private Geräte.

• Gemeinsame Zugangsdaten. Ein Login für alle Mitarbeiter macht nicht nachvollziehbar, wer was geändert hat. Das schadet auch der GoBD-Konformität.

• Nie gelöscht. Wer alle Daten unbegrenzt behält, verstößt nach Fristablauf gegen die DSGVO. Ein jährlicher Löschlauf nach dem Löschkonzept schafft Ordnung.

• Zu früh gelöscht. Wer Belege unter Berufung auf die DSGVO vor Ablauf der Aufbewahrungsfrist löscht, riskiert im Fall einer Betriebsprüfung eine Schätzung.

Wer als Arbeitgeber startet, findet die weiteren Pflichten unter Arbeitgeber werden.