Wir gehen mit Ihnen einen strukturierten Fragebogen durch und sehen uns den Betrieb an: Annahme, Büro, Werkstatt und IT. Am Ende wissen Sie, was bereits gut läuft, was noch fehlt und was zuerst angepackt wird.
Rechtsstand 13. Oktober 2026 · Fundstellen am Gesetzestext geprüft
Datenschutz schützt die Menschen, deren Daten Sie verarbeiten: Kunden, Beschäftigte, Bewerber. Informationssicherheit schützt den Betrieb: Zugänge, Geräte, Datensicherung und der Ablauf bei einem Ausfall. In einem Betrieb mit Werkstatt laufen beide über dieselben Geräte. Unsere Bestandsaufnahme ist ein strukturiertes Gespräch mit Rundgang. Sie ist keine Behördenprüfung und keine Rechtsberatung.
Der Fragebogen umfasst fünf Seiten und zwölf Abschnitte, gegliedert in vier Teile. Wir passen die Begriffe an Ihren Betrieb an.
Wer verarbeitet bei Ihnen welche Daten, wo liegen sie, wohin gehen sie und mit welchem Vertrag arbeiten externe Dienstleister, etwa für Werkstattsoftware, IT-Betreuung, Lohn und Steuer.
Wir sehen uns an, wie sich jemand anmeldet, wie Geräte geschützt sind, wo die Sicherung liegt und ob eine Rücksicherung schon einmal ausprobiert wurde. Aussagen und Beobachtungen halten wir getrennt fest.
Welche Hinweise und Verzeichnisse liegen vor, wie sind die Beschäftigten unterwiesen, wer tut was bei einer Datenpanne, wie sieht der Notbetrieb bei einem Ausfall aus und, falls vorhanden, wie sind Kameras geregelt.
Was verlangen Ihre Kunden an Nachweisen, ist der Betrieb von NIS-2 betroffen, und was machen wir zuerst. Das Ergebnis ist ein Plan mit Zuständigkeit, Termin und Priorität.
Der Fragebogen führt durch zwölf Abschnitte. Diese neun Themen zeigen, worum es im Alltag eines Betriebs mit Annahme, Büro und Werkstatt konkret geht. Zu jedem steht die Frage, die wir im Gespräch stellen.
Vom Anruf bis zur Rechnung: In welchem System oder welcher Ablage liegt was, wer sieht es und wer bekommt es von außen, etwa Versicherer, Gutachter oder Hersteller. Dazu zählen auch Fotos und Texte, die in Chatprogramme oder KI-Werkzeuge wandern.
Art. 30 DSGVO (Verzeichnis)Daten werden nur so lange gespeichert, wie der Zweck es verlangt. Dem stehen steuerrechtliche Aufbewahrungspflichten gegenüber. Wichtig ist eine Regel je Datenart, die tatsächlich angewendet wird, und nicht ein System, das alles für immer behält.
Art. 5 Abs. 1 lit. e DSGVODer Schaden und das Fahrzeug. Nicht: Personen im Hintergrund, Papiere auf dem Sitz, das Haus des Kunden. Und die Fotos gehören auf einen freigegebenen Weg, nicht in die private Galerie oder einen privaten Messenger.
Art. 5 Abs. 1 lit. c DSGVOGesundheitsangaben gehören zu den besonders geschützten Daten. In der Einsatzplanung genügt, dass jemand fehlt und wie lange, nicht der Grund. Personalunterlagen gehören getrennt abgelegt und für wenige Rollen zugänglich.
Werkstattsoftware in der Cloud, IT-Betreuung mit Fernwartung, Lohnbüro, Datensicherung: Verarbeitet ein Dienstleister in Ihrem Auftrag, braucht es einen Vertrag mit festen Inhalten. Er muss zu der Leistung passen, die tatsächlich läuft.
Art. 28 Abs. 1 und 3 DSGVOPersönliche Konten statt eines gemeinsamen Passworts, getrennte Administration, Entzug beim Austritt, ein zweiter Faktor für E-Mail, Cloud und Fernzugriff. Das sind überschaubare Handgriffe mit großer Wirkung.
Art. 32 Abs. 1 lit. b DSGVOEine Sicherung ist erst dann etwas wert, wenn sie sich zurückspielen lässt, nicht am selben Ort liegt und nicht von einem Angreifer im Netz mit gelöscht werden kann. Erst der Test zeigt, wie lange der Wiederanlauf dauert.
Art. 32 Abs. 1 lit. c und d DSGVODie Frist beginnt, wenn die Verletzung bekannt wird. Deshalb müssen Meldeweg und Vertretung im Betrieb feststehen, bevor etwas passiert. Und es braucht einen Notbetrieb für den Fall, dass Werkstattsoftware oder Internet ausfallen.
Art. 33 DSGVOZweck, erfasster Bereich, Betriebszeiten, Hinweisschild, Zugriff und automatische Löschung gehören zusammen. Bei umfangreicher systematischer Überwachung öffentlich zugänglicher Bereiche ist eine Folgenabschätzung nötig. Ohne Kamera entfällt dieser Abschnitt.
Art. 35 Abs. 3 lit. c DSGVO
Sie bekommen vorab einen kurzen Leitfaden, damit die richtigen Gesprächspartner und Unterlagen bereitstehen. Die Dauer richtet sich nach der Größe des Betriebs und wird bei der Terminabsprache genannt.
Die Antworten stehen im Gesetz. Die Fundstelle steht jeweils dabei.
Wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl besteht die Pflicht, wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern. Gezählt werden Personen, die täglich am System arbeiten, nicht die Belegschaft insgesamt.
§ 38 Abs. 1 BDSGDie Meldung an die Aufsichtsbehörde erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko. Jede Verletzung ist zu dokumentieren, auch wenn nicht gemeldet wird.
Art. 33 Abs. 1 und 5 DSGVODas hängt von zwei Dingen ab, die beide vorliegen müssen: Die Tätigkeit gehört zu einer der gelisteten Einrichtungsarten, und der Betrieb erreicht die Größe, mindestens 50 Beschäftigte oder über 10 Mio. Euro Umsatz und Bilanzsumme. Eine Lieferbeziehung zu einem großen Kunden begründet für sich keine unmittelbare Pflicht, führt aber oft zu Nachweisforderungen.
§ 28 Abs. 2 Nr. 3 BSIGDie Bußgeldrahmen stehen in der Datenschutz-Grundverordnung. Es sind Obergrenzen, keine üblichen Beträge.
Ein Ausfall der Werkstattsoftware oder eine verschlüsselte Datensicherung kostet Arbeitstage. Wer weiß, wie lange er ohne System arbeiten kann und wie die Rücksicherung verläuft, ist im Ernstfall handlungsfähig.
Die Schwelle liegt bei in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Zählen Sie ehrlich, wer täglich am System arbeitet, auch in der Werkstatt am Tablet. Unabhängig von der Zahl besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung nötig ist (§ 38 Abs. 1 Satz 2 BDSG), etwa bei einer Kamera. Die übrigen Pflichten der Datenschutz-Grundverordnung gelten auch ohne Beauftragten.
Nein. Es ist eine Bestandsaufnahme mit einem Plan. Für verbindliche Rechtsfragen ist ein Rechtsanwalt oder die Aufsichtsbehörde zuständig. Wo eine Frage offen bleibt, halten wir sie als offen fest.
Nein. Der Plan ordnet die Punkte nach Priorität. Gesetzliche und vertragliche Fristen gehen vor, alles andere bekommt einen Termin, den Sie nennen.
Die Zahl der Beschäftigten, die eingesetzte Werkstatt- und Bürosoftware, die Verträge mit IT-Betreuung und Dienstleistern, vorhandene Datenschutzhinweise und, wenn vorhanden, das Protokoll der Datensicherung. Der Leitfaden für die Geschäftsführung führt das im Einzelnen auf.
Nein. Sie bekommen eine Bestandsaufnahme mit einem Maßnahmenplan. Eine Bestätigung der Rechtskonformität geben wir nicht.
Das ist häufig. Es sind vertragliche Anforderungen, keine gesetzlichen, und sie sind verbindlich, wenn Sie sie unterschrieben haben. Die Bestandsaufnahme liefert eine Grundlage, um solche Fragebögen ehrlich und zügig zu beantworten.
Rechtsstand: 13. Oktober 2026. Quellen: § 38 BDSG, § 28 BSIG, Art. 33 DSGVO, Art. 83 DSGVO.
Rainer Orthober, Geschäftsführer der Horos Consulting und Vermittlung GmbH in Erftstadt bei Köln. Ungebundener Versicherungsvermittler mit Erlaubnis nach § 34d Abs. 1 GewO, eingetragen im Vermittlerregister der IHK unter D-1IWD-T9TFT-54, Handelsregister Amtsgericht Köln HRB 79258. Diese Seite gibt den Rechtsstand vom 3. September 2026 wieder und ersetzt keine Beratung im Einzelfall.
