Auf den Punkt: Sobald Sie als kleiner IT- oder Computer-Dienstleister fremde Rechner warten, Backups verwalten oder Fernzugriff auf Kundensysteme haben, verarbeiten Sie personenbezogene Daten Ihrer Auftraggeber. Dafür brauchen Sie in fast allen Fällen einen Auftragsverarbeitungsvertrag (AVV) und technisch-organisatorische Maßnahmen. Ein eigener Datenschutzbeauftragter wird erst ab einer bestimmten Schwelle Pflicht — die meisten Ein-Personen- und Kleinstbetriebe liegen darunter, müssen die übrigen Pflichten aber trotzdem erfüllen.

Viele Inhaber kleiner IT-Werkstätten gehen davon aus, Datenschutz sei ein Thema für Konzerne. Das stimmt nicht. Die Datenschutz-Grundverordnung (DSGVO) macht keine Ausnahme für kleine Betriebe. Sie staffelt nur, welche formalen Pflichten greifen. Wer Kundengeräte repariert, hat zwangsläufig Zugriff auf Fotos, E-Mails, Kundendaten und manchmal ganze Patienten- oder Mandantenakten. Genau das macht den Unterschied.

Was bedeutet Auftragsverarbeitung für IT-Dienstleister konkret?

Auftragsverarbeitung im Sinne von Art. 28 DSGVO liegt vor, wenn Sie personenbezogene Daten im Auftrag und nach Weisung eines Kunden verarbeiten, ohne über Zweck und Mittel der Verarbeitung selbst zu bestimmen. Der klassische Fall: Ein Steuerberater beauftragt Sie mit der Wartung seiner Server. Sie sehen dabei zwangsläufig Mandantendaten, entscheiden aber nicht, was mit diesen Daten geschieht — das tut der Steuerberater. Damit sind Sie Auftragsverarbeiter, der Kunde ist Verantwortlicher.

Typische Tätigkeiten, die Auftragsverarbeitung auslösen:

• Fernwartung und Remote-Support mit Zugriff auf Kundensysteme
• Verwaltung von Backups und Cloud-Speicher für Kundendaten
• Betreuung von E-Mail-Servern, CRM- oder Warenwirtschaftssystemen
• Hosting von Webseiten mit Kontaktformularen oder Kundenkonten
• Reparaturen, bei denen Sie auf gespeicherte Daten zugreifen können

Eine reine Hardware-Lieferung ohne Datenzugriff ist dagegen keine Auftragsverarbeitung. Sobald aber ein Datenträger mit Kundeninhalten durch Ihre Hände geht, sieht die Lage anders aus.

Der Auftragsverarbeitungsvertrag (AVV): Pflicht, nicht Kür

Liegt Auftragsverarbeitung vor, schreibt Art. 28 Abs. 3 DSGVO einen schriftlichen Vertrag zwischen Auftraggeber und Auftragsverarbeiter vor — den AVV. Ohne diesen Vertrag verstoßen beide Seiten gegen die DSGVO, auch wenn niemand böse Absichten hat. Der AVV ist also kein Bürokratie-Selbstzweck, sondern Ihre rechtliche Absicherung.

Diese Inhalte muss ein AVV nach Art. 28 Abs. 3 DSGVO mindestens regeln:

Pflichtinhalt	Bedeutung für die Praxis
Gegenstand, Dauer, Art und Zweck	Was genau Sie tun (z. B. Fernwartung) und wie lange
Art der Daten und Kategorien Betroffener	Welche Daten Sie sehen (z. B. Kundendaten, Mitarbeiterdaten)
Weisungsbindung	Sie handeln nur auf dokumentierte Weisung des Kunden
Technische und organisatorische Maßnahmen (TOM)	Wie Sie die Daten konkret schützen
Umgang mit Subunternehmern	Etwa wenn Sie selbst einen Cloud-Anbieter nutzen
Unterstützung und Löschung	Hilfe bei Betroffenenrechten, Rückgabe/Löschung am Vertragsende

Die meisten Auftraggeber legen Ihnen ihren eigenen AVV vor. Prüfen Sie ihn trotzdem: Verpflichtungen, die Sie technisch gar nicht erfüllen können, gehören geklärt, bevor Sie unterschreiben. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stellt ein kostenloses Muster zur Verfügung, an dem Sie sich orientieren können.

Technisch-organisatorische Maßnahmen, die kein Kleinbetrieb übergehen sollte

Im AVV verpflichten Sie sich zu TOM nach Art. 32 DSGVO. Das klingt nach viel — in der Praxis sind es solide IT-Grundlagen, die Sie ohnehin haben sollten:

• Zugriffsschutz: individuelle Passwörter, Zwei-Faktor-Authentifizierung für Fernzugriff
• Verschlüsselung: verschlüsselte Datenträger, abgesicherte Remote-Verbindungen
• Trennung: Kundendaten getrennt halten, keine Vermischung auf privaten Geräten
• Protokollierung: nachvollziehen können, wer wann auf welches System zugegriffen hat
• Löschkonzept: Datenträger vor Weitergabe oder Entsorgung sicher löschen
• Verschwiegenheit: alle Mitarbeitenden auf Vertraulichkeit verpflichten

Gerade beim Punkt sichere Löschung passieren in IT-Werkstätten die meisten unbemerkten Pannen — etwa wenn ein Austausch-Laptop mit alten Kundendaten weiterverkauft wird.

Das Verarbeitungsverzeichnis: oft vergessen, schnell erstellt

Eine Pflicht, die kleine IT-Betriebe regelmäßig übersehen, ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es ist eine strukturierte Übersicht darüber, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, wie lange Sie sie speichern und mit welchen Maßnahmen Sie sie schützen. Anders als oft angenommen entfällt diese Pflicht für kleine Unternehmen nicht automatisch — die in Art. 30 Abs. 5 DSGVO genannte Ausnahme greift in der Praxis selten, weil schon die regelmäßige Verarbeitung von Kundendaten sie aushebelt.

Die gute Nachricht: Für einen typischen Computer-Dienstleister ist das Verzeichnis kein großes Werk. Es umfasst meist die eigene Kundenverwaltung, die Buchhaltung, die Personaldaten und die im Kundenauftrag erbrachten Tätigkeiten. Einmal sauber aufgesetzt, müssen Sie es nur bei Änderungen fortschreiben. Im Fall einer Beschwerde oder einer Anfrage der Aufsichtsbehörde ist es das erste Dokument, nach dem gefragt wird.

Datenpannen: die 72-Stunden-Frist gilt auch für Sie

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten — etwa ein verlorener Laptop mit Kundendaten oder ein erfolgreicher Angriff auf ein von Ihnen betreutes System — greift Art. 33 DSGVO. Der Verantwortliche muss die Panne in der Regel innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden. Als Auftragsverarbeiter sind Sie zwar nicht selbst meldepflichtig gegenüber der Behörde, müssen den Vorfall aber unverzüglich Ihrem Auftraggeber melden, damit dieser seine Frist einhalten kann.

In der Praxis heißt das: Legen Sie vorab fest, wer im Ernstfall wen wie schnell informiert. Eine klare Meldekette gehört zu den Punkten, die Auftraggeber zunehmend im AVV verankern — und im Schadensfall ist sie der Unterschied zwischen geordneter Reaktion und Chaos.

Wann wird ein Datenschutzbeauftragter Pflicht?

Hier herrscht oft Verwirrung. Nach § 38 Abs. 1 Bundesdatenschutzgesetz (BDSG) müssen Verantwortliche und Auftragsverarbeiter einen Datenschutzbeauftragten benennen, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Mitgezählt werden alle, die regelmäßig am Rechner mit personenbezogenen Daten arbeiten — also auch Aushilfen und Teilzeitkräfte.

Unabhängig von der Personenzahl besteht die Pflicht außerdem, wenn Sie Verarbeitungen vornehmen, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordern, oder Daten geschäftsmäßig zum Zweck der Übermittlung bzw. für Markt- und Meinungsforschung verarbeiten. Zusätzlich greift die Pflicht nach Art. 37 DSGVO, wenn die Kerntätigkeit in umfangreicher, regelmäßiger und systematischer Überwachung oder in der Verarbeitung besonderer Datenkategorien besteht.

Für die typische Ein-bis-Drei-Personen-Computer-Werkstatt heißt das: Ein benannter Datenschutzbeauftragter ist meist nicht Pflicht. Alle anderen DSGVO-Pflichten — AVV, TOM, Verarbeitungsverzeichnis, Meldepflicht bei Pannen — gelten trotzdem in vollem Umfang. Die DSB-Pflicht entfällt nicht der DSGVO, sie entfällt nur der Person.

Wer die 20-Personen-Schwelle überschreitet oder bei sensiblen Branchenkunden (Praxen, Kanzleien) auf Nummer sicher gehen will, bestellt einen externer Datenschutzbeauftragter. Das ist gerade für kleine Betriebe oft die schlankere Lösung, weil keine eigene Stelle aufgebaut und geschult werden muss.

Praxis-Checkliste: Datenschutz im kleinen IT-Betrieb

• ☐ Für jeden Kunden mit Datenzugriff einen AVV abgeschlossen
• ☐ Verarbeitungsverzeichnis nach Art. 30 DSGVO geführt (auch bei wenigen Tätigkeiten)
• ☐ TOM dokumentiert: Zugriffsschutz, Verschlüsselung, Löschung
• ☐ Mitarbeitende und Aushilfen auf Vertraulichkeit verpflichtet
• ☐ Subunternehmer (Cloud, Hosting) mit eigenem AVV abgesichert
• ☐ Geprüft, ob die 20-Personen-Schwelle nach § 38 BDSG erreicht wird
• ☐ Meldeweg für Datenpannen festgelegt (72-Stunden-Frist nach Art. 33 DSGVO)

FAQ

Brauche ich als Einzelunternehmer überhaupt Datenschutz-Dokumente?
Ja. Die Personenzahl entscheidet nur über die Pflicht zum benannten Datenschutzbeauftragten. AVV, Verarbeitungsverzeichnis und technische Maßnahmen gelten unabhängig von der Betriebsgröße.

Wer haftet, wenn beim Kunden eine Datenpanne über mein Wartungssystem passiert?
Grundsätzlich haften Verantwortlicher und Auftragsverarbeiter jeweils für ihren Pflichtenbereich. Ein sauberer AVV mit dokumentierten TOM grenzt Ihre Verantwortung klar ab und ist im Ernstfall Ihr wichtigster Nachweis.

Reicht der AVV, den mir der Kunde vorlegt?
Oft ja, aber lesen Sie ihn. Wenn dort Maßnahmen stehen, die Sie technisch nicht umsetzen, sollten Sie das vor der Unterschrift klären — sonst verpflichten Sie sich zu etwas, das Sie nicht halten können.

Muss ich einen externen Datenschutzbeauftragten nehmen, wenn ich nicht muss?
Pflicht ist es erst ab 20 Personen oder bei sensiblen Verarbeitungen. Freiwillig kann es sich lohnen, wenn Sie Praxen oder Kanzleien betreuen und deren AVV-Anforderungen verlässlich erfüllen wollen.

Fazit

Datenschutz ist für kleine IT- und Computer-Dienstleister kein Hexenwerk, aber auch kein Thema, das man ignorieren darf. Der Auftragsverarbeitungsvertrag ist die zentrale Pflicht, sobald Sie auf Kundendaten zugreifen — und er schützt vor allem Sie selbst. Solide technische Maßnahmen haben die meisten ohnehin im Griff, sie müssen nur dokumentiert werden. Den benannten Datenschutzbeauftragten brauchen Sie erst ab der gesetzlichen Schwelle. Wer früh sauber aufstellt, gewinnt bei sensiblen Branchenkunden einen klaren Vertrauensvorsprung.