DSGVO-Compliance-Check für Tierberufe

Pflicht für jeden, der personenbezogene Daten verarbeitet – auch als Solo-Selbständige:r. Bei Prüfungen das Erste, was die Behörde sehen will.

Liste alle Datenflüsse: Kontaktformular → E-Mail-Provider → CRM. Pro Verarbeitung: Zweck, Rechtsgrundlage, Speicherdauer, Empfänger. Vorlage gibt's bei WKO (AT), BfDI (DE), EDÖB (CH).

Jede Datenverarbeitung braucht eine von 6 Rechtsgrundlagen (Art. 6 DSGVO). Ohne saubere Zuordnung = Bußgeld-Risiko.

Kunde-Vertrag → Art. 6(1)(b). Newsletter → Einwilligung Art. 6(1)(a). Steuerunterlagen → rechtliche Pflicht Art. 6(1)(c). Schreib es ins Verarbeitungsverzeichnis.

Du darfst Daten nicht ewig speichern. Steuerunterlagen: 7 Jahre (AT/DE) bzw. 10 Jahre (CH). Marketingdaten: nur solange Einwilligung gilt.

Einfacher Plan: Welche Daten? Wie lange? Wann gelöscht (automatisch/manuell)? Im CRM Erinnerung setzen oder jährliches Cleanup im Kalender.

Wenn Brevo, Mailchimp, Google Workspace, Calendly etc. deine Kundendaten verarbeiten, brauchst du einen Auftragsverarbeitungsvertrag (AVV).

Bei jedem Dienst: Account-Settings → Privacy/DPA. Meist ein-Klick-Download als PDF. Sammle alle in einem Ordner 'AV-Verträge'.

Pflicht in AT (§5 ECG, §25 MedienG), DE (§5 DDG ehem. TMG) und CH (Art. 322 OR/UWG). Ohne Impressum: Abmahn-Risiko ab Tag 1.

Name, Anschrift, E-Mail, Telefon, UID/USt-IdNr, Berufsbezeichnung, ggf. Aufsichtsbehörde, Streitschlichtungslink (EU). Generator z. B. von WKO oder e-recht24.

Pflicht nach Art. 13/14 DSGVO. Muss alle Tools nennen, die Daten verarbeiten (Hosting, Analytics, Fonts, Maps, Social Plugins).

Listet jedes Tool einzeln. Mindestens 1× pro Jahr aktualisieren. Bei neuem Tool sofort ergänzen. Generatoren: e-recht24, datenschutz-generator.de, WKO.

Tracking-Cookies (Analytics, Pixel, Maps) brauchen aktive Einwilligung BEVOR sie laden. 'Weiter surfen = Zustimmung' ist illegal.

Tools: Cookiebot, Borlabs, Usercentrics, Klaro!. Buttons gleich groß: 'Alle akzeptieren' = 'Alle ablehnen'. Keine voraktivierten Häkchen.

Pflicht sobald du irgendein Formular hast. Ohne HTTPS: Browser-Warnung + DSGVO-Verstoß (Art. 32 – Datensicherheit).

Bei jedem Hoster heute kostenlos via Let's Encrypt. WordPress: 'Really Simple SSL'-Plugin. Domain auf https:// erzwingen (301-Redirect).

Externe Google Fonts senden Besucher-IPs an Google in die USA. AT/DE-Gerichte werten das als DSGVO-Verstoß (siehe LG München I 2022).

Fonts herunterladen (google-webfonts-helper.herokuapp.com), lokal hosten, @font-face einbinden. Oder System-Fonts nutzen.

Google Analytics ohne Einwilligung = Bußgeld-Risiko. IP-Anonymisierung, Server-EU, AVV und Opt-in sind Pflicht.

Alternative: Plausible, Matomo (selbst gehostet), Pirsch – cookielos & DSGVO-freundlich. Sonst GA4 nur nach Cookie-Consent laden.

Schützt dich vor Streit über Leistungsumfang, Stornoregeln und Haftung. Gericht akzeptiert nur, was schriftlich fixiert ist.

Mind.: Leistung, Preis, Dauer, Stornofristen, Haftungsausschluss (Tier ist keine Sache nach §285a ABGB/§90a BGB). Vor Erstkontakt unterschreiben lassen.

AGB gelten nur, wenn der Kunde sie kennen konnte UND zugestimmt hat. Sonst gelten allein gesetzliche Regeln (oft schlechter für dich).

AGB auf Website verlinken + im Vertrag Klausel: 'Es gelten die AGB unter URL, die der Kunde zur Kenntnis genommen hat.' Aktiv ankreuzen lassen.

Tierdaten + Halterinfos sind personenbezogen. WhatsApp-Chats, lose Zettel oder ungeschützter Cloud-Ordner = Verstoß gegen Art. 32 DSGVO.

Verschlüsselter CRM-Account mit 2FA. Bei lokalen Dateien: Festplattenverschlüsselung (BitLocker, FileVault). Kein Sharing über private WhatsApp.

Kunden dürfen jederzeit Auskunft (Art. 15) oder Löschung (Art. 17) verlangen. Du musst innerhalb von 1 Monat antworten.

Standard-E-Mail vorbereiten: 'Auskunft erhältst du unter dsgvo@deine-domain.at. Antwort binnen 30 Tagen.' Im CRM Volltextsuche nach E-Mail/Name testen.

Bei Datenleck musst du binnen 72h die Aufsichtsbehörde informieren (Art. 33 DSGVO). Verspätung = Bußgeld zusätzlich zum Schaden.

Notiere: Welche Behörde? AT: dsb.gv.at, DE: BfDI/Landesbehörde, CH: edoeb.admin.ch. Notfall-Checkliste in Schreibtisch-Schublade.

Ohne nachweisbare Einwilligung = Spam = bis zu 50.000 € Strafe (TKG AT/DE). Single-Opt-In oder vorab eingetragene Adressen sind illegal.

Tool wie Brevo/Mailchimp: DOI-Funktion aktivieren. Bestätigungslink + Speicherung von Datum/IP. Abmelde-Link in JEDER Mail.

WhatsApp Business ist erlaubt. ABER: Du brauchst AV-Vertrag mit Meta + Hinweis in Datenschutzerklärung + Einwilligung der Kunden.

WhatsApp Business API über zertifizierten Provider (z. B. 360dialog, MessageBird). Privates WhatsApp NIE für Kundendaten.

Auch Instagram-, Facebook-, TikTok-Geschäftsprofile brauchen Impressum oder Link dorthin. Kontrolliert wird zunehmend.

Im Bio: 'Impressum: deine-domain.at/impressum'. Bei Facebook: Info-Sektion. Linktree akzeptiert ist umstritten – sicherer ist Direktlink.

Gefakte Bewertungen, Heilversprechen oder vergleichende Werbung können teuer werden (UWG: Abmahnung + Schadensersatz).

Nur echte Kundenstimmen mit Einwilligung. Keine Heilversprechen ('heilt Arthrose'), sondern Erfahrungsberichte. Vergleichswerbung: nur sachlich belegt.

Tier-Fotos sind meist OK. Aber: Halter erkennbar + Stimme + Trainingsplatz + Wohnung = personenbezogene Daten = Einwilligung nötig.

Standard-Formular: Welche Bilder? Wo veröffentlicht (Website, Insta, Werbung)? Widerruf jederzeit möglich. Vor Foto-Termin unterschreiben.

Bei Kindern unter 16 (DACH) reicht die Einwilligung der Eltern. Verstoß = besonders hohes Bußgeld-Risiko.

Beide Erziehungsberechtigten unterschreiben lassen. Bei Familienfeiern/Workshops Foto-Hinweis am Eingang aushängen ('Es werden Fotos gemacht – sprichst du uns an').

Google-Bilder einfach übernehmen = Urheberrechtsverletzung = Abmahnung (300–2.000 € pro Bild). Auch Musik in Reels braucht Lizenz.

Quellen: Pexels, Unsplash (CC0), oder bezahlt Adobe Stock, Shutterstock. Lizenz speichern. Musik: Insta/TikTok-eigene Library nutzen.

Seit Schrems II ist Datentransfer in die USA nur mit zusätzlichen Garantien (SCC + TIA) erlaubt. Reines 'Privacy Shield' ist tot.

Im AVV der US-Tools (Google, Meta, Stripe etc.): SCC-Modul muss enthalten sein. Bei kritischen Daten: EU-Alternativen prüfen (Brevo statt Mailchimp).

'Hund123' für 5 Tools = ein Leak und alle Konten offen. Pflicht zur 'angemessenen Sicherheit' nach Art. 32 DSGVO.

Bitwarden (gratis), 1Password, Dashlane. Master-Passwort + 2FA. Für jedes Tool generiertes Zufallspasswort.

Datenverlust = du kannst keine Auskunft mehr geben + Kunden sind weg. Cyber-Versicherer fordern Backup-Konzept.

3 Kopien, 2 Medien, 1 extern. Cloud-Backup (verschlüsselt) + externe Festplatte. Monatlich Restore testen.

Bei Datenleck: Anwalt, Forensik, Behördenkommunikation, Schadensersatz – schnell 5-stellig. Berufshaftpflicht deckt das meist nicht ab.

Module: Eigenschaden, Drittschaden, Cyber-Erpressung, Krisen-PR. Anbieter: HDI, Allianz, Hiscox. Ab ~25 €/Monat für Solo-Selbständige.

Mitarbeiter sehen Kundendaten, Tier-Krankenakten, Bezahldaten. Ohne NDA haftest du für deren Plaudereien.

Standard-NDA + DSGVO-Verpflichtungserklärung (Art. 29 DSGVO). 1 Seite, vor Arbeitsantritt unterschreiben. Vorlage bei WKO/IHK.

Du musst nachweisen, dass dein Team weiß, wie es mit Kundendaten umgeht. Eine Stichprobe reicht der Behörde nicht.

30 Min. Erstschulung + jährliches Refresh. Themen: Passwörter, USB-Verbot, Klartext-E-Mails, Datenpannen melden. Anwesenheit unterschreiben lassen.

Österreich hat zusätzlich zum DSGVO ein eigenes DSG mit Spezialregeln (z. B. Bildaufnahmen §12 DSG, Strafrecht §63 DSG).

Bei Praxis-Kameras: Aushang + Einwilligungs-Mechanismus. Aufsichtsbehörde: Datenschutzbehörde Wien (dsb.gv.at).

Deutschland ergänzt DSGVO durch BDSG. Wichtig: §38 BDSG – Datenschutzbeauftragter bei 20+ Personen, die regelmäßig Daten verarbeiten.

Solo-Selbständige meist nicht betroffen. Aufsichtsbehörden je Bundesland (z. B. LDA Bayern, BlnBDI Berlin). TTDSG für Cookies seit 2021.

Schweiz hat eigenes Datenschutzrecht – ähnlich, aber nicht identisch zur DSGVO. Gilt für jeden mit Schweizer Kunden.

Bearbeitungsverzeichnis statt Verarbeitungsverzeichnis. Datenschutzerklärung CH-spezifisch. Aufsicht: EDÖB (edoeb.admin.ch).