Steuer & Recht

DSGVO im Autohandel: Was müssen Sie bei Kundendaten beachten?

Warum die DSGVO auch kleine Händler betrifft

Viele freie Autohändler denken: "Ich bin ein kleines Unternehmen, die DSGVO gilt nicht für mich." Das ist falsch. Die Datenschutz-Grundverordnung (DSGVO) seit 2018 gilt für ALLE Unternehmen in der EU, die personenbezogene Daten verarbeiten – egal wie groß.

"Personenbezogene Daten" sind alle Informationen, die eine Person identifizieren oder identifizierbar machen: Name, Telefonnummer, E-Mail, IP-Adresse, sogar ein Foto. Als Autohändler speichern Sie genau das – bei Kunden, Käufern, Interessenten.

Die gute Nachricht: Sie brauchen keinen teuren Rechtsanwalt. Mit etwas Grundverständnis und einfachen Maßnahmen sind Sie DSGVO-konform. Die schlechte Nachricht: Wer nachlässig ist, riskiert Bußgelder bis zu 20 Millionen Euro (oder 4 % des Jahresumsatzes).

Welche Daten Sie als Händler verarbeiten

Um die DSGVO zu erfüllen, müssen Sie erst einmal wissen, welche Daten Sie sammeln. Das sind typischerweise:

1. Kundendaten (Käufer/Interessenten): Name, Telefonnummer, E-Mail, Adresse, evtl. Finanzierungsinformationen. Diese Daten speichern Sie in E-Mails, Ihrem CRM, Notizen.

2. Fahrzeugdaten: Kennzeichen, VIN (Fahrgestellnummer), Besitzhistorie, Kilometerstand, Inspektionsberichte. Auch das sind teilweise personenbezogene Daten, weil sie ein Fahrzeug identifizieren, das Rückschlüsse auf Besitzer zulässt.

3. Fotos: Besitzen Sie Kundenfotos oder Videos von Fahrzeugen, bei denen Menschen zu sehen sind (z.B. bei Test drives), sind das Fotos von Personen – also personenbezogene Daten.

4. Server-Daten: IP-Adressen von Besuchern Ihrer Website, Cookies, Login-Daten – alles ist erfasst, auch wenn Sie es nicht aktiv sammeln.

5. Zahlungsdaten: Wenn Sie Überweisungen empfangen oder Kreditkartendaten speichern – das sind hochsensible Daten.

Die wichtigsten DSGVO-Pflichten für Autohändler

Es gibt 5 Kern-Pflichten, die Sie erfüllen müssen:

1. Datenschutzerklärung: Sie brauchen eine öffentliche Datenschutzerklärung auf Ihrer Website. Sie muss erklären, welche Daten Sie speichern, warum, wie lange und an wen Sie sie weitergeben. Diese Erklärung muss verständlich und vollständig sein. "Wir speichern Ihre Daten" reicht nicht.

2. Einwilligung einholen: Für jeden neuen Datenzweck brauchen Sie Einwilligung. Das bekannteste Beispiel: Newsletter. Sie können nicht einfach E-Mails schreiben ohne vorher zu fragen. Es muss "Opt-in" sein, nicht "Opt-out".

3. Verarbeitungsverzeichnis führen: Sie müssen dokumentieren, welche Daten Sie verarbeiten, wer Zugriff hat und warum. Das ist oft schwach, bei freien Händlern: Eine einfache Excel-Liste reicht.

4. Datensicherheit: Ihre Daten müssen geschützt sein. Das bedeutet: Passwörter (nicht 123456), verschlüsselte Verbindungen (HTTPS), automatische Backups, Zugriffsbeschränkungen (nur Sie und Ihr Mitarbeiter sehen Kundendaten, nicht alle).

5. Datenlöschung: Sie dürfen Daten nicht für immer speichern. Kundeninfos aus einem Verkauf vor 5 Jahren? Löschen! Eine praktische Regel: 3 Jahre Aufbewahrung (gesetzlich für Geschäftsunterlagen), dann Löschung. Fotos von interessenten, die nicht gekauft haben? Sofort löschen.

Einwilligung, Verträge und berechtigtes Interesse – die Rechtsgrundlagen

Die DSGVO verlangt für jede Datenverarbeitung eine "Rechtsgrundlage". Sie können nicht einfach Daten speichern. Sie brauchen einen gültigen Grund. Es gibt mehrere:

Art. 6 (1) b) DSGVO – Vertragserfüllung: Sie dürfen Daten speichern, um einen Kaufvertrag zu erfüllen. Das ist der Standardfall im Autohandel. Käufer Name, Adresse, Bankdaten – alles für den Kauf nötig, also legal.

Art. 6 (1) a) DSGVO – Einwilligung: Sie brauchen ausdrückliche, dokumentierte Zustimmung des Kunden. "Darf ich Ihnen E-Mails schicken?" – Der Kunde muss JA sagen, nicht implizit JA sein.

Art. 6 (1) f) DSGVO – Berechtigtes Interesse: Das ist grau. Sie dürfen Daten speichern, wenn Sie ein "berechtigtes Geschäftsinteresse" haben – aber der Datenschutz des Kunden nicht überwiegt. Beispiel: Gewährleistungsansprüche (3 Jahre) aufbewahren – legal. Aber einen Kunden für immer auf Ihrer Liste behalten, um ihm irgendwann wieder ein Auto zu verkaufen – grenzwertig.

Datenschutzerklärung und Verarbeitungsverzeichnis

Datenschutzerklärung: Das ist das Gesicht Ihrer DSGVO-Compliance. Sie sollte auf Ihrer Website sein und folgende Punkte abdecken:

• Wer ist für die Daten verantwortlich? (Ihr Name, Adresse)
• Welche Daten sammeln Sie? (Kontakt, Fahrzeug, Fotos, IP, Cookies)
• Warum? (Kaufvertrag, Newsletter, Website-Analytics)
• Wie lange speichern Sie? (3 Jahre Geschäftsunterlagen, 30 Tage Cookies, 14 Tage Anfragen)
• An wen geben Sie Daten weiter? (PayPal, TÜV-Partnerschaft, Google Analytics – ja, auch die!)
• Welche Rechte hat der Kunde? (Einsicht, Löschung, Beschwerde)

Kostenlose Templates gibt es vom deutschen Industrie- und Handelskammertag (DIHK) oder datenschutz.org.

Verarbeitungsverzeichnis: Das ist Ihre interne Dokumentation. Sie muss zeigen, was Sie mit Daten machen. Eine einfache Tabelle mit Spalten:

• Datenart (z.B. "Kundendaten aus Anfragen")
• Grund (z.B. "Kundenbeziehung pflegen")
• Speicherdauer (z.B. "3 Jahre")
• Wer hat Zugriff (z.B. "nur Geschäftsführer")
• Sicherheitsmaßnahmen (z.B. "Passwort-Schutz")

Dieses Verzeichnis muss dokumentiert sein – für Ihre Aufsichtsbehörde bei einer Kontrolle.

Häufige DSGVO-Fehler im Autohandel

1. Keine Datenschutzerklärung auf der Website: Sie verkaufen online? Sie brauchen eine Datenschutzerklärung. Punkt. Viele Händler haben eine generische Text-Seite, die nichts besagt. Das zählt nicht.

2. E-Mail-Marketing ohne Einwilligung: Der häufigste Fehler. Sie sammeln die E-Mail eines Interessenten und schreiben ihm 6 Monate später "Schau mal, wir haben neue Autos." Ohne vorherige Zustimmung ist das illegal – und kann zu Abmahnungen führen.

3. Kundenfotos nicht löschen: Sie machen beim Test Drive Fotos mit dem Kunden neben dem Auto. 2 Jahre später – noch auf Ihrem Handy. Das ist illegal, wenn der Kunde nicht zugestimmt hat. Löschen!

4. Google Analytics ohne Zustimmung: Viele Websites tracken Besucher mit Google Analytics. Das ist DSGVO-relevant, weil IP-Adressen weitergeleitet werden. Sie brauchen einen Cookie-Banner und Zustimmung.

5. Zu lange Speicherung: Anfragen von vor 10 Jahren noch in der Excel? Speicher nur so lange wie nötig. Nach 3 Jahren löschen ist eine gute Regel.

Fazit: DSGVO ist machbar – wenn man es richtig angeht

DSGVO ist nicht böse gemeint – sie schützt Ihre Kunden. Wer die Regeln befolgt, hat am Ende weniger Kopfschmerzen, nicht mehr.

Die Realität im Autohandel 2026:

• Eine gute Datenschutzerklärung kostet Sie 0 Euro (Vorlagen online)
• Ein Verarbeitungsverzeichnis braucht 2 Stunden, dann ist es erledigt
• Alte Daten regelmäßig löschen spart Ihnen auch Speicherplatz
• Kunden, die wissen, dass ihre Daten geschützt sind, vertrauen Ihnen mehr

Wer DSGVO ernst nimmt, macht automatisch alles andere richtig. Es ist eine Investition in Seriosität und Vertrauen – und die zahlt sich aus.