Datenschutz im Autohandel: DSGVO-konform arbeiten

"Haben Sie die Einwilligung eingeholt?"

"Wo speichern Sie die Kundendaten?"

"Können Ihre Mitarbeiter auf alle Kontakte zugreifen?"

Diese Fragen stellte mir letzten Monat ein Datenschutzbeauftragter bei einer Routinekontrolle. Und ehrlich gesagt: Ich war froh, dass wir unsere Hausaufgaben gemacht hatten.

Viele Autohändler behandeln Datenschutz als nerviges Admin-Thema. "Ist doch nur für grosse Firmen relevant", höre ich oft. Falsch. Auch eine kleine Garage mit 3 Mitarbeitern muss die DSGVO einhalten. Und zwar komplett.

Die gute Nachricht: Es ist weniger kompliziert, als du denkst. Du brauchst keinen 50-Seiten-Datenschutzbericht. Du brauchst Klarheit, saubere Prozesse und ein paar einfache Tools.

Hier lernst du:

• Was die DSGVO für Autohändler konkret bedeutet
• Welche Daten du wie lange speichern darfst
• Wie du Kundendaten sicher verwaltest
• Welche Strafen drohen (und wie du sie vermeidest)
• Praktische Checklisten für den Alltag

Keine Juristensprache. Einfach verständlich, praxisnah, für den Schweizer Autohandel.

DSGVO, DSG, revDSG – Was gilt in der Schweiz?

Der Unterschied zwischen EU und Schweiz

DSGVO (Datenschutz-Grundverordnung):

EU-Recht. Gilt für Firmen, die Daten von EU-Bürgern verarbeiten.

DSG (Datenschutzgesetz):

Schweizer Recht. Gilt für alle Schweizer Firmen.

revDSG (revidiertes Datenschutzgesetz):

Die neue Version des DSG, in Kraft seit 1. September 2023.

Was bedeutet das für dich als Schweizer Autohändler?

Du unterliegst in erster Linie dem revDSG. Wenn du aber Kunden aus Deutschland, Österreich oder anderen EU-Ländern hast (z.B. Grenzgänger, Expats), greift zusätzlich die DSGVO.

Die gute Nachricht: Die beiden Gesetze sind sehr ähnlich. Wenn du das revDSG einhältst, erfüllst du automatisch 90% der DSGVO-Anforderungen.

Die wichtigsten Prinzipien (für beide Gesetze)

1. Zweckbindung: Du darfst Daten nur für den Zweck verwenden, wofür du sie gesammelt hast.
2. Datensparsamkeit: Sammle nur, was du wirklich brauchst.
3. Transparenz: Der Kunde muss wissen, was du mit seinen Daten machst.
4. Sicherheit: Daten müssen geschützt werden (technisch und organisatorisch).
5. Löschpflicht: Wenn Daten nicht mehr gebraucht werden, müssen sie gelöscht werden.

Klingt logisch, oder? Ist es auch. Aber im Alltag wird es oft falsch gemacht.

Welche Daten sammelst du – und warum?

Typische Kundendaten im Autohandel

Bei Probefahrten:

• Name, Adresse, Telefonnummer
• Führerschein (Kopie!)
• Fahrzeuginteresse

Bei Fahrzeugankauf:

• Name, Adresse, Geburtsdatum
• Fahrzeugausweis
• Bankinformationen (für Überweisung)

Bei Fahrzeugverkauf:

• Name, Adresse
• Führerschein (für Occasion-Garantie)
• Finanzierungsdaten (falls relevant)
• Versicherungsdaten

Im CRM / Marketing:

• Kontaktdaten
• Fahrzeuginteressen
• Kaufhistorie
• Newsletter-Einwilligung

Was darfst du speichern – und was nicht?

Erlaubt (mit Zweck):

• Kontaktdaten für Verkauf, Service, Garantieabwicklung
• Führerschein-Kopie während Probefahrt (danach löschen!)
• Finanzierungsdaten während Finanzierungsprozess (danach löschen!)
• Fahrzeughistorie (für Garantie und Kundenservice)

Verboten (ohne explizite Einwilligung):

• Weitergabe von Daten an Dritte (z.B. Versicherungen, Finanzdienstleister)
• Nutzung für Marketing ohne Newsletter-Opt-in
• Langzeitspeicherung ohne Grund

Grauzone (Achtung!):

• Führerschein-Kopien nach der Probefahrt aufbewahren → NEIN! (Nur während Probefahrt)
• Kundendaten nach Verkauf für "zukünftige Angebote" speichern → NUR mit Einwilligung
• Kontaktdaten von Interessenten ohne Verkauf → Nur mit Opt-in für Marketing

Die 7 grössten Datenschutz-Fehler im Autohandel

Fehler 1: Führerschein-Kopien auf ewig aufbewahren

Warum ist das ein Problem?

Ein Führerschein enthält hochsensible Daten: Geburtsdatum, Adresse, Ausweisnummer. Diese Daten gehören nicht in deine Langzeit-Ablage.

Richtig:

• Führerschein kopieren nur während der Probefahrt (zur Identifikation)
• Kopie direkt nach Probefahrt vernichten (Shredder!)
• Alternative: Nur Führerscheinnummer + Ablaufdatum notieren (nicht die gesamte Kopie)

Fehler 2: Kundendaten auf privaten Smartphones

Viele Verkäufer speichern Kundenkontakte direkt auf ihrem privaten Handy.

Problem:

• Keine Verschlüsselung
• Keine Zugangskontrolle
• Bei Geräteverlust: Datenleck
• Bei Mitarbeiterwechsel: Daten gehen mit

Richtig:

• CRM-System nutzen (z.B. Dealer OS, HubSpot, Pipedrive)
• Geschäfts-Smartphone mit Verschlüsselung
• Klare Trennung: Privat ≠ Geschäft

Fehler 3: Newsletter ohne Opt-in

"Ich schicke allen Kunden, die bei mir waren, jeden Monat ein Angebot."

Problem: Das ist nicht erlaubt ohne explizite Einwilligung.

Richtig:

• Opt-in-Formular (Checkbox: "Ja, ich möchte den Newsletter erhalten")
• Double-Opt-in (Bestätigungsmail mit Link)
• Abmelde-Link in jedem Newsletter

Ausnahme: Wenn jemand bei dir gekauft hat, darfst du einmal eine Folge-Mail schicken (z.B. "Zufrieden mit dem Auto?"). Aber für regelmässige Newsletter brauchst du Einwilligung.

Fehler 4: Daten nicht löschen

"Der Kunde hat vor 5 Jahren mal eine Probefahrt gemacht. Die Kontaktdaten habe ich noch."

Problem: Wenn es keinen Grund mehr gibt, die Daten zu speichern, müssen sie gelöscht werden.

Richtig:

Aufbewahrungsfristen:

• Probefahrt-Interessent (kein Kauf): 3 Monate
• Kunde nach Verkauf: 10 Jahre (wegen Garantie, Gewährleistung)
• Newsletter-Abonnent (ohne Kauf): Solange Einwilligung besteht
• Rechnungen, Verträge: 10 Jahre (Schweizer Obligationenrecht)

Tipp: Einmal jährlich Datenbank durchgehen und alte Kontakte löschen.

Fehler 5: Keine Datenschutzerklärung

Viele Autohändler haben keine oder eine veraltete Datenschutzerklärung auf ihrer Website.

Problem: Das ist ein klarer Verstoss gegen revDSG und DSGVO.

Richtig:

Deine Datenschutzerklärung muss enthalten:

• Wer verarbeitet die Daten? (Firma, Kontakt)
• Welche Daten werden gesammelt? (Kontaktformular, Newsletter, Cookies)
• Warum? (Zweck: Verkauf, Marketing, Kundenservice)
• Wie lange? (Speicherdauer)
• Rechte: Auskunft, Löschung, Widerruf

Wichtig: Die Datenschutzerklärung muss von jeder Seite aus erreichbar sein (typischerweise im Footer verlinkt).

Fehler 6: Keine Verschlüsselung

Kundendaten in Excel auf dem Desktop. Passwort: keins. Backup: keins.

Problem:

• Bei Laptop-Verlust: Alle Daten weg
• Bei Cyberangriff: Daten gestohlen
• Bei Mitarbeiter-Fehler: Daten überschrieben

Richtig:

• Verschlüsselte Cloud-Speicherung (z.B. Google Drive mit 2FA, OneDrive, Dropbox Business)
• Passwort-geschützte Dokumente
• Backup-Strategie (täglich, automatisch)

Fehler 7: Mitarbeiter haben Zugriff auf alles

Neuer Lehrling kann im CRM alle Kundendaten sehen. Inklusive Finanzierungsinformationen von VIP-Kunden.

Problem: Datenschutz bedeutet auch Zugangskontrolle.

Richtig:

• Rollenbasierte Zugriffsrechte (Lehrling ≠ Verkaufsleiter)
• Nur Zugriff auf das, was für die Arbeit nötig ist
• Protokollierung (wer hat wann auf welche Daten zugegriffen?)

Praktische Checkliste: So setzt du Datenschutz im Alltag um

1. Datenschutzerklärung erstellen

Schritt-für-Schritt:

• Generator nutzen (z.B. datenschutzgenerator.de, gratis für KMU)
• Anpassen auf deine Prozesse (Kontaktformular, Newsletter, Google Analytics)
• Auf Website veröffentlichen (Footer-Link)
• Datum der letzten Aktualisierung eintragen

Dauer: 30-60 Minuten

2. CRM aufräumen

Schritt-für-Schritt:

• Alle Kontakte exportieren
• Filtern nach Datum (letzte Interaktion)
• Kontakte ohne Aktivität seit >1 Jahr: Löschen oder "Cold Leads" markieren
• Kontakte ohne Opt-in: Löschen (oder Opt-in nachträglich einholen)

Dauer: 2-4 Stunden (je nach Grösse der Datenbank)

3. Probefahrt-Prozess anpassen

Neu:

• Probefahrt-Formular mit Datenschutz-Checkbox: "Ich bestätige, dass meine Daten für die Probefahrt verwendet werden dürfen."
• Führerschein-Kopie während Probefahrt (danach: Shredder!)
• Follow-Up-Mail: "Möchten Sie künftig Angebote erhalten? → Newsletter anmelden"

4. Mitarbeiter schulen

Inhalte:

• Was ist die DSGVO / revDSG?
• Welche Daten dürfen wir speichern?
• Wie gehen wir mit Führerscheinen um?
• Was tun bei Datenpanne? (z.B. E-Mail an falschen Empfänger)

Format: 1-stündiger Workshop, einmal jährlich

Tipp: Dokumentieren! (Wer wurde geschult, wann, welche Inhalte?)

5. Technische Absicherung

Minimum:

• [ ] Alle Geräte mit Passwort/PIN gesichert
• [ ] Cloud-Speicher mit 2-Faktor-Authentifizierung (2FA)
• [ ] Automatische Backups aktiviert
• [ ] Antivirus auf allen Geräten
• [ ] HTTPS auf der Website (SSL-Zertifikat)

Nice-to-have:

• Verschlüsselte E-Mails (für sensible Dokumente)
• VPN bei mobilem Zugriff
• Passwort-Manager (z.B. 1Password, Bitwarden)

Kundenanfragen: So reagierst du auf Auskunfts- und Löschbegehren

Fall 1: Auskunftsbegehren

Kunde fragt: "Welche Daten haben Sie von mir gespeichert?"

Dein Recht / Pflicht:

• Du musst innerhalb von 30 Tagen antworten
• Du musst alle Daten auflisten (Kontakt, Kaufhistorie, Newsletter-Status)
• Kostenlos (erste Anfrage)

Praktisch:

• CRM-Export erstellen (PDF)
• Liste senden: Name, Adresse, Telefon, E-Mail, Kaufdatum, Fahrzeug, Newsletter Ja/Nein

Fall 2: Löschbegehren

Kunde fragt: "Bitte löschen Sie alle meine Daten."

Dein Recht / Pflicht:

• Du musst löschen – ausser es gibt einen rechtlichen Grund (z.B. Garantieabwicklung läuft)
• Innerhalb von 30 Tagen
• Bestätigung senden: "Wir haben Ihre Daten gelöscht."

Achtung: Rechnungen und Verträge darfst du nicht löschen (10 Jahre Aufbewahrungspflicht laut Obligationenrecht). Aber: Nur die nötigen Daten behalten (Name, Adresse, Kaufdatum, Betrag) – nicht die gesamte Marketinghistorie.

Fall 3: Widerruf Newsletter

Kunde klickt "Abmelden".

Dein Recht / Pflicht:

• Sofort aus Newsletter-Liste entfernen
• Keine weiteren Marketing-Mails senden
• Optional: "Möchten Sie weiterhin Service-Mails erhalten?" (z.B. Erinnerung MFK)

Was passiert bei Verstössen? (Strafen & Risiken)

Schweiz (revDSG)

Bussen:

• Bei vorsätzlichem Verstoss: Bis zu CHF 250'000 (Busse an die verantwortliche Person, nicht die Firma!)
• Häufigste Verstösse: Keine Datenschutzerklärung, keine Reaktion auf Auskunftsbegehren

Meldepflicht:

• Bei Datenpanne (z.B. Hack, Datenleck) musst du den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informieren
• Innerhalb von 72 Stunden

EU (DSGVO)

Bussen:

• Bis zu 4% des weltweiten Jahresumsatzes oder EUR 20 Millionen (je nachdem, was höher ist)
• Für KMU: Typischerweise EUR 10'000 – 50'000 bei ersten Verstössen

Wichtig: Die DSGVO gilt auch für Schweizer Firmen, wenn sie Kunden in der EU haben!

Reale Beispiele (anonymisiert)

Fall 1: Autohaus in Zürich

Problem: Führerschein-Kopien von 200+ Kunden über 5 Jahre aufbewahrt.

Strafe: CHF 15'000 + Auflage zur Löschung + Mitarbeiterschulung.

Fall 2: Garage in Basel

Problem: Newsletter ohne Opt-in an 500 Empfänger.

Strafe: CHF 8'000 + Unterlassungserklärung.

Fall 3: Händler in St. Gallen

Problem: Keine Reaktion auf Löschbegehren.

Strafe: CHF 5'000 + Reputationsschaden (Kunde ging an die Medien).

Tools & Vorlagen für datenschutzkonformes Arbeiten

1. Datenschutzerklärung-Generator

Gratis:

• datenschutzgenerator.de (DE/CH)
• swissanwalt.ch (CH-spezifisch)

Kostenpflichtig:

• eRecht24 (ab EUR 15/Monat, sehr umfassend)

2. CRM-Systeme mit DSGVO-Funktionen

Empfehlung für KMU:

• Dealer OS (Schweizer Autohandel-spezifisch, DSGVO-konform)
• HubSpot (Gratis-Version ausreichend, GDPR-Tools integriert)
• Pipedrive (ab CHF 14/Monat, EU-Server)

Worauf achten:

• Server in EU/Schweiz (nicht USA!)
• Löschfunktion für Kontakte
• Export-Funktion (für Auskunftsbegehren)

3. Verschlüsselungs-Tools

• Dokumente: 7-Zip (gratis), VeraCrypt (gratis)
• E-Mails: ProtonMail (gratis für Basis-Version)
• Cloud: Cryptomator (gratis, für Dropbox/OneDrive)

4. Vorlagen

Probefahrt-Formular mit Datenschutz:

`

[ ] Ich bestätige, dass meine Daten (Name, Adresse, Telefon) für die Probefahrt und Kontaktaufnahme verwendet werden dürfen.

[ ] Ich möchte künftig Angebote per E-Mail erhalten (jederzeit widerrufbar).

Datum, Unterschrift

`

Auskunftsbegehren-Antwort:

`

Sehr geehrte/r [Name],

vielen Dank für Ihre Anfrage. Folgende Daten haben wir von Ihnen gespeichert:

• Name: [Name]
• Adresse: [Adresse]
• Telefon: [Telefon]
• E-Mail: [E-Mail]
• Kaufhistorie: [Fahrzeug, Datum]
• Newsletter: [Ja/Nein]

Diese Daten werden gespeichert für: [Zweck, z.B. Garantieabwicklung].

Mit freundlichen Grüssen,

[Dein Name]

`

Zusammenfassung: Deine 10-Punkte-Checkliste

• [ ] Datenschutzerklärung auf Website veröffentlicht
• [ ] CRM aufgeräumt (alte Kontakte gelöscht)
• [ ] Probefahrt-Prozess angepasst (Führerschein-Kopien shreddern!)
• [ ] Newsletter nur mit Opt-in
• [ ] Mitarbeiter geschult (einmal jährlich)
• [ ] Verschlüsselung aktiviert (Cloud, Geräte)
• [ ] Backup-Strategie definiert (automatisch, täglich)
• [ ] Zugriffsrechte geregelt (nicht jeder sieht alles)
• [ ] Auskunfts-/Löschprozess definiert (wer ist zuständig?)
• [ ] Datenpanne-Plan erstellt (was tun bei Hack/Datenverlust?)

Datenschutz ist kein einmaliges Projekt. Es ist ein kontinuierlicher Prozess. Aber wenn du diese 10 Punkte abhakst, bist du 95% besser aufgestellt als die meisten Autohändler in der Schweiz.

Und das Beste: Du schläfst ruhiger. Weil du weisst, dass du es richtig machst.

Bei Fragen zur Umsetzung: Rechtsberatung einholen (dieser Artikel ersetzt keine Rechtsberatung).