Tierbetreuungssoftware: DSGVO-Pflichten und die Rolle des IVH

Das Wichtigste auf einen Blick

Diese DSGVO-Pflichten muss die Software tragen

Tierpension, Hundetagesstätte und Zoofachgeschäft verarbeiten personenbezogene Daten, sobald Kundenakten digital geführt werden. Auf die Betriebsgröße kommt es dabei nicht an, entscheidend ist die Art der Daten. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) fasst die Grundlagen im Basiswissen zum Datenschutz zusammen.

Aus diesen Grundsätzen folgen harte Anforderungen an jede Anwendung:

Verantwortlicher bleibt immer der Betrieb. Eine Software kann Pflichten erleichtern, aber nicht übernehmen.

Ein typischer Fehler ist das Sammeln auf Vorrat. Ausweiskopien, Geburtsdaten oder Angaben zur Zahlungsmoral ohne Anlass verstoßen gegen die Datenminimierung.

Ebenso kritisch ist die Speicherbegrenzung. Nach dem Ende der Betreuung müssen die Daten zeitnah verschwinden, sofern keine Aufbewahrungspflicht entgegensteht.

Rechnungen unterliegen den steuerlichen Fristen und dürfen nicht sofort gelöscht werden. Eine gute Software kennt diesen Unterschied und dokumentiert, wann welche Daten entfernt wurden.

Ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO gehört zur Grundausstattung. Es zeigt Zwecke, Datenkategorien und Empfänger und hilft bei einer Prüfung durch die Aufsicht.

Für Betreiber ist meist nicht der BfDI zuständig, sondern die Landesbeauftragte oder der Landesbeauftragte für den Datenschutz. Die Pflichten bleiben gleich, nur die Ansprechstelle unterscheidet sich je nach Bundesland.

Terminverwaltung, Kundendaten und Tierdaten im Alltag

In vielen Betrieben läuft die Terminverwaltung für Hundebetreuung noch analog. Zettel, Wandkalender und Telefonnotizen führen zu Doppelbuchungen und lückenhaften Kundenakten. Software schafft hier Ordnung.

Gute Systeme bieten einen Kalender je Betreuungskraft, automatische Erinnerungen und eine Warteliste. Sie zeigen freie Kapazitäten und verhindern, dass mehr Hunde aufgenommen werden, als Personal und Platz zulassen.

In der Kundenakte stehen Name, Adresse, Kontaktdaten, Notfallkontakt und Angaben zum Tier. Dazu kommen Impfnachweise, Allergien und Verhaltenshinweise. All das sind personenbezogene Daten und fällt unter die DSGVO.

Sinnvoll ist eine klare Trennung von Stammdaten und Verlaufsdaten. Stammdaten ändern sich selten, Verlaufsdaten wachsen mit jedem Besuch. Diese Trennung erleichtert Auskünfte und Löschungen.

Ein Beispiel: Eine Tierpension mit 60 Hunden pro Woche sucht einen Impfnachweis. Ohne Software dauert das mehrere Minuten, mit einer strukturierten Kundenakte wenige Sekunden.

Auch die mobile Nutzung zählt. Betreuungskräfte erfassen unterwegs, wer abgeholt wurde und wer noch im Haus ist. Das reduziert Rückfragen und schützt im Notfall.

Nicht jedes Feld muss Pflichtfeld sein. Wer zu viele Angaben verlangt, verstößt gegen die Datenminimierung. Pflichtfelder sollten auf das beschränken, was für Betreuung und Abrechnung nötig ist.

Bei den Tierdaten lohnt eine zweite Prüfung. Angaben zu Erkrankungen und Medikamenten sind sensibel und dürfen nur erfasst werden, wenn sie für die Betreuung gebraucht werden.

Schnittstellen zu Buchhaltung und Kassensystem verhindern doppelte Erfassung. Wer Schnittstellen nutzt, muss prüfen, ob dabei Daten in Drittländer fließen.

IVH und ZZF: die Rolle der Branchenverbände

Der Industrieverband Heimtierbedarf (IVH) e.V. ist der Branchenverband der Heimtierbedarfsindustrie in Deutschland. Er erhebt regelmäßig Marktdaten zum Heimtiermarkt und vertritt die Interessen seiner Mitglieder. Der Zentralverband Zoologischer Fachbetriebe Deutschlands (ZZF) e.V. vertritt daneben die Zoofachbetriebe und den Fachhandel.

Für die Softwareauswahl ist wichtig, was der IVH nicht ist: eine Zertifizierungsstelle. Der Verband gibt keine Software vor und vergibt kein Datenschutzsiegel. Seine Bedeutung für Betreiber liegt in den Marktdaten und in den Erwartungen an Datenqualität.

Wer Zoofachhandel und Betreuung kombiniert, muss zwei Datenwelten auseinanderhalten. Produkt- und Marktdaten sind aggregiert und anonym. Kundendaten sind personenbezogen und unterliegen der DSGVO.

Eine Software sollte deshalb getrennte Bereiche für Warenwirtschaft und Kundenverwaltung haben. Wer beides in einer Datei mischt, kann Auskunftsansprüche nicht sauber bedienen.

Ein weiterer Punkt ist die Artikelstruktur. Zoofachhandel und Betreuungsbetriebe arbeiten mit Kategorien wie Hund, Katze, Kleintier oder Vogel. Eine Software, die diese Kategorien kennt, erleichtert Planung, Einkauf und Auswertung.

Was Software für Branchendaten leisten sollte

IVH und ZZF liefern damit Orientierung. Sie ersetzen aber keine Rechtsprüfung und keine Prüfung der eigenen Abläufe.

Auftragsverarbeitung: Vertrag vor der ersten Dateneingabe

Sobald ein externer Anbieter Zugriff auf Kundendaten erhält, braucht es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Das gilt für Cloudsoftware genauso wie für IT-Dienstleister, Steuerberater und Buchhaltungsservices.

Der Vertrag regelt Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen sowie den Einsatz von Unterauftragnehmern. Fehlt er, ist die Verarbeitung rechtswidrig, unabhängig vom Serverstandort.

Ein deutscher oder europäischer Serverstandort ist ein Pluspunkt, aber kein Ersatz. Auch beim Hosting in Deutschland müssen Löschung, Rückgabe und Kontrollrechte geregelt sein.

Wichtig ist die Unterauftragnehmerkette. Hosting, E-Mail-Versand und Support laufen selten im eigenen Haus. Der Betrieb braucht eine aktuelle Liste und muss Änderungen widersprechen können.

Bei Vertragsende muss klar sein, was mit den Daten passiert. Sie sind zurückzugeben oder zu löschen, und der Anbieter muss die Löschung bestätigen.

Der Betrieb bleibt Verantwortlicher und muss den Dienstleister kontrollieren können. Audits, Berichte und Sicherheitsnachweise gehören deshalb in den Vertrag.

Bei Anbietern außerhalb der EU kommen zusätzliche Garantien hinzu. Wer diesen Aufwand scheut, wählt ein System mit Verarbeitung im Europäischen Wirtschaftsraum.

Betroffenenrechte und Beschäftigtendaten

Kunden können Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Der BfDI erläutert diese Betroffenenrechte der DSGVO im Einzelnen.

Für eine Auskunft muss der Betrieb alle Daten zu einer Person finden. Dafür läuft eine Frist von einem Monat. Ohne Suchfunktion wird daraus Handarbeit über Ordner, Kalender und Rechnungen hinweg.

Auch Beschäftigte sind betroffen. Arbeitszeiten, Krankmeldungen, Notfallkontakte und Bewerbungsunterlagen sind personenbezogene Daten. Der BfDI beschreibt die Datenschutzrechte der Beschäftigten für die Personalverwaltung.

In Tierpensionen arbeiten häufig Minijobber, Aushilfen und Saisonkräfte. Rollen und Zugriffsrechte müssen so geschnitten sein, dass niemand mehr sieht als für die Aufgabe nötig.

Ein häufiges Problem ist der Vollzugriff für alle. Wer keine Rollen definiert, riskiert, dass Beschäftigte Kundendaten einsehen, die sie nicht brauchen.

Auch für Bewerbungen gehören Löschfristen in die Software. Nach Ablauf der Frist müssen die Unterlagen verschwinden, ohne dass jemand daran denken muss.

Beispielrechnung: Auskunft mit und ohne Suchfunktion

Angenommen, ein Betrieb führt 250 Kundenakten und erhält eine Auskunftsanfrage. Ohne Suchfunktion dauert die Suche in Ordnern, Kalendern und Rechnungen etwa 45 Minuten. Mit einer gemeinsamen Datenbasis sind es rund 3 Minuten.

Bei einem internen Verrechnungssatz von 24,00 Euro je Stunde (brutto, Beispielwert) ergibt sich:

Die Beispielrechnung zeigt nur den Zeitaufwand. Hinzu kommt das Risiko, die Monatsfrist zu verpassen.

Tierschutz und Erlaubnispflicht: welche Tierdaten nötig sind

Bevor Daten erhoben werden, muss der Betrieb wissen, was er darf und was er muss. Wer gewerbsmäßig Tiere für Dritte aufnimmt oder betreut, braucht dafür in den meisten Fällen eine Erlaubnis. Die Fälle regelt § 11 Tierschutzgesetz.

Die Tierschutz-Hundeverordnung regelt Haltung, Betreuung und Auslauf von Hunden. Feste Belegungszahlen nennt sie nicht, sie verlangt aber ausreichend Personal, Platz und Rückzugsmöglichkeiten.

Das Bundesministerium für Ernährung und Landwirtschaft (BMEL) bündelt die Vorgaben zum Tierschutz und trägt die oberste Fachaufsicht. Vor Ort prüfen die zuständigen Behörden der Länder.

Software muss diese Vorgaben abbilden können. Sinnvoll sind Felder für die Erlaubnisnummer, Kontrolltermine, Gruppengrößen und die Zahl der Betreuungskräfte je Zeitfenster.

Ein Impfstatus gehört ebenfalls dazu. Bei der Bekämpfung von Tierseuchen kann eine gesetzliche Pflicht zur Erfassung bestehen. Dann ist die Verarbeitung auch ohne Einwilligung zulässig.

Für Werbung, Newsletter und die Veröffentlichung von Fotos braucht es dagegen eine Einwilligung. Sie muss freiwillig, informiert und jederzeit widerrufbar sein. Der Widerruf muss genauso einfach sein wie die Erteilung.

Sicherheit, Backups und Notfallplan

Ausfallende Software bedeutet Stillstand: Es können keine Hunde aufgenommen, abgeholt oder abgerechnet werden. Sicherheit ist damit kein Zusatzthema, sondern Betriebsvoraussetzung.

Das Bundesamt für Sicherheit in der Informationstechnik bündelt in seinen Hinweisen zur IT-Sicherheit Informationen zu Schwachstellen, Verschlüsselung und Angriffsmethoden.

Die Deutsche Industrie- und Handelskammer (DIHK) erklärt in Cybersicherheit kurz und knapp, welche Basismaßnahmen kleine Betriebe umsetzen können.

Zur Grundausstattung gehören starke Passwörter, Zwei-Faktor-Anmeldung, automatische Updates und getrennte Konten. Wer dasselbe Passwort überall nutzt, öffnet jede Tür.

Backups gehören dazu und müssen getestet werden. Ein ungeprüftes Backup ist im Ernstfall wertlos. Eine Kopie außerhalb des Betriebs schützt zusätzlich gegen Einbruch und Brand.

Tablets und Rechner am Empfang sollten gesperrt sein, wenn niemand davorsteht. Kundendaten auf einem offenen Bildschirm sind ein Risiko für den ganzen Betrieb.

Für die Arbeitsplätze gelten zusätzlich die Vorgaben der Deutschen Gesetzlichen Unfallversicherung. Die Präventionsvorgaben der DGUV betreffen Bildschirmarbeit, Beleuchtung und Ergonomie.

Notfallplan für Datenverlust

Ein Notfallplan legt fest, wer bei Datenverlust informiert wird, wie lange die Wiederherstellung dauert und was mit laufenden Terminen passiert.

Bei einer Datenpanne mit Risiko für Betroffene muss der Betrieb nach Artikel 33 DSGVO die Aufsichtsbehörde informieren. Frist und Inhalt der Meldung gehören vorbereitet, damit es im Ernstfall schnell geht.

Cloud oder lokale Installation: was zu Betreuungsbetrieben passt

Cloudlösungen laufen auf Servern des Anbieters und werden im Browser bedient. Sie sind bequem, verlagern aber einen Teil der Verantwortung auf den Anbieter. Lokale Lösungen bleiben auf einem Rechner im Betrieb und in der eigenen Verantwortung.

Beide Modelle sind zulässig, wenn die Pflichten sauber geregelt sind. Entscheidend ist nicht die Technik, sondern der Vertrag und die Nachweisbarkeit.

Für kleine Betriebe mit wenig Personal spricht viel für eine Cloudlösung. Wer keine eigene IT hat, kann Updates, Backups und Zugriffsschutz schwer selbst stemmen.

Für Betriebe mit sehr sensiblen Daten kann eine lokale Installation die bessere Wahl sein. Dann muss der Betrieb selbst für Sicherung, Verschlüsselung und Aktualisierung sorgen.

In beiden Fällen gilt: Deutschsprachiger Support und Schulungen erleichtern die Einarbeitung erheblich.

Schulung und Kontrolle im Betrieb

Datenschutz funktioniert nur, wenn alle ihn kennen. Kurze, regelmäßige Schulungen sind wirksamer als dicke Handbücher. Die Software kann Hinweise und Erinnerungen anzeigen.

Neue Beschäftigte müssen vor dem ersten Zugriff auf Kundendaten unterwiesen werden. Das ist Pflicht und lässt sich mit Datum und Unterschrift dokumentieren.

Kontrollen gehören dazu. Stichproben zeigen, ob Löschfristen greifen, ob Rollen stimmen und ob Auskünfte vollständig sind. Ein kurzer Prüfbericht pro Quartal genügt als Nachweis.

Auch die Anbieterbeziehung braucht Kontrolle. Wer einmal im Jahr Auftragsverarbeitungsvertrag und Unterauftragnehmerliste prüft, hat im Streitfall etwas vorzuweisen.

Vergleichstabelle und Checkliste für die Auswahl

Vergleichstabelle wichtiger Kriterien

Die Tabelle ersetzt keinen Test. Sie ordnet aber die Fragen, die im Gespräch mit Anbietern gestellt werden müssen.

Checkliste vor der Vertragsunterschrift

Wer diese Punkte abarbeitet, hat eine solide Grundlage für die Entscheidung.

In fünf Schritten zur passenden Software

Häufige Fragen

Braucht eine kleine Tierpension überhaupt Software mit DSGVO-Funktionen?

Ja, sobald personenbezogene Daten digital verarbeitet werden, gilt die DSGVO. Auch kleine Betriebe müssen Auskunft und Löschung ermöglichen. Eine einfache Lösung reicht, solange die Pflichten erfüllt sind.

Was passiert, wenn kein Auftragsverarbeitungsvertrag vorliegt?

Dann ist die Verarbeitung durch den Anbieter rechtswidrig. Bei einer Prüfung drohen Bußgelder. Der Vertrag sollte vor der ersten Dateneingabe unterschrieben sein.

Dürfen Kundendaten in einer Cloud außerhalb der EU liegen?

Nur mit zusätzlichen Garantien und einer sorgfältigen Prüfung. Einfacher ist ein Anbieter mit Verarbeitung im Europäischen Wirtschaftsraum. Der Auftragsverarbeitungsvertrag bleibt in jedem Fall Pflicht.

Wie lange dürfen Kundendaten gespeichert werden?

So lange, wie der Zweck es erfordert. Rechnungen unterliegen steuerlichen Aufbewahrungsfristen. Alle anderen Daten sollten nach dem Ende der Betreuung zeitnah gelöscht werden.

Welche Rolle spielt der IVH bei der Softwareauswahl?

Der IVH gibt keine Software vor, liefert aber Branchendaten und Standards für Datenqualität. Betriebe sollten prüfen, ob ihre Software Marktdaten und Kundendaten sauber trennt.