Datenschutz im Pferdebetrieb: was ihr wirklich regeln müsst

Ein Pensionsbetrieb verarbeitet mehr personenbezogene Daten, als den meisten Betreiberinnen und Betreibern bewusst ist: Namen, Adressen, Bankverbindungen, Notfallkontakte, Gesundheitsangaben von Reitschülern, dazu Fotos vom Turnier und Chatverläufe im Team. Datenschutz im Pferdebetrieb ist deshalb keine abstrakte Bürokratie, sondern ein konkretes Betriebsrisiko mit echtem Konfliktpotenzial gegenüber Einstellern und Mitarbeitenden.

Dieser Leitfaden ordnet die praktisch relevanten Themen: welche Daten typischerweise anfallen, wie Zugriffsrechte sinnvoll gestaffelt werden, wie mit Messenger-Gruppen und Fotos umgegangen wird, was Auftragsverarbeitung bedeutet und wie ein realistisches Löschkonzept aussieht.

01Erst wissen, was ihr überhaupt an Daten speichert

Der erste Schritt zu funktionierendem Datenschutz im Pferdebetrieb ist eine ehrliche Bestandsaufnahme. In den meisten Betrieben liegen personenbezogene Daten verteilt über mehrere Systeme: eine Excel-Tabelle im Büro, eine Ordnerablage mit unterschriebenen Verträgen, eine Messenger-Gruppe auf dem privaten Handy der Stallleitung und vielleicht eine Cloud-Ablage für Fotos. Diese Verteilung macht es schwer, Anfragen von Betroffenen zuverlässig zu beantworten oder Daten fristgerecht zu löschen.

• Stammdaten der Einsteller inklusive Bankverbindung
• Verträge, Kündigungen, Rechnungen und Mahnungen
• Notfallkontakte und Behandlungsvollmachten für Reitschüler
• Personaldaten von Mitarbeitenden und Aushilfen
• Fotos und Videos aus Unterricht, Training und Veranstaltungen
• Chatverläufe in Messenger-Gruppen zwischen Team und Einstellern

Es lohnt sich, diese Bestandsaufnahme einmal schriftlich festzuhalten: welche Datenart, wo gespeichert, wer Zugriff hat, wie lange sie benötigt wird. Das klingt nach Mehraufwand, ist in der Praxis aber meist in ein bis zwei Stunden erledigt und die Grundlage für alle folgenden Schritte.

02Zugriffsrechte sind die halbe Miete

Der häufigste reale Datenschutzverstoß im Stall ist banal: Alle sehen alles. Eine Aushilfe braucht den Futterplan, nicht die Kontodaten der Einsteller. Rollen mit unterschiedlichen Zugriffsrechten lösen einen Großteil dieser Problematik, ohne dass dafür Formulare ausgefüllt oder komplizierte Prozesse eingeführt werden müssen — vorausgesetzt, das genutzte System unterstützt eine solche Rollenlogik überhaupt.

Klärt deshalb für jede Rolle im Betrieb konkret, welche Daten für die tägliche Arbeit wirklich notwendig sind, und beschränkt den Zugriff entsprechend. Diese Zuordnung sollte nicht einmalig bleiben, sondern beim Ein- und Austritt von Mitarbeitenden regelmäßig überprüft werden.

03Messenger-Gruppen und Fotos im Alltag

Zwei Alltagsthemen sorgen in der Praxis für die meisten Beschwerden: Telefonnummern, die in einer großen Gruppe für alle sichtbar sind, und Fotos, auf denen Personen eindeutig erkennbar sind. Beides lässt sich mit überschaubarem Aufwand entschärfen — durch betriebliche Kanäle statt privater Gruppen und durch eine einmalig eingeholte, dokumentierte Einwilligung für Bildmaterial.

Bei Messenger-Gruppen hilft es, zwischen einer reinen Informationsgruppe ohne sichtbare Telefonnummern und einer kleinen Arbeitsgruppe für das Team zu unterscheiden. Größere Kundengruppen sollten wenn möglich über Kanäle laufen, in denen Teilnehmende die Nummern anderer nicht automatisch sehen, oder über eine dedizierte Funktion in der eingesetzten Stallsoftware.

• Für Fotos mit erkennbaren Personen eine schriftliche Einwilligung einmalig einholen und dokumentieren.
• Betriebliche Kommunikationskanäle statt privater Handynummern für Kundengruppen nutzen.
• Bei Minderjährigen die Einwilligung der Erziehungsberechtigten separat einholen.
• Widerruf einer Foto-Einwilligung ernst nehmen und Material zeitnah entfernen.

Fotos für Social Media und Website

Für die Außendarstellung des Betriebs sind Fotos vom Turnier oder aus dem Unterricht wertvoll, bergen aber ohne Einwilligung ein Risiko. Legt eine einfache Regel fest: Erst fragen, dann veröffentlichen. Eine kurze schriftliche Einwilligung, die auch für zukünftige, vergleichbare Aufnahmen gilt, erspart es, bei jedem einzelnen Bild erneut nachfragen zu müssen.

04Auftragsverarbeitung bei eingesetzter Software

Wer Software einsetzt, in der personenbezogene Daten liegen — etwa eine Stallsoftware, ein Buchhaltungsprogramm oder ein Cloud-Speicher für Fotos —, braucht in der Regel einen Vertrag zur Auftragsverarbeitung mit dem jeweiligen Anbieter. Dieser Vertrag regelt, wie der Anbieter mit euren Daten umgehen darf, und ist ein wichtiger Baustein, um die eigene Verantwortung als datenverarbeitender Betrieb nachweisbar zu erfüllen.

Fragt aktiv danach — seriöse Anbieter stellen einen solchen Vertrag standardmäßig bereit, oft direkt zum Download im Kundenbereich. Prüft dabei auch, wo die Server des Anbieters stehen, denn ein Hosting innerhalb der EU vereinfacht die Bewertung erheblich gegenüber einer Verarbeitung außerhalb der EU.

05Löschen ist Teil der Ordnung, nicht Kür

Nach dem Auszug eines Pferdes oder der Kündigung eines Vertrags bleiben Daten in der Praxis oft jahrelang unverändert liegen — meist nicht aus Absicht, sondern weil niemand zuständig ist, sie zu entfernen. Steuerlich relevante Unterlagen unterliegen gesetzlichen Aufbewahrungsfristen und müssen entsprechend lange aufbewahrt werden, alles andere sollte nach einem festgelegten Zeitraum konsequent gelöscht werden.

Ein einfaches, aber wirksames Vorgehen ist ein jährlicher Löschdurchgang: einmal im Jahr prüfen, welche Daten die vereinbarte Aufbewahrungsdauer überschritten haben, und diese gezielt entfernen. Wichtig ist, vorher schriftlich festzulegen, was wie lange aufbewahrt wird — sonst bleibt der jährliche Durchgang beliebig und wird schnell wieder verschoben.

Vier Schritte, die realistisch machbar sind

1. 1.Liste anlegen, welche Daten wo im Betrieb liegen und wer aktuell darauf zugreifen kann.
2. 2.Rollen und Zugriffsrechte im eingesetzten System sauber vergeben und regelmäßig prüfen.
3. 3.Einwilligung für Fotos und Videos einmal schriftlich einholen und zentral dokumentieren.
4. 4.Löschfristen festlegen und mindestens einmal jährlich konsequent anwenden.

06Datenschutz bei Notfällen und Tierarztkontakt

Ein Sonderfall im Pferdebetrieb ist die Weitergabe von Daten im Notfall — etwa wenn ein Tierarzt oder Rettungsdienst kurzfristig Kontaktdaten des Eigentümers benötigt. Solche Weitergaben sind in der Regel unproblematisch, wenn sie dem Schutz von Gesundheit oder Leben dienen und auf das Notwendige beschränkt bleiben. Trotzdem lohnt es sich, vorab klar zu regeln, wer im Notfall welche Daten herausgeben darf, damit niemand im entscheidenden Moment zögert.

Gleiches gilt für die Zusammenarbeit mit externen Dienstleistern wie Hufschmied oder Tierarzt: Sie benötigen in der Regel nur die für ihre Tätigkeit relevanten Gesundheitsdaten des betreuten Pferdes, nicht den vollständigen Vertrags- oder Zahlungsverkehr des Eigentümers.

07Umsetzung in 30 Tagen

1. 1.Woche 1: Bestandsaufnahme erstellen — welche Daten liegen wo, in welchem System und bei wem.
2. 2.Woche 1: Zugriffsrechte je Rolle im eingesetzten System sichten und unnötig breite Zugriffe einschränken.
3. 3.Woche 2: Bestehende Messenger-Gruppen prüfen und gegebenenfalls durch betriebliche Kanäle ersetzen.
4. 4.Woche 2: Vorlage für Foto-Einwilligung erstellen und bei neuen sowie bestehenden Einstellern einholen.
5. 5.Woche 3: Auftragsverarbeitungsverträge bei allen eingesetzten Softwareanbietern anfordern und ablegen.
6. 6.Woche 3: Löschfristen für die wichtigsten Datenarten schriftlich festlegen.
7. 7.Woche 4: Ersten Löschdurchgang für überfällige Altdaten durchführen und Termin für die jährliche Wiederholung festlegen.

08Häufige Fehler und wie ihr sie vermeidet

• Alle Mitarbeitenden erhalten denselben, uneingeschränkten Zugriff auf sämtliche Daten.
• Kundengruppen laufen über private Messenger-Gruppen mit für alle sichtbaren Telefonnummern.
• Fotos werden ohne dokumentierte Einwilligung auf Social Media oder der Website veröffentlicht.
• Auftragsverarbeitungsverträge mit Softwareanbietern werden nie aktiv eingefordert.
• Es gibt keine festgelegten Löschfristen, wodurch Altdaten unkontrolliert über Jahre liegen bleiben.