Reitschulen verarbeiten viele personenbezogene Daten — und besonders kritische: Daten von Minderjährigen, Gesundheitsdaten, Bilder. Die DSGVO setzt klare Regeln, und Verstöße kosten richtig (Bußgelder bis 4% Jahresumsatz).
Die Sonderregeln für Minderjährige
Einwilligung
In Deutschland ist die digitale Einwilligungsfähigkeit ab 16 Jahren (Art. 8 DSGVO + § 8 BDSG). Darunter braucht es immer die Zustimmung der Erziehungsberechtigten. Konkret: Anmeldeformular muss von beiden Eltern unterschrieben werden (oder bei Alleinerziehenden: nachweisbar).
Datenkategorien
Bei Minderjährigen reduzieren auf das Notwendige:
- Name, Geburtsdatum
- Adresse / Eltern-Kontakt
- Gesundheitsangaben (Allergien, Asthma)
- Notfallkontakt
- Reitlevel
NICHT erheben (oder besondere Begründung): Religionszugehörigkeit, ethnische Herkunft, politische Meinungen.
Fotos auf Social Media
Häufiger Streitpunkt. Voraussetzungen:
- Einwilligung beider Erziehungsberechtigter, schriftlich, separat vom Anmeldeformular
- Klare Zweckbestimmung (Stall-Website? Instagram? Werbung?)
- Widerruflich — wenn die Eltern später widerrufen, Bild muss entfernt werden
- Bei „rein sportlichen” Aufnahmen (Turnierfoto, Klassenfoto im öffentlichen Raum) gilt das Recht am eigenen Bild — auch hier Einwilligung
Aufbewahrungsfristen
- Vertragsdaten: 6 Jahre nach Vertragsende (HGB)
- Steuerlich relevante Daten: 10 Jahre
- Reine Kontaktdaten ohne Vertragsbezug: maximal 3 Jahre
- Fotos: bis zum Widerruf der Einwilligung
Praktische Pflichten
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Pflicht ab 1 Mitarbeiter ODER bei Verarbeitung sensibler Daten (Gesundheit). Liste mit Zwecken, Datenkategorien, Empfängern. Vorlage gratis bei Datenschutz-Behörden online.
Auftragsverarbeitungsvertrag (AVV)
Mit jedem Dienstleister, der Daten verarbeitet: Software-Anbieter, Steuerberater, Hosting. AVV liegt fertig bei guten Anbietern bereit.
Datenpannen melden
Wenn Daten verloren gehen (gestohlener Laptop, gehackter Mailaccount): innerhalb 72 Stunden melden an Landesdatenschutzbehörde.
Datenschutzbeauftragter
Pflicht ab 20 Mitarbeitern oder bei „besonders sensibler” Datenverarbeitung. Ein interner DSB kostet Zeit, ein externer 800-1500 €/Jahr.
Wie Hovera unterstützt
- Hosting in Deutschland (Hetzner, Rechenzentrum Falkenstein), innerhalb der EU
- Auftragsverarbeitungsvertrag (AVV) als Teil des Vertrags, online abrufbar
- Einwilligung zur Datenverarbeitung im Kundenprofil, mit Zeitpunkt und Quelle
- Änderungsprotokoll: wer Kunden, Pferde oder Reitkarten angelegt, geändert oder gelöscht hat
Foto-Einwilligungen, Auskunftsersuchen und Löschanträge von Eltern bleiben deine Abläufe. Halte schriftlich fest, wofür eine Einwilligung gilt, prüfe vor jeder Veröffentlichung eines Fotos, ob sie noch besteht, und denke bei einer Löschung auch an Kopien außerhalb deines Hauptsystems — Tabellen, Mails, Messenger-Gruppen.
Datenschutz-Audit anfordern — wir prüfen deinen aktuellen Status kostenlos.