Kundendaten nach DSGVO: Rechtsgrundlagen und Löschung richtig prüfen
Kundendaten werden für Anfragen, Angebote, Verträge, Rechnungen und Service benötigt. Schwieriger wird es bei Werbung, CRM-Auswertungen, Dienstleistern und alten Datenbeständen. Für jeden Zweck braucht es deshalb eine passende Rechtsgrundlage und eine nachvollziehbare Speicherfrist.
Kurzantwort
Kundendaten dürfen verarbeitet werden, wenn ein klarer Zweck und eine passende Rechtsgrundlage bestehen. Für Anfragen, Angebote, Bestellungen, Lieferung und Abrechnung kommen häufig vorvertragliche Maßnahmen, Vertragserfüllung oder rechtliche Pflichten in Betracht.
Eine bestehende Kundenbeziehung erlaubt nicht automatisch Newsletter, Telefonwerbung oder umfangreiche Kundenprofile. Werbung muss zusätzlich nach DSGVO und UWG geprüft werden.
Nach Wegfall des Zwecks sind Kundendaten zu löschen oder für andere Nutzungen zu sperren, soweit keine gesetzlichen Aufbewahrungsfristen oder erforderlichen Rechtsverteidigungszwecke entgegenstehen.
Einordnung
Wann sind Kundendaten personenbezogene Daten?
Kundendaten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und im Zusammenhang mit einer Kunden- oder Interessentenbeziehung verarbeitet werden.
Bei Privatkunden ist der Personenbezug meist eindeutig. Im geschäftlichen Bereich schützt die DSGVO zwar nicht die juristische Person als solche. Namen, dienstliche E-Mail-Adressen, Durchwahlnummern und Kommunikationsinhalte von Ansprechpartnern bleiben jedoch personenbezogene Daten.
Auch Daten von Einzelunternehmern und Freiberuflern fallen regelmäßig unter die DSGVO. Der Hinweis „nur geschäftliche Daten“ schließt den Datenschutz daher nicht aus.
Entscheidend ist nicht die Bezeichnung als Kunde, Interessent oder Geschäftskontakt. Maßgeblich sind natürliche Person, konkreter Verarbeitungszweck und tatsächliche Nutzung der Daten.
Art. 6 DSGVO
Welche Rechtsgrundlage passt zu welchem Zweck?
Für jede Verarbeitung muss feststehen, weshalb die Daten benötigt werden. Eine einmal erhobene Kundenadresse darf nicht automatisch für sämtliche späteren Zwecke verwendet werden.
Art. 6 Abs. 1 Buchst. b DSGVO kann Anfragen, konkrete Angebote oder Terminabsprachen tragen, wenn die Maßnahme auf Wunsch der betroffenen Person erfolgt.
Bestellung, Lieferung, Leistung, Gewährleistung, Abrechnung und notwendiger Kundenservice können auf Art. 6 Abs. 1 Buchst. b DSGVO beruhen.
Steuer-, handels- oder berufsrechtliche Vorgaben können eine Verarbeitung nach Art. 6 Abs. 1 Buchst. c DSGVO verlangen.
IT-Sicherheit, Betrugsabwehr, Rechtsverteidigung oder bestimmte Direktwerbung können Art. 6 Abs. 1 Buchst. f DSGVO stützen, wenn die Interessenabwägung trägt.
Sie kommt bei freiwilligen Zusatznutzungen in Betracht, muss aber informiert, bestimmt, freiwillig, nachweisbar und widerruflich sein.
Die Rechtsgrundlage muss zum einzelnen Zweck passen. Vertragserfüllung trägt beispielsweise nicht ohne Weiteres Profilbildung, Werbung für fremde Angebote oder eine dauerhafte Speicherung aller Kommunikationsinhalte.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD ist für bayerische öffentliche Stellen zuständig und damit nicht die vorrangige Aufsicht für klassische Unternehmens- und Kundendaten. Seine Grundsätze zur Wahl der Rechtsgrundlage sind dennoch für kommunale Einrichtungen wichtig.
Öffentliche Stellen müssen zunächst prüfen, ob sie eine gesetzliche oder öffentliche Aufgabe erfüllen. Ein privatrechtlicher Vertrag kann daneben relevant sein, wenn die Kommune tatsächlich wie ein Vertragspartner handelt.
Eine Einwilligung darf auch hier nicht vorsorglich eingesetzt werden, wenn bereits eine gesetzliche Befugnis oder Verpflichtung besteht. Bürgerinnen und Bürger dürfen nicht den Eindruck erhalten, eine notwendige Verwaltungsverarbeitung sei freiwillig.
Bei Kommunen sollte daher genau bezeichnet werden, ob Bürgerdaten, Antragstellerdaten, Nutzer einer Einrichtung, Gebührenschuldner oder privatrechtliche Vertragspartner betroffen sind.
Bayerische Unternehmen
Was sagt der BayLDA?
Das BayLDA ist die zuständige Aufsichtsbehörde für viele Unternehmen, Handwerksbetriebe, Praxen, Vereine und private Dienstleister in Bayern. In seinen FAQ behandelt es unter anderem Werbung, Einwilligungen, Betroffenenrechte und Auftragsverarbeitung.
Besonders wichtig ist die Trennung von Vertragsabwicklung und Werbung. Eine E-Mail-Adresse, die für Bestellung oder Terminabwicklung erhoben wurde, darf nicht allein deshalb für beliebige Werbenachrichten verwendet werden.
Auch Kundenzufriedenheitsbefragungen können Werbung sein. Für die Nutzung elektronischer Kontaktdaten sind deshalb neben der DSGVO die Voraussetzungen des § 7 UWG zu beachten.
Unternehmen müssen außerdem nachweisen können, auf welcher Grundlage sie Daten verwenden. Das betrifft insbesondere Einwilligungen, Bestandskundenausnahmen, Werbewidersprüche und die Einordnung von Dienstleistern.
Datenbestand
Welche Kundendaten werden typischerweise verarbeitet?
- Stammdaten wie Name, Anschrift und Kundennummer,
- Kontaktdaten wie E-Mail-Adresse, Telefonnummer und Ansprechpartner,
- Anfrage-, Angebots-, Vertrags- und Bestelldaten,
- Liefer-, Leistungs-, Termin- und Servicedaten,
- Rechnungs-, Buchungs- und Zahlungsdaten,
- Kommunikationsverläufe, Beschwerden und Reklamationen,
- Newsletterstatus, Einwilligungen, Widerrufe und Werbewidersprüche,
- gegebenenfalls Bonitäts-, Betrugs- oder Sperrmerkmale.
Gesundheitsdaten, Angaben zu finanziellen Schwierigkeiten, Ausweiskopien, Zugangsdaten oder detaillierte Kundenprofile benötigen eine besonders sorgfältige Prüfung. Datenminimierung bedeutet, nicht vorsorglich alles zu speichern, was irgendwann nützlich sein könnte.
Geschäftskontakte
Unterschiede zwischen B2C- und B2B-Kundendaten
Bei einem Vertrag mit einer Privatperson kann Art. 6 Abs. 1 Buchst. b DSGVO viele unmittelbar vertragsbezogene Verarbeitungen tragen. Bei einer GmbH oder anderen juristischen Person ist dagegen das Unternehmen Vertragspartner, nicht automatisch dessen beschäftigter Ansprechpartner.
Für die Kontaktdaten von B2B-Ansprechpartnern kommt deshalb häufig ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO in Betracht. Das Unternehmen muss die Verarbeitung für die Geschäftsabwicklung benötigen und die vernünftigen Erwartungen der Kontaktperson berücksichtigen.
Der dienstliche Charakter der Daten beseitigt den Personenbezug nicht. Ansprechpartner sind daher zu informieren, Zugriffe müssen begrenzt sein und nicht mehr benötigte Kontakte dürfen nicht dauerhaft ohne Zweck im CRM verbleiben.
Transparenz
Wann müssen Kunden informiert werden?
Werden Daten direkt beim Kunden oder Ansprechpartner erhoben, gelten grundsätzlich die Informationspflichten aus Art. 13 DSGVO. Stammen sie aus anderen Quellen, etwa einem Vermittler, einem öffentlichen Verzeichnis oder einem Adressanbieter, ist Art. 14 DSGVO zu prüfen.
Die Hinweise müssen insbesondere Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte und gegebenenfalls Drittlandübermittlungen erklären. Bei berechtigten Interessen sollte außerdem das konkrete Interesse benannt werden.
Eine Datenschutzerklärung auf der Website reicht nicht in jedem Fall. Die Information muss die betroffene Person zum passenden Zeitpunkt und in einer tatsächlich erreichbaren Form erhalten.
Ändert sich der Verarbeitungszweck später, ist vor der weiteren Nutzung zu prüfen, ob die Zweckänderung zulässig ist und ob erneut informiert werden muss.
Direktwerbung
Dürfen Kundendaten für Werbung genutzt werden?
Die DSGVO erkennt Direktwerbung grundsätzlich als mögliches berechtigtes Interesse an. Das ersetzt jedoch weder die konkrete Interessenabwägung noch die zusätzlichen Regeln für den gewählten Kommunikationsweg.
Für Werbung per elektronischer Post ist grundsätzlich eine vorherige Einwilligung erforderlich. Die Bestandskundenausnahme des § 7 Abs. 3 UWG greift nur, wenn alle Voraussetzungen gemeinsam erfüllt sind:
- Die elektronische Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten.
- Geworben wird für eigene ähnliche Waren oder Dienstleistungen.
- Der Kunde hat der Verwendung nicht widersprochen.
- Bei Erhebung und bei jeder Verwendung wird klar auf die kostenfreie Widerspruchsmöglichkeit hingewiesen.
Bei Werbeanrufen gelten weitere Anforderungen. Gegenüber Verbrauchern ist grundsätzlich eine vorherige ausdrückliche Einwilligung nötig. Auch im B2B-Bereich ist Telefonwerbung nicht pauschal erlaubt.
Ein Widerspruch gegen Direktwerbung muss ohne Interessenabwägung umgesetzt werden. Eine minimale Werbesperrdatei kann erforderlich sein, damit die Person nicht versehentlich erneut angesprochen wird.
Speicherbegrenzung
Wie lange dürfen Kundendaten gespeichert werden?
Es gibt keine einheitliche Frist für sämtliche Kundendaten. Entscheidend sind der jeweilige Zweck, gesetzliche Pflichten und mögliche Rechtsansprüche. Ein Löschkonzept sollte diese Datenbestände getrennt behandeln.
Ohne anschließenden Vertrag ist regelmäßig eine deutlich kürzere Frist erforderlich. Offene Nachfragen oder mögliche Ansprüche können berücksichtigt werden.
Sie können bis zum Ablauf einschlägiger Verjährungs- oder Nachweisfristen benötigt werden. Der konkrete Vertrag und mögliche Ansprüche sind maßgeblich.
Für Rechnungen und vergleichbare Buchungsbelege gelten nach HGB und AO regelmäßig acht Jahre.
Empfangene und abgesandte Handels- beziehungsweise Geschäftsbriefe sind regelmäßig sechs Jahre aufzubewahren.
Für Handelsbücher, Inventare und Jahresabschlüsse gelten regelmäßig zehn Jahre.
Kontaktdaten dürfen nicht unbegrenzt nur für eine mögliche spätere Ansprache gespeichert werden. Zeitablauf und Geschäftsbeziehung sind regelmäßig neu zu bewerten.
Unterliegen einzelne Unterlagen einer Aufbewahrungspflicht, dürfen sie während dieser Zeit nicht mehr für unvereinbare Zwecke genutzt werden. Eine Einschränkung des Zugriffs oder Trennung vom aktiven CRM-Bestand ist häufig sinnvoll.
Ein Löschwunsch führt deshalb nicht automatisch zur sofortigen Entfernung aller Rechnungs- und Vertragsdaten. Das Unternehmen muss erläutern können, welche Daten noch benötigt werden, auf welcher Grundlage sie verbleiben und wann sie gelöscht werden.
CRM und externe Systeme
Wann ist ein Vertrag zur Auftragsverarbeitung nötig?
Kundendaten liegen häufig in CRM-Systemen, Cloud-Speichern, Shops, Newsletterdiensten, Supportplattformen oder Buchhaltungsprogrammen. Verarbeitet der Anbieter die Daten weisungsgebunden für das Unternehmen, ist regelmäßig ein Vertrag nach Art. 28 DSGVO erforderlich.
Der Vertrag allein genügt nicht. Zu prüfen sind insbesondere Leistungsumfang, technische und organisatorische Maßnahmen, Unterauftragnehmer, Löschung, Unterstützung bei Betroffenenrechten und mögliche Drittlandübermittlungen.
Nicht jeder Empfänger ist Auftragsverarbeiter. Banken, Zahlungsdienste, Versandunternehmen, Steuerberater oder Rechtsanwälte können für ihre jeweilige Tätigkeit selbst verantwortlich sein. Die Rolle muss anhand der tatsächlichen Entscheidungsbefugnisse bestimmt werden.
Bei gemeinsam festgelegten Zwecken und Mitteln kann auch eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht kommen.
Technische und organisatorische Maßnahmen
Wer darf auf Kundendaten zugreifen?
Zugriffsrechte sollten sich nach Aufgaben und Erforderlichkeit richten. Nicht jede beschäftigte Person benötigt vollständigen Zugriff auf CRM, Rechnungen, Beschwerden oder Zahlungsdaten.
Ein angemessener Schutz umfasst je nach Risiko insbesondere Rollen- und Berechtigungskonzepte, sichere Authentisierung, Protokollierung, verschlüsselte Übertragung, geregelte Exporte, Datensicherungen und Löschroutinen.
Besondere Aufmerksamkeit verdienen Excel-Listen, lokale Kopien und private Adressbücher. Sie umgehen häufig zentrale Berechtigungen und werden bei Berichtigung, Löschung oder Auskunft leicht übersehen.
Öffentliche Stellen
Wie sind kommunale Vertragspartner einzuordnen?
Kommunen verarbeiten nicht nur Bürger- und Antragstellerdaten. Bei Vermietungen, Veranstaltungen, Einrichtungen oder sonstigen privatrechtlichen Leistungen können auch Vertrags- und Kontaktdaten entstehen.
Ob Art. 6 Abs. 1 Buchst. b DSGVO, eine gesetzliche Aufgabe oder eine rechtliche Verpflichtung einschlägig ist, hängt von der konkreten Tätigkeit ab. Ein Unternehmensmuster darf deshalb nicht ungeprüft übernommen werden.
Auch bei kommunalen Vertragspartnern gelten Transparenz, Datenminimierung, Zugriffsschutz und Löschung. Zusätzlich können kommunal-, haushalts-, archiv- oder fachrechtliche Aufbewahrungsvorgaben relevant sein.
Praxisfehler
Typische Fehler im Umgang mit Kundendaten
Vertrag, Werbung, Analyse und Profilbildung werden ohne getrennte Prüfung unter „Kundenverwaltung“ zusammengefasst.
Notwendige Vertragsdaten werden von einer widerruflichen Einwilligung abhängig gemacht.
Dienstliche Kontaktdaten werden pauschal als nicht personenbezogen behandelt.
Eine frühere Bestellung wird als Freigabe für sämtliche Newsletter und Werbeanrufe verstanden.
Interessenten, aktive Kunden, Rechnungen und alte CRM-Kontakte werden unbegrenzt gleich behandelt.
Es fehlt entweder ein notwendiger AV-Vertrag oder jeder Empfänger wird ohne Prüfung als Auftragsverarbeiter bezeichnet.
Prüfpunkte
Checkliste für Kundendaten nach DSGVO
Welche Kundendaten werden in welchen Systemen verarbeitet?
Welche konkreten Zwecke bestehen für Anfrage, Vertrag, Service, Werbung und Analyse?
Ist jedem Zweck eine passende Rechtsgrundlage zugeordnet?
Werden B2B-Ansprechpartner und Einzelunternehmer richtig eingeordnet?
Erhalten Betroffene die erforderlichen Informationen nach Art. 13 oder Art. 14 DSGVO?
Werden Daten für Newsletter, Telefonwerbung oder Kundenprofile genutzt?
Sind Einwilligungen, Bestandskundenvoraussetzungen und Werbewidersprüche nachweisbar?
Gibt es getrennte Löschfristen für Anfragen, Verträge, Rechnungen und Werbung?
Werden aktuelle acht-, sechs- und zehnjährige Aufbewahrungspflichten richtig zugeordnet?
Sind CRM-, Cloud-, Shop- und Supportanbieter datenschutzrechtlich eingeordnet?
Bestehen notwendige Verträge nach Art. 28 oder Vereinbarungen nach Art. 26 DSGVO?
Sind Drittlandübermittlungen und Unterauftragnehmer geprüft?
Beschränken Rollen und Berechtigungen den internen Zugriff?
Funktionieren Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch auch in Nebensystemen?
Häufige Fragen
FAQ zu Kundendaten und DSGVO
Sind geschäftliche Kontaktdaten personenbezogene Daten?
Ja, wenn sie einer natürlichen Person zugeordnet werden können. Dazu gehören etwa Name, dienstliche E-Mail-Adresse und Durchwahl eines Ansprechpartners. Reine Angaben über eine juristische Person fallen dagegen nicht allein deshalb unter die DSGVO.
Brauche ich für Kundendaten immer eine Einwilligung?
Nein. Für Anfragen, Verträge, Lieferung, Service und Abrechnung sind häufig vorvertragliche Maßnahmen, Vertragserfüllung oder rechtliche Pflichten einschlägig. Eine Einwilligung ist eher für freiwillige Zusatznutzungen relevant.
Darf ich Bestandskunden ohne Einwilligung E-Mail-Werbung senden?
Nur wenn sämtliche Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind. Dazu gehören insbesondere eigene ähnliche Leistungen und ein klarer Hinweis auf die kostenfreie Widerspruchsmöglichkeit bei Erhebung und bei jeder Verwendung.
Wie lange müssen Rechnungen aufbewahrt werden?
Rechnungen und vergleichbare Buchungsbelege sind nach den aktuellen handels- und steuerrechtlichen Vorschriften regelmäßig acht Jahre aufzubewahren. Für andere Unterlagen können sechs oder zehn Jahre beziehungsweise abweichende Fristen gelten.
Müssen Kundendaten nach Vertragsende sofort gelöscht werden?
Nicht immer. Gesetzliche Aufbewahrungspflichten und erforderliche Nachweise für mögliche Ansprüche können eine weitere Speicherung rechtfertigen. Nicht mehr benötigte Daten und unzulässige Nebennutzungen müssen jedoch beendet werden.
Benötigt ein Cloud-CRM einen Vertrag zur Auftragsverarbeitung?
In der Regel ja, wenn der Anbieter personenbezogene Kundendaten weisungsgebunden für das Unternehmen verarbeitet. Zusätzlich sind Sicherheit, Unterauftragnehmer, Löschung und Drittlandtransfers zu prüfen.
Welche Rechte haben Kunden?
Je nach Voraussetzungen bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch. Datenübertragbarkeit gilt nur in den gesetzlich bestimmten Fällen, insbesondere bei automatisierter Verarbeitung auf Grundlage von Einwilligung oder Vertrag.
Ergebnis
Fazit
Die notwendige Verarbeitung von Kundendaten für Anfrage, Vertrag und Rechnung lässt sich meist klar einordnen. Fehler entstehen häufiger bei B2B-Kontakten, Werbung, Profilbildung, unbefristeten CRM-Beständen und externen Diensten.
Unternehmen sollten deshalb Zwecke und Systeme getrennt betrachten. Jede Nutzung braucht eine Rechtsgrundlage, verständliche Informationen, begrenzte Zugriffe und eine passende Lösch- oder Aufbewahrungsfrist.
Ein funktionierender Prozess für Werbewidersprüche und Betroffenenrechte gehört ebenso dazu wie die regelmäßige Prüfung von CRM, Newsletter, Shop, Buchhaltung und lokalen Dateien.
Weiterlesen
Passende Themen auf der Website
Nachweise
Quellen
Kundendaten im Unternehmen prüfen?
CRM, Newsletter, Rechnungen, alte Interessenten und externe Dienstleister benötigen unterschiedliche Bewertungen. Eine strukturierte Prüfung zeigt, welche Daten rechtmäßig benötigt werden und welche Prozesse angepasst werden sollten.
Kundendaten prüfen lassen