Datenschutz bei Kundendaten: Was laut Gesetz gilt

Kundendaten vs. personenbezogene Daten

Je nach Unternehmen spielen Kundendaten eine erhebliche Rolle. Häufig stellt sich die Frage in Verbindung mit dem Thema Datenschutz, ob Kundendaten mit personenbezogenen Daten gleichzusetzen sind.

Tatsächlich handelt es sich bei Kundendaten um personenbezogene Daten. Sie erhalten nur deshalb eine andere Bezeichnung, weil sie aus Sicht des Unternehmens Daten sind, die auf den Kunden zurückzuführen sind.

Zu den häufigsten Kundendaten, die ein Unternehmen von seinen Klienten speichert und verarbeitet, gehören u. a. die folgenden:

• Namen
• Adressen
• Telefonnummern
• Bestellungen
• Bankverbindungen bzw. Kontodaten
• IP-Adressen

Da Kundendaten und personenbezogene Daten gleichzusetzen sind, heißt das für jedes Unternehmen, dass sie auch genauso zu behandeln sind. Kurz zusammengefasst bedeutet das: Der Datenschutz bei Kundendaten muss gewahrt werden, indem die Klienten ausführlich und transparent über Umfang, Dauer und Zweck der Datenverarbeitung aufgeklärt werden.

Einen Unterschied zu personenbezogenen Daten, die beispielsweise den Datenschutz am Arbeitsplatz betreffen, gibt es bei Kundendaten aber doch: Nicht unbedingt selten kommt im Zusammenhang mit Datenschutz das Thema Verkauf von Kundendaten auf. Wann darf man Datenschutz-konform Kundendaten weitergeben? Ist ein Verkauf legal? Und wann muss man laut der DSGVO Kundendaten löschen?

Ist der Verkauf von Kundendaten laut Datenschutz erlaubt?

Bei dem sogenannten Daten-Sharing handelt es sich um ein häufig genutztes Vorgehen, das durchaus lukrativ werden kann. Es birgt jedoch ebenso sehr starke Risiken und kann mit hohen Bußgeldern bis in den Millionenbereich bestraft werden, wenn die sehr strikten Vorgaben zum Verkauf von Kundendaten nicht eingehalten werden.

Der Verkauf von Kundendaten kann laut Datenschutz nur in Einzelfällen gesetzlich erlaubt sein. Dazu müssen für und durch die Unternehmen mehrere Bedingungen erfüllt werden. Die Übernahme von Kundendaten erfüllt den Datenschutz z. B. nur, wenn dies für Geschäftszwecke notwendig ist. Eine vollständige Übersicht aller Bedingungen finden Sie hier aufgelistet:

• Einwilligung zur Datenweitergabe durch Betroffene
• Kunden müssen jederzeit die Möglichkeit haben, der Datenweitergabe zu widersprechen – auch nachträglich
• Einhaltung aller DSGVO-Vorgaben zum Umgang mit personenbezogenen Daten
• Das Daten-Sharing ist für geschäftliche Zwecke & Ziele unumgänglich

Es gibt darüber hinaus mehrere Formen von Unternehmensverkäufen. Dazu zählen die Verschmelzungen von Unternehmen sowie die Asset Deals und die Share Deals. Doch wie verhält es sich bei einem Unternehmensverkauf mit den Kundendaten und dem Datenschutz gemäß der DSGVO?

• Verschmelzung von Unternehmen → Hier handelt es sich nicht um eine Weitergabe von Kundendaten, da die Firmen als ein gemeinsames Unternehmen agieren und eine Gesamtrechtsnachfolge antreten. Die bestehenden Kundendaten bleiben als Teil der neuen Unternehmensform erhalten.
• Share Deal → Es werden Anteile des Unternehmens verkauft, das Unternehmen agiert jedoch weiter wie bisher und sollte keine personenbezogenen Daten weitergeben.
• Asset Deal → In diesem Fall werden Vermögensgegenstände als Teil eines Unternehmens übereignet. Dies kann z. B. in Form von Grundstücken und Gebäuden erfolgen. In diesem Fall kann es auch zum Daten-Sharing kommen. Der Datenschutz der Kundendaten bei einem Betriebsübergang muss hier durch eine (erneute) Einwilligung der Betroffenen gewahrt werden.

Speicherung & Löschung von Kundendaten gemäß DSGVO

Wie lange dürfen Kundendaten eigentlich gespeichert werden? Die DSGVO ist in diesem Fall nicht der alleinige Entscheidungsträger für die Antwort auf diese Frage.

Von der DSGVO werden konkrete Aufbewahrungsfristen für Kundendaten nicht festgelegt. Da es sich hierbei aber ggf. ebenfalls um personenbezogene Daten handelt, gelten die rechtlichen Rahmenbedingungen nach Art. 5 DSGVO:

Personenbezogene Daten müssen […] in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Was also erlaubt der Datenschutz, wenn Unternehmen Kundendaten speichern wollen? Tatsächlich kommt es vor allem darauf an, um welche Art von Daten es sich handelt und welche gesetzlichen Vorschriften es hierzu gibt.

Ein Beispiel: Für die Aufbewahrung von Rechnungen und Buchungen ist die Abgabenordnung (AO) zuständig. Hier gilt gemäß § 147 AO eine Aufbewahrungsfrist von 10 Jahren für Rechnungen und von 8 Jahren für Buchungen. Es gilt also nicht als Verstoß gegen den Datenschutz, wenn die Löschung solcher Kundendaten erst nach mehreren Jahren geschieht, sofern gesetzliche Fristen eingehalten werden.

Quellen und weiterführende Links

• Art. 5 DSGVO
• § 147 AO

(51 Bewertungen, Durchschnitt: 4,50 von 5)
Loading...

Bildnachweise