Datenschutz für gewerbliche Anbieter
Wer als Unternehmer personenbezogene Daten von Interessenten, Kunden, Mitarbeitern oder anderen Personen verarbeitet, muss die Datenschutz-Grundverordnung (DSGVO) und gegebenenfalls weitere datenschutzrechtliche Vorschriften beachten.
Das gilt auch für personenbezogene Daten, die ein gewerblicher Anbieter im Zusammenhang mit einem Inserat oder einer Kontaktaufnahme über Suchen.Expert erhält.
Suchen.Expert dient der Veröffentlichung von Inseraten, der Kontaktvermittlung und der Kommunikation zwischen Nutzern. Die Nutzung der Plattform berechtigt einen gewerblichen Anbieter nicht dazu, erhaltene personenbezogene Daten unbegrenzt oder für beliebige andere Zwecke zu verwenden.
1. Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Dazu können beispielsweise gehören:
Name und Anschrift,
Telefonnummer und E-Mail-Adresse,
Nachrichten und Kommunikationsinhalte,
Liefer- und Rechnungsdaten,
Zahlungsinformationen,
Nutzerkennungen,
Fotos oder andere Informationen, durch die eine Person identifiziert werden kann.
Die DSGVO schützt grundsätzlich Daten natürlicher Personen. Informationen über eine juristische Person als solche fallen nicht ohne Weiteres darunter. Daten natürlicher Ansprechpartner eines Unternehmens – beispielsweise Name, geschäftliche E-Mail-Adresse oder Telefonnummer eines Mitarbeiters – können jedoch personenbezogene Daten sein.
2. Personenbezogene Daten benötigen eine Rechtsgrundlage
Personenbezogene Daten dürfen nicht allein deshalb verarbeitet werden, weil sie technisch verfügbar sind.
Nach Art. 6 DSGVO ist eine Verarbeitung nur rechtmäßig, wenn hierfür eine gesetzliche Rechtsgrundlage besteht. In Betracht kommen insbesondere:
Einwilligung der betroffenen Person,
Verarbeitung zur Durchführung eines Vertrages oder vorvertraglicher Maßnahmen,
Erfüllung einer rechtlichen Verpflichtung oder
Wahrung berechtigter Interessen, sofern nicht entgegenstehende Interessen oder Rechte der betroffenen Person überwiegen.
Bei einer Anfrage eines Interessenten kann die Verarbeitung der für die Beantwortung und gegebenenfalls für einen späteren Vertrag notwendigen Daten insbesondere auf Art. 6 Abs. 1 Buchst. b DSGVO gestützt werden, soweit die gesetzlichen Voraussetzungen vorliegen.
3. Daten aus einer Kontaktaufnahme über Suchen.Expert
Nimmt ein Nutzer über Suchen.Expert Kontakt zu einem gewerblichen Anbieter auf, dürfen die dabei erhaltenen Daten insbesondere für die Bearbeitung dieser Anfrage und – soweit erforderlich – für die Anbahnung und Durchführung des betreffenden Geschäfts verarbeitet werden.
Beispiel:
Ein Interessent fragt einen gewerblichen Anbieter über Suchen.Expert nach einem angebotenen Produkt. Der Anbieter darf die für die Beantwortung der Anfrage und eine mögliche Vertragsabwicklung erforderlichen Kontaktdaten verwenden.
Die Kontaktaufnahme bedeutet jedoch nicht automatisch, dass der Interessent in eine darüber hinausgehende Nutzung seiner Daten eingewilligt hat.
Insbesondere dürfen Kontaktdaten nicht ohne eigene Rechtsgrundlage für andere Zwecke weiterverwendet, weitergegeben oder zu Werbezwecken in Verteiler übernommen werden.
Die DSGVO verlangt unter anderem Zweckbindung und Datenminimierung: Daten dürfen für festgelegte und legitime Zwecke verarbeitet werden und müssen auf das hierfür erforderliche Maß beschränkt bleiben.
4. Keine automatische Werbeeinwilligung
Eine Anfrage über Suchen.Expert ist insbesondere keine allgemeine Einwilligung in Werbung.
Wer beispielsweise eine E-Mail-Adresse erhält, um eine konkrete Anfrage zu beantworten oder einen Vertrag abzuwickeln, darf diese Adresse nicht allein deshalb anschließend beliebig für Newsletter oder andere Werbemitteilungen verwenden.
Für Werbung mit elektronischer Post verlangt § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Eine begrenzte Ausnahme besteht unter den Voraussetzungen des § 7 Abs. 3 UWG für Werbung gegenüber bestehenden Kunden für eigene ähnliche Waren oder Dienstleistungen. Dafür müssen sämtliche dort genannten Voraussetzungen erfüllt sein.
Die datenschutzrechtliche Zulässigkeit der Verarbeitung ist daneben gesondert zu beachten.
5. Nur notwendige Daten erheben
Unternehmer sollten nur solche personenbezogenen Daten verlangen, die sie für den jeweiligen Zweck tatsächlich benötigen.
Für eine einfache Anfrage sind beispielsweise regelmäßig keine Kopien von Ausweisdokumenten, Bankunterlagen oder sonstige besonders umfangreiche persönliche Informationen erforderlich.
Der Grundsatz der Datenminimierung aus Art. 5 DSGVO verlangt, dass personenbezogene Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sind.
Besondere Vorsicht ist bei sensiblen Informationen geboten. Daten sollten insbesondere nicht öffentlich in einem Inserat oder Unternehmensprofil veröffentlicht werden, wenn hierfür keine Notwendigkeit und keine ausreichende Rechtsgrundlage besteht.
6. Datenschutzhinweise des Unternehmers
Unternehmer, die selbst personenbezogene Daten erheben und verarbeiten, müssen prüfen, welche Informationspflichten sie gegenüber den betroffenen Personen erfüllen müssen.
Werden personenbezogene Daten unmittelbar bei der betroffenen Person erhoben, enthält Art. 13 DSGVO entsprechende Informationspflichten. Hierzu gehören insbesondere Informationen über den Verantwortlichen, die Zwecke und Rechtsgrundlagen der Verarbeitung sowie weitere gesetzlich vorgeschriebene Angaben.
Werden personenbezogene Daten nicht unmittelbar bei der betroffenen Person erhoben, kann Art. 14 DSGVO Anwendung finden.
Gewerbliche Anbieter sollten deshalb prüfen, ob sie für ihre eigene Datenverarbeitung eine eigene Datenschutzerklärung beziehungsweise Datenschutzinformation benötigen.
Die Datenschutzerklärung von Suchen.Expert ersetzt nicht automatisch die Datenschutzinformationen des jeweiligen Unternehmers für dessen eigene Verarbeitung personenbezogener Daten.
7. Verantwortung von Suchen.Expert und des Unternehmers
Suchen.Expert verarbeitet personenbezogene Daten im Zusammenhang mit dem Betrieb der Plattform nach Maßgabe der für Suchen.Expert geltenden Datenschutzbestimmungen.
Davon zu unterscheiden ist die eigene Verarbeitung personenbezogener Daten durch einen gewerblichen Anbieter.
Entscheidet der Unternehmer selbst darüber, zu welchen eigenen Zwecken und auf welche Weise er erhaltene Kundendaten verarbeitet, kann er für diese Verarbeitung selbst Verantwortlicher im Sinne der DSGVO sein. Der Verantwortliche ist nach Art. 4 Nr. 7 DSGVO grundsätzlich die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel einer Verarbeitung entscheidet.
Aus der bloßen Nutzung von Suchen.Expert folgt deshalb nicht automatisch, dass Suchen.Expert Auftragsverarbeiter des gewerblichen Nutzers oder der gewerbliche Nutzer Auftragsverarbeiter von Suchen.Expert ist.
Die datenschutzrechtliche Rolle richtet sich nach der konkreten Verarbeitung und den tatsächlichen Aufgaben der Beteiligten.
8. Weitergabe von Kundendaten
Personenbezogene Daten dürfen nur weitergegeben werden, wenn hierfür eine ausreichende Rechtsgrundlage besteht.
Im Rahmen einer Vertragsabwicklung kann beispielsweise eine Übermittlung bestimmter notwendiger Daten an einen Versanddienstleister erforderlich sein, damit die bestellte Ware zugestellt werden kann.
Auch eine Weitergabe an Steuerberater, Zahlungsdienstleister oder andere Dienstleister kann je nach Zweck und rechtlicher Ausgestaltung zulässig sein.
Dabei muss jedoch geprüft werden, welche datenschutzrechtliche Rolle der jeweilige Empfänger hat.
Verarbeitet ein externer Dienstleister personenbezogene Daten ausschließlich im Auftrag des Unternehmers, kann ein Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO vorliegen. In diesem Fall ist grundsätzlich ein entsprechender Vertrag beziehungsweise ein anderes den Anforderungen des Art. 28 DSGVO genügendes Rechtsinstrument erforderlich.
Nicht jeder externe Dienstleister ist allerdings automatisch Auftragsverarbeiter.
9. Speicherung und Löschung
Personenbezogene Daten dürfen grundsätzlich nicht unbegrenzt gespeichert werden.
Art. 5 DSGVO verlangt eine Begrenzung der Speicherdauer auf den Zeitraum, der für die jeweiligen Verarbeitungszwecke erforderlich ist.
Das bedeutet jedoch nicht, dass Kundendaten unmittelbar nach Abschluss eines Geschäfts vollständig gelöscht werden müssen.
Gesetzliche Aufbewahrungspflichten – beispielsweise für Rechnungen, Buchungsbelege oder Geschäftsunterlagen – können eine weitere Speicherung bestimmter Daten erfordern.
Unternehmer sollten deshalb unterscheiden zwischen:
Daten, die für gesetzliche Aufbewahrungspflichten weiterhin erforderlich sind, und
Daten, für deren weitere Speicherung kein Zweck und keine Rechtsgrundlage mehr besteht.
Nicht mehr benötigte personenbezogene Daten sollten nach Maßgabe der gesetzlichen Vorgaben gelöscht oder gegebenenfalls in ihrer Verarbeitung eingeschränkt werden.
10. Sichere Verarbeitung
Unternehmer müssen personenbezogene Daten angemessen gegen Verlust, unbefugte Nutzung und unberechtigten Zugriff schützen.
Art. 32 DSGVO verlangt unter Berücksichtigung insbesondere des Risikos, des Stands der Technik und der Art der Verarbeitung geeignete technische und organisatorische Maßnahmen. Dazu können abhängig vom konkreten Risiko beispielsweise Verschlüsselung, Zugriffsbeschränkungen, Datensicherungen und Verfahren zur regelmäßigen Überprüfung der Sicherheitsmaßnahmen gehören.
Für die Nutzung von Suchen.Expert bedeutet dies insbesondere, dass gewerbliche Nutzer ihre Zugangsdaten schützen und den Zugriff auf ihr Unternehmenskonto nur berechtigten Personen ermöglichen sollten.
Werden personenbezogene Informationen aus Suchen.Expert in eigene Systeme exportiert oder übertragen, muss auch dort ein angemessenes Schutzniveau gewährleistet sein.
11. Zugriffsrechte im Unternehmen
Nicht jeder Mitarbeiter eines Unternehmens sollte automatisch Zugang zu sämtlichen Kundendaten haben.
Zugriffe sollten sich danach richten, welche Daten eine Person für ihre jeweilige Aufgabe benötigt.
Scheidet ein Mitarbeiter aus oder benötigt er einen Zugang nicht mehr, sollten dessen Berechtigungen unverzüglich überprüft und erforderlichenfalls entzogen werden.
Passwörter oder persönliche Nutzerzugänge sollten nicht unkontrolliert zwischen mehreren Personen geteilt werden.
12. Rechte betroffener Personen
Personen, deren Daten verarbeitet werden, stehen nach der DSGVO verschiedene Rechte zu.
Dazu gehören – jeweils unter den gesetzlichen Voraussetzungen – insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie ein Widerspruchsrecht gegen bestimmte Verarbeitungen.
Ein gewerblicher Anbieter muss Anfragen betroffener Personen, soweit er für die betreffende Verarbeitung verantwortlich ist, nach den gesetzlichen Vorgaben bearbeiten.
Dabei muss zunächst geklärt werden, ob sich die Anfrage auf eine Datenverarbeitung des Unternehmers oder auf eine Verarbeitung durch Suchen.Expert selbst bezieht.
13. Datenschutzverletzungen
Gehen personenbezogene Daten verloren, werden sie versehentlich an einen falschen Empfänger übermittelt oder erhalten Unbefugte Zugriff darauf, kann eine Verletzung des Schutzes personenbezogener Daten vorliegen.
Ist voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen gegeben, muss der Verantwortliche die Datenschutzverletzung grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden. Art. 33 DSGVO enthält hierzu die gesetzlichen Anforderungen.
Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen, kann zusätzlich eine unverzügliche Benachrichtigung der betroffenen Personen erforderlich sein.
Datenschutzverletzungen müssen zudem nach Maßgabe des Art. 33 Abs. 5 DSGVO dokumentiert werden.
14. Eigene Dienstleister und Software
Wer als Unternehmer zusätzlich eigene
Cloud-Dienste, CRM-Systeme, Newsletterdienste, Buchhaltungssoftware, Analyseprogramme, Kommunikationsdienste oder sonstige externe Systeme
für Kundendaten verwendet, muss diese Verarbeitung eigenständig datenschutzrechtlich prüfen.
Dabei können insbesondere relevant sein:
Rechtsgrundlage, Auftragsverarbeitung, technische und organisatorische Maßnahmen, Speicherfristen sowie gegebenenfalls Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums.
Die Tatsache, dass Daten ursprünglich über Suchen.Expert erhalten wurden, entbindet den Unternehmer nicht von diesen Pflichten.
15. Keine Veröffentlichung von Kundendaten
Personenbezogene Daten von Interessenten oder Kunden dürfen grundsätzlich nicht ohne ausreichende Rechtsgrundlage öffentlich in Inseraten, Bewertungen, Unternehmensprofilen oder anderen öffentlich zugänglichen Bereichen veröffentlicht werden.
Dies betrifft insbesondere:
Namen, private Anschriften, Telefonnummern, E-Mail-Adressen, Fotos, Nachrichtenverläufe sowie Zahlungs- oder Vertragsinformationen.
Auch Screenshots einer Kommunikation können personenbezogene Daten enthalten.
Wer beispielsweise eine positive Kundennachricht als Referenz oder Kundenstimme veröffentlichen möchte, muss deshalb zuvor prüfen, ob hierfür eine ausreichende Rechtsgrundlage besteht.
Datenschutz auf Suchen.Expert
Suchen.Expert stellt die technische Plattform für Inserate, Kontaktvermittlung und Kommunikation bereit.
Für Datenverarbeitungen, die Suchen.Expert selbst im Zusammenhang mit dem Betrieb der Plattform durchführt, gelten die Datenschutzinformationen von Suchen.Expert.
Verarbeitet ein gewerblicher Nutzer personenbezogene Daten dagegen für eigene geschäftliche Zwecke, ist er für die Einhaltung der hierfür geltenden datenschutzrechtlichen Anforderungen selbst verantwortlich, soweit er datenschutzrechtlich Verantwortlicher dieser Verarbeitung ist.
Insbesondere dürfen über Suchen.Expert erhaltene Kontaktdaten nicht allein deshalb für Werbung, externe Verteiler, eine Veröffentlichung oder andere neue Zwecke genutzt werden, weil der betreffende Nutzer zuvor Kontakt über die Plattform aufgenommen hat.
Diese Hinweise dienen der allgemeinen Orientierung und ersetzen keine datenschutzrechtliche Prüfung der konkreten Verarbeitungstätigkeiten eines Unternehmens.
