Kundendaten nach der DSGVO verarbeiten: Was Unternehmen beachten müssen

Kurzantwort: Nicht jede Verarbeitung von Kundendaten benötigt eine Einwilligung

Für einen belastbaren Umgang mit Kundendaten sollten Unternehmen insbesondere folgende Punkte klären:

1. Daten und Zwecke erfassen: Welche Angaben werden in welchem Prozess benötigt und in welchen Systemen verarbeitet?
2. Rechtsgrundlage bestimmen: Beruht die Verarbeitung auf einem Vertrag, einer gesetzlichen Pflicht, berechtigten Interessen oder einer Einwilligung?
3. Rollen und Empfänger einordnen: Handelt ein Dienstleister als Auftragsverarbeiter, gemeinsam Verantwortlicher oder für eigene Zwecke?
4. Betroffene informieren: Passen Datenschutzhinweise zu den tatsächlichen Datenflüssen, Empfängern und Speicherfristen?
5. Aufbewahrung und Löschung organisieren: Welche Daten werden noch benötigt, welche müssen aufbewahrt und welche gelöscht oder anonymisiert werden?
6. Schutz und Reaktion festlegen: Wer darf zugreifen, wie werden Vorfälle behandelt und wie können Betroffenenrechte innerhalb der Fristen erfüllt werden?

Die Datenschutz-Grundverordnung verlangt kein identisches Maßnahmenpaket für jedes Unternehmen. Sie folgt einem risikobasierten Ansatz. Die erforderliche Organisation richtet sich unter anderem nach Art und Umfang der Daten, dem Verwendungszweck, den eingesetzten Systemen und den möglichen Folgen für betroffene Personen.

Welche Kundendaten unter die DSGVO fallen

Die DSGVO schützt Informationen über identifizierte oder identifizierbare natürliche Personen. Bei Privatkunden ist der Personenbezug meist offensichtlich. Im B2B-Geschäft werden jedoch ebenfalls regelmäßig personenbezogene Daten verarbeitet, etwa Namen, geschäftliche E-Mail-Adressen, Durchwahlnummern, Funktionen, Kommunikationsinhalte oder Nutzungsprotokolle von Ansprechpartnern.

Reine Angaben über eine juristische Person, beispielsweise die Firma, eine allgemeine Funktionsadresse oder der Jahresumsatz einer GmbH, fallen nicht allein deshalb unter die DSGVO. Sobald sich eine Information aber auf einen Geschäftsführer, Beschäftigten, Einzelunternehmer oder sonstigen identifizierbaren Menschen bezieht, kann die Verordnung anwendbar sein. Daneben können Geschäftsgeheimnisse und vertragliche Vertraulichkeit Schutz verlangen, auch wenn kein Personenbezug besteht.

Für die Praxis bedeutet das: Die Bezeichnung „B2B-Daten“ ist noch keine datenschutzrechtliche Kategorie. Entscheidend ist, ob eine natürliche Person hinter den Angaben erkennbar wird und welche Aussagen sich mit den Daten über sie treffen lassen.

Zuerst die tatsächlichen Datenflüsse erfassen

Ein tragfähiges Datenschutzkonzept beginnt nicht mit einem Mustertext, sondern mit einer Bestandsaufnahme. Unternehmen sollten einen typischen Kundenprozess vom ersten Kontakt bis zur Löschung nachvollziehen:

• Über welche Kanäle kommen Anfragen und Kontaktdaten in das Unternehmen?
• Welche Daten werden im CRM, Shop, Ticketsystem, in E-Mails oder Projektakten gespeichert?
• Welche Abteilungen und externen Dienstleister erhalten Zugriff?
• Werden Daten mit Informationen aus anderen Quellen angereichert?
• Entstehen Auswertungen, Profile, Bonitätswerte oder automatisierte Empfehlungen?
• Gelangen Daten in Cloud-, Analyse-, Marketing- oder KI-Dienste?
• Welche Kopien entstehen in Exporten, Protokollen, Archiven und Backups?
• Wann endet der jeweilige Zweck und wer stößt die Löschung an?

Ein einzelner Datensatz kann mehreren Zwecken dienen. Eine E-Mail-Adresse wird beispielsweise zur Vertragskommunikation, Rechnungsstellung und möglicherweise auch für Werbung verwendet. Diese Zwecke dürfen nicht zu einer pauschalen Gesamtverarbeitung zusammengezogen werden. Für jeden Zweck sind Rechtsgrundlage, Informationspflicht, Zugriffsberechtigung und Speicherdauer gesondert zu beurteilen.

Hilfreich ist eine einfache Darstellung mit fünf Spalten: Datenquelle – Zweck – System – Empfänger – Löschereignis. Sie macht Lücken meist schneller sichtbar als eine abstrakte Sammlung von Datenschutzdokumenten.

Welche Rechtsgrundlage für Kundendaten passt?

Artikel 6 DSGVO enthält mehrere Rechtsgrundlagen. Keine davon ist ein allgemeiner Vorrangtatbestand. Die Auswahl folgt dem konkreten Zweck und muss feststehen, bevor die betreffende Verarbeitung beginnt.

Vertrag und vorvertragliche Maßnahmen

Personenbezogene Daten dürfen verarbeitet werden, wenn dies für die Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Anfrage erforderlich ist. Dazu können etwa Lieferadresse, Zahlungsangaben oder die für eine beauftragte Leistung benötigten Kontaktdaten gehören.

Im B2B-Geschäft ist eine wichtige Abgrenzung nötig: Vertragspartner ist häufig eine GmbH oder andere juristische Person, nicht deren Ansprechpartner. Artikel 6 Absatz 1 Buchstabe b DSGVO lässt sich dann nicht ohne Weiteres auf jede Verarbeitung der Beschäftigtendaten des Geschäftskunden übertragen. Je nach Zweck kommen insbesondere berechtigte Interessen an einer geordneten Vertragskommunikation in Betracht.

„Für den Vertrag nützlich“ reicht außerdem nicht aus. Die Verarbeitung muss für den konkreten Vertragszweck erforderlich sein. Zusätzliche Analysen, werbliche Nutzung oder eine spätere Anreicherung mit Drittinformationen benötigen eine eigene Einordnung.

Gesetzliche Pflichten

Eine Verarbeitung kann erforderlich sein, um handels-, steuer-, geldwäsche-, berufs- oder sonstige gesetzliche Pflichten zu erfüllen. Die zugrunde liegende Vorschrift und die hiervon erfassten Daten sollten dokumentiert werden. Eine gesetzliche Aufbewahrungspflicht rechtfertigt nicht automatisch jede weitere Nutzung während der gesamten Aufbewahrungszeit.

Berechtigte Interessen

Artikel 6 Absatz 1 Buchstabe f DSGVO kann insbesondere für B2B-Kommunikation, IT-Sicherheit, Missbrauchsprävention, interne Verwaltung oder die Verteidigung gegen Rechtsansprüche relevant sein. Die Rechtsgrundlage ist jedoch kein pauschaler Auffangtatbestand. Erforderlich sind drei Schritte:

1. ein konkretes berechtigtes Interesse des Unternehmens oder eines Dritten,
2. die Erforderlichkeit der Verarbeitung für dieses Interesse und
3. eine Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person.

Dabei spielen unter anderem Art der Daten, vernünftige Erwartungen, Eingriffsintensität, Schutzmaßnahmen und Widerspruchsmöglichkeiten eine Rolle. Das Ergebnis sollte so dokumentiert werden, dass die wesentlichen Erwägungen später nachvollziehbar sind.

Einwilligung

Eine Einwilligung kann eine passende Grundlage sein, wenn die betroffene Person tatsächlich frei entscheiden kann und verständlich über den konkreten Zweck informiert wird. Sie muss freiwillig, bestimmt, informiert, unmissverständlich und nachweisbar sein. Außerdem muss sie jederzeit mit Wirkung für die Zukunft widerrufen werden können.

Für Verarbeitungen, die zur Vertragserfüllung objektiv notwendig sind, ist eine Einwilligung regelmäßig nicht die sachgerechte Grundlage. Sie schafft auch keine beliebige Reserve für künftige, noch unbestimmte Zwecke. Wird sie widerrufen, muss das Unternehmen wissen, welche Verarbeitung auf dieser Einwilligung beruhte und welche Daten aus anderen Gründen weiterhin aufbewahrt werden dürfen.

Bei E-Mail-Werbung, Tracking und dem Zugriff auf Endgeräte sind neben der DSGVO insbesondere wettbewerbs- und telekommunikationsrechtliche Vorgaben zu prüfen. Eine datenschutzrechtliche Rechtsgrundlage beantwortet diese zusätzlichen Fragen nicht automatisch.

Besondere Kategorien personenbezogener Daten

Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, Angaben zu Religion, politischer Meinung oder Gewerkschaftszugehörigkeit und weitere in Artikel 9 DSGVO genannte Kategorien unterliegen zusätzlichen Voraussetzungen. Neben einer Rechtsgrundlage nach Artikel 6 muss eine Ausnahme vom grundsätzlichen Verarbeitungsverbot des Artikels 9 eingreifen.

Solche Daten können auch unerwartet in Supportanfragen, Freitextfeldern, Beschwerden oder hochgeladenen Unterlagen auftauchen. Unternehmen sollten deshalb nicht nur geplante Datenfelder, sondern auch offene Eingabemöglichkeiten und Anhänge berücksichtigen.

Typische Prozesse brauchen getrennte Prüfungen

Dieselben Kontaktdaten können je nach Verwendung unterschiedlich zu beurteilen sein. Die folgende Übersicht nennt deshalb nur mögliche Ausgangspunkte, keine pauschale Freigabe:

Der passende Ausgangspunkt kann sich ändern, wenn Daten angereichert, für einen neuen Zweck verwendet oder an weitere Empfänger übermittelt werden.

Transparenz: Datenschutzhinweise müssen zum Prozess passen

Betroffene Personen müssen verständlich erfahren, wer ihre Daten wofür verarbeitet. Werden die Daten direkt bei ihnen erhoben, richtet sich die Information insbesondere nach Artikel 13 DSGVO. Stammen die Daten aus anderen Quellen, kommt Artikel 14 hinzu.

Zu den wesentlichen Angaben gehören insbesondere:

• Identität und Kontaktdaten des Verantwortlichen,
• Zwecke und Rechtsgrundlagen,
• berechtigte Interessen, soweit hierauf gestützt,
• Empfänger oder Empfängerkategorien,
• Drittlandübermittlungen und die hierfür eingesetzten Garantien,
• Speicherdauer oder nachvollziehbare Kriterien hierfür,
• Betroffenenrechte und Beschwerdemöglichkeit,
• Herkunft der Daten bei indirekter Erhebung,
• gegebenenfalls aussagekräftige Informationen zu automatisierten Entscheidungen.

Eine Datenschutzerklärung auf der Webseite deckt nicht automatisch CRM, Support, Lieferantenkontakte, Veranstaltungen oder Offline-Erhebungen ab. Die Information sollte dort bereitgestellt werden, wo der jeweilige Kontakt entsteht. Bei umfangreichen Hinweisen kann ein mehrstufiges Modell sinnvoll sein: Die erste Ebene nennt die entscheidenden Punkte, die zweite enthält die vollständigen Informationen.

Unbestimmte Angaben wie „Wir speichern Ihre Daten so lange, wie es erforderlich ist“ sind nur begrenzt hilfreich. Wo feste Fristen nicht genannt werden können, sollten zumindest konkrete Kriterien und auslösende Ereignisse beschrieben werden.

Kundendaten für Vertrieb und Marketing nutzen

Dass eine E-Mail-Adresse für Angebot, Vertrag oder Support rechtmäßig gespeichert wird, erlaubt noch nicht automatisch ihre Nutzung für Werbung. Der Marketingzweck ist gesondert zu bestimmen. Neben der Rechtsgrundlage nach der DSGVO muss insbesondere der gewählte Werbekanal zulässig sein.

Für Werbung per E-Mail verlangt § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung – auch gegenüber geschäftlichen Empfängern. Die Ausnahme für Bestandskunden greift nur, wenn sämtliche gesetzlichen Voraussetzungen erfüllt sind: Das Unternehmen muss die Adresse im Zusammenhang mit einem Verkauf erhalten haben, für eigene ähnliche Angebote werben, einen Widerspruch beachten und bei Erhebung sowie jeder Verwendung klar auf die kostenfreie Widerspruchsmöglichkeit hinweisen.

Ein berechtigtes Interesse an Direktwerbung ersetzt diese wettbewerbsrechtliche Prüfung nicht. Umgekehrt genügt auch eine formal vorhandene Werbeeinwilligung nicht, wenn ihr Umfang unklar ist oder Widerruf und Widerspruch technisch nicht zuverlässig umgesetzt werden. Ein begrenzter Sperrvermerk kann erforderlich sein, damit eine abgemeldete Adresse nicht aus einem anderen System erneut angeschrieben wird.

Trackingpixel, Cookies oder ähnliche Zugriffe auf Endgeräte bilden eine weitere Prüfungsebene. Hier kann zusätzlich § 25 TDDDG gelten. Die vertiefte Abgrenzung von Einwilligung, Bestandskundenausnahme und Dokumentation behandelt der Beitrag zum E-Mail-Marketing in Unternehmen.

Dienstleister richtig einordnen: Auftrag, gemeinsame Verantwortung oder eigener Zweck

Cloudanbieter, CRM-Dienste, Hostingunternehmen, Newsletterplattformen oder Supportdienstleister sind nicht allein aufgrund ihrer Bezeichnung Auftragsverarbeiter. Entscheidend ist, wer die Zwecke und wesentlichen Mittel der Verarbeitung bestimmt.

Auftragsverarbeitung

Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Unternehmens, kann eine Auftragsverarbeitung vorliegen. Dann ist regelmäßig ein Vertrag nach Artikel 28 DSGVO erforderlich. Dieser sollte nicht nur formal vorhanden sein, sondern zum tatsächlichen Dienst passen. Zu prüfen sind insbesondere:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung,
• Kategorien betroffener Personen und Daten,
• Weisungsbindung und Vertraulichkeit,
• technische und organisatorische Maßnahmen,
• Einsatz und Wechsel von Unterauftragnehmern,
• Unterstützung bei Betroffenenrechten und Datenschutzvorfällen,
• Rückgabe oder Löschung nach Vertragsende,
• Nachweise und angemessene Kontrollmöglichkeiten.

Das Unternehmen bleibt für Auswahl, Beauftragung und risikogerechte Kontrolle des Auftragsverarbeiters verantwortlich. Eine standardisierte Vereinbarung ersetzt deshalb nicht die Prüfung der Produktfunktionen, Sicherheitseinstellungen und tatsächlichen Datenwege.

Datenschutzklauseln sind dabei nur ein Teil des Vertrags. Leistungsbeschreibung, Verfügbarkeit, Haftung, Änderungsrechte, Unterstützung bei Vorfällen und ein geordneter Anbieterwechsel müssen ebenfalls zum Geschäftsprozess passen. Diese Punkte vertieft der Beitrag zur Vertragsgestaltung mit IT-Dienstleistern.

Gemeinsame oder getrennte Verantwortung

Legen zwei Stellen Zwecke und wesentliche Mittel gemeinsam fest, kann eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vorliegen. Beide Stellen müssen dann transparent regeln, wer welche Pflichten erfüllt. Verarbeitet ein Anbieter Daten dagegen für eigene, selbst bestimmte Zwecke, kann er insoweit eigenständig Verantwortlicher sein.

Ein Dienst kann mehrere Rollen zugleich enthalten. Die eigentliche Hostingfunktion kann Auftragsverarbeitung sein, während Missbrauchsanalyse, Produktverbesserung oder eigene Werbezwecke anders einzuordnen sind. Maßgeblich sind nicht allein Vertragsüberschriften, sondern Funktionen, Einstellungen und tatsächliches Verhalten. Eine vertiefte Orientierung bieten die Leitlinien 07/2020 des Europäischen Datenschutzausschusses zu Verantwortlichen und Auftragsverarbeitern.

Weitergabe zur Forderungsdurchsetzung

Auch die Übergabe einer offenen Kundenforderung an einen Rechtsanwalt, Inkassodienstleister oder eine Auskunftei ist nicht automatisch Auftragsverarbeitung. Die empfangende Stelle kann aufgrund eigener gesetzlicher Aufgaben und Entscheidungsspielräume in einem eigenen Verantwortungsbereich handeln. Das übermittelnde Unternehmen muss deshalb Zweck, Rechtsgrundlage, Empfängerinformation und erforderlichen Datenumfang prüfen.

Für die Durchsetzung einer konkreten Forderung werden regelmäßig Vertrags-, Rechnungs-, Zahlungs- und Mahndaten benötigt. Ein vollständiger Export des CRM mit sachfremden Marketing-, Support- oder Profildaten wäre damit nicht ohne Weiteres gerechtfertigt. Ein geordnetes Forderungsmanagement für Unternehmen sollte Datenminimierung, Nachweisführung und die spätere Rückgabe oder Aufbewahrung der Unterlagen daher mitdenken.

Übermittlungen in Drittländer

Werden Kundendaten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder von dort zugänglich gemacht, greifen zusätzlich die Artikel 44 ff. DSGVO. Ein zugesagter Serverstandort in der EU genügt für die Prüfung nicht, wenn Support, Unterauftragnehmer oder Fernzugriffe in Drittländern möglich sind.

Als Übermittlungsgrundlage kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien wie die Standardvertragsklauseln der Europäischen Kommission in Betracht. Je nach Empfängerland und Instrument können eine zusätzliche Bewertung und ergänzende Schutzmaßnahmen erforderlich sein. Die Kommission führt eine aktuelle Übersicht der Angemessenheitsbeschlüsse.

Bei Übermittlungen an US-Unternehmen ist zu prüfen, ob der konkrete Empfänger für die betreffende Datenart am EU-US Data Privacy Framework teilnimmt oder ein anderes Übermittlungsinstrument verwendet wird. Eine Konzernzugehörigkeit oder Werbeaussage des Anbieters genügt dafür nicht.

Zum Stand 2. August 2026 ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework in Kraft. Sein Fortbestand und die aktuelle Zertifizierung des konkreten Empfängers sind gleichwohl für den Zeitpunkt der Übermittlung zu prüfen; ein anhängiges Rechtsmittel gegen das klageabweisende Urteil des Gerichts setzt den Beschluss nicht automatisch außer Kraft.

Verzeichnis und Rechenschaft: Entscheidungen nachvollziehbar machen

Die DSGVO verlangt nicht nur ein rechtmäßiges Ergebnis, sondern auch den Nachweis, dass das Unternehmen seine Pflichten erfüllt. Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 ist dafür ein wichtiges Arbeitsinstrument. Es sollte nicht als isolierte Pflichtdatei geführt werden, sondern mit Verantwortlichkeiten, Datenschutzhinweisen, Verträgen, Sicherheitsmaßnahmen und Löschfristen verbunden sein.

Nach der am 2. August 2026 geltenden Fassung des Artikels 30 Absatz 5 ist die Ausnahme für Unternehmen und Organisationen mit weniger als 250 Beschäftigten eng begrenzt. Sie greift insbesondere nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, Risiken für betroffene Personen begründet oder besondere Kategorien beziehungsweise Daten über strafrechtliche Verurteilungen und Straftaten umfasst. Die laufende Kundenverwaltung ist regelmäßig keine nur gelegentliche Verarbeitung.

Die Ausnahme wird auf EU-Ebene derzeit überarbeitet. Zum Stand 2. August 2026 war die Änderung noch nicht förmlich angenommen und nicht in Kraft. Die im Gesetzgebungsverfahren diskutierten höheren Schwellen dürfen daher nicht wie geltendes Recht behandelt werden; maßgeblich bleibt die bisherige Fassung. Den Verfahrensstand dokumentiert die EU-Gesetzgebungsakte 2025/0130(COD).

Unabhängig von der formalen Verzeichnispflicht benötigt ein Unternehmen eine belastbare Übersicht, um Informationspflichten, Löschung, Sicherheitsmaßnahmen und Betroffenenrechte erfüllen zu können. Zur Rechenschaftsdokumentation können außerdem gehören:

• dokumentierte Rechtsgrundlagen und Interessenabwägungen,
• Einwilligungs- und Widerrufsnachweise,
• Verträge mit Auftragsverarbeitern und Rollenbewertungen,
• Prüfungen von Unterauftragnehmern und Drittlandtransfers,
• technische und organisatorische Maßnahmen,
• Löschregeln und dokumentierte Ausnahmen,
• Entscheidungen zu Datenschutz-Folgenabschätzungen,
• Bearbeitung von Betroffenenanfragen und Datenschutzverletzungen.

Dokumentation ist kein Selbstzweck. Sie sollte so aufgebaut sein, dass Geschäftsführung, Fachabteilung und zuständige Datenschutzfunktion erkennen können, welche Entscheidung getroffen wurde, auf welchen Tatsachen sie beruht und wann sie erneut geprüft werden muss.

Die darüber hinausgehende unternehmensweite Organisation – von Zuständigkeiten über Richtlinien bis zur technischen Grundabsicherung – behandelt der Beitrag zu den DSGVO-Anforderungen für KMU. Der vorliegende Beitrag bleibt dagegen auf Kunden- und Interessentendaten entlang ihres betrieblichen Lebenszyklus konzentriert.

Ein Löschkonzept verbindet Zweck, Aufbewahrung und Systeme

Kundendaten dürfen nicht vorsorglich unbegrenzt gespeichert werden. Endet der Zweck und besteht keine andere tragfähige Grundlage, sind die Daten grundsätzlich zu löschen oder wirksam zu anonymisieren. Gleichzeitig können gesetzliche Aufbewahrungspflichten oder die Geltendmachung und Verteidigung von Rechtsansprüchen einer sofortigen Löschung bestimmter Daten entgegenstehen.

Ein Löschkonzept sollte deshalb nicht nur eine Jahreszahl nennen. Es verbindet:

1. Datenkategorie: beispielsweise Vertragsunterlagen, Kommunikation, Rechnungsdaten oder Supportprotokolle,
2. Zweck: wofür die Daten aktiv benötigt werden,
3. Frist oder Ereignis: Vertragsende, Abschluss des Vorgangs, Ablauf einer Aufbewahrungsfrist oder Wegfall eines Rechtsverfolgungsinteresses,
4. Systeme und Kopien: Produktivsystem, Archiv, Exporte, lokale Ablagen, Dienstleister und Backups,
5. Verantwortung: wer die Löschung auslöst, kontrolliert und dokumentiert.

Aufbewahrung bedeutet nicht freie Weiternutzung. Daten, die nur noch zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverteidigung benötigt werden, sollten im Zugriff und in der weiteren Verwendung entsprechend beschränkt werden.

Backups benötigen eine eigene Regel. Eine sofortige Einzeldateilöschung ist dort technisch nicht immer möglich. Dann sollten Sicherungen vom laufenden Zugriff getrennt, durch feste Überschreibzyklen begrenzt und bei einer Wiederherstellung so behandelt werden, dass bereits ausgelöste Löschungen nicht dauerhaft rückgängig gemacht werden.

Sicherheit und Datenschutzvorfälle organisatorisch vorbereiten

Artikel 32 DSGVO verlangt ein Schutzniveau, das zum Risiko der Verarbeitung passt. Nicht jedes Unternehmen benötigt dieselbe technische Architektur. Entscheidend sind insbesondere Sensibilität und Menge der Daten, Zugriffswege, mögliche Schäden und der Stand der Technik.

Typische Maßnahmen können sein:

• rollenbezogene Berechtigungen und regelmäßige Überprüfung von Konten,
• Mehr-Faktor-Authentifizierung für schutzbedürftige Systeme,
• Verschlüsselung bei Übertragung und – soweit angemessen – Speicherung,
• Trennung von Produktiv-, Test- und Entwicklungsdaten,
• Protokollierung sicherheitsrelevanter Zugriffe und Änderungen,
• gesicherte Wiederherstellung und getestete Backups,
• geregelte Updates, Schwachstellen- und Dienstleisterprozesse,
• Schulung sowie erreichbare Meldewege für Beschäftigte.

Gerade Fehlversand, unzulässige Exporte und falsch gesetzte Freigaben entstehen häufig im Arbeitsalltag. Rollenbezogene Datenschutzschulungen für Beschäftigte sollten deshalb mit den tatsächlich eingesetzten Systemen und internen Meldewegen verknüpft sein.

Für einen Vorfall sollte vorab feststehen, wer technische Eindämmung, rechtliche Bewertung, Kommunikation und Dokumentation übernimmt. Eine Verletzung des Schutzes personenbezogener Daten kann etwa durch Fehlversand, verlorene Geräte, unberechtigte Zugriffe, Schadsoftware oder versehentliche Löschung entstehen.

Nicht jede Datenschutzverletzung muss der Aufsichtsbehörde gemeldet werden. Besteht jedoch voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, muss die Meldung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Bei einem voraussichtlich hohen Risiko sind unter den gesetzlichen Voraussetzungen zusätzlich die betroffenen Personen zu benachrichtigen. Die Verletzung und die Bewertungsentscheidung sind unabhängig davon nachvollziehbar zu dokumentieren.

Betroffenenrechte müssen in den Systemen umsetzbar sein

Datenschutzhinweise genügen nicht, wenn Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch praktisch nicht bearbeitet werden können. Unternehmen benötigen einen Prozess, der Anfragen erkennt, die Identität angemessen prüft und Daten in den betroffenen Systemen auffindet.

Regelmäßig sollte geklärt sein:

• Über welche Kanäle können Anfragen eingehen?
• Wer koordiniert die Bearbeitung und überwacht die Frist?
• In welchen Systemen, Archiven und Dienstleisterplattformen muss gesucht werden?
• Welche Daten betreffen auch Rechte anderer Personen oder Geschäftsgeheimnisse?
• Welche gesetzlichen Aufbewahrungsgründe stehen einer Löschung entgegen?
• Wie werden Berichtigung oder Einschränkung an Empfänger weitergegeben?

Die DSGVO sieht grundsätzlich eine Reaktion innerhalb eines Monats vor. Bei komplexen oder zahlreichen Anträgen kann die Frist unter den gesetzlichen Voraussetzungen um zwei weitere Monate verlängert werden; über die Verlängerung und ihre Gründe ist innerhalb des ersten Monats zu informieren.

Nicht jedes Recht greift in jeder Konstellation gleich. Das Recht auf Datenübertragbarkeit setzt beispielsweise bestimmte Rechtsgrundlagen und eine automatisierte Verarbeitung voraus. Ein Widerspruch erfordert eine andere Prüfung als der Widerruf einer Einwilligung. Automatische Standardantworten ohne Einordnung des konkreten Begehrens sind daher riskant.

Datenschutzbeauftragter und Folgenabschätzung sind keine Pauschalpflichten

Wann ein Datenschutzbeauftragter erforderlich ist

Artikel 37 DSGVO verlangt einen Datenschutzbeauftragten insbesondere, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen oder die umfangreiche Verarbeitung besonderer Kategorien beziehungsweise strafrechtlicher Daten umfasst.

Für nichtöffentliche Stellen in Deutschland ergänzt § 38 BDSG diese Vorgaben. Danach ist regelmäßig ein Datenschutzbeauftragter zu benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von dieser Zahl kann die Pflicht insbesondere bestehen, wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern oder personenbezogene Daten geschäftsmäßig zu bestimmten Übermittlungs-, Markt- oder Meinungsforschungszwecken verarbeitet werden.

Die Unternehmensgröße allein beantwortet die Frage deshalb nicht. Ebenso wenig sollte jede interne Datenschutzkoordination vorschnell als formelle Benennung bezeichnet werden. An die gesetzliche Stellung eines Datenschutzbeauftragten knüpfen besondere Aufgaben, Unabhängigkeit und Schutzvorgaben an.

Wann eine Datenschutz-Folgenabschätzung nötig ist

Eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO ist erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Nicht jedes CRM, jeder Cloudvertrag oder jeder KI-Einsatz löst diese Pflicht aus.

Erhöhten Prüfbedarf können insbesondere begründen:

• systematische und umfassende Bewertung persönlicher Aspekte,
• folgenschwere automatisierte Entscheidungen,
• umfangreiche Verarbeitung besonderer Kategorien,
• systematische Überwachung öffentlich zugänglicher Bereiche,
• Zusammenführung großer Datenbestände aus verschiedenen Quellen,
• innovative Technologien in Verbindung mit weiteren Risikofaktoren,
• Verarbeitung von Daten schutzbedürftiger Personengruppen.

Die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungstätigkeiten, für die eine Folgenabschätzung erforderlich ist. Die Muss-Liste der Datenschutzkonferenz, Version 1.1, enthält unter anderem Beispiele zu Scoring, umfangreichen Kundenprofilen und bestimmten KI-Anwendungen.

Welche Liste einschlägig ist, richtet sich nach der zuständigen Aufsichtsbehörde und dem konkreten Verarbeitungsvorgang. Der Europäische Datenschutzausschuss bündelt Grundlagen und aktuelle Instrumente zur Datenschutz-Folgenabschätzung. Ein Formular ersetzt jedoch weder die vorgelagerte Risikobewertung noch die Prüfung der nationalen Muss-Liste.

Cloud- und KI-Dienste mit Kundendaten einsetzen

Bei Cloud- und KI-Diensten reicht die Frage „Werden unsere Daten zum Training verwendet?“ nicht aus. Für die Einordnung sollten Unternehmen den konkreten Dienst, Tarif, die aktivierten Funktionen und den tatsächlichen Datenfluss prüfen.

Relevant sind insbesondere:

• Welche Kundendaten gelangen als Eingabe, Datei, Protokoll oder Kontext in den Dienst?
• Wird der Anbieter ausschließlich nach Weisung tätig oder nutzt er Daten für eigene Zwecke?
• Welche Speicherfristen, Löschmöglichkeiten und Administrationsfunktionen bestehen?
• Welche Unterauftragnehmer, Datenstandorte und Drittlandzugriffe sind vorgesehen?
• Werden Inhalte zur Modellverbesserung, Sicherheitsprüfung oder Missbrauchserkennung verwendet?
• Können Konnektoren auf CRM, E-Mail, Cloudspeicher oder interne Wissensbestände zugreifen?
• Wer prüft erzeugte Aussagen über Kunden und wer darf sie übernehmen oder versenden?
• Wie werden falsche personenbezogene Ausgaben berichtigt und aus angebundenen Wissensquellen entfernt?

„Kein Modelltraining“ bedeutet nicht automatisch, dass keine Speicherung, Protokollierung oder Verarbeitung durch Unterauftragnehmer stattfindet. Umgekehrt ist ein Drittlandbezug nicht ohne weitere Prüfung mit einem Verbot gleichzusetzen. Vertrag, Rechtsgrundlage, Übermittlungsinstrument, Einstellungen und Schutzmaßnahmen müssen zusammenpassen.

Bei RAG-Systemen und internen Wissensdatenbanken sind zusätzlich Zugriffsrechte, Aktualität und Löschung der Quelldokumente sowie der Vektordatenbank zu berücksichtigen. Ein fachlich falscher oder veralteter Kundeneintrag kann sonst auch nach einer Korrektur im Ursprungssystem weiter in Ausgaben erscheinen.

Die vertiefte Prüfung von Tarifen, Datenflüssen, KI-Kompetenz und betrieblichen Freigaben behandelt der Beitrag Generative KI im Unternehmen.

Operative Checkliste für KMU und Start-ups

Ein verhältnismäßiger Prüfpfad kann in dieser Reihenfolge aufgebaut werden:

1. Verarbeitung benennen: Welcher Geschäftsprozess und welcher konkrete Zweck stehen im Mittelpunkt?
2. Datenfluss darstellen: Welche Daten kommen woher, in welche Systeme gelangen sie und wer erhält Zugriff?
3. Erforderlichkeit begrenzen: Welche Angaben werden für den Zweck tatsächlich benötigt?
4. Rechtsgrundlage dokumentieren: Vertrag, Pflicht, berechtigtes Interesse, Einwilligung oder besondere Voraussetzungen klar zuordnen.
5. Transparenz herstellen: Hinweise an Erhebungsweg, Empfänger, Transfers und Speicherlogik anpassen.
6. Dienstleister einordnen: Rollen, Auftragsverträge, Unterauftragnehmer, Funktionen und Drittlandzugriffe prüfen.
7. Rechenschaft verbinden: Verzeichnis beziehungsweise Prozessübersicht mit Verträgen, Interessenabwägungen und Sicherheitsmaßnahmen verknüpfen.
8. Löschung festlegen: Frist oder Ereignis, betroffene Systeme, Ausnahmen und Verantwortliche bestimmen.
9. Rechte und Vorfälle vorbereiten: Zuständigkeiten, Suchwege, Fristen und Eskalation praktisch testen.
10. Sonderpflichten prüfen: Datenschutzbeauftragter, Folgenabschätzung und automatisierte Entscheidungen nicht pauschal, sondern anhand der gesetzlichen Auslöser bewerten.
11. Änderungen überwachen: Neue Zwecke, Felder, Anbieter, KI-Funktionen und Schnittstellen erneut einordnen.

Der Prüfpfad liefert noch keine Freigabe für einen konkreten Datenbestand. Er schafft aber die Tatsachengrundlage, ohne die Rechtsgrundlage, Rollenverteilung und Schutzmaßnahmen nicht belastbar beurteilt werden können.

Häufige Fragen zum Umgang mit Kundendaten

Muss jeder Kunde vor der Datenerhebung einwilligen?

Nein. Eine Einwilligung ist nur eine von mehreren Rechtsgrundlagen. Für notwendige Vertragsdaten, gesetzliche Pflichten oder bestimmte berechtigte Interessen können andere Grundlagen einschlägig sein. Zweck und Rechtsgrundlage müssen vor Beginn der Verarbeitung festgelegt werden.

Gilt die DSGVO auch für Ansprechpartner bei Geschäftskunden?

Ja, soweit Angaben eine natürliche Person identifizieren oder identifizierbar machen. Die geschäftliche E-Mail-Adresse, Funktion und Kommunikation eines Ansprechpartners können personenbezogene Daten sein, obwohl der Vertrag mit dessen Arbeitgeber geschlossen wird.

Benötigt jedes SaaS-Produkt einen Auftragsverarbeitungsvertrag?

Nicht automatisch. Ein Vertrag nach Artikel 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten als Auftragsverarbeiter nach Weisung verarbeitet. Verfolgt er eigene Zwecke oder werden Zwecke und Mittel gemeinsam festgelegt, ist die Rollenverteilung anders zu beurteilen.

Müssen Kundendaten sofort nach Vertragsende gelöscht werden?

Nicht zwingend. Gesetzliche Aufbewahrungspflichten oder ein konkret begründetes Interesse an der Geltendmachung oder Verteidigung von Ansprüchen können einer sofortigen Löschung bestimmter Daten entgegenstehen. Die weitere Nutzung ist dann auf diesen verbleibenden Zweck zu begrenzen.

Braucht jedes kleine Unternehmen einen Datenschutzbeauftragten?

Nein. Entscheidend sind die Voraussetzungen aus Artikel 37 DSGVO und § 38 BDSG. Auch ein kleines Unternehmen kann aufgrund risikoreicher Kerntätigkeiten oder einer erforderlichen Datenschutz-Folgenabschätzung benennungspflichtig sein; umgekehrt begründet der bloße Einsatz eines CRM noch keine automatische Pflicht.

Dürfen Kundendaten in ein KI-Tool eingegeben werden?

Das lässt sich nicht allein nach dem Produktnamen beantworten. Entscheidend sind Zweck, Datenart, Rechtsgrundlage, Dienst und Tarif, Anbieterrolle, Speicher- und Trainingsnutzung, Drittlandzugriffe sowie die Kontrolle der Ergebnisse. Ohne diese Angaben ist eine belastbare Freigabe nicht möglich.

Fazit: Kundendaten als geregelten Prozess behandeln

Der Umgang mit Kundendaten lässt sich weder auf eine Einwilligung noch auf eine Datenschutzerklärung oder einen Auftragsverarbeitungsvertrag reduzieren. Belastbar wird er erst, wenn Zweck, Rechtsgrundlage, Transparenz, Rollen, Empfänger, Sicherheit und Löschung über die tatsächlich eingesetzten Systeme hinweg zusammenpassen.

Neue Datenfelder, Analysezwecke, Anbieter, Schnittstellen oder KI-Funktionen können diese Einordnung verändern. Unternehmen sollten den Datenfluss deshalb nicht nur bei der erstmaligen Einführung dokumentieren, sondern an klaren Änderungsereignissen erneut prüfen.

Wann eine individuelle Prüfung sinnvoll ist

Eine gesonderte rechtliche und vertragliche Einordnung ist insbesondere sinnvoll, wenn ein Unternehmen:

• ein neues CRM-, Cloud-, Analyse- oder KI-System einführt,
• Kundendaten aus mehreren Quellen zusammenführt oder Profile bildet,
• besondere Kategorien personenbezogener Daten verarbeitet,
• internationale Anbieter und Unterauftragnehmer einsetzt,
• unklare Altbestände oder kein belastbares Löschverfahren hat,
• einen Datenschutzvorfall oder eine umfangreiche Betroffenenanfrage bearbeiten muss,
• zwischen Auftragsverarbeitung, gemeinsamer und eigener Verantwortung abgrenzen muss.

Für eine erste Prüfung sind regelmäßig eine Übersicht der Verarbeitungstätigkeiten und Systeme, die Datenschutzhinweise, Dienstleister- und Auftragsverträge, Angaben zu Datenkategorien und Empfängern sowie vorhandene Lösch- und Sicherheitsregeln aussagekräftig. Im Rahmen meiner Datenschutzberatung für Unternehmen ordne ich auf dieser Grundlage Rechtsgrundlagen und Rollen ein und prüfe, an welchen Stellen Verträge, Informationen oder interne Abläufe angepasst werden sollten. Ziel ist ein nach Risiko und Unternehmensgröße abgestufter Handlungsrahmen, der zu den tatsächlichen Geschäftsprozessen passt.

Amtliche Quellen und weiterführende Hinweise

• Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung
• § 38 Bundesdatenschutzgesetz – Datenschutzbeauftragte nichtöffentlicher Stellen
• § 7 Gesetz gegen den unlauteren Wettbewerb – unzumutbare Belästigungen
• § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
• Europäischer Datenschutzausschuss: Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern
• Europäische Kommission: Angemessenheitsbeschlüsse für Drittländer
• Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework
• Europäische Kommission: Standardvertragsklauseln für Drittlandübermittlungen
• Datenschutzkonferenz: Liste der Verarbeitungstätigkeiten mit Pflicht zur Datenschutz-Folgenabschätzung, Version 1.1

Der Beitrag bietet eine allgemeine Orientierung und ersetzt nicht die Prüfung eines konkreten Datenflusses, Verarbeitungsvorgangs oder Vertragsverhältnisses.