Kundendaten und die DSGVO: was müssen Sie wirklich?

Halten Sie fest, was Sie benutzen

Der Grundsatz heißt Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSGVO): angemessen, erheblich und auf das notwendige Maß beschränkt. Das klingt nach einer Last und ist in der Praxis ein nützlicher Filter.

Die Frage ist nicht „darf ich das speichern“, sondern „benutze ich das?“. Geburtsdatum bei einem Geschäftskunden: wofür? Privatadresse eines Angestellten Ihres Kunden: wofür? Ein Feld, das seit zwei Jahren niemand gelesen hat, hat auch keinen Zweck mehr.

Das deckt sich mit dem, was ohnehin besser funktioniert: weniger Felder werden zuverlässiger gefüllt als viele. Datenschutz und brauchbare Daten ziehen hier in dieselbe Richtung, was selten vorkommt.

Besonders vorsichtig bei zwei Arten von Angaben. Gesundheitsdaten, Religion, Gewerkschaftszugehörigkeit, politische Meinung sind besondere Kategorien nach Art. 9 DSGVO und haben in einer Vertriebsnotiz nichts zu suchen — auch nicht als Nebenbemerkung („war wegen seiner Rückenoperation drei Wochen weg“).

Und dann das Freitextfeld: das Anmerkungs- oder Notizfeld, in das jeder schreibt, was ihm einfällt. Dafür gibt es keine eigene Regel, und genau das ist der Punkt — es gilt die normale. Ein Werturteil über eine Person („schwieriger Typ“, „zahlt immer zu spät“) ist ein personenbezogenes Datum wie jedes andere und fällt damit unter das Auskunftsrecht. Die Datenschutzbehörde verlangt, dass eine Auskunft „so konkret erfolgen [muss], dass der Betroffene seine Berichtigungs- und Löschungsrechte … durchsetzen kann“. Ein Notizfeld lässt sich also nicht als „intern“ wegsortieren. Daraus folgt die einzige Faustregel, die Sie brauchen: schreiben Sie nichts hinein, was Sie dem Kunden nicht vorlesen würden.

Einen Datenschutzbeauftragten brauchen die wenigsten

Hier steht Österreich anders da als Deutschland, und wer deutsche Ratgeber liest, übernimmt leicht eine Zahl, die hier nicht gilt.

Das österreichische DSG kennt keine Schwelle nach Personenzahl. § 5 DSG trägt zwar die Überschrift „Datenschutzbeauftragter“, regelt aber nur dessen Verschwiegenheitspflicht und — im öffentlichen Bereich — seine Weisungsfreiheit. Eine Grenze wie „ab zwanzig Personen“ finden Sie dort nicht, weil es sie nicht gibt.

Maßgeblich ist damit allein Art. 37 Abs. 1 DSGVO, und der nennt drei Fälle: die Verarbeitung durch eine Behörde oder öffentliche Stelle, eine Kerntätigkeit, die in umfangreicher regelmäßiger und systematischer Überwachung von Personen besteht, und eine Kerntätigkeit, die in der umfangreichen Verarbeitung besonderer Datenkategorien oder von Daten über Straftaten besteht.

Für einen gewöhnlichen Betrieb mit einer Kundenliste trifft keiner dieser drei Fälle zu — auch nicht bei fünfzig Mitarbeitern. Eine Kundenverwaltung ist keine Überwachung, und Ihre Kerntätigkeit ist das, was Sie verkaufen, nicht das Verarbeiten von Daten. Anders liegt es bei einer Ordination, einem Labor, einer Detektei oder einem Inkassobüro.

Wenn Sie einen benennen, melden Sie ihn der Datenschutzbehörde — dafür gibt es ein eigenes Formular. Freiwillig benennen können Sie immer; nur gelten dann auch die Pflichten aus Art. 38 und 39 DSGVO, also ist es keine folgenlose Geste.

Das Datengeheimnis: worauf Sie Ihre Mitarbeiter verpflichten müssen

Das ist die österreichische Bestimmung, die in deutschen und internationalen Ratgebern fehlt, und sie ist die einzige in diesem Text, die Ihnen heute Arbeit macht.

§ 6 DSG verpflichtet den Verantwortlichen, den Auftragsverarbeiter und deren Mitarbeiter — „das sind Arbeitnehmer (Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis“ — personenbezogene Daten aus Datenverarbeitungen geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung besteht. Das ist das Datengeheimnis.

Daraus folgen drei Dinge, die Sie als Arbeitgeber tun müssen:

1. Vertraglich verpflichten. Mitarbeiter dürfen Daten nur aufgrund einer ausdrücklichen Anordnung übermitteln, und Sie müssen sie darauf vertraglich verpflichten, sofern die Pflicht nicht schon kraft Gesetzes besteht (§ 6 Abs. 2 DSG). Bei Ärztinnen oder Rechtsanwälten besteht sie bereits.
2. Belehren. Sie müssen die betroffenen Mitarbeiter über die für sie geltenden Übermittlungsanordnungen und über die Folgen einer Verletzung des Datengeheimnisses unterrichten (§ 6 Abs. 3 DSG). Eine unterschriebene Erklärung allein reicht dafür nicht — es gehört ein Satz dazu, wem gegenüber sie etwas sagen dürfen.
3. Über das Dienstverhältnis hinaus. Die Verpflichtung muss auch nach Beendigung des Arbeitsverhältnisses gelten. Wer geht, nimmt die Kundenliste nicht mit.

Praktisch ist das eine Seite Papier am ersten Arbeitstag; die Wirtschaftskammer stellt ein Muster bereit. Was es nicht ist: eine Formsache. Wer vorsätzlich in Verletzung des Datengeheimnisses Daten übermittelt, begeht nach § 62 Abs. 1 Z 2 DSG eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50 000 Euro zu ahnden ist. Das richtet sich gegen die handelnde Person, nicht gegen den vergesslichen Betrieb — aber die Belehrung ist das, was den Unterschied zwischen „wusste es nicht“ und „vorsätzlich“ ausmacht.

Im System ist die Entsprechung dazu, wer was sehen darf. Dass nicht jeder alles sieht, ist hier kein Misstrauen, sondern die technische Seite derselben Pflicht — dazu Rollen und Rechte.

Das Verzeichnis von Verarbeitungstätigkeiten

Art. 30 DSGVO verlangt von Verantwortlichen und Auftragsverarbeitern ein Verzeichnis ihrer Verarbeitungstätigkeiten. Es ist ein internes Dokument: Sie legen es ab und zeigen es auf Verlangen der Datenschutzbehörde. Niemand muss es einreichen.

Art. 30 Abs. 5 nennt eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern — und an der Stelle gehen die meisten Ratgeber zu schnell weiter. Die Ausnahme gilt nur, wenn alle Bedingungen zusammen erfüllt sind: kein Risiko für die Rechte der betroffenen Personen, die Verarbeitung erfolgt nur gelegentlich, und es sind keine besonderen Datenkategorien oder Daten über Straftaten betroffen.

Die Wirtschaftskammer schreibt dazu nüchtern: „Die Ausnahmen werden in der Praxis eng ausgelegt. Jedes Unternehmen, das eine Lohnverrechnung und/oder Kundendateien führt, benötigt ein Verarbeitungsverzeichnis, da diese Verarbeitungen nicht ‚nur gelegentlich‘ erfolgen.“ Eine Kundenliste ist also der Fall, in dem die Ausnahme nicht greift — und damit ausgerechnet der Fall, für den sie gern zitiert wird.

Das ist weniger schlimm, als es klingt. Für einen Betrieb mit fünf Leuten passt das Verzeichnis auf ein bis zwei Seiten: pro Verarbeitung — Kundenverwaltung, Buchhaltung, Lohnverrechnung, Newsletter — Zweck, Datenkategorien, Empfänger, Löschfrist, Sicherheitsmaßnahmen. Die WKO stellt dafür ein ausfüllbares Muster bereit. Eine einmalige Nachmittagsarbeit, die danach nur noch gepflegt wird.

Aufbewahrungspflicht und Aufbewahrungsfrist sind nicht dasselbe

Hier liegt der Widerspruch, an dem jede Aufräumaktion hängen bleibt: der Datenschutz sagt „nicht länger als nötig“ (Art. 5 Abs. 1 Buchstabe e DSGVO), und das Steuerrecht sagt „sieben Jahre“. Beides stimmt, und zwar für verschiedene Unterlagen.

Die österreichische Regel ist einfacher als die deutsche, weil es nur eine Zahl gibt:

• § 132 Abs. 1 BAO: „Bücher und Aufzeichnungen sowie die zu den Büchern und Aufzeichnungen gehörigen Belege sind sieben Jahre aufzubewahren“ — dazu die für die Abgabenerhebung bedeutsamen Geschäftspapiere. Darüber hinaus so lange, wie sie für ein anhängiges Abgabenverfahren von Bedeutung sind.
• § 212 UGB: dieselben sieben Jahre für Unternehmer, ausdrücklich auch für „empfangene Geschäftsbriefe“ und „Abschriften der abgesendeten Geschäftsbriefe“ — also für Angebote, Auftragsbestätigungen und geschäftliche E-Mails.
• Der Fristbeginn ist in beiden Fällen das Jahresende, nicht der Tag des Belegs: die Frist läuft „vom Schluß des Kalenderjahrs an“, in dem die Eintragung vorgenommen oder der Geschäftsbrief empfangen oder abgesendet wurde. Die Belege des Jahres 2019 sind also bis Ende 2026 aufzubewahren.

Zwei Abweichungen sind es wert, gekannt zu werden. Für Unterlagen zu Grundstücken gilt nach dem Umsatzsteuergesetz eine Frist von 22 Jahren — das betrifft Bau, Immobilien und jeden, der eine Liegenschaft im Betriebsvermögen hat. Und weitere Sonderfristen können sich aus anderen Spezialgesetzen ergeben; wenn Sie in einem regulierten Gewerbe arbeiten, ist das die eine Frage, die Sie Ihrem Steuerberater stellen sollten.

Was diese Fristen nicht abdecken, sind Ihre Vertriebsnotizen. Ein Gesprächsvermerk über einen Interessenten, aus dem nie etwas geworden ist, ist kein Beleg und kein Geschäftsbrief. Für den gilt die kurze Regel: so lange, wie Sie ihn für den Zweck brauchen, und danach weg. Wie Sie das praktisch trennen, steht in Kundenliste aufräumen.

Wenn Sie löschen müssen, aber nicht dürfen

Der Fall, der die meisten ratlos macht: ein Kunde verlangt die Löschung seiner Daten, und Sie haben Rechnungen, die noch Jahre aufbewahrt werden müssen.

Anders als in Deutschland, wo das nationale Recht die Antwort ausschreibt, steht sie in Österreich direkt in der Verordnung — und sie ist dieselbe. Art. 17 Abs. 3 Buchstabe b DSGVO nimmt die Löschpflicht zurück, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Was an die Stelle der Löschung tritt, ist die Einschränkung der Verarbeitung nach Art. 18 DSGVO, die die Datenschutzbehörde unter den Rechten der betroffenen Person auch selbst anführt.

Praktisch heißt das: sperren statt löschen. Die Rechnungen bleiben, wo sie sind, und werden für nichts anderes mehr verwendet — nicht für Werbung, nicht für eine Auswertung, nicht für einen Anruf. Was gelöscht wird, ist alles, was nicht unter eine Frist fällt: Notizen, Interessen, der Newsletter-Eintrag.

Antworten Sie dem Kunden auch genau so. „Wir können Ihre Rechnungen nicht löschen, weil wir sie steuerlich sieben Jahre aufbewahren müssen; wir haben alles andere gelöscht und die Rechnungen für jede weitere Verwendung gesperrt“ ist eine vollständige und korrekte Antwort — und eine, die fast niemand gibt.

Was Ihr Kunde verlangen kann

Die Datenschutzbehörde führt neun Rechte auf. Fünf davon begegnen einem Betrieb mit einer Kundenliste überhaupt, und drei werden tatsächlich genutzt:

1. Auskunft (Art. 15 DSGVO): eine Kopie der Daten, die Sie über ihn haben. Einschließlich Ihrer Notizen — siehe oben.
2. Berichtigung (Art. 16 DSGVO): falsche Angaben korrigieren.
3. Löschung (Art. 17 DSGVO): mit den Grenzen von oben.
4. Einschränkung der Verarbeitung (Art. 18 DSGVO): die Sperrung, die bei einer Aufbewahrungsfrist an die Stelle der Löschung tritt.
5. Widerspruch (Art. 21 DSGVO): gegen Direktwerbung, und dagegen gibt es keine Abwägung — ein Widerspruch gegen Werbung gilt sofort und ohne Begründung.

Dazu kommt in Österreich ein Recht, das die DSGVO nicht kennt: das Recht auf Geheimhaltung nach § 1 Abs. 1 DSG, ein Grundrecht mit Verfassungsrang. Für Ihren Alltag ändert es wenig — wer sich darauf beruft, beschwert sich in der Regel ohnehin zugleich über eine unzulässige Verarbeitung —, aber es erklärt, warum eine Beschwerde in Österreich manchmal auf eine Bestimmung gestützt wird, die ein deutscher Ratgeber nicht kennt.

Für Sie heißt das vor allem eines: Sie müssen diese Dinge können. Alle Daten zu einer Person herausgeben können, einen Eintrag löschen können, einen Werbewiderspruch so eintragen können, dass ein Kollege ihn auch sieht. Das ist weniger eine rechtliche als eine praktische Anforderung, und sie ist der beste Grund, den Export vor dem Kauf zu testen.

Und antworten Sie innerhalb eines Monats — die Frist aus Art. 12 Abs. 3 DSGVO, bei komplexen Fällen um zwei weitere Monate verlängerbar, worüber Sie den Betroffenen dann informieren müssen. Ein nicht beantwortetes Auskunftsverlangen ist der häufigste Weg, auf dem ein kleiner Betrieb bei der Datenschutzbehörde landet.

Wann Sie einen Auftragsverarbeitungsvertrag brauchen

Immer dann, wenn ein anderes Unternehmen Daten für Sie verarbeitet. Das ist bei fast jedem kleinen Betrieb der Fall, auch wenn es sich nicht so anfühlt: Ihr CRM-Anbieter, Ihr Mailanbieter, Ihr Buchhaltungsprogramm, Ihre Lohnverrechnung, der Dienst für Ihren Newsletter.

Art. 28 DSGVO verlangt dafür einen Vertrag — die Auftragsverarbeitervereinbarung, die auch die Datenschutzbehörde unter den Pflichten des Verantwortlichen ausdrücklich nennt. Den Text stellt in der Praxis der Anbieter zur Verfügung; was Sie tun müssen, ist ihn abzuschließen und abzulegen.

Fragen Sie beim Vergleichen danach, bevor Sie Daten hineinschreiben. Ein Anbieter, der keine Auftragsverarbeitervereinbarung anbietet, ist kein Anbieter für Kundendaten. Und beachten Sie: Ihr Auftragsverarbeiter und dessen Mitarbeiter unterliegen nach § 6 Abs. 1 DSG demselben Datengeheimnis wie Sie — das ist kein Ersatz für den Vertrag, aber es erklärt, warum ein seriöser Anbieter ohne Rückfrage weiß, wovon Sie reden.

Was Sie heute tun können

Sechs Dinge, die zusammen einen Nachmittag kosten und das meiste erledigen:

1. Die Felder durchgehen und streichen, was niemand benutzt — das Freitextfeld zuerst lesen.
2. Das Verzeichnis von Verarbeitungstätigkeiten anlegen, mit dem Muster der WKO. Für einen kleinen Betrieb sind das ein bis zwei Seiten.
3. Ihre Mitarbeiter schriftlich auf das Datengeheimnis verpflichten und sie dabei belehren, wem gegenüber sie etwas weitergeben dürfen (§ 6 DSG).
4. Aufschreiben, wie lange Sie was behalten — in drei Zeilen: sieben Jahre für Belege und Geschäftsbriefe ab Jahresende, kürzer für Vertriebsnotizen.
5. Die Auftragsverarbeitervereinbarungen einsammeln für jeden Dienst, in dem Kundendaten liegen, und in einem Ordner ablegen.
6. Prüfen, dass Sie alle Daten zu einer Person herausgeben und löschen können. Probieren Sie es einmal an einem Testeintrag aus.

Eine Warnung über Beiträge wie diesen

Dieser Text ist eine Erläuterung und keine Rechtsberatung, geschrieben von einem Softwareanbieter — und bei diesem Thema ist das mehr als eine Höflichkeitsformel: ein Datenschutzhinweis, der wie eine abschließende Prüfliste aussieht, ist gefährlicher als keiner.

Drei Dinge, die Sie wissen sollten, wenn Sie weiterlesen oder vergleichen. Zuständig ist in Österreich eine einzige Behörde: die Datenschutzbehörde, nach § 18 DSG als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet. Das ist bequemer, als es klingt — in Deutschland sind es sechzehn Landesbehörden plus der Bund, und deren Auslegungen weichen in Einzelfragen voneinander ab. Wenn Sie einen deutschen Ratgeber lesen, lesen Sie die Meinung einer von siebzehn Stellen; hier gibt es nur eine.

Und sie fängt nicht mit einer Strafe an. § 11 DSG sagt es ausdrücklich: die Datenschutzbehörde wendet den Katalog des Art. 83 DSGVO so an, dass die Verhältnismäßigkeit gewahrt wird, und wird „insbesondere bei erstmaligen Verstößen … von ihren Abhilfebefugnissen insbesondere durch Verwarnen Gebrauch machen“. Die Schlagzeilen über Millionenbußen handeln von Konzernen. Der normale Weg für einen Betrieb mit fünf Leuten ist eine Beschwerde, eine Aufforderung und eine Verwarnung.

Eine Asymmetrie gehört trotzdem dazu, weil sie erklärt, warum Sie bestimmte Fälle nie in der Zeitung lesen: nach § 30 Abs. 5 DSG können gegen Behörden, öffentliche Stellen und Körperschaften des öffentlichen Rechts keine Geldbußen verhängt werden. Für sie bleiben der Behörde ihre anderen Befugnisse — Beanstandung, Anordnung, Untersagung. Für Ihr Unternehmen gilt diese Ausnahme nicht.

Und misstrauen Sie allem, was Ihnen Datenschutz als Produkt verkauft — Zertifikate, Siegel, Pakete. Für einen Betrieb mit fünf Leuten besteht die Arbeit aus den sechs Punkten oben, und keiner davon kostet Geld.