Kundendaten und die DSGVO: was müssen Sie wirklich?

Halten Sie fest, was Sie benutzen

Der Grundsatz heißt Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSGVO): angemessen, erheblich und auf das notwendige Maß beschränkt. Das klingt nach einer Last und ist in der Praxis ein nützlicher Filter.

Die Frage ist nicht „darf ich das speichern“, sondern „benutze ich das?“. Geburtsdatum bei einem Geschäftskunden: wofür? Privatadresse eines Angestellten Ihres Kunden: wofür? Ein Feld, das seit zwei Jahren niemand gelesen hat, hat auch keinen Zweck mehr.

Das deckt sich mit dem, was ohnehin besser funktioniert: weniger Felder werden zuverlässiger gefüllt als viele. Datenschutz und brauchbare Daten ziehen hier in dieselbe Richtung, was selten vorkommt.

Besonders vorsichtig bei zwei Arten von Angaben. Gesundheitsdaten, Religion, Gewerkschaftszugehörigkeit, politische Meinung sind besondere Kategorien nach Art. 9 DSGVO und haben in einer Vertriebsnotiz nichts zu suchen — auch nicht als Nebenbemerkung („war wegen seiner Rückenoperation drei Wochen weg“). Und Werturteile über Personen: die dürfen zwar, kommen aber bei einem Auskunftsverlangen zum Vorschein, siehe unten.

Ab zwanzig Personen brauchen Sie einen Datenschutzbeauftragten

Das ist die deutsche Besonderheit, die am häufigsten übersehen wird, weil sie nicht in der DSGVO steht, sondern im nationalen Recht.

§ 38 Abs. 1 BDSG: Verantwortliche und Auftragsverarbeiter benennen eine oder einen Datenschutzbeauftragten, soweit sie „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“.

Zwei Dinge daran werden falsch verstanden. „Personen“ sind nicht Vollzeitstellen — Teilzeitkräfte, Aushilfen und Werkstudenten zählen als Personen. Und „beschäftigt mit automatisierter Verarbeitung“ heißt nicht IT-Abteilung: jeder, der regelmäßig am Rechner mit Kundendaten arbeitet, zählt mit. In einem Betrieb mit 25 Leuten, von denen 22 ins CRM schauen, ist die Schwelle erreicht.

Unabhängig von der Zahl gilt die Pflicht außerdem, wenn Sie Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verarbeiten. Für den normalen Vertrieb eines kleinen Betriebs trifft beides nicht zu; wer Daten weiterverkauft, ist ein anderer Fall.

Die Person darf intern oder extern sein. Für einen Betrieb an der Schwelle ist ein externer Beauftragter meist die günstigere Lösung, weil ein interner nicht in einem Interessenkonflikt stehen darf — der Geschäftsführer und der IT-Leiter fallen damit aus.

Aufbewahrungspflicht und Aufbewahrungsfrist sind nicht dasselbe

Hier liegt der Widerspruch, an dem jede Aufräumaktion hängen bleibt: der Datenschutz sagt „nicht länger als nötig“ (Art. 5 Abs. 1 Buchstabe e DSGVO), und das Steuerrecht sagt „zehn Jahre“. Beides stimmt, und zwar für verschiedene Unterlagen.

§ 147 Abs. 3 AO staffelt das, und es sind drei Fristen und nicht eine:

• Zehn Jahre für Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte und die Eröffnungsbilanz.
• Acht Jahre für Buchungsbelege — darunter fallen Ihre Rechnungen.
• Sechs Jahre für die sonstigen Unterlagen, insbesondere empfangene und abgesandte Handels- und Geschäftsbriefe: Angebote, Auftragsbestätigungen, geschäftliche E-Mails.

§ 257 Abs. 4 HGB staffelt für Kaufleute in denselben Stufen, und § 257 Abs. 5 HGB sagt, wann die Frist beginnt: mit dem Schluss des Kalenderjahres, in dem der Brief empfangen oder abgesandt wurde oder der Buchungsbeleg entstanden ist. Eine Rechnung vom März 2026 ist also nicht im März 2034 reif, sondern zum Jahresende 2034.

Was diese Fristen nicht abdecken, sind Ihre Vertriebsnotizen. Ein Gesprächsvermerk über einen Interessenten, aus dem nie etwas geworden ist, ist kein Buchungsbeleg und kein Geschäftsbrief. Für den gilt die kurze Regel: so lange, wie Sie ihn für den Zweck brauchen, und danach weg. Wie Sie das praktisch trennen, steht in Kundenliste aufräumen.

Wenn Sie löschen müssen, aber nicht dürfen

Der Fall, der die meisten ratlos macht: ein Kunde verlangt die Löschung seiner Daten, und Sie haben Rechnungen, die noch acht Jahre aufbewahrt werden müssen.

Dafür gibt es eine klare Antwort, und das deutsche Recht schreibt sie aus. Art. 17 Abs. 3 Buchstabe b DSGVO nimmt die Löschpflicht zurück, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Und § 35 BDSG regelt, was dann an die Stelle der Löschung tritt: die Einschränkung der Verarbeitung nach Art. 18 DSGVO.

Praktisch heißt das: sperren statt löschen. Die Rechnungen bleiben, wo sie sind, und werden für nichts anderes mehr verwendet — nicht für Werbung, nicht für eine Auswertung, nicht für einen Anruf. Was gelöscht wird, ist alles, was nicht unter eine Frist fällt: Notizen, Interessen, der Newsletter-Eintrag.

Antworten Sie dem Kunden auch genau so. „Wir können Ihre Rechnungen nicht löschen, weil wir sie steuerlich aufbewahren müssen; wir haben alles andere gelöscht und die Rechnungen für jede weitere Verwendung gesperrt“ ist eine vollständige und korrekte Antwort — und eine, die fast niemand gibt.

Was Ihr Kunde verlangen kann

Fünf Rechte, und drei davon werden in der Praxis tatsächlich genutzt:

1. Auskunft (Art. 15 DSGVO): eine Kopie der Daten, die Sie über ihn haben. Einschließlich Ihrer Notizen. Das ist der Grund für die Faustregel: schreiben Sie nichts, was Sie ihm nicht vorlesen würden.
2. Berichtigung (Art. 16 DSGVO): falsche Angaben korrigieren.
3. Löschung (Art. 17 DSGVO): mit den Grenzen von oben.
4. Einschränkung der Verarbeitung (Art. 18 DSGVO): die Sperrung, die bei einer Aufbewahrungsfrist an die Stelle der Löschung tritt.
5. Widerspruch (Art. 21 DSGVO): gegen Direktwerbung, und dagegen gibt es keine Abwägung — ein Widerspruch gegen Werbung gilt sofort und ohne Begründung.

Für Sie heißt das vor allem eines: Sie müssen diese Dinge können. Alle Daten zu einer Person herausgeben können, einen Eintrag löschen können, einen Werbewiderspruch so eintragen können, dass ein Kollege ihn auch sieht. Das ist weniger eine rechtliche als eine praktische Anforderung, und sie ist der beste Grund, den Export vor dem Kauf zu testen.

Und beantworten Sie innerhalb eines Monats. Das ist die Frist aus Art. 12 Abs. 3 DSGVO, und ein nicht beantwortetes Auskunftsverlangen ist der häufigste Weg, auf dem ein kleiner Betrieb bei der Aufsichtsbehörde landet.

Wann Sie einen Auftragsverarbeitungsvertrag brauchen

Immer dann, wenn ein anderes Unternehmen Daten für Sie verarbeitet. Das ist bei fast jedem kleinen Betrieb der Fall, auch wenn es sich nicht so anfühlt: Ihr CRM-Anbieter, Ihr Mailanbieter, Ihr Buchhaltungsprogramm, Ihre Lohnbuchhaltung, der Dienst für Ihren Newsletter.

Art. 28 DSGVO verlangt dafür einen Vertrag — den Auftragsverarbeitungsvertrag, kurz AVV. Den stellt in der Praxis der Anbieter zur Verfügung; was Sie tun müssen, ist ihn abzuschließen und abzulegen.

Fragen Sie beim Vergleichen danach, bevor Sie Daten hineinschreiben. Ein Anbieter, der keinen AVV anbietet, ist kein Anbieter für Kundendaten. Und wenn Sie in einem Beruf mit Berufsgeheimnis arbeiten, reicht der AVV nicht — dann kommt § 203 StGB dazu, und das ist eine zweite, strafrechtliche Frage.

Was Sie heute tun können

Fünf Dinge, die zusammen einen Nachmittag kosten und das meiste erledigen:

1. Die Felder durchgehen und streichen, was niemand benutzt.
2. Aufschreiben, wie lange Sie was behalten — in drei Zeilen, nach der Staffel von oben. Mehr braucht ein kleiner Betrieb nicht.
3. Die AVV einsammeln für jeden Dienst, in dem Kundendaten liegen, und in einem Ordner ablegen.
4. Prüfen, dass Sie alle Daten zu einer Person herausgeben und löschen können. Probieren Sie es einmal an einem Testeintrag aus.
5. Nachsehen, wie viele Personen bei Ihnen regelmäßig mit Kundendaten arbeiten. Wenn es gegen zwanzig geht, ist § 38 BDSG ein Punkt für Ihre Planung.

Eine Warnung über Beiträge wie diesen

Dieser Text ist eine Erläuterung und keine Rechtsberatung, und bei diesem Thema ist das mehr als eine Höflichkeitsformel: ein Datenschutzhinweis, der wie eine abschließende Prüfliste aussieht, ist gefährlicher als keiner.

Zwei Dinge, die Sie wissen sollten, wenn Sie weiterlesen oder vergleichen. Die Aufsicht über die Privatwirtschaft liegt in Deutschland bei den Ländern, nicht beim Bund — zuständig ist die Datenschutzaufsichtsbehörde Ihres Bundeslandes, und deren Auslegungen weichen in Einzelfragen voneinander ab. Der Bundesbeauftragte (BfDI) ist für Bundesbehörden und Telekommunikation zuständig; seine Erläuterungen zu den Betroffenenrechten sind trotzdem die beste allgemeinverständliche Quelle, die es auf Deutsch gibt.

Und misstrauen Sie allem, was Ihnen Datenschutz als Produkt verkauft — Zertifikate, Siegel, Pakete. Für einen Betrieb mit fünf Leuten besteht die Arbeit aus den fünf Punkten oben, und keiner davon kostet Geld.