1 Jahr DSGVO: So skurril und weltfremd läuft es in der Praxis wirklich ab

01 pbdirekt BeitragSeit 25. Mai 2018 gilt die Datenschutz-Grundverordnung – kurz: DSGVO. Eigentlich lang genug, um alle Unklarheiten auszuräumen. Doch das ist nicht so. Denn für manche Händler ist die DSGVO nach wie vor ein Buch mit sieben Siegeln. Kein Wunder. So haben es vor allem die so genannten Auskunfts- und Löschansprüche in sich, beobachtet der Daten-Spezialist Edgar Praun von den IT- und Dialogmarketing-Experten pbdirekt, die neuhandeln.de auch als Sponsor unterstützen.

Edgar Praun
Edgar Praun (Bild: pbdirekt)

Immer mehr Bürger nehmen durch die neue Datenschutz-Grundverordnung jetzt die Möglichkeit wahr, eine Beschwerde bei den Datenschutzbehörden einzureichen. Ein Großteil dieser Beschwerden bezieht sich auf die so genannten Auskunfts- und Löschansprüche (Auskunft Art. 15 DSGVO, Berichtigung Art. 16 DSGVO, Löschung Art. 17 DSGVO, Einschränkung der Verarbeitung Art. 18 DSGVO und Datenübertragung Art. 20 DSGVO).

Diese haben es in sich. Denn so banal wie es klingt, ist eine einfache Anfrage zur Auskunft oder Löschung der eigenen Daten keineswegs.

Kaum einem Bürger ist bewusst, was es für Online- und Multichannel-Händler bedeutet, vom Recht auf Auskunft personenbezogener Daten nach Artikel 15 der DSGVO oder Löschung nach Artikel 17 Abs. 1 und 2 der DSGVO Gebrauch zu machen. Denn oftmals ist von dieser Anfrage eines Verbrauchers nicht nur das werbetreibende Unternehmen betroffen, sondern auch beauftragte Dienstleister. Versendet ein Unternehmen beispielsweise einen Werbekatalog, kann die Anfrage des Kunden durchaus auch bei dem entsprechend beauftragten Dienstleister landen, dem so genannten Auftragsdatenverarbeiter.

Ein fiktiver Fall

Anschaulich wird dies anhand eines fiktiven Beispiels. Das Unternehmen Sportheute GmbH versendet einen Werbekatalog an Max Skeptikus, der vor drei Jahren etwas bestellt hat. Max Skeptikus möchte keine Werbung mehr erhalten. Er beantragt deswegen bei der Sportheute GmbH eine Löschung seiner personenbezogenen Daten und Auskunft darüber, wohin seine Daten weitergegeben wurden.

Max Skeptikus geht davon aus, dass seine Daten umgehend gelöscht werden. Doch für die Sportheute GmbH gelten noch andere Pflichten – etwa die Pflicht zur Aufbewahrung von Dokumenten zu einem Auftrag. Weil Max Skeptikus vor drei Jahren etwas gekauft hat, muss der Händler die zugehörige Rechnung für zehn Jahre aufbewahren. Deshalb bleibt er nach seinem Löschungsantrag unter Umständen sieben weitere Jahre in der Datenbank der Sportheute GmbH gespeichert. Nur wenn die personenbezogenen Daten keinem anderen Gesetz unterliegen, müssen sie sofort gelöscht werden.

Keine Auskunft möglich

Bleiben wir bei unserem Beispiel: Max Skeptikus hat von der Sportheute GmbH die Auskunft erhalten, dass die Daten an den Auftragsdatenverarbeiter ZiemlichBesteAdresse GmbH weitergegeben wurden. Denn die ZiemlichBesteAdresse GmbH bereitet Adressen auf und gibt sie zum Kuvertieren an einen Lettershop weiter. Nun möchte Max Skeptikus auch beim Auftragsdatenverarbeiter von seinem Recht auf Löschung Gebrauch machen. Seine personenbezogenen Daten bei der ZiemlichBesteAdresse GmbH unterliegen jedoch dem Vertragsrecht (DSGVO Artikel 28 (3a)). Das sieht keine Auskunftsfreigabe vor.

Die ZiemlichBesteAdresse GmbH ist durch diesen Vertrag an die Weisungen der Sportheute GmbH gebunden. Demnach kann die ZiemlichBesteAdresse GmbH die Anfrage von Max Skeptikus nur auf eine Art und Weise beantworten: Als Auftragsdatenverarbeiter darf sie keine Auskunft darüber geben, ob Max Skeptikus irgendwo in einem bei ihr gespeicherten Datensatz erfasst ist oder nicht. Deshalb kann die ZiemlichBesteAdresse GmbH seine Kundendaten auch nicht löschen und Max Skeptikus nur wieder an die verantwortliche Stelle – also die Sportheute GmbH – verweisen. Wäre Max Skeptikus ein Kunde von beiden Unternehmen, dann müsste auch die ZiemlichBesteAdresse GmbH eine Auskunft geben und eine Löschung vornehmen, aber nur für die personenbezogenen Daten, die sie selber erhoben hat.

Durch Anfrage gespeichert

Hatte die ZiemlichBesteAdresse GmbH Max Skeptikus bis zu diesem Zeitpunkt nicht als eigenen Kunden erfasst, muss sie dies jetzt tun und wird nun selbst zum Verantwortlichen. Denn durch die Anfrage hat Max Skeptikus einen neuen Dokumentations-Prozess in Gang gesetzt. Um nachzuweisen, dass die Anfrage ordnungsgemäß bearbeitet wurde, muss die ZiemlichBesteAdresse GmbH daher den Vorgang speichern. Damit kommt die ZiemlichBesteAdresse GmbH den geforderten Aufbewahrungs- und Dokumentationspflichten (Art. 5 Abs. 2 DSGVO) nach. Nun ist Max Skeptikus durch seine eigene Anfrage für mindestens drei Jahre bei der ZiemlichBesteAdresse GmbH gespeichert. Denn nur so kann die ZiemlichBesteAdresse GmbH den nötigen Nachweis erbringen, falls gerichtliche Bußgelder drohen. Nun muss die ZiemlichBesteAdresse GmbH Max Skeptikus gemäß ihrer Informationspflicht (Art. 13) in einem Antwortschreiben über diese Speicherung und seine Rechte informieren. Doch sein eigentliches Ziel hat Max Skeptikus damit nicht erreicht: eine sofortige Löschung seiner Daten bei der Sportheute GmbH.

Über den Autor: Edgar Praun (siehe Foto oben) ist Geschäftsführer von pbdirekt und beschäftigt sich neben seinem Schwerpunkt im Bereich CRM mit Vertragswesen und Datenschutzthemen. Er gibt bei Online- und Multichannel-Händlern außerdem Datenschutzschulungen zu CRM und Dialogmarketing.

neuhandeln.de PS: Verpassen Sie nicht mehr, was den Online-und Multichannel-Handel bewegt! Unser kostenloser Info-Dienst liefert Ihnen jede Woche alle neuen Beiträge am Freitag Abend per E-Mail in Ihr Postfach. Aktuell. Bequem. Zuverlässig. Dazu gibt es nur für Abonnenten unseres Newsletters regelmäßig Goodies wie Verlosungen von Tickets oder Rabatt-Codes für Veranstaltungen.

Über 4.552 Kollegen aus dem Online- und Multichannel-Handel sichern sich so schon ihren Wissensvorsprung. Jetzt gleich anmelden:

Ich akzeptiere die Datenschutzerklärung. Die Einwilligung lässt sich jederzeit widerrufen. *Pflichtfeld

1 Kommentar zu 1 Jahr DSGVO: So skurril und weltfremd läuft es in der Praxis wirklich ab

Kommentare sind deaktiviert.