Kundendaten im Betrieb: was du speichern darfst

Kundendaten entstehen in kleinen Betrieben nebenbei: eine Telefonnummer im Terminbuch, eine Lieferadresse auf einem Zettel, ein Chatverlauf auf dem privaten Handy, eine Mailadresse aus einer Anfrage. Niemand hat sie bewusst erhoben, und trotzdem gelten dafür dieselben Regeln wie für eine große Datenbank.

Die Frage ist selten, ob du überhaupt Daten speichern darfst. Die Frage ist, wofür, wie lange und wer sie sehen kann.

Erst der Zweck, dann die Daten

Jede Verarbeitung braucht einen Grund, den du benennen kannst. In kleinen Betrieben ist das fast immer die Erfüllung eines Vertrags, eine gesetzliche Pflicht, eine Einwilligung oder ein berechtigtes Interesse. Für den Auftrag brauchst du Name und Anschrift, für die Rechnung ohnehin, für den Rückruf die Nummer. Damit ist der Zweck abgedeckt.

Zweckbindung heißt: Daten, die du für einen Auftrag erhoben hast, darfst du nicht für Werbung verwenden, nur weil sie vorhanden sind. Der Zweck wächst nicht mit dem Datenbestand mit.

Weniger speichern ist die einfachste Absicherung

Frag bei jedem Feld, was passiert, wenn es leer bleibt. Geburtsdatum, Beruf, Arbeitgeber: In den meisten Betrieben gibt es dafür keinen Grund, das Feld steht nur im Formular, weil die Software es anbietet. Was du nicht hast, kann nicht falsch sein, nicht abfließen und nicht Gegenstand einer Auskunft werden.

Besonders heikel sind Angaben über Gesundheit, Herkunft oder Religion. Sie tauchen in Praxen, in der Pflege und in der Gastronomie schneller auf, als man denkt, etwa als Notiz zu einer Unverträglichkeit. Dafür gelten strengere Anforderungen als für Name und Anschrift.

Aufbewahren und Löschen sind zwei Pflichten

Das Steuer- und Handelsrecht verlangt, Belege und Geschäftsunterlagen aufzubewahren. Das Datenschutzrecht verlangt, Daten zu löschen, wenn ihr Zweck erledigt ist. Das widerspricht sich nicht: Solange eine gesetzliche Aufbewahrungspflicht läuft, bleiben die Unterlagen liegen, danach werden sie gelöscht. Welche Frist für welche Unterlage gilt, bestätigt dir deine Steuerberatung, denn der Gesetzgeber hat daran mehrfach geschraubt.

Die Stolperstelle liegt daneben. Terminbücher, Wartelisten, alte Anfragen, Bewerbungen und Nachrichten aus dem Kontaktformular fallen unter keine Aufbewahrungspflicht. Für sie brauchst du eine eigene Regel, wann sie verschwinden, sonst verschwinden sie nie.

Wenn jemand Auskunft verlangt

Jede Person kann verlangen zu erfahren, welche Daten du über sie verarbeitest, und eine Kopie davon bekommen. Das kommt selten vor, meist im Streit, und dann zählt, wie schnell du reagierst. Die Datenschutz-Grundverordnung setzt dafür eine Frist; den aktuell geltenden Zuschnitt bestätigt dir deine Rechtsberatung.

Zwei Dinge in der Praxis: Prüfe zuerst, ob die Person wirklich diejenige ist, die sie zu sein behauptet, sonst gibst du Daten an Fremde heraus. Und liefere ausschließlich ihre Daten. In einem Mailverlauf oder einer Kundenliste stehen fast immer auch Angaben zu anderen, die vorher unkenntlich gemacht gehören.

Wo die Daten wirklich liegen

Schreib einmal auf, wo überall Kundendaten stehen: Kassensystem, Terminverwaltung, Buchhaltung, Mailpostfach, Messenger, Diensthandy, der Ordner im Büro, der Zettel an der Kasse. Die Liste ist regelmäßig länger als erwartet und die Grundlage für alles Weitere, von der Löschung bis zur Antwort auf ein Auskunftsersuchen.

Läuft eine dieser Stellen über einen Dienstleister, also Software in der Cloud, das Buchhaltungsbüro oder der Versand von Newslettern, braucht es dafür einen Vertrag zur Auftragsverarbeitung. Der private Messenger auf dem eigenen Handy ist der Fall, den fast jeder Betrieb hat und fast keiner geregelt bekommt.

Bei Kartenzahlung bekommst du die Daten gar nicht erst

Das ist bewusst so gebaut. Bei einer Kartenzahlung liegt die vollständige Kartennummer nie bei dir. Das Terminal verschlüsselt die Daten und gibt sie weiter, auf deinem Beleg steht nur ein verkürzter Rest, und für Rückfragen zu einer Zahlung genügt genau der. Weniger Daten im Betrieb bedeutet weniger, das schiefgehen kann.

Für Kartenbelege gilt trotzdem, was für alle Belege gilt: nicht offen herumliegen lassen, nicht ins Altpapier werfen, sondern zu den Geschäftsunterlagen nehmen.

Wo wir aufhören

Ob dein Betrieb eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten braucht, wie ein Verarbeitungsverzeichnis aussieht und welche Frist im Einzelfall gilt, sind rechtliche Fragen und gehören zu deiner Rechtsberatung. Die Aufbewahrung der Geschäftsunterlagen klärst du mit deiner Steuerberatung. Dieser Beitrag ordnet ein, er prüft nicht deinen Betrieb.