DSGVO für Dienstleister: Kundendaten rechtskonform verwalten
Wer Kundendaten speichert, muss die DSGVO einhalten — auch als Einzelunternehmer. Diese 5 Punkte sind für Dienstleister besonders wichtig.
Die Datenschutz-Grundverordnung gilt seit 2018 — und trotzdem haben viele selbstständige Dienstleister und kleine Betriebe ihre Datenschutzpflichten noch nicht vollständig umgesetzt. Das Risiko: Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.
Aber keine Panik: Für kleine Betriebe sind die Anforderungen überschaubar, wenn man weiß, worauf es ankommt.
Was ist personenbezogenes Datum?
Alles, was eine Person identifizierbar macht: Name, Adresse, Telefonnummer, E-Mail, IP-Adresse, Kundennummer. Sobald du solche Daten speicherst, greift die DSGVO.
Die 5 wichtigsten Punkte für Dienstleister
1. Datenschutzerklärung auf der Website
Jede Website, die Besucher trackt oder Kontaktformulare hat, braucht eine Datenschutzerklärung. Sie muss erklären, welche Daten gesammelt werden, zu welchem Zweck, wie lange sie gespeichert werden und welche Rechte der Nutzer hat.
Achtung: Cookie-Banner ohne Opt-In-Möglichkeit sind nicht ausreichend. Tracking-Tools wie Google Analytics dürfen erst nach aktiver Zustimmung geladen werden.
2. Auftragsverarbeitungsvertrag (AVV)
Wer Kundendaten an Dritte weitergibt — also Daten in Cloud-Systemen speichert, CRM-Software nutzt oder E-Mail-Dienste verwendet — muss einen AVV mit diesen Dienstleistern abschließen. Das ist kein bürokratischer Akt, sondern eine rechtliche Absicherung.
3. Verzeichnis von Verarbeitungstätigkeiten
Unternehmen mit mehr als 20 Mitarbeitern müssen ein Verzeichnis aller Datenverarbeitungsprozesse führen. Kleinbetriebe sind formal ausgenommen — aber ein solches Verzeichnis schützt im Streitfall und hilft dir selbst, den Überblick zu behalten.
4. Daten löschen
Kundendaten dürfen nicht unbegrenzt gespeichert werden. Als Faustregel: Wenn der Geschäftszweck erfüllt ist (Auftrag abgeschlossen, keine weiteren Geschäftsbeziehungen), müssen Daten gelöscht werden — es sei denn, es gibt gesetzliche Aufbewahrungspflichten (Steuerrecht: 10 Jahre für Rechnungen).
5. Datenpannen melden
Wer Opfer eines Cyberangriffs wird oder Kundendaten versehentlich verliert, muss das innerhalb von 72 Stunden der zuständigen Datenschutzbehörde melden. Das gilt auch für kleinste Betriebe.
Datenschutz und CRM-Software
Wenn du ein CRM-System nutzt, um Kundendaten zu speichern, sollte es folgendes bieten:
- Server in der EU (keine Datenübertragung in Drittländer ohne Absicherung)
- AVV mit dem Anbieter
- Möglichkeit, Kundendaten zu exportieren und zu löschen (Auskunftsrecht, Löschrecht)
- Zugriffskontrolle und Audit-Log
Roland ist DSGVO-konform entwickelt: Daten liegen auf EU-Servern, AVV wird bereitgestellt, und jeder Datenexport und jede Löschung ist dokumentiert.
Roland — Die Angebotsmaschine
Angebote erstellen, Kunden verwalten, Rechnungen stellen — in einer Oberfläche.
Frühen Zugang sichern →