Die DSGVO gilt nicht nur im B2C-Bereich, sondern unter gewissen Umständen auch bei Geschäftskunden. Bei der Zusammenarbeit mit juristischen Personen werden häufig die personenbezogenen Daten der Vertreter verarbeitet. Grundsätzlich fallen auch Daten der Beschäftigten des Geschäftspartners (z. B. Name, Position, geschäftliche Kontaktdaten) unter die DSGVO. Gleiches gilt für Daten von Einzelkaufleuten, Freiberuflern oder selbstständigen Handwerkern, da dies natürliche Personen sind, sowie konkrete Rückschlüsse auf eine identifizierbare Person möglich werden.
Unternehmen stehen daher vor der Herausforderung Geschäftspartner über die Verarbeitung personenbezogener Daten im Rahmen der Geschäftsprozesse zu informieren. Ein sorgfältiger Umgang mit diesen Aspekten ist essentiell, um nicht nur rechtliche Risiken zu vermeiden, sondern mit Hinblick auf die Lieferkette das Vertrauen der Geschäftspartner zu erhalten.
Welche Datenverarbeitungen erfolgen bei Geschäftskunden?
Die Verarbeitung personenbezogener Daten findet regelmäßig im Rahmen zur Vertragsanbahnung oder Vertragserfüllung statt. Dabei ist nicht jede Maßnahme zwingend zur Vertragsabwicklung erforderlich und für die Geschäftspartner sofort offensichtlich. Weitere Verarbeitungen ergeben sich aus spezifische Prozessen im Unternehmen, hier einige typischen Beispiele:
- Pflege der Geschäftsbeziehung: Hierzu werden häufig CRM-Systeme zur Pflege von Kontaktdaten und Kundenhistorie eingesetzt. Diese können zahlreiche Datenpunkte zu den handelnden Personen enthalten. Weiter umfasst die Pflege der Geschäftsbeziehung Maßnahmen zur Direktwerbung oder die Bewertung von Lieferantenbeziehung.
- Bonitätsprüfungen: Wird die Kreditwürdigkeit eines Geschäftspartners überprüft, so müssen Betroffene über die Quelle der Daten (z. B. Wirtschaftsauskunfteien) informiert werden.
- Einsatz von Inkassodienstleistern: Bei der Einschaltung externer Inkassounternehmen ist sicherzustellen, dass diese DSGVO-konform arbeiten und die Betroffenenrechte gewahrt bleiben. Betroffene müssen über die geplante Weitergabe der Zahlungs- und Vertragsdaten informiert werden.
- Dienstleister und Fachleistungen: Werden Dienstleister zur Vertragserfüllung eingesetzt, etwa im Bereich Finanzen, Transport, Service oder Wartung , und werden hierbei personenbezogene Daten weitergegeben, so muss hierrüber grundsätzlich informiert werden. Neben den Kontaktdaten oder Ansprechpartnern können auch aus projektbezogene Daten Rückschlüsse auf personenbezogene Daten abgeleitet werden. Beispielsweise bei der Prüfung und Dokumentation persönlicher Qualifikationen und Zertifizierungen von Dienstleistern oder Lieferanten.
- Sanktionslisten-Screening von Geschäftspartnern: Grundsätzlich müssen betroffene Geschäftspartner bzw. deren Vertreter vorab über den Abgleich Ihrer Daten (zumeist Name und Adresse) mit den Sanktionslisten der EU (z. B. Anti-Terror-Verordnungen) informiert werden. Insbesondere dann, wenn dies automatisiert über einen Dienstleister erfolgt.
- Einsatz von künstlicher Intelligenz: Der Einsatz von KI bringt spezifische Anforderungen mit sich. Geschäftspartner müssen über den Zweck der eingesetzten KI-Lösungen informiert werden. Häufig sollen Daten aus Geschäftsprozessen zum Training eigener Lernmodelle verwendet werden. Da Daten nur Zweckgebunden verwendet werden dürfen, sollte auf die Verwendung dieser Daten zu Trainingszwecken unbedingt hingewiesen werden.
- Verarbeitungen außerhalb der EU/EWR: Werden Daten durch Cloud-Dienstleister verarbeitet, so sind die Serverstandorte von erheblicher Bedeutung. Bei einer Datenübermittlung in Drittländer müssen die entsprechenden Garantien (z. B. EU-Standardvertragsklauseln oder Zertifizierung nach dem EU-US DPF) dokumentiert werden. Diese Garantien müssen zusätzlich zu den Rechtsgrundlagen in den Datenschutzhinweisen angegeben werden.
Inhalte einer Datenschutzinformation
Eine Datenschutzinformation sollte klar, verständlich und umfassend gestaltet sein. Folgende Inhalte sind lt. DSGVO Art. 13 und 14 erforderlich:
- Verantwortlicher: Name und Kontaktdaten des Unternehmens.
- Zweck und Rechtsgrundlage der Datenverarbeitung: Warum und auf welcher Grundlage werden die Daten verarbeitet?
- Empfänger der Daten: Wer erhält Zugriff auf die Daten?
- Dauer der Speicherung: Wie lange werden die Daten aufbewahrt?
- Rechte der Betroffenen: Informationen über das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Sowie das Beschwerderecht bei einer Aufsichtsbehörde:
- Drittstaatentransfer: Werden Daten in Länder außerhalb der EU übermittelt?
- Automatisierte Entscheidungen und Profiling: Wird KI oder Profiling eingesetzt?
- Kategorien der personenbezogener Daten
- Speicherdauer: Konkret benannt oder die Kriterien für diese.
- Datenschutzbeauftragter: Sofern vorhanden, dessen Kontaktdaten
Möglichkeiten zur Umsetzung
Die Erstellung und Bereitstellung von Datenschutzinformationen kann auf verschiedene Weise erfolgen:
Unternehmensbereiche mit Schnittstellen zu Geschäftspartnern, z.B. Einkauf oder Vertrieb sollten Kenntnis über Sinn und Zweck der Datenschutzerklärung für Geschäftspartner haben. Die Bereitstellung kann digital auf der Webseite oder in ausgedruckter Form, z. B. als Anhang zu Vertragsunterlagen oder AGB erfolgen. Auch eine Verlinkung in der E-Mail-Signatur ist möglich.
Fazit
Datenschutzinformationen für Geschäftspartner sind ein zentraler Bestandteil der DSGVO-Compliance. Unternehmen sollten sicherstellen, dass diese Informationen nicht nur rechtlich korrekt, sondern auch leicht verständlich und effizient umsetzbar sind.
Dieser Beitrag dient ausschließlich allgemeinen Informationszwecken und stellt keine Datenschutz- oder Rechtsberatung dar. Für individuelle und verbindliche Auskünfte konsultieren Sie bitte unsere Datenschutzexperten. Die DSS-Connect GmbH bietet Ihnen spezialisierte Unterstützung, um sicherzustellen, dass die Informationen DSGVO-konform sind. Dies umfasst die Analyse der Prozesse sowie die Anpassung an Ihre spezielle Anforderungen.
