Kundenkartei und DSGVO: der einfache Leitfaden für Selbstständige

Name, Telefonnummer, E-Mail, Datum des letzten Termins, ein paar Notizen: Sobald Sie diese Informationen aufbewahren, führen Sie eine Kundenkartei. Und die Kundenkartei nach DSGVO betrifft nicht nur große Unternehmen: Die europäische Datenschutz-Grundverordnung gilt auch für den Friseur, der die Vorlieben seiner Kundinnen notiert, für den Coach, der ein Angebot zum Schulstart verschickt, oder für den Handwerker, der seine Kostenvoranschläge aufbewahrt. Die gute Nachricht: Für ein kleines Unternehmen besteht das Wesentliche aus ein paar einfachen Handgriffen.

Dieser Leitfaden stützt sich auf die Dokumente der CNIL, der französischen Datenschutzbehörde. Er gibt Ihnen eine Methode in sechs Schritten, die wichtigsten Aufbewahrungsfristen, die Regeln für den Versand von Angeboten per E-Mail oder SMS und Vorlagen zum Kopieren. Er ersetzt keine Rechtsberatung: Informieren Sie sich in einem besonderen Fall bei der Datenschutzbehörde oder bei einer Rechtsfachperson.

Ist Ihre Kundenkartei von der DSGVO betroffen?

Ja, sobald sie Informationen über identifizierbare Personen enthält: einen Namen, eine Telefonnummer, eine E-Mail-Adresse, einen Terminverlauf. Das Medium spielt keine Rolle. Ein Notizbuch aus Papier, eine Tabelle, die Kontakte Ihres Telefons oder eine Buchungssoftware sind gleichermaßen betroffen.

Die DSGVO verbietet Ihnen nicht, diese Informationen aufzubewahren. Sie verlangt, dass Sie wissen, warum Sie sie aufbewahren, nur das Nützliche behalten, Ihre Kunden informieren, ihre Rechte achten und die Kartei schützen. In ihrem praktischen Leitfaden für Kleinst-, kleine und mittlere Unternehmen, 2018 gemeinsam mit Bpifrance veröffentlicht, fasst die CNIL das Vorgehen in vier Schritten zusammen: seine Dateien erfassen, seine Daten aussortieren, die Rechte der Personen achten und seine Daten sichern.

Schritt 1: Listen Sie Ihre Dateien und ihren Zweck auf

Die CNIL bietet kleinen Unternehmen eine Checkliste an, die genau damit beginnt: alle Dateien des Unternehmens erfassen und dann den Zweck jeder einzelnen notieren. Für Selbstständige ist die Liste oft kurz:

• Kunden: Terminvergabe, Betreuung der Leistungen, Rechnungsstellung.
• Interessenten: Personen, die einen Kostenvoranschlag oder eine Auskunft angefragt haben, ohne zu kaufen.
• Kundenbindung: Versand von Angeboten, Neuigkeiten, Nachfassen.
• Buchhaltung: Rechnungen und Buchungsbelege.

Diese kleine Bestandsaufnahme ist die Grundlage des „Verzeichnisses von Verarbeitungstätigkeiten“. Der Leitfaden der CNIL empfiehlt, darin für jede Tätigkeit den Zweck, die Datenkategorien, wer Zugriff hat und wie lange die Daten aufbewahrt werden, festzuhalten. Für ein kleines Unternehmen reicht oft eine einseitige Tabelle, und die CNIL stellt eine Vorlage bereit.

Schritt 2: Behalten Sie nur die wirklich nützlichen Informationen

Diesen Punkt formuliert die Checkliste der CNIL am deutlichsten: Listen Sie für jede Datei die gespeicherten Informationen auf und prüfen Sie, ob sie alle für Ihren Zweck unverzichtbar sind. Ist das nicht der Fall, löschen Sie sie und fragen Sie nicht mehr danach.

In der Praxis reichen für eine Terminbuchung oft der Name, eine Kontaktmöglichkeit und die Leistung. Geburtsdatum, Postanschrift oder Beruf sind nur nützlich, wenn Sie einen echten Grund haben, danach zu fragen (zum Beispiel bei einem Einsatz beim Kunden zu Hause).

Vorsicht bei „freien“ Notizen

Kommentare in einem Kundenprofil sind praktisch, aber sie sind Daten wie alle anderen. Das Referenzdokument der CNIL zur Verwaltung von Geschäftstätigkeiten erinnert daran, dass bestimmte Informationen als sensibel gelten: Herkunft, politische, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben oder sexuelle Orientierung, Gesundheit. Sie dürfen nicht ohne die Einwilligung der Person erhoben werden. Schreiben Sie sachliche, für die Leistung nützliche Notizen, die Sie dem Kunden auch zeigen würden.

Wenn Sie im Gesundheitswesen oder als Wellness-Praktiker tätig sind, verdient das Thema Gesundheitsdaten besondere Aufmerksamkeit: Informieren Sie sich bei der Datenschutzbehörde und bei Ihrer Kammer oder Ihrem Berufsverband über die Regeln, die für Ihre Tätigkeit gelten.

Schritt 3: Informieren Sie Ihre Kunden bei der Erhebung

Ihre Kunden müssen wissen, was Sie mit ihren Daten machen. Laut dem Leitfaden der CNIL für kleine und mittlere Unternehmen muss die Information insbesondere Folgendes angeben: den Zweck der Erhebung, die Rechtsgrundlage (Vertrag, Einwilligung, rechtliche Verpflichtung oder berechtigtes Interesse), wer Zugriff auf die Daten hat, wie lange Sie sie aufbewahren, wie man seine Rechte ausübt und ob Daten außerhalb der Europäischen Union übermittelt werden.

Passen Sie die Klammern an Ihre Situation an und prüfen Sie den endgültigen Text im Zweifel anhand der Hilfsmittel der Datenschutzbehörde.

Schritt 4: Holen Sie die Zustimmung ein, bevor Sie Angebote verschicken

An dieser Regel scheitern die meisten Selbstständigen. Laut CNIL erfordert Werbung per E-Mail, SMS oder Fax an eine Privatperson grundsätzlich deren vorherige Einwilligung, und diese Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden. Wer Ihre AGB akzeptiert, stimmt damit nicht dem Erhalt von Angeboten zu. Die CNIL empfiehlt ein Kästchen zum Ankreuzen, das standardmäßig nicht angekreuzt ist.

Für Geschäfte vor Ort gibt es eine nützliche Ausnahme: Ist die Person bereits Kunde und bieten Sie ihr Produkte oder Dienstleistungen an, die denen ähneln, die sie bereits gekauft hat, ist keine Einwilligung nötig. Zwei Bedingungen bleiben aber Pflicht: Sie muss bei der Erhebung ihrer Kontaktdaten einfach und kostenlos ablehnen können, und danach jederzeit, insbesondere in jeder Nachricht.

Diese Regeln betreffen die Kundenwerbung, also Werbung und Aktionen. Eine Terminerinnerung dient dagegen der Leistung, die der Kunde angefragt hat. Wie Sie Ihre Kunden regelkonform nachfassen, ohne sie zu ermüden, zeigt unser Leitfaden zum Nachfassen bei Kunden, mit passenden Nachrichten und Rhythmen.

Schritt 5: Legen Sie eine Aufbewahrungsfrist fest und halten Sie sie ein

Die Checkliste der CNIL sagt es ohne Umschweife: Ermitteln Sie, wie lange Sie jede Art von Information aufbewahren müssen, und bewahren Sie sie nicht länger auf. Für die Kundenwerbung nennt das Referenzdokument der CNIL zur Verwaltung von Geschäftstätigkeiten genaue Richtwerte.

• Kunden: Die Daten dürfen während der Geschäftsbeziehung und danach 3 Jahre nach deren Ende (zum Beispiel ab dem letzten Kauf) für Werbung genutzt werden.
• Interessenten, die keine Kunden sind: 3 Jahre ab der Erhebung oder dem letzten Kontakt, der von der Person ausging. Das bloße Öffnen einer E-Mail zählt nicht als Kontakt; ein Klick auf einen Link schon.
• Nach 3 Jahren: Sie können die Person fragen, ob sie weiterhin Ihre Nachrichten erhalten möchte. Ohne klare, positive Antwort werden die Daten gelöscht oder archiviert.

Für Rechnungen und Buchungsbelege gelten eigene Aufbewahrungspflichten: Klären Sie diese mit Ihrem Steuerberater. Am einfachsten legen Sie einen jährlichen Aufräumtermin fest, zum Beispiel jeden Januar, um inaktive Kontakte auszusortieren.

Schritt 6: Schützen Sie den Zugriff auf die Kartei

Eine verlorene oder von Dritten eingesehene Kundenkartei ist ein echtes Problem, für Ihre Kunden wie für Sie. Das Referenzdokument der CNIL nennt zahlreiche Sicherheitsmaßnahmen; hier die wichtigsten für Selbstständige:

• ein starkes, eigenes Passwort für jedes Tool, nie auf einem Post-it geteilt;
• die automatische Bildschirmsperre auf Telefon und Computer;
• Zugriff nur für die Personen, die ihn brauchen, und Entzug, sobald ein Mitarbeiter geht;
• regelmäßige Sicherungen, die nicht auf dem Hauptgerät gespeichert sind;
• keine Kundenkartei als ungeschützter Anhang verschicken.

Bei einem Datenleck, das ein Risiko für die Personen darstellen kann, muss es laut Leitfaden der CNIL innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden, und die betroffenen Personen müssen informiert werden, wenn das Risiko hoch ist.

Was tun, wenn ein Kunde seine Daten einsehen oder löschen lassen möchte?

Ihre Kunden haben Rechte: Auskunft, Berichtigung, Widerspruch, Löschung, Datenübertragbarkeit und Einschränkung. Der Leitfaden der CNIL verlangt, darauf in kurzer Frist zu antworten, höchstens innerhalb eines Monats. Sehen Sie eine E-Mail-Adresse für diese Anfragen vor und eine einfache Möglichkeit, alle Informationen zu einer Person wiederzufinden.

Beispiele nach Beruf

Kosmetikerin: Bewahren Sie für die Behandlung nützliche Informationen (zum Beispiel eine von der Kundin gemeldete Allergie) nur mit ihrer Zustimmung auf, und bieten Sie Ihre Treueangebote bestehenden Kundinnen mit einem Link zum Abmelden an. Fitnesscoach: Trennen Sie Kontakte, die zu einer Probestunde gekommen sind (Kunden), von denen, die nur nach einem Preis gefragt haben (Interessenten). Anwalt: Zur DSGVO kommt die berufliche Schweigepflicht hinzu; beschränken Sie den Zugriff auf Akten und Kalender. Handwerker: Ein nicht unterschriebener Kostenvoranschlag macht jemanden zum Interessenten, nicht zum Kunden: Rechnen Sie drei Jahre ab dem letzten Austausch. Wie Sie aus einer sauberen Kartei treue Kunden machen, zeigt unser Leitfaden zur Kundenbindung mit konkreten Methoden.

Wie Calendrio Ihnen hilft, eine saubere Kundenkartei zu führen

In Calendrio hat jeder Kunde ein Profil mit seinem Terminverlauf und Ihren privaten Notizen: Alles ist an einem Ort, was eine Anfrage auf Auskunft oder Berichtigung erleichtert. Sie können Ihre Kunden nach Kategorien ordnen und einen Kontakt als „privat“ markieren, um ihn von Kampagnen auszuschließen.

Jede E-Mail- oder SMS-Kampagne, die Sie über Calendrio verschicken, enthält automatisch einen Link, um keine Nachrichten mehr zu erhalten; ein abgemeldeter Kunde wird in seinem Profil gekennzeichnet und erhält Ihre Kampagnen nicht mehr. Die Tarife werden auf der Seite Preise vorgestellt, mit einer einmonatigen kostenlosen Testphase, ohne Kreditkarte und ohne Verpflichtung.