Kundendaten: Datensatz anonymisieren statt löschen.

Kein Unternehmen kommt ohne Kundendaten aus und kein Unternehmer möchte diese Daten verlieren – ganz gleich wie lange die letzte Korrespondenz her ist – Herr Mustermann von der Einkaufsabteilung des Automobilzulieferers XYZ GmbH könnte ja übermorgen schon wieder mit einem Auftrag winken.

Die Verlustangst des Unternehmers über seine Kundendaten steht aber im Spannungsverhältnis mit einem der wichtigsten Grundsätze der DSGVO: der Speicherbegrenzung gem. Art. 5 Abs. 1 lit. e DSGVO. Denn dort steht: „Personenbezogene Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist…“.

Rechtliche Würdigung

Die Speicherbegrenzung greift also den Grundsatz der Zweckbindung gem. Art. 5 Abs. 1 lit. b DSGVO auf und ergänzt diesen um die Anforderung, dass die Verbindung zu bestimmten personenbezogenen Daten nur so lange bestehen darf, so lange dies für den Zweck erforderlich ist. Dass die DSGVO der Speicherbegrenzung aber einen eigenständigen Grundsatz formuliert hat, gibt diesem Aspekt der Datenverarbeitung ein besonderes Gewicht und setzt die Verantwortlichen einem erhöhten Rechtfertigungsdruck aus. Dies unterstreicht auch Erwägungsgrund 39 Satz 8 DSGVO, wonach die Speicherdauer auf das „unbedingt erforderliche Mindestmaß“ zu beschränken ist. Denn Daten können ihre Relevanz für den Zweck verlieren, zu dem sie ursprünglich erhoben wurden, z.B. wenn sie nicht mehr aktuell sind, weil der Ansprechpartner beim Kunden gewechselt hat.

Der Personenbezug

Die DSGVO im Allgemeinen und der Grundsatz der Speicherbegrenzung im Speziellen sind aber grundsätzlich nur auf personenbezogene Daten einer natürlichen Person anwendbar (mehr hierzu in unserem anderen Blogbeitrag). Wenn von Kundendaten die Rede ist, wird aber häufig von einem Datensatz gesprochen, in dem sowohl personenbezogene Daten als auch Informationen die nicht-personenbezogen sind, gespeichert werden. Eben dieser vermischte (Kunden-)Datensatz wird zum Zweck der Vertragsanbahnung oder -durchführung verarbeitet – Legitimiert durch Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und im Einklang mit Art. 5 Abs. 1 lit. b DSGVO (Zweckbindung).

Wann aber entfällt dieser Zweck? Schließlich lässt sich eine ewige Speicherung personenbezogener Daten unter keinen Umständen mit den Grundsätzen der DSGVO vereinbaren. Bei Dauerschuldverhältnissen ist der ausschlaggebende Zeitpunkt ganz klar die Kündigung des Vertrages – ab dann müssen Aufbewahrungsfristen aus z.B. Abgabenordnung (AO) und Handelsgesetzbuch (HGB) im Auge behalten werden. Bei Kaufverträgen oder sonstigen Verträgen, die kein Dauerschuldverhältnis begründen, gelten neben AO und HGB auch dem Kunden vertraglich gewährte Garantieansprüche oder der Ablauf von Verjährungsfristen (z.B. regelmäßige Verjährungsfrist von 3 Jahren gem. § 195 BGB).

Immer gilt aber: der Kundendatensatz – genauer gesagt, der Teil des Datensatzes, der personenbezogen ist (z.B. Name und E-Mail-Adresse des Ansprechpartners beim Kunden) muss gelöscht werden, wenn der Zweck entfallen ist und keine gesetzlichen oder vertraglichen Fristen einer Löschung entgegenstehen.

Löschung der Kundendaten

Zu beachten ist dabei aber, dass sich die Löschpflicht auf den personenbezogenen Teil bezieht, denn nur dieser ist vom sachlichen Anwendungsbereich der DSGVO gem. Art. 2 Abs. 1 DSGVO erfasst. Im Detail bedeutet dies, dass alle Informationen die einen Personenbezug zum Ansprechpartner beim Kunden erlauben (z.B. Name und E-Mail-Adresse), gelöscht werden müssen – die nicht-personenbezogenen Informationen (z.B. Unternehmensbezeichnung, Unternehmensanschrift oder Bürodurchwahl), weiterhin verarbeitet werden dürfen. Letztendlich stellt das Löschen des Personenbezugs damit eine Anonymisierung des Kundendatensatzes dar, ohne dass hier wichtige Informationen wie allgemeine Kontaktdaten und Umsatzzahlen etc. verloren gehen.

Fazit

Ganz gleich, wie wichtig einem die Kundendaten auch sind – ist der Zweck entfallen, müssen diese grundsätzlich gelöscht werden. Vergessen wird dabei aber häufig, dass der Kundendatensatz personenbezogene als auch nicht-personenbezogene Daten enthält und der Grundsatz der Datensparsamkeit gem. Art. 5 Abs. 1 lit. e DSGVO nur auf ersteren Teil des Datensatzes Anwendung findet.