Seit der DSGVO 2018 in Kraft trat, gibt es in vielen KMU eine Reaktion: Entweder komplette Überforderung oder komplettes Ignorieren. Beides ist gefährlich. Wer Kundendaten erhebt – und das tut jeder, der eine Stempelkarte, einen Newsletter oder eine App betreibt – muss die Grundregeln kennen. Die gute Nachricht: Sie sind weniger kompliziert als ihr Ruf.
Was gilt als "Kundendaten" im Sinne der DSGVO?
Personenbezogene Daten sind alle Informationen, mit denen eine natürliche Person identifiziert werden kann. Dazu zählen:
Lohnt sich eine App für deinen Betrieb?
Finde es kostenlos heraus – in 2 Minuten.
- Name und E-Mail-Adresse (z. B. aus einer Newsletter-Anmeldung)
- Telefonnummer (z. B. für WhatsApp-Benachrichtigungen)
- Kaufhistorie, wenn sie einer Person zugeordnet ist (z. B. über eine Kundenkarte)
- Standortdaten (z. B. wenn eine App den nächsten Standort zeigt und dabei den Standort des Nutzers verwendet)
- Fotos von Mitarbeitern auf der Website – auch das sind personenbezogene Daten
Anonyme Daten – also Statistiken ohne Personenbezug wie "heute hatten wir 200 Besucher" – fallen nicht unter die DSGVO.
Regel 1: Einwilligung oder berechtigtes Interesse
Für jede Datenerhebung brauchst du eine Rechtsgrundlage. Im Alltag eines KMU sind das meistens zwei:
- Einwilligung: Der Kunde stimmt aktiv zu – etwa beim Anmelden für eine App oder einen Newsletter. Das Häkchen muss freiwillig gesetzt werden und darf nicht vorausgefüllt sein.
- Vertrag: Du brauchst die Daten, um den Vertrag zu erfüllen – z. B. die Lieferadresse für eine Bestellung.
Wichtig: Die Einwilligung muss dokumentiert sein. Bei digitalen Systemen (App, Newsletter-Tool) passiert das automatisch. Bei Papierformularen musst du die unterschriebenen Formulare aufbewahren.
Regel 2: Datenschutzerklärung – ja, auch du brauchst eine
Jede Website, jede App, jedes Online-Formular muss eine Datenschutzerklärung haben. Sie muss erklären, welche Daten du erhebst, warum, wie lange du sie speicherst und wer sonst noch Zugriff hat (z. B. dein E-Mail-Anbieter).
Für kleine Unternehmen ohne komplexe Systeme genügt oft eine einseitige, klar formulierte Datenschutzerklärung. Generatoren wie der der WKO (Österreich) oder datenschutz.org (Deutschland) helfen dabei. Wichtig: Sie muss tatsächlich stimmen – eine Standard-Vorlage, die Dienste auflistet, die du gar nicht nutzt, ist schlechter als keine.
Praxistipp: Lass deine Datenschutzerklärung einmal pro Jahr von jemandem lesen, der nicht täglich damit zu tun hat. Wenn diese Person nicht versteht, was du mit ihren Daten machst, ist die Erklärung zu unklar.
Regel 3: Datensparsamkeit – nur was du wirklich brauchst
Die DSGVO verlangt Datensparsamkeit: Du darfst nur die Daten erheben, die du für den jeweiligen Zweck wirklich brauchst. Für eine digitale Stempelkarte brauchst du Name und E-Mail. Du brauchst keine Geburtsdaten, keine Adresse, kein Foto – außer du hast dafür einen konkreten Zweck.
Das gilt auch für die Speicherdauer. Kunden, die seit zwei Jahren nicht mehr aktiv sind, solltest du aus aktiven Kampagnen herausnehmen – und nach einem angemessenen Zeitraum löschen oder anonymisieren.
Regel 4: Auskunft und Löschung auf Anfrage
Jeder Kunde hat das Recht zu fragen: "Welche Daten habt ihr über mich?" Und er hat das Recht, die Löschung zu verlangen. Du hast dann in der Regel einen Monat Zeit, zu antworten und zu handeln.
In der Praxis kommen solche Anfragen selten. Aber du musst technisch in der Lage sein, sie zu beantworten. Moderne Kundenbindungs-Systeme wie Pocketshop haben hierfür eingebaute Funktionen – Datenexporte und Löschfunktionen sind inklusive.
Was ist mit WhatsApp, Facebook und Co.?
Hier wird es komplizierter. WhatsApp Business überträgt Metadaten in die USA – das ist nach aktuellem EU-Recht in einer Grauzone. Wer WhatsApp für Kundenkommunikation nutzt, sollte zumindest in der Datenschutzerklärung darauf hinweisen und idealerweise eine Alternative anbieten.
Facebook Custom Audiences, also das Hochladen von Kundenlisten für Werbung, erfordert eine klare Einwilligung der Kunden – die meisten Unternehmen holen diese nicht korrekt ein. Das ist ein reales Bußgeldrisiko.
Die sichere Variante: Europäische Systeme nutzen
Der einfachste Weg zur DSGVO-Compliance bei der Kundenbindung: europäische Anbieter wählen, die ihre Server in der EU betreiben und einen Auftragsverarbeitungsvertrag (AVV) anbieten. Pocketshop beispielsweise betreibt alle Kundendaten ausschließlich auf europäischen Servern und stellt den AVV automatisch bereit.
Ein AVV ist kein Bürokratie-Monster – es ist ein Standardvertrag, der regelt, wie dein Dienstleister mit den Daten umgeht. Seriöse Anbieter haben ihn vorbereitet und du musst ihn nur unterzeichnen.
DSGVO ist kein Hindernis für Kundenbindung – sie ist ein Rahmen, der Vertrauen schafft. Kunden, die wissen, dass du sorgfältig mit ihren Daten umgehst, sind loyalere Kunden.