Datenschutz bei Kundendaten: Pflichten und Best Practices

Kundendaten sind das Fundament jeder Geschaeftsbeziehung. Namen, Adressen, Telefonnummern, Kaufhistorien und Kommunikationspraeferenzen – all das sammelt sich ueber Jahre an. Doch mit jeder gespeicherten Information wachsen auch die Pflichten. Die DSGVO stellt klare Anforderungen an den Umgang mit personenbezogenen Daten, und Kundendaten stehen dabei im Zentrum.

Trotzdem herrscht in vielen Unternehmen Unsicherheit. Welche Daten duerfen ueberhaupt gespeichert werden? Wie lange? Wer darf darauf zugreifen? Und was passiert, wenn ein Kunde Auskunft verlangt oder die Loeschung fordert? Die Antworten auf diese Fragen entscheiden nicht nur ueber die rechtliche Absicherung, sondern auch ueber die Qualitaet der eigenen Datenbestaende.

Welche Kundendaten fallen unter den Datenschutz?

Personenbezogene Daten umfassen nach Art. 4 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natuerliche Person beziehen. Im Kundenstamm betrifft das praktisch jedes Feld:

Datenkategorie	Beispiele	Sensibilitaet
Identifikationsdaten	Name, Geburtsdatum, Kundennummer	Mittel
Kontaktdaten	Adresse, Telefon, E-Mail	Mittel
Vertragsdaten	Bestellungen, Vertraege, Rechnungen	Mittel
Zahlungsdaten	Bankverbindung, Kreditkarte, Zahlungshistorie	Hoch
Kommunikationsdaten	E-Mail-Verlauf, Beschwerden, Notizen	Mittel bis hoch
Verhaltensdaten	Kaufhistorie, Website-Tracking, Praeferenzen	Mittel
Besondere Kategorien	Gesundheitsdaten (z.B. bei Apotheken), Religionszugehoerigkeit	Sehr hoch

Entscheidend: Auch Daten, die einzeln betrachtet harmlos wirken, koennen in Kombination eine Person identifizierbar machen. Eine PLZ allein ist kein personenbezogenes Datum. Zusammen mit Nachname und Geburtsdatum wird sie Teil eines geschuetzten Datensatzes. Welche konkreten Pflichten sich daraus ergeben, erlaeutert unser Artikel zu DSGVO und Adressdaten.

Sonderfall Firmenkunden

Reine B2B-Kontakte ohne Bezug zu natuerlichen Personen fallen nicht unter die DSGVO. Sobald aber ein Ansprechpartner mit Name und E-Mail hinterlegt ist, greift der Datenschutz vollstaendig. In der Praxis sind rein unternehmensbezogene Datensaetze ohne Personenbezug selten.

Die fuenf haeufigsten Fehler beim Umgang mit Kundendaten

Viele Unternehmen glauben, ihren Datenschutz im Griff zu haben. In der Praxis zeigen sich aber immer wieder dieselben Probleme:

1. Daten ohne Rechtsgrundlage speichern

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Haeufiger Fehler: Adressen aus Gewinnspielen werden fuer Newsletter genutzt, obwohl die Einwilligung nur das Gewinnspiel abdeckte. Oder Kontaktdaten von Messe-Visitenkarten landen im CRM, ohne dass eine Einwilligung oder ein berechtigtes Interesse dokumentiert ist.

2. Keine definierten Loeschfristen

Kundendaten sammeln sich an, werden aber nie geloescht. In vielen CRM-Systemen finden sich Eintraege von Kunden, die seit fuenf oder zehn Jahren keinen Kontakt mehr hatten. Ohne dokumentiertes Loeschkonzept verstoesst das gegen den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).

3. Unkontrollierter Zugriff

Der komplette Kundenstamm ist fuer alle Mitarbeiter einsehbar – vom Vertrieb ueber die Buchhaltung bis zum Praktikanten. Das widerspricht dem Grundsatz der Datenminimierung. Jeder Mitarbeiter sollte nur die Daten sehen, die er fuer seine Aufgabe benoetigt.

4. Daten in ungesicherten Formaten

Excel-Listen mit Kundendaten auf geteilten Netzlaufwerken, per E-Mail weitergeleitete CSV-Dateien, Adresslisten auf USB-Sticks. All das sind Datenschutzrisiken, die in der Praxis taeglich vorkommen und bei einer Pruefung sofort auffallen.

5. Fehlende Dokumentation

Kein Verzeichnis der Verarbeitungstaetigkeiten, keine dokumentierten Rechtsgrundlagen, keine Protokolle ueber Betroffenenanfragen. Bei einer Anfrage der Aufsichtsbehoerde muessen Sie nachweisen koennen, dass Sie die Regeln einhalten. Ohne Dokumentation steht Aussage gegen Aussage.

Rechtsgrundlagen fuer die Verarbeitung von Kundendaten

Die DSGVO nennt in Art. 6 sechs moegliche Rechtsgrundlagen. Fuer Kundendaten sind vier davon praxisrelevant:

Uebersicht Rechtsgrundlagen fuer Kundendaten:

Vertragserfuellung (Art. 6 Abs. 1 lit. b)
├── Lieferadresse fuer Bestellungen
├── Rechnungsadresse fuer Zahlungsabwicklung
├── Kontaktdaten fuer Vertragskommunikation
└── Kundennummer fuer Vertragsverwaltung

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)
├── Direktwerbung per Post an Bestandskunden
├── Bonitaetspruefung bei Neukunden
├── Betrugspraevention
└── Interne Analyse und Statistik

Einwilligung (Art. 6 Abs. 1 lit. a)
├── Newsletter-Versand per E-Mail
├── Telefonwerbung (B2C)
├── Profiling und personalisierte Werbung
└── Weitergabe an Dritte zu Werbezwecken

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)
├── Steuerliche Aufbewahrungspflichten (10 Jahre)
├── Handelsrechtliche Pflichten (6 Jahre)
└── Geldwaeschegesetz (5 Jahre)

Wichtig: Fuer denselben Datensatz koennen unterschiedliche Rechtsgrundlagen gelten – je nach Verarbeitungszweck. Die Lieferadresse eines Kunden wird auf Basis der Vertragserfuellung gespeichert. Dieselbe Adresse fuer ein Werbemailing zu nutzen, stuetzt sich auf das berechtigte Interesse. Das muessen Sie getrennt dokumentieren.

Aufbewahrungsfristen: Wann Kundendaten geloescht werden muessen

Die Frage, wie lange Kundendaten gespeichert werden duerfen, hat keine pauschale Antwort. Es kommt auf die Art der Daten und den Verarbeitungszweck an:

Datenart	Frist	Rechtsgrundlage
Rechnungen und Buchungsbelege	10 Jahre	§ 147 AO, § 257 HGB
Geschaeftsbriefe	6 Jahre	§ 257 HGB
Vertragsdaten	Vertragsdauer + 3 Jahre (Verjaehrung)	§§ 195, 199 BGB
Marketingdaten (mit Einwilligung)	Bis zum Widerruf	Art. 7 Abs. 3 DSGVO
Marketingdaten (berechtigtes Interesse)	Empfehlung: 2–3 Jahre nach letztem Kontakt	Art. 5 DSGVO
Bewerberdaten (abgelehnt)	6 Monate	AGG
Werbewidersprueche	Dauerhaft auf Sperrliste	Art. 21 DSGVO

Ein konkretes Beispiel aus der Praxis:

Kunde Max Mueller – letzte Bestellung: 15.03.2023

Rechnungsadresse:
→ Aufbewahren bis 31.12.2033 (steuerliche Pflicht, 10 Jahre ab Ende Geschaeftsjahr)

Lieferadresse (abweichend):
→ Aufbewahren fuer Vertragserfuellung (Gewaehrleistung)
→ Loeschen 3 Jahre nach Lieferung (Verjaehrungsfrist), spaetestens 31.12.2026

Newsletter-Einwilligung:
→ Aktiv bis zum Widerruf
→ Bei Inaktivitaet: Nach 24 Monaten ohne Oeffnung Re-Opt-In anfragen

Werbe-Sperrvermerk (Widerspruch 2024):
→ Dauerhaft auf Sperrliste behalten, niemals loeschen

Die groesste Herausforderung ist nicht die Theorie, sondern die Umsetzung. In der Praxis liegen Kundendaten oft verstreut: im CRM, in der Buchhaltung, in Excel-Listen, im E-Mail-System und manchmal auf persoenlichen Laufwerken einzelner Mitarbeiter. Ein Loeschkonzept funktioniert nur, wenn es alle diese Speicherorte erfasst.

Betroffenenrechte: Was Kunden von Ihnen verlangen koennen

Die DSGVO gibt betroffenen Personen umfangreiche Rechte. In der Praxis muessen Sie auf vier Arten von Anfragen vorbereitet sein:

Auskunftsanfrage (Art. 15 DSGVO)

Ein Kunde fragt: "Welche Daten haben Sie ueber mich gespeichert?" Sie muessen innerhalb eines Monats vollstaendig antworten – mit allen gespeicherten Daten, den Verarbeitungszwecken, den Empfaengern und der geplanten Speicherdauer.

Das klingt einfach, wird aber komplex, wenn Kundendaten in mehreren Systemen liegen. Ein typisches Szenario:

Systeme mit Daten zu "Max Mueller":
1. CRM (Salesforce)     → Name, Adresse, Telefon, Kaufhistorie
2. Buchhaltung (DATEV)  → Name, Adresse, Rechnungen, Zahlungen
3. Newsletter (Mailchimp)→ E-Mail, Oeffnungsraten, Klickverhalten
4. Excel-Liste (Vertrieb)→ Name, Telefon, Notizen, Besuchstermine
5. E-Mail-Postfach       → Korrespondenz mit Kundendaten

Wenn Sie bei einer Auskunftsanfrage System 4 oder 5 vergessen, ist die Auskunft unvollstaendig – und damit ein Verstoss.

Loeschung (Art. 17 DSGVO)

Ein Kunde verlangt die Loeschung seiner Daten. Sie muessen pruefen, ob dem gesetzliche Aufbewahrungspflichten entgegenstehen. Wenn ja, duerfen Sie die Daten nicht loeschen, muessen sie aber sperren – das heisst, sie duerfen nur noch fuer den gesetzlich vorgeschriebenen Zweck genutzt werden, nicht mehr fuer Marketing.

Berichtigung (Art. 16 DSGVO)

Ein Kunde teilt einen Umzug mit und verlangt die Aktualisierung seiner Adresse. Die Aenderung muss in allen Systemen erfolgen, nicht nur im Hauptsystem. Das ist einfacher gesagt als getan, wenn Adressen in fuenf verschiedenen Datenbanken stehen.

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO)

Dieses Recht ist absolut. Widerspricht ein Kunde der Nutzung seiner Daten fuer Werbezwecke, muessen Sie das sofort umsetzen. Es gibt keine Abwaegung und keine Ausnahme. Der Kunde muss auf eine Sperrliste, die bei jedem Mailing geprueft wird.

Technische und organisatorische Massnahmen

Art. 32 DSGVO verlangt "angemessene" technische und organisatorische Massnahmen zum Schutz personenbezogener Daten. Was angemessen ist, haengt vom Risiko ab. Fuer typische Kundendaten gelten diese Mindeststandards:

Zugriffskontrolle

Rollenbasiertes Zugriffsmodell – Beispiel:

Vertrieb:
→ Lesen: Kontaktdaten, Kaufhistorie, Notizen
→ Schreiben: Eigene Kontakte, Besuchsberichte
→ Kein Zugriff: Zahlungsdaten, Personalakten

Buchhaltung:
→ Lesen: Rechnungsadressen, Zahlungsdaten
→ Schreiben: Zahlungsstatus, Mahnungen
→ Kein Zugriff: Vertriebsnotizen, Marketingdaten

Marketing:
→ Lesen: Adressen, Segmentierungsmerkmale
→ Schreiben: Kampagnenzuordnungen
→ Kein Zugriff: Zahlungsdaten, Vertriebsnotizen

Geschaeftsfuehrung:
→ Lesen: Aggregierte Berichte und Kennzahlen
→ Kein Zugriff auf Einzeldatensaetze (Datensparsamkeit)

Verschluesselung und sichere Uebertragung

Kundendaten sollten verschluesselt gespeichert und uebertragen werden. Das gilt besonders fuer Daten, die das Unternehmen verlassen – etwa wenn eine Adressliste an einen Lettershop oder eine Druckerei geht.

Unverschluesselte Excel-Dateien per E-Mail zu versenden ist einer der haeufigsten Verstoesse, die Aufsichtsbehoerden bei Pruefungen finden. Die Alternative: verschluesselte ZIP-Archive oder sichere Uebertragungswege.

Lokale Verarbeitung statt Cloud

Wenn Sie Kundendaten bereinigen, zusammenfuehren oder fuer Mailings aufbereiten, ist die Frage, wo die Verarbeitung stattfindet, entscheidend. Cloud-Dienste erfordern Auftragsverarbeitungsvertraege, Pruefung der Serverstandorte und regelmaessige Kontrollen der Dienstleister. Lokale Verarbeitung auf dem eigenen Rechner umgeht diese Komplexitaet vollstaendig.

Genau hier setzt ListenFix an: Die Software laeuft vollstaendig offline auf Ihrem Windows-Rechner. Kundenadressen werden lokal bereinigt, Dubletten erkannt und Haushalte zusammengefuehrt – ohne dass ein einziger Datensatz Ihr Geraet verlaesst. Kein Cloud-Upload, kein Drittanbieter, kein Auftragsverarbeitungsvertrag. Das macht die datenschutzkonforme Bereinigung so unkompliziert wie moeglich. Mehr dazu erfahren Sie im Artikel zur DSGVO-konformen Adressbereinigung.

Praxisleitfaden: Kundendatenschutz in 8 Schritten umsetzen

Statt abstrakter Empfehlungen hier ein konkreter Fahrplan, der sich in der Praxis bewaehrt hat:

Schritt 1 – Dateninventur durchfuehren: Listen Sie alle Systeme auf, in denen Kundendaten gespeichert werden. CRM, Buchhaltung, E-Mail-Marketing, Excel-Listen, Papierakten. Jedes System zaehlt.

Schritt 2 – Rechtsgrundlagen dokumentieren: Fuer jeden Verarbeitungszweck festhalten, auf welcher Rechtsgrundlage die Verarbeitung basiert. "Haben wir schon immer so gemacht" ist keine Rechtsgrundlage.

Schritt 3 – Loeschfristen definieren: Fuer jede Datenkategorie eine konkrete Frist festlegen und dokumentieren, wer fuer die Umsetzung verantwortlich ist.

Schritt 4 – Zugriffsrechte pruefen: Wer hat Zugriff auf welche Daten? Braucht der Praktikant wirklich den kompletten Kundenstamm? Zugriffsrechte nach dem Minimalprinzip vergeben.

Schritt 5 – Verzeichnis der Verarbeitungstaetigkeiten anlegen: Das VVT nach Art. 30 DSGVO ist Pflicht fuer die meisten Unternehmen. Es dokumentiert, welche Daten Sie zu welchem Zweck verarbeiten.

Schritt 6 – Prozess fuer Betroffenenanfragen definieren: Wer nimmt Anfragen entgegen? Wie wird sichergestellt, dass alle Systeme erfasst werden? Wie wird die Monatsfrist eingehalten?

Schritt 7 – Mitarbeiter schulen: Datenschutz funktioniert nur, wenn die Menschen im Unternehmen wissen, worauf es ankommt. Regelmaessige Kurzschulungen sind effektiver als einmalige Grossveranstaltungen.

Schritt 8 – Regelmaessig pruefen: Datenschutz ist kein Projekt mit Enddatum. Fuehren Sie mindestens jaehrlich eine Ueberpruefung durch: Sind die Loeschfristen eingehalten? Stimmen die Zugriffsrechte noch? Gibt es neue Verarbeitungen, die ins VVT muessen?

Was Verstoesse tatsaechlich kosten

Die DSGVO sieht Bussgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. In der Praxis sind die Betraege niedriger, aber keineswegs vernachlaessigbar:

Verstoss	Typisches Bussgeld	Beispiel
Fehlende Datenschutzerklaerung	5.000–25.000 EUR	Webshop ohne Privacy Policy
Versand trotz Werbewiderspruch	5.000–50.000 EUR	Mailing an gesperrte Adresse
Unvollstaendige Auskunft	10.000–100.000 EUR	System vergessen, Daten nicht genannt
Fehlende Loeschung	10.000–500.000 EUR	Alte Kundendaten nie bereinigt
Datenpanne ohne Meldung	50.000–1 Mio. EUR	Kundendaten-Leak ohne Behoerdenmeldung
Systematische Verstoesse	Ab 1 Mio. EUR	Fehlende TOMs, kein VVT, kein DSB

Neben den Bussgeldern entstehen weitere Kosten: Rechtsberatung, interne Aufwaende fuer die Zusammenarbeit mit der Behoerde, Benachrichtigung betroffener Kunden bei Datenpannen und nicht zuletzt der Vertrauensverlust. Ein oeffnetlich bekannt gewordener Datenschutzvorfall kann Kunden dauerhaft vertreiben.

Kleinere Unternehmen und Vereine sind uebrigens nicht ausgenommen. Die Aufsichtsbehoerden pruefen verstaerkt auch KMU – besonders wenn Beschwerden von Betroffenen eingehen.

Kundendaten als Vertrauensgrundlage

Datenschutz bei Kundendaten ist keine reine Pflichterfuellung. Unternehmen, die ihre Kundendaten sauber verwalten, profitieren dreifach: Sie vermeiden Bussgelder und rechtliche Risiken, sie arbeiten mit zuverlaessigeren Daten, und sie signalisieren ihren Kunden, dass deren Vertrauen gerechtfertigt ist.

Der Aufwand fuer die Umsetzung ist ueberschaubar, wenn Sie systematisch vorgehen. Die acht Schritte aus diesem Leitfaden liefern eine konkrete Grundlage. Beginnen Sie mit der Dateninventur – alles Weitere ergibt sich daraus. Und wenn Sie bei der Adressbereinigung auf Nummer sicher gehen wollen: Lokale Verarbeitung ohne Cloud-Abhaengigkeit ist der einfachste Weg, eine Datenschutz-Huerde weniger nehmen zu muessen.