repliso
Der Name einer Kundin, ihr Social-Media-Name, ihre Telefonnummer und ihre Frage zu einer Bestellung können personenbezogene Daten sein. Wenn Sie das Gespräch in einen gemeinsamen Posteingang verlagern oder eine Antwort von einer KI entwerfen lassen, hören diese Daten nicht auf, personenbezogen zu sein.
Beginnen Sie beim Thema DSGVO und Kundennachrichten in Deutschland mit einer klaren Übersicht: was Sie erheben, wofür Sie es brauchen, wohin es geht und wer darauf zugreifen kann. Beginnen Sie nicht mit dem Versprechen, eine bestimmte Messaging-Plattform mache jeden Ablauf automatisch rechtskonform.
Zweck und Rechtsgrundlage festlegen
Die DSGVO erlaubt eine Verarbeitung nur auf einer von sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, öffentliches Interesse, lebenswichtige Interessen oder berechtigte Interessen. Für einen kleinen Shop sind meist der Vertrag (eine Frage vor dem Kauf beantworten oder eine Bestellung ausführen), die Einwilligung (etwa für einen Newsletter) und berechtigte Interessen (etwa zur Betrugsvorbeugung) relevant – jeweils nur dort, wo sie wirklich passen. Daten, die der Vertrag nicht braucht, dürfen nicht zur Bedingung für den Vertrag gemacht werden.
Halten Sie für jede Tätigkeit Zweck und Rechtsgrundlage schriftlich fest, auch für Support, Auswertungen und Marketing. Eine Einwilligung muss freiwillig, für den bestimmten Fall und informiert erteilt werden, ihr Widerruf muss so einfach sein wie ihre Erteilung, und Sie müssen sie nachweisen können. Für besonders sensible Daten (Gesundheit, Religion, politische Meinungen und Ähnliches) gelten zusätzliche Bedingungen, und Sie sollten sie nicht erheben, wenn Sie sie nicht brauchen: Für eine Kleiderbestellung ist die Religion der Kundin unerheblich. Schicken Kundinnen oder Kunden sensible Angaben von sich aus, beschränken Sie sich auf das, was zur Hilfe nötig ist, und geben Sie die Angaben nicht weiter. Quelle: Europäische Kommission, Rechtsgrundlagen der Verarbeitung.
Sagen Sie, was mit den Daten geschieht
Ihre Datenschutzhinweise müssen nennen, wer verantwortlich ist und wie man Sie erreicht, wofür und auf welcher Rechtsgrundlage Sie die Daten verarbeiten, wie lange Sie sie speichern, wer sie erhält und welche Rechte die Betroffenen haben, einschließlich des Rechts auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Die Hinweise müssen knapp, transparent und in einfacher Sprache verfasst sein. Sie sollten zu den Posteingangs- und KI-Anbietern passen, die Sie tatsächlich nutzen, einschließlich Übermittlungen außerhalb der EU.
Wenn Sie Daten direkt bei der Person erheben, etwa weil sie Ihnen schreibt, sind die Informationen zum Zeitpunkt der Erhebung fällig, sofern sie ihr nicht schon vorliegen. Stammen die Daten aus einer anderen Quelle, informieren Sie innerhalb eines Monats, beim ersten Kontakt oder bei der ersten Weitergabe der Daten. Machen Sie die Informationen auf dem Weg der Kundschaft leicht erreichbar, zum Beispiel mit einem Link in Ihrem Profil und auf Ihrer Website. Quelle: Europäische Kommission, Pflichten.
Weniger erheben und nur mit Grund aufbewahren
Fragen Sie nur nach den Angaben, die zur Lösung des Anliegens nötig sind. Eine Bestellnummer kann genügen, wo ein Scan des Reisepasses überzogen wäre. Erheben Sie keine Kartennummern über gewöhnliche Social-Media-Chats.
Legen Sie Speicherfristen nach Zweck fest. Bestellunterlagen mit gesetzlichen Aufbewahrungspflichten und eine beiläufige Frage zur Größe können eine unterschiedliche Behandlung brauchen. „Jeden Chat für immer aufbewahren“ ist keine brauchbare Regel. Ebenso wenig sollten Sie die sofortige Löschung von allem versprechen, wenn eine gesetzliche Pflicht verlangt, dass manche Unterlagen erhalten bleiben. Quelle: Europäische Kommission, Grundsätze der DSGVO.
Anbieter und Zugriffe prüfen
Ein Anbieter, der Kundennachrichten in Ihrem Auftrag verarbeitet – etwa ein Posteingangs-Werkzeug, ein Hosting-Unternehmen oder ein KI-Dienst –, ist in der Regel Auftragsverarbeiter. Dann brauchen Sie einen schriftlichen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), der ihn an Ihre Weisungen und an Sicherheitsmaßnahmen bindet. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) veröffentlicht ein Muster, mit dem Sie vergleichen können. Achten Sie auf Unterauftragsverarbeiter und darauf, was mit den Daten geschieht, wenn der Dienst endet. Eine Werbeaussage des Anbieters ist kein unterschriebener Vertrag zur Auftragsverarbeitung. Quelle: Muster der BfDI zur Auftragsverarbeitung.
Beschränken Sie den Zugriff der Mitarbeitenden auf das, was ihre Arbeit erfordert. Nutzen Sie persönliche Konten, wo das möglich ist, prüfen Sie die Zugriffe, wenn jemand ausscheidet, und planen Sie, wie Anfragen auf Auskunft, Berichtigung oder Löschung bei einer zuständigen Person ankommen.
Schauen Sie über den Serverstandort hinaus
Ein Hinweis auf Hosting in der EU klärt nicht allein alle Fragen zur Übermittlung. Prüfen Sie Zugriffe von außerhalb des EWR, Support-Dienstleister und Weiterübermittlungen. Daten dürfen nur auf gültiger Grundlage in ein Land außerhalb des EWR übermittelt werden: einem Angemessenheitsbeschluss der Europäischen Kommission (und Sie müssen prüfen, dass er noch gilt) oder Standardvertragsklauseln zusammen mit einer dokumentierten Bewertung der Rechtslage im Zielland und gegebenenfalls zusätzlichen Schutzmaßnahmen. Ausnahmen wie die ausdrückliche Einwilligung sind als letzter Ausweg gedacht. Quelle: EDSA, internationale Datenübermittlungen.
Support und Werbung trennen
Eine eingehende Kundenfrage ist keine pauschale Erlaubnis für werbliche Nachfassnachrichten. Das deutsche Wettbewerbsrecht wertet Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Empfängers als unzumutbare Belästigung (§ 7 Abs. 2 Nr. 2 UWG). Es gibt eine enge Ausnahme für Bestandskunden, und sie verlangt alle vier Voraussetzungen: Sie haben die Adresse im Zusammenhang mit einem Verkauf erhalten, Sie werben nur für eigene ähnliche Produkte, die Kundin hat nicht widersprochen, und Sie haben bei der Erhebung der Adresse und bei jeder Verwendung klar darauf hingewiesen, dass sie jederzeit widersprechen kann (§ 7 Abs. 3 UWG). Eine sichere Arbeitsregel für jeden Kanal: Holen Sie eine ausdrückliche Erlaubnis ein, bevor Sie Werbung senden. Auch die Richtlinie von WhatsApp verlangt, dass die Menschen zugestimmt haben (Opt-in). Quelle: § 7 UWG.
Wenn etwas schiefgeht
Gehen Kundendaten verloren, werden sie offengelegt oder greift die falsche Person darauf zu, und führt das voraussichtlich zu einem Risiko für die Betroffenen, müssen Sie Ihre Datenschutzaufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis benachrichtigen und die Betroffenen informieren, wenn das Risiko hoch ist. Ein Auftragsverarbeiter muss Ihnen jede Verletzung melden. Legen Sie vorher fest, wer das übernimmt. Quelle: Europäische Kommission, Pflichten.
Prüfen Sie Ihre eigene Einrichtung
Bevor Sie sich auf ein Werkzeug verlassen, gehen Sie diese Liste durch: welche Kundendaten Sie erheben und warum, die Rechtsgrundlage für jede Nutzung, die Datenschutzhinweise, die Ihre Kundschaft sehen kann, wer Ihre Anbieter sind und ob Sie mit jedem einen Vertrag zur Auftragsverarbeitung haben, wohin die Daten außerhalb der EU gehen, wie lange Sie sie aufbewahren, wie eine Anfrage auf Auskunft oder Löschung bei Ihnen ankommt und was Sie bei einer Datenpanne tun.
Wie repliso mit Daten umgeht, beschreibt seine Datenschutzerklärung; Unternehmen, die repliso nutzen, können einen Vertrag zur Auftragsverarbeitung anfordern. Nutzen Sie Regeln für die Übergabe an Menschen für sensible Fälle.
Über diesen Artikel
Dies sind allgemeine Informationen auf Grundlage der oben verlinkten offiziellen Quellen, geprüft am 13. Oktober 2026. Sie sind keine Beratung für Ihren Einzelfall, und Regeln ändern sich: Der EU-Gesetzgeber verhandelte im Oktober 2026 noch über Änderungen an der DSGVO (das Paket „Digital Omnibus“); prüfen Sie daher den aktuellen Text der für Sie maßgeblichen Regeln. Guter Service und sorgfältiger Datenschutz beginnen beide mit einer klaren Zuständigkeit und einem klaren Zweck.
