Ja, die DSGVO gilt auch, wenn Sie ausschließlich mit anderen Unternehmen zusammenarbeiten. Die Verordnung schaut nicht darauf, wer Ihr Kunde ist, sondern darauf, was Sie verarbeiten: Sobald Sie den Namen, die E-Mail-Adresse, die Telefonnummer oder die Funktion einer Kontaktperson erfassen, verarbeiten Sie ein Personendatum. Dass diese Kontaktperson im Namen eines Unternehmens anruft oder e-mails, macht für das Gesetz keinen Unterschied.
Die Verwirrung entsteht, weil Menschen die DSGVO mit Verbraucherdaten assoziieren: Bestellungen, Kundenkonten, Newsletter. Aber eine Rechnungsadresse mit dem Namen eines Einkäufers, ein CRM-Eintrag mit der Mobilnummer einer Kontaktperson oder ein E-Mail-Austausch mit einem Lieferanten fallen alle unter die gleichen Regeln. Es geht um die Daten einer natürlichen Person, nicht um die Art der Geschäftsbeziehung, die Sie mit diesem Unternehmen haben.
Was sich im B2B-Umfeld ändert und was nicht
Der Umstand, dass Sie in einer B2B-Umgebung tätig sind, ändert den Kern der DSGVO nicht, wohl aber deren praktische Auswirkungen. Viele der Anforderungen, die bei Verbraucherdaten belastend wirken – etwa Zustimmung für Marketing einholen oder erklären, warum Sie Daten erfassen – haben bei geschäftlichen Kontaktdaten oft eine andere, leichtere Ausgestaltung. Es gibt beispielsweise häufiger ein berechtigtes Interesse, eine Kontaktperson zu einer laufenden Aufgabe anzusprechen, als bei einem beliebigen Verbraucher. Das ändert nichts daran, dass Sie immer noch erklären können müssen, warum Sie diese Daten erfassen und wie lange Sie sie speichern.
Was sich ebenfalls nicht ändert: die Verpflichtung, diese Daten sicher zu bewahren, und das Recht der Kontaktperson selbst, abzufragen, was Sie über sie erfasst haben. Ein Einkäufer bei einem Kunden kann theoretisch einen Auskunftsantrag stellen, genau wie ein Privatkunde. Die DSGVO macht dabei keinen Unterschied, von wem die Anfrage kommt.
Praktische Beispiele
Ein Installationsbetrieb, der nur mit anderen Unternehmen zusammenarbeitet, hat normalerweise trotzdem ein CRM voller Namen, Telefonnummern und E-Mail-Adressen von Kontaktpersonen bei Kunden und Lieferanten. Ein Personalleiter, der Lebensläufe von Bewerbern aufbewahrt, verarbeitet Personendaten, auch wenn die Stelle eine technische Position in einem B2B-Unternehmen betrifft. Ein Büromanger, der Besucher bei der Ankunft ins Guestbook eintragen lässt, erfasst ebenfalls Namen von Personen, die im Namen eines anderen Unternehmens vorbeikommt.
In keinem dieser Fälle handelt es sich um Verbraucherdaten im klassischen Sinne, und dennoch fallen sie unter die gleiche Verordnung. Der Unterschied, der in der Praxis tatsächlich zählt, ist nicht B2B versus B2C, sondern: Handelt es sich um eine natürliche Person, die identifizierbar ist, oder um vollständig anonymisierte oder rein geschäftliche Daten wie eine Handelsregisternummer oder eine allgemeine info@-Adresse ohne Namen.
Was dies für Ihr Verzeichnis der Verarbeitungstätigkeiten bedeutet
Da geschäftliche Kontaktdaten unter die DSGVO fallen, gehören sie auch in Ihr Verzeichnis der Verarbeitungstätigkeiten: woher sie stammen, warum Sie sie speichern, wer darauf Zugriff hat und wie lange Sie sie aufbewahren. Bei vielen KMU-Betrieben stellt sich heraus, dass ausgerechnet diese Kategorie übersehen wird, weil die Aufmerksamkeit auf Personaldossiers oder Kundendaten von Endverbrauchern liegt. In der Wissensdatenbank mit Erläuterungen pro Situation finden Sie mehr Hintergrundinformationen darüber, wann Daten als Personendaten gelten und wann nicht.
Wenn Sie SaaS-Tools für Ihr CRM, Ihre E-Mail-Kommunikation oder Ihre Fakturierung nutzen, verarbeiten diese Tools oft auch diese geschäftlichen Kontaktdaten. Das ist relevant für die Auftragsverarbeitungsverträge, die Sie mit diesen Anbietern haben oder haben sollten, und für die Frage, welches Tool genau welche Daten verarbeitet. Über die häufig gestellten Fragen zur DSGVO in der Praxis erfahren Sie, wie das mit Ihren weitergehenden Verpflichtungen zusammenhängt.
Ob Ihre spezifische Situation unter bestimmte Ausnahmen fällt oder welche Rechtsgrundlage genau auf Ihre Arbeitsweise zutrifft, unterscheidet sich je Unternehmen und sollten Sie im Zweifelsfall am besten einen Juristen oder die Autoriteit Persoonsgegevens konsultieren. Was jedoch für nahezu jedes Unternehmen gilt: Wenn Sie Personendaten von Kontaktpersonen erfassen, ohne genau zu wissen, welche und warum, ist das ein guter Ausgangspunkt, um Ordnung zu schaffen.
Selbst überprüfen, wo Sie stehen
Möchten Sie schnell sehen, welche Datenflüsse in Ihrem Unternehmen zählen, einschließlich der geschäftlichen Kontaktdaten von Kunden und Lieferanten? Machen Sie den kostenlosen Quick-Scan oder lesen Sie zunächst wie gdpria.eu die Informationen aus der AVG und den Aufsichtsbehörden strukturiert, und erstellen Sie ein geschäftliches Konto wenn Sie Ihr Register aus den Tools aufbauen lassen möchten, die Sie bereits nutzen.