DSGVO im Vertrieb – alles klar?

Fragen, mit denen sich Vertriebsunternehmen immer noch herumschlagen

Nicht ganz. Denken sich wohl nicht nur einige Vertriebsprofis, sondern auch Juristen und teilweise sogar die Datenschutzbehörden selbst. Nach über 100 Tagen der Geltung der so gefürchteten Datenschutz-Grundverordnung  (DS-GVO) sind nicht wenige Fragen offen geblieben. Wann genau liegt etwa ein Auftragsverarbeitungsverhältnis vor? Was hat das  eigentlich mit diesem Verarbeitungsverzeichnis auf sich? Und brauche ich einen Datenschutzbeauftragten? Dies sind nur drei Beispiele aus dem Fragen-Pool.

Seit Bekanntwerden der DS-GVO werden zahlreiche Handelsvertreter mit Auftragsverarbeitungsverträgen seitens ihrer vertretenen Unternehmen konfrontiert. Dabei wird oft verkannt, dass in den meisten Fällen gar kein Auftragsverarbeitungsverhältnis vorliegt. Da der Handelsvertreter in der Regel Kundendaten in Eigenregie und in eigenem Interesse (z.B. Provision) verarbeitet, also selbst über das ob, wie und wann der Kundenbearbeitung und der damit verbundenen Kundendatenverarbeitung entscheidet, ist dieser in den wenigsten Fällen Auftragsverarbeiter seines vertretenen Unternehmens. Erst recht wird das vertretene Unternehmen wohl kaum Kundendaten weisungsgebunden und im Auftrag des Handelsvertreters verarbeiten. Viel mehr sind Handelsvertreter und vertretenes Unternehmen jeweils selbst Verantwortlicher oder gemeinsam Verantwortliche im Sinne der DS-GVO.

Verarbeitungsverzeichnis bei regelmäßiger Datenverarbeitung

Als Verantwortliche dürfen Handelsvertretungen dabei nicht die Wichtigkeit des Verarbeitungsverzeichnisses unterschätzen. Sollte ein Unternehmen doch einmal ins Visier der Datenschutzbehörden geraten, muss dieses unbedingt ein Verarbeitungsverzeichnis, also eine Auflistung aller personenbezogenen Prozesse, vorweisen. Das gilt übrigens auch dann, wenn weniger als 250 Mitarbeiter beschäftigt sind, aber Daten nicht nur gelegentlich verarbeitet werden. Bei Handelsvertretern ist die regelmäßige Datenverarbeitung typischerweise im Rahmen ihrer Kundenakquise und -bearbeitung der Fall. Entsprechende Muster für Verarbeitungsverzeichnisse finden CDH-Mitglieder im geschützten Bereich der www.cdh.de.

Einen Datenschutzbeauftragten benötigen Vertriebsunternehmen mit weniger als 10 Angestellten nur dann, wenn ihre Kerntätigkeit in der Verarbeitung besonders sensibler Daten, beispielsweise Gesundheitsdaten, liegt, oder bei einer geschäftsmäßigen Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung. Ob ein Vertriebsunternehmen insbesondere unter die erste Regelung fällt, ist jedoch stets im Einzelfall zu betrachten.

CDH-Mitglieder sollten sich bei offenen Fragen an ihren Landesverband wenden; frei nach dem Grundsatz: Problem erkannt, Gefahr gebannt. Ein Aussitzen der zugegebenermaßen etwas aufwendigen Situation kann im Zweifel Geld kosten. Entsprechende Muster für Verarbeitungsverzeichnisse und weitere Materialien finden CDH-Mitglieder im geschützten Bereich in der Infothek Webinare.