Wohin mit den Daten?

Wer sich ein Fahrrad individuell fertigen oder anpassen lässt, gibt dabei mitunter eine Vielzahl persönlicher Daten preis, die Fachhändler und Hersteller benötigen, um das passende Produkt zur Verfügung zu stellen. Die gesetzlichen Vorschriften zum Umgang mit diesen Daten sind im vergangenen Jahr konkretisiert worden: Seit 25. Mai 2018 gilt in der Europäischen Union die Datenschutz-Grundverordnung (DSGVO).
Von der Öffentlichkeit weitgehend unbeachtet, trat die DSGVO eigentlich bereits am 24. Mai 2016 in Kraft. Am 25. Mai 2018 endete dann eine zweijährige Übergangsphase. Das dürften inzwischen alle Bürger mitbekommen haben, da sie reichlich Post und E-Mails dazu erhalten haben: Datenschutzvereinbarungen z.B. mit Banken mussten neu abgeschlossen, elektronische Newsletter nochmals bestätigt werden.

Hohe Strafen drohen

Das geschah häufig reichlich spät: Erst kurz vor Ende der Übergangsphase stieg die Nervosität in vielen Unternehmen, was vor allem an den verschärften Bußgeldregelungen liegen dürfte. Bis zu 20 Mio. Euro oder
4 Prozent des Jahresumsatzes können erhoben werden. Der Datenschutz in Deutschland war eigentlich auch vor der EU-weit geltenden DSGVO vergleichsweise streng geregelt. Konkreter sind nun die Vorgaben insbesondere im Hinblick auf die Weitergabe der Daten und die Auskunftsrechte der Bürger geworden (siehe Tabelle auf Seite 40). Dennoch ist es für kleine Unternehmen sehr aufwendig, die DSGVO-Regelungen zu berücksichtigen. Bis Oktober 2018 hatte einer Umfrage zufolge gerade mal ein Viertel der Unternehmen die Vorgaben komplett umgesetzt. Die neuen Vorschriften gelten jedoch natürlich für alle Unternehmen.

Vorsicht bei Weitergabe von Daten

Kommt es im Fahrradhandel zum Beratungsgespräch, gibt der Kunde automatisch Informationen von sich preis. Das gilt insbesondere dann, wenn er sich vermessen lässt, um beispielsweise die Daten für eine individuelle Anpassung zu bekommen. Grundsätzlich muss der Fachhändler dem Kunden gewährleisten, dass personenbezogene Daten bei ihm selbst bleiben und keiner dritten Partei weitergegeben werden – es sei denn, der Kunden willigt ausdrücklich ein, erklärt der Jurist Ulf-Christian Blume von der LBU Lübeck & Blume Unternehmensberatung. Solange die Vermessung also anonym passiert und weder Händler noch ggf. der Hersteller des Vermessungssystems personalisierte Daten erzeugen, spielt der Datenschutz noch keine Rolle. Auch bei der ggf. aus der Vermessung resultierenden Bestellung, so Blume weiter, müssen keine persönlichen Daten des Kunden weitergegeben werden – es kommt hier nur auf die Bauteilkonfiguration des Fahrzeugs an. Erst wenn es beim Kauf zu einer Registrierung des Fahrrads beim Hersteller kommt, können Kundendaten weitergegeben werden. »Das muss sich der Händler vom Kunden DSGVO-konform schriftlich bestätigen lassen«, so Blume. Willigt der Kunde der Weitergabe nicht ein, so habe dies aber keine Auswirkungen auf die gesetzliche Haftung, sondern ggf. auf mit der Registrierung verbundene Garantien des Herstellers. Die Frage nach der automatischen Weitergabe von Daten an den Anbieter des Vermessungsystems sollte der Fachhändler aber vorzeitig eindeutig klären.
Ein bekanntes System für die individuelle Anpassung eines Fahrrads an den Kunden ist Body Scanning CRM (siehe auch Seite 10). Hier werden die Körpermaße des Kunden beim Händler in kurzer Zeit erfasst und laut Eigendarstellung »komplett digitalisiert«. Informationstafeln im Fahrradgeschäft geben auch über die datenschutzrechtlichen Folgen dieser Erfassung Auskunft, wie Body-Scanning-Frontmann Andreas Schuwirth berichtet. Die Daten werden zentral auf einem Cloud-Server in Frankfurt am Main gespeichert. Die Fahrradhändler haben dort ausschließlich auf die Daten ihrer Kunden Zugriff.

Rechtssicherer Ablauf

Der gesamte Ablauf sei von Body Scanning DSGVO-konform gestaltet. »Die meisten Fahrradhändler sind keine Datenschutz-Experten«, sagt Schuwirth. »Dafür sind wir da.« Die Händler würden entsprechend geschult und mit »Zwangsmaßnahmen« dazu gebracht, alle datenschutzrechtlichen Vorgaben im Body-Scanning-Prozess zu erfüllen. »Die Software ist so programmiert, dass es anders gar nicht möglich ist«, erklärt Schuwirth. Das Inkrafttreten der DSGVO habe – anders als ursprünglich erwartet – zu keinerlei Veränderungen im Kundenverhalten geführt. »Wir haben nach dem 25. Mai 2018 nicht mehr Anträge auf Löschung der Daten erhalten als vorher.«
Beim Kauf eines passenden Fahrrads werden die Kunden also idealerweise dazu gezwungen, der entsprechenden Verwendung ihrer persönlichen Daten zuzustimmen. So handhaben es jedenfalls große Online-Versender wie Canyon oder Rose. Vor Abschluss eines Kaufvertrags im Internet muss der Kunde hier den ausführlichen Datenschutzbestimmungen zugestimmt haben. Ob er sie auch gelesen hat, darf bezweifelt werden. Untersuchungen haben ergeben, dass die Lektüre aller Datenschutzbestimmungen bei Internetkäufen im Durchschnitt mehr Zeit als ein Menschenleben in Anspruch nehmen würde.
Das Prozedere beim stationären Einkauf ist deutlich einfacher, insbesondere dann, wenn – anders als im oben geschilderten Fall – keine persönlichen Daten abgesehen von Namen und Adresse abgefragt werden. Auf der eigenen Webseite sollte die Datenschutzerklärung auf jeden Fall überprüft werden, selbst wenn kein Online-Verkauf integriert ist.

Die Großen zuerst

Zumindest für kleine Unternehmen besteht derzeit nach gängiger Expertenmeinung noch kein Grund zu großer Nervosität, falls die DSGVO-Vorgaben noch nicht umgesetzt sind. Die Behörden dürften sich allein schon aus Kapazitätsgründen zunächst darauf konzentrieren, große Konzerne zu überprüfen. Internet-Gigant Google wurde im Januar mit 50 Mio. Euro die bisher größte Geldbuße im Zusammenhang mit der DSGVO aufgebrummt. Kleine Unternehmen wie Fahrradgeschäfte sollten– wenn überhaupt – nur durch Zufall ins Visier der Datenschutzbehörden geraten. Es sei denn, es liegt eine Beschwerde vor.
Die meisten Verstöße dürften jedoch unerkannt bleiben. Viele Kunden kennen entweder ihre erweiterten Rechte in puncto Datenschutz nicht – oder sie sind nur mäßig daran interessiert. Dafür spricht jedenfalls der teils freizügige Umgang mit persönlichen Informationen in sozialen Netzwerken. Dennoch hat die DSGVO dafür gesorgt, dass die Anzahl der Eingaben und Beschwerden zu Datenschutzverstößen gestiegen ist, meldeten zum Jahreswechsel die Datenschutzbeauftragten von Bund und Ländern.
Wenn Beschwerden vorliegen, kann es auch die Kleinen treffen. Laut einer Umfrage des Handelsblatts vom Januar soll das höchste bis dahin in Deutschland verhängte Bußgeld im Zusammenhang mit der DSGVO bei 80.000 Euro gelegen haben. In Ausnahmefällen können Versäumnisse beim Datenschutz also durchaus empfindlich teuer werden.