Lead-Management und neue Datenschutzbestimmungen

Die EU-DSGVO, die die Grundlage für einen zukünftig einheitlichen Datenschutz in allen 28 EU-Staaten schafft, regelt den Umgang mit personenbezogenen Daten von europäischen Bürgern neu. Konkret beschäftigt sie sich auch mit der elektronischen Datenverarbeitung und soll den Schutz der Daten und die Persönlichkeitsrechte der EU-Bürger gewährleisten. Diese Einschränkungen und Regularien ziehen für die meisten Unternehmen Änderungen an kundenbezogenen Prozessen nach sich.

Künftig wird die Verarbeitung personenbezogener Daten – und damit auch von Konsumentendaten – erst nach größeren Hürden und unter stärkerer Regulierung möglich. Das hat insbesondere Auswirkungen auf das Lead-Management und die damit zusammenhängenden Daten. Dabei ist es nicht ausschlaggebend, ob eine Geschäftsbeziehung zwischen dem Unternehmen, also dem Datenverarbeiter, und dem Verbraucher, dem sogenannten Datenowner, besteht. Auch Anbieter von kostenlosen Diensten wie Betreiber sozialer Netze fallen in den Geltungsbereich der Verordnung.

Rechtlich abgesichert bei der Kundenakquise

Um Konsumentendaten im Rahmen des Lead-Managements künftig zu verarbeiten, ist entweder die Einwilligung des Verbrauchers notwendig, oder es muss ein berechtigtes Interesse seitens des Unternehmens bestehen. Gerade der Grundsatz des berechtigten Interesses ist jedoch im Detail noch nicht hinreichend genug in der neuen EU-DSGVO definiert. Hier lauern also Fallstricke.

In den meisten Fällen werden im Unternehmen jedoch bereits Kundendaten vorhanden sein, die schon vor Inkrafttreten der Verordnung verarbeitet wurden. Damit ein Unternehmen weiterhin mit diesen Daten arbeiten kann, muss vom Kunden eine nachträgliche Einwilligung eingeholt werden – sofern die bisherigen Einwilligungen und Datenschutzbestimmungen des Anbieters nicht schon den Forderungen der EU-DSGVO entsprochen haben. Ein Schweigen und auch im Voraus gesetzte Einwilligungshäkchen werden dabei nicht mehr als ausreichend betrachtet.

Die grundsätzlichen Kernpunkte der neuen Datenschutzverordnung

Double-Opt-in ist Mittel der Wahl

Als Standard in Online-Formularen, die gerade auch im Lead-Management verbreitet sind, setzt sich hierbei das Double-Opt-In-Verfahren durch. Dabei setzt der Kunde, etwa bei der Registrierung für einen Newsletter, aktiv einen Haken im Online-Formular, mit dem er der Verarbeitung zustimmt. Vorausgefüllte Felder sind nicht zulässig. Anschließend bekräftigt der Verbraucher seine Willenserklärung mit dem Klick auf einen Bestätigungslink in einer anschließend automatisch zugesandten E-Mail. Diese Handlungen und der entsprechende Zeitpunkt müssen vom Unternehmen protokolliert werden, um später entsprechende Nachweise erbringen zu können.

Idealerweise erfolgt die Protokollierung in einem zentralen Kundendaten-Hub. Wichtig ist hierbei eine komplette Übersicht der relevanten Kontaktpunkte mit dem Kunden (Touchpoints). Kann der Verbraucher sich auch in mobilen Apps oder über soziale Medien (beispielsweise über Social-Login-Funktionalitäten) registrieren, müssen auch in diesen Prozessen entsprechende Hinweise und Mechanismen eingebaut sein.

Das Double-Opt-In-Verfahren bietet neben der Rechtssicherheit außerdem den Vorteil, dass es an vielen Stellen schon implementiert und den Kunden bekannt ist. Es entsteht also keine zusätzliche Hemmschwelle für Registrierungen durch ein kompliziertes, unbekanntes oder intransparentes Verfahren. Zu beachten ist außerdem die Pflicht zur Datenminimierung. So darf beispielsweise für eine Newsletter-Anmeldung keine Angabe der Telefonnummer zwingend erforderlich sein. Ein Sammeln von Daten auf Vorrat ist in Zukunft also nicht mehr zulässig. Daher sollten Unternehmen zusätzliche Daten mit Fortschreiten des Kontaktes, das sogenannte Progressive Profiling, nur sparsam abfragen.

So gelingt die Offline-Lead-Gewinnung

In der Offline-Lead-Gewinnung im B2B-Sektor gestaltet sich dieses Tracking schwieriger. Bei Fachmessen gesammelte Visitenkarten zum Beispiel erlauben kein Opt-In. In der Praxis werden Unternehmensvertreter ihrem Gesprächspartner zusammen mit dem Handshake wohl eher keine Datenschutzbestimmungen überreichen. Idealerweise notieren sich Vertriebler Ort, Anlass und Zeit, zu der sie die Visitenkarte erhalten haben. Während der ersten elektronischen Kommunikation, zum Beispiel im Rahmen des Follow-Up oder eines Newsletters, können Unternehmen dann die Datenschutzbestimmungen an den potenziellen Geschäftspartner kommunizieren.

Grundsätzlich gilt, dass die Verarbeitung im Rahmen einer Geschäftsanbahnung, also der Lead-Generierung zulässig ist – beispielsweise wenn der Vertrieb auf Angebotsanfragen reagiert. Hierbei ist der potenzielle Geschäftspartner trotzdem so zügig wie möglich über Art, Umfang und Zweck der Datenverarbeitungen zu informieren. Besonders relevant ist dieser Aspekt bei zugekauften Adresspools zur Reichweitensteigerung. Unternehmen müssen darauf achten, dass dem Verkäufer der Adresse entsprechende, verordnungskonforme Einwilligungen der Dateninhaber vorliegen. Diese Information sollte das Unternehmen auch revisionssicher vorhalten können.

Unternehmen müssen jederzeit Auskunft geben und Daten löschen können

Neben der strengeren Regulierung der Datenverarbeitung stärkt die EU-DSGVO auch die Rechte der Verbraucher. Im Vordergrund steht hierbei die Selbstbestimmung über den Umgang mit den Daten. Zukünftig muss es einer natürlichen Person, die die Einwilligung zur Verarbeitung gegeben hat, genauso einfach wieder möglich sein, diese zu widerrufen. Praktisch bedeutet dies, dass Front-Ends zur Registrierung zukünftig auch eine Möglichkeit zum Widerruf enthalten müssen.

Die bisher besonders im E-Commerce im Rahmen von Fernabsatzgeschäften eingesetzten Musterwiderrufsformulare als Download werden hier nicht ausreichend sein. Da sie vom Kunden ausgefüllt und entweder per Brief, Fax oder Scan eingereicht werden müssen, stellen sie einen deutlich komplizierteren Prozess dar als die ursprüngliche Einwilligung. Als Folge des Widerrufs ist der Verarbeiter der Daten verpflichtet, diese zu löschen, sofern kein weiterer Verarbeitungsgrund vorliegt.

Triftige Verarbeitungsgründe können zum Beispiel noch nicht erbrachte Verpflichtungen aus mit dem Kunden geschlossenen Verträgen sein. In vielen Fällen muss außerdem beachtet werden, dass auch beim Vorhandensein eines weiteren Verarbeitungsgrundes nach einem Widerruf nicht alle erfassten Daten weiterverwendet werden dürfen. Daten, die zum Beispiel im Rahmen von Segmentanalysen verwendet wurden, sind nicht notwendig für die Erfüllung eines Kaufvertrages und somit zu löschen.

Fazit

Bevor die EU-DSGVO endgültig in Kraft tritt, sollten Unternehmen ihre aktuellen Prozesse und Datenverarbeitung generell sowie im Lead-Management intensiv prüfen und dokumentieren. Ein zentraler Datenhub wie ein Master-Data-Management (MDM)-System vereinfacht die Umsetzung der neuen Richtlinien deutlich, weil es eine lückenlose Rundumsicht auf alle relevanten Kunden-Informationen sowie über alle Kanäle und Touchpoints mit dem Unternehmen hinweg erlaubt. Dies ist notwendig, um ein komplettes Bild über die zu einer natürlichen Person gesammelten und verarbeiteten Daten zu erhalten und diese auch löschen zu können. Denn als Kavaliersdelikt werden Verstöße gegen die EU-DSGVO nicht behandelt. Empfindliche Strafen von bis zu 20 Millionen Euro oder vier Prozent des Konzernumsatzes sowie die persönliche Haftung von Verantwortlichen im Unternehmen drohen, kommen sie ihren Pflichten nicht nach.

Zur Person

Holger Stelz ist Director Marketing & Business Development bei Uniserv. Seit 2010 leitet der Experte für Datenmanagement die Weiterentwicklung des Geschäftsfeldes Kundendatenmanagement und verantwortet zudem seit 2011 das weltweite Marketing bei Uniserv. Holger Stelz hat über 25 Jahre Erfahrung in der IT-Branche. www.uniserv.com/

Die Uniserv GmbH ist Experte für erfolgreiches Kundendatenmanagement. In seinen Customer Data Management- und Data Quality-Lösungen für Kundenstammdaten vereint Uniserv Datenqualitätssicherung und Datenintegration zu einem ganzheitlichen Ansatz. Kundendaten stehen im Mittelpunkt von Initiativen für Master Data Management, Datenqualität, Datenmigration und Data Warehousing, beispielsweise im Umfeld von CRM-Anwendungen, eBusiness, Direct- und Database-Marketing, CDI/MDM-Anwendungen und Business Intelligence. Zudem hat das Unternehmen kürzlich erneut das Qualitätssiegel Datenverarbeitung des Deutschen Dialogmarketing Verbandes e.V. für das Jahr 2017 erhalten.