Kurze Antwort: ja
Die kurze Antwort auf die Frage im Titel ist eindeutig: ja. Die DSGVO gilt fur jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhangig davon, ob Ihre Kunden Verbraucher oder Unternehmen sind. Und als B2B-Unternehmen verarbeiten Sie mehr personenbezogene Daten als Sie denken.
Das Missverstandnis
Die Argumentation lautet oft: “Die DSGVO schutzt Verbraucher. Meine Kunden sind Unternehmen, keine Verbraucher. Also gilt die DSGVO nicht fur mich.”
Diese Argumentation ist in zwei Punkten falsch.
Erstens: Die DSGVO schutzt keine Verbraucher. Die DSGVO schutzt naturliche Personen. Das ist ein wichtiger Unterschied. Ein Verbraucher ist jemand, der als Privatperson etwas kauft. Eine naturliche Person ist jeder lebende Mensch. Also auch der Ansprechpartner bei Ihrem Kunden, der Mitarbeiter, der Ihre Rechnung erhalt, und der Geschaftsfuhrer, der Ihr Angebot unterzeichnet.
Zweitens: Selbst wenn Sie nie mit Verbrauchern zu tun haben, verarbeiten Sie als B2B-Unternehmen garantiert personenbezogene Daten. Schauen wir, wo diese sich befinden.
Wo befinden sich Ihre personenbezogenen Daten?
Kundenkontakte
Sie haben ein CRM oder zumindest ein Adressbuch. Darin stehen Namen, E-Mail-Adressen, Telefonnummern und Funktionen von Ansprechpartnern bei Ihren Kunden. max.mueller@kundenunternehmen.de ist ein personenbezogenes Datum. Die Telefonnummer des Einkaufers ist ein personenbezogenes Datum. Die Notiz “Max ist montags immer frei” ist ein personenbezogenes Datum.
Mitarbeiter
Wenn Sie Personal haben, verarbeiten Sie eine Fulle personenbezogener Daten: Name, Adresse, Sozialversicherungsnummer, Gehalt, Krankmeldungen, Beurteilungen, Kopie des Personalausweises. Das sind sogar besondere oder sensible Kategorien. Die DSGVO ist hier vollstandig anwendbar.
Lieferanten und Partner
Ihr Steuerberater, Ihr IT-Dienstleister, Ihre Freelancer - von all diesen Parteien haben Sie Kontaktdaten. Und bei Einzelunternehmern und Freiberuflern sind die Geschaftsdaten oft identisch mit den personenbezogenen Daten des Inhabers.
Bewerber
Erhalten Sie gelegentlich eine Initiativbewerbung oder einen Lebenslauf? Das sind personenbezogene Daten. Und sie haben eine Aufbewahrungsfrist: Sie durfen einen Lebenslauf nicht unbegrenzt aufbewahren.
Websitebesucher
Auch wenn Ihre Website nur auf Geschaftsbesucher ausgerichtet ist, verarbeiten Sie IP-Adressen, Cookie-Daten und moglicherweise Formulardaten. IP-Adressen sind personenbezogene Daten.
Was mussen Sie als B2B-Unternehmen regeln?
Genau dasselbe wie jedes andere Unternehmen. Die DSGVO unterscheidet nicht zwischen B2B und B2C. Konkret:
Verarbeitungsverzeichnis - dokumentieren Sie alle Ihre Verarbeitungstatigkeiten. Kundenkontakte pflegen, Gehaltsabrechnung, Rechnungsstellung, Marketing, Website-Analytics - alles gehort hinein.
Datenschutzerklarung - informieren Sie Betroffene daruber, was Sie mit ihren Daten tun. Das gilt fur Ihre Websitebesucher, aber auch fur Ihre Geschaftskontakte.
Auftragsverarbeitungsvertrage - haben Sie einen AVV mit Ihrem CRM-Anbieter? Ihrem Steuerberater? Ihrem Cloud-Anbieter? Im B2B wird dies oft leichter genommen als im B2C, aber die Pflicht ist identisch.
Rechtsgrundlagen - fur jede Verarbeitung brauchen Sie eine Rechtsgrundlage. Fur die Kundenbeziehungspflege ist das meist ein berechtigtes Interesse. Fur die Gehaltsabrechnung eine gesetzliche Verpflichtung. Fur einen Newsletter die Einwilligung.
Aufbewahrungsfristen - Sie durfen Daten nicht endlos aufbewahren. Die Angebotsanfrage von vor funf Jahren, aus der nie ein Auftrag wurde? Dafur gibt es wahrscheinlich keine Rechtsgrundlage mehr.
B2B-spezifische Aspekte
Einige Punkte verdienen im B2B-Kontext besondere Aufmerksamkeit:
- LinkedIn und Networking - Visitenkarten, die Sie auf einer Messe sammeln, oder Kontakte, die Sie von LinkedIn in Ihr CRM ubernehmen: Das ist eine Verarbeitung personenbezogener Daten
- Referenzen und Empfehlungen - wenn Sie Kundenreferenzen mit Name und Funktion auf Ihrer Website veroffentlichen, verarbeiten Sie personenbezogene Daten
- Geteilte Postfacher - ein geteiltes Postfach wie vertrieb@ihrfirma.de enthalt E-Mails mit personenbezogenen Daten von Geschaftskontakten
- Alte Daten - B2B-Unternehmen bewahren Beziehungsinformationen oft jahrelang auf “fur den Fall”. Ohne gultige Rechtsgrundlage ist das nicht erlaubt
Die gute Nachricht
Die Grundlagen der DSGVO-Compliance sind fur B2B-Unternehmen nicht anders als fur B2C. Tatsachlich ist es oft einfacher. Sie verarbeiten wahrscheinlich weniger Daten, weniger besondere Kategorien und haben weniger Betroffene. Aber “weniger” ist nicht “keine”. Und die Aufsichtsbehorde macht keinen Unterschied.
GDPRWise erfasst alle Ihre Verarbeitungstatigkeiten, einschliesslich der B2B-Daten, die Sie wahrscheinlich ubersehen. Ein vollstandiges Verarbeitungsverzeichnis in 15 Minuten.