DSGVO und Kundenbindungs-Apps: Wer haftet wirklich, wenn die App die Verantwortung einfach an Sie weiterreicht?

Wenn Sie ein Kundenbindungsprogramm nutzen oder darüber nachdenken, haben Sie sehr wahrscheinlich – ohne es zu bemerken – etwas unterschrieben, das Sie persönlich für die Einhaltung der DSGVO verantwortlich macht. Nicht den Softwareanbieter. Sie.

Was „Verantwortlicher“ bedeutet und warum es Sie betrifft

Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwei Rollen: den Verantwortlichen – der entscheidet, warum und wie Daten verarbeitet werden – und den Auftragsverarbeiter – der die Verarbeitung lediglich im Auftrag des Verantwortlichen durchführt. Bei Kundenbindungsprogrammen ist das Unternehmen, das Kundendaten erhebt (Telefonnummer, E-Mail, Kaufhistorie, Geburtsdatum), fast immer der Verantwortliche. Das heißt: Die Haftung – und das Bußgeldrisiko bei einem Verstoß – liegt rechtlich beim Unternehmen, nicht bei der App, die es nutzt.

Die Klausel, die sich in den Nutzungsbedingungen versteckt

Lesen Sie die Nutzungsbedingungen jeder Loyalty-App, die Sie verwenden oder prüfen, genau durch. Fast immer finden Sie eine Klausel in der Art: „Der Kunde (das Unternehmen) ist allein für die Einhaltung des geltenden Datenschutzrechts verantwortlich.“ Rechtlich ist das oft zutreffend – für sich genommen ist es nicht unbedingt eine „schlechte“ Klausel. Das Problem ist nicht die Klausel selbst, sondern was nicht mitgeliefert wird: Wenn die Plattform Ihnen keinen Einwilligungsmechanismus, keinen automatisierten Datenexport und keine Möglichkeit bietet, die Daten eines Kunden auf Anfrage zu löschen, tragen Sie die Haftung ohne die Werkzeuge, um ihr gerecht zu werden.

Was tatsächlich schiefgehen kann

Ein sehr häufiges Szenario: Ein Kunde schreibt Ihnen eine E-Mail und verlangt die Löschung aller seiner personenbezogenen Daten (ein Recht, das die DSGVO in Artikel 17 ausdrücklich garantiert). Hat die App, die Sie nutzen, keinen Löschmechanismus, oder müssen Sie dafür dem Anbieter schreiben und warten, läuft die gesetzliche Frist (in der Regel ein Monat) bereits gegen Sie. Erhält der Kunde nicht rechtzeitig eine Antwort, kann er sich bei der zuständigen Datenschutzbehörde beschweren – und diese Beschwerde richtet sich gegen Ihr Unternehmen, nicht gegen den Softwareanbieter.

Was Sie von einer Loyalty-Plattform verlangen sollten

Wenn die Haftung faktisch bei Ihnen liegt, sollte eine Plattform, für die Sie bezahlen, Ihnen zumindest die Werkzeuge geben, um ihr nachzukommen – ohne dass Sie dafür einen Anwalt oder Entwickler beauftragen müssen:

• Ausdrückliche, protokollierte Einwilligung – mit Versionshistorie, nicht nur ein Häkchen, an das sich niemand erinnert.
• Datenexport in Selbstbedienung – damit ein Kunde seine Daten ohne manuellen, verzögernden Prozess anfordern kann.
• Konto- und Datenlöschung in Selbstbedienung – damit Sie Löschanfragen in angemessener Zeit beantworten können, ohne auf den Anbieter zu warten.
• 2FA (Zwei-Faktor-Authentifizierung) für Admin-Konten – denn ein kompromittiertes Admin-Konto ist ebenfalls eine Datenpanne.
• Ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter – der ausdrücklich festlegt, wer was tut.

Wie 4Rewards / 4Loyalty damit umgeht

Wir haben die Plattform von Anfang an genau mit diesem Gedanken entwickelt: Ihre Haftung sollte nicht ohne Werkzeuge bleiben. Jedes Unternehmen auf 4Loyalty hat ein integriertes Einwilligungssystem mit vollständiger Versionshistorie, Datenexport und -löschung in Selbstbedienung – sowohl für den Kunden als auch für das Unternehmen selbst – sowie optionale 2FA für Admin-Konten. Sie müssen nichts selbst entwickeln und nicht auf uns warten, um eine Kundenanfrage zu beantworten.

Wenn Sie nicht sicher sind, was Ihnen Ihre aktuelle Loyalty-App tatsächlich bietet, ist der erste Schritt einfach: Öffnen Sie die Nutzungsbedingungen und suchen Sie nach „DSGVO“. Finden Sie nur die Haftungsklausel und sonst nichts, ist es vielleicht Zeit, Ihre Optionen zu überdenken.