Was ist passiert?
Ein Unternehmen erhielt eine negative Bewertung auf einer Online-Plattform. Der Kunde beschwerte sich über den Service und gab eine schlechte Note. Nichts Ungewöhnliches - das passiert jedem Unternehmen.
Aber der Inhaber reagierte emotional. In seiner öffentlichen Antwort nannte er Details zum Kauf des Kunden, den Grund des Besuchs und in einigen Fällen sogar gesundheitsbezogene Informationen. Die Absicht war, die Beschwerde zu widerlegen und “seine Seite der Geschichte zu erzählen.”
Das Ergebnis: eine Beschwerde bei der Aufsichtsbehörde und ein Bußgeld wegen Verstoßes gegen die DSGVO.
Warum ist das ein DSGVO-Verstoß?
Personenbezogene Daten, die Sie im Rahmen Ihrer Dienstleistungen erheben - Kaufhistorie, medizinische Informationen, finanzielle Details, Kontaktdaten - dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Die öffentliche Offenlegung dieser Daten als Antwort auf eine Online-Bewertung gehört nicht zu diesem Zweck.
Konkret verstößt dies gegen mehrere DSGVO-Grundsätze:
- Zweckbindung (Artikel 5(1)(b)) - Sie verwenden die Daten für einen anderen Zweck als den, für den sie erhoben wurden
- Integritt und Vertraulichkeit (Artikel 5(1)(f)) - Sie machen vertrauliche Daten öffentlich
- Rechtsgrundlage (Artikel 6) - Sie haben keine gültige Rechtsgrundlage, um personenbezogene Daten öffentlich zu teilen
Wenn Gesundheitsdaten betroffen sind, verstoßen Sie auch gegen Artikel 9, das Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten ohne spezifische Ausnahme.
Es spielt keine Rolle, ob der Kunde Unrecht hat
Hier stolpern viele Unternehmer. “Aber der Kunde lügt! Ich will zeigen, was wirklich passiert ist!”
Das ist verständlich. Aber die DSGVO macht keine Ausnahme für Situationen, in denen der Kunde Unrecht hat. Sie haben die Daten in einem vertraulichen Kontext erhalten (der Kundenbeziehung) und dürfen sie nicht zur öffentlichen Verteidigung nutzen.
Auch wenn die Bewertung unberechtigt, übertrieben oder schlicht falsch ist: Das Offenlegen personenbezogener Daten in Ihrer Antwort ist nicht erlaubt.
Wie sollten Sie auf eine negative Bewertung reagieren?
Regel 1: Bleiben Sie allgemein
Antworten Sie professionell und in allgemeinen Begriffen. Nennen Sie keine spezifischen Details über den Kunden, den Kauf oder die Dienstleistung.
Nicht: “Diese Person kam am 15. März für Behandlung X und hat nur 50 Euro bezahlt, was bereits ein Rabatt war.”
Besser: “Wir bedauern, dass Ihre Erfahrung nicht Ihren Erwartungen entsprach. Wir nehmen jede Beschwerde ernst.”
Regel 2: Verweisen Sie auf ein privates Gespräch
Laden Sie den Kunden ein, Kontakt aufzunehmen, damit Sie die Situation unter vier Augen besprechen können.
“Wir würden dies gerne persönlich mit Ihnen besprechen. Sie erreichen uns unter [E-Mail/Telefon].”
Regel 3: Niemals medizinische oder finanzielle Details
Besonders wenn Sie im Gesundheitswesen, Coaching oder in der Finanzdienstleistung arbeiten: Nennen Sie niemals den Grund des Besuchs, die Diagnose, die Behandlung oder den Betrag.
Regel 4: Beschränken Sie, wer antwortet
Bestimmen Sie ein oder zwei Personen, die für die Beantwortung von Bewertungen zuständig sind. Stellen Sie sicher, dass sie geschult sind. Ein verärgerter Mitarbeiter, der impulsiv antwortet, kann in wenigen Sätzen einen DSGVO-Verstoß begehen.
Was tun, wenn es bereits passiert ist?
Wenn Sie bereits eine Antwort veröffentlicht haben, die personenbezogene Daten enthält:
- Entfernen oder bearbeiten Sie die Antwort sofort, um alle personenbezogenen Daten zu löschen
- Dokumentieren Sie den Vorfall in Ihrem Datenpannenregister, da die unbefugte Offenlegung personenbezogener Daten eine Datenpanne darstellt
- Prüfen Sie, ob Sie den Vorfall melden müssen bei der Aufsichtsbehörde (abhängig von der Art und Sensibilität der offengelegten Daten)
- Kontaktieren Sie die betroffene Person, um sie über den Vorfall zu informieren
Schulen Sie Ihr Team
Stellen Sie sicher, dass jeder, der im Namen Ihres Unternehmens kommuniziert - ob bei Bewertungen, in sozialen Medien oder im Kundenservice - weiß, dass Kundendaten niemals in öffentlicher Kommunikation verwendet werden dürfen.
Nehmen Sie dies in Ihre DSGVO-Sensibilisierungsschulung auf:
- Was darf in öffentlichen Antworten gesagt werden und was nicht?
- An wen wendet man sich bei Unsicherheit?
- Wer ist für die Verwaltung von Online-Bewertungen zuständig?
GDPRWise hilft Ihnen, DSGVO-Bewusstsein in Ihrer Organisation zu verankern. Von klaren Richtlinien bis zur praktischen Dokumentation.