Kurze Antwort: ja
Die kurze Antwort auf die Frage im Titel ist eindeutig: ja. Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig davon, ob Ihre Kunden Verbraucher oder Unternehmen sind. Und als B2B-Unternehmen verarbeiten Sie mehr personenbezogene Daten als Sie denken.
Das Missverständnis
Die Argumentation lautet oft: “Die DSGVO schützt Verbraucher. Meine Kunden sind Unternehmen, keine Verbraucher. Also gilt die DSGVO nicht für mich.”
Diese Argumentation ist in zwei Punkten falsch.
Erstens: Die DSGVO schützt keine Verbraucher. Die DSGVO schützt natürliche Personen. Das ist ein wichtiger Unterschied. Ein Verbraucher ist jemand, der als Privatperson etwas kauft. Eine natürliche Person ist jeder lebende Mensch. Also auch der Ansprechpartner bei Ihrem Kunden, der Mitarbeiter, der Ihre Rechnung erhält, und der Geschäftsführer, der Ihr Angebot unterzeichnet.
Zweitens: Selbst wenn Sie nie mit Verbrauchern zu tun haben, verarbeiten Sie als B2B-Unternehmen garantiert personenbezogene Daten. Schauen wir, wo diese sich befinden.
Wo befinden sich Ihre personenbezogenen Daten?
Kundenkontakte
Sie haben ein CRM oder zumindest ein Adressbuch. Darin stehen Namen, E-Mail-Adressen, Telefonnummern und Funktionen von Ansprechpartnern bei Ihren Kunden. max.mueller@kundenunternehmen.de ist ein personenbezogenes Datum. Die Telefonnummer des Einkäufers ist ein personenbezogenes Datum. Die Notiz “Max ist montags immer frei” ist ein personenbezogenes Datum.
Mitarbeiter
Wenn Sie Personal haben, verarbeiten Sie eine Fülle personenbezogener Daten: Name, Adresse, Sozialversicherungsnummer, Gehalt, Krankmeldungen, Beurteilungen, Kopie des Personalausweises. Das sind sogar besondere oder sensible Kategorien. Die DSGVO ist hier vollständig anwendbar.
Lieferanten und Partner
Ihr Steuerberater, Ihr IT-Dienstleister, Ihre Freelancer - von all diesen Parteien haben Sie Kontaktdaten. Und bei Einzelunternehmern und Freiberuflern sind die Geschäftsdaten oft identisch mit den personenbezogenen Daten des Inhabers.
Bewerber
Erhalten Sie gelegentlich eine Initiativbewerbung oder einen Lebenslauf? Das sind personenbezogene Daten. Und sie haben eine Aufbewahrungsfrist: Sie dürfen einen Lebenslauf nicht unbegrenzt aufbewahren.
Websitebesucher
Auch wenn Ihre Website nur auf Geschäftsbesucher ausgerichtet ist, verarbeiten Sie IP-Adressen, Cookie-Daten und möglicherweise Formulardaten. IP-Adressen sind personenbezogene Daten.
Was müssen Sie als B2B-Unternehmen regeln?
Genau dasselbe wie jedes andere Unternehmen. Die DSGVO unterscheidet nicht zwischen B2B und B2C. Konkret:
Verarbeitungsverzeichnis - dokumentieren Sie alle Ihre Verarbeitungstätigkeiten. Kundenkontakte pflegen, Gehaltsabrechnung, Rechnungsstellung, Marketing, Website-Analytics - alles gehört hinein.
Datenschutzerklärung - informieren Sie Betroffene darüber, was Sie mit ihren Daten tun. Das gilt für Ihre Websitebesucher, aber auch für Ihre Geschäftskontakte.
Auftragsverarbeitungsverträge - haben Sie einen AVV mit Ihrem CRM-Anbieter? Ihrem Steuerberater? Ihrem Cloud-Anbieter? Im B2B wird dies oft leichter genommen als im B2C, aber die Pflicht ist identisch.
Rechtsgrundlagen - für jede Verarbeitung brauchen Sie eine Rechtsgrundlage. Für die Kundenbeziehungspflege ist das meist ein berechtigtes Interesse. Für die Gehaltsabrechnung eine gesetzliche Verpflichtung. Für einen Newsletter die Einwilligung.
Aufbewahrungsfristen - Sie dürfen Daten nicht endlos aufbewahren. Die Angebotsanfrage von vor fünf Jahren, aus der nie ein Auftrag wurde? Dafür gibt es wahrscheinlich keine Rechtsgrundlage mehr.
B2B-spezifische Aspekte
Einige Punkte verdienen im B2B-Kontext besondere Aufmerksamkeit:
- LinkedIn und Networking - Visitenkarten, die Sie auf einer Messe sammeln, oder Kontakte, die Sie von LinkedIn in Ihr CRM übernehmen: Das ist eine Verarbeitung personenbezogener Daten
- Referenzen und Empfehlungen - wenn Sie Kundenreferenzen mit Name und Funktion auf Ihrer Website veröffentlichen, verarbeiten Sie personenbezogene Daten
- Geteilte Postfächer - ein geteiltes Postfach wie vertrieb@ihrfirma.de enthält E-Mails mit personenbezogenen Daten von Geschäftskontakten
- Alte Daten - B2B-Unternehmen bewahren Beziehungsinformationen oft jahrelang auf “für den Fall”. Ohne gültige Rechtsgrundlage ist das nicht erlaubt
Die gute Nachricht
Die Grundlagen der DSGVO-Compliance sind für B2B-Unternehmen nicht anders als für B2C. Tatsächlich ist es oft einfacher. Sie verarbeiten wahrscheinlich weniger Daten, weniger besondere Kategorien und haben weniger Betroffene. Aber “weniger” ist nicht “keine”. Und die Aufsichtsbehörde macht keinen Unterschied.
GDPRWise erfasst alle Ihre Verarbeitungstätigkeiten, einschließlich der B2B-Daten, die Sie wahrscheinlich übersehen. Ein vollständiges Verarbeitungsverzeichnis in 15 Minuten.