Wie eine Kundenbefragung nach DSGVO und BDSG geplant wird

Das Wichtigste auf einen Blick

• Kundenbefragung vorbereiten heißt in Deutschland zuerst: Rechtsgrundlage, Einwilligung und Löschfrist vor dem ersten Fragebogen klären.
• Ohne Einwilligung nach § 5 BDSG brauchen Sie für die meisten Umfragen eine andere Grundlage aus Art. 6 DSGVO.
• Befragungsdaten gehören nach § 10 BDSG gelöscht, sobald der Zweck erreicht ist.
• Marktforschungsinstitute arbeiten als Auftragsverarbeiter nach § 12 BDSG, der Vertrag muss vor dem Feldstart stehen.
• BfDI und BayLDA prüfen Beschwerden und können Auskünfte, Löschung und Bußgelder durchsetzen.
• Wer Betroffenenrechte, Zweckbindung und Datenminimierung dokumentiert, hält Prüfungen stand.

Warum Kundenbefragungen in Deutschland datenschutzrechtlich heikel sind

Eine Kundenbefragung verarbeitet personenbezogene Daten. Name, E-Mail-Adresse, Kundennummer, Antworten und oft auch Bestelldaten werden miteinander verknüpft. Das ist ein Vorgang, den die Verordnung 2016/679 erfasst, auch wenn kein einziges Werbemittel im Spiel ist.

Heikel wird es, weil Marktforschung mehrere Zwecke verbindet. Der Fragebogen dient der Produktverbesserung, das Panel dient der Rekrutierung, das Institut will die Daten für eigene Auswertungen behalten. Jeder dieser Zwecke braucht eine eigene Grundlage.

Hinzu kommt die Freiwilligkeit. Eine Umfrage, die an einen Kauf, einen Rabatt oder einen Vertragsabschluss gekoppelt ist, ist keine freie Einwilligung. Aufsichtsbehörden schauen genau auf solche Kopplungen.

In Deutschland gilt zusätzlich das Bundesdatenschutzgesetz. Es füllt die Öffnungsklauseln der DSGVO und regelt, wann eine Einwilligung wirksam ist und wann Daten zu löschen sind. Die Verordnung bleibt der Rahmen, die nationalen Datenschutzregeln des BDSG setzen den nationalen Ton.

Praktisch betroffen sind alle Branchen. Ein Autohaus in Niedersachsen, ein Softwareanbieter in Berlin, eine Klinik in Bayern: Überall gelten dieselben Regeln, nur die Aufsichtsbehörde wechselt.

Rechtsgrundlagen: DSGVO und BDSG im Zusammenspiel

Die DSGVO nennt in Art. 6 sechs Rechtsgrundlagen. Für Umfragen sind drei realistisch: Einwilligung, berechtigtes Interesse und Vertragserfüllung. Alles andere passt selten.

Die Einwilligung ist der Regelfall, weil sie den Zweck am klarsten abbildet. Sie muss freiwillig, informiert, eindeutig und widerrufbar sein. Schweigen oder vorangekreuzte Kästchen reichen nicht.

Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt kurze Zufriedenheitsabfragen bei Bestandskunden. Dann brauchen Sie eine Abwägung, die Sie dokumentieren, und einen einfachen Widerspruchsweg.

Die Vertragserfüllung trägt nur, wenn die Befragung für die Leistung selbst nötig ist. Das ist bei klassischer Marktforschung fast nie der Fall. Wer sich darauf beruft, muss das begründen können.

Das BDSG ergänzt diese Grundlagen. Es regelt die Einwilligung, die Verarbeitung zu anderen Zwecken und die Löschung. Die nationalen Regeln gelten parallel zur Verordnung, nicht statt ihr.

Wer die Primärquelle der DSGVO für Kundenbefragungen kennt, kann jede Abwägung selbst nachvollziehen. Der Text ist lang, aber die einschlägigen Artikel 5, 6, 13, 15 bis 21 und 28 sind überschaubar.

Einwilligungstexte nach § 5 BDSG korrekt formulieren

Die Einwilligung nach § 5 BDSG verlangt, dass sich die Zustimmung auf einen bestimmten Fall bezieht. Pauschale Zustimmungen für alle denkbaren Zwecke sind unwirksam. Der Text muss erkennen lassen, wer was mit welchen Daten tut.

Ein brauchbarer Einwilligungstext nennt vier Dinge: Verantwortlichen mit Anschrift, Zweck der Befragung, Empfänger der Daten und Widerrufsweg. Fehlt einer dieser Punkte, wird die Einwilligung angreifbar.

Formulierungen wie "Wir nutzen Ihre Daten zur Verbesserung unserer Services" sind zu unbestimmt. Besser: "Wir werten Ihre Antworten aus, um unseren Lieferprozess zu verbessern. Die Auswertung erfolgt durch das Institut XY in Hamburg."

Die Einwilligung muss schriftlich oder elektronisch nachweisbar sein. Speichern Sie Zeitpunkt, Textfassung und Kontext. Ohne Nachweis tragen Sie die Beweislast.

Für den Widerruf muss dieselbe Leichtigkeit gelten wie für die Erteilung. Ein Link in jeder E-Mail, eine Telefonnummer, ein Formular. Wer den Widerruf hinter einem Kundenkonto versteckt, riskiert Ärger mit der Aufsicht.

Ein Beispiel aus der Praxis: Ein Versandhändler in Nordrhein-Westfalen verschickte Einladungen zur Panelbefragung mit vorausgewählter Zustimmung. Die Aufsicht beanstandete das. Nach der Umstellung auf aktive Ankreuzung und getrennte Zustimmung für Panel und Auswertung war der Fall erledigt.

Zweckbindung, Datenminimierung und besondere Datenkategorien

Zweckbindung heißt: Daten, die für die Umfrage erhoben wurden, dürfen nicht später für Werbung genutzt werden. Jede Weiterverwendung braucht eine neue Grundlage. Das gilt auch für den eigenen Vertrieb.

Datenminimierung heißt: keine Adresse, wenn eine Kundennummer reicht. Kein Geburtsdatum, wenn die Altersgruppe genügt. Jedes zusätzliche Feld erhöht das Risiko und die Löschlast.

Besondere Kategorien nach Art. 9 DSGVO sind tabu, solange sie nicht ausdrücklich erforderlich sind. Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit. Fragen dazu brauchen eine eigene Grundlage und meist ausdrückliche Einwilligung.

In der Marktforschung tauchen solche Daten häufiger auf als gedacht. Eine Kundenzufriedenheitsstudie bei einer Krankenkasse erhebt Gesundheitsbezug. Eine Studie zu Diskriminierungserfahrungen erhebt Angaben zu Herkunft oder Religion.

Dann greift zusätzlich Art. 9 Abs. 2 DSGVO. Die Einwilligung muss ausdrücklich sein, und Sie brauchen ein Konzept, wie Sie diese Daten trennen, sichern und früher löschen als den Rest.

Freitextfelder sind ein unterschätztes Risiko. Kunden schreiben Krankheiten, Beschwerden oder Namen Dritter hinein. Planen Sie eine Sichtung und Löschung dieser Felder vor der Auswertung ein.

Löschfristen und Betroffenenrechte bei Umfragen

Die Löschung von Befragungsdaten nach § 10 BDSG verlangt, dass personenbezogene Daten gelöscht werden, sobald der Zweck erreicht ist. Für Umfragedaten heißt das: so früh wie möglich, so spät wie nötig.

Eine übliche Staffel sieht so aus: Rohdaten mit Kontaktbezug nach Feldende löschen, anonymisierte Antworten länger behalten, Einwilligungsnachweise so lange wie die gesetzliche Nachweislast reicht.

Löschfristen Marktforschung sollten schriftlich festgelegt sein, bevor die erste Einladung rausgeht. Typische Fristen liegen zwischen drei Monaten für Kontaktdaten und zwei Jahren für Nachweise, je nach Zweck und Branche.

Betroffenenrechte DSGVO gelten auch in der Umfrage. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Sie müssen innerhalb eines Monats beantwortet werden.

Die Auskunft ist der häufigste Fall. Ein Kunde will wissen, welche Antworten zu ihm gespeichert sind. Wenn Sie Rohdaten und Kontaktdaten getrennt halten, können Sie das sauber beantworten, ohne die Anonymität der Studie zu gefährden.

Der Widerspruch ist der zweite häufige Fall. Wer widerspricht, darf nicht erneut kontaktiert werden. Führen Sie eine Sperrliste, die auch nach einem Systemwechsel erhalten bleibt.

Auftragsverarbeitung mit Marktforschungsinstituten nach § 12 BDSG

Institute wie GfK, Ipsos oder Kantar arbeiten selten als eigenständige Verantwortliche. Sie handeln im Auftrag. Dann brauchen Sie einen Vertrag nach Art. 28 DSGVO und § 12 BDSG.

Der Vertrag regelt Weisungsbindung, Sicherheitsmaßnahmen, Unterauftragsverhältnisse, Löschung nach Auftragsende und Kontrollrechte. Ohne diesen Vertrag ist die Übermittlung an das Institut rechtswidrig.

Achten Sie auf Unterauftragsverarbeiter. Viele Institute setzen Felddienstleister, Übersetzer oder Cloud-Anbieter ein. Jeder Wechsel muss Ihnen angezeigt werden, und Sie müssen widersprechen können.

Der Bundesverband Deutscher Markt- und Sozialforscher und der Arbeitskreis Deutscher Markt- und Sozialforschungsinstitute bieten Muster und Standards. Diese ersetzen den eigenen Vertrag nicht, erleichtern aber die Prüfung.

Bei Übermittlungen außerhalb der EU brauchen Sie zusätzlich Garantien. Standardvertragsklauseln, Transfer Impact Assessment, gegebenenfalls ergänzende Maßnahmen. Das gilt auch für Cloud-Dienste, die Institute gern nutzen.

Prüfen Sie vor dem Feldstart, ob eine Datenschutz-Folgenabschätzung nötig ist. Sie ist Pflicht bei umfangreicher Verarbeitung besonderer Kategorien oder systematischer Bewertung. Bei großen Panelstudien mit Gesundheitsbezug ist sie der Regelfall.

Aufsichtsbehörden: BfDI und BayLDA als Prüfinstanzen

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist die Aufsichtsinstanz des Bundes. Er ist zuständig für Bundesbehörden, Telekommunikations- und Postunternehmen sowie für bestimmte bundesweite Verarbeitungen. Seine Orientierung zum Datenschutz in Deutschland ist für viele Projekte der erste Anlaufpunkt.

Das BayLDA ist das Bayerische Landesamt für Datenschutzaufsicht mit Sitz in Ansbach. Es ist für private Stellen in Bayern zuständig und bekannt für konsequente Prüfungen, gerade bei Werbung, Tracking und Kundendaten.

Für die meisten Unternehmen ist nicht der BfDI, sondern die Landesaufsicht zuständig. In Nordrhein-Westfalen ist das die LDI NRW, in Baden-Württemberg der Landesbeauftragte, in Hessen der HBDI, in Berlin die BlnBDI, in Hamburg der HmbBfDI, in Sachsen das SächsDSB.

Die Zuständigkeit folgt dem Sitz des Verantwortlichen, nicht dem Wohnort der Befragten. Ein Institut in Hamburg, das für einen Auftraggeber in München forscht, ändert daran nichts.

Beschwerden kommen über die Aufsichtsbehörde des Betroffenen. Ein Kunde in Nürnberg kann sich an das BayLDA wenden, auch wenn das Unternehmen in Niedersachsen sitzt. Die Behörden arbeiten dann zusammen.

Bußgelder für Datenschutzverstöße können vier Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro erreichen, je nachdem, welcher Betrag höher ist. Bei Umfragen sind kleinere Verstöße typisch, etwa fehlende Einwilligung oder zu lange Speicherung.

Schritt für Schritt zur DSGVO-konformen Kundenbefragung

1. Zweck festlegen. Schreiben Sie in einem Satz, wofür die Antworten verwendet werden. Jede spätere Erweiterung braucht eine neue Prüfung.
2. Rechtsgrundlage wählen. Einwilligung nach § 5 BDSG, berechtigtes Interesse oder Vertragserfüllung. Dokumentieren Sie die Wahl und die Abwägung.
3. Einwilligungstext verfassen. Verantwortlicher, Zweck, Empfänger, Widerruf, Speicherdauer. Getrennte Kästchen für Panel, Auswertung und Werbung.
4. Datenminimierung umsetzen. Streichen Sie jedes Feld, das nicht ausgewertet wird. Trennen Sie Kontaktdaten von Antwortdaten.
5. Institut auswählen und Vertrag schließen. Auftragsverarbeitung nach Art. 28 DSGVO und § 12 BDSG, Unterauftragsverarbeiter benennen lassen.
6. Löschkonzept schreiben. Fristen für Rohdaten, Kontaktdaten und Einwilligungsnachweise, mit Verantwortlichen und Nachweis.
7. Datenschutz-Folgenabschätzung prüfen. Bei besonderen Kategorien oder großen Stichproben durchführen und dokumentieren.
8. Feldstart kontrollieren. Prüfen Sie Einladung, Fragebogen, Widerrufslink und Sperrlisten, bevor die erste Mail rausgeht.
9. Nach Feldende löschen. Löschen Sie Kontaktdaten nach Plan, anonymisieren Sie Auswertungsdaten und protokollieren Sie die Löschung.

Ein Beispiel: Ein Energieversorger in Sachsen plant eine Kundenzufriedenheitsbefragung mit 12.000 Adressen. Er wählt berechtigtes Interesse, kürzt den Fragebogen auf zwölf Pflichtfelder, lässt das Institut als Auftragsverarbeiter vertraglich binden und löscht die Kontaktdaten sechs Wochen nach Feldende. Die anonymisierten Antworten bleiben zwei Jahre für die Trendauswertung. Der Widerrufslink steht in jeder Einladung und jeder Erinnerung.

Häufige Fragen

Brauche ich für jede Kundenbefragung eine Einwilligung? Nein. Kurze Zufriedenheitsabfragen bei Bestandskunden können auf berechtigtem Interesse nach Art. 6 Abs. 1 lit. f DSGVO beruhen. Dann brauchen Sie eine dokumentierte Abwägung und einen einfachen Widerspruchsweg.

Wie lange darf ich Umfragedaten speichern? So kurz wie möglich. Kontaktdaten löschen Sie nach Feldende, oft nach drei bis sechs Monaten. Anonymisierte Antworten dürfen länger bleiben, wenn kein Personenbezug mehr herstellbar ist.

Muss ich mit dem Institut einen Auftragsverarbeitungsvertrag schließen? Ja, wenn das Institut nur nach Ihren Weisungen arbeitet. Grundlage sind Art. 28 DSGVO und § 12 BDSG. Ohne Vertrag ist die Datenübermittlung an das Institut rechtswidrig.

Wann ist eine Datenschutz-Folgenabschätzung Pflicht? Bei umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer Bewertung von Personen. Große Panelstudien mit Gesundheitsbezug fallen darunter. Im Zweifel dokumentieren Sie die Prüfung.

Welche Aufsichtsbehörde ist für mein Unternehmen zuständig? Die Behörde am Sitz des Verantwortlichen, nicht am Wohnort der Befragten. In Bayern ist das BayLDA, in Nordrhein-Westfalen die LDI NRW, in Hamburg der HmbBfDI. Der BfDI ist nur für bestimmte bundesweite Stellen zuständig.

Was passiert, wenn ein Kunde Auskunft verlangt? Sie müssen innerhalb eines Monats antworten und mitteilen, welche Daten zu ihm gespeichert sind. Halten Sie Kontaktdaten und Antwortdaten getrennt, damit die Auskunft die Anonymität der Studie nicht gefährdet.