Ob zur Messung der Kundenzufriedenheit oder zur Bewertung einzelner Leistungen: Bei einer Kundenbefragung ist zu klären, welche personenbezogenen Daten erhoben werden und wie diese datenschutzkonform verarbeitet werden können. Datenschutzanforderungen sollten deshalb bereits bei der Konzeption der Kundenbefragung berücksichtigt werden. So lässt sich sicherstellen, dass die Erhebung und Verarbeitung personenbezogener Daten den Vorgaben der DSGVO entspricht.

Für die Umsetzung sind mehrere Punkte entscheidend: Ist eine Einwilligung der Teilnehmenden erforderlich? Welche personenbezogenen Daten dürfen erhoben werden? Was müssen Unternehmen bei E-Mail-Einladungen und der Zusammenarbeit mit externen Befragungsanbietern beachten? Ebenso muss geklärt sein, wie lange die Befragungsdaten gespeichert und wann sie gelöscht werden.

In diesem Beitrag erfahren Sie, wie Sie eine Kundenbefragung datenschutzkonform durchführen und welche DSGVO-Vorgaben für Einwilligung, Datenverarbeitung und Datensicherheit gelten.

 

Das Wichtigste im Überblick:

  • Datenschutz sollte bereits bei der Planung einer Kundenbefragung berücksichtigt werden, insbesondere bei der Erhebung und Verarbeitung personenbezogener Daten.
  • Nicht jede Kundenbefragung benötigt eine Einwilligung. Welche Rechtsgrundlage gilt, hängt von der Art der Befragung und der Datenverarbeitung ab.
  • Transparente Datenschutzhinweise, angemessene Datensicherheit und klare Speicher- und Löschkonzepte sind zentrale Anforderungen der DSGVO.
  • Werden externe Dienstleister oder Befragungssoftware eingesetzt, sollten Unternehmen die datenschutzrechtlichen Verantwortlichkeiten prüfen und einen Auftragsverarbeitungsvertrag (AVV) abzuschließen.

 

Inhaltsverzeichnis

  1. Datenschutz bei Kundenbefragungen: Die wichtigsten Grundlagen
  2. Kundenbefragungen datenschutzkonform durchführen
  3. Datenschutz bei der Zusammenarbeit mit externen Anbietern
  4. Kundenbefragung und Datenschutz – Checkliste für Unternehmen
  5. FAQ zum Datenschutz bei Kundenbefragungen

 

 

Datenschutz bei Kundenbefragungen: Die wichtigsten Grundlagen

Wer im Rahmen einer Kundenbefragung personenbezogene Daten verarbeitet, muss die Vorgaben der DSGVO beachten. Entscheidend ist zunächst die Frage, ob die Befragung anonym erfolgt oder ob Daten erhoben werden, mit denen Teilnehmende direkt oder indirekt identifiziert werden können. Davon hängen die rechtlichen Anforderungen an Erhebung, Speicherung und Auswertung ab.

Um einschätzen zu können, welche Datenschutzpflichten gelten, ist zunächst zu klären, welche Informationen überhaupt als personenbezogene Daten gelten. Personenbezogene Daten sind alle Informationen, mit denen eine natürliche Person identifiziert werden kann oder identifizierbar ist. Bei einer Kundenbefragung gehören dazu beispielsweise:

  • Name,
  • E-Mail-Adresse,
  • Kundennummer,
  • Telefonnummer
  • oder auch die IP-Adresse.

Auch technische Informationen können personenbezogene Daten sein, wenn sie Rückschlüsse auf eine spezifische Person ermöglichen.

Für die Verarbeitung dieser Daten ist eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich. Je nach Art der Kundenbefragung kann die Verarbeitung auf einer Einwilligung, einem berechtigten Interesse oder, in bestimmten Fällen, auf der Erfüllung eines Vertrags beruhen. Unternehmen sollten daher bereits vor Beginn der Befragung prüfen, welche Rechtsgrundlage für ihren konkreten Anwendungsfall gilt.

Für die praktische Umsetzung einer Kundenbefragung ist außerdem wichtig, zwischen anonymen, anonymisierten und pseudonymisierten Daten zu unterscheiden. Davon hängt ab, welche Datenschutzanforderungen für Erhebung, Speicherung und Auswertung gelten.

 

Anonym, anonymisiert oder pseudonymisiert – was ist der Unterschied?

  • Anonym: Die erhobenen Daten lassen sich keiner Person zuordnen. Die Befragungsergebnisse haben keinen Personenbezug mehr.
  • Anonymisiert: Personenbezogene Daten wurden dauerhaft entfernt, sodass eine Identifizierung auch nachträglich nicht mehr möglich ist.
  • Pseudonymisiert: Personenbezogene Daten werden getrennt von den Antworten gespeichert und durch ein Kennzeichen ersetzt. Ein Personenbezug ist nur mit zusätzlichen Informationen möglich.

 

Für viele Kundenbefragungen ist die Pseudonymisierung eine praxistaugliche Lösung. Kontaktdaten und Befragungsantworten werden getrennt verarbeitet, sodass die Auswertung ohne direkten Personenbezug erfolgen kann. Werden die personenbezogenen Daten nach Abschluss der Befragung gelöscht, bleiben nur die anonymisierten Ergebnisse erhalten.

Besondere Aufmerksamkeit gilt auch den Einladungen per E-Mail. Bereits die Kontaktaufnahme erfolgt auf Basis personenbezogener Daten. Unternehmen sollten deshalb prüfen, ob die Ansprache datenschutzrechtlich zulässig ist und ob für die jeweilige Kundenbefragung eine Einwilligung erforderlich ist. Außerdem sollten Teilnehmende transparent darüber informiert werden, zu welchem Zweck ihre Daten verarbeitet werden und wie lange diese gespeichert werden.

 

 

Kundenbefragungen datenschutzkonform durchführen

Eine datenschutzkonforme Kundenbefragung endet nicht mit der Datenerhebung. Unternehmen sollten den gesamten Prozess, von der Planung bis zur Löschung der Daten, DSGVO-konform gestalten. Dazu gehören insbesondere folgende Punkte:

  • Nur notwendige Daten erheben: Erfassen Sie nur personenbezogene Daten, die für den Zweck der Kundenbefragung tatsächlich erforderlich sind. Unnötige Angaben sollten vermieden werden.
  • Transparenz schaffen: Informieren Sie Teilnehmende frühzeitig darüber, welche Daten erhoben werden, zu welchem Zweck sie verarbeitet werden und wer Zugriff darauf hat.
  • Datenschutzhinweise bereitstellen: Die Befragung sollte leicht verständliche Informationen zur verantwortlichen Stelle, zum Zweck der Verarbeitung, zur Rechtsgrundlage, zur Speicherdauer und zu den Rechten der Teilnehmenden enthalten.
  • Anonymität oder Pseudonymisierung einplanen: Berücksichtigen Sie den Datenschutz bereits bei der Konzeption der Befragung, indem Sie Kontaktdaten und Antworten technisch voneinander trennen.
  • Befragungsdaten nur bei Bedarf verknüpfen: Prüfen Sie sorgfältig, ob eine Verknüpfung der Ergebnisse mit CRM- oder anderen Kundendaten für den Befragungszweck notwendig ist.
  • Speicherdauer festlegen: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck der Kundenbefragung erforderlich sind.
  • Daten löschen oder anonymisieren: Nach Abschluss der Befragung sollten personenbezogene Daten gelöscht oder, sofern die Ergebnisse weiterhin benötigt werden, anonymisiert werden.
  • Betroffenenrechte gewährleisten: Teilnehmende haben unter anderem das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten.
  • Verantwortung bleibt beim Unternehmen: Auch wenn ein externer Dienstleister die Kundenbefragung durchführt, bleibt das beauftragende Unternehmen für die Datenverarbeitung gegenüber den Teilnehmenden verantwortlich.

 

 

Datenschutz bei der Zusammenarbeit mit externen Anbietern

Viele Unternehmen setzen für eine Kundenbefragung einen externen Dienstleister oder eine Befragungssoftware ein. Das erleichtert die Durchführung und Auswertung der Befragung, entbindet das beauftragende Unternehmen jedoch nicht von seiner datenschutzrechtlichen Verantwortung. Gegenüber den Teilnehmenden bleibt das Unternehmen die verantwortliche Stelle und muss sicherstellen, dass die Verarbeitung personenbezogener Daten DSGVO-konform erfolgt.

Unternehmen Externer Dienstleister
Legt Zweck und Umfang der Kundenbefragung fest. Verarbeitet personenbezogene Daten im Auftrag des Unternehmens.
Informiert Teilnehmende über die Datenverarbeitung. Stellt die technische Durchführung und Auswertung der Befragung bereit.
Bleibt datenschutzrechtlich verantwortlich. Setzt geeignete technische und organisatorische Maßnahmen zum Schutz der Daten um.
Prüft die DSGVO-Konformität des Dienstleisters. Unterstützt bei Speicherung, Löschung und Datensicherheit.

 

Mit Rogator Kundenbefragungen DSGVO-konform umsetzen

Rogator unterstützt Unternehmen bei der Planung, Durchführung und Auswertung datenschutzkonformer Kundenbefragungen. Mit der Befragungssoftware G3plus und DSGVO-konformen Prozessen lassen sich Befragungen sicher und effizient realisieren.

Jetzt unverbindlichen Erstberatungstermin vereinbaren

 

Verarbeitet ein externer Anbieter personenbezogene Daten im Auftrag eines Unternehmens, liegt in der Regel eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich. Dieser regelt unter anderem den Zweck und die Dauer der Verarbeitung, die Pflichten des Dienstleisters sowie die vereinbarten Schutzmaßnahmen.

Auch die eingesetzte Befragungssoftware sollte die Anforderungen an die Datensicherheit erfüllen. Dazu gehören eine verschlüsselte Datenübertragung, klar geregelte Zugriffsrechte, sichere Speicherung der Befragungsdaten sowie dokumentierte Löschprozesse. Mit G3plus bietet Rogator eine Befragungssoftware, die diese Anforderungen bei der Durchführung von Kundenbefragungen berücksichtigt.

Ein weiterer wichtiger Aspekt ist der Serverstandort. Werden personenbezogene Daten innerhalb der EU oder des EWR verarbeitet, gelten die Datenschutzvorgaben der DSGVO unmittelbar. Erfolgt eine Übermittlung in Drittländer, können zusätzliche rechtliche Anforderungen notwendig werden. Deshalb sollten Unternehmen den Speicherort ihrer Befragungsdaten vorab prüfen.

Zu den weiteren technischen und organisatorischen Maßnahmen (TOMs) gehören insbesondere:

  • Zugriffskontrollen: Nur berechtigte Personen erhalten Zugriff auf personenbezogene Daten.
  • Verschlüsselung: Schutz der Daten während der Übertragung und Speicherung.
  • Berechtigungskonzepte: Klare Rollen und Zugriffsrechte für Mitarbeitende und Dienstleister.
  • Löschprozesse: Personenbezogene Daten werden nach festgelegten Fristen gelöscht oder anonymisiert.
  • Regelmäßige Überprüfung: Sicherheitsmaßnahmen und technische Systeme werden dokumentiert und regelmäßig kontrolliert.

 

 

Kundenbefragung Datenschutz – Checkliste für Unternehmen

Mit dieser Checkliste können Sie Schritt für Schritt prüfen, ob Ihre Kundenbefragung die wichtigsten Datenschutzanforderungen der DSGVO erfüllt.

  • Der Zweck der Kundenbefragung ist klar definiert und es werden nur die dafür notwendigen personenbezogenen Daten erhoben.
  • Ich habe geprüft, welche personenbezogenen Daten verarbeitet werden und welche Rechtsgrundlage nach Art. 6 DSGVO dafür gilt.
  • Ich habe geprüft, ob eine Einwilligung erforderlich ist und die Teilnehmenden erhalten vollständige und verständliche Datenschutzhinweise.
  • Die Befragung ist anonym oder pseudonymisiert konzipiert und die Daten werden durch geeignete Sicherheitsmaßnahmen geschützt.
  • Bei einem externen Dienstleister ist ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen und der Serverstandort wurde geprüft.
  • Speicherfristen sowie die Löschung oder Anonymisierung der personenbezogenen Daten sind klar geregelt.

 

 

Datenschutz von Anfang an mitdenken

Als erfahrener Anbieter für Kundenbefragungen unterstützt Rogator Unternehmen dabei, Befragungen DSGVO-konform zu planen, durchzuführen und auszuwerten, von der passenden Befragungssoftware bis zu datenschutzkonformen Prozessen.

Vereinbaren Sie Ihren unverbindlichen Erstberatungstermin.

 

 

FAQ zum Datenschutz bei Kundenbefragungen

Wann ist eine Einwilligung für eine Kundenbefragung erforderlich?

Eine Einwilligung ist erforderlich, wenn sie die passende Rechtsgrundlage für die Verarbeitung personenbezogener Daten oder die Kontaktaufnahme zur Kundenbefragung darstellt. Unternehmen sollten daher vorab prüfen, auf welcher Rechtsgrundlage die Befragung durchgeführt wird.

Welche personenbezogenen Daten dürfen bei einer Kundenbefragung erhoben werden?

Es dürfen nur personenbezogene Daten erhoben werden, die für den Zweck der Kundenbefragung notwendig sind. Dazu können beispielsweise Name, E-Mail-Adresse, Kundennummer oder, je nach Befragung, technische Daten wie die IP-Adresse gehören.

Was muss in den Datenschutzhinweisen einer Kundenbefragung stehen?

Die Datenschutzhinweise sollten die verantwortliche Stelle, den Zweck der Datenverarbeitung, die Rechtsgrundlage, die Speicherdauer, mögliche Empfänger der Daten sowie die Rechte der Teilnehmenden verständlich erläutern.

Wie können Unternehmen eine Kundenbefragung datenschutzkonform durchführen?

Eine datenschutzkonforme Kundenbefragung beginnt bereits bei der Planung. Wichtig sind eine klare Rechtsgrundlage, transparente Informationen für Teilnehmende, eine möglichst anonyme oder pseudonymisierte Verarbeitung, geeignete technische und organisatorische Maßnahmen sowie geregelte Speicher- und Löschprozesse

 

Folgende Blogbeiträge könnten für Sie auch interessant sein: