DSGVO im Laden: Kundendaten an der Kasse

Wann gilt die DSGVO an der Kasse?

Die Datenschutz-Grundverordnung (DSGVO) betrifft personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Verarbeitung ist jeder Vorgang damit, vom Erheben bis zum Löschen (Art. 4 Nr. 2). Wer über Zwecke und Mittel entscheidet, ist Verantwortlicher (Art. 4 Nr. 7); bei Ihrer Kasse ist das Ihr Betrieb.

Ein Barverkauf ohne Kundenkonto, ohne Namen und ohne Kennung, die sich einer Person zuordnen lässt, enthält keine Angabe zu einer identifizierbaren Person. Sobald die Kasse eine Person erkennbar macht, greifen die Pflichten. Das passiert zum Beispiel bei einer E-Mail-Adresse für den elektronischen Beleg, bei einem Kundenkonto mit Kaufverlauf, bei der Kundenkarte oder beim Bediener-Login im Kassensystem.

Welche Daten entstehen an der Kasse?

Die Tabelle ordnet typische Datenpunkte den Pflichten zu. Die Zeilen gelten für Deutschland und nur, wenn die genannten Daten bei Ihnen vorkommen.

Datenpunkt	Personenbezogen?	Wichtigste Pflicht	Norm
Barverkauf ohne Namen und ohne Kennung	nein, solange keine Zuordnung zu einer Person möglich ist	Pflichten gegenüber dem Kunden entstehen aus diesem Vorgang mangels Personenbezug nicht	Art. 4 Nr. 1
E-Mail-Adresse für den E-Bon	ja	Zweck „Beleg senden“ festlegen; Information bei Erhebung; Nutzung für Werbung nur mit eigener Grundlage	Art. 5 Abs. 1 Buchst. b, Art. 13; § 7 UWG
Kundenkonto, Kundenkarte, Kaufverlauf	ja	Rechtsgrundlage je Zweck, Information, Widerspruchsrecht bei Werbung	Art. 6, 13, 21
Bedienerkennung im Kassensystem	ja, wenn sie sich einer Person zuordnen lässt	Zweck festlegen, Zugriff begrenzen, Sicherheit	Art. 5, 32
Daten bei einem Cloud-Kassenanbieter	je nach Daten	Vertrag mit Inhalten des Art. 28 Abs. 3, wenn der Anbieter in Ihrem Auftrag verarbeitet	Art. 28
Kartenzahlung am Terminal	je nach Daten	Rolle des Zahlungsdienstleisters im Vertrag klären	Art. 4 Nr. 7, 8; Art. 28
Aufbewahrte Buchungsbelege und Aufzeichnungen	ja, soweit Personenbezug enthalten	Aufbewahren nach § 147 AO; keine längere Speicherung als nötig	Art. 5 Abs. 1 Buchst. e; Art. 17 Abs. 3 Buchst. b

Vertiefend zu Programmen: Kundenkarte und Treueprogramm: Datenschutz nach DSGVO. Zum Vertrag mit dem Kassenanbieter: Cloud-Kasse und Datenschutz: Auftragsverarbeitung prüfen. Zum elektronischen Beleg selbst: Digitaler Kassenbeleg in Deutschland.

Was Sie tun müssen

Die DSGVO verlangt von Verantwortlichen sieben Dinge, die sich an der Kasse konkret zeigen.

1. Rechtsgrundlage je Zweck. Die Verarbeitung braucht mindestens eine Bedingung aus Art. 6 Abs. 1: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder berechtigte Interessen, jeweils für den konkreten Zweck. Für Werbung nennt die Datenschutzkonferenz (DSK) neben der Einwilligung eine Interessenabwägung nach Art. 6 Abs. 1 Buchst. f; das Kurzpapier datiert vom 17. Dezember 2018 und steht unter dem Vorbehalt späterer Auslegung des Europäischen Datenschutzausschusses.
2. Informieren. Erheben Sie Daten bei der Person selbst, teilen Sie ihr zum Zeitpunkt der Erhebung unter anderem Ihren Namen, die Zwecke und die Rechtsgrundlage, die Speicherdauer oder deren Kriterien und die Betroffenenrechte mit (Art. 13 Abs. 1 und 2). Das entfällt, soweit sie die Informationen schon hat (Abs. 4).
3. Einwilligung sauber einholen. Wo Sie sich auf Einwilligung stützen, müssen Sie sie nachweisen können; der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und 3). Bei der Frage, ob eine Einwilligung freiwillig erteilt wurde, ist in größtmöglichem Umfang zu berücksichtigen, ob ein Vertrag von einer Einwilligung abhängt, die für ihn nicht erforderlich ist (Art. 7 Abs. 4).
4. Zweck und Speicherdauer begrenzen. Daten nur für festgelegte Zwecke, nur im nötigen Maß und nur so lange, wie der Zweck es erfordert (Art. 5 Abs. 1 Buchst. b, c, e).
5. Sicherheit. Geeignete technische und organisatorische Maßnahmen, etwa Zugriffsrechte, Verschlüsselung und die Fähigkeit, Daten nach einem Zwischenfall wiederherzustellen (Art. 32 Abs. 1). Bei der Auswahl und Voreinstellung der Kasse gilt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25).
6. Verzeichnis führen. Verantwortliche führen ein Verzeichnis ihrer Verarbeitungstätigkeiten (Art. 30 Abs. 1). Für Unternehmen unter 250 Mitarbeitern entfällt das nur, wenn die Verarbeitung kein Risiko für die Betroffenen birgt, nur gelegentlich erfolgt und weder besondere Datenkategorien (Art. 9 Abs. 1) noch Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10) betrifft (Art. 30 Abs. 5).
7. Datenpannen melden. Eine Verletzung des Schutzes personenbezogener Daten melden Sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33 Abs. 1).

Betroffenenrechte: Fristen

Kunden können Auskunft über ihre Daten verlangen (Art. 15) und unter den Voraussetzungen des Art. 17 Abs. 1 Löschung. Sie teilen die ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags mit; die Frist kann um weitere zwei Monate verlängert werden, wenn dies wegen Komplexität und Zahl der Anträge nötig ist (Art. 12 Abs. 3). Gegen Direktwerbung besteht ein Widerspruchsrecht jederzeit (Art. 21 Abs. 2); nach dem Widerspruch dürfen die Daten dafür nicht mehr verarbeitet werden (Abs. 3).

Aufbewahrung und Löschung

Der Löschanspruch gilt nicht, soweit die Verarbeitung der Erfüllung einer rechtlichen Verpflichtung dient (Art. 17 Abs. 3 Buchst. b). Eine solche Pflicht ist die steuerliche Aufbewahrung: Nach § 147 Abs. 3 AO beträgt die Frist zehn Jahre unter anderem für Bücher, Aufzeichnungen, Inventare und Abschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für die übrigen Unterlagen, mit Sonderregeln etwa für Lieferscheine ohne Buchungsbelegfunktion. Die Fristen und ihr Beginn stehen im Artikel Aufbewahrungsfristen für Kassendaten in Deutschland. Für Daten, die Sie ausschließlich für Werbung gespeichert haben, ist § 147 AO keine Grundlage zur weiteren Speicherung.

Wer braucht einen Datenschutzbeauftragten?

Neben den Fällen des Art. 37 Abs. 1 DSGVO müssen Verantwortliche in Deutschland eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 38 Abs. 1 Satz 1 BDSG). Das gilt unabhängig von dieser Zahl, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder Daten geschäftsmäßig für Übermittlung oder Markt- und Meinungsforschung verarbeitet werden (Satz 2). Zählen Sie dafür nur Personen, die ständig mit der automatisierten Verarbeitung betraut sind, nicht alle Beschäftigten.

Was droht bei einem Verstoß?

Die Aufsichtsbehörde kann Geldbußen verhängen. Für Verstöße gegen die Pflichten der Verantwortlichen nach den Artikeln 25 bis 39, darunter Sicherheit (Art. 32), Verzeichnis (Art. 30), Auftragsverarbeitung (Art. 28) und Meldung (Art. 33), beträgt der Rahmen bis zu 10.000.000 Euro oder bei einem Unternehmen bis zu 2 Prozent des weltweiten Jahresumsatzes des Vorjahres (Art. 83 Abs. 4 Buchst. a). Für Verstöße gegen die Grundsätze der Verarbeitung einschließlich der Einwilligung (Art. 5, 6, 7, 9) und gegen die Betroffenenrechte (Art. 12 bis 22) beträgt er bis zu 20.000.000 Euro oder bis zu 4 Prozent (Art. 83 Abs. 5 Buchst. a und b); es gilt jeweils der höhere Betrag. Das sind Obergrenzen; die Höhe im Einzelfall richtet sich nach Art, Schwere, Dauer und weiteren Umständen (Art. 83 Abs. 2).

Checkliste für Ihren Betrieb

• Listen Sie auf, welche Personenangaben Ihre Kasse erfasst: E-Mail für den E-Bon, Kundenkonto, Kundenkarte, Bedienerkennung, Zahlungsdaten.
• Legen Sie für jeden Zweck die Rechtsgrundlage fest und halten Sie sie schriftlich fest.
• Prüfen Sie, ob Ihre Hinweise bei der Erhebung die Angaben des Art. 13 Abs. 1 und 2 enthalten.
• Trennen Sie den Zweck „Beleg senden“ vom Zweck Werbung; für Werbung per E-Mail gilt § 7 UWG.
• Klären Sie, ob Ihr Kassenanbieter in Ihrem Auftrag verarbeitet, und schließen Sie gegebenenfalls den Vertrag nach Art. 28 Abs. 3.
• Legen Sie Löschfristen je Datenart fest und trennen Sie Daten mit Aufbewahrungspflicht von Daten ohne.
• Richten Sie einen Ablauf für Auskunfts- und Löschanfragen ein: Eingang, Prüfung, Antwort binnen eines Monats.
• Führen Sie das Verzeichnis nach Art. 30, wenn die Ausnahme in Abs. 5 für Sie nicht gilt.
• Zählen Sie, ob Sie die 20-Personen-Grenze des § 38 BDSG erreichen.
• Legen Sie fest, wer eine Datenpanne meldet: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko für die Betroffenen nicht auszuschließen ist (Art. 33 Abs. 1).