FAQ zur Nutzung von Daten

Die DSGVO regelt den Umgang mit personenbezogenen Daten. Juristische Personen sind grundsätzlich nicht betroffen. Personenbezogene Daten sind nicht nur Daten, die den Namen einer Person enthalten, sondern auch pseudonymisierte Daten und ähnliche Informationen, die zwar auf den ersten Blick verschlüsselt sind, die von der verarbeitenden Stelle aber einer Person (wieder) zugeordnet werden können. Typische Beispiele dafür sind Kundennummern, Kreditkartennummern oder Online- und Gerätekennungen (IP-Adressen, Cookie-IDs).

Ja, dem Geltungsbereich der DSGVO unterliegen sowohl die in der EU niedergelassenen Unternehmen als auch diejenigen, die zwar in einem Drittland ansässig sind, aber gleichwohl gegenüber EU-Bürgern ihre Dienste anbieten oder Daten von EU-Bürgern verarbeiten. Ein Geschäftssitz der datenverarbeitenden Stelle im Ausland schützt mithin nicht (mehr) vor der Anwendbarkeit europäischen Datenschutzrechts.

An den Nutzungsrechten bereits bezogener Daten ändert sich nichts. Diese richten sich unverändert nach dem zwischen Ihnen und Dun & Bradstreet über die betreffende Datenlieferung geschlossenen Bezugsvertrag. Auch die allgemeinen Vorgaben des Wettbewerbsrechts für zulässige Direktwerbung bleiben vom Wirksamwerden der DSGVO unberührt. Mit Blick auf den Datenschutz sollten Sie allerdings insbesondere überprüfen, ob die Dokumentation Ihrer Datenverarbeitungsprozesse auf dem neuesten Stand ist und Sie etwaige Betroffenenrechte (beispielsweise Auskunfts und Beschränkungsrechte) ordnungsgemäß erfüllen können. Der Anpassungsaufwand an das neue Recht wird dabei in der Regel um so geringer ausfallen, je mehr Sie diese Dinge auch in der Vergangenheit bereits im Fokus hatten. Denn die Kernprinzipien der DSGVO sind in weiten Teilen nicht neu, sondern eine Fortschreibung der aus dem alten BDSG bekannten Regeln.

Sorgen Sie für eine funktionierende Datenschutzorganisation, die sicherstellt, dass die gesetzlichen Pflichten nicht nur bekannt sind und umgesetzt werden, sondern dass Sie das auch gegenüber Dritten nachweisen können.

Sie brauchen in jedem Fall einen vollständigen Überblick über alle Vorgänge, in denen Sie personenbezogene Daten verarbeiten. Diese Verfahrensübersicht ist fortlaufend aktuell zu halten. Denken Sie daran, sich über die Rechtsgrundlagen Ihrer Verarbeitungsprozesse zu vergewissern. Darüber hinaus sollten Sie strukturierte Prozesse zur Erfüllung von Informations- und Auskunftspflichten etablieren sowie zum Umgang mit den Rechten und Anliegen Betroffener. Schaffen Sie Bewusstsein für den Datenschutz. Trainieren Sie Ihre Mitarbeiter in Bezug auf die Einhaltung Ihrer technischen und organisatorischen Schutzvorkehrungen. Prüfen Sie Ihre Dienstleister und geben Sie Ihre Daten nur in zuverlässige Hände.

Ja, durchaus. Das Datenschutzrecht unterscheidet nicht zwischen Verbrauchern und Unternehmern. Es gilt für die Verarbeitung personenbezogener Daten und damit auch dann, wenn die betreffende Personeninformation im Zusammenhang mit einer beruflichen Tätigkeit steht. Reine Geschäftsadressen und Unternehmensinformationen ohne Personenbezug wie etwa Branchenangaben oder Umsatzzahlen bleiben von den Anforderungen des Datenschutzrechts natürlich unbehelligt. Informationen zur geschäftlichen Tätigkeit oder zur geschäftlichen Funktion einer Person (wie sie als Ansprechpartner der ersten und zweiten Führungsebene in der „D&B Firmendatenbank“ enthalten sind) unterfallen dagegen grundsätzlich dem Datenschutzrecht, sind aber in der Regel als weitaus weniger schutzwürdig einzustufen als Informationen über Private. Das ergibt sich daraus, dass die geschäftsbezogenen Informationen häufig öffentlich zugänglich sind (beispielsweise im Handelsregister) oder von den Betroffenen selbst öffentlich gemacht wurden (beispielsweise uns gegenüber in Telefoninterviews oder für die Allgemeinheit auf den Internetseiten des betreffenden Unternehmens).

Nein, ist es nicht. Wenn Sie keine Vertragsbeziehung mit dem Werbeadressaten und erst recht keine Einwilligung von ihm haben, bleibt als mögliche Rechtsgrundlage für Ihre Direktmarketingabsichten immer noch das „berechtigte Interesse“ im Sinn von Artikel 6 Absatz 1f DSGVO. Wie die Abwägung im konkreten Fall ausgeht, hängt erneut von den spezifischen Umständen ab. Eigene Werbezwecke (und spiegelbildlich dazu auch die Datenverarbeitung und Übermittlung durch den Adresshandel) sind grundsätzlich legitime Anliegen. Denn die kommerzielle Kommunikation ist unter anderem als Bestandteil der unternehmerischen Freiheit anzusehen. Gebremst werden diese Interessen durch die Erwartungen der betroffenen Werbeadressaten. Je weniger intensiv der Eingriff in die Schutzinteressen der Betroffenen ist (beispielsweise, indem Sie auf unnötige Datenfelder und die Nutzung sensibler Daten bei der werblichen Verarbeitung verzichten) und je transparenter Sie Ihre Datenverarbeitungsvorgänge machen (beispielsweise durch Bereitstellung umfassender Datenschutzinformationen), desto mehr wird Ihre Werbung im Einklang mit den Erwartungen des Betroffenen stehen. Anders ausgedrückt: Je ausgewogener Sie den Rahmen Ihrer werblichen Datenverarbeitungsprozesse abstecken, desto sicherer können Sie sich auf Artikel 6 Absatz 1f DSGVO als Rechtsgrundlage für die Nutzung der Daten berufen.

Egal was Sie vorhaben, Sie müssen für den Umgang mit personenbezogenen Daten immer eine Erlaubnisgrundlage aus Artikel 6 DSGVO belegen können. Das kann eine Einwilligung sein (Artikel 6 Absatz 1a DSGVO), diese ist aber nicht die einzige Möglichkeit, die Datenverarbeitung auf erlaubte Füße zu stellen. Wenn keine Einwilligung der zu bewerbenden Person vorliegt, ist die Datenverarbeitung zulässig, wenn sie zur Abwicklung Ihrer Geschäftsbeziehung erforderlich ist (Artikel 6 Absatz 1b DSGVO) oder wenn Sie sich auf ein berechtigtes Interesse berufen können (Artikel 6 Absatz 1f DSGVO). Wie das zu bewerten ist, hängt wiederum von Ihren konkreten betrieblichen Umständen ab. Der Begriff der „Erforderlichkeit“ macht dabei deutlich, dass der Gesetzgeber zwar keine uferlose Datenverarbeitung gestatten wollte – auch dann nicht, wenn Sie mit dem Adressaten der Werbung vertraglich verbunden sind. Ein Totalverbot spricht er aber auch nicht aus. Wenn Daten zur Katalog- oder Prospektanforderung oder zur Erstellung eines individualisierten Angebots überlassen werden, ist dagegen kaum etwas einzuwenden. Dasselbe gilt für das Einpflegen Ihrer Kundendaten in ein Customer-Relationship-Managementsystem. Solche Prozesse der Bestandskundenpflege dürften heute als üblich und damit als für die Geschäftsabwicklung „erforderlich“ anzusehen sein, so dass Artikel 6 Absatz 1b DSGVO eine taugliche Rechtsgrundlage ist. Verlassen Sie mit Ihren Datenverarbeitungsabsichten aber den engeren Zusammenhang mit der Vertragsbeziehung und streben Sie beispielsweise Kundenprofilbildungen oder die Speicherung bestimmter Vorlieben an, sollten Sie dies besser auf Basis einer Einwilligung tun. Merkregel: Je weiter Sie sich vom eigentlichen Geschäftsinhalt mit ihrer Kampagne entfernen, desto schwieriger wird es, die rechtliche Erforderlichkeit zu begründen.

Nein, ein generelles Verbot enthält die DSGVO nicht. Solange kein Widerspruch vorliegt, spricht gemäß Artikel 22 Absatz 1 DSGVO nichts dagegen, einen Datenbestand vor einer Werbeaktion nach bestimmten Kriterien zu filtern, um die Effektivität der Aktion zu erhöhen und unnötige Streuverluste so gering wie möglich zu halten. Das Gesetz will den Betroffenen in erster Linie die Möglichkeit geben, sich gegen automatische Entscheidungsprozesse zu wehren, die einen Nachteil oder eine rechtliche Wirkung mit sich bringen. Wenn das Werbescoring aber nur dazu führt, dass jemand von einer Werbeaktion ausgenommen wird, hat das weder eine rechtliche Wirkung und kann auch kaum als „Nachteil“ bezeichnet werden, weil insoweit ja gerade keine Daten verarbeitet werden – was aus datenschutzrechtlicher Sicht eher als Vorteil gelten muss.

Ja, denn rechtlich gesehen findet bei Ihnen, wenn sie Marketingdaten bei uns einkaufen und selbst (oder durch einen beauftragten Direktmarketing Dienstleister) nutzen, eine „Datenerhebung“ statt. Für die Fälle der Datenerhebung schreibt das Gesetz aus Gründen der Verarbeitungstransparenz eine Benachrichtigungspflicht vor, damit die betroffenen Personen nachvollziehen können, wer und warum welche Daten über sie nutzt. Wir empfehlen zu prüfen, ob sich die notwendigen Informationen in Ihre Werbeschreiben integrieren lassen, um sich separaten Benachrichtigungsaufwand zu sparen. Einzelheiten zur Art und Weise und zum Inhalt der Benachrichtigung finden Sie in Artikel 12 und 14 DSGVO.

Im Grundsatz schon, denn eine besondere vorherige Einwilligung ist nicht für alle Werbeformen und Medien erforderlich, aber beispielsweise dann, wenn Sie den Kontakt „elektronisch“, das heißt per E-Mail, Telefon oder Telefax, herstellen wollen. Auf dem Postweg versandte Werbesendungen sind nicht von der vorherigen Zustimmung abhängig. Das ist aber keine Frage des Datenschutzrechts, sondern sonstiger rechtlicher Rahmenbedingungen wie dem Gesetz gegen den unlauteren Wettbewerb (UWG), die Sie als Werbetreibender wie gehabt separat zu beachten haben.

Eine Einwilligung bezogen auf Ihre konkrete Werbung („Opt-in“) können die D&B-Daten naturgemäß nicht enthalten, weil Sie als späterer Nutzer zum Zeitpunkt der Datenerhebung ja noch gar nicht bekannt waren.

Ja, Zahlungserfahrungspools wie das Dun & Bradstreet DUN Trade® Programm werden durch die Neuregelung des Datenschutzes nicht berührt. Das berechtigte Interesse, das als Erlaubnisgrund für die Verarbeitung und Nutzung von Bonitätsinformationen anerkannt ist, erstreckt sich auch auf den Betrieb von Zahlungserfahrungspools und ähnliche Warndateien, weil ohne sie aussagekräftige Bonitätseinschätzungen nur schwer möglich wären. Für unser DUN Trade Programm verarbeiten wir heute wie in Zukunft personenbezogene Zahlungsdaten nur dann, wenn uns die einmeldenden Vertragspartner entweder die Einwilligung der Betroffenen bestätigen oder sie uns ausschließlich solche Zahlungserfahrungen melden, deren Übermittlung das Gesetz auch ohne besondere Einwilligung zulässt. Die Verarbeitung von Zahlungsdaten zu Unternehmen, bei denen kein Personenbezug hergestellt werden kann, war und ist dagegen datenschutzrechtlich unkritisch.

Ja, unsere Kreditinformationsprodukte enthalten Risikoeinschätzungen zur Bonitätsbewertung, die als Rangeinstufung auf einer bestimmten Skala ausgewiesen werden („Score“, „Rating“). Datenschutzrechtlich fallen solche Scoringverfahren unter den Begriff des Profiling. Sie unterliegen damit besonderen Voraussetzungen. So dürfen für die Berechnung von Kreditscores ausschließlich anerkannte mathematisch-statistische Verfahren zum Einsatz kommen. Ferner sind Bonitätsbewertungen allein aufgrund von Geodaten verboten. Selbstverständlich berechnen wir unsere Scores unter Beachtung dieser Vorgaben. Sofern Sie Kreditinformationsprodukte bei uns beziehen, denken Sie aber bitte daran, dass eine mathematisch-statistisch ermittelte Bonitätsbewertung – unabhängig davon, ob sie in unserem Produkt als Score, Rating, Kreditempfehlung, Bonitätsindex, etc. bezeichnet wird – keine festgestellte Tatsache ist, sondern lediglich eine auf subjektiven Prognosen beruhende Wahrscheinlichkeitsbeurteilung, die naturgemäß aufgrund des sich fortlaufend ändernden Datenbestands auch nur eine Momentaufnahme sein kann.

Wenn Sie keine ausdrückliche Einwilligung vorliegen haben, die Geschäftsbeziehung mit Ihrem Kunden aber typischerweise Vorleistungen von Ihnen beinhaltet (beispielsweise Lieferung auf Rechnung), ist die Prüfung der Bonitätsverhältnisse als zur Erfüllung des Vertrags erforderlich anzusehen. Diesen Fall regelt Artikel 6 Absatz 1b DSGVO, der damit auch ohne eine ausdrückliche Einwilligung die Rechtsgrundlage dafür wäre, Bonitätsdaten von uns zu beziehen. Selbst wenn sie weder eine Einwilligung haben noch konkrete Vorleistungs- oder Kreditverträge beabsichtigen, besteht in der Regel zu Ihren Gunsten ein berechtigtes Interesse an der Nutzung von Kreditinformationen im Sinn von Artikel 6 Absatz 1f DSGVO. Denn ein funktionierender Markt und der Eigenschutz der Marktteilnehmer sind anerkannte Gründe, um im Rahmen von Geschäftsbeziehungen Daten zur Bonitätsbewertung und Reduzierung von Ausfallrisiken zu nutzen.

Ja, wenn Sie sich dafür auf (mindestens) einen der Erlaubnistatbestände in Artikel 6 DSGVO berufen können. Dazu zählen insbesondere die Einwilligung der betroffenen Person, die Notwendigkeit der Datenverarbeitung zur Vertragsabwicklung oder die Datenverarbeitung aufgrund eines berechtigten Interesses. Möglicherweise lassen Sie sich sowieso schon in Ihren Vertragsformularen unterschreiben, dass Sie auf die Dienste von Auskunfteien zurückgreifen. Dann würde sich die Erlaubnis zum Abruf und zur Nutzung unserer Daten bereits aus dieser Einwilligung gemäß Artikel 6 Absatz 1a DSGVO ergeben.

Fragen zum Datenschutz im Zusammenhang mit diesen Internetseiten oder dem Leistungsangebot von Dun & Bradstreet beantworten wir Ihnen gern. Senden Sie uns einfach eine E-Mail an CustomerService.de@dnb.com. Wenn Sie Ihre gesetzlichen Rechte auf Auskunft, Berichtigung, Löschung oder Sperrung Ihrer Daten geltend machen wollen, wenden Sie sich bitte schriftlich an:

Für Unternehmen & Privatpersonen

Dun & Bradstreet Deutschland GmbH

Kundenservice

Brüsseler Str. 1-3​

60327 Frankfurt am Main

Wir verwenden Ihre Daten nur dann für Werbezwecke, wenn Sie uns dafür eine Einwilligung erteilt haben und ansonsten nur soweit, wie Sie dem Erhalt von Werbung nicht widersprochen haben und eine werbliche Verwendung ohne gesonderte Einwilligung aufgrund der gesetzlichen Vorschriften zulässig ist.

Alle personenbezogenen Daten werden ausschließlich zu dem Zweck verarbeitet, für den sie erhoben wurden. Die bei Nutzung dieser Internetseiten anfallenden Daten werden daher nur dann in den Dun & Bradstreet-Auskunftdatenbestand übernommen, wenn dies gerade der Zweck der entsprechenden Datenerhebung war und Sie Ihre Daten dafür freigegeben haben (beispielsweise durch Nutzung von Selbsteingabefunktionen im Rahmen unserer Datenbankprodukte).