Kundenbewertungen enthalten fast immer personenbezogene Daten: einen Namen, eine E-Mail-Adresse, manchmal Details zum Auftrag. Wer sie einholt, ist datenschutzrechtlich verantwortlich, auch wenn die technische Umsetzung über einen externen Dienst läuft.
Die wichtigsten Punkte im Überblick
- Rechtsgrundlage ist in der Regel das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO), eine Einwilligung ist zusätzlich sinnvoll für die Veröffentlichung
- Double-Opt-in bestätigt, dass die angegebene E-Mail-Adresse wirklich zur bewertenden Person gehört
- Eine Löschfrist für unbestätigte Einreichungen gehört in die Datenschutzerklärung, üblich sind 30 Tage
- Wird ein externer Dienst genutzt, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
- Betroffene müssen ihre Bewertung jederzeit widerrufen oder löschen lassen können
Warum der AVV kein Formalitäts-Kram ist
Sobald eine Firma Kundendaten über einen externen Dienst verarbeiten lässt, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag, unabhängig vom Preis des Dienstes. Er muss aber nicht unterschrieben oder hochgeladen werden: Art. 28 Abs. 9 DSGVO erlaubt die elektronische Form. Bei Echtstimmen reicht die Bestätigung beim Eintragen, der Vertragstext bleibt dauerhaft abrufbar.
Ein sauberer Ablauf von der Anfrage bis zur Veröffentlichung
Bewährt hat sich: Anfrage direkt nach Abschluss eines Projekts oder einer Rechnung, ein kurzes Formular mit offenen Fragen statt vorgefertigten Texten, Bestätigung per E-Mail, automatische Prüfung nach neutralen Kriterien und ein offener Meldeweg für den Fall, dass doch etwas gegen die Regeln verstößt.
Häufige Fragen
Brauche ich für Kundenbewertungen eine Einwilligung?
Für die reine Bewertung genügt meist das berechtigte Interesse. Für die Veröffentlichung inklusive Name empfiehlt sich zusätzlich eine ausdrückliche Zustimmung, die im Bewertungsformular direkt eingeholt wird.
Reicht ein Link im Footer als Auftragsverarbeitungsvertrag?
Nur in Kombination mit einer aktiven Bestätigung beim Vertragsschluss, zum Beispiel einer Checkbox bei der Registrierung. Ein reiner Footer-Link ohne diese Bestätigung reicht als Nachweis nicht aus.