Kundendaten und Einwilligung im Clienteling: eine Checkliste zu DSGVO und Schweizer nDSG

Clienteling in der EU und der Schweiz muss die DSGVO und das revidierte Schweizer Bundesgesetz über den Datenschutz (nDSG) einhalten. In der Praxis bedeutet das: eine dokumentierte Rechtsgrundlage für jede Nutzung von Kundendaten, die Beachtung von Widersprüchen gegen Werbung und Profiling, eine ausdrückliche Einwilligung, wo das Schweizer Recht sie verlangt, transparente Information bei der Datenerhebung und Messaging-Kanäle unter Kontrolle des Unternehmens. Die folgende Checkliste übersetzt diese Regeln in Schritte für Store-Teams, CRM-Verantwortliche und Compliance.

Dieser Beitrag ist eine redaktionelle Orientierungshilfe, keine Rechtsberatung. Marken sollten ihren Aufbau mit qualifizierten Rechtsberatern bestätigen, insbesondere mit Blick auf nationale Regeln zur elektronischen Werbung, die neben dem Datenschutzrecht gelten.

Welche Gesetze gelten für Clienteling-Daten in Europa und der Schweiz?

Für Geschäfte in der EU und für Kundschaft aus der EU regelt die DSGVO die Verarbeitung von Kundendaten. Für Schweizer Geschäfte und Schweizer Kundschaft gilt das nDSG; es ist am 1. September 2023 in Kraft getreten, gilt nur für Daten natürlicher Personen, hat das Profiling als Rechtsbegriff eingeführt und verlangt Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen. Viele Marken mit Geschäften in beiden Räumen wenden einen gemeinsamen Standard an, der sich in jedem Punkt an der strengeren Regel orientiert.

Wann brauchen Sie eine Einwilligung, und wann genügt ein berechtigtes Interesse?

Nach Erwägungsgrund 47 DSGVO kann die Verarbeitung zum Zweck der Direktwerbung als einem berechtigten Interesse dienend betrachtet werden; die Beurteilung hängt jedoch davon ab, ob die Kundschaft zum Zeitpunkt und im Kontext der Erhebung vernünftigerweise mit der Verarbeitung rechnen kann. Eine Kundin, die im Geschäft kauft und für Quittungen eine E-Mail-Adresse angibt, erwartet nicht unbedingt eine persönliche Kontaktaufnahme über WhatsApp. Separate Regeln zur elektronischen Werbung verlangen für Nachrichten per E-Mail, SMS oder Messaging-App oft eine vorherige Einwilligung, mit begrenzten Ausnahmen für bestehende Kundschaft. Ausdrückliche Opt-ins pro Kanal bereits bei der Erhebung zu erfassen, ist deshalb der robusteste Ansatz.

Lesen Sie auch

KI im Clienteling: Wie Next-Best-Message funktioniert und wo der Datenschutz Grenzen setzt

Wie sieht die Checkliste aus?

1. Daten erfassen: Listen Sie jedes Feld im Kundenbuch auf, einschliesslich Freitextnotizen, und entfernen Sie alles, was Sie nicht brauchen.
2. Zwecke festlegen: Service (Aufträge, Änderungen), Kontaktaufnahme zu Werbezwecken, Analysen und KI-Vorschläge, jeweils mit dokumentierter Rechtsgrundlage.
3. Bei der Erhebung informieren: ein kurzer, klarer Hinweis an der Kasse, in der App und online, der erklärt, was erhoben wird, warum und wie man widersprechen kann.
4. Einwilligung pro Kanal erfassen (E-Mail, SMS, WhatsApp, Telefon) mit Datum, Quelle und Wortlaut, und in der App der Verkaufsberatung sichtbar machen.
5. Widersprüche rasch umsetzen: Eine Kundin oder ein Kunde, die oder der der Werbung widerspricht, muss über alle Kanäle von Werbung und damit verbundenem Profiling ausgeschlossen werden.
6. Besonders schützenswerte Daten in Notizen vermeiden: Gesundheitsangaben (etwa Notizen zu Schwangerschaft oder medizinischen Bedürfnissen), Religion oder ähnliche Angaben erfordern eine ausdrückliche Einwilligung und sollten in der Regel nicht erfasst werden.
7. Profiling beurteilen: Prüfen Sie, ob eine KI-Bewertung von Kundinnen und Kunden nach Schweizer Recht ein Profiling mit hohem Risiko darstellen könnte, und dokumentieren Sie die Beurteilung.
8. Zugriffe steuern: Das Verkaufspersonal sieht seine eigene Kundschaft; Exporte sind eingeschränkt und werden protokolliert.
9. Aufbewahrungsfristen festlegen für inaktive Kundschaft und Daten entsprechend löschen oder anonymisieren.
10. Datenübermittlungen prüfen: Klären Sie, wo die Anbieter von Clienteling und Messaging Daten speichern und welche Garantien für Übermittlungen gelten.
11. Verzeichnis der Bearbeitungstätigkeiten führen und einen Notfallplan für Datenschutzverletzungen bereithalten, der wo nötig die Meldung an die Schweizer Aufsichtsbehörde umfasst.
12. Personal schulen: was notiert werden soll, was nicht und wie auf Anfragen der Kundschaft zu reagieren ist.

Was gilt für private Telefone und Messaging-Apps des Verkaufspersonals?

Viele Verkaufsberaterinnen und Verkaufsberater schreiben Top-Kundinnen und -Kunden von ihren eigenen Telefonen aus. Das schafft drei Probleme: Die Marke kann weder Einwilligungen nachweisen noch Auskunftsbegehren beantworten, Kundenbeziehungen verlassen das Unternehmen mit der Verkaufsberatung, und Daten werden womöglich an Orten gespeichert, die die Marke nicht kontrolliert. Geschäftliche Messaging-Konten oder integrierte Clienteling-Tools, die Gespräche protokollieren, lösen das meiste davon. Wo private Geräte unvermeidbar sind, ist eine klare Regelung zu Trennung, Aufbewahrung und Übergabe beim Austritt von Mitarbeitenden das Minimum.

Wie sollte mit KI-Profiling umgegangen werden?

KI-Vorschläge dazu, welche Kundinnen und Kunden kontaktiert und was ihnen angeboten werden soll, sind eine Form von Profiling. Nach Artikel 21 DSGVO können Kundinnen und Kunden der Direktwerbung jederzeit widersprechen, auch dem damit verbundenen Profiling, und ihre Daten dürfen dann nicht mehr für diesen Zweck verarbeitet werden. Artikel 22 DSGVO ergänzt das Recht, keiner ausschliesslich auf automatisierter Verarbeitung beruhenden Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden; das ist relevant, wenn ein System Kundinnen und Kunden automatisch von Angeboten ausschliesst oder individuelle Preise festlegt. Sinnvolle Schutzmassnahmen sind, die Verkaufsberatung als Entscheidungsinstanz zu belassen, die Logik in verständlicher Sprache zu dokumentieren und Kundschaft, die widersprochen hat, von der Bewertung auszuschliessen.

Lesen Sie auch

Wie wird KI in stationären Modegeschäften eingesetzt?

Welche Dokumentation sollten Sie führen?

• Ein Verzeichnis der Bearbeitungstätigkeiten, das Clienteling abdeckt, sofern keine Ausnahme für kleine Bearbeitungen mit geringem Risiko greift.
• Einwilligungsprotokolle pro Kundin oder Kunde und Kanal, einschliesslich Widerrufen.
• Datenschutz-Folgenabschätzungen für KI-Profiling oder umfangreiche Bearbeitungen mit hohen Risiken.
• Verträge mit Anbietern von Clienteling, CRM und Messaging, einschliesslich Garantien für Datenübermittlungen.
• Ein Protokoll der Auskunftsbegehren und Widersprüche und wie sie behandelt wurden.