Jonas Müller, Produktentwicklung, RegioScoutWer einen Lead kauft und den Eigentümer anruft, verarbeitet personenbezogene Daten in eigener Verantwortung. Der Anbieter liefert die Einwilligung, aber die Pflichten des Anrufers bleiben beim Anrufer. Diese Seite beschreibt, was ein Fachbetrieb vor dem ersten Anruf prüfen sollte, wie das bei RegioScout-Anfragen geregelt ist und wo die Grenzen der Zusicherungen liegen.
Wer ist Verantwortlicher?
Beide. RegioScout und Ihr Betrieb sind für die übermittelten Daten jeweils eigenständig Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. RegioScout erhebt die Daten und gibt sie mit Einwilligung des Eigentümers weiter; Ihr Betrieb verarbeitet sie ab Erhalt in eigener Verantwortung und zu eigenen Zwecken. Es liegt keine Auftragsverarbeitung vor, deshalb ist auch kein Auftragsverarbeitungsvertrag nötig.
Praktisch bedeutet das: Was Sie mit dem Datensatz tun, verantworten Sie. Die Einwilligung, die RegioScout eingeholt hat, deckt bestimmte Zwecke; darüber hinaus gehen Sie nicht.
Welche Einwilligung liegt vor?
RegioScout versichert für jede Anfrage eine ausdrückliche, informierte und dokumentierte Einwilligung des Eigentümers. Sie umfasst zwei Punkte:
- Weitergabe der Daten an Partnerbetriebe zum Zweck der Beratung und Angebotserstellung im Bereich erneuerbarer Energien (Art. 6 Abs. 1 lit. a DSGVO).
- Kontaktaufnahme per Telefon und E-Mail zu Werbe- und Beratungszwecken, also die vorherige ausdrückliche Einwilligung nach § 7 Abs. 2 UWG.
Die Einwilligung wird am Tablet des Scouts eingeholt und vom Eigentümer per SMS oder E-Mail bestätigt, mit Zeitstempel. RegioScout bewahrt die Nachweise auf und stellt sie Ihnen auf Anforderung zur Verfügung, ebenso unverzüglich bei behördlichen oder gerichtlichen Anfragen. Fordern Sie den Nachweis an, wenn Sie ihn für Ihre Dokumentation brauchen.
Was Ihr Betrieb prüfen und tun muss
Pflichten des Fachbetriebs vor und nach dem Anruf
- Zweckbindung
- Nutzung nur zur Anbahnung eigener Geschäftsbeziehungen im Bereich erneuerbarer Energien und nur für die Zwecke der Einwilligung
- Keine Weitergabe
- kein Weiterverkauf, kein Verleihen, keine Weitergabe an Dritte; eigene Mitarbeiter sind auf Vertraulichkeit und Datenschutz zu verpflichten
- Informationspflichten
- Art. 13/14 DSGVO gegenüber dem Eigentümer erfüllen, z. B. im Erstkontakt oder per Datenschutzhinweis
- Erstkontakt
- innerhalb von 48 Stunden nach Erhalt, damit die Einwilligung aktuell bleibt
- Dokumentation
- Verlauf der Kontaktaufnahme so festhalten, dass die Rechtmäßigkeit jederzeit nachweisbar ist (Rechenschaftspflicht)
- Betroffenenrechte
- Widerruf, Widerspruch oder Löschung unverzüglich umsetzen und die Verarbeitung des Datensatzes einstellen
Drei dieser Punkte werden in der Praxis am häufigsten unterschätzt:
- Informationspflichten. Der Eigentümer hat gegenüber RegioScout eingewilligt. Dass nun Ihr Betrieb seine Daten verarbeitet, müssen Sie ihm mitteilen: wer Sie sind, wozu Sie die Daten nutzen, wie lange, und welche Rechte er hat. Ein kurzer Hinweis im Erstgespräch plus ein Link oder Anhang mit Ihren Datenschutzinformationen reicht in der Regel.
- Dokumentation. Notieren Sie Datum, Uhrzeit, Kanal und Ergebnis jedes Kontaktversuchs. Wenn ein Eigentümer sich später beschwert, ist diese Liste Ihr Nachweis.
- Widerruf. Sagt der Eigentümer „Ich möchte nicht mehr kontaktiert werden“, ist das ein Widerruf. Ab diesem Moment darf der Datensatz nicht weiter verarbeitet werden. Informieren Sie RegioScout, damit auch dort der Widerruf vermerkt wird; RegioScout informiert Sie umgekehrt über Widerrufe, die dort eingehen.
Was RegioScout zusichert und was nicht
RegioScout versichert, dass die Daten im Rahmen einer rechtlich zulässigen Erhebung gewonnen wurden, dass für jede Anfrage eine dokumentierte Einwilligung vorliegt und dass die Angaben zum Zeitpunkt der Übermittlung dem aktuellen Erhebungsstand entsprechen. Die Qualifizierungsmerkmale Eigentum, Bedarf und Terminbereitschaft beruhen auf den Angaben des Eigentümers; für deren Richtigkeit im Einzelfall übernimmt RegioScout keine Gewähr.
Fehlt die Einwilligung tatsächlich, ist das ein Reklamationsgrund: innerhalb von sieben Tagen ab Kenntnis, spätestens 30 Tage nach Bereitstellung, mit Gutschrift des Preises bei berechtigter Reklamation. Nutzt ein Betrieb Leads dagegen unter Verstoß gegen DSGVO oder UWG, haftet er dafür selbst, einschließlich behördlicher Bußgelder.
Datenschutzvorfälle
Kommt es auf einer Seite zu einem Datenschutzvorfall, der die andere Seite betrifft, informieren sich RegioScout und Betrieb unverzüglich gegenseitig. Legen Sie intern fest, wer in Ihrem Betrieb diese Meldung entgegennimmt und weiterleitet.
Checkliste für den ersten Monat
- Datenschutzinformation für Erstkontakte formulieren (wer, wozu, wie lange, Rechte).
- Mitarbeiter, die Anfragen bearbeiten, auf Vertraulichkeit und Datenschutz verpflichten.
- Kontaktprotokoll je Anfrage einführen, im CRM oder als Liste.
- Prozess für Widerruf festlegen: Wer stoppt die Verarbeitung, wer informiert RegioScout?
- Einwilligungsnachweise für die ersten Anfragen anfordern und ablegen, um den Prozess einmal durchgespielt zu haben.
Wie die Einwilligung zustande kommt und was RegioScout vor der Übergabe prüft, steht unter Wie RegioScout eine Anfrage qualifiziert.