Wer mit Vertriebspartnern Direktwerbung macht, teilt nicht nur Chancen, sondern womöglich auch datenschutzrechtliche Verantwortung. Ob daraus eine gemeinsame Verantwortlichkeit folgt, hängt allerdings nicht vom Etikett des Vertrags ab, sondern davon, wer Zwecke und Mittel der Verarbeitung tatsächlich mitbestimmt.
Handelsvertretermodell zwischen Eigenständigkeit und gemeinsamer Verantwortlichkeit
Unternehmen setzen in der Praxis oft auf Handelsvertreter oder handelsvertreterähnliche Vertriebspartner, die den Erstkontakt herstellen, Kundenbeziehungen pflegen und Abschlüsse vorbereiten. Datenschutzrechtlich liegt die Frage auf der Hand: Verarbeitet der Handelsvertreter die personenbezogenen Daten des Kundenkontakts eigenständig – oder sind Handelsvertreter und Unternehmen gemeinsam Verantwortliche im Sinne des Artikel 26 DSGVO?
Die naheliegende Antwort lautet typischerweise: Der Handelsvertreter handelt selbständig, also ist er auch datenschutzrechtlich eigenständig verantwortlich. Ganz so einfach ist es aber nicht. Gerade im Vertriebsumfeld greift eine isolierte Betrachtung einzelner Verarbeitungsschritte oft zu kurz. Entscheidend ist vielmehr, ob die Beteiligten hinsichtlich ihrer Ziele unabhängig voneinander Daten verarbeiten oder ob die Verarbeitung bei einer Gesamtbetrachtung als zusammenhängende Vorgangsreihe erscheint.
Handelsvertretermodell: typische Rollen, typischer Datenfluss
Das klassische Modell ist schnell beschrieben: Der Handelsvertreter wirbt Kunden, pflegt den Kontakt zu Ansprechpartnern, erhebt Kontaktdaten und weitere Informationen, führt Gespräche und leitet vertriebsrelevante Daten an das Unternehmen weiter. Das Unternehmen nutzt diese Daten anschließend zur Angebotserstellung, Vertragsdurchführung, Kundenverwaltung oder Nachbearbeitung. Häufig erhält der Handelsvertreter umgekehrt Zugriff auf bestimmte Unternehmenssysteme, etwa um Bearbeitungsstände, Bestellungen oder Rabattinformationen einzusehen.
Datenschutzrechtlich sind damit regelmäßig mindestens zwei Akteure im Spiel, die beide personenbezogene Daten verarbeiten. Dass beide jeweils mit denselben Daten zu tun haben, reicht für eine gemeinsame Verantwortlichkeit noch nicht aus. Ebenso wenig führt die bloße wirtschaftliche Zusammenarbeit automatisch in die gemeinsame Verantwortlichkeit. Aber: Es wäre zu kurz gegriffen, nur darauf zu schauen, ob der Handelsvertreter bei der Ansprache frei agiert. Denn die Frage der Verantwortlichkeit entscheidet sich nicht allein daran, wer den Erstkontakt steuert, sondern auch daran, wie die gesamte Datenverarbeitung jeder Partei inhaltlich und zeitlich miteinander verbunden ist.
Die herkömmliche Einordnung: Eigenständigkeit spricht zunächst für getrennte Verantwortlichkeit
Die klassische Argumentation ist bekannt: Der Handelsvertreter ist gerade kein weisungsgebundener Auftragsverarbeiter. Er entscheidet typischerweise selbst, wann er welchen Kunden kontaktiert, wie er die Beziehung beibehält und welche Informationen er für die Kundenbetreuung nutzt. Diese Eigenständigkeit spricht offenkundig gegen eine Auftragsverarbeitung und zunächst auch für eine eigene Verantwortlichkeit des Handelsvertreters.
Auch das Unternehmen ist für die anschließende Verarbeitung in seinen eigenen Systemen – etwa für Vertragsanlage oder die Durchführung des Vertrags – ohne Weiteres selbst Verantwortlicher. Isoliert betrachtet liegt daher zunächst ein klares Bild vor: zwei Verantwortliche, zwei Verarbeitungssphären, also getrennte Verantwortlichkeit.
Wer an dieser Stelle stehen bleibt, macht es sich jedoch zu einfach. Denn die DSGVO fragt funktional danach, wer über Zwecke und Mittel der Verarbeitung entscheidet. Und diese Beurteilung erfolgt nicht schematisch, sondern nach den vorliegenden Umständen des Einzelfalls.
Gesamtbetrachtung statt Mikrosicht: Wann wird aus Einzelvorgängen eine Vorgangsreihe?
Gerade bei arbeitsteiligen Vertriebsmodellen ist daher eine Gesamtbetrachtung der Datenverarbeitung ausschlaggebend. Die maßgebliche Frage lautet dann nicht nur, ob Handelsvertreter und Unternehmen jeweils einzelne Verarbeitungsschritte eigenständig vornehmen. Zu prüfen ist vielmehr, ob diese Verarbeitungsschritte unabhängig nebeneinanderstehen oder ob sie sich bei wertender Betrachtung zu einer zusammenhängenden Vorgangsreihe verbinden.
Eine solche Vorgangsreihe kann vorliegen, wenn die Datenerhebung durch den Handelsvertreter und die anknüpfende Nutzung durch das Unternehmen sachlich und zeitlich aufeinander abgestimmt sind und auf ein gemeinsames vertriebliches Ziel zulaufen – etwa die Anbahnung und der Abschluss von Verträgen sowie die anschließende Kundenbindung. Je stärker die Datenverarbeitung des Handelsvertreters in die Vertriebs- und CRM-Strukturen des Unternehmens integriert ist, desto eher lässt sich argumentieren, dass nicht zwei voneinander unabhängige Verarbeitungen vorliegen, sondern ein abgestimmter Gesamtvorgang.
Das bedeutet nicht, dass jede Kooperation mit einem Handelsvertreter unmittelbar zur gemeinsamen Verantwortlichkeit führt. Es bedeutet aber ebenso wenig, dass die Eigenständigkeit des Handelsvertreters die Anwendung von Artikel 26 DSGVO von vornherein ausschließt. Die Einordnung bleibt eine individuelle Einzelfallfrage.
Praxisbeispiel: Erhebung durch den Handelsvertreter, Weiterverarbeitung durch das Unternehmen
Ein Beispiel macht das Problem greifbarer: Ein Handelsvertreter erhebt bei einem Geschäftskunden die Kontaktdaten des verantwortlichen Einkaufsleiters, notiert Gesprächsinhalte und Bedarfe und gibt diese Informationen an das Unternehmen weiter. Dort werden die Daten in das CRM übertragen, um Vertragsabschlüsse vorzubereiten und spätere Bestellungen abzuwickeln. Der Handelsvertreter erhält wiederum Zugriff auf vertriebsrelevante Informationen im System des Unternehmens, um die Kundenbeziehung weiter zu pflegen und Folgegeschäfte anzubahnen.
Bei isolierter Betrachtung ließe sich sagen: Der Handelsvertreter erhebt Daten für seine vertriebliche Tätigkeit; das Unternehmen verarbeitet sie anschließend für Vertragsdurchführung und Kundenmanagement. Das spräche für getrennte Verantwortlichkeit.
Bei einer Gesamtbetrachtung lässt sich aber auch anders argumentieren: Die Datenerhebung durch den Handelsvertreter ist kein losgelöster Vorgang, sondern gerade funktionaler Bestandteil der späteren Unternehmensverarbeitung. Umgekehrt ist die Verarbeitung im Unternehmen nicht von der vorgelagerten Erhebung zu trennen, sondern baut auf ihr auf und speist sie zurück in die weitere Vertriebsarbeit des Handelsvertreters. Beide Akteure verarbeiten die Daten dann nicht nur nacheinander, sondern als inhaltlich und zeitlich miteinander verbundene Verarbeitungskette mit gemeinsamem übergeordnetem Ziel. In einer solchen Konstellation kann eine gemeinsame Verantwortlichkeit gut vertretbar sein.
Für diese Sicht spricht zudem, dass Artikel 26 DSGVO nach der Rechtsprechung und den Leitlinien des Europäischen Datenschutzausschusses kein starres Gleichordnungsverhältnis verlangt. Nicht jeder Beteiligte muss jeden Verarbeitungsschritt vollständig kontrollieren. Es genügt, dass mehrere Akteure in unterschiedlichen Phasen und mit unterschiedlichem Gewicht an Zweck- und Mittelbestimmung mitwirken.
Was folgt daraus in der Praxis?
Wird die Zusammenarbeit als gemeinsame Verantwortlichkeit eingeordnet, bleiben die Folgen nicht theoretisch. Dann müssen Unternehmen und Handelsvertreter eine Vereinbarung nach Artikel 26 DSGVO schließen.
Wichtig ist: Nicht der Vertrag schafft die Rolle, sondern die tatsächliche Verarbeitung. Fehlt eine erforderliche Art. 26-Vereinbarung, kann dies bußgeldbewehrt sein.
Nicht übersehen werden sollte auch: Der Abschluss einer solchen Vereinbarung ersetzt keine Rechtsgrundlage. Jede Datenverarbeitung beider Akteure benötigt jeweils eine tragfähige datenschutzrechtliche Grundlage.
Keine Schablonenlösung, sondern Einzelfallprüfung mit Gesamtblick
Ob im Handelsvertretermodell getrennte oder gemeinsame Verantwortlichkeit vorliegt, lässt sich nicht mit dem bloßen Hinweis auf die Selbständigkeit des Vertriebspartners beantworten. Maßgeblich ist vielmehr eine Gesamtbetrachtung der Datenverarbeitung: Verarbeiten Handelsvertreter und Unternehmen Daten jeweils unabhängig zur Verfolgung eigener, voneinander gelöster Zwecke? Oder bildet die Verarbeitung – von der Erhebung über die Weitergabe bis zur Nutzung im CRM und in der Vertragsdurchführung – eine zusammenhängende Vorgangsreihe?
Gerade im zweiten Fall ist die Argumentation für eine gemeinsame Verantwortlichkeit naheliegend. Unternehmen sollten deshalb bei Vertriebspartner-Modellen nicht vorschnell von getrennten Verantwortlichkeiten ausgehen, sondern Datenflüsse, Zielbezüge und Systemverzahnungen gewissenhaft analysieren.
