SaaS-Kundendatenbesitz: 7 Schritte zur Nachweisbarkeit der Exportierbarkeit

Inhaltsverzeichnis

• Was Kundendatenbesitz tatsächlich bedeutet
• Rollen und Verantwortlichkeiten: Eigentümer, Verwalter und Aufbewahrer
• Warum Besitz Governance, Analytik und Vertrauen antreibt
• DSGVO, CCPA und CPRA: Was das Gesetz tatsächlich verlangt
• Besitz innerhalb eines SaaS-Vertrags realisieren
• Die Fallen, die den Besitz leise untergraben
• Eine praktische Checkliste zur Durchsetzung des Datenbesitzes
• Wie sich das für Restaurants, die RESTOBOT verwenden, auswirkt
• Datensicherheit und Verantwortlichkeiten bei Verstößen unter Besitz
• Datenmonetarisierung und Teilen mit Dritten: Was Besitz blockiert
• Mit Kunden über die Handhabung ihrer Daten sprechen
• Besitz als Wettbewerbsvorteil, nicht nur als Compliance-Aufgabe
• Behalten Sie den Besitz der Daten Ihres Restaurants mit RESTOBOT
• Primäre Quellen für Regeln zum Datenbesitz
• Quellen
• FAQ

Was Kundendatenbesitz tatsächlich bedeutet

"Eigentum" ist hier ein irreführendes Wort, denn persönliche Daten funktionieren nicht wie ein Fahrzeugtitel. Sowohl im Rahmen der DSGVO als auch des CCPA/CPRA wird Kontrolle durch Rollen ausgedrückt: Ihr Unternehmen ist typischerweise der Verantwortliche, der entscheidet, warum und wie Daten gesammelt werden, während Ihr Softwareanbieter der Auftragsverarbeiter ist, der sie nur gemäß Ihren dokumentierten Anweisungen verarbeitet. Die Aufschlüsselung von DataGrail zu den Rollen des Verantwortlichen und des Auftragsverarbeiters macht die Unterscheidung konkret: Verantwortliche setzen den Zweck fest, Auftragsverarbeiter führen Anweisungen aus, und Verantwortliche bleiben in der Pflicht, die Rechte der Kunden zu wahren.

Diese Unterscheidung ist wichtig, denn sie sagt Ihnen, wer handeln muss, wenn ein Kunde darum bittet, seine Informationen einzusehen, zu korrigieren oder zu löschen. Es ist Ihr Unternehmen, nicht Ihr Anbieter, das diese rechtliche Pflicht trägt. Die Aufgabe Ihres Anbieters ist es, Ihnen die Werkzeuge zur Verfügung zu stellen, um dies zu erfüllen.

Rollen und Verantwortlichkeiten: Eigentümer, Verwalter und Treuhänder

Eigentum klingt einfach, bis drei verschiedene Personen in Ihrem Unternehmen jeweils denken, dass jemand anderes sich darum kümmert. Die Arbeit in drei Rollen aufzuteilen, schließt diese Lücke.

• Dateninhaber: setzt die Richtlinien und hat die letztendliche Autorität. In der Regel ein Geschäftsführer oder Abteilungsleiter, der die Aufbewahrungsrichtlinien festlegt und die Verträge mit Anbietern genehmigt.
• Datenverwalter: verwaltet die Daten im Tagesgeschäft. Definiert, was "Kundenakte" über Systeme hinweg bedeutet, sorgt für Datenqualität und koordiniert die Antworten auf Zugriffsanfragen.
• Datentreuhänder: kümmert sich um die technische Infrastruktur. Konfiguriert Backups, verwaltet die Verschlüsselung und führt die tatsächlichen Datenbankoperationen hinter einem Export oder einer Löschung aus.

Stellen Sie sich eine Restaurantgruppe vor, die drei Standorte mit einem gemeinsamen Reservierungs- und Loyalitätssystem betreibt. Der Geschäftsführer fungiert als Dateninhaber, unterzeichnet die DPA und legt die Aufbewahrungsrichtlinien fest. Ein Betriebsleiter fungiert als Verwalter und bearbeitet die Anfrage eines Gastes, sein Profil zu löschen. Der IT-Dienstleister oder das Support-Team der Plattform spielt den Treuhänder, indem es tatsächlich die Exportdatei zieht oder den Datensatz löscht. Wenn eine dieser Rollen fehlt, stagnieren die Anfragen oder werden inkonsistent bearbeitet.

Warum Eigentum Governance, Analytik und Vertrauen antreibt

Klares Eigentum ist kein Compliance-Checkbox. Es verändert, wie schnell Sie auf eine rechtliche Anfrage reagieren können und wie sehr Sie Ihren eigenen Zahlen vertrauen können.

• Schnellere Erfüllung von DSAR: Wenn jemand den Prozess besitzt, werden Anfragen auf Zugang zu Daten weitergeleitet und gelöst, anstatt zwischen Abteilungen hin und her zu springen.
• Sauberere Analytik: Daten, die Sie vollständig kontrollieren, bleiben über Systeme hinweg konsistent, sodass Ihre Kundenlebensdauer und Abwanderungszahlen nicht stillschweigend brechen, wenn ein Anbieter sein Schema ändert.
• Geringere Anbieter-Risikoexposition: Verträge mit klaren Eigentumsbedingungen reduzieren die Kosten und Störungen beim späteren Wechsel der Plattform.

Datenschutz ist auch zu einem echten Unterscheidungsmerkmal geworden, anstatt eine defensive Haltung einzunehmen. Die Forschung der IAPP zu Datenschutz und Kundenvertrauen hat ergeben, dass Verbraucher zunehmend abwägen, wie ein Unternehmen mit ihren Daten umgeht, bevor sie entscheiden, ob sie weiterhin Geschäfte mit ihm machen. Das verschiebt die Datenverwaltung von einem rechtlichen Kostenpunkt hin zu etwas, das näher an einem Hebel für die Kundenbindung liegt.

DSGVO, CCPA und CPRA: Was das Gesetz tatsächlich verlangt

Zwei regulatorische Rahmenbedingungen prägen die meisten mit Eigentum verbundenen Verpflichtungen, und sie lassen sich nicht sauber aufeinander abbilden. Die richtige Verwendung des Vokabulars ist wichtiger, als die meisten Leitfäden zugeben.

Unter der DSGVO ist Ihr Unternehmen fast immer der Verantwortliche, wenn Sie Kundendaten direkt erheben, auch wenn ein SaaS-Anbieter diese speichert. Die Leitlinien der Europäischen Kommission zu den Rechten von Einzelpersonen listen auf, was Ihre Kunden verlangen können:

• Das Recht auf Zugang zu ihren Daten
• Das Recht auf Berichtigung ungenauer Daten
• Das Recht auf Löschung, manchmal auch als das Recht auf Vergessenwerden bezeichnet
• Das Recht auf Datenübertragbarkeit in einem strukturierten, maschinenlesbaren Format
• Das Recht, die Verarbeitung einzuschränken oder Widerspruch gegen automatisierte Entscheidungen einzulegen

Verantwortliche müssen auf Anfragen von betroffenen Personen ohne unangemessene Verzögerung reagieren, und in jedem Fall innerhalb eines Monats nach Erhalt der Anfrage. Verantwortliche müssen umgehend auf Anfragen von betroffenen Personen reagieren, mit einer allgemein kurzen gesetzlichen Frist.

Das CCPA, erweitert durch das CPRA, funktioniert anders, landet aber im ähnlichen Bereich für kalifornische Bewohner. Die CCPA-Ressourcen des kalifornischen Generalstaatsanwalts bestätigen, dass Verbraucher das Recht haben, zu erfahren, welche Daten gesammelt werden, das Recht, diese zu löschen, und das Recht, dem Verkauf oder der Weitergabe zu widersprechen. Das CPRA fügte ein Recht zur Berichtigung ungenauer Daten hinzu und verschärfte die Einschränkungen für sensible persönliche Informationen wie genaue Standorte oder finanzielle Details. Kein Gesetz verlangt die gleiche einmonatige Frist wie die DSGVO, aber beide erwarten, dass ein Unternehmen innerhalb eines definierten, angemessen kurzen Zeitraums und nicht innerhalb eines unbegrenzten Zeitraums reagiert.

Eigentum im Rahmen eines SaaS-Vertrags realisieren

All dies ist irrelevant, wenn der Vertrag Ihres Anbieters dies nicht unterstützt. Die Datenverarbeitungsvereinbarung, nicht die Marketingseite, ist der Ort, an dem das Eigentum entweder geschützt oder stillschweigend aufgegeben wird.

1. Bestätigen Sie, dass die DPA die wesentlichen Punkte abdeckt. Sie sollte klarstellen, welche Verarbeitung erlaubt ist, Subunternehmer namentlich auflisten, die Löschung oder Rückgabe von Daten am Ende des Vertrags garantieren und Ihnen Prüfungsrechte einräumen, wie in PayPro Globals Zusammenfassung der SaaS-Datenbesitzbedingungen dargelegt.
2. Überprüfen Sie die technischen Garantien. Achten Sie auf dokumentierte APIs, Exportformate, die nicht proprietär sind, Mieterisolierung zwischen Kunden und Verschlüsselung, idealerweise mit vom Kunden verwalteten Schlüsseln.
3. Achten Sie auf vage Monetarisierungssprache. Eine Klausel, die dem Anbieter umfassende Rechte einräumt, um „Dienste zu verbessern“ unter Verwendung Ihrer Daten, ohne den Umfang zu definieren, ist ein Warnsignal, das es wert ist, vor der Unterzeichnung anzusprechen.

Pro-Tipp: *Bitten Sie einen Anbieter um ein Beispiel-Export, bevor Sie irgendetwas unterschreiben, nicht danach. Wenn der Support die Anfrage eskalieren muss oder keine saubere Datei innerhalb eines Tages produzieren kann, sagt das Ihnen mehr über Ihre Zukunft aus als jeder Verkaufsanruf.*

Die Fallen, die das Eigentum heimlich untergraben

Die meisten Eigentumsfehler passieren nicht, weil ein Anbieter in böser Absicht handelt. Sie passieren, weil niemand das Kleingedruckte überprüft oder einen Export getestet hat, bis es zu spät war.

• Undokumentierte Formate machen Exporte nutzlos. Ein Dateidump ohne ein dokumentiertes Schema oder Metadaten ist technisch ein Export, aber praktisch unbrauchbar, da Ihr Team die Bedeutungen der Felder rückentwickeln muss, bevor die Daten wieder etwas bedeuten.
• Vendor-Lock-in versteckt sich in der Bequemlichkeit. Plattformen, die es einfach machen, Daten zu importieren, aber langsam, teuer oder technisch unklar sind, um sie zu exportieren, signalisieren Lock-in, auch wenn keine Klausel dies ausdrücklich sagt.
• Die KI-Training stellt eine separate Einwilligungsfrage. Wenn eine Plattform aggregierte Kundendaten verwendet, um Modelle zu trainieren oder die Aufzeichnungen anderer Mieter anzureichern, kann der wirtschaftliche Wert dieser Daten vom Unternehmen, das sie erzeugt hat, abdriften, auch wenn die vertraglichen Eigentumsbedingungen auf dem Papier intakt bleiben. Fordern Sie eine ausdrückliche Opt-in-Formulierung, bevor Ihre Daten in das Modell eines anderen fließen.

Testen Sie frühzeitig auf Lock-in, anstatt es einfach anzunehmen. Fordern Sie während Ihrer Testphase einen vollständigen Export an, nicht sechs Monate nach Vertragsbeginn, wenn die Wechselkosten bereits angefallen sind.

Eine Arbeitscheckliste zur Durchsetzung des Datenbesitzes

Den Besitz von einem rechtlichen Konzept in die tägliche Praxis umzuwandeln, erfordert koordinierte Maßnahmen über Verträge, Systeme und Personen hinweg. Arbeiten Sie der Reihe nach durch.

1. Lassen Sie die DPA unterschreiben und lesen Sie sie vollständig, um die Rückgabe- und Löschbedingungen, die Transparenz der Unterauftragnehmer und die Prüfungsrechte zu bestätigen, bevor Daten in die Plattform fließen.
2. Führen Sie einen Exporttest während der Einarbeitung durch, nicht nachdem ein Streit beginnt. Ziehen Sie einen Musterkundenbericht und bestätigen Sie, dass die Datei vollständig, strukturiert und ohne Hilfe des Anbieters nutzbar ist.
3. Fordern Sie nicht proprietäre Formate. CSV, JSON oder ein anderer dokumentierter Standard schlägt jede Zeit eine anbieter-spezifische Binärdatei.
4. Überprüfen Sie die Verschlüsselung und Schlüsselkontrolle. Fragen Sie, ob Sie Ihre eigenen Verschlüsselungsschlüssel verwalten können oder ob der Anbieter die alleinige Aufsicht hat.
5. Weisen Sie die drei Rollen ausdrücklich zu. Benennen Sie einen Datenbesitzer, einen Verwalter und einen Aufbewahrer schriftlich, selbst in einem kleinen Betrieb, in dem eine Person zwei Hüte trägt.
6. Planen Sie regelmäßige Exporttests. Anbieter aktualisieren ständig Schemas und Funktionen; ein Export, der bei der Anmeldung funktionierte, kann ein Jahr später stillschweigend fehlschlagen.
7. Dokumentieren Sie Ihre eigenen Schemas und Metadaten. Wissen Sie, was jedes Feld in Ihrer Kundendatenbank bedeutet, damit ein Export am Tag, an dem Sie ihn benötigen, sinnvoll ist, und nicht nur am Tag, an dem Sie ihn erstellt haben.

Pro-Tipp: *Behandeln Sie den Exporttest wie eine Feuerübung. Machen Sie es einmal im Jahr, auch wenn Sie nie planen, die Plattform zu wechseln, denn das erste Mal, dass Sie tatsächlich einen sauberen Export benötigen, ist normalerweise der schlechteste Zeitpunkt, um zu entdecken, dass das Format kaputt ist.*

Wie sich das für Restaurants, die RESTOBOT verwenden, auswirkt

Restaurantbetreiber stehen genau vor dieser Eigentumsfrage, jedes Mal, wenn sie eine Liefer-App, ein Treueprogramm oder ein Reservierungstool zu ihrem Stack hinzufügen. RESTOBOT wurde entwickelt, um diese Kontrolle beim Betreiber und nicht bei der Plattform zu halten.

• Nullprovision auf Bestellungen bedeutet, dass der Umsatzfluss transparent bleibt, ohne dass ein Anteil von den Transaktionsdaten, die mit jedem Verkauf verbunden sind, abgezogen wird.
• Sofortige Website-Erstellung nach Genehmigung bietet Betreibern innerhalb eines Tages eine funktionierende Export- und Testumgebung, nicht Wochen des Onboarding-Limbo.
• Die Tipps-Funktion leitet Tippdaten und Auszahlungen direkt an die einzelnen Mitarbeiterkonten weiter, was bedeutet, dass die Tippgeschichte eines Arbeitnehmers zu ihm gehört, unabhängig davon, ob das Restaurant selbst RESTOBOT verwendet.
• Ein Abonnementmodell, anstelle eines pro Bestellung abgezogenen Anteils, beseitigt den Anreiz für einen Anbieter, Kundendaten stillschweigend zu monetarisieren, um dünne Margen auszugleichen.

Wenn Sie eine Restaurantplattform bewerten, einschließlich dieser, fordern Sie die DPA an und ziehen Sie einen einzelnen Kundendatenexport, bevor Ihre Testphase endet. Dieser eine Test sagt Ihnen mehr als jede Funktionsliste.

Datensicherheit und Verantwortlichkeiten bei Verstößen unter Eigentum

Eigentum und Sicherheitsverantwortung gehen Hand in Hand, auch wenn die beiden getrennt diskutiert werden. Als Verantwortlicher trägt Ihr Unternehmen in der Regel die rechtliche Pflicht, betroffene Kunden und Aufsichtsbehörden nach einem Verstoß zu benachrichtigen, unabhängig davon, ob der Verstoß in Ihren eigenen Systemen oder in der Infrastruktur Ihres Anbieters stattgefunden hat.

Das bedeutet, dass Ihre Anbieterauswahl eine Sicherheitsentscheidung ist, nicht nur eine Funktionsentscheidung. Die schwache Verschlüsselung eines Prozessors, schlechte Mieterisolierung oder nachlässige Prüfung von Unterauftragnehmern werden zu Ihrer Haftung, sobald Kundendaten durchsickern. Ihre DPA sollte festlegen, wie schnell ein Anbieter Sie über einen vermuteten Verstoß informieren muss, da Ihre eigene regulatorische Frist oft beginnt, sobald Sie davon Kenntnis erlangen, nicht wenn der Anbieter es Ihnen mitteilt.

Die Mieterisolierung verdient besondere Aufmerksamkeit in Multi-Restaurant- oder Franchise-Setups. Wenn die Daten eines Standorts nicht ordnungsgemäß von einem anderen innerhalb einer gemeinsamen Plattform abgeschottet sind, kann ein Verstoß an einem Standort Kunden exponieren, die nie mit dem kompromittierten Standort interagiert haben. Fragen Sie Anbieter direkt, wie Kundendaten segmentiert sind, und akzeptieren Sie "alles ist verschlüsselt" nicht als vollständige Antwort. Verschlüsselung schützt Daten während der Übertragung und im Ruhezustand; sie ersetzt nicht die logische Trennung zwischen Kunden, die sich eine Infrastruktur teilen.

Audit-Protokolle sind auch hier wichtig. Wenn Sie nicht sehen können, wer auf einen Kundenrekord zugegriffen hat und wann, können Sie einen Verstoß nicht ordnungsgemäß untersuchen, und Sie können einem Regulierer nicht nachweisen, dass Sie angemessene Sorgfalt walten ließen. Drängen Sie auf Audit-Protokollierung als Standardfunktion, nicht als Unternehmens-Upgrade.

Datenmonetarisierung und Drittanbieterweitergabe: Was Eigentum blockiert

Klare Eigentumsbedingungen existieren teilweise, um zu verhindern, dass Ihre Kundendaten ohne Ihr Wissen zu einem Produkt eines anderen werden. Vage Vertragsformulierungen zu "Serviceverbesserung" oder "aggregierten Erkenntnissen" verbergen oft die Tür, durch die ein Anbieter Daten monetarisiert, von denen Sie annahmen, dass sie nur Ihnen gehören.

Das praktische Risiko zeigt sich auf zwei Arten. Erstens könnte ein Anbieter aggregierte Kundenverhalten an Dritte verkaufen oder teilen, technisch anonymisiert, aber dennoch aus den spezifischen Kundenbeziehungen Ihres Unternehmens aufgebaut. Zweitens könnte ein Anbieter Ihre Daten nutzen, um Modelle zu trainieren, die Wettbewerbern zugutekommen, die dieselbe Plattform nutzen, und dabei stillschweigend den Wert, den Ihr Unternehmen generiert hat, in einen gemeinsamen Pool übertragen, aus dem jeder andere schöpfen kann.

Keines dieser Szenarien erfordert Böswilligkeit. Die meisten Anbieter, die Daten auf diese Weise monetarisieren, glauben, dass sie das Produkt für alle verbessern. Aber dieser Glaube ändert nichts an der Tatsache, dass die Informationen Ihrer Kunden und der Wettbewerbsvorteil, den sie darstellen, Ihre Kontrolle verlassen, ohne dass eine klare Zustimmung vorliegt.

Die Lösung ist vertragliche Spezifität. Ihre DPA und die Nutzungsbedingungen sollten ausdrücklich angeben, ob Kundendaten für etwas anderes verwendet werden können, als um den Service zu liefern, für den Sie bezahlen, und wenn ja, was genau und unter welchen Zustimmungskonditionen. Stille in einem Vertrag begünstigt fast immer den Anbieter, nicht Sie.

Mit Kunden über den Umgang mit ihren Daten sprechen

Eigentum ist nicht nur eine interne Governance-Frage. Kunden möchten zunehmend wissen, was mit ihren Informationen passiert, und Unternehmen, die klar darüber kommunizieren, haben tendenziell weniger Reibung, wenn eine Datenanfrage schließlich eingeht.

Halten Sie Datenschutzrichtlinien in einfacher Sprache verfasst, anstatt in dichtem juristischen Fachjargon, den Kunden überfliegen. Geben Sie einfach an, welche Daten Sie sammeln, warum und wer diese in Ihrem Auftrag verarbeiten könnte. Wenn ein Kunde eine Anfrage stellt, sei es, um seine Daten einzusehen oder Sie zu bitten, diese zu löschen, bestätigen Sie den Eingang schnell und geben Sie ihm einen realistischen Zeitrahmen, auch wenn Ihre rechtliche Frist länger ist.

Transparenz über Anbieterbeziehungen hilft ebenfalls. Wenn ein Treueprogramm über eine Drittanbieterplattform läuft oder die Lieferkoordination über einen externen Kurierdienst erfolgt, schätzen es die Kunden in der Regel, dies im Voraus zu wissen, anstatt es in einem Anhang zur Datenschutzrichtlinie zu entdecken. Diese Art von Klarheit baut das Vertrauen auf, das die Forschung der IAPP mit der Kundenbindung in Verbindung bringt, und reduziert die Anzahl verwirrter oder frustrierter Anfragen, die Ihr Team später entwirren muss.

Eigentum als Wettbewerbsvorteil, nicht nur als Compliance-Aufgabe

Die meisten Unternehmen betrachten den Datenbesitz als defensive Verpflichtung, etwas, das zu erledigen ist, damit die Rechtsabteilung keinen Anruf von einem Regulierer erhält. Diese Sichtweise unterschätzt, was tatsächlich auf dem Spiel steht. Ein Unternehmen, das seine Kundendaten wirklich kontrolliert, kann schneller handeln: Anbieter ohne Migrationskrise wechseln, neue Analysen starten, ohne auf den Fahrplan einer Plattform warten zu müssen, und auf eine Kundenanfrage innerhalb von Stunden anstatt von Wochen reagieren.

Die Unternehmen, die dies falsch angehen, brechen in der Regel nicht das Gesetz. Sie lassen Wert auf dem Tisch liegen, indem sie nie testen, ob ihre „Eigentums“-Ansprüche außerhalb eines Verkaufsvertrags standhalten. Ein Exporttest kostet einen Nachmittag. Herauszufinden, dass Ihre Daten während eines Anbieterstreits funktional gesperrt sind, kostet Monate.

Behandeln Sie die Bedingungen des Datenbesitzes als bewerteten Posten in jeder Anbieterbewertung, direkt neben Preis und Funktionsumfang. Wenn eine Plattform auf Anfrage keinen sauberen Export bereitstellen kann, sagt Ihnen das etwas, das keine Demo vermitteln kann.

*— ADMIN*

Behalten Sie das Eigentum an den Daten Ihres Restaurants mit RESTOBOT

Die meisten Restaurantplattformen behandeln Ihre Kundenliste als Hebel, um Sie festzuhalten. RESTOBOT funktioniert anders: keine Provision auf Bestellungen, ein Abonnementmodell anstelle eines Anteils an Ihrem Umsatz und eine Website, die innerhalb eines Tages nach Genehmigung live ist, damit Sie Exporte testen können, bevor Sie tief in einen Vertrag eintauchen. Die Funktion "Tipps" geht noch weiter und gibt einzelnen Mitarbeitern das direkte Eigentum an ihrer eigenen Tipp-Historie und Auszahlungen, unabhängig davon, ob ihr Restaurant die Plattform überhaupt nutzt.

Bevor Sie sich an einen Anbieter binden, einschließlich diesem, fordern Sie die DPA an und ziehen Sie während Ihrer Testphase einen Musterkundenexport. Wenn Sie sehen möchten, wie die Einrichtung von RESTOBOT diesen Test handhabt, beginnen Sie mit dem Erforschen der Plattform und fragen Sie während der Einarbeitung nach beidem.

Primäre Quellen für Regeln zum Datenbesitz

• GDPR vollständiger rechtlicher Text — die autoritative Quelle für die Verpflichtungen von Verantwortlichen und Auftragsverarbeitern, die Rechte der betroffenen Personen und die Reaktionsfristen.
• Leitfaden der Europäischen Kommission für Einzelpersonen — Zusammenfassung der GDPR-Rechte in einfacher Sprache und was Unternehmen bereitstellen müssen.
• Ressourcen des Generalstaatsanwalts von Kalifornien zum CCPA — offizielle Anleitung zu den Verbraucherrechten und Pflichten der Unternehmen gemäß CCPA und CPRA.
• DataGrail's Aufschlüsselung von Verantwortlichem vs. Auftragsverarbeiter — eine klare Erklärung, wie sich die beiden Rollen in der Praxis unterscheiden.

Quellen

• Der Unterschied zwischen Datenverantwortlichen und Datenverarbeitern — DataGrail
• Informationen für Einzelpersonen — Europäische Kommission
• California Consumer Privacy Act (CCPA) | Staat Kalifornien - Ministerium für Justiz - Büro des Generalstaatsanwalts
• Was ist der Besitz von Kundendaten im SaaS? Datenschutzbedingungen — PayPro Global
• Allgemeine Datenschutzverordnung (GDPR) – Rechtstext

FAQ

Was bedeutet Datenbesitz?

In der Praxis bedeutet es, dass Ihr Unternehmen als Datenverantwortlicher fungiert und die rechtliche Autorität und Verantwortung hat, auf Kundenakten zuzugreifen, diese zu korrigieren, zu exportieren oder zu löschen, während jeder SaaS-Anbieter als Auftragsverarbeiter fungiert, der an Ihre Anweisungen gebunden ist.

Was sind die vier Arten von Kundendaten?

Unternehmen unterscheiden typischerweise zwischen personenbezogenen Identifikationsdaten (Namen, Kontaktdaten), Verhaltensdaten (Kauf- und Browserverlauf), Einstellungsdaten (Präferenzen, Feedback, Bewertungen) und Transaktionsdaten (Bestell- und Zahlungsunterlagen), die jeweils unterschiedliche Handhabungsanforderungen unter Gesetzen wie GDPR und CCPA mit sich bringen.

Ist der Verkauf von Kundendaten legal?

Das kann es sein, abhängig von der Gerichtsbarkeit und der Offenlegung. Nach CCPA/CPRA können Unternehmen personenbezogene Informationen verkaufen oder teilen, müssen dies jedoch offenlegen und den Verbrauchern das Recht geben, sich abzumelden; GDPR erfordert eine rechtliche Grundlage und eine klare Zustimmung für die meisten solcher Verwendungen.

Was bestimmt den Datenbesitz?

Der Besitz wird durch die vertragliche Rolle (Verantwortlicher versus Auftragsverarbeiter), die Bedingungen in Ihrem Datenverarbeitungsvertrag und welche Partei tatsächlich die technische Fähigkeit hat, auf die Daten zuzugreifen, sie zu exportieren und zu löschen, bestimmt, nicht durch die Person, die sie ursprünglich gesammelt hat.

Gibt RESTOBOT Restaurants die Kontrolle über ihre Kundendaten?

Das Null-Provision-Modell von RESTOBOT und die sofortige Einrichtung der Website sind so gestaltet, dass Restaurantbetreiber von Tag eins die direkte Kontrolle über Bestell- und Umsatzdaten behalten, und die eigenständige Tipps-Funktion gibt einzelnen Mitarbeitern das Eigentum an ihren eigenen Tippaufzeichnungen.