Datenschutz bei Franchise

Datenübermittlung im Franchise-System

Die Datenschutz-Grundverordnung ist als ein Verbot für die Verarbeitung von personenbezogenen Daten zu verstehen. Es gibt allerdings gewisse Erlaubnistatbestände, welche zur Begründung einer Verarbeitungstätigkeit herangezogen werden dürfen. Grundsätzlich müssen Franchisegeber als auch Franchisenehmer immer darauf achten, dass eine geeignete Rechtsgrundlage für die geplante Datenübermittlung verwendet werden kann. Hierzu sollten die Franchise-Partner den Artikel 6 Abs. 1 lit. a) – f) DSGVO berücksichtigen, demnach dürfen Daten nur wie folgt zweckgebunden verarbeitet werden:

1. Eine Person hat ihre Einwilligung zu der Verarbeitung abgegeben.
2. Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist.
3. Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
4. Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person zu schützen.
5. Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt.
6. Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

In den häufigsten Fällen werden bei der Datenübermittlung im klassischen Franchise-System die Rechtsgrundlagen: Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO i.V.m. Artikel 7 DSGVO oder das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f) DSGVO, verwendet.

Datenübermittlung durch Einwilligung

Die Einwilligung scheint zu erst recht einfach umsetzbar zu sein. Doch es kommt bei der Einwilligung auf verschiedene Bedingungen an, damit diese auch wirklich rechtmäßig ist. Eine rechtmäßige Einwilligung muss freiwillig, eindeutig und informiert abgegeben werden. Eine freiwillige Einwilligung bedeutet, dass die Person immer einen Widerruf für die Zukunft abgeben kann, ohne das hierdurch Nachteile entstehen. Zudem unterliegen Franchisegeber sowie Franchisenehmer der Rechenschaftspflicht, sodass eine abgegebene Einwilligung immer nachweislich protokolliert werden sollte. 

Es ist durchaus möglich, dass eine Person eine Einwilligung für den Franchisegeber und den Franchisenehmer gleichzeitig abgibt. Wichtig hierbei ist, dass die Verantwortlichen beide transparent genannt werden. Diese Konstellation kommt gerade bei Franchise-Systemen oft vor, denn in der Regel werden Leistungen gemeinsam erbracht. 

Datenübermittlung durch berechtigtes Interesse

Das berechtigte Interesse ist die Rechtsgrundlage, welche empfehlenswert für eine Datenübermittlung zwischen Franchisegeber und Franchisenehmer einzusetzen ist. Das berechtigte Interesse ist eine Interessen-Abwägung zwischen den Interessen der Franchise-Partner und den Grundrechten der betroffenen Personen (Kunden, Lieferanten, Bewerber etc.). Es ist zudem geboten die Interessen-Abwägung argumentativ stark aufzubauen, da hiergegen natürlich ebenfalls widersprochen werden kann. Sie sollten unbedingt einen Datenschutzbeauftragten für eine rechtssichere Interessen-Abwägung heranziehen.

Auftragsverarbeitung Franchise

Oftmals werden Franchisegeber gegenüber den Franchisenehmern zum Auftragsverarbeiter, wenn Dienstleistung wie z.B. IT-Support geleistet werden. Eine Auftragsverarbeitung ist eine weisungsgebundene Verarbeitung vom Franchisegeber. Über die Mittel und Zwecke bei dieser Verarbeitung entscheidet dennoch der Franchisenehmer als Verantwortlicher. Folgende Leistungen im Franchise-System sind beispielsweise Auftragsverarbeitungen:

1. IT-Support
2. Lohnabrechnung
3. Marketing-Leistungen (Gewinnspiele)
4. Datenentsorgung

Damit die Auftragsverarbeitung datenschutzkonform abläuft, müssen beide Franchise-Parteien einen Auftragsverarbeitungs-Vertrag (AVV) abschließen. Ebenfalls muss sich der Franchisenehmer von den getroffenen technischen und organisatorischen Maßnahmen (TOM) beim Franchisegeber überzeugen . In der Regel wird in der Anlage zu einem Auftragsverarbeitungs-Vertrag eine Übersicht der TOMs vom Franchisegeber übersendet, sodass der Franchisenehmer vorab seinen Kontrollpflichten nachkommen kann. Ein Auftragsverarbeitungs-Vertrag sollte mindestens folgende Inhalte enthalten:

1. Gegenstand & Dauer des Auftrags
2. Umfang, Art & Zweck der Datennutzung und -verarbeitung
3. Technische & organisatorische Maßnahmen
4. Berechtigung, Löschung, Sperrung der personenbezogenen Daten
5. Kontrollrechte des Franchisenehmers
6. Berechtigung zu Unterauftragsverhältnissen
7. Pflichten des Franchisegebers
8. Meldepflicht bei Vertragsverstößen
9. Umfang der Weisungsbefugnisse
10. Haftung der Franchise-Parteien

Gemeinsame Verantwortlichkeit Franchise

Legen zwei oder mehr Franchise-Partner gemeinsam die Zwecke und die Mittel zur Verarbeitung fest, so sind diese als gemeinsam Verantwortliche zu beziffern. Hier ist einer der entscheidenden Unterschiede, dass keiner der Parteien weisungsgebunden Daten verarbeitet, sondern primär weisungsfrei verarbeitet.

Ähnlich wie bei der Auftragsverarbeitung legt der Franchisegeber und der Franchisenehmer in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß der DSGVO erfüllt. Insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Art. 11 ff DSGVO nachkommt. Für Aufsichtsbehörden ist es ganz wichtig nachzuvollziehen, dass eine klare Zuteilung der Verantwortlichkeiten durch die Vereinbarung hervorgeht.

Datenschutzerklärung Franchisenehmer

Durch unsere Erfahrung in mehreren Franchise-Systemen als Datenschutzbeauftragte können wir festhalten, dass viele Franchisegeber eine Subdomain des Franchisenehmers betreiben. Der Franchisegeber gibt die Kontaktanfragen oder auch Bewerbungen an den Franchisenehmer weiter. Oftmals werden diese Webseiten aus SEO-technischen Aspekten betrieben. Genau dieser Sachverhalt bildet bereits eine gemeinsame Verantwortung ab.

Datenschutzbeauftragter Franchise

Die meisten Franchise-Unternehmen müssen einen Datenschutzbeauftragten bestellen, ganz unabhängig von der Tatsache, dass sowieso alle Unternehmen die datenschutzrechtlichen Anforderungen erfüllen müssen. Eine Unternehmensgruppe oder auch ein Franchise-System darf einen gemeinsamen Datenschutzbeauftragten ernennen gemäß Art. 37 Abs. 2 DSGVO.

Franchisegeber und Franchisenehmer sollten bei der Benennung darauf achten, dass ein Datenschutzbeauftragter mit geeigneter Qualifizierung bestellt wird. Vor allem die Besonderheiten aus dem Franchise-System sollten dem Datenschutzbeauftragten bekannt sein.

Folgen datenschutzrechtlicher Verstöße

Mittlerweile ist der Rahmen für potentielle Bußgelder vielen Unternehmen bekannt. Immer mehr Bußgelder werden auch in Deutschland zu genau diesen Datenschutz-Verstößen in Millionenhöhe verhängt. In diesem Zusammenhang kennen viele Franchisegeber die Bezifferung von möglichen Bußgeldern auf bis zu 20 Mio. Euro oder im Fall eines Unternehmens auf 4 Prozent des weltweit erzielten Jahresumsatzes des vorangegangen Jahres, je nachdem, welcher der Beträge höher ist, vgl. Art. 83 Abs. 5 DSGVO. Natürlich ist dieser Betrag eine Bemessungsgrundlage und es kommt auf die Schwere des Verstoßes an, dennoch ist ein Trend zu erkennen, dass die Bußgelder über 50.000€ liegen.

Franchise-Handbuch Datenschutz

Man kennt es aus den Anlagen eines Arbeitsvertrages. Arbeitgeber verpflichten Mitarbeiter auf gewisse Arbeitsweisen oder die Verschwiegenheit. Im Prinzip wird durch ein Franchise-Handbuch Ähnliches bewirkt. Ein Franchise-Handbuch ist die Bedienungsanleitung für jeden Franchisenehmer. In diesen wird dem Franchisenehmer erklärt, in welcher Weise er seinen Standort zu leiten hat. Sehr schlau ist es, wenn nun auch datenschutzrechtliche Aspekte berücksichtigt werden. Hiermit könnten sich Franchisenehmer und Franchisegeber Aufwände sparen und zudem eine sichere Rechtsgrundlage für gewisse Verarbeitungen schaffen. Es ist sogar denkbar, dass Bestandsteile aus der Auftragsverarbeitung oder der gemeinsamen Verantwortlichkeit hier eingearbeitet werden.

Vielleicht wird es in naher Zukunft eine Erweiterung in den Franchise-Handbüchern geben um auch datenschutzrechtliche Regelungen zwischen den Kooperationspartnern sicherzustellen. Der Franchisegeber kann nun nachweislich ein einheitliches Datenschutz-Niveau definieren. Ebenfalls können die Rechtsgrundlagen für eine Datenübermittlung näher bestimmt werden. 

Datenschutz-Checkliste für Franchise-Unternehmen