Von Trufy • Mit KI-Unterstützung erstellt, redaktionell geprüft

Google-Bewertungen sammeln: DSGVO-konform ohne Kundendaten zu speichern

Ist es DSGVO-konform möglich, Google-Bewertungen ohne Kundendaten zu sammeln?

Google-Bewertungen lassen sich ohne personenbezogene Daten sammeln — und damit fallen die meisten Datenschutzpflichten gar nicht erst an. Die Datenschutz-Grundverordnung regelt den Umgang mit Daten, die sich auf eine bestimmbare Person beziehen: Name, E-Mail-Adresse, Telefonnummer. Wer keine solchen Daten erhebt, muss für diesen Vorgang auch keine Rechtsgrundlage, keinen Einwilligungsnachweis und keine Löschfrist vorhalten.

Jede Verarbeitung personenbezogener Daten braucht dagegen eine Rechtsgrundlage, etwa einen Vertrag, eine Einwilligung oder ein berechtigtes Interesse. Dazu kommt der Grundsatz der Datenminimierung: Verarbeitet werden darf nur, was für den Zweck wirklich nötig ist. Für eine Bewertungsbitte ist das wenig — der Zweck ist erreicht, sobald der Kunde auf der Bewertungsseite landet.

Warum eine Bewertungsbitte per E-Mail oder SMS eine Einwilligung verlangt

Eine Kundenzufriedenheitsabfrage per E-Mail gilt als Werbung und ist ohne vorherige Einwilligung unzulässig. Begründet wird das damit, dass eine solche Abfrage zumindest auch der Kundenbindung und künftigen Geschäftsabschlüssen dient. Eine Bitte um eine Google-Bewertung liegt genau auf dieser Linie.

E-Mail-Werbung setzt eine ausdrückliche und nachweisbare Einwilligung voraus. Nachweisbar heißt: Der Betrieb muss im Streitfall zeigen können, wer wann zugestimmt hat. Üblich ist dafür ein Bestätigungsverfahren, bei dem der Kunde seine Anmeldung in einer zweiten Nachricht bestätigt.

Damit hängt an jeder E-Mail-Einladung eine kleine Kette von Pflichten: Adressdaten erheben, Einwilligung einholen und dokumentieren, beim Erheben über Zweck, Empfänger, Speicherdauer und Betroffenenrechte informieren, später wieder löschen. Welche Grenzen dabei gelten, steht ausführlich unter Kunden per E-Mail oder SMS um eine Google-Bewertung bitten.

E-Mail-Einladung oder NFC-Karte am Tresen: welche Datenschutzpflichten entstehen?

Beide Wege führen zur selben Google-Bewertungsseite, verursachen aber völlig unterschiedlichen Aufwand im Datenschutz. Die Tabelle stellt gegenüber, was ein Betrieb bei einer Einladung per E-Mail oder SMS leisten muss und was bei einer NFC-Bewertungskarte vor Ort anfällt.

Welche Daten entstehen, wenn ein Kunde die NFC-Bewertungskarte antippt?

Beim Antippen einer NFC-Bewertungskarte fließen keine Kundendaten zum Betrieb. NFC steht für Near Field Communication, also Funkübertragung über wenige Zentimeter. Die Karte ist passiv: Sie hat keine Batterie, keinen Speicher für Besucherdaten und trägt nur eine hinterlegte Web-Adresse. Das Handy liest diesen Datensatz aus und öffnet die Adresse im Browser.

Die Verbindung beginnt beim Antippen und endet, sobald das Gerät wieder entfernt wird. Die Karte erfährt nicht, wessen Handy sie gelesen hat. Der Betrieb erfährt es ebenfalls nicht — er sieht später nur die Bewertung, so wie jeder andere Besucher des Profils auch.

Was danach auf der Google-Seite passiert, läuft zwischen dem Kunden und Google. Für eine Bewertung braucht er ein Google-Konto; ob er eines nutzt, entscheidet er selbst. Die Trufy-Karte funktioniert ausschließlich per NFC und trägt keinen QR-Code. Mehr zur Technik steht unter Datenschutz bei NFC-Bewertungskarten.

Datenminimierung und Privacy by Design: was das für eine Bewertungsaktion bedeutet

Datenminimierung heißt: so viele Daten wie nötig, so wenige wie möglich. Privacy by Design verlangt, ein Verfahren von Anfang an so zu bauen, dass möglichst wenig personenbezogene Daten anfallen. Auf eine Bewertungsaktion übertragen lassen sich beide Grundsätze in konkrete Entscheidungen übersetzen.

• Fragen Sie dort, wo der Kunde ohnehin steht — am Tresen, an der Kasse, am Empfang. Dann brauchen Sie seine Adresse nicht.
• Verzichten Sie auf Zwischenformulare. Jedes Feld, das jemand ausfüllt, erzeugt Daten, die Sie wieder löschen müssen.
• Führen Sie keine Liste darüber, welcher Kunde schon gefragt wurde. Solche Listen sind personenbezogen und brauchen eine Rechtsgrundlage.
• Nutzen Sie keine Software, die Bewertungen einzelnen Kunden zuordnet, wenn ein ausgelegtes Kärtchen denselben Zweck erfüllt.
• Prüfen Sie bei jedem Dienstleister, welche Kundendaten er bekommt und wie lange er sie behält.

Der Nebeneffekt ist praktisch: Was gar nicht erst erhoben wird, kann auch nicht verloren gehen, falsch zugeordnet oder zu lange gespeichert werden.

Müssen Sie eine Bewertungsaktion in Datenschutzerklärung und Verarbeitungsverzeichnis aufnehmen?

Dokumentieren müssen Sie nur, was Sie tatsächlich an personenbezogenen Daten verarbeiten. Wer Kontaktdaten für Bewertungseinladungen nutzt, informiert die Betroffenen bereits bei der Erhebung über Verantwortlichen, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und ihre Rechte. Wer dagegen nur eine Karte auf den Tresen legt, hat für diesen Vorgang nichts zu beschreiben.

Ein Verzeichnis der Verarbeitungstätigkeiten ist grundsätzlich ab 250 Beschäftigten Pflicht. Kleinere Betriebe trifft die Pflicht aber ebenfalls, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Eine laufende Versandliste für Bewertungsbitten ist nicht gelegentlich. In das Verzeichnis gehören dann unter anderem Zweck, Datenkategorien, Löschfristen und die technischen und organisatorischen Maßnahmen.

Kleine Unternehmen sind nur von wenigen Einzelpflichten ausgenommen, etwa unter Umständen von der Pflicht zum Datenschutzbeauftragten. Ansonsten gelten für sie dieselben Vorgaben wie für große. Das macht den datenarmen Weg für Handwerk, Praxen und Gastronomie besonders attraktiv.

Was beim Bewertungen-Sammeln auch ohne Kundendaten verboten bleibt

Datenschutz ist nur eine von zwei Grenzen — die zweite ist die Art und Weise, wie Sie fragen. Diese Regeln gelten unabhängig davon, ob Sie Kundendaten speichern oder nicht.

• Keine Gegenleistung für eine Bewertung — kein Rabatt, kein Gratisgetränk, kein Gewinnspiellos. Mehr dazu unter Darf man für eine Google-Bewertung etwas schenken?
• Nicht nur die Zufriedenen ansprechen. Wer gezielt vorsortiert, verzerrt das Bild und verstößt gegen die Regeln der Plattform.
• Keine Bewertungen kaufen und keine im Namen von Kunden schreiben.
• Keinen fertigen Text vorgeben, den der Kunde nur noch abschickt.
• Die Karte oder der Aufsteller fordert zur Bewertung auf, nicht zu einer guten Bewertung.

Die Hinweise auf dieser Seite sind eine allgemeine Einordnung und keine Rechtsberatung. Für den eigenen Betrieb lohnt im Zweifel der Blick in die Beratungsangebote der zuständigen Industrie- und Handelskammer. Wenn Sie den Weg ohne Kundendaten gehen möchten, finden Sie die vorprogrammierte Google-Bewertungskarte mit NFC samt Preisen und Mengenstaffel im Shop.