Franchise Datenschutz · DSGVO · CRM · Österreich
Franchise Datenschutz in Österreich
Franchise-Systeme verarbeiten regelmäßig personenbezogene Daten über gemeinsame IT-, CRM-, Marketing- und Kommunikationsstrukturen. Dabei muss klar sein, wer für welche Verarbeitung verantwortlich ist. Franchiserechtsexpertin Rechtsanwältin Dr. Nina Ollinger berät Franchisegeber und Franchisenehmer in Österreich zu Datenschutz, DSGVO-Rollen, Auftragsverarbeitung, gemeinsamer Verantwortlichkeit und der datenschutzrechtlichen Gestaltung von Franchise-Systemen.
- DSGVO · Verantwortlichkeit · Auftragsverarbeitung
- CRM · Marketing · IT-Systeme · Datenflüsse
- Beratung durch Franchiserechtsexpertin Dr. Nina Ollinger
Kurzantwort
Wer ist im Franchise für Datenschutz verantwortlich?
Das hängt von der konkreten Datenverarbeitung ab. Franchisegeber und Franchisenehmer sind rechtlich selbständige Unternehmen. Je nach System können sie jeweils eigenständig Verantwortliche sein, gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden oder für einzelne Prozesse einen Auftragsverarbeiter einsetzen.
Entscheidend ist deshalb nicht nur, wem ein IT-System gehört, sondern wer tatsächlich bestimmt, warum und wie personenbezogene Daten verarbeitet werden. Diese Rollen müssen für jeden relevanten Prozess sauber eingeordnet und dokumentiert werden.
Das Wichtigste in sechs Punkten
Franchise Datenschutz auf einen Blick
- Franchisegeber und Franchisenehmer sind datenschutzrechtlich nicht automatisch eine Einheit.
- Die jeweilige Rolle richtet sich nach der tatsächlichen Entscheidung über Zwecke und Mittel der Verarbeitung.
- Bei gemeinsamer Verantwortlichkeit ist die Rollenverteilung transparent zu regeln.
- Bei Auftragsverarbeitung ist grundsätzlich eine Vereinbarung nach Art. 28 DSGVO erforderlich.
- CRM, Newsletter, Kundenprogramme und zentrale IT-Systeme brauchen klare Datenflüsse und Zuständigkeiten.
- Datenschutz sollte mit Franchisevertrag, Systemhandbuch und tatsächlicher Systempraxis übereinstimmen.
Ausgangspunkt
Warum ist Datenschutz im Franchise besonders komplex?
Franchise-Systeme verbinden mehrere rechtlich selbständige Unternehmen mit gemeinsamen Marken, Prozessen, IT-Systemen und Marketingstrukturen. Dadurch entstehen häufig Datenflüsse über Unternehmensgrenzen hinweg.
Kundendaten können etwa lokal beim Franchisenehmer entstehen, zugleich aber in einem zentralen CRM des Franchisegebers gespeichert werden. Newsletter können zentral versendet, Kundenkarten systemweit genutzt oder Beschwerden gemeinsam bearbeitet werden.
Genau deshalb reicht es nicht, Datenschutz lediglich in einer allgemeinen Klausel des Franchisevertrags zu erwähnen. Die tatsächlichen Prozesse müssen analysiert und den richtigen DSGVO-Rollen zugeordnet werden.
DSGVO-Rollen
Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit?
Die richtige Rollenverteilung entscheidet darüber, welche datenschutzrechtlichen Pflichten die jeweiligen Unternehmen treffen.
Eigenständiger Verantwortlicher
Entscheidet ein Unternehmen selbst über Zweck und wesentliche Mittel einer Verarbeitung, handelt es grundsätzlich als Verantwortlicher.
Auftragsverarbeiter
Verarbeitet ein Unternehmen personenbezogene Daten ausschließlich nach dokumentierter Weisung eines Verantwortlichen, kann Auftragsverarbeitung vorliegen.
Gemeinsame Verantwortlichkeit
Bestimmen mehrere Unternehmen gemeinsam Zwecke und Mittel einer Verarbeitung, kann eine gemeinsame Verantwortlichkeit bestehen.
Mehrere Rollen im selben System
Ein Franchisegeber kann bei einem Prozess Verantwortlicher, bei einem anderen gemeinsam verantwortlich und bei einem weiteren überhaupt nicht an der Verarbeitung beteiligt sein.
CRM und zentrale Systeme
Datenschutz bei gemeinsamen IT- und CRM-Systemen
Zentrale IT-Strukturen sind im Franchise besonders häufig. Franchisegeber stellen etwa CRM-Systeme, Buchungsplattformen, Kassensysteme, Apps oder zentrale Kundenservices bereit.
Datenschutzrechtlich muss für jeden Prozess geklärt werden, welche Daten erhoben werden, wer Zugriff erhält, welche Zwecke verfolgt werden und wie lange Daten gespeichert werden.
Auch externe IT-, Hosting-, Newsletter- oder Cloud-Anbieter können als Auftragsverarbeiter eingebunden sein und müssen entsprechend in die Datenschutzstruktur integriert werden.
Kunden und Marketing
Newsletter, Kundenclubs und systemweites Marketing
Marketingmaßnahmen sind im Franchise häufig zentral organisiert, während Kundendaten an einzelnen Standorten erhoben werden. Gerade hier muss die datenschutzrechtliche Rollenverteilung klar sein.
Newsletter
Es muss geklärt sein, wer Empfängerdaten erhebt, wer Versender ist und auf welcher Rechtsgrundlage die jeweilige Kommunikation erfolgt.
Kundenclub und Loyalty-Programme
Systemweite Bonus- oder Kundenprogramme können mehrere Unternehmen und zentrale Datenbanken miteinander verbinden.
Online-Leads
Bei zentralen Websites oder Anfrageformularen sollte klar sein, wer Daten erhält und welcher Franchise-Partner einen Interessenten anschließend betreut.
Lokales Marketing
Eigene Marketingmaßnahmen eines Franchisenehmers können eine eigenständige datenschutzrechtliche Verantwortung begründen.
Vertragsstruktur
Datenschutz im Franchisevertrag richtig abbilden
Der Franchisevertrag kann wichtige datenschutzrechtliche Organisationspflichten und Zuständigkeiten festlegen. Er ersetzt aber nicht jene Vereinbarungen, die die DSGVO für bestimmte Rollen ausdrücklich verlangt.
Liegt Auftragsverarbeitung vor, braucht es grundsätzlich eine Vereinbarung nach Art. 28 DSGVO. Bei gemeinsamer Verantwortlichkeit ist die jeweilige Verantwortung transparent gemäß Art. 26 DSGVO zu regeln.
- Beschreibung der relevanten Datenflüsse
- Zuordnung der DSGVO-Rollen
- Auftragsverarbeitungsvereinbarungen
- Vereinbarung bei gemeinsamer Verantwortlichkeit
- Datensicherheit und technische Maßnahmen
- Löschung, Rückgabe und Zugriffsende bei Vertragsbeendigung
Typische Risiken
Wo entstehen Datenschutzprobleme im Franchise-System?
Risiken entstehen häufig dort, wo Daten zentral genutzt werden, aber Zuständigkeiten und Prozesse nicht eindeutig dokumentiert sind.
Unklare Verantwortlichkeiten
Franchisegeber und Franchisenehmer verlassen sich gegenseitig darauf, dass die jeweils andere Seite DSGVO-Pflichten erfüllt.
Fehlende Vereinbarungen
Auftragsverarbeitung oder gemeinsame Verantwortlichkeit werden praktisch gelebt, aber rechtlich nicht sauber geregelt.
Zu weite Zugriffsrechte
Zentrale Systeme ermöglichen mehr Personen Zugriff auf Kundendaten, als für den jeweiligen Zweck erforderlich ist.
Unklare Löschung
Beim Partnerwechsel oder Vertragsende bleibt unklar, wer Daten weiter speichern darf oder löschen muss.
Dokumentation und Sicherheit
Welche Datenschutzunterlagen braucht ein Franchise-System?
DSGVO-Compliance muss nicht nur umgesetzt, sondern in wesentlichen Bereichen auch nachvollziehbar dokumentiert werden.
Verzeichnis von Verarbeitungstätigkeiten
Verantwortliche und grundsätzlich auch Auftragsverarbeiter müssen ihre relevanten Verarbeitungstätigkeiten dokumentieren.
Datenschutzinformationen
Betroffene Personen müssen transparent darüber informiert werden, wer ihre Daten für welche Zwecke verarbeitet.
Technische und organisatorische Maßnahmen
Zugriffsrechte, Sicherheit, Datensicherung und weitere Maßnahmen müssen dem jeweiligen Risiko angemessen sein.
Data-Breach-Prozesse
Franchise-Systeme brauchen klare Abläufe dafür, wie Datenschutzverletzungen erkannt, intern gemeldet und erforderlichenfalls an die Behörde weitergegeben werden.
Systemgestaltung
Datenschutz bereits beim Aufbau des Franchise-Systems mitdenken
Datenschutz lässt sich später nur schwer effizient ergänzen, wenn zentrale IT-, CRM- und Marketingstrukturen bereits ohne klare Rollen und Prozesse aufgebaut wurden.
Für Franchisegeber ist es daher sinnvoll, Datenflüsse und Verantwortlichkeiten gemeinsam mit Franchisevertrag, Handbuch, IT-Struktur und Expansion zu planen.
Passende Vertiefung
Weiterführende Informationen zum Datenschutz im Franchise
Datenflüsse und Pflichten vertraglich einordnen
Franchisevertrag, Systemleistungen, IT-Strukturen und Vertragsbeendigung.
Mehr erfahren → WettbewerbsrechtDaten, Marketing und Vertrieb zusammendenken
Wettbewerbs- und kartellrechtliche Rahmenbedingungen für Franchise-Systeme.
Mehr erfahren → Master ClassFranchiserecht D-A-CH
Über 20 Master Classes zu zentralen franchiserechtlichen Themen in Österreich, Deutschland und der Schweiz – einschließlich Datenschutz.
Mehr erfahren →Warum Dr. Nina Ollinger?
Franchiserechtsexpertin für Datenschutz im Franchise-System
Rechtsanwältin Dr. Nina Ollinger, LL.M. ist auf österreichisches Franchise- und Vertriebsrecht spezialisiert. Datenschutzfragen entstehen dabei regelmäßig an der Schnittstelle von Franchisevertrag, Systemorganisation, IT und laufender Partnerzusammenarbeit.
Sie berät Franchisegeber und Franchisenehmer bei der datenschutzrechtlichen Einordnung von Datenflüssen, Vertragsstrukturen und Verantwortlichkeiten im Franchise-System.
Als Fachautorin, Vortragende und Mitglied der Rechtsausschüsse des österreichischen und deutschen Franchise-Verbandes verbindet Dr. Nina Ollinger anwaltliche Praxis mit langjähriger Kenntnis der Franchisebranche.
Mehr über Franchiserechtsexpertin Dr. Nina Ollinger →Häufige Fragen
FAQ zum Franchise Datenschutz
Wer ist im Franchise für den Datenschutz verantwortlich?
Das hängt vom konkreten Verarbeitungsvorgang ab. Franchisegeber und Franchisenehmer können eigenständig verantwortlich, gemeinsam verantwortlich oder in bestimmten Konstellationen als Verantwortlicher und Auftragsverarbeiter eingebunden sein.
Wann liegt Auftragsverarbeitung vor?
Auftragsverarbeitung liegt grundsätzlich vor, wenn personenbezogene Daten im Auftrag eines Verantwortlichen und nach dessen dokumentierten Weisungen verarbeitet werden.
Wann sind Franchisegeber und Franchisenehmer gemeinsam verantwortlich?
Gemeinsame Verantwortlichkeit kann vorliegen, wenn beide gemeinsam über Zwecke und wesentliche Mittel einer konkreten Datenverarbeitung entscheiden.
Braucht man im Franchise einen Auftragsverarbeitungsvertrag?
Ja, wenn tatsächlich eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO vorliegt. Nicht jeder Datenaustausch zwischen Franchisegeber und Franchisenehmer ist automatisch Auftragsverarbeitung.
Welche Daten werden in Franchise-Systemen typischerweise verarbeitet?
Häufig betroffen sind Kundendaten, Interessentendaten, Newsletterdaten, Mitarbeiterdaten, Buchungsdaten, CRM-Daten und Daten aus zentralen IT-Systemen.
Wer ist bei einem zentralen CRM verantwortlich?
Das lässt sich nicht allein anhand des Eigentums am CRM beantworten. Entscheidend ist, wer über Zwecke und wesentliche Mittel der jeweiligen Datenverarbeitung entscheidet.
Was muss im Franchisevertrag zum Datenschutz stehen?
Der Vertrag sollte Rollen, Datenflüsse und organisatorische Pflichten nachvollziehbar abbilden. Er ersetzt aber keine erforderliche Art.-26- oder Art.-28-Vereinbarung.
Was passiert mit Kundendaten nach Ende des Franchisevertrags?
Das hängt von Verantwortlichkeit, Rechtsgrundlage und Verarbeitungszweck ab. Löschung, Rückgabe, weitere Speicherung und Zugriffsrechte sollten deshalb bereits im System und Vertrag berücksichtigt werden.
Wer meldet eine Datenschutzverletzung an die Datenschutzbehörde?
Die Meldepflicht nach Art. 33 DSGVO trifft grundsätzlich den Verantwortlichen, wenn die gesetzlichen Voraussetzungen erfüllt sind. Ein Auftragsverarbeiter muss den Verantwortlichen über eine entsprechende Datenschutzverletzung grundsätzlich unverzüglich informieren.
Berät Dr. Nina Ollinger Franchise-Systeme zum Datenschutz?
Ja. Dr. Nina Ollinger berät zu datenschutzrechtlichen Fragen im Zusammenhang mit Franchisevertrag, Datenflüssen, Systemorganisation und Zusammenarbeit zwischen Franchisegeber und Franchisenehmern.
Datenflüsse und Verantwortlichkeiten klären
Franchise Datenschutz mit Dr. Nina Ollinger
Sie möchten Datenschutzrollen, CRM-Strukturen, Auftragsverarbeitung oder datenschutzrechtliche Regelungen in Ihrem Franchise-System prüfen und sauber strukturieren lassen?