Analytik, BI und Datenplattformen

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2002/58/EC — ePrivacy for device access
• Regulation (EU) 2023/2854 — Data Act for cloud switching

Wer muss benennen

Anbieter außerhalb der Union, die Analytik- oder Datenplattformdienste für EU-Kunden anbieten. Wenn die Plattform nur verarbeitet, was der Kunde sendet, ist der Anbieter ein Auftragsverarbeiter; wenn sie anreichert, benchmarkt oder auf Kundendaten trainiert, wird sie für diese Zwecke zum Verantwortlichen.

Schwellen und Ausnahmen

Kein Schwellenwert. Produktanalysen, die in die Anwendung eines Kunden eingebettet sind, lesen und schreiben auf den Endgeräten der Nutzer, was die ePrivacy-Zustimmung unabhängig von der DSGVO-Analyse erforderlich macht.

Was auf das Etikett gehört

Nicht physisch. Die Identität des Vertreters in der Datenschutzerklärung und in den kundenorientierten Verarbeitungsbedingungen sowie eine klare Erklärung, was der Anbieter mit Kundendaten für eigene Zwecke macht.

Marktplatz-Felder

EU-Unternehmenskäufer verlangen die Bedingungen gemäß Artikel 28, die Liste der Unterauftragsverarbeiter, die Übertragungsanalyse und seit dem Datenakt vertragliche Bedingungen zum Wechsel und zur Datenportabilität. Käufer im öffentlichen Sektor verlangen mehr.

Unterlagen, die Sie vorhalten müssen

Artikel 30(2) Auftragsverarbeiterverzeichnisse, Verarbeitungsvereinbarungen mit jedem Kunden und Unterauftragsverarbeiter, die Benennung gemäß Artikel 27, Standardvertragsklauseln mit Übertragungsfolgenabschätzungen, Aufbewahrungs- und Löschverfahren sowie die Wechselbedingungen des Datenakts.

Normen und Prüfungen

Nicht anwendbar, obwohl Kunden Prüfungsrechte ausüben und Zertifizierungen wie ISO 27001 oder SOC 2 als unterstützende Nachweise erwarten, nicht als Compliance.

Sprachanforderungen

Kundendokumentation in der Sprache des Marktes; Endnutzerhinweise in der Sprache der Nutzer.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung. Die Wechselbestimmungen des Datenakts werden ab September 2025 schrittweise eingeführt, mit ab Januar 2027 aufgehobenen Ausstiegsgebühren.

Aufbewahrungsfristen

Kundendaten nur für den vertraglich vereinbarten Zeitraum plus das vereinbarte Löschfenster, mit verifiziertem Löschen beim Austritt.

Was bei Verstößen passiert

Bis zu 20 Millionen € oder 4 % des Umsatzes für unrechtmäßige Verarbeitung und 10 Millionen € oder 2 % für den fehlenden Vertreter. Die Nutzung von Kundendaten zum Trainieren von Modellen ohne Grundlage ist das wiederkehrende strukturelle Versagen in diesem Sektor.

Wer kontrolliert

Datenschutzbehörden in der gesamten Union und nationale Behörden, die für den Datenakt benannt sind.

Wo die Grenze verläuft

Aggregation anonymisiert nicht automatisch: Benchmark-Datensätze, die aus Kundendaten erstellt werden, bleiben häufig personenbezogene Daten, und ihre Nutzung für eigene Zwecke des Anbieters benötigt eine eigene Grundlage und Transparenz, nicht nur eine Vertragsklausel.

Häufige Fragen

Dürfen wir Kundendaten für Benchmarks verwenden?

Nur mit einer eigenen rechtmäßigen Grundlage und Transparenz gegenüber den betroffenen Personen. Eine Erlaubnis im Kundenvertrag regelt dies nicht.

Ist die Erfassung von IP-Adressen Verarbeitung?

Ja. IP-Adressen sind personenbezogene Daten in den Händen eines Dienstes, der sie einem Nutzer zuordnen kann, was der Gerichtshof bestätigt hat.