Antragsdaten im Großhandel und die DSGVO: warum Löschen besser ist als Anonymisieren

Großhandelsanträge erfassen genau die Daten, die die DSGVO besonders sorgfältig behandelt: Namen, Geschäftsadressen, Kontaktdaten, manchmal ausweisnahe Kennungen. Die meisten Shops behandeln Genehmigungen gut und Ablehnungen schlecht — beim abgelehnten Antragsteller haben Sie keinen rechtmäßigen Grund mehr, die Daten zu behalten, und „wir anonymisieren das" ist meist nicht die Lösung, für die man sie hält. Dieser Leitfaden behandelt, was aufzubewahren ist, wie lange, und warum Löschen bei Geschäftsantragstellern besser ist als Anonymisieren.

Der abgelehnte Antragsteller ist der schwierige Fall

Ein genehmigter Antragsteller wird Kunde: Es gibt einen Vertrag, einen Firmendatensatz, Bestellungen und Rechnungen, die Sie gesetzlich aufbewahren müssen. Die Rechtsgrundlage ist klar, und die Aufbewahrungsfrist bestimmt das Steuerrecht, nicht die Vorliebe.

Ein abgelehnter Antragsteller hat davon nichts. Kein Vertrag, keine laufende Beziehung — und nachdem die Entscheidung mitgeteilt ist, meist auch kein Zweck mehr. Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt, Daten nicht länger zu speichern als für die Zwecke der Erhebung erforderlich. Sobald Sie entschieden haben, nicht mit jemandem zu handeln, hat der Antrag seinen Zweck erfüllt.

Der übliche Einwand: Man möchte einen Vermerk, falls sich die Person erneut bewirbt, oder für den Streitfall. Beides kann legitim sein, muss aber als Zweck mit Frist benannt werden und nicht als vage Absicht bestehen bleiben. Vertretbar klingt so: „Abgelehnte Anträge werden nach 90 Tagen gelöscht; Entscheidung und Datum bewahren wir 12 Monate für Wiederbewerbungen und Streitfälle auf." Nicht vertretbar ist, den vollständigen Antrag unbefristet zu behalten, weil niemand den Löschpfad gebaut hat.

Warum Anonymisierung hier meist scheitert

Anonymisierung ist attraktiv, weil sie Daten vollständig aus dem Anwendungsbereich der DSGVO nimmt — anonyme Daten sind keine personenbezogenen Daten. Der Haken ist der Maßstab: Daten sind nur dann anonym, wenn eine Re-Identifizierung durch niemanden nach allgemeinem Ermessen wahrscheinlich möglich ist.

Antragsdaten von Unternehmen erreichen diesen Maßstab selten. Ein Firmenname plus USt-IdNr. ist eine öffentliche Registerabfrage von einer namentlich benannten Person entfernt — genau dafür sind Register da. Bei Einzelunternehmern ist der Firmenname häufig der Personenname. Streichen Sie Kontaktname und E-Mail und behalten „Müller Handel, DE123456789, beantragt am 4. März, abgelehnt", dann haben Sie einen Datensatz, der für jeden mit einem Browser eine Person identifiziert.

Das Muster „anonymisieren statt löschen", das bei Web-Analytics funktioniert, überträgt sich also nicht auf B2B-Anträge. Löschen ist einfacher, leichter zu erklären und erreicht das Ziel tatsächlich. Wer Statistik behalten will, behält Zählwerte — Anträge pro Monat, Genehmigungsquote — keine pseudonymisierten Zeilen.

Wer ist Verantwortlicher?

Das gerät durcheinander, sobald eine App beteiligt ist. Der Händler entscheidet, ein Großhandelsprogramm zu betreiben, entscheidet über die Fragen im Formular und über die Genehmigung: Der Händler ist Verantwortlicher für die Antragsdaten. Eine App, die diese Daten im Auftrag verarbeitet, ist Auftragsverarbeiter und braucht für die Rechtmäßigkeit einen Vertrag nach Art. 28.

Zwei praktische Folgen. Erstens ist die Aufbewahrungsfrist die Entscheidung des Händlers, nicht die Voreinstellung der App — sie sollte also konfigurierbar sein, und die App darf Daten nicht stillschweigend länger behalten als angewiesen. Zweitens landet die Ausübung von Betroffenenrechten beim Händler, und die App muss sie beantworten können: Datensatz finden, exportieren, löschen. Eine App, die einen einzelnen Antragsteller nicht auf Verlangen löschen kann, ist für einen Verantwortlichen mit Compliance-Pflicht nicht brauchbar.

Registerabfragen und Datenminimierung

Bei der Prüfung wird leicht mehr übermittelt als nötig. Die Abfrage eines Unternehmens bei VIES, Zefix oder Companies House benötigt eine Unternehmenskennung — eine USt-IdNr., eine Registernummer. Sie benötigt nicht Name, E-Mail oder Adresse des Antragstellers; diese an einen Dritten zu senden wäre Verarbeitung ohne Zweck.

Die Trennung klar halten: Das Register erhält die Kennung und liefert einen Status; die persönlichen Daten des Antragstellers verlassen Ihre Systeme nie. Das ist Minimierung im Sinne des Art. 5 Abs. 1 lit. c — und eine deutlich kürzere Antwort, wenn jemand fragt, was Ihre Unterauftragsverarbeiter erhalten.

Den Nachweis der Prüfung aber aufbewahren. Bei innergemeinschaftlichen Lieferungen ist die Gültigkeit der USt-IdNr. des Käufers materielle Voraussetzung der Steuerfreiheit; VIES-Bestätigungs-ID und Datum gehören daher in Ihre Unterlagen — an der Firma, nicht irgendwo im Log. Das ist ein Aufbewahrungszweck mit echter Rechtsgrundlage und vom Antrag selbst zu unterscheiden.

Was in die Datenschutzerklärung gehört

Das Großhandelsformular ist eine Erhebungsstelle und braucht daher einen eigenen Abschnitt, keinen Link auf eine allgemeine Erklärung. Was Antragsteller vor dem Absenden lesen können sollten:

• Was erhoben wird und welche Felder Pflicht sind, welche freiwillig.
• Dass die Unternehmensangaben gegen öffentliche Register geprüft werden — und gegen welche.
• Wie lange ein Antrag im Fall der Genehmigung und im Fall der Ablehnung aufbewahrt wird, mit konkreten Zahlen.
• Wer ihn außer Ihnen verarbeitet und wo (die Hosting-Region ist europäischen Käufern nicht gleichgültig).
• Wie Auskunft oder Löschung verlangt werden kann — und dass die Entscheidung nicht ausschließlich automatisiert erfolgt. Oder, falls doch, das offen sagen, denn Art. 22 knüpft daran Rechte.

Der letzte Punkt verdient Sorgfalt. Auto-Genehmigungsregeln sind praktisch und bei geringem Risiko vertretbar, aber „Ihr Antrag wurde automatisch abgelehnt" ist rechtlich etwas anderes als „wir haben geprüft". Sind Ablehnungen automatisiert, haben Antragsteller ein Recht auf menschliches Eingreifen.

Ein belastbares Aufbewahrungsmodell

Eine Struktur, die die realistischen Fälle abdeckt:

• Genehmigt und Kunde geworden — Aufbewahrung im Rahmen der Kundenbeziehung; Rechnungen folgen dem Steuerrecht (in Deutschland 8 Jahre), nicht dem Antragsplan.
• Genehmigt, aber nie bestellt — ein Firmendatensatz ohne Umsatz. Mit Verfallsdatum versehen: keine Bestellung innerhalb von etwa 24 Monaten heißt ruhender Datensatz ohne Zweck.
• Abgelehnt — Antrag mit kurzer Frist löschen; Entscheidung und Datum nur so lange behalten, wie ein benannter Grund besteht.
• Zurückgezogen oder abgebrochen — ein halb ausgefülltes Formular ist Daten, für die es nie einen Zweck gab. Am schnellsten löschen.

Wie die Zahlen auch lauten: Der Löschlauf muss tatsächlich laufen. Eine Aufbewahrungsrichtlinie, die nur in der Datenschutzerklärung existiert, ist schlechter als keine — dann haben Sie ein Versprechen veröffentlicht, das Sie brechen.

Kurzfassung

Antragsdaten sind das Haftungsrisiko eines Großhandelsprogramms, und bei Ablehnungen sammeln sie sich an. Löschen statt anonymisieren, denn Firmenname plus USt-IdNr. re-identifiziert einen Einzelunternehmer. An Register nur eine Kennung senden, den Prüfnachweis aber mit eigener Rechtsgrundlage aufbewahren. Echte Fristen in die Datenschutzerklärung schreiben, sie durch den Händler als Verantwortlichen konfigurierbar machen — und dafür sorgen, dass etwas Automatisches sie durchsetzt.

Zusammenfassung in einfacher Sprache, keine Rechtsberatung — Fristen und Rechtsgrundlage für Ihr konkretes Programm sind eine halbe Anwaltsstunde wert.