DSGVO-konform um Bewertungen bitten: Der Praxis-Leitfaden

Kurz und ehrlich: meist nur mit vorheriger Einwilligung. Nach überwiegender Auffassung zählt die Bitte um eine Bewertung als Werbung, sie soll den Absatz fördern und Ihr Unternehmen sichtbarer machen. Und Werbung per E-Mail oder SMS setzt nach § 7 UWG in der Regel die vorherige Einwilligung des Empfängers voraus. Wie nett Ihre Nachricht klingt, ändert daran nichts. Ohne Einwilligung ist sie in der Regel angreifbar.

Eine Ausnahme existiert, aber sie ist schmal. § 7 Abs. 3 UWG knüpft an vier Bedingungen, die gemeinsam erfüllt sein müssen: (1) Sie haben die E-Mail-Adresse im Zusammenhang mit dem Verkauf erhalten, (2) Sie werben für eigene, ähnliche Waren oder Dienstleistungen, (3) der Kunde hat nicht widersprochen, und (4) er wurde bei der Erhebung wie bei jeder Nutzung klar auf sein Widerspruchsrecht hingewiesen. Hinzu kommt: Ob eine Bewertungsbitte überhaupt als „Werbung für ähnliche Produkte" gilt, ist umstritten, die Ausnahme greift also womöglich gar nicht. In der Praxis rutscht ohnehin fast immer eine Bedingung durch. Deshalb der ehrliche Rat: Holen Sie die Einwilligung lieber sauber ein, als sich auf diese Ausnahme zu stützen.

Damit ist es aber nicht getan, neben dem UWG greift die DSGVO. Auch wenn der Kanal werberechtlich abgesichert ist, brauchen Sie für die Verarbeitung der Kontaktdaten eine Rechtsgrundlage nach Art. 6 DSGVO. Beim aktiven Bewertungsversand ist das in der Praxis die Einwilligung (Art. 6 Abs. 1 lit. a). „Berechtigtes Interesse" (lit. f) allein trägt hier in der Regel nicht, dazu gleich mehr.

Eine Einwilligung ist nur so viel wert, wie Sie sie im Streitfall belegen können. Genau dafür ist das Double-Opt-in da: Es stellt sicher, dass wirklich die betroffene Person zugestimmt hat, und hält Zeitpunkt und Inhalt fest. Drei Schritte, mehr braucht es nicht.

1. 1Aktive Zustimmung einholen. Der Kunde kreuzt selbst ein Kästchen an (nicht vorangekreuzt) oder trägt sich aktiv ein. Nennen Sie klar den Zweck: Kontaktaufnahme, um nach einer Bewertung zu fragen.
2. 2Bestätigungsmail senden. An die angegebene Adresse geht eine Mail mit einem Bestätigungslink. Erst der Klick darauf schließt die Einwilligung ab, so verhindern Sie fremde oder falsche Adressen.
3. 3Nachweis speichern. Protokollieren Sie Datum, Uhrzeit, den genauen Einwilligungstext und die Bestätigung. Dieser Nachweis ist Ihre Absicherung gegenüber Aufsichtsbehörden und bei Abmahnungen.

Ein Nebeneffekt, den viele übersehen: Wer das Double-Opt-in schon beim Abschluss einholt, hat die Einwilligung im Kasten, bevor der Kunde weg ist, und muss später nicht hinterhertelefonieren. Rechtssicherheit und Antwortquote hängen hier am selben Faden. Wann genau die Bitte den größten Effekt hat und wie Sie sie in den Tagesablauf einbauen, ohne dass es lästig wirkt, klärt der Leitfaden Mehr Google-Bewertungen bekommen.

Selten bleibt eine Bewertung bei reinem Text. Nennen Sie den Klarnamen eines Kunden, zeigen Sie ein Porträt, die fertig sanierte Küche oder ein Vorher-/Nachher-Bild, schon verarbeiten Sie personenbezogene Daten. Für die öffentliche Nutzung brauchen Sie eine eigene, zweckgebundene Einwilligung nach Art. 6 DSGVO. Und zwar eine zweite, getrennt von der Einwilligung in die Bewertungsbitte. Eine Zustimmung deckt nicht automatisch die andere ab.

Vorsicht bei sensiblen Motiven: Zeigt ein Bild etwa eine Gesundheitsbehandlung, eine religiöse Zugehörigkeit oder andere besondere Kategorien personenbezogener Daten, greift Art. 9 DSGVO. Dann ist eine ausdrückliche Einwilligung Pflicht, und die Anforderungen sind deutlich höher. Bei Aufnahmen aus einer Wohnung oder Praxis gilt: Namensschilder, Dokumente und im Hintergrund erkennbare Personen möglichst unkenntlich machen, wenn keine Einwilligung vorliegt.

Jede Einwilligung muss widerrufbar bleiben. Meldet sich ein Kunde und zieht sie zurück, entfernen Sie Foto oder Klarnamen zeitnah, Wochen später reicht nicht. Ein kurzer, dokumentierter Freigabeprozess pro Bild klingt nach Bürokratie, erspart Ihnen aber genau den Ärger, den niemand will.

Verlinken Sie sparsam. Ein direkter Link zum Bewertungsprofil auf Google, Trustpilot oder einer Branchenplattform genügt. Widerstehen Sie der Versuchung, Tracking, Third-Party-Pixel oder personenbeziehbare Parameter anzuhängen, jedes zusätzliche Datenfeld müssen Sie durch Zweck und Rechtsgrundlage rechtfertigen. Hier ist weniger nicht nur schlanker, sondern auch die robustere Wahl.

Genauso heikel: Ihre eigenen öffentlichen Antworten. Dort dürfen keine sensiblen Kundendaten auftauchen, keine Vertrags-, Auftrags- oder Gesundheitsdetails, keine Adressen, nichts, was Rückschlüsse zulässt. Auch nicht, wenn der Kunde selbst Details ausgeplaudert hat. Er darf das, Sie nicht. Solche Fälle klären Sie über einen privaten Kanal. Wie Sie souverän und datensparsam antworten, zeigen unsere Vorlagen für Google-Antworten. Bei kritischen Rezensionen hilft der Ratgeber Negative Google-Bewertung: löschen oder antworten?.

Sobald ein Tool in Ihrem Auftrag Kundenkontakte anschreibt, Bewertungen einsammelt oder verwaltet, verarbeitet der Anbieter personenbezogene Daten für Sie. Damit sind Sie nach Art. 28 DSGVO zu einem Auftragsverarbeitungsvertrag (AVV) verpflichtet. Er hält fest, was der Anbieter mit den Daten darf, welche technischen und organisatorischen Maßnahmen gelten und wie Löschung und Betroffenenrechte gehandhabt werden. Fehlt der AVV, ist die Zusammenarbeit angreifbar, und im Zweifel sind Sie es, den die Aufsichtsbehörde fragt, nicht der Dienstleister.

Der zweite Punkt wird gern übersehen: der Verarbeitungsort. Bleiben die Daten ausschließlich in der EU beziehungsweise in Deutschland, und werden auch keine Unterauftragsverarbeiter in Drittländern eingebunden, reduziert das den ganzen Apparat um Drittlandtransfers: Standardvertragsklauseln, Transfer-Impact-Assessments und was sonst noch dazugehört. EU-Hosting ist deshalb ein handfester Compliance-Vorteil, bei Capturfy bleibt die Verarbeitung genau aus diesem Grund innerhalb der EU. Prüfen Sie bei jedem Tool zuerst diese beiden Punkte: liegt ein AVV vor, und wo genau landen die Daten? Einen Anbietervergleich mit Blick auf Funktionen und Datenschutz finden Sie unter Capturfy vs. ProvenExpert, Trustami & Trustpilot.