Datenschutz bei der automatischen Auftragserfassung: Worauf Sie achten sollten

Wer Bestellungen automatisch erfassen lässt, gibt Daten aus dem eigenen Posteingang an ein weiteres System weiter. Darin stehen nicht nur Artikelnummern und Mengen, sondern auch Namen, E-Mail-Adressen und Lieferanschriften. Spätestens wenn ein externer Dienstleister die Bestellungen liest, stellt sich die Frage, wie der Datenschutz bei der Auftragserfassung gewahrt bleibt.

In unserem Leitfaden zum Automatisieren der Auftragserfassung ist der Datenschutz ein Prüfpunkt bei der Auswahl einer Lösung. Dieser Beitrag geht tiefer: welche personenbezogenen Daten in Bestellungen stecken, wie Sie die Datenmenge klein halten, wo die Daten verarbeitet werden, was ein Auftragsverarbeitungsvertrag regelt und welche Fragen Sie jedem Anbieter stellen sollten.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Stimmen Sie die Umsetzung in Ihrem Unternehmen mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung ab.

Welche personenbezogenen Daten in Bestellungen stecken

Auch wenn ausschließlich Geschäftskunden bestellen, sind Bestellungen selten frei von personenbezogenen Daten. Personenbezogen ist jede Angabe, die sich einer bestimmten Person zuordnen lässt, und dazu gehören auch dienstliche Kontaktdaten. Typisch sind:

• Ansprechpartner im Einkauf mit Name, dienstlicher E-Mail-Adresse und Telefonnummer
• Liefer- und Rechnungsadressen, oft mit einem Namen „zu Händen von“
• Hinweise im Freitext, etwa bei wem die Ware abgegeben werden soll
• Absenderangaben und Signaturen der E-Mail, mit der die Bestellung eintrifft
• Firmennamen von Einzelunternehmen, die häufig den Namen der Inhaberin oder des Inhabers enthalten

Ein fiktives Beispiel: Die Metallbau Muster GmbH schickt eine Bestellung als PDF. Darauf stehen neben den Positionen der Name der Einkäuferin, ihre Durchwahl und ein Lieferhinweis mit dem Namen des Lagerleiters. Die E-Mail selbst endet mit einer Signatur samt Mobilnummer. Keine dieser Angaben ist ungewöhnlich, aber alle sind personenbezogen.

Daneben enthalten Bestellungen Informationen, die zwar nicht personenbezogen, aber vertraulich sind: Preise, Konditionen, Mengen und Ihre Kundenbeziehungen. Die Fragen in diesem Beitrag helfen auch dabei, diese Geschäftsdaten zu schützen.

Datenminimierung: Nur verarbeiten, was der Auftrag braucht

Die DSGVO verlangt, personenbezogene Daten auf das Maß zu beschränken, das für den jeweiligen Zweck notwendig ist. Für die Auftragserfassung heißt das ganz praktisch:

• Ein eigenes Bestellpostfach statt Zugriff auf persönliche Postfächer. Gehen Bestellungen heute an einzelne Mitarbeitende, lohnt sich eine zentrale Bestelladresse. Dann erreicht die automatische Verarbeitung nur, was für sie bestimmt ist. Wie Sie das Postfach vorbereiten, beschreibt der Beitrag Bestellungen per E-Mail automatisch verarbeiten.
• Klare Regeln für fremde Mails. Bewerbungen, Reklamationen oder private Nachrichten haben in der Auftragserfassung nichts verloren. Legen Sie fest, was mit Nachrichten ohne Bestellung passiert.
• Nur benötigte Felder übernehmen. Braucht der Auftrag in Ihrer Warenwirtschaft den Namen des Bestellers, oder genügen Kundennummer und Bestellnummer des Kunden? Entscheiden Sie bewusst, welche Angaben in den Auftrag wandern.
• Stammdaten sparsam teilen. Für den Abgleich braucht ein System Ihren Kunden- und Artikelstamm. Klären Sie, welche Felder dafür nötig sind. Interne Notizen oder Bankverbindungen aus dem Kundenstamm gehören in der Regel nicht dazu. Wie der Abgleich funktioniert, lesen Sie in Kunden- und Artikelabgleich automatisieren.

Wo die Daten verarbeitet werden

Bei einer automatischen Auftragserfassung durchlaufen Bestellungen mehrere Stationen: Posteingang, Auslesen durch die KI, Abgleich mit den Stammdaten und Übergabe an die Warenwirtschaft. Fragen Sie für jede Station, wo die Server stehen. Das betrifft nicht nur den Anbieter selbst, sondern auch dessen Dienstleister, zum Beispiel für das Hosting oder das eingesetzte KI-Modell. Diese Unterauftragsverarbeiter sollte Ihnen der Anbieter benennen können.

Der Standort hat rechtliche Folgen. Innerhalb der EU und des Europäischen Wirtschaftsraums gilt die DSGVO einheitlich. Werden personenbezogene Daten in andere Länder übermittelt, stellt die DSGVO zusätzliche Anforderungen an diese Übermittlung. Geben Sie sich deshalb nicht mit der Antwort „in der Cloud“ zufrieden, sondern fragen Sie nach den konkreten Ländern.

Was ein Auftragsverarbeitungsvertrag regelt

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen, schreibt die DSGVO in der Regel einen Vertrag zur Auftragsverarbeitung vor, kurz AVV. Sie bleiben dabei für die Daten verantwortlich, und der Dienstleister darf sie nur für Ihre Zwecke verwenden.

Ein AVV regelt unter anderem:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• welche Arten von Daten und welche Personengruppen betroffen sind
• dass der Dienstleister nur auf Ihre Weisung handelt und seine Beschäftigten zur Vertraulichkeit verpflichtet
• die technischen und organisatorischen Maßnahmen zum Schutz der Daten
• ob und unter welchen Bedingungen Unterauftragsverarbeiter eingesetzt werden
• was mit den Daten nach Vertragsende geschieht

Lassen Sie sich den AVV vor der Entscheidung zeigen, nicht erst danach. Klären Sie außerdem mit Ihrem Datenschutzbeauftragten, ob und wie die neue Verarbeitung in Ihr Verzeichnis von Verarbeitungstätigkeiten aufgenommen wird.

Zugriffsrechte: Wer sieht welche Bestellung?

Datenschutz entscheidet sich nicht nur im Vertrag, sondern auch bei den Rechten im Alltag. Klären Sie zwei Seiten:

Beim Anbieter: Wer kann Ihre Bestellungen einsehen, etwa für Support oder Fehlersuche? Geschieht das nur anlassbezogen, und wird der Zugriff protokolliert?

In Ihrem Unternehmen: Wer prüft unklare Bestellungen, und wer verwaltet die Einstellungen? Persönliche Zugänge statt eines gemeinsamen Logins machen nachvollziehbar, wer was geändert hat. Scheidet jemand aus, wird sein Zugang entzogen.

Für die Anbindung an die Warenwirtschaft gilt dasselbe Prinzip: Die Auftragserfassung braucht einen Weg, Aufträge anzulegen, aber keinen Vollzugriff auf Ihr gesamtes System. Eine Bestellschnittstelle mit klar umrissenen Rechten ist hier die saubere Lösung. Mehr dazu finden Sie im Beitrag Auftragserfassung an die Warenwirtschaft anbinden.

Aufbewahrung und Löschung

Personenbezogene Daten sollen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Bei der Auftragserfassung lohnt es sich, zwei Ebenen zu trennen:

• Der Auftrag in Ihrer Warenwirtschaft und die ursprüngliche Bestellung unterliegen Ihren eigenen Aufbewahrungsregeln. Für Handels- und Steuerunterlagen gelten gesetzliche Aufbewahrungsfristen. Welche davon für Ihre Bestellungen greifen, klären Sie mit Ihrer Steuerberatung.
• Die Kopien beim Anbieter, also PDFs, erkannte Daten und Protokolle, werden nach erfolgreicher Übergabe meist nur noch für Rückfragen oder Fehleranalysen gebraucht. Fragen Sie, wie lange sie gespeichert bleiben, ob Sie die Frist mitbestimmen können und wie die Löschung nachgewiesen wird.

Eine Frage wird oft vergessen: Werden Ihre Bestellungen verwendet, um KI-Modelle zu trainieren oder zu verbessern? Die Antwort sollte eindeutig sein und sich im Vertrag wiederfinden.

Diese Fragen stellen Sie jedem Anbieter

1. In welchen Ländern stehen die Server, auf denen Bestellungen, Stammdaten und die KI-Verarbeitung laufen?
2. Welche Unterauftragsverarbeiter sind beteiligt, und wo verarbeiten diese die Daten?
3. Können wir den Auftragsverarbeitungsvertrag vorab einsehen?
4. Welche technischen und organisatorischen Maßnahmen setzen Sie ein, etwa zu Verschlüsselung, Zugriffsschutz und Protokollierung?
5. Welche Felder aus unserem Kunden- und Artikelstamm benötigt das System?
6. Wer bei Ihnen kann unsere Bestellungen einsehen, und in welchen Fällen?
7. Wie lange speichern Sie PDFs, erkannte Daten und Protokolle, und wie wird gelöscht?
8. Werden unsere Daten zum Training von KI-Modellen verwendet?
9. Was geschieht mit unseren Daten, wenn wir den Vertrag beenden?
10. Wie informieren Sie uns bei einem Datenschutzvorfall?

Lassen Sie sich die Antworten schriftlich geben. So vergleichen Sie Anbieter auf derselben Grundlage, und Ihr Datenschutzbeauftragter kann sie prüfen.

Wie Order2.ai in dieses Bild passt

Order2.ai, unsere Lösung für automatische Auftragserfassung, liest Bestellungen, die als PDF-Anhang per E-Mail eintreffen. Die KI erkennt Kopf- und Positionsdaten unabhängig vom Layout des Kunden, gleicht Kunde und Artikel mit Ihren Stammdaten ab und übergibt den fertigen Auftrag als XML an Ihre Bestellschnittstelle. Order2.ai verarbeitet Bestellungen auf Servern in Europa.

Für die Anbindung an Ihre Warenwirtschaft gibt es zwei Wege: Haben Sie bereits eine Bestellschnittstelle, docken wir direkt an Ihr System an. Haben Sie noch keine, entwickeln wir als Softwarehaus die passende Schnittstelle passgenau für Ihr System. Ihre Kunden bestellen dabei wie gewohnt per E-Mail mit PDF-Anhang.

Die Fragenliste aus diesem Beitrag gilt für jeden Anbieter, auch für uns. Bringen Sie sie gern ins Gespräch mit.

Fazit

Datenschutz bei der Auftragserfassung beginnt nicht erst beim Vertrag, sondern beim Postfach. Je klarer Sie festlegen, welche Mails und welche Felder verarbeitet werden, desto weniger personenbezogene Daten fließen überhaupt. Dazu kommen klare Antworten zum Verarbeitungsort, ein Auftragsverarbeitungsvertrag, sauber vergebene Zugriffsrechte und feste Regeln für die Löschung. Mit der Fragenliste oben prüfen Sie jedes Angebot gezielt.

In einem kostenlosen 30-minütigen Erstgespräch klären wir, was sich in Ihren Prozessen automatisieren lässt. Ihre Fragen zum Datenschutz können Sie gern mitbringen. Die Preise pro Bestellung richten sich nach Ihrem monatlichen Bestellvolumen.