DSGVO im Einkauf - Datenschutz in der Beschaffung
Wo personenbezogene Daten im Einkauf entstehen und was die DSGVO dazu erwartet
Auch im Einkauf werden personenbezogene Daten verarbeitet: Lieferantenkontakte, Bedarfsträger, Freigeber und Nutzerkonten. Dieser Beitrag erklärt allgemeinverständlich, wie die DSGVO in Beschaffungsprozessen greift - von der Rechtsgrundlage über den Speicherort bis zu den Rechten der Betroffenen.
- Datenminimierung im Fokus
- EU-Hosting möglich
- Rollen- und Rechteverwaltung
- Audit-Trail und Änderungsprotokolle
Was bedeutet DSGVO im Einkauf?
DSGVO im Einkauf bezeichnet die Anwendung der Datenschutz-Grundverordnung auf Beschaffungsprozesse, in denen personenbezogene Daten von Lieferantenkontakten, Anforderern, Freigebern und Systemnutzern verarbeitet werden. Der Einkauf ist dabei doppelt betroffen: als Verarbeiter solcher Daten in den eigenen Prozessen und als Stelle, die Dienstleister auswählt, die im Auftrag des Unternehmens personenbezogene Daten verarbeiten.
Welche personenbezogenen Daten im Einkauf anfallen
Die DSGVO schützt natürliche Personen. Reine Unternehmensdaten wie Firma, Anschrift oder Umsatz einer juristischen Person fallen nicht darunter, wohl aber die Daten der Ansprechpartner dort und die Daten von Einzelunternehmern.
| Bereich | Typische Daten | Betroffene |
|---|---|---|
| Lieferantenstammdaten | Namen, geschäftliche E-Mail-Adressen und Telefonnummern von Ansprechpartnern; bei Einzelunternehmern auch Anschrift und Bankverbindung | Beschäftigte der Lieferanten, Einzelunternehmer |
| Bestellanforderung und Bestellung | Anforderer, Lieferadresse mit Empfängername, Kostenstelle | Eigene Beschäftigte |
| Freigaben | Wer wann was genehmigt oder abgelehnt hat, Kommentare | Eigene Beschäftigte |
| Benutzerkonten | Name, Kennung, Rolle, Anmeldezeiten | Eigene Beschäftigte, Benutzer im Lieferantenportal |
| Punchout | An den Lieferantenshop übergebene Benutzerangaben | Eigene Beschäftigte |
| Dienstleistungsbeschaffung | Namen, Qualifikationen und Einsatzzeiten eingesetzter Personen | Beschäftigte von Dienstleistern, Freiberufler |
Rechtsgrundlagen für die Verarbeitung
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Im Einkauf kommen vor allem drei in Betracht: die Erfüllung eines Vertrags mit der betroffenen Person (Art. 6 Abs. 1 lit. b), etwa bei Einzelunternehmern; die Erfüllung einer rechtlichen Verpflichtung (lit. c), etwa gesetzliche Aufbewahrungspflichten für Bestell- und Rechnungsbelege; und das berechtigte Interesse (lit. f), auf das sich die Verarbeitung von Kontaktdaten der Ansprechpartner bei Lieferanten in der Regel stützt.
Für die Daten der eigenen Beschäftigten, die als Anforderer oder Freigeber im System erscheinen, gelten zusätzlich die Regeln zum Beschäftigtendatenschutz. Welche Grundlage im Einzelfall trägt, legt das Unternehmen gemeinsam mit seiner oder seinem Datenschutzbeauftragten fest.
Die wichtigsten Pflichten im Überblick
| Thema | Fundstelle | Bedeutung im Einkauf |
|---|---|---|
| Grundsätze der Verarbeitung | Art. 5 DSGVO | Zweckbindung, Datenminimierung und Speicherbegrenzung gelten auch für Lieferanten- und Bestelldaten |
| Informationspflichten | Art. 13 und 14 DSGVO | Ansprechpartner bei Lieferanten und Nutzer von Portalen müssen erfahren, welche Daten wozu verarbeitet werden |
| Rechte der Betroffenen | Art. 15 bis 21 DSGVO | Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch müssen im Prozess umsetzbar sein |
| Auftragsverarbeitung | Art. 28 DSGVO | Mit Dienstleistern, die Daten im Auftrag verarbeiten, ist ein Vertrag zur Auftragsverarbeitung zu schließen |
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 DSGVO | Beschaffungsprozesse mit Personenbezug gehören in das Verzeichnis |
| Sicherheit der Verarbeitung | Art. 32 DSGVO | Technische und organisatorische Maßnahmen wie Rollenkonzept, Verschlüsselung und Protokollierung |
| Übermittlung in Drittländer | Art. 44 ff. DSGVO | Relevant, wenn Software oder Dienstleister Daten außerhalb der EU und des EWR verarbeiten |
Dieser Eintrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall gehört zu Ihrer oder Ihrem Datenschutzbeauftragten oder zu einer Rechtsberatung.
Aufbewahren und löschen
Der Grundsatz der Speicherbegrenzung verlangt, personenbezogene Daten zu löschen, sobald sie für den Zweck nicht mehr erforderlich sind. Dem stehen im Einkauf gesetzliche Aufbewahrungspflichten aus dem Handels- und Steuerrecht gegenüber, die für Bestellungen, Rechnungen und Geschäftskorrespondenz gelten. Solange diese Fristen laufen, dürfen die Belege nicht gelöscht werden; ihre Nutzung sollte aber auf diesen Zweck beschränkt sein.
Praktisch bedeutet das ein Löschkonzept mit unterschiedlichen Fristen: Belege bleiben für die Dauer der gesetzlichen Aufbewahrung erhalten, während Kontaktdaten nicht mehr aktiver Lieferanten, abgelaufene Benutzerkonten und nicht mehr benötigte Protokolle früher gelöscht oder anonymisiert werden.
Der Einkauf als Auftraggeber: Datenschutz in der Lieferantenauswahl
Wenn der Einkauf Software oder Dienstleistungen beschafft, bei denen der Anbieter personenbezogene Daten im Auftrag verarbeitet, wird Datenschutz zum Vergabekriterium. Vor der Beauftragung sollte geklärt sein, ob der Anbieter hinreichende Garantien für eine datenschutzkonforme Verarbeitung bietet.
- Liegt eine Auftragsverarbeitung vor, und gibt es einen Vertrag nach Art. 28 DSGVO?
- Wo werden die Daten gespeichert und verarbeitet, und welche Unterauftragnehmer sind beteiligt?
- Welche technischen und organisatorischen Maßnahmen weist der Anbieter nach?
- Wie werden Daten bei Vertragsende zurückgegeben oder gelöscht?
- Wie unterstützt der Anbieter bei Auskunfts- und Löschanfragen betroffener Personen?
Typische Stolpersteine in Einkaufssystemen
- Punchout: Beim Absprung in einen Lieferantenshop werden Benutzerdaten übergeben. Oft genügt ein technischer Zugang je Kunde ohne Namen und E-Mail-Adressen.
- Audit-Trail: Freigabe- und Änderungsprotokolle sind für die Nachvollziehbarkeit nötig, enthalten aber personenbezogene Daten. Zugriff und Aufbewahrungsdauer sollten begrenzt sein.
- Auswertungen: Berichte über das Bestell- und Freigabeverhalten einzelner Personen können der Mitbestimmung des Betriebsrats unterliegen.
- Freitextfelder: In Kommentaren und Anhängen landen leicht Daten, die dort nicht hingehören.
- Lieferantenportal: Lieferanten pflegen Kontaktdaten selbst; das Portal braucht eigene Datenschutzhinweise und ein Rollenkonzept.
Verwandte Begriffe und passende Ovenca-Module
- Audit-Trail
Protokolle über Freigaben und Änderungen und ihre Rolle für die Nachweisführung.
- Freigabematrix
Rollen und Wertgrenzen, deren Anwendung protokolliert wird.
- OCI-Schnittstelle einrichten
Welche Benutzerdaten ein Katalogaufruf wirklich übergeben muss.
- Lieferantenportal
Lieferanten pflegen ihre Katalogdaten selbst in einer eigenen Umgebung, getrennt vom Shop der Bedarfsträger.
- Rollen, Rechte und Protokolle im Adminbereich
Festlegen, wer welche Daten sieht, und Zugriffe nachvollziehen.
- Lieferkettengesetz-Software
Weitere Prüf- und Dokumentationspflichten gegenüber Lieferanten.
Wo die DSGVO im Einkauf greift
Von der Rechtsgrundlage bis zu den Betroffenenrechten
Rechtsgrundlage und Datenminimierung
Jede Verarbeitung personenbezogener Daten im Einkauf braucht eine Rechtsgrundlage, etwa die Erfüllung eines Vertrags oder ein berechtigtes Interesse. Erhoben werden sollten nur die Daten, die für den jeweiligen Zweck wirklich erforderlich sind.
- Zweck vorab bestimmen
- Nur erforderliche Felder erheben
- Aufbewahrungsfristen festlegen
Speicherort und Hosting
Wo Daten liegen, ist datenschutzrelevant. Ein bewusst gewählter Speicherort und ein transparentes Hosting-Konzept erleichtern die Einhaltung der Vorgaben, besonders wenn ein Verbleib der Daten in der EU gewünscht ist.
- Speicherort bewusst wählen
- EU-Hosting prüfen
- Zugriffe dokumentieren
Auftragsverarbeitung und Betroffenenrechte
Verarbeitet ein Dienstleister Daten im Auftrag, ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nötig. Zugleich haben betroffene Personen Rechte wie Auskunft, Berichtigung und Löschung, die im Prozess umsetzbar sein müssen.
- AVV mit Dienstleistern
- Auskunft und Löschung ermöglichen
- Anfragen nachvollziehbar bearbeiten
Datenschutzfreundlicher Einkauf mit Ovenca
Ovenca ist als ERP-agnostische Beschaffungsplattform so gestaltet, dass ein datenschutzkonformer Betrieb unterstützt wird. Die folgenden Punkte sind allgemeine Informationen und keine Rechtsberatung.
- Sie kontrollieren den Speicherort
- Ovenca läuft On-Premise, als Private Cloud oder hybrid. So bestimmen Sie, wo Ihre Daten liegen. Ein EU-Hosting ist möglich, und beim On-Premise-Betrieb bleiben Daten bei Ihnen statt bei einem externen SaaS-Anbieter.
- Rollen, Rechte und Nachvollziehbarkeit
- Eine granulare Rollen- und Rechteverwaltung steuert, wer welche Daten sieht. Audit-Trail und Änderungsprotokolle machen Zugriffe und Änderungen nachvollziehbar - eine gute Basis, um Betroffenenrechte und Auskunftspflichten zu unterstützen.
- DACH-Team und bewährter Betrieb
- Ovenca wird von einem Team aus dem DACH-Raum entwickelt und betreut und ist bei einem MDAX-Konzern (LANXESS) im Einsatz, mit dem Onveda seit 2014 zusammenarbeitet. Nähe zu europäischen Datenschutzanforderungen ist damit Teil der Praxis.
DSGVO im Einkauf: Fragen und Antworten
Weiterführende Seiten
Datenschutz im Einkauf konkret umsetzen?
Sprechen Sie mit uns darüber, wie ein Einkaufsprozess aussehen kann, der Datenminimierung, Speicherortkontrolle und Nachvollziehbarkeit von Anfang an mitdenkt - abgestimmt auf Ihre Anforderungen.