Lieferantenbonität prüfen: Rechtsgrundlage, Information und Löschfrist

Wer vor einer Bestellung die Bonität eines Lieferanten aus einer Wirtschaftsdatenbank abruft, braucht dafür eine klare datenschutzrechtliche Grundlage. Entscheidend ist zuerst, ob der Datensatz eine bestimmte oder bestimmbare natürliche Person betrifft. Danach müssen Zweck, Datenquelle, Information, Aktualität, Zugriff und Löschfrist feststehen.

Bei einer Gesellschaft kann die Bonitätsinformation zunächst die juristische Person betreffen. Einzelunternehmen, persönlich haftende Personen sowie Geschäftsführungs- oder Kontaktdaten können jedoch einen Personenbezug herstellen. Dieser Beitrag behandelt die Prüfung im B2B-Einkauf. Kundenkredite, Beschäftigtendaten, automatisierte Bonitätsentscheidungen und allgemeine Auskunftsbegehren gehören zu anderen Prüfungen.

Die DSGVO schützt Informationen über eine bestimmte oder bestimmbare natürliche Person. Eine Wirtschaftsdatenbank kann zwar die Zahlungsfähigkeit einer Gesellschaft bewerten. Enthält sie zugleich Namen, Einzelunternehmensdaten, Angaben zu persönlich haftenden Personen oder Kontaktdaten, ist der Personenbezug gesondert zu prüfen. Die Bezeichnung „Lieferant“ beantwortet diese Frage allein nicht.

Für die Einordnung kommt es auf den konkreten Datensatz und die Mittel an, mit denen das Unternehmen eine Person identifizieren kann. Auch eine Kennung oder eine Verbindung mit einem bestehenden Lieferantenkonto kann ausreichen, wenn die Zuordnung mit vertretbarem Aufwand möglich ist. Der Abruf sollte deshalb mit den tatsächlich verwendeten Feldern dokumentiert werden.

Art. 5 Abs. 1 lit. a bis f DSGVO verlangt Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Art. 5 Abs. 2 DSGVO legt die Verantwortung für den Nachweis beim Verantwortlichen fest. Eine Bonitätsprüfung beginnt daher mit der Daten- und Zweckklärung.

Art. 6 DSGVO erlaubt die Verarbeitung nur, wenn mindestens eine gesetzliche Voraussetzung erfüllt ist. Für einen Bonitätsabruf im B2B-Einkauf wird häufig ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO geprüft. Dieses Interesse muss konkret beschrieben werden. Eine allgemeine Vorsicht gegenüber jedem Lieferanten reicht als Begründung nicht aus.

Die Prüfung umfasst drei Fragen. Welches wirtschaftliche oder organisatorische Interesse verfolgt das Unternehmen? Ist der Abruf für diesen Einkaufsfall erforderlich? Überwiegen die Interessen oder Grundrechte der betroffenen Person trotz des Abrufs? Das Ergebnis gehört vor die erste Abfrage und muss den Datenumfang, die Quelle und den vorgesehenen Zugriff berücksichtigen.

Andere Rechtsgrundlagen können je nach Sachverhalt in Betracht kommen. Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO setzt eine Verarbeitung voraus, die für einen Vertrag mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Anfrage erforderlich ist. Bei einem Lieferantenunternehmen und einer verbundenen natürlichen Person darf diese Voraussetzung nicht pauschal unterstellt werden.

Die Rechtsgrundlage muss außerdem zum tatsächlichen Ablauf passen. Wird das Ergebnis später für einen anderen Zweck verwendet, etwa für eine allgemeine Lieferantenrangliste oder eine automatisierte Ablehnung, braucht auch dieser Schritt eine eigene Prüfung. Der vorliegende Beitrag behandelt die Bonitätsprüfung im Einkauf und keine automatisierte Einzelentscheidung.

Wer Bonitätsdaten aus einer Wirtschaftsdatenbank bezieht, erhebt sie regelmäßig nicht bei der betroffenen Person. Dann ist Art. 14 DSGVO maßgeblich. Die Information muss verständlich erklären, wer verantwortlich ist, für welchen Zweck die Daten verarbeitet werden und auf welcher Rechtsgrundlage der Abruf beruht.

Art. 14 Abs. 1 DSGVO nennt außerdem die Kategorien personenbezogener Daten, Empfänger oder Empfängerkategorien sowie geplante Übermittlungen in Drittländer. Art. 14 Abs. 2 DSGVO ergänzt die für eine faire und transparente Verarbeitung erforderlichen Angaben. Dazu gehören insbesondere die Speicherdauer oder die Kriterien für ihre Festlegung, bei Art. 6 Abs. 1 lit. f DSGVO die verfolgten berechtigten Interessen sowie die einschlägigen Betroffenenrechte.

Zur Quelle gehört eine konkrete Bezeichnung der Wirtschaftsdatenbank oder des sonstigen Datenlieferanten. Eine Formulierung wie „öffentliche Quellen“ lässt offen, woher der konkrete Eintrag stammt. Die Information sollte auch erklären, welche Datenkategorien abgerufen werden und ob die Information nur zur Einkaufsprüfung oder für weitere Lieferantenprozesse verwendet wird.

Art. 14 Abs. 3 DSGVO regelt den Zeitpunkt der Information. Die Regel hängt davon ab, wann die Daten erhoben werden, wann erstmals mit der betroffenen Person kommuniziert wird oder wann eine Offenlegung gegenüber einem anderen Empfänger vorgesehen ist. Ausnahmen nach Art. 14 Abs. 5 DSGVO müssen für den konkreten Ablauf geprüft und dokumentiert werden.

Art. 5 Abs. 1 lit. d DSGVO verlangt sachlich richtige und erforderlichenfalls aktuelle Daten. Ein Bonitätseintrag ist daher kein unveränderlicher Befund. Das Unternehmen sollte Abrufdatum, Datenquelle, relevante Datenkategorie und die interne Verwendung des Ergebnisses festhalten. Je älter ein Eintrag ist, desto vorsichtiger muss seine Aussagekraft bewertet werden.

Ein auffälliger oder widersprüchlicher Datensatz verlangt eine Klärung vor einer nachteiligen Einkaufsentscheidung. Dazu können eine Rückfrage bei der Datenbank, die Prüfung weiterer aktueller Unterlagen oder die Einholung einer Stellungnahme des Lieferanten gehören. Der Prozess sollte zeigen, wer eine Unrichtigkeit beurteilt und wie eine Berichtigung oder Löschung angestoßen wird.

Die Zweckbindung begrenzt die Weiterverwendung. Ein Abruf zur Entscheidung über eine konkrete Bestellung darf nicht stillschweigend zu einem dauerhaften Lieferantenprofil für beliebige Zwecke werden. Werden Ergebnisse in einem Einkaufssystem gespeichert, müssen Berechtigungskreis, Nutzungszweck und Aufbewahrungslogik dazu passen.

Der Beitrag zur Prüfung neuer Software und KI vor dem Rollout behandelt eine vorgelagerte Risikofrage bei neuen Technologien. Die dortige DSFA-Prüfung ersetzt keine Einzelfallkontrolle der Bonitätsdaten. Umgekehrt macht ein einzelner Datenbankabruf aus einer manuellen Einkaufsprüfung keine KI-Anwendung.

Art. 5 Abs. 1 lit. e DSGVO enthält keine pauschale Löschfrist für jede Lieferantenbonitätsprüfung. Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Das Unternehmen muss daher den konkreten Prüfzweck und dessen Ende bestimmen.

Bei einer einzelnen Bestellung kann der Zweck mit der Einkaufsentscheidung enden. Bei einer laufenden Lieferantenbeziehung kann eine wiederkehrende Prüfung vorgesehen sein. Auch dann braucht es ein nachvollziehbares Kriterium, etwa die dokumentierte Notwendigkeit für einen bestimmten Einkaufs- oder Risikoprozess. Eine dauerhafte Speicherung aus Gewohnheit genügt nicht.

Die Löschprüfung muss das Ergebnis und die abgeleiteten Notizen erfassen. Zu prüfen sind außerdem Exporte, E-Mail-Anhänge, lokale Dateien, Tickets und Kopien in Einkaufssystemen. Werden nur die Datenbankabfrage und nicht die daraus erstellten Vermerke gelöscht, bleibt der Personenbezug möglicherweise bestehen.

Art. 14 Abs. 2 lit. a DSGVO verlangt, die Speicherdauer oder die Kriterien für ihre Festlegung mitzuteilen. Diese Information sollte mit dem internen Löschkonzept übereinstimmen. Wenn eine andere gesetzliche Pflicht oder ein konkreter Rechtsverteidigungsbedarf eine längere Speicherung nahelegt, muss die zusätzliche Grundlage und der Umfang gesondert geprüft werden.

Der Zugriff auf das Bonitätsergebnis gehört in den Kreis der Personen, die den konkreten Einkaufs- oder Freigabeprozess bearbeiten. Art. 5 Abs. 1 lit. c und f DSGVO sprechen für eine begrenzte, zweckbezogene Nutzung und angemessene Sicherheit. Eine frei zugängliche Ablage im gesamten Unternehmen passt regelmäßig nicht zu diesem Zweck.

Legen Sie fest, welche Rollen den Rohdatensatz sehen, wer nur eine Freigabeempfehlung erhält und wer eine Unrichtigkeit prüfen darf. Protokollieren Sie Abruf, Änderung und Löschung so, dass die spätere Kontrolle möglich ist. Zugriffsrechte sollten bei einem Rollenwechsel und am Ende des Prüfzwecks angepasst werden.

Eine manuelle Bonitätsprüfung ist von einer automatisierten Entscheidung zu unterscheiden. Wenn ein System ohne maßgebliche menschliche Prüfung über einen Lieferanten oder eine natürliche Person entscheidet, entstehen weitere Fragen. Der bestehende Beitrag zur automatisierten Bonitätsprüfung behandelt diesen eigenen Sachverhalt. Er ist von der hier beschriebenen manuellen Vorbereitung einer Bestellung getrennt.

Vor dem ersten Abruf sollte eine kurze Freigabeakte vorliegen. Sie nennt den Lieferantenprozess, den konkreten Prüfzweck, den möglichen Personenbezug, die ausgewählten Datenfelder und die Quelle. Eine bloße Einstellung im Einkaufssystem zeigt diese Entscheidung nicht ausreichend.

Ergänzen Sie die Rechtsgrundlage und bei einem berechtigten Interesse die Interessenabwägung. Halten Sie fest, weshalb die Abfrage für den konkreten Einkaufsfall erforderlich ist, welche Personen Zugriff erhalten und wie mit widersprüchlichen oder veralteten Einträgen umgegangen wird.

Bereiten Sie die Information nach Art. 14 DSGVO vor. Die Information sollte Quelle, Kategorien, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer oder Speicherkriterien und Rechte verständlich erklären. Prüfen Sie den Zeitpunkt der Mitteilung sowie allfällige Ausnahmen vor dem Start.

Zum Schluss werden Löschereignis, Löschkriterium und Verantwortlichkeit festgelegt. Nach der Prüfung kontrolliert das Unternehmen das Ergebnis, dokumentiert die Einkaufsentscheidung in der erforderlichen Form und entfernt die Bonitätsdaten samt bekannten Kopien, sobald der Zweck endet.

Der Personenbezug wird pauschal verneint: Der Datensatz betrifft zwar einen Lieferanten, enthält aber Angaben zu einer natürlichen Person oder lässt sie über das Lieferantenkonto bestimmen.

Die Rechtsgrundlage bleibt eine Routineformel: „Risikoprüfung“ erklärt weder das konkrete Interesse noch die Erforderlichkeit und Abwägung.

Die Datenquelle bleibt ungenannt: Die betroffene Person kann nicht nachvollziehen, aus welcher Wirtschaftsdatenbank die Information stammt.

Ein alter Eintrag wird als aktueller Befund behandelt: Abrufdatum, Aktualität, widersprüchliche Angaben und Korrekturweg werden nicht geprüft.

Das Ergebnis bleibt im Einkaufssystem liegen: Die Löschfrist betrifft die Datenbankabfrage, aber nicht die daraus erstellten Notizen, Exporte und Anhänge.

Jede Einkaufsrolle erhält denselben Zugriff: Rohdaten und Bonitätsbewertung werden ohne klare Aufgabenbegrenzung weitergegeben.

Gemeinsam prüfen wir den Bezug zu personenbezogenen Daten, den Beschaffungszweck, die Rechtsgrundlage, die Wirtschaftsdatenbank, die Information nach Art. 14 DSGVO, die zugriffsberechtigten Rollen und die Löschkontrollen. Für eine erste Einschätzung helfen die Prozessbeschreibung, ein Beispielauszug der Datenbank, die Interessenabwägung und das geplante Löschkonzept. So bleibt die Bonitätsprüfung im Einkauf nachvollziehbar.

Für die Abgrenzung von Personenbezug und Zusatzwissen ist der Beitrag zur Anonymisierung und Pseudonymisierung ergänzend hilfreich. Geht danach eine betroffene Person mit einer Anfrage auf Ihr Unternehmen zu, ordnet der Beitrag zu Auskunftsbegehren nach Art. 15 DSGVO den allgemeinen Ablauf ein.