Data-Governance-Rollen zwischen Maisons und Lizenzpartnern

# Data-Governance-Rollen zwischen Maisons und Lizenzpartnern

Eine Kundin kauft am Duty-free-Schalter am Flughafen einen Duft, lizenziert und hergestellt von einem Beauty-Konzern, besucht anschließend die Flagship-Boutique der Maison in Paris, die die Marke direkt betreibt, und stöbert danach in der App derselben Maison, die ein regionales Joint Venture betreibt. Drei juristische Personen halten jetzt Teile der Daten dieser Kundin. Keine von ihnen ist sich mit den anderen völlig einig darüber, wer ihr als Nächstes eine E-Mail schicken darf. Das ist kein Gedankenspiel: Es ist der tägliche Betriebsalltag von Maisons wie Dior, Armani oder Burberry, deren Duft- und Beauty-Linien häufig an Gruppen wie L'Oréal oder Coty lizenziert sind, während E-Commerce in China oder im Nahen Osten oft über Joint Ventures (JVs) mit lokalen Partnern läuft.

Warum Lizenzierung die Dateneigentümerschaft aufteilt

Luxuskonzerne stellen und verkaufen selten alles selbst. Düfte und Kosmetik werden üblicherweise lizenziert: Die Maison besitzt Marke und Markenzeichen, aber ein Lizenznehmer (oft ein Beauty-Konzern) produziert, vermarktet und verkauft das Produkt, manchmal ein Jahrzehnt oder länger im Rahmen eines verlängerbaren Vertrags.

Für Daten ist das relevant, weil in der Regel der Lizenznehmer und nicht die Maison:

• die Point-of-Sale-Systeme (POS) besitzt, die erfassen, wer was gekauft hat.
• das CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → (Customer Relationship ManagementCustomer Relationship ManagementCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →, die Datenbank mit Kundenidentität, Kaufhistorie und Präferenzen) für diese Produktlinie betreibt.
• das Loyalty-Programm rund um Duftkäufe steuert.

Das Kern-CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → der Maison für Lederwaren oder Ready-to-wear und das Duft-CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen also komplett getrennte Systeme sein, im Besitz getrennter juristischer Personen, teils mit getrennten Consent-Einträgen für dieselbe Person.

Die E-Commerce-Joint-Venture-Ebene

Kommt eine zweite Wendung hinzu: In vielen Regionen, besonders in China, läuft der offizielle E-Commerce-Betrieb der Marke über ein JV mit einem lokalen Partner (eine gängige Struktur angesichts des regulatorischen Umfelds in China und des nötigen Zugangs zu lokalen Plattformen wie Tmall oder WeChat-Mini-Programmen).

Diese JV-Einheit:

• ist der Data Controller (die Partei, die entscheidet, warum und wie personenbezogene Daten verarbeitet werden, ein Begriff aus der EU-DSGVO, Datenschutz-Grundverordnung) für Online-Transaktionen in diesem Markt.
• kann dem chinesischen PIPL (Personal Information Protection Law, in Kraft seit 2021) unterliegen, das die grenzüberschreitende Übermittlung personenbezogener Daten chinesischer Bürger zurück an die Zentrale der Maison in Paris oder Mailand einschränkt.
• darf Rohdaten von Kunden oft rechtlich nicht ohne einen spezifischen Transfermechanismus (Standardvertragsklauseln, Sicherheitsprüfungen durch die Cyberspace Administration of China oder Ähnliches) an das globale CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → weitergeben.

Ergebnis: Die Zentrale sieht womöglich aggregierte Umsatzzahlen, aber nicht die zugrunde liegenden, individuell identifizierbaren Kundendatensätze aus diesem JV-Markt.

Die drei Governance-Rollen abbilden

Data-Governance-Frameworks trennen in der Regel drei Rollen, und in einer Struktur aus Maison plus Lizenznehmer plus JV kann jede in einem anderen Unternehmen liegen:

1. Data Owner: entscheidet, welche Daten zu welchem geschäftlichen Zweck erhoben werden. Im Duftbereich ist das typischerweise das Brand-Marketing-Team des Lizenznehmers, das unter einer mit der Maison vereinbarten Governance-Charta arbeitet.

2. Data Controller (DSGVO-Begriff): die juristische Person, die für Compliance, Gültigkeit der Einwilligungen und Antworten gegenüber Aufsichtsbehörden verantwortlich ist. Das kann der Lizenznehmer für Duftverkäufe in der EU sein, das JV für E-Commerce in Asien und die Maison selbst für direkte Boutique- und Website-Verkäufe im Heimatmarkt.

3. Data Processor (DSGVO-Begriff): ein Unternehmen, das Daten im Auftrag des Controllers vertraglich verarbeitet, ohne den Zweck zu bestimmen (zum Beispiel ein CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →-Softwareanbieter oder ein Logistikpartner, der Loyalty-Karten scannt).

Verwirrung entsteht, wenn man annimmt, die Maison sei immer der Controller. Oft ist sie es nicht, und das ändert, wen eine Aufsichtsbehörde wie die französische CNIL (Commission Nationale de l'Informatique et des Libertés) oder die italienische Garante tatsächlich zuerst prüfen würde.

Wer wen überstimmen kann

Die praktische Frage auf Vertragsebene: Wenn die Maison einen Kundendatensatz global sperren will (etwa nach einem Auskunfts- oder Löschersuchen nach Artikel 17 DSGVO, „Recht auf Löschung"), kann sie Lizenznehmer und JV zur Umsetzung zwingen?

Das hängt vollständig von den Lizenz- und JV-Verträgen ab, konkret:

• Klauseln zur Datenverarbeitung: Benennen sie die Maison als letztlichen Data Controller mit Override-Rechten, oder nur den Lizenznehmer bzw. das JV?
• Data-Sharing-Anhänge: Besteht eine vertragliche Pflicht, die Maison innerhalb einer festgelegten Frist über Datenschutzverletzungen oder Behördenanfragen zu informieren?
• Kündigungsregelungen: Wenn eine Lizenz endet (Duftlizenzen werden regelmäßig neu verhandelt, und es gibt Fälle wie Chanel und Burberry, die Beauty-Lizenzstrukturen angepasst oder beendet haben), wer behält die während der Lizenz erhobenen Kundendaten, und wer muss sie löschen oder zurückgeben?

Gut formulierte Verträge legen eine gemeinsame Verantwortlichkeit (joint controller arrangement) fest (ein formales DSGVO-Konzept, Artikel 26, bei dem zwei Einheiten gemeinsam Zwecke und Mittel festlegen und vertraglich definieren müssen, wer welche Pflichten übernimmt). Schlecht formulierte lassen das offen, was in dem Moment zum echten Problem wird, in dem eine Behörde fragt, „wer ist verantwortlich".

Eine einfache Governance-MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen → in der Praxis

Eine einfache RACI-Tabelle (Responsible, Accountable, Consulted, Informed, ein Standard-Governance-Werkzeug) für eine lizenzierte Duftlinie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte so aussehen:

| Datenaktivität | Maison | Lizenznehmer | JV (E-Commerce) |

|---|---|---|---|

| Legt Marken-Datenstandards fest | Accountable | Consulted | Informed |

| Besitzt Duft-POS-/CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen →-Daten | Informed | Accountable | Informed |

| Verwaltet EU-Consent-Einträge | Informed | Accountable | n/a |

| Verwaltet China-E-Commerce-Consent | Informed | n/a | Accountable |

| Genehmigt globale Marketingnutzung der Daten | Accountable | Consulted | Consulted |

| Beantwortet ein DSGVO-Auskunftsersuchen (EU-Kunde) | Consulted | Accountable | n/a |

| Beantwortet ein PIPL-Ersuchen (China-Kunde) | Informed | n/a | Accountable |

Diese Tabelle ist selbst ein Governance-Deliverable, das Maisons von Lizenznehmern und JVs einfordern und aktuell halten lassen sollten, idealerweise jährlich überprüft oder bei jeder wesentlichen Vertragsverlängerung.

Prüfungen und Audits, die sich lohnen

Für Lernende, die in Datenrollen auf Marken- oder Lizenzgeberseite wechseln, zählen vier konkrete Prüfungen am meisten:

1. Consent-Lineage-Audit: Verfolgen Sie einen Stichproben-Kundendatensatz vom Erhebungspunkt (Boutique-Tablet, E-Commerce-Checkout, Loyalty-Scan) durch jedes System, das ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → durchläuft. Prüfen Sie, ob der Consent-Wortlaut zur tatsächlichen nachgelagerten Nutzung passt. Abweichungen (Daten für „Auftragsabwicklung" erhoben, aber für markenübergreifendes Marketing genutzt) sind ein häufiges DSGVO-Risiko.

2. Mapping grenzüberschreitender Übermittlungen: Listen Sie jeden Fall auf, in dem Kundendaten zwischen JV, Lizenznehmer und Zentrale bewegt werden. Prüfen Sie, ob ein rechtlicher Transfermechanismus existiert (Standardvertragsklauseln nach DSGVO oder PIPL-konforme Mechanismen für China). Kostenlose Referenz: die Leitlinien des Europäischen Datenschutzausschusses veröffentlichen aktualisierte Vorgaben zu internationalen Übermittlungen.

3. Reaktionszeit bei Auskunfts- und Löschersuchen: Testen Sie, wie lange Lizenznehmer oder JV tatsächlich brauchen, um ein Ersuchen zu lokalisieren und umzusetzen. Die DSGVO setzt standardmäßig ein Monat Reaktionsfrist (in komplexen Fällen auf drei verlängerbar). Vertragliche SLAs (Service-Level-Agreements) mit Lizenznehmern sollten gleich eng oder enger sein.

4. Breach-Notification-Übung: Prüfen Sie, ob Lizenznehmer oder JV vertraglich verpflichtet sind, die Maison innerhalb einer festgelegten Stundenzahl nach Entdeckung einer Datenschutzverletzung zu informieren, deutlich bevor die 72-Stunden-Meldefrist der Aufsichtsbehörde (Artikel 33 DSGVO) für die eigene Meldepflicht der Maison abläuft, sofern sie gemeinsam Verantwortlicher ist.

Eine minimale Prüfung im Python-Stil, die ein Datenteam intern laufen lassen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte, um vor einem Kampagnenversand Datensätze ohne gültige Rechtsgrundlage zu markieren:

# Flag customer records lacking valid marketing consent before licensee campaign export
def flag_invalid_consent(records):
    flagged = []
    for r in records:
        if r["marketing_consent"] != True or r["consent_date"] is None:
            flagged.append(r["customer_id"])
    return flagged

Einfach, aber genau diese Art von Pre-Export-Gate sollte zwischen dem CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → eines Lizenznehmers und jeder globalen Marketingnutzung stehen.

🎬 [VIDEO: "GDPR Explained in 5 Minutes" - youtube.com - eine kompakte Einführung in die Konzepte Controller, Processor und Consent, auf die diese Lektion durchgehend Bezug nimmt]

Wichtigste Erkenntnisse

• In lizenzierten Kategorien (vor allem Duft und Beauty) ist üblicherweise der Lizenznehmer und nicht die Maison der Data Controller für die Kundendaten dieser Produktlinie, mit eigenem CRMCRMCustomer Relationship Management: software and strategy to manage and analyse customer interactions throughout their lifecycle.Vollständige Definition ansehen → und eigenen Consent-Einträgen.
• Regionale E-Commerce-JVs, verbreitet in China und im Nahen Osten, fügen einen zweiten Controller hinzu und oft eine rechtliche Hürde (wie PIPL) für die Übermittlung roher Kundendaten an die Zentrale.
• Governance-Klarheit verlangt explizite Vertragssprache: Klauseln zur gemeinsamen Verantwortlichkeit, Override-Rechte bei Löschersuchen, SLAs zur Breach-Meldung und Regelungen zur Datenübergabe bei Lizenzende.
• Eine einfache RACI-MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen → über Maison, Lizenznehmer und JV für jede Datenaktivität ist ein praktisches, günstiges Governance-Werkzeug, das jeder Lernende in diesem Feld erstellen kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen sollte.
• Regelmäßige Audits (Consent Lineage, Mapping grenzüberschreitender Übermittlungen, Tests der Reaktionszeit, Breach-Übungen) sorgen dafür, dass Governance-Zusagen überprüft und nicht nur unterstellt werden.