Consent und Data-Sharing-Spuren in einem Franchise- und Marketplace-Netzwerk

# Consent und Data-Sharing-Spuren in einem Franchise- und Marketplace-Netzwerk

Ein Kunde kauft Laufschuhe in einem „lokalen“ Sportgeschäft. Dieses Geschäft ist ein Franchisenehmer. Die Transaktion läuft tatsächlich über eine Marketplace-Plattform (etwa ein Listing, das über ein Drittanbieter-Verkäuferkonto abgewickelt wird). Loyalty-Punkte werden in einem Programm verbucht, das Franchisegeber und eine Bank gemeinsam betreiben. Vier Einheiten halten jetzt ein Stück der Daten dieses Kunden: der Franchisenehmer, der Franchisegeber, der Marketplace und der Loyalty-Partner. Wenn der Kunde später eine E-Mail schreibt „Bitte löschen Sie meine Daten“, welcher der vier tut es tatsächlich? In der Praxis: oft keiner, weil jeder annimmt, dass jemand anderes für die Anfrage zuständig ist.

Genau diese Accountability-Lücke sollen Sie mit dieser Lektion erkennen lernen.

Warum Franchise- und Marketplace-Strukturen Consent-Spuren zerreißen

Consent bedeutet im Datenschutzrecht eine rechtlich gültige Grundlage für die Erhebung oder Nutzung personenbezogener Daten, in der Regel also, dass die Person einer konkreten Nutzung klar zugestimmt hat. Sie steht neben anderen Rechtsgrundlagen wie „Erforderlichkeit zur Vertragserfüllung“ oder „berechtigtes Interesse“.

Das Problem: Consent wird einmal an einem Touchpoint erfasst, aber die personenbezogenen Daten fließen danach meist durch mehrere unabhängige juristische Einheiten.

• Der Franchisenehmer ist typischerweise ein eigenständiges Unternehmen und oft der erste „Verantwortliche“ (Data Controller) für die Erhebung im Geschäft (ein Controller ist die Einheit, die entscheidet, *warum* und *wie* Daten genutzt werden, in der Terminologie der europäischen DSGVO).
• Der Franchisegeber liefert Marke, IT-Systeme und Loyalty-Programm und kann ebenfalls als Controller oder als „gemeinsam Verantwortlicher“ neben dem Franchisenehmer auftreten.
• Der Marketplace (Amazon, Walmart Marketplace, MercadoLibre, Cdiscount) ist wiederum ein eigener Controller mit einer eigenen Datenschutzerklärung, die der Kunde wahrscheinlich nie genau gelesen hat.
• Der Loyalty-Partner (eine Bank, ein Mineralölkonzern, eine Airline) erhält oft einen Datenfeed auf Basis einer völlig separaten Vereinbarung.

Jeder Hop kann für sich legitim sein. Das Versagen entsteht, wenn der Umfang des Consent nicht *mit* den Daten mitreist. Ein Kunde, der „Angebote von Store X erhalten“ zugestimmt hat, hat nicht zwangsläufig zugestimmt, dass „die Kaufhistorie mit der Loyalty-Engine von Bank Y geteilt wird“.

Die regulatorischen Anker, die Sie kennen müssen

USA: kein einheitliches Bundesdatenschutzgesetz. Stattdessen ein Flickenteppich:

• Section 5 des FTC Act erlaubt der Federal Trade Commission (FTC), gegen „unfaire oder täuschende“ Datenpraktiken vorzugehen, einschließlich nicht eingehaltener Datenschutzversprechen.
• Die Bundesstaaten führen hier: der California Consumer Privacy Act (CCPA), geändert durch den California Privacy Rights Act (CPRA), gibt Verbrauchern Rechte auf Auskunft, Löschung und Opt-out aus dem „Verkauf“ oder „Teilen“ personenbezogener Daten. Colorado, Virginia, Connecticut und andere haben mit Stand 2026 ähnliche Gesetze, jeweils mit leicht abweichenden Schwellenwerten und Definitionen.

Europa: die Datenschutz-Grundverordnung (DSGVO), durchgesetzt von nationalen Datenschutzbehörden (DPAs, z. B. die französische CNIL, die irische DPC). Kernkonzepte:

• Controller vs. Processor: ein Processor (Auftragsverarbeiter) handelt nur nach Weisung eines Controllers (z. B. ein Loyalty-Plattform-Anbieter); ein Controller entscheidet über Zwecke und Mittel. In Franchise-Netzwerken ist die Aufteilung Controller/Processor häufig unklar, was Behörden schon sanktioniert haben.
• Zweckbindung: Daten, die für einen angegebenen Zweck erhoben wurden, dürfen nicht stillschweigend für einen anderen weiterverwendet werden.
• Data Processing Agreements (DPAs): zwischen Controllern und Processorn vorgeschriebene Verträge, die festlegen, was mit den Daten getan werden darf.

Der Digital Markets Act (DMA) der EU und marketplace-spezifische Pflichten aus dem Digital Services Act (DSA) drängen große Marketplaces inzwischen ebenfalls zu mehr Transparenz über die Datenpraktiken von Verkäufern, relevant, wenn ein Franchisenehmer über eine große Plattform verkauft.

Wo die Accountability tatsächlich liegt: drei Fehlermuster

1. Das Muster „Consent Laundering“. Ein Franchisenehmer erfasst an der Kasse eine E-Mail-Adresse für den Kassenbeleg. Das CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → (Customer-Relationship-Management-System) des Franchisegebers meldet diese Adresse später in ein nationales Loyalty-Programm ein, mit einem Marketing-Consent, den niemand ausdrücklich gegeben hat. Unter der DSGVO ist das ein Verstoß gegen die Zweckbindung; unter CCPA/CPRA kann es ein Fall von nicht offengelegtem „Sharing“ sein.

2. Das Muster „Marketplace-Schutzschild“. Ein Franchisenehmer verkauft über einen Marketplace und geht davon aus, dass die Datenschutzerklärung des Marketplace alles abdeckt. Tut sie meist nicht. Marketplaces beschränken typischerweise, welche Daten (Name, Adresse, Bestellhistorie) sie an Drittanbieter herausgeben, genau um zu verhindern, dass Verkäufer eigene, nicht genehmigte Kundendatenbanken aufbauen. Ein Franchisenehmer, der Marketplace-Bestelldaten ohne gültige Grundlage in sein eigenes Loyalty-CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → scrapt oder exportiert, ist exponiert, und wichtig: der Franchisegeber ebenfalls, wenn ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → dieses Verhalten angewiesen hat.

3. Das Muster „stiller gemeinsamer Verantwortlicher“. Franchisegeber und Franchisenehmer entscheiden gemeinsam über die Mechanik des Loyalty-Programms (ein klassisches Kennzeichen gemeinsamer Verantwortlichkeit nach Artikel 26 DSGVO), aber nur die Datenschutzerklärung des Franchisegebers ist für Kunden sichtbar. Bei einer Datenschutzverletzung kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Behörden beide haftbar machen, und haben es getan, obwohl der Kunde nur eine Marke gesehen hat.

Ein praktischer Audit Trail: was Sie tatsächlich prüfen sollten

Für ein Governance-Review einer Franchise-/Marketplace-/Loyalty-Kette verfolgen Sie die Daten wie eine forensische Spur:

1. Touchpoints mappen. Listen Sie jede Einheit auf, die die Daten berührt: POS-System, Franchisegeber-CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen →, Marketplace-Bestellfeed, Loyalty-Partner, jedes Ad-Tech-Pixel auf der Checkout-Seite.

2. Jeden Touchpoint einem Consent-Record zuordnen. Wurde an genau diesem Punkt Consent für genau diesen Zweck erfasst? Eine generische Checkbox „Ich akzeptiere die AGB“ erfüllt selten die Anforderung der DSGVO an eine spezifische, informierte, freiwillig gegebene Einwilligung.

3. Verträge prüfen, nicht nur Policies. Gibt es ein Data Processing Agreement zwischen Franchisegeber und Franchisenehmer? Zwischen Franchisegeber und Loyalty-Partner? Das Fehlen eines DPA ist ein häufiger Audit-Befund.

4. Den Lösch-/Opt-out-Pfad end to end testen. Stellen Sie eine echte Anfrage (in einer Sandbox oder einem Testkonto) und messen Sie, wie lange sie braucht, um in alle vier Systeme durchzulaufen. Die DSGVO verlangt in der Regel eine Antwort innerhalb eines Monats; CCPA/CPRA verlangen in der Regel ein Handeln innerhalb von 45 Tagen (einmal verlängerbar). Wenn die Datenbank des Loyalty-Partners den Datensatz danach noch enthält, haben Sie eine akute Compliance-Lücke, keine theoretische.

5. Aufbewahrungsfristen prüfen. Daten, die „für den Fall der Fälle“ über den angegebenen Zweck hinaus gehalten werden, sind ein häufiges Ziel von Aufsichtsbehörden, z. B. haben CNIL und das britische ICO Händler wegen zu langer Speicherung mit Bußgeldern belegt.

Ein einfaches internes Prüfskript (Pseudocode, nur zur Illustration):

for each customer_id flagged "deletion_requested":
    check franchisee_pos_db.status(customer_id)
    check franchisor_crm.status(customer_id)
    check loyalty_partner_feed.status(customer_id)
    check marketplace_export_cache.status(customer_id)
    flag if any status != "deleted"

Genau diese Spur wird ein interner Auditor oder ein DPA-Prüfer nach einer Datenschutzverletzung rekonstruieren, und zwar nicht nur, *welche* Daten sich bewegt haben, sondern *wer* jeden Hop autorisiert hat.

Durchgerechneter Mini-Case: Accountability zuordnen

Angenommen, der POS-Anbieter eines Franchisenehmers erleidet eine Datenschutzverletzung, bei der 50.000 Loyalty-Mitgliederdatensätze offengelegt werden, einschließlich der vom Marketplace synchronisierten Kaufhistorie. Wer ist verantwortlich?

• Der Franchisenehmer ist wahrscheinlich Controller für die im Geschäft erhobenen Daten und haftet für seine eigenen Sicherheitspflichten.
• Der Franchisegeber ist wahrscheinlich gemeinsam Verantwortlicher für das Loyalty-Programm, das ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → entworfen und vorgegeben hat, insbesondere wenn ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → den POS-Anbieter vorgeschrieben hat.
• Der POS-Anbieter ist Processor, vertraglich gegenüber den Controllern haftbar, aber meist nicht das primäre Ziel der Aufsichtsbehörden.
• Der Marketplace haftet nur, wenn die Verletzung aus Daten resultierte, die ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → über seine eigenen Bedingungen hinaus unzulässig herausgegeben hat.

Aufsichtsbehörden schauen in der Regel darauf, *wer über Zweck und Mittel* der Verarbeitung entschieden hat, nicht darauf, wer zufällig den Server betrieben hat. Deshalb ist die Due Diligence bei Franchisevereinbarungen (wem gehört die Loyalty-Datenbank, wer kann verklagt werden) genauso wichtig wie das technische Security-Review.

Eine gut lesbare Einführung in diese Controller/Processor-Unterscheidungen bietet die Guidance des UK ICO zu Controllern und Processorn, eine solide kostenlose Quelle, die sich auch recht gut auf die Denkweise der EU-Behörden übertragen lässt.

Key Takeaways

• Consent, der an einem Touchpoint erfasst wurde (Geschäft, App, Marketplace-Listing), reist nicht automatisch mit den Daten zu jedem nachgelagerten Partner; die Zweckbindung der DSGVO und die Offenlegungspflichten von CCPA/CPRA verlangen beide, dass die *spezifische* Nutzung autorisiert ist.
• In Franchise- und Marketplace-Netzwerken fehlen regelmäßig klare Data Processing Agreements zwischen Franchisegeber, Franchisenehmer, Marketplace und Loyalty-Partner; die Prüfung, ob diese Verträge existieren und was sie abdecken, ist ein erster, günstiger Check.
• Accountability folgt der Frage, *wer über Zweck und Mittel entscheidet* (Controller), nicht nur, wer den Server hält (Processor); gemeinsame Verantwortlichkeit von Franchisegeber und Franchisenehmer ist üblich und oft nicht dokumentiert.
• Ein praxistaugliches Audit heißt, eine echte Lösch- oder Opt-out-Anfrage end to end über alle Systeme zu verfolgen und gegen die gesetzlichen Fristen zu messen (grob ein Monat unter der DSGVO, 45 Tage unter CCPA/CPRA, nach den Regeln mit Stand 2026).
• Die Data-Sharing-Beschränkungen der Marketplaces existieren gerade, um zu verhindern, dass Verkäufer nicht genehmigte Kundendatenbanken aufbauen; Franchisenehmer, die Marketplace-Bestelldaten in ihr eigenes CRMCRMCustomer Relationship Management: Software und Strategie, um Kundeninteraktionen über den gesamten Lifecycle zu steuern und zu analysieren.Vollständige Definition ansehen → exportieren, sind ein wiederkehrendes Hochrisikomuster, das man zuerst prüfen sollte.