Datenschutzerklärung für Zendesk

Warum ist Zendesk datenschutzrechtlich relevant?

Seitenbetreiber vertrauen Zendesk zahlreiche personenbezogene Daten ihrer Kunden, wie Name, E-Mail-Adresse und Telefon, an. Diese Daten sind besonders schützenswert. Die Datenschutz-Grundverordnung (DSGVO) gibt daher verschiedene Pflichten vor.

Wie können Unternehmen Zendesk datenschutzkonform nutzen?

Um Zendesk datenschutzkonform verwenden zu können, müssen Seitenbetreiber diese Pflichten erfüllen:

User-Einwilligung einholen?

Je nachdem, welche Daten Unternehmen von ihren Kunden über Zendesk erheben, könnten sie dafür ihre Einwilligung benötigen. Wollen Unternehmen personenbezogene Daten erheben, benötigen sie grundsätzlich eine Erlaubnis dafür.

Zendesk bietet für die Datenerhebung über den Chat eine Funktion, über die Unternehmen Nutzer in die Verwendung von Cookies zustimmen lassen können. Dabei können sie auch ein Kästchen zum Chat-Widget hinzufügen, das die Zustimmung der User in die Erhebung personenbezogener Daten einholt. Unternehmen sollten beide Funktionen nutzen.

Alternativ können Unternehmen auf ihrer Webseite per Cookie-Banner die Einwilligung der User in die Datenerhebung über Zendesk einholen. Dafür eignet sich vor allem ein Cookie Consent Tool. Dies passt die Datenströme auf der Webseite nach den individuellen Vorgaben der Nutzer an.

Vertrag zur Auftragsverarbeitung abschließen

Gemäß der DSGVO ist Zendesk ein externer Auftragsverarbeiter. Denn: Webseitenbetreiber geben ihre Kundendaten an Zendesk weiter, damit dieser die Daten weisungsgebunden verarbeitet. Auf diese Weise können Unternehmen ihren Kundenservice verbessern. Sie müssen mit Zendesk daher einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Das schreibt ihnen § 28 DSGVO vor. In dem Vertrag müssen sie festlegen,

• welche Daten Zendesk wie lange speichern darf,
• warum und wie Zendesk die Daten verarbeiten darf und
• welche Rechte und Pflichten beide Parteien haben.

Schließen Seitenbetreiber keinen Vertrag zur Auftragsverarbeitung mit Zendesk, droht ihnen ein Bußgeld von bis zu 10 Millionen Euro oder von bis zu 2 Prozent des weltweiten Jahresumsatzes. Das sagt Art. 83 Abs. 4 lit. a DSGVO.

Datenschutzerklärung anpassen

Um User darüber zu informieren, wie sie mit Zendesk zusammenarbeiten, müssen Seitenbetreiber in ihrer Datenschutzerklärung aufführen,

• dass sie mit Zendesk einen AV-Vertrag geschlossen haben,
• welche personenbezogenen Daten sie an Zendesk weitergeben,
• warum sie diese an Zendesk weitergeben,
• wie Zendesk diese Daten nutzt und
• dass User der Datenweitergabe und -verwendung widersprechen können.

Diese Pflichten schreibt § 13 Abs. 1 DSGVO vor.

Aufbewahrungsort der Kundendaten bei Zendesk anpassen

Zendesk speichert die von Seitenbetreibern zur Verfügung gestellten Kundendaten auf Servern, die außerhalb der EU liegen. Um dem Datenschutz der DSGVO zu genügen, müssen sie daher den Aufbewahrungsort der Daten ändern. Zendesk bietet dazu die Möglichkeit, die Zusatzleistung „Standort des verwendeten Rechenzentrums“ („Data Center Location Add-on“) in Anspruch zu nehmen. Seitenbetreiber können dann die Region selbst auswählen, wo Zendesk ihre Kundendaten speichern soll. Sie sollten sich dann für einen Standort innerhalb der EU entscheiden. Auf diese Weise unterliegt die Datenspeicherung den Vorgaben der DSGVO.

Rechtsprechung zu Zendesk

Für Zendesk ist diese Rechtsprechung relevant:

Datenschutzbehörde Hamburg zu fehlendem AV-Vertrag

Am 17.12.2018 erließ die Datenschutzbehörde Hamburg einen Bußgeldbescheid gegen ein deutsches Versandunternehmen. Dies hatte mit einem beauftragten Dienstleister keinen AV-Vertrag geschlossen. Es sah sich nicht dazu verpflichtet, selbst den Vertrag aufzusetzen. Stattdessen sah es den Dienstleister in der Verantwortung. Die Datenschutzbehörde Hamburg sah das anders. Sie gab an, dass beide Seiten für den AV-Vertrag zuständig sind. Sie belegte das deutsche Unternehmen daher mit einer Strafe von 5.000 Euro zuzüglich 250 Euro Gebühren.

Datenschutzbehörde Baden-Württemberg zu fehlendem AV-Vertrag

Die Datenschutzbehörde Baden-Württemberg belegte den Fußball-Bundesligaclub VfB Stuttgart im März 2021 mit einem Bußgeld von 300.000 Euro. Der Verein hatte über Jahre Mitgliederdaten an Dienstleister weitergegeben, um diese weisungsgebunden verarbeiten zu lassen. Einen AV-Vertrag hatte der VfB Stuttgart dafür mit den Dritten jedoch nicht geschlossen. Das wertete die Datenschutzbehörde als einen Verstoß gegen die DSGVO.