Franchise i Danmark: Fordel ansvaret for kundedata

Når din eksisterende virksomhed skal blive til et franchisefællesskab, kan kundesystemet ikke nødvendigvis fortsætte uændret. Oplysninger, som tidligere blev brugt inden for én virksomhed, skal måske nu deles mellem selvstændige virksomheder. Før den første franchisetager får adgang til booking, kundeklub eller ordrehistorik, bør du derfor beslutte, hvem der må bruge oplysningerne, til hvilke formål og på hvilket juridisk grundlag.

Kortlæg kundedata før du vælger fælles system

Begynd med kundens forløb gennem din nuværende virksomhed. Hvor indsamles oplysningerne, hvem bruger dem, og hvor sendes de hen? Medtag både den synlige kundedatabase og mindre synlige løsninger som kontaktformularer, regneark, bookingsystemer og supportsager.

Lav en oversigt med én række for hver behandling af personoplysninger. Beskriv:

• Hvilke oplysninger der behandles, eksempelvis navn, kontaktoplysninger og købshistorik.
• Hvorfor behandlingen er nødvendig.
• Hvilken virksomhed der bestemmer formålet og de væsentlige hjælpemidler.
• Hvem der skal have adgang.
• Hvornår oplysningerne skal slettes eller anonymiseres.

Skeln mellem lokale og fælles behov. En franchisetager kan have brug for kundens telefonnummer for at ændre en booking. Det betyder ikke, at alle andre enheder behøver adgang til nummeret. Franchisegiverens ønske om at sammenligne enheder kan ofte opfyldes med samlede salgstal uden oplysninger om identificerbare kunder.

Kortlægningen bør komme før systemvalget. Ellers risikerer du at indrette ansvarsfordelingen efter software, som giver flere personer adgang end nødvendigt.

Fastlæg rollerne efter virkeligheden

Danmark har ingen særlig franchiselov. Franchiseaftaler er blandt andet underlagt aftaleloven og almindelige aftaleretlige principper. Der findes heller ikke et særligt krav om registrering af franchiseaftaler eller en lovbestemt oplysningspakke for franchise. Almindelige loyalitets- og oplysningspligter kan dog kræve, at væsentlige forhold bliver oplyst før aftaleindgåelsen.

For kundedata gælder databeskyttelsesforordningen, GDPR, suppleret af databeskyttelsesloven. Franchiseaftalen kan ikke sætte disse regler ud af kraft. Parterne kan heller ikke frit vælge en rolle, som ikke passer til den faktiske behandling.

Der er tre relevante situationer:

Selvstændigt dataansvar: Franchisetageren bestemmer selv formål og væsentlige hjælpemidler for eksempelvis sin lokale kundeadministration. Hvis oplysninger videregives til franchisegiveren til dennes egne formål, skal videregivelsen og den efterfølgende behandling have et lovligt grundlag.

Databehandling på instruks: Franchisegiveren behandler alene oplysninger på franchisetagerens vegne og efter dennes instruks. Her kan franchisegiveren være databehandler, og der skal indgås en databehandleraftale efter GDPR artikel 28.

Fælles dataansvar: Parterne fastlægger sammen formål og væsentlige hjælpemidler, eksempelvis ved en fælles kundeklub. Så skal de have en ordning efter GDPR artikel 26, som fordeler ansvaret. Det væsentligste indhold skal være tilgængeligt for kunderne.

Samme virksomheder kan have forskellige roller ved forskellige behandlinger. Et fælles system betyder derfor ikke automatisk fælles dataansvar.

Omsæt ansvaret til konkrete aftaler

Brug kortlægningen til at få de nødvendige aftaler på plads. Franchiseaftalen kan beskrive pligten til at bruge bestemte systemer og følge sikkerhedskrav. Den erstatter ikke en påkrævet databehandleraftale eller ordning om fælles dataansvar.

Aftal konkret, hvem der håndterer kundernes anmodninger om indsigt, rettelse og sletning. Beskriv også, hvordan en medarbejder sender en anmodning videre, hvis den lander hos den forkerte virksomhed. En intern arbejdsdeling må ikke begrænse kundernes rettigheder.

Fastlæg desuden en procedure for sikkerhedsbrud. Hvem kontaktes, hvilke oplysninger skal gives, og hvem vurderer, om bruddet skal anmeldes til Datatilsynet? For den dataansvarlige kan anmeldelsesfristen være 72 timer efter, at bruddet er blevet kendt, medmindre bruddet sandsynligvis ikke indebærer en risiko for personers rettigheder og frihedsrettigheder.

Gennemgå også systemleverandørernes vilkår. Undersøg underdatabehandlere, slettefunktioner og eventuelle overførsler uden for EU/EØS. Et system bliver ikke lovligt alene af, at leverandøren kalder det GDPR-kompatibelt.

Test adgang og kundeinformation før åbning

Opret prøvebrugere med de roller, som skal findes i franchisefællesskabet. Kontroller, at en lokal medarbejder kun kan se relevante oplysninger, og at adgangen kan lukkes, når medarbejderen stopper. Brug fiktive kundedata til testen.

Opdater derefter kundeinformationen, så den afspejler de faktiske virksomheder, formål, modtagere og rettigheder. Kunden skal ikke selv gætte, hvem der er dataansvarlig, fordi flere virksomheder bruger samme navn og visuelle udtryk.

Vær særligt opmærksom på markedsføring. Adgang til en kundedatabase giver ikke i sig selv ret til at sende reklamemails eller sms'er. Her skal markedsføringslovens regler om elektronisk markedsføring også vurderes. Et eksisterende samtykke dækker ikke automatisk nye selvstændige virksomheder eller nye formål.

Praktisk takeaway: Giv først franchisetageren adgang, når I har kortlagt behandlingerne, fastlagt rollerne, indgået de nødvendige aftaler og testet adgangsbegrænsningerne. Det giver et tydeligt ansvar fra første kundekontakt.