Franchise kaufen: Kundendaten und IT-Zugriff prüfen

Kassensystem, Terminverwaltung und Kundenkartei gehören häufig zum digitalen Fundament eines Franchisebetriebs. Doch die gemeinsame Technik einer Franchise-Community bedeutet nicht automatisch, dass Sie alle Daten sehen oder selbst nutzen dürfen. Wer ein Franchise in Deutschland kaufen möchte, sollte deshalb vor der Unterschrift klären, welche digitalen Rechte und Pflichten tatsächlich mit dem Vertrag verbunden sind.

1. Datenflüsse statt Softwareversprechen prüfen

„Ein zentrales System ist enthalten“ sagt wenig darüber aus, ob Sie Ihren Betrieb damit eigenständig steuern können. Entscheidend ist, welche Informationen entstehen, wohin sie fließen und welche Auswertungen Ihnen zur Verfügung stehen. Lassen Sie sich die vorgesehenen Anwendungen anhand eines vollständigen Kundenkontakts vorführen: von der Anfrage über den Kauf bis zur Reklamation.

Erstellen Sie anschließend eine Übersicht mit vier Spalten: Anwendung, Datenarten, Zugriffsberechtigte und Verwendungszwecke. Berücksichtigen Sie dabei nicht nur die Zentrale, sondern auch Softwareanbieter, Zahlungsdienstleister und andere eingebundene Dienstleister.

Klären Sie insbesondere:

• Können Sie sämtliche Buchungen und Umsätze Ihres Standorts einsehen und exportieren?
• Welche Kundendaten erhält die Zentrale, und wofür verwendet sie diese?
• Sehen andere Partnerbetriebe Daten Ihrer Kunden?
• Können Berechtigungen für Beschäftigte abgestuft und Zugriffe nachvollzogen werden?
• Welche Funktionen benötigen zusätzliche Lizenzen oder Freischaltungen?

Bitten Sie um einen Testzugang mit Beispieldaten. Eine Präsentation zeigt meist den Idealfall. Erst beim eigenen Durchspielen erkennen Sie, ob etwa Stornierungen, Beschwerden und betriebliche Auswertungen praktikabel funktionieren. Verwenden Sie dafür keine echten Kundendaten ohne passende Rechtsgrundlage.

2. Datenschutzrollen rechtlich richtig zuordnen

Deutschland hat kein spezielles Franchisegesetz und kein nationales Franchiseregister. Für den Franchisevertrag gelten insbesondere das allgemeine Vertragsrecht des Bürgerlichen Gesetzbuchs und gegebenenfalls das Handelsgesetzbuch. Vorformulierte Vertragsbedingungen unterliegen der AGB-Kontrolle nach §§ 305–310 BGB, wobei im unternehmerischen Geschäftsverkehr Besonderheiten gelten. Für personenbezogene Kundendaten sind vor allem die Datenschutz-Grundverordnung (DSGVO) und ergänzend das Bundesdatenschutzgesetz maßgeblich.

Datenschutzrechtliche Verantwortung entsteht nicht allein durch eine Überschrift im Vertrag. Entscheidend ist, wer tatsächlich über Zwecke und wesentliche Mittel einer Verarbeitung bestimmt. Je nach Datenverarbeitung können unterschiedliche Rollen vorliegen:

• Getrennte Verantwortlichkeit: Beide Unternehmen entscheiden jeweils selbst über bestimmte Verarbeitungen. Datenübermittlungen benötigen eine entsprechende rechtliche Grundlage.
• Gemeinsame Verantwortlichkeit: Bestimmen Zentrale und Partner gemeinsam Zwecke und Mittel, ist eine Vereinbarung nach Artikel 26 DSGVO erforderlich.
• Auftragsverarbeitung: Verarbeitet ein Dienstleister Daten weisungsgebunden für einen Verantwortlichen, ist grundsätzlich ein Vertrag nach Artikel 28 DSGVO nötig.

Die Bereitstellung einer Software macht den Franchisegeber nicht automatisch zum Auftragsverarbeiter. Nutzt er Daten für eigene Zwecke, muss dies gesondert bewertet werden. Ebenso ersetzt eine Datenschutzvereinbarung nicht die erforderliche Rechtsgrundlage der Verarbeitung.

Fordern Sie vor Vertragsschluss die einschlägigen Vereinbarungen und Datenschutzinformationen an. Lassen Sie festlegen, wer Auskunfts- und Löschanfragen bearbeitet, Datenschutzverletzungen bewertet und erforderliche Meldungen veranlasst. Für Werbung sind zusätzlich die Vorgaben des Gesetzes gegen den unlauteren Wettbewerb zu beachten; insbesondere ist E-Mail-Werbung nicht allein deshalb erlaubt, weil eine Adresse im gemeinsamen System gespeichert ist.

3. Eigene Nutzungs- und Zugriffsrechte absichern

Die Frage „Wem gehören die Kundendaten?“ führt häufig in die falsche Richtung. An personenbezogenen Daten besteht kein pauschales Eigentumsrecht wie an einer Ladeneinrichtung. Prüfen müssen Sie vielmehr vertragliche Nutzungsrechte, technische Zugriffsmöglichkeiten und datenschutzrechtliche Grenzen.

Beschreiben Sie im Vertrag oder einer verbindlichen Anlage möglichst konkret, welche Daten Sie für welche betrieblichen Zwecke nutzen dürfen. Dazu gehören beispielsweise die Abwicklung offener Aufträge, Reklamationen und gesetzliche Aufbewahrungspflichten. Eine allgemeine Zusage, Sie erhielten „alle notwendigen Daten“, lässt zu viel Interpretationsspielraum.

Verlangen Sie außerdem Klarheit über Exportformate, Schnittstellen, Bereitstellungsfristen und mögliche Entgelte. Ein Export als unstrukturierte Datei kann praktisch wertlos sein, wenn sich offene Vorgänge daraus nicht weiterbearbeiten lassen. Gesetzlich erforderliche Unterlagen müssen entsprechend den jeweils geltenden Anforderungen verfügbar bleiben.

Das Recht auf Datenübertragbarkeit nach Artikel 20 DSGVO hilft hier nicht pauschal weiter: Es schützt betroffene Personen unter bestimmten Voraussetzungen, verschafft Ihrem Unternehmen aber keinen allgemeinen Anspruch auf die Herausgabe einer vollständigen Kundendatenbank. Betriebliche Exportrechte sollten deshalb ausdrücklich vereinbart werden.

4. Ausfälle und Zugriffssperren vorab durchspielen

Auch eine gut organisierte Franchise-Community braucht klare Regeln für technische Störungen. Fragen Sie, wie der Betrieb weiterläuft, wenn die zentrale Plattform ausfällt. Können Sie Verkäufe erfassen, Termine einsehen oder Aufträge später sicher nachtragen?

Lassen Sie Zuständigkeiten, Supportzeiten, Reaktionsziele, Datensicherungen und Wiederherstellungsverfahren schriftlich beschreiben. Prüfen Sie außerdem, unter welchen Voraussetzungen der Anbieter Zugänge sperren darf. Eine Sperre wegen einer streitigen Rechnung kann weit mehr betreffen als die Softwaregebühr: Sie kann die gesamte Kundenbetreuung unterbrechen. Umfang und Zulässigkeit entsprechender Klauseln gehören in die anwaltliche Vertragsprüfung.

Erstellen Sie vor der Unterschrift eine kurze Mängelliste: fehlende Vereinbarung, unklarer Zugriff, nicht getesteter Export und fehlendes Ausfallverfahren. Lassen Sie jeden Punkt verbindlich klären, statt sich auf spätere technische Lösungen zu verlassen.

Praktisches Fazit: Kaufen Sie nicht nur den Zugang zu einer Plattform. Sichern Sie die konkret benötigten Datenrechte, eine nachvollziehbare Datenschutzorganisation und einen funktionsfähigen Notbetrieb. Erst dann lässt sich beurteilen, ob die gemeinsame Technik Ihren Betrieb zuverlässig trägt.