Kurzantwort: Ja, Sie dürfen Kundenbewertungen einholen, veröffentlichen und darauf reagieren, aber nur innerhalb klarer Grenzen aus DSGVO und UWG. Bewertungsaufforderungen brauchen fast immer eine ausdrückliche Einwilligung, niemals eine Kopplung an den Kaufabschluss. Wird eine Bewertung mit unzulässig verarbeiteten personenbezogenen Daten veröffentlicht, können Sie deren Löschung nach Art. 17 DSGVO verlangen. Und in Ihren eigenen Antworten gilt eine einfache Regel: keine personenbezogenen Daten von Kunden oder Mitarbeitern nennen, egal wie provoziert Sie sich fühlen.
Kurz gesagt:
- Bewertungen per E-Mail erfordern fast immer eine ausdrückliche Einwilligung des Kunden, um rechtlich abgesichert zu sein, und dürfen nicht an den Kauf gekoppelt werden.
- Das Verarbeiten personenbezogener Daten in Bewertungen ermöglicht den Löschanspruch nach Art. 17 DSGVO, insbesondere bei sensiblen Daten wie Gesundheitsinformationen.
- Serverseitiges Einbinden von Google-Bewertungen schützt vor Datenschutzproblemen, indem Daten nicht direkt im Browser des Nutzers übertragen werden, vorausgesetzt, es besteht ein entsprechender Auftragsverarbeitungsvertrag.
- Bei öffentlichen Antworten auf Bewertungen dürfen keine personenbezogenen Daten vom Kunden oder Mitarbeitern genannt werden, um rechtliche Risiken zu vermeiden.
- POS-basierte Lösungen wie NFC- oder QR-Code-Methoden sind datenschutzfreundlich, eliminieren das Risiko unrechtmäßiger Bewertungseinholungen und sparen technische sowie rechtliche Probleme.
Inhaltsverzeichnis
- Welche rechtlichen Grundlagen gelten für DSGVO Kundenbewertungen?
- Wie fordern Sie Bewertungen datenschutzkonform an?
- Wie binden Sie Google-Bewertungen datenschutzkonform auf Ihrer Website ein?
- Wie antworten Sie rechtssicher auf negative Bewertungen?
- Welche Checkliste sollten Unternehmer im Alltag abarbeiten?
- Warum POS-Lösungen wie NFC-Karten die datenschutzfreundlichere Wahl sind
- Einfachbewertet: die DSGVO-freundliche Alternative zur E-Mail-Bewertungsanfrage
- Quellen
- FAQ
- Perspektive: Warum Unternehmen an der falschen Stelle Angst haben
Welche rechtlichen Grundlagen gelten für DSGVO Kundenbewertungen?
Drei Artikel der DSGVO bilden das Fundament für den Umgang mit Kundenbewertungen. Art. 6 DSGVO legt fest, auf welcher Rechtsgrundlage Sie personenbezogene Daten überhaupt verarbeiten dürfen, etwa eine Einwilligung oder ein berechtigtes Interesse. Art. 7 DSGVO regelt die Bedingungen für eine gültige Einwilligung, und Art. 17 DSGVO gibt Betroffenen das Recht, ihre Daten löschen zu lassen, wenn die Verarbeitung nicht mehr rechtmäßig ist. Die genauen Normtexte zu Art. 17 DSGVO lohnen einen Blick, bevor Sie eine Löschanfrage formulieren.
Ein Urteil hat die Praxis besonders geprägt: Der Bundesgerichtshof hat mit Az. VI ZR 225/17 entschieden, dass Bewertungsaufforderungen per E-Mail regelmäßig als Werbemaßnahme gelten. Das bedeutet: Sie brauchen dafür in aller Regel eine ausdrückliche Einwilligung, selbst wenn der Kunde gerade erst bei Ihnen bestellt hat. Reine Auftragsabwicklung reicht als Rechtsgrundlage nicht aus.
Bei der Frage, wann eine Bewertung gelöscht werden muss, prallen zwei Grundrechte aufeinander: die Meinungsfreiheit des Verfassers und der Datenschutz Dritter. Eine ehrliche, aber unangenehme Bewertung bleibt meist stehen. Enthält sie jedoch personenbezogene Daten, etwa den vollen Namen eines Mitarbeiters in Verbindung mit einem Vorwurf, oder gar Gesundheitsdaten, verschiebt sich die Abwägung zugunsten des Datenschutzes.
In der Praxis heißt das für Sie als Unternehmer:
- Bewertungsanfragen ohne Einwilligung per E-Mail sind riskant und oft abmahnfähig.
- Eine schlechte Bewertung ist für sich genommen kein Löschgrund.
- Personenbezogene Daten in einer Bewertung öffnen die Tür zu Art. 17 DSGVO.
- Meinungsfreiheit schützt Kritik, nicht die Veröffentlichung fremder Daten.
Wie fordern Sie Bewertungen datenschutzkonform an?
Die Rechtsgrundlage entscheidet, wie Sie eine Kundenfeedback-Anfrage überhaupt gestalten dürfen. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO trägt selten eine aktive Werbe-E-Mail zur Bewertungsabgabe, weil der BGH solche Anfragen als Werbung einstuft. Für den E-Mail-Kanal brauchen Sie deshalb fast immer eine separate, dokumentierte Einwilligung, die der Kunde freiwillig und informiert gegeben hat.
Genau hier liegt die zweite Falle: das Koppelungsverbot. Art. 7 Abs. 4 DSGVO verbietet es, die Einwilligung an die Erfüllung eines Vertrags zu koppeln. Eine Bewertungsanfrage steht praktisch nie in notwendigem Zusammenhang mit der eigentlichen Vertragsleistung. Wer die Einwilligung zur Bewertungsbitte als Bedingung für den Kaufabschluss formuliert, verstößt gegen diese Vorschrift.
So gehen Sie es rechtssicher an:
- Trennen Sie die Einwilligung zur Bewertungsanfrage klar vom Bestellprozess, zeitlich und optisch.
- Holen Sie die Einwilligung erst nach Abschluss der eigentlichen Leistung ein, nicht während der Kasse oder des Checkouts.
- Bieten Sie einen einfachen Opt-out und dokumentieren Sie jede erteilte Einwilligung mit Zeitstempel.
- Setzen Sie bei stationären Kontakten auf POS-Methoden wie NFC oder QR-Code statt auf E-Mail-Kampagnen.
Profi-Tipp: Lassen Sie den Kunden die Bewertung direkt am Point of Sale abgeben, etwa per NFC-Chip auf einer Karte oder einem Aufsteller. Dann brauchen Sie gar keine E-Mail-Einwilligung einzuholen, weil keine werbliche Ansprache stattfindet.
Was verboten bleibt, unabhängig vom Kanal: Bewertungen gegen Rabatte oder Geschenke einkaufen, echte Bewertungen selektiv unterdrücken (sogenanntes Review Gating) und Kunden mehrfach mit Erinnerungen bedrängen. Beides kann zusätzlich UWG-Ansprüche der Konkurrenz auslösen.
Wie binden Sie Google-Bewertungen datenschutzkonform auf Ihrer Website ein?
Viele Unternehmen laden Bewertungswidgets direkt clientseitig ein, oft über ein Skript eines Drittanbieters. Das Problem: Der Browser des Besuchers baut dabei eine direkte Verbindung zum Server des Anbieters auf, häufig außerhalb der EU, und übermittelt dabei IP-Adresse, Profilbilder und weitere Metadaten, ohne dass Sie das kontrollieren können.
Serverseitiges Proxying löst dieses Problem: Ihr eigener Server holt die Bewertungsdaten, verarbeitet sie und liefert sie an den Besucher aus, ohne dass dessen Browser jemals direkt mit dem Drittanbieter spricht. Solche technisch saubere Lösungen mit Hosting in der EU gelten in Deutschland inzwischen als Marktstandard.
Für eine rechtssichere Einbindung brauchen Sie zusätzlich:
- Einen Auftragsverarbeitungsvertrag (AVV) mit jedem Anbieter, der Bewertungsdaten für Sie verarbeitet.
- Einen funktionierenden Consent-Mechanismus, falls überhaupt Cookies oder Tracking-Skripte zum Einsatz kommen.
- Eine Minimierung der übertragenen Metadaten auf das, was für die Darstellung tatsächlich nötig ist.
- Einen technischen Weg, Löschanfragen auch im eingebundenen Widget umzusetzen, nicht nur auf der Ursprungsplattform.
Wie antworten Sie rechtssicher auf negative Bewertungen?
Die Grundregel klingt simpel, wird aber ständig verletzt: Antworten Sie sachlich, faktenbasiert und ohne einen einzigen personenbezogenen Datenpunkt zu nennen, weder vom Kunden noch von einem Mitarbeiter. Wer in der öffentlichen Antwort schreibt „Frau Müller aus unserem Team hat den Vorfall geprüft“ oder Details zur Bestellung eines konkreten Kunden ausbreitet, verarbeitet dabei selbst personenbezogene Daten öffentlich, oft ohne Rechtsgrundlage.
Juristen weisen immer wieder darauf hin, dass Unternehmen sich durch emotional geführte Antworten selbst angreifbar machen. Eine trockene, neutrale Formulierung schützt Sie doppelt: rechtlich und reputativ.
Bei tatsächlich problematischen Bewertungen hilft ein gestuftes Vorgehen:
- Intern prüfen: Enthält die Bewertung personenbezogene Daten, Verleumdungen oder erkennbar falsche Tatsachenbehauptungen?
- Bei der Plattform melden, mit präziser juristischer Begründung statt pauschaler Beschwerde.
- Bei Erfolglosigkeit die zuständige Datenschutzaufsicht einschalten oder anwaltliche Unterstützung holen.
- Jeden Schritt dokumentieren, inklusive Datum, Begründung und Reaktion der Plattform.
Profi-Tipp: Google prüft Löschanträge in der Praxis nur bei ausreichender Begründung oder gerichtlicher Anordnung ernsthaft. Eine vage Beschwerde „das stimmt nicht“ wirkt selten, eine konkrete Nennung der verletzten Norm dagegen schon.
Welche Checkliste sollten Unternehmer im Alltag abarbeiten?
Compliance bei Bewertungen scheitert selten an der Rechtslage selbst, sondern an fehlender Dokumentation im Alltag. Ohne Nachweis über durchgeführte Prüfungen haben Sie bei einer Löschforderung oder einer Rückfrage der Aufsichtsbehörde eine deutlich schwächere Position.
Diese Punkte gehören in jeden Betriebsalltag:
- Prüfen Sie neue Bewertungen wöchentlich auf personenbezogene Daten oder erkennbar unwahre Aussagen.
- Ergänzen Sie Ihre Datenschutzerklärung um einen Abschnitt zu Bewertungsanfragen und deren Rechtsgrundlage.
- Führen Sie den Verarbeitungsvorgang „Kundenbewertungen“ in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
- Schließen Sie einen AVV mit jedem Tool, das Bewertungen einholt, anzeigt oder analysiert.
- Schulen Sie Ihr Team im Umgang mit negativen Bewertungen, insbesondere zur Antwortformulierung.
- Planen Sie menschliche Prüfung ein, bevor automatisierte Sentiment-Analyse über eine Löschung mitentscheidet.
| Bereich | Konkrete Maßnahme | Zuständigkeit |
|---|---|---|
| Anfrageprozess | Einwilligung getrennt vom Kaufabschluss einholen | Vertrieb / Marketing |
| Technik | Serverseitiges Proxying statt Client-Widget | IT / Webentwicklung |
| Dokumentation | Prüfprotokoll für jede gemeldete Bewertung | Geschäftsführung |
| Antworten | Sachliche Formulierung ohne personenbezogene Daten | Kundenservice |
Warum POS-Lösungen wie NFC-Karten die datenschutzfreundlichere Wahl sind
Wer Bewertungen über NFC-Produkte am Point of Sale einholt, statt per E-Mail-Kampagne, umgeht von vornherein das größte rechtliche Risikofeld dieses Themas. Kein Versand, keine Werbe-E-Mail, keine BGH-relevante Aufforderung, die eine gesonderte Einwilligung braucht. Der Kunde tippt sein Smartphone an eine Karte, einen Aufsteller oder einen Deckel und landet direkt auf der Bewertungsseite, ganz ohne Datenübertragung an Dritte im Hintergrund.
Fachleute stufen POS-Methoden wie NFC oder QR-Code deshalb regelmäßig als die sicherere Alternative zur klassischen E-Mail-Bitte ein. Die Datenverarbeitung bleibt minimal: Es gibt keine Kundenliste, die Sie anschreiben, keinen Opt-out, den Sie verwalten müssen, und kein Koppelungsrisiko, weil die Bewertung freiwillig am Ort des Geschehens erfolgt. Für Unternehmen mit Kundenkontakt vor Ort, von der Werkstatt bis zum Restaurant, ist das oft die pragmatischste Lösung, um Bewertungen zu sammeln, ohne sich in datenschutzrechtliche Grauzonen zu begeben.
Einfachbewertet: die DSGVO-freundliche Alternative zur E-Mail-Bewertungsanfrage
Einfachbewertet bietet genau diesen Weg an: individuell programmierte NFC-Bewertungskarten, Aufsteller, Deckel und Handysticker, die Ihre Kunden direkt am Ladentisch oder am Tresen zur Google-Bewertung führen, ohne einen einzigen E-Mail-Versand und ohne das BGH-Urteil zur Bewertungsaufforderung überhaupt berühren zu müssen.
Jedes Produkt trägt Ihr Logo und Ihre Farben und ist bereits auf Ihr Unternehmen vorprogrammiert, sodass der Kunde mit einem einzigen Antippen des Smartphones auf Ihrer Google-Profilseite landet. Für Betriebe mit Publikumsverkehr, etwa Restaurants, Salons oder Handwerksbetriebe, ersetzt das die riskante E-Mail-Kampagne durch eine einmalige Investition ohne Abonnement und ohne laufende Kosten. Wenn Sie diesen Weg gehen wollen, schauen Sie sich die individuell gestaltbare NFC-Bewertungskarte oder den NFC-Bewertungsaufsteller für den Empfangstresen an. Wer zusätzlich mit einer bestehenden negativen Bewertung kämpft, findet auf der Seite zur kostenlosen Löschung negativer Google-Bewertungen einen ersten Ansatzpunkt. Bestellen Sie Ihr individuelles NFC-Produkt und ersetzen Sie die nächste E-Mail-Bewertungsanfrage durch einen einzigen Fingertipp.
Quellen
- Taylor Wessing — BGH: Kundenzufriedenheitsbefragung per E‑Mail grundsätzlich nur mit Einwilligung des Kunden
- HÄRTING — Koppelungsverbot gem. Art.7 Abs.4 DSGVO
- Anwalt
- netzw3rk — Google Bewertungen DSGVO‑konform einbinden: So funktioniert es wirklich
FAQ
Kann man wegen einer schlechten Bewertung verklagt werden?
Eine schlechte, aber wahrheitsgemäße Bewertung ist durch die Meinungsfreiheit geschützt und kein Klagegrund. Enthält sie jedoch unwahre Tatsachenbehauptungen oder unzulässig veröffentlichte personenbezogene Daten, können zivilrechtliche Ansprüche und ein Löschungsanspruch nach Art. 17 DSGVO entstehen.
Welche Datenschutzbestimmungen gelten für Kundendaten bei Bewertungen?
Maßgeblich sind Art. 6 DSGVO für die Rechtsgrundlage der Verarbeitung und Art. 7 DSGVO für die Anforderungen an eine gültige Einwilligung, ergänzt durch das Koppelungsverbot nach Art. 7 Abs. 4 DSGVO bei Bewertungsanfragen.
Wann ist eine Kundenbewertung rechtswidrig?
Eine Bewertung wird rechtswidrig, wenn sie unwahre Tatsachen behauptet, beleidigend ist oder personenbezogene Daten Dritter ohne Rechtsgrundlage veröffentlicht. In diesen Fällen greift der Löschungsanspruch aus Art. 17 DSGVO.
Kann man wegen einer Google-Rezension verklagt werden?
Ja, wenn die Rezension nachweislich falsche Tatsachen enthält oder Persönlichkeitsrechte verletzt. Der BGH hat zudem klargestellt, dass auch die Art und Weise, wie Unternehmen solche Bewertungen anfordern, rechtliche Konsequenzen nach sich ziehen kann, etwa bei Verstößen gegen die Einwilligungspflicht.
Ist die Einholung von Bewertungen über NFC-Karten DSGVO-konform?
Ja, weil der Kunde die Bewertung freiwillig und direkt am Point of Sale abgibt, ohne dass eine Werbe-E-Mail oder eine gekoppelte Einwilligung nötig wird. Das umgeht die Risiken, die der BGH für E-Mail-Bewertungsanfragen aufgestellt hat.
Perspektive: Warum Unternehmen an der falschen Stelle Angst haben
Die meisten Unternehmer fürchten sich vor der falschen Sache. Sie sorgen sich um die nächste schlechte Bewertung, dabei liegt das eigentliche Risiko fast immer im eigenen Anfrageprozess. Wer über Jahre per E-Mail-Verteiler um Bewertungen bittet, ohne je eine saubere Einwilligung dokumentiert zu haben, sitzt auf einem größeren rechtlichen Problem als jede einzelne Ein-Stern-Bewertung es je darstellen könnte.
Die zweite blinde Stelle ist die eigene Antwort. Ich sehe in der Praxis ständig Unternehmer, die aus verständlichem Frust in einer öffentlichen Antwort Details nennen, die dort nicht hingehören, den Namen des zuständigen Mitarbeiters, die genaue Bestellnummer, den Ablauf eines internen Vorgangs. Genau das macht aus einer harmlosen schlechten Bewertung einen echten Datenschutzfall, für den man selbst verantwortlich ist. Die Lösung liegt nicht in cleverer Rhetorik, sondern in Disziplin: sachlich bleiben, keine Namen, keine Details, die einen Menschen identifizierbar machen.
Und die dritte Fehleinschätzung betrifft die Technik. Viele Websitebetreiber wissen schlicht nicht, dass ihr eingebundenes Bewertungswidget im Hintergrund Daten an Server außerhalb Deutschlands schickt. Das ist kein hypothetisches Risiko, sondern ein technisches Detail, das sich mit serverseitigem Proxying lösen lässt, ohne dass der Nutzer davon je etwas merkt. Wer POS-Methoden wie NFC nutzt, umschifft einen guten Teil dieser Probleme von Anfang an, einfach weil der ganze E-Mail-Kanal mit seinen Einwilligungs- und Koppelungsfragen komplett entfällt.
— Dario
Empfehlung
- Schlechte Google Bewertungen: Wie Du damit umgehst und Dein – Einfachbewertet.de
- Einfachbewertet II Negative Google Bewertung kostenlos löschen lassen – Einfachbewertet.de
- Google Bewertungen selbst löschen – Anleitung (PDF) | EinfachBewertet – Einfachbewertet.de
- Warum Google Bewertungen nicht anzeigt: Ein Leitfaden – Einfachbewertet.de
