B2B-Kundenportal: Selbstbedienung für Geschäftskunden

Ein Kundenportal soll Bestellungen, Belege und Rückfragen vom Telefon in den Shop verlagern. Ob es das tut, entscheidet nicht die Zahl der Funktionen, sondern ihre Passung zum Einkauf des Kunden. Planen Sie deshalb weniger Funktionen, wenn eine Person allein bestellt, und mehr, wenn eine Filiale mit Kostenstellen oder eine Einkaufsstelle mit Freigabe bestellt.

Was ein Kundenportal im B2B-Bereich leistet

Ein B2B-Kundenportal ist der geschützte Bereich Ihres Shops, in dem ein Geschäftskunde Vorgänge ohne Rückfrage selbst erledigt: nachsehen, bestellen, wiederbestellen, Beleg abrufen. Ein Kundenkonto für Privatkunden unterscheidet sich davon in zwei Punkten: Ein Firmenkonto kann mehreren Personen offenstehen, und jede Ansicht hängt an den Konditionen und dem Sortiment genau dieses Kunden. Die Grundlagen dazu stehen unter B2B-Onlineshop aufbauen.

Ordnen Sie jede Funktion einer von drei Aufgaben zu: Beschaffung (schnell bestellen, was der Betrieb braucht), Buchhaltung (Rechnung und Beleg finden) und Kontrolle (wer im Betrieb darf was auslösen). Funktionen ohne Bezug zu einer dieser Aufgaben gehören nicht in die erste Ausbaustufe.

Die Funktionspriorität nach Kundentyp

Die Matrix bewertet zehn Funktionen für vier Kundentypen. 1 heißt: gehört in die erste Ausbaustufe. 2 heißt: danach. – heißt: für diesen Typ nicht entscheidungsrelevant. Die Zuordnung folgt dem Beschaffungsablauf der jeweiligen Gruppe und ist eine redaktionelle Einschätzung, keine Erhebung über Erwartungen am Markt.

Funktion	Einzelbetrieb	Wiederverkäufer	Filialbetrieb	Öffentliche Einkaufsstelle
Anmeldung über den Firmenzugang	2	2	1	1
Preise und Konditionen je Konto	1	1	2	2
Bestellhistorie und Nachbestellen	1	1	2	–
Verfügbarkeit und Liefertermin	1	1	2	2
Bestellvorlage und Sammelbestellung	2	1	1	–
Entwurf, Freigabe durch Vorgesetzte	–	2	1	1
Mehrere Lieferadressen und Kostenstellen	–	2	1	1
Rechnungen und Belege herunterladen	2	1	1	1
Bestelldaten als Tabelle exportieren	–	2	1	2
Rollen und Rechte je Nutzendem	2	2	1	1

Fünf Zeilen kennen für jeden der vier Typen eine Priorität: Anmeldung über den Firmenzugang, Preise je Konto, Verfügbarkeit und Liefertermin, Rechnungsabruf sowie Rollen und Rechte. Alles, was Freigabe und Kostenstellen betrifft, trennt den Einzelbetrieb von Filialbetrieb und öffentlicher Einkaufsstelle. Preise und Staffeln pflegen Sie in einer Quelle (Kundenspezifische Preise und Staffeln), Freigaben in einem Workflow (Angebote und Freigabeprozesse). Kauft der Kunde über sein eigenes Beschaffungssystem ein, kommt die Anbindung als eigenes Thema hinzu (Punchout und E-Procurement).

Rollen und Rechte: was das Datenschutzrecht verlangt

Rollen trennen Zuständigkeiten und begrenzen zugleich den Datenzugriff. Beispiel für ein Rollenmodell eines Firmenkontos:

Rolle	Darf einsehen	Darf auslösen
Konto-Verwaltung beim Kunden	alle Bestellungen und Lieferadressen des Kontos, Liste der Nutzenden	Nutzende anlegen, Rollen vergeben
Bestellende Person	eigenen Warenkorb, eigene und freigegebene Bestellungen, Kontopreise	Bestellung anlegen, Entwurf speichern
Freigebende Person	Entwürfe und Bestellungen des Kontos mit Beträgen	freigeben oder ablehnen
Buchhaltung des Kunden	Rechnungen, Belege, Rechnungsadressen	Belege herunterladen, keine Bestellung
Ihr Innendienst	alle Konten und Konditionen	Konditionen ändern, Konto sperren

Datenschutzrechtliche Grenzen bekommt dieses Modell, sobald darin Namen, Kontaktdaten oder Bestellverhalten von Personen stehen. In Deutschland und Österreich gilt die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) unmittelbar; sie ist in allen Teilen verbindlich und gilt in jedem Mitgliedstaat, angewendet seit 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Sie verlangt, dass personenbezogene Daten auf das für den Zweck notwendige Maß beschränkt bleiben (Art. 5 Abs. 1 Buchst. c DSGVO), und die Voreinstellung darf nur die dafür erforderlichen Daten zugänglich machen (Art. 25 Abs. 2 DSGVO). Der Zugangsschutz gehört zu den technischen und organisatorischen Maßnahmen, die Vertraulichkeit und Integrität sicherstellen sollen (Art. 32 Abs. 1 Buchst. b DSGVO). Nach Art. 3 Abs. 2 DSGVO gilt die Verordnung auch für einen Verantwortlichen oder Auftragsverarbeiter außerhalb der Union, wenn die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, damit zusammenhängt, dass er diesen Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten in der Union beobachtet. Personenbezogene Daten sind Daten identifizierter oder identifizierbarer natürlicher Personen (Art. 4 Nr. 1 DSGVO). Für einen Schweizer Shop mit Portal kommt es deshalb darauf an, dass er sich an Personen in der Union richtet; dass deutsche oder österreichische Firmenkunden bestellen, genügt für sich allein nicht.

In der Schweiz gilt die DSGVO nicht als Landesrecht; nach Art. 3 Abs. 2 DSGVO kann sie einen Schweizer Anbieter aber erfassen, der betroffenen Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet (siehe oben). Für Schweizer Verantwortliche gilt das Datenschutzgesetz (DSG, SR 235.1) in der Fassung vom 25. September 2020, in Kraft seit 1. September 2023. Es erfasst nur Personendaten natürlicher Personen (Art. 2 Abs. 1): Bestelldaten der Firma als solcher sind danach keine Personendaten, Name, Durchwahl und Anmeldedaten der bestellenden Personen schon.

Betreibt ein Dienstleister das Portal und verarbeitet er dabei im Auftrag personenbezogene Daten, greifen die Auftragsbearbeitungsregeln des anwendbaren Rechts. In Deutschland und Österreich braucht es dafür einen Vertrag oder ein anderes Rechtsinstrument, das ihn bindet und die Pflichten nach Art. 28 Abs. 3 DSGVO festlegt (Auftragsverarbeitung im Shop). In der Schweiz kann die Bearbeitung nach Art. 9 Abs. 1 DSG vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn die Daten so bearbeitet werden, wie Sie selbst es dürften, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet; nach Art. 9 Abs. 2 DSG müssen Sie sich vergewissern, dass er die Datensicherheit gewährleisten kann. Das gilt auch für das Kundenkonto selbst (Kundenkonto und Login).

Setzt das Portal ein Kreditlimit oder eine Sperre ohne Einzelfallprüfung automatisch durch, sind zwei Fragen zu trennen: Wen trifft die Entscheidung, und wie ist sie abgesichert. Beide Regelwerke schützen betroffene Personen, also natürliche Personen, und setzen voraus, dass die Entscheidung ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt; eine Entscheidung, die allein die Firma als solche betrifft, löst diese Regeln deshalb nicht aus (Art. 1 DSGVO; Art. 2 Abs. 1 DSG, der nur Personendaten natürlicher Personen erfasst).

In Deutschland und Österreich hat die betroffene Person nach Art. 22 Abs. 1 DSGVO das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung mit dieser Wirkung unterworfen zu werden. Nach Abs. 2 gilt das nicht, wenn die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags zwischen ihr und dem Verantwortlichen erforderlich ist (Buchst. a), aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten zulässig ist (Buchst. b) oder mit ihrer ausdrücklichen Einwilligung erfolgt (Buchst. c); in den Fällen des Abs. 2 Buchst. a und c gehören zumindest das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Anfechtung der Entscheidung dazu (Abs. 3).

In der Schweiz stellt Art. 21 DSG auf Information und Überprüfung ab: Der Verantwortliche informiert die betroffene Person über eine automatisiert ergangene Einzelentscheidung mit Rechtsfolge oder erheblicher Beeinträchtigung (Abs. 1), gibt ihr auf Antrag Gelegenheit, ihren Standpunkt darzulegen, und sie kann verlangen, dass eine natürliche Person die Entscheidung überprüft (Abs. 2). Diese Pflichten gelten nach Abs. 3 nicht, wenn die Entscheidung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und dem Begehren der Person stattgegeben wird, oder wenn sie ausdrücklich in die automatisierte Entscheidung eingewilligt hat.

Planen Sie deshalb in beiden Rechtsordnungen eine manuelle Prüfstufe ein und verweisen Sie auf den Weg zur Bonitätsprüfung beim Freischalten (Geschäftskunden freischalten).

Ein Rechenbeispiel

Annahmen dieses Beispiels: 25 Bestellungen von Geschäftskunden pro Woche kommen telefonisch oder per E-Mail, die Erfassung einer solchen Bestellung dauert 9 Minuten, die Kontrolle einer Portalbestellung 1,5 Minuten, eine Arbeitsstunde kostet 38,00 Euro inklusive Nebenkosten, das Portal kostet 150,00 Euro im Monat. Alle Zahlen sind erfundene Annahmen einer Beispielrechnung.

Position	Wert
Aufwand am Telefon pro Woche	25 × 9 Minuten = 225 Minuten (3,75 Stunden)
Aufwand im Portal pro Woche	25 × 1,5 Minuten = 37,5 Minuten (0,63 Stunden)
Zeitgewinn pro Woche	3,1 Stunden
Zeitgewinn pro Jahr (52 Wochen)	162,5 Stunden
Wert des Zeitgewinns pro Jahr	162,5 × 38,00 Euro = 6.175,00 Euro
Betriebskosten des Portals pro Jahr	150,00 × 12 = 1.800,00 Euro
Überschuss pro Jahr	4.375,00 Euro

Der Zeitgewinn trägt die angenommenen Betriebskosten, sobald rund 29 Prozent der Bestellungen über das Portal laufen (1.800 ÷ 6.175 = 29,2 Prozent). Bei einer Selbstbedienungsquote von 40 Prozent bleiben rund 2.470 Euro Zeitgewinn und 670 Euro Überschuss. Einrichtung, Datenpflege und die Schulung Ihrer Kunden sind in der Rechnung nicht enthalten; rechnen Sie mit Ihren eigenen Werten.

Typische Fehler

1. Eine Rolle für alle: Dann sieht jede bestellende Person Preise, Bestellungen und Adressen, die ihre Aufgabe nicht verlangt, und der Zugriff ist weiter als nach Art. 5 Abs. 1 Buchst. c DSGVO nötig.
2. Zwei Preisquellen: Pflegt der Innendienst Konditionen anders als das Portal, sieht Ihr Kunde im Portal einen anderen Preis als im Angebot.
3. Freigabe ohne Vertretung: Ist nur eine Person freigabeberechtigt, liegen Bestellungen während Urlaub und Krankheit still. Legen Sie eine zweite freigebende Rolle fest.
4. Bestellhistorie ohne Suche und ohne Vorlage: Nachbestellen, das über den Saisonverlauf gebraucht wird, wird dann wieder zur Handarbeit am Telefon.
5. Stammdaten ohne Selbstpflege: Ändert der Kunde Anschrift, Ansprechperson oder Kostenstelle nicht selbst, läuft jede Änderung über Ihren Innendienst, und Portal und Warenwirtschaft weichen danach voneinander ab (Kundendaten im CRM).

So gehen Sie vor

1. Sehen Sie fünf Geschäftskunden beim Bestellen zu und notieren Sie je Bestellung: wer bestellt, welche Rückfrage kommt, wie lange dauert sie.
2. Wählen Sie je Kundentyp aus der Matrix die Zeilen mit der Priorität 1 und nehmen Sie höchstens fünf Funktionen in die erste Ausbaustufe.
3. Legen Sie das Rollenmodell fest und schreiben Sie zu jeder Rolle auf, welche Daten sie für ihre Aufgabe braucht.
4. Klären Sie mit dem Betreiber des Portals die Auftragsverarbeitung personenbezogener Daten im Auftrag: in Deutschland und Österreich einen Vertrag oder ein anderes Rechtsinstrument nach Art. 28 Abs. 3 DSGVO, in der Schweiz eine Übertragung nach Art. 9 Abs. 1 DSG, und die Zugriffsrechte im System.
5. Messen Sie nach acht Wochen den Anteil der Bestellungen im Portal, die Rückfragen je Bestellung und die Zeit je Bestellung.