Contact-Center-Compliance-Checkliste für 2026

Compliance im Contact Center ist keine einzelne Anforderung – sie ist eine Matrix aus Vorschriften, Richtlinien und technischen Kontrollen, die je nach Rechtsordnung, Branche und Kampagnentyp variiert. Ein Inkasso-Team, das US-Verbraucher anruft, arbeitet unter anderen Regeln als ein Vertriebsteam, das Unternehmen in den VAE anruft, und beide unterscheiden sich von einem BPO, das Kampagnen in der gesamten EU fährt.

Diese Checkliste behandelt die Compliance-Bereiche, die Outbound-Contact-Center 2026 überprüfen sollten. Sie ist keine Rechtsberatung. Wenden Sie sich für eine auf Ihren Betrieb und Ihre Rechtsordnungen zugeschnittene Beratung an eine qualifizierte Compliance-Fachperson oder einen Anwalt.

1. Management von Do-Not-Call-Listen (DNC)

DNC-Compliance ist der sichtbarste und am häufigsten verletzte Bereich der Regulierung von Outbound-Anrufen. Fehler führen hier zu Bußgeldern, Klagen und Reputationsschäden.

Prüfpunkte:

• Anbindung nationaler DNC-Register: Gleichen Sie Ihre Kontaktlisten mit den maßgeblichen nationalen DNC-Registern ab? In den USA ist das die National Do Not Call Registry der FTC. In den VAE führt die TDRA ein eigenes Register. In Saudi-Arabien betreibt die CST ein vergleichbares System. In der EU führen die Mitgliedstaaten eigene Register (z. B. TPS im Vereinigten Königreich, die Robinson-Liste in Deutschland).
• Interne DNC-Liste: Führen Sie eine eigene interne DNC-Liste? Wenn ein Verbraucher verlangt, nicht angerufen zu werden, wird die Nummer innerhalb der vorgeschriebenen Frist in Ihre interne DNC-Liste aufgenommen? In den USA verlangt der TCPA, Widersprüche innerhalb von 30 Tagen umzusetzen. Best Practice ist die sofortige Umsetzung.
• Häufigkeit des DNC-Abgleichs: Wie oft gleichen Sie Ihre Anruflisten mit den nationalen Registern ab? Listen sollten vor jedem Kampagnenstart und bei lang laufenden Kampagnen regelmäßig abgeglichen werden. Die FTC verlangt für das US-Register einen Abgleich mindestens alle 31 Tage.
• DNC über Mandanten hinweg: Für BPOs und mandantenfähige Betriebe: Wenn ein Verbraucher Anrufen von Kunde A widerspricht, wird die Nummer dann auch für die Kampagnen von Kunde B gesperrt? Das hängt von den regulatorischen Anforderungen und Ihrer DNC-Richtlinie ab. Stellen Sie sicher, dass Ihr System je nach Bedarf sowohl gemeinsame als auch mandantenspezifische DNC-Listen unterstützt.
• DNC-Prüfung vor dem Wählen: Wird der DNC-Status vor jedem Anruf geprüft oder nur beim Listenimport? Listen ändern sich. Eine Nummer, die nach Ihrem Import ins DNC-Register aufgenommen wurde, muss vor dem Wählen trotzdem geprüft werden. Konfigurierte Default-Deny-Richtlinien können Anrufe blockieren, die die DNC-Prüfung nicht bestehen.

2. Einwilligungsmanagement

Die Anforderungen an die Einwilligung unterscheiden sich je nach Rechtsordnung und Anrufart erheblich. Eine falsche Annahme zur Einwilligung kann Ihren Betrieb einer erheblichen Haftung aussetzen.

Prüfpunkte:

• Art der Einwilligung dokumentiert: Wissen Sie für jeden Kontakt auf Ihrer Liste, welche Art von Einwilligung eingeholt wurde? Ausdrückliche schriftliche Einwilligung (nach dem TCPA für Autodialer- bzw. vorab aufgezeichnete Anrufe an Mobiltelefone erforderlich), vorherige ausdrückliche Einwilligung (für manche Anrufarten ausreichend) oder stillschweigende Einwilligung (in manchen Rechtsordnungen bei bestehenden Geschäftsbeziehungen ausreichend)?
• Einwilligungsnachweise gespeichert: Speichern Sie für jeden Einwilligungsdatensatz die Quelle der Einwilligung (Webformular, Sprachaufzeichnung, Papierformular), den Zeitstempel, die IP-Adresse (bei Webformularen), die Kampagne bzw. den Kontext, in dem die Einwilligung eingeholt wurde, und den konkreten Einwilligungstext, dem der Verbraucher zugestimmt hat?
• Umfang der Einwilligung beachtet: Wenn ein Verbraucher in Anrufe zu „Kontoaktualisierungen“ eingewilligt hat, verhindert Ihr System dann, dass diese Einwilligung für „Werbeangebote“ genutzt wird? Der Umfang der Einwilligung zählt. Eine für einen Zweck erteilte Einwilligung zur Rechtfertigung von Anrufen für einen anderen Zweck zu nutzen, ist ein Compliance-Risiko.
• Ablauf für den Widerruf der Einwilligung: Wird ein Widerruf der Einwilligung sofort bearbeitet? Wird er mit Zeitstempel protokolliert? Sperrt er künftige Anrufe in allen relevanten Kampagnen?
• DSGVO-spezifische Einwilligung (EU): Wird die Einwilligung bei EU-Kontakten freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt? Führen Sie Nachweise, die alle vier Kriterien belegen? Kann der Verbraucher seine Einwilligung so einfach widerrufen, wie er sie erteilt hat?

3. Anrufzeiten und Zeitzonen-Compliance

Anrufe außerhalb der erlaubten Zeiten gehören zu den häufigsten und am leichtesten vermeidbaren Compliance-Verstößen.

Prüfpunkte:

• Anrufzeitfenster je nach Rechtsordnung: Sind Ihre Anrufzeiten pro Rechtsordnung konfiguriert? Der US-amerikanische TCPA beschränkt Anrufe auf 8–21 Uhr in der Ortszeit des Verbrauchers. Gesetze der Bundesstaaten können strenger sein (z. B. verbieten manche Bundesstaaten Anrufe vor 9 Uhr). Die TDRA der VAE hat eigene Anrufzeitfenster. Die EU-Mitgliedstaaten haben unterschiedliche Regeln.
• Umgang mit Zeitzonen: Ermittelt Ihr System die Zeitzone des Verbrauchers anhand der Vorwahl seiner Telefonnummer oder geografischer Daten? Eine Kontaktliste mit US-Rufnummern über mehrere Zeitzonen hinweg braucht eine Zeitzonenberechnung pro Nummer, keine einzige kampagnenweite Zeitzoneneinstellung.
• Einschränkungen an Feiertagen und Wochenenden: Manche Rechtsordnungen schränken Anrufe an Feiertagen oder Wochenenden ein oder verbieten sie. Kennt Ihr System die Feiertagskalender der jeweiligen Rechtsordnung?
• Grenzfälle: Was passiert, wenn die Vorwahl der Telefonnummer eines Verbrauchers zu einer Zeitzone gehört, er sich aber physisch in einer anderen befindet? Ihr System sollte die registrierte Zeitzone der Telefonnummer als compliance-sicheren Standard verwenden.

4. Compliance bei der Anrufaufzeichnung

Die Anrufaufzeichnung ist in manchen Kontexten gesetzlich vorgeschrieben und in anderen gesetzlich eingeschränkt. Die Compliance-Anforderungen hängen von Ihrer Rechtsordnung und der Art des Anrufs ab.

Prüfpunkte:

• Einwilligung in die Aufzeichnung: Befinden Sie sich in einer Rechtsordnung mit Ein-Parteien- oder Zwei-Parteien-Einwilligung? In Ein-Parteien-Bundesstaaten (USA) muss nur eine Partei wissen, dass das Gespräch aufgezeichnet wird. In Bundesstaaten mit Zwei-Parteien- bzw. Allparteien-Einwilligung (Kalifornien, Florida, Illinois und weitere in den USA) müssen alle Parteien zustimmen. In der EU unterscheiden sich die Anforderungen an die Einwilligung je nach Mitgliedstaat, verlangen aber in der Regel, alle Parteien zu informieren.
• Aufzeichnungsansage: Enthalten Ihre Kampagnen zu Beginn des Anrufs einen Hinweis auf die Aufzeichnung? Erfolgt der Hinweis in der Sprache des Verbrauchers?
• Speicherung und Aufbewahrung von Aufzeichnungen: Wie lange werden Aufzeichnungen aufbewahrt? Entsprechen die Aufbewahrungsfristen den branchenspezifischen Anforderungen? Finanzdienstleistungen, Gesundheitswesen und Inkasso können Mindestaufbewahrungsfristen haben.
• PCI-Compliance bei Zahlungen: Wenn Agenten während Anrufen Zahlungskartendaten verarbeiten, pausieren Sie die Aufzeichnung während der Erfassung der PCI-Daten? Oder nutzen Sie DTMF-Unterdrückung, damit Kartennummern nicht aufgezeichnet werden?
• Zugriffskontrollen für Aufzeichnungen: Wer kann auf Aufzeichnungen zugreifen? Sind die Zugriffskontrollen angemessen begrenzt? Kann in mandantenfähigen Betrieben ein Supervisor eines Kunden auf Aufzeichnungen eines anderen Kunden zugreifen? Das sollte nicht möglich sein.
• Legal-Hold-Funktion: Können Sie bei strittigen Konten oder zu erwartenden Rechtsstreitigkeiten Aufzeichnungen mit einem Legal Hold belegen, damit sie nicht durch routinemäßige Aufbewahrungsrichtlinien gelöscht werden?

5. Überwachung der Abbruchrate

Predictive Dialing steigert die Produktivität der Agenten, birgt aber das Risiko abgebrochener Anrufe – Anrufe, die von einem Menschen angenommen, aber getrennt werden, weil kein Agent verfügbar ist.

Prüfpunkte:

• Schwellenwert für die Abbruchrate: Ist Ihr Predictive Dialer so konfiguriert, dass die Abbruchrate auf oder unter dem regulatorischen Schwellenwert bleibt? In den USA liegt die Grenze von FTC/FCC bei 3 %, gemessen über 30 Tage pro Kampagne. Die Grenze von Ofcom im Vereinigten Königreich liegt bei 3 %, wird aber anders gemessen. Kennen Sie den Schwellenwert und die Messmethode Ihrer Rechtsordnung.
• Echtzeit-Überwachung: Bietet Ihr Dialer eine Echtzeit-Überwachung der Abbruchrate mit Warnungen, wenn Sie sich dem Schwellenwert nähern? Erst im Monatsbericht zu entdecken, dass Sie den Schwellenwert überschritten haben, ist zu spät.
• Erfassung pro Kampagne: Abbruchraten sollten pro Kampagne erfasst werden, nicht als systemweiter Durchschnitt. Eine einzige Kampagne mit hohem Volumen und aggressivem Pacing kann Ihre Gesamtrate über den Schwellenwert treiben, selbst wenn andere Kampagnen unauffällig sind.
• Behandlung abgebrochener Anrufe: Was hört der Verbraucher, wenn ein Anruf abgebrochen wird? Die FTC-Regeln verlangen, dass bei abgebrochenen Anrufen eine aufgezeichnete Nachricht abgespielt wird, die den Anrufer identifiziert und eine Rückrufnummer nennt. Sind Ihre Ansagen für abgebrochene Anrufe regelkonform?
• Zusammenspiel mit AMD: AMD-Fehlalarme (echte Menschen, die als Anrufbeantworter eingestuft werden) werden in Ihren Berichten möglicherweise nicht als abgebrochene Anrufe gezählt, erzeugen aber dasselbe Erlebnis für den Verbraucher – er nimmt ab und hört nichts. Überwachen Sie dies zusammen mit Ihrer Abbruchrate.

6. Grenzen für Wiederholungen und Versuche

Übermäßiges Anrufen ist ein Compliance-Risiko und ein Problem für das Verbrauchererlebnis. Die meisten regulatorischen Rahmenwerke begrenzen, wie oft Sie versuchen dürfen, denselben Verbraucher zu erreichen.

Prüfpunkte:

• Versuchsgrenzen pro Kontakt: Setzen Sie maximale Versuchsgrenzen pro Kontakt pro Tag, pro Woche und insgesamt durch? Die US-amerikanische Reg F (für das Inkasso) begrenzt Anrufe auf 7 Versuche innerhalb eines rollierenden 7-Tage-Zeitraums pro Forderung. Ihre Grenzen sollten sowohl regulatorische Anforderungen als auch angemessene Verbrauchererwartungen widerspiegeln.
• Mindestabstände: Gibt es einen Mindestabstand zwischen Versuchen an dieselbe Nummer? Wer dieselbe Nummer 5-mal in 30 Minuten anruft, löst wahrscheinlich eine Beschwerde aus – selbst wenn das technisch gegen keine bestimmte Vorschrift verstößt.
• Kampagnenübergreifende Grenzen: Wenn derselbe Verbraucher auf mehreren Kampagnenlisten steht, werden die Versuchsgrenzen dann über alle Kampagnen hinweg durchgesetzt? Zehn Anrufe aus zehn verschiedenen Kampagnen an dieselbe Nummer an einem Tag sind faktisch dasselbe wie zehn Anrufe aus einer Kampagne – doch manche Systeme setzen Grenzen nur innerhalb einer einzelnen Kampagne durch.
• Widerspruchs-Compliance bei Wiederholungen: Wenn ein Verbraucher während eines Anrufs widerspricht, werden dann alle geplanten Wiederholungen für diese Nummer sofort storniert?

7. Caller-ID- und CLI-Compliance

Die Caller-ID-Vorschriften werden als Reaktion auf die Robocall-Flut verschärft. Outbound-Teams müssen sicherstellen, dass die Anzeige ihrer Rufnummer regelkonform ist.

Prüfpunkte:

• Prüfung der CLI-Inhaberschaft: Sind alle ausgehenden CLIs (Caller Line Identifiers) Nummern, die Ihnen gehören oder die Sie nutzen dürfen? Eine CLI anzuzeigen, über die Sie nicht verfügen, ist in den meisten Rechtsordnungen illegal und wird zunehmend über die STIR/SHAKEN-Attestierung durchgesetzt.
• STIR/SHAKEN-Attestierung: Werden Ihre Anrufe in den USA mit einer passenden STIR/SHAKEN-Attestierung signiert? Anrufe ohne Attestierung werden von Carriern zunehmend gefiltert und erreichen den Verbraucher möglicherweise nicht.
• Überwachung der DID-Gesundheit: Überwachen Sie die Spam-/Betrugs-Reputation Ihrer ausgehenden DIDs? Nummern, die häufig von Verbrauchern gemeldet werden, werden von den Analysesystemen der Carrier als „Spam Likely“ oder „Scam“ gekennzeichnet, was Ihre Annahmequote gegen null drückt.
• Nummernrotation und Warm-up: Rotieren Sie DIDs, um das Anrufvolumen zu verteilen und zu verhindern, dass einzelne Nummern als Spam markiert werden? Werden neue DIDs schrittweise aufgewärmt, statt sofort für Kampagnen mit hohem Volumen eingesetzt zu werden?
• Local Presence: Wenn Sie Local Presence Dialing nutzen (also eine lokale Nummer passend zur Vorwahl des Verbrauchers anzeigen): Haben Sie in diesem Vorwahlgebiet tatsächlich einen Betrieb oder eine Präsenz? Einige Bundesstaaten erwägen Gesetze, die Local Presence Dialing ohne echte lokale Präsenz einschränken.

8. Datenschutz und Privatsphäre

Kontaktdaten sind personenbezogene Daten. Datenschutzvorschriften regeln, wie Sie sie erheben, speichern, verarbeiten und löschen.

Prüfpunkte:

• Auftragsverarbeitungsverträge: Haben Sie Auftragsverarbeitungsverträge (AVV) mit Ihrem Dialer-Anbieter, Ihrem Carrier und allen anderen Auftragsverarbeitern geschlossen, die in Ihrem Auftrag Kontaktdaten verarbeiten? Die DSGVO verlangt schriftliche Verträge mit allen Auftragsverarbeitern.
• Datenminimierung: Erheben und speichern Sie nur die Kontaktdaten, die Sie für Ihre Kampagnen benötigen? Daten „für alle Fälle“ zu speichern, erhöht Ihr regulatorisches Risiko.
• Aufbewahrungsrichtlinien: Haben Sie festgelegte Aufbewahrungsfristen für Kontaktdaten, Anrufaufzeichnungen und Gesprächsergebnisse? Werden Datensätze nach Ablauf der Frist automatisch gelöscht?
• Auskunftsersuchen betroffener Personen: Können Sie Anfragen von Verbrauchern auf Auskunft, Berichtigung oder Löschung ihrer personenbezogenen Daten innerhalb der vorgeschriebenen Frist beantworten? Die DSGVO verlangt eine Antwort innerhalb von 30 Tagen.
• Grenzüberschreitende Datenübermittlungen: Wenn Ihre Kontaktdaten Grenzen überschreiten (z. B. MENA-Kontaktdaten, die auf in den USA gehosteter Infrastruktur verarbeitet werden), haben Sie geeignete Übermittlungsmechanismen eingerichtet?

9. Audit-Trail und Dokumentation

Wenn eine Aufsichtsbehörde oder der Anwalt eines Verbrauchers Nachweise für Ihre Compliance verlangt, müssen Sie diese vorlegen. „Wir halten uns an die Regeln“ reicht ohne Dokumentation nicht aus.

Prüfpunkte:

• Protokollierung von Compliance-Entscheidungen: Werden Compliance-Entscheidungen (Anruf wegen DNC-Treffer blockiert, Anruf wegen Anrufzeitbeschränkung blockiert usw.) mit der konkret ausgelösten Regel, dem Zeitstempel und dem Ergebnis protokolliert? Diese Protokolle können bei behördlichen Untersuchungen entscheidende Beweismittel sein.
• Versionshistorie der Richtlinien: Wird bei einer Änderung der Compliance-Richtlinien die vorherige Version aufbewahrt? Wenn eine Aufsichtsbehörde fragt, wie Ihre DNC-Prüfrichtlinie an einem bestimmten Tag vor sechs Monaten aussah – können Sie das belegen?
• Schulungsnachweise der Agenten: Können Sie nachweisen, dass Agenten Compliance-Schulungen erhalten haben, wann das war und welche Themen behandelt wurden?
• Interaktionshistorie mit Verbrauchern: Können Sie für jeden Verbraucher eine vollständige Historie aller Anrufversuche, Verbindungen, Aufzeichnungen, Gesprächsergebnisse, Einwilligungsnachweise, Widersprüche und Beschwerden vorlegen?

Kurzübersicht nach Rechtsordnung

Die obigen Prüfpunkte sind überall dieselben. Die Zahlen dahinter nicht. Diese Tabelle ist ein Ausgangspunkt für die vier Regime, mit denen die meisten Outbound-Teams zu tun haben, und sie ist eine Zusammenfassung, keine Darstellung der Rechtslage: Prüfen Sie die aktuelle Regel für jeden Markt, bevor Sie eine Kampagne danach konfigurieren.

Was der Dialer selbst leisten muss

Eine Richtlinie, die in einem Dokument steht, ist eine Richtlinie, an die sich ein Agent erinnern muss. Jede Zeile oben entspricht einer Kontrolle, die die Plattform durchsetzen sollte, bevor der Anruf abgesetzt wird.

• DNC: mehrere Listen gleichzeitig prüfen, Abgleich zum Zeitpunkt des Wählens statt nur beim Import, sofortige Sperrung, wenn eine Nummer während einer laufenden Kampagne hinzukommt, und ein protokolliertes Ergebnis für jede Prüfung – auch für Prüfungen ohne Treffer.
• Anrufzeitfenster: Zeitzone aus der Nummer selbst ermitteln, Zeitfenster pro Rechtsordnung konfigurieren, Versuche außerhalb des Zeitfensters blockieren statt nur warnen, und den grenzüberschreitenden Fall sinnvoll behandeln, in dem Team und Kontakt in unterschiedlichen Zeitzonen sitzen.
• Versuche: Zähler pro Nummer über konfigurierbare rollierende Zeitfenster, getrennte Zählung von verbundenen und nicht verbundenen Versuchen, Grenzen pro Kampagne und pro Rechtsordnung sowie eine Abkühlphase nach einem Live-Gespräch.
• Caller-ID: Zuweisung pro Kampagne mit Validierung, Zustandsüberwachung, damit eine als Spam markierte Nummer früh erkannt wird, und kontrollierte Rotation statt zufälligen Durchwechselns.
• Abbruchrate: live pro Kampagne erfasst, Pacing wird bei Annäherung an die Obergrenze automatisch zurückgenommen, die vorgeschriebene Nachricht wird abgespielt, und wiederholte Abbrüche bei derselben Nummer werden vermieden.
• Datenschutz: Verschlüsselung bei Speicherung und Übertragung, rollenbasierter Zugriff, automatisch durchgesetzte Aufbewahrungspläne, Export und Löschung für Betroffenenanfragen sowie Zugriffsprotokollierung.

So nutzen Sie diese Checkliste

Diese Checkliste ist ein Ausgangspunkt, um die Compliance-Lage Ihres Contact Centers zu überprüfen – kein umfassendes rechtliches Compliance-Programm. Regulatorische Anforderungen ändern sich. Neue Vorschriften werden erlassen. Bestehende Vorschriften werden durch Durchsetzungsmaßnahmen und Gerichtsentscheidungen neu ausgelegt.

Empfohlene nächste Schritte:

• Jeden Abschnitt mit Ihrem aktuellen Betrieb abgleichen und Lücken identifizieren
• Lücken nach Risiko priorisieren (Wahrscheinlichkeit eines Verstoßes multipliziert mit der Schwere der Folgen)
• Technische Kontrollen in Ihrer Dialer-Plattform umsetzen, um Compliance wo möglich zu automatisieren
• Ihre Compliance-Richtlinien und -Verfahren dokumentieren
• Regelmäßige Compliance-Audits einplanen (vierteljährlich empfohlen)
• Für rechtsordnungsspezifische Beratung eine Compliance-Fachperson oder einen Anwalt hinzuziehen
• Arbeiten Sie die Checkliste zur Vorbereitung auf regulatorische Audits durch, damit die Nachweise für jede der oben genannten Kontrollen auf Anfrage vorgelegt werden können

Details dazu, wie DialerBee Kontrollen zur Unterstützung der Compliance für Outbound-Betriebe umsetzt, finden Sie auf unserer Seite zu den Compliance-Funktionen oder in unseren regionsspezifischen Compliance-Leitfäden.

Haftungsausschluss: Diese Checkliste bietet allgemeine Informationen zu Compliance-Themen im Contact Center. Sie stellt keine Rechtsberatung dar. Compliance-Anforderungen unterscheiden sich je nach Rechtsordnung, Branche und Kampagnentyp. Wenden Sie sich für eine auf Ihren Betrieb zugeschnittene Beratung an eine qualifizierte Compliance-Fachperson oder einen Anwalt.

Häufig gestellte Fragen

Was gehört auf eine Compliance-Checkliste für Contact Center?

DNC-Abgleich, dokumentierte Einwilligung, erlaubte Anrufzeiten in der Ortszeit des Angerufenen, Regeln zur Aufzeichnung, Überwachung der Abbruchrate, Grenzen für Wiederholungen und Versuche sowie Regeln zur Rufnummernanzeige (Caller-ID).

Wie oft sollten DNC-Listen abgeglichen werden?

Zum Zeitpunkt des Wählens, nicht nur beim Listenimport. Eine Nummer kann zwischen dem Upload und dem Moment, in dem der Anruf tatsächlich abgesetzt wird, auf eine Sperrliste gesetzt werden.

Richten sich Anrufzeiten nach meiner Zeitzone oder nach der des Angerufenen?

Nach der des Angerufenen. Erlaubte Zeitfenster richten sich danach, wo sich die angerufene Person befindet – deshalb ist zeitzonengerechtes Wählen bei Kampagnen über mehrere Regionen so wichtig.

Reicht eine Checkliste aus, um compliant zu sein?

Nein. Eine Checkliste hilft Ihnen, Lücken zu finden, doch Compliance hängt von Ihrer Rechtsordnung, Ihrer Einwilligungsgrundlage, Ihrer Konfiguration und einer auf Ihren Betrieb zugeschnittenen Rechtsberatung ab.