DSGVO-Konformität für ausgehende Callcenter: Was Sie wissen müssen

Ausgehende Telefonate und die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, im Vereinigten Königreich durch die britische DSGVO widergespiegelt) stehen in engem Zusammenhang. Jeder Anruf beinhaltet personenbezogene Daten: Telefonnummer, Name, Schuldenstand, Lead-Score oder Sprachaufzeichnung. Das bedeutet: Sobald Ihre Mitarbeiter Kontakte in der EU oder im Vereinigten Königreich anrufen, greift die DSGVO für nahezu alle Geschäftstätigkeiten – und Verstöße werden prozentual am weltweiten Umsatz geahndet.

Dieser Leitfaden erläutert die wichtigsten Aspekte der DSGVO für Outbound-Teams: Wahl der Rechtsgrundlage, Zusammenspiel mit den ePrivacy-Regeln, Umgang mit Betroffenenrechten, rechtmäßige Gesprächsaufzeichnung, Aufbewahrung, grenzüberschreitende Datenübermittlung und die erforderlichen Verträge mit Ihren Dienstleistern. Er richtet sich an BPOs, Inkassounternehmen, Telekommunikations-Reseller und regulierte Contact Center, die Anrufe tätigen. EU- und britische Märkte.

Warum die DSGVO für ausgehende Anrufe gilt

Die DSGVO regelt die Verarbeitung personenbezogener Daten – also aller Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Im Kontext ausgehender Anrufe umfasst dies die Telefonnummer selbst, Name und Adresse des Kontakts, Konto- oder Schuldendaten, Gesprächsverlauf, Notizen des Agenten und jegliche Gesprächsaufzeichnung. Selbst ein „Nicht anrufen“-Vermerk gilt als personenbezogenes Datum, da er sich auf eine identifizierte Person bezieht.

Zwei Rollen sind wichtig. Die controller entscheidet, warum und wie personenbezogene Daten verarbeitet werden – typischerweise das Unternehmen, dessen Produkte, Schulden oder Dienstleistungen im Zusammenhang mit dem Anruf stehen. processor Sie handeln gemäß den dokumentierten Anweisungen des Verantwortlichen – beispielsweise eines Technologieanbieters oder eines externen Callcenter-Partners. Wenn Sie als BPO im Auftrag eines Kunden Anrufe tätigen, sind Sie in der Regel Auftragsverarbeiter für die Daten dieses Kunden und gleichzeitig Verantwortlicher für die Daten Ihrer eigenen Mitarbeiter. Die korrekte Zuordnung dieser Rollen bestimmt, wer wofür verantwortlich ist.

Wahl einer rechtlichen Grundlage für ausgehende Anrufe

Sie dürfen personenbezogene Daten nicht ohne eine rechtmäßige Grundlage verarbeiten gemäß Artikel 6Im Outbound-Marketing und der Kundenansprache dominieren zwei Grundlagen die Kommunikation: Einwilligung und berechtigtes Interesse. Inkasso- und Serviceanrufe basieren hingegen häufig auf vertraglichen oder rechtlichen Verpflichtungen.

Zustimmung

Die Einwilligung nach DSGVO muss freiwillig, spezifisch, informiert und unmissverständlich erfolgen und durch eine eindeutige bestätigende Handlung erteilt werden. Vorausgewählte Kontrollkästchen, Schweigen oder Untätigkeit reichen nicht aus. Sie müssen nachweisen können, dass die Einwilligung erteilt wurde, den Ablauf und den Zeitpunkt der Einwilligung dokumentieren und den Widerruf genauso einfach gestalten wie die Erteilung. Eine für einen Zweck erteilte Einwilligung erstreckt sich nicht automatisch auf einen anderen Zweck.

Berechtigtes Interesse

Berechtigte Interessen können bestimmte ausgehende Aktivitäten rechtfertigen – beispielsweise die Kontaktaufnahme mit Geschäftskunden oder die Kontaktaufnahme mit Bestandskunden bezüglich eng verwandter Dienstleistungen. Hierfür ist eine dokumentierte dreistufige Abwägung erforderlich: Identifizierung des berechtigten Interesses, Nachweis, dass die Verarbeitung zur Erreichung dieses Interesses notwendig ist, und Bestätigung, dass dieses Interesse nicht durch die Rechte und Erwartungen der betroffenen Person eingeschränkt wird. Erwägungsgrund 47 der DSGVO erkennt ausdrücklich an, dass Direktmarketing ein berechtigtes Interesse darstellen kann – dies schränkt jedoch niemals das absolute Widerspruchsrecht der betroffenen Person ein.

Für welche Grundlage Sie sich auch entscheiden, Sie müssen es beschließen. before Sie beginnen anzurufen, dokumentieren dies und geben es in Ihrer Datenschutzerklärung an. Ein nachträglicher Wechsel des Standorts zur Behebung einer Compliance-Lücke ist nicht möglich.

Die ePrivacy-Richtlinie und Marketinganrufe

Die DSGVO regelt nicht alles im Bereich des elektronischen Marketings. Die ePrivacy-Richtlinie (2002/58/EG, in der geänderten Fassung), die in den Mitgliedstaaten in nationales Recht und im Vereinigten Königreich in die PECR umgesetzt wurde, legt spezifische Regeln für unerwünschte Werbeanrufe fest. Diese Regeln gelten neben der DSGVO und haben, sofern sie anwendbar sind, Vorrang vor dem jeweiligen Marketingkanal.

Die praktischen Konsequenzen variieren je nach Land. Einige Mitgliedstaaten betreiben Opt-out-Register, die Sie abgleichen müssen; andere verlangen die vorherige Einwilligung für Live-Marketinganrufe an Verbraucher. Die Regeln für automatisierte oder vorab aufgezeichnete Anrufe sind in der Regel strenger und erfordern oft unabhängig vom jeweiligen Land eine ausdrückliche Einwilligung. Da die nationale Umsetzung unterschiedlich ist, muss ein Unternehmen, das in mehreren EU-Märkten tätig ist, für jeden Zielmarkt die jeweils strengste anwendbare Regel anwenden – nicht eine einheitliche Richtlinie. Eine geplante EU-Verordnung zur elektronischen Datenverarbeitung (ePrivacy-Verordnung) soll einige dieser Regelungen harmonisieren, bis dahin gilt jedoch das nationale Recht.

Rechte betroffener Personen, die Ihre Systeme unterstützen müssen

Die DSGVO gewährt Einzelpersonen einklagbare Rechte, die Ihre Callcenter-Prozesse und -Technologien in der Regel innerhalb eines Monats nach Eingang einer Anfrage erfüllen müssen. Die für Outbound-Teams relevantesten Rechte sind:

• Zugangsrecht (Art. 15): Jeder kann anfragen, welche Daten Sie speichern, einschließlich Anrufprotokolle, Aufzeichnungen und Notizen, und eine Kopie davon erhalten.
• Recht auf Löschung (Art. 17): Das „Recht auf Vergessenwerden“ ermöglicht es Einzelpersonen, die Löschung ihrer Daten zu verlangen, wenn kein zwingender rechtlicher Grund für deren Aufbewahrung besteht.
• Widerspruchsrecht (Art. 21): Für Direktmarketing ist dies absolute — Sobald jemand Einspruch erhebt, müssen Sie die Vermarktung an diese Person einstellen, ohne jegliche Abwägung.
• Recht auf Berichtigung (Art. 16): Korrektur fehlerhafter Kontakt- oder Kontodaten.
• Recht auf Einschränkung der Verarbeitung (Art. 18) and Datenportabilität (Art. 20) unter den entsprechenden Umständen.

In der Praxis bedeutet dies, dass Sie einen einzelnen Kontakt in Ihrem Dialer, CRM, Ihren Aufzeichnungen und Lead-Listen finden und dessen Anfrage schnellstmöglich bearbeiten müssen. Daten, die verstreut, mandantenübergreifend dupliziert oder in nicht indizierten Aufzeichnungen versteckt sind, verlangsamen und fehleranfällig die Bearbeitung von Rechteanfragen – und eine übersehene Löschung oder ein fortgesetzter Anruf nach einem Widerspruch ist genau die Art von Fehler, die von Aufsichtsbehörden geahndet wird.

Anrufaufzeichnung gemäß DSGVO

Eine Sprachaufzeichnung stellt personenbezogene Daten dar und kann besondere Kategorien personenbezogener Daten erfassen (z. B. Gesundheitsdaten, die im Rahmen eines Inkasso- oder Versicherungsgesprächs offengelegt werden). Eine rechtmäßige Aufzeichnung erfordert eine eigene Rechtsgrundlage und klare Transparenz. Zu den wichtigsten Erwartungen gehören:

• Beachten: Weisen Sie den Anrufer darauf hin, dass das Gespräch möglicherweise aufgezeichnet wird und warum, idealerweise zu Beginn des Gesprächs.
• Zweckbeschränkung: Die Aufnahmen dürfen nur für die angegebenen Zwecke (Qualitätssicherung, Schulung, Streitbeilegung, Einhaltung gesetzlicher Bestimmungen) verwendet werden und dürfen nicht anderweitig verwendet werden.
• Sicherheit: Aufzeichnungen im Ruhezustand und während der Übertragung verschlüsseln und den Zugriff nur auf das unbedingt notwendige Maß beschränken.
• Zurückbehaltung: Bewahren Sie Aufnahmen nur so lange auf, wie es der angegebene Zweck erfordert, und löschen Sie sie anschließend.

Einige Sektoren und Mitgliedstaaten erlassen zusätzliche oder widersprüchliche Vorschriften – bestimmte Finanzdienstleistungsregime schreiben die Aufzeichnung und Aufbewahrung für festgelegte Zeiträume vor, während einige nationale Gesetze die Aufzeichnung einschränken. Erstellen Sie einen Überblick über die Aufzeichnungsvorschriften für jeden Markt, bevor Sie diese flächendeckend einführen.

Datenaufbewahrung und -minimierung

Die Speicherbegrenzungsrichtlinie der DSGVO verpflichtet Sie, personenbezogene Daten nicht länger als für den jeweiligen Zweck erforderlich aufzubewahren. Es gibt keine allgemeingültige Aufbewahrungsfrist gemäß DSGVO – die Aufbewahrung muss für jeden Datentyp und jeden Zweck gerechtfertigt sein. Üblicherweise wird ein schriftlicher Aufbewahrungsplan erstellt, der separate Zeiträume für Lead-Daten, Gesprächsaufzeichnungen, Anrufprotokolle und Einwilligungserklärungen festlegt und die Daten nach Ablauf des jeweiligen Zeitraums automatisch löscht oder anonymisiert. Auch das Prinzip der Datenminimierung ist zu beachten: Erfassen und wählen Sie nur die Felder, die Sie tatsächlich benötigen.

Grenzüberschreitende Datentransfers

Wenn personenbezogene Daten den EWR oder das Vereinigte Königreich verlassen – beispielsweise an ein Support-Team, eine Cloud-Region oder einen Unterauftragnehmer im Ausland –, benötigen Sie einen gültigen Übermittlungsmechanismus gemäß Kapitel V. In der Praxis bedeutet dies in der Regel Standardvertragsklauseln (SCCs oder das britische IDTA/Addendum), einen Angemessenheitsbeschluss für das Zielland oder eine andere anerkannte Schutzmaßnahme, oft untermauert durch eine Folgenabschätzung für den Datentransfer. Bei ausgehenden Daten sind die wichtigsten Fragen: Wo wird Ihr Dialer gehostet, wo werden Aufzeichnungen gespeichert und wer verwaltet die Plattform? Die Speicherung von EU-/UK-Daten innerhalb der Region vereinfacht dies erheblich.

Datenverarbeitungsvereinbarungen und Unterauftragnehmer

Artikel 28 verlangt einen schriftlichen Vertrag – einen Datenverarbeitungsvereinbarung (DPA) – zwischen jedem Verantwortlichen und Auftragsverarbeiter. Die Auftragsverarbeitungsvereinbarung (AVV) muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten der Daten und Kategorien betroffener Personen sowie die Weisungen des Verantwortlichen festlegen. Sie muss den Auftragsverarbeiter außerdem zur Vertraulichkeit, zu Sicherheitsmaßnahmen, zur Unterstützung bei der Wahrnehmung der Rechte betroffener Personen, zur Meldung von Datenschutzverletzungen, zur Löschung oder Rückgabe der Daten nach Vertragsende sowie zu Prüfungsrechten verpflichten.

Prozessoren dürfen nur sub-processors Mit Genehmigung des Verantwortlichen müssen die gleichen Verpflichtungen vertraglich weitergegeben werden. In Callcentern zählen Cloud-Hosting-Anbieter, Telefonanbieter (hier allgemein als solche bezeichnet) und Analysetools zu den Unterauftragnehmern. Sie sollten eine aktuelle Liste der Unterauftragnehmer führen und die Verantwortlichen über Änderungen informieren. Fragen Sie bei der Auswahl eines Dialer-Anbieters im Vorfeld nach dessen Datenschutzvereinbarung (DPA) und der Liste der Unterauftragnehmer.

Wie DialerBee DSGVO-konforme Abläufe unterstützt

DialerBee ist als Plattform zur Unterstützung der Einhaltung von Vorschriften konzipiert, nicht als solche, die die Einhaltung garantiert: Ihre Organisation bleibt der Datenverantwortliche und ist für die Rechtsgrundlage, die Benachrichtigungen und die Konfiguration des Tools verantwortlich. Innerhalb dieses Rahmens bietet DialerBee Folgendes: Compliance-unterstützende Kontrollen die dazu beitragen, dass EU- und UK-Niederlassungen rechtssicher agieren können – einschließlich konfigurierbarer Einwilligungs- und Nichtanrufbehandlung, Unterdrückung von Marketing-Einwänden und Anrufaufzeichnungsrichtlinien mit Aufbewahrungseinstellungen, die Sie pro Kampagne festlegen.

Die Mandantenfähigkeit gewährleistet die Isolation der Daten jedes Kunden, was insbesondere für BPOs und Telekommunikations-Reseller, die als Auftragsverarbeiter für mehrere Controller fungieren, von Bedeutung ist und die Lokalisierung und Bearbeitung von Rechteanfragen einzelner Kontakte vereinfacht. Audit-Logs protokollieren Konfigurationsänderungen und Zugriffe zur Gewährleistung der Nachvollziehbarkeit. EU/UK-Regionalbetrieb Hilft dabei, die Komplexität grenzüberschreitender Anrufweiterleitungen zu reduzieren. Da die sprachbewusste KI von DialerBee neun Sprachen unterstützt, können multinationale Teams Aufzeichnungs- und Einwilligungshinweise in der Sprache des Anrufers anzeigen. Eine Datenverarbeitungsvereinbarung ist verfügbarSie können unseren Sicherheits- und Compliance-Status auf der Website einsehen. VertrauensseiteIn ausgewählten Pilotprojekten berichteten Teams, dass die zentrale Unterdrückung und Nachverfolgung von Zustimmungen den manuellen Aufwand für die Berücksichtigung von Einwänden verringerte – die Ergebnisse variieren je nach Einsatzgebiet und Konfiguration.

Häufig gestellte Fragen

Benötigen ausgehende Callcenter gemäß DSGVO für jeden Anruf eine Einwilligung?

Nicht immer. Die Einwilligung ist eine rechtliche Grundlage, aber auch ein berechtigtes Interesse kann bestimmte ausgehende Aktivitäten wie B2B-Ansprache oder die Kontaktaufnahme mit Bestandskunden bezüglich verwandter Dienstleistungen rechtfertigen, sofern eine Interessenabwägung dokumentiert wird. Nationale Datenschutzbestimmungen können jedoch für bestimmte Marketinganrufe weiterhin eine Einwilligung erfordern, und Einzelpersonen haben stets das uneingeschränkte Recht, Direktmarketing zu widersprechen.

Ist die Aufzeichnung von Telefongesprächen nach der DSGVO zulässig?

Ja, sofern die Aufzeichnung korrekt durchgeführt wird. Aufzeichnungen sind rechtmäßig, wenn eine gültige Rechtsgrundlage vorliegt, der Anrufer über die mögliche Aufzeichnung und den Grund dafür informiert wird, die Verwendung auf die angegebenen Zwecke beschränkt wird, die Aufzeichnungen verschlüsselt und durch Zugriffskontrollen geschützt werden und sie nach Ablauf der Aufbewahrungsfrist gelöscht werden. In einigen Finanz- und regulierten Branchen ist die Aufzeichnung zusätzlich vorgeschrieben, in anderen Ländern hingegen eingeschränkt. Informieren Sie sich daher über die jeweiligen Bestimmungen.

Wie lange können wir Anrufaufzeichnungen und Lead-Daten aufbewahren?

Nur so lange, wie es für den Zweck, für den Sie die Daten erhoben haben, erforderlich ist. Die DSGVO legt keine feste Aufbewahrungsdauer fest. Es empfiehlt sich, einen schriftlichen Aufbewahrungsplan mit separaten Aufbewahrungsfristen für Lead-Daten, Aufzeichnungen, Vernichtungsdaten und Einwilligungsdokumente zu erstellen und die Daten nach Ablauf jeder Frist automatisch zu löschen oder zu anonymisieren. Für einige regulierte Tätigkeiten gelten feste Mindestaufbewahrungsfristen, die Ihre Standardvorgaben außer Kraft setzen.

Was ist eine DPA und benötigen wir eine solche bei unserem Dialer-Anbieter?

Eine Auftragsverarbeitungsvereinbarung (AVV) ist der gemäß Artikel 28 erforderliche Vertrag, wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt. Sie definiert den Umfang der Verarbeitung und verpflichtet den Auftragsverarbeiter zu Sicherheit, Vertraulichkeit, Unterstützung bei der Geltendmachung von Rechten, Meldung von Datenschutzverletzungen und Datenlöschung. Ja – Sie benötigen eine AVV mit jedem Dialer-Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet, und Sie sollten dessen Liste der Unterauftragnehmer überprüfen.

Können wir EU-Ansprechpartner anrufen, wenn sich unser Team oder unsere Server außerhalb der EU befinden?

Das ist zwar möglich, aber jede Übermittlung personenbezogener Daten außerhalb des EWR oder des Vereinigten Königreichs erfordert einen gültigen Mechanismus wie Standardvertragsklauseln, das britische Datenschutzgesetz (UK IDTA) oder einen Angemessenheitsbeschluss, oft verbunden mit einer Folgenabschätzung. Dies betrifft Ihre Server, Ihre Datenspeicherung, Ihr Supportpersonal und Ihre Unterauftragnehmer. Die Speicherung und Verwaltung von EU- und britischen Daten innerhalb der jeweiligen Region reduziert diese Komplexität erheblich.

Macht uns ein Dialer DSGVO-konform?

Kein Tool allein kann die Einhaltung der Datenschutzbestimmungen gewährleisten. Sie bleiben der Datenverantwortliche und sind für die Rechtsgrundlage, die Datenschutzhinweise und die Konfiguration verantwortlich. Ein Compliance-unterstützender Dialer wie DialerBee bietet Kontrollfunktionen – Einwilligungs- und Nichtanruf-Verarbeitung, Widerspruchsunterdrückung, Aufzeichnungs- und Aufbewahrungseinstellungen, Mandantendatenisolierung, Audit-Logs und eine verfügbare Datenschutzvereinbarung –, die ein rechtskonformes Handeln erleichtern. Die Verantwortung verbleibt jedoch bei Ihrem Unternehmen.

Dieser Artikel dient allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Die Auslegung der DSGVO variiert je nach Mitgliedstaat und ist im Wandel – konsultieren Sie daher einen qualifizierten Datenschutzberater oder Rechtsanwalt.