DSGVO-Compliance für Outbound-Callcenter

Outbound-Telefonie und die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, im Vereinigten Königreich gespiegelt durch die UK DSGVO) liegen unbequem nah beieinander. Jeder Wählvorgang betrifft personenbezogene Daten: eine Telefonnummer, einen Namen, einen offenen Forderungsbetrag, einen Lead-Score oder eine aufgezeichnete Stimme. Sobald Ihre Agenten Kontakte in der EU oder im Vereinigten Königreich anrufen, gilt die DSGVO also für fast alles, was Ihr Betrieb tut – und Bußgelder bei Verstößen werden als Prozentsatz des weltweiten Umsatzes bemessen.

Dieser Leitfaden behandelt die Teile der DSGVO, die für Outbound-Teams am wichtigsten sind: die Wahl der Rechtsgrundlage, das Zusammenspiel mit den ePrivacy-Regeln, den Umgang mit Betroffenenrechten, rechtmäßige Gesprächsaufzeichnung, Aufbewahrung, grenzüberschreitende Übermittlungen und die Verträge, die Sie mit Ihren Anbietern brauchen. Er richtet sich an BPOs, Inkassobetriebe, Telekom-Reseller und regulierte Contact Center mit Anrufen in die Märkte der EU und des Vereinigten Königreichs.

Warum die DSGVO für Outbound-Anrufe gilt

Die DSGVO regelt die Verarbeitung „personenbezogener Daten“ – also aller Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Im Outbound-Kontext gehören dazu die Telefonnummer selbst, Name und Adresse des Kontakts, Konto- oder Forderungsdaten, Gesprächsergebnisse, Agentennotizen und jede Aufzeichnung des Gesprächs. Selbst ein „Nicht anrufen“-Vermerk ist ein personenbezogenes Datum, da er sich auf eine identifizierte Person bezieht.

Zwei Rollen sind entscheidend. Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden – typischerweise das Unternehmen, um dessen Produkte, Forderungen oder Dienstleistungen es im Anruf geht. Der Auftragsverarbeiter handelt auf dokumentierte Weisung des Verantwortlichen – zum Beispiel ein Technologieanbieter oder ein externer Call-Partner. Wenn Sie als BPO im Auftrag eines Kunden anrufen, sind Sie für dessen Daten in der Regel Auftragsverarbeiter und für die Daten Ihrer eigenen Mitarbeiter Verantwortlicher. Wer diese Rollen richtig zuordnet, klärt, wer wofür rechenschaftspflichtig ist.

Die richtige Rechtsgrundlage für Outbound-Anrufe

Ohne Rechtsgrundlage dürfen Sie keine personenbezogenen Daten verarbeiten – maßgeblich ist Artikel 6. Für Outbound-Marketing und Kundenansprache stehen zwei Grundlagen im Mittelpunkt: Einwilligung und berechtigtes Interesse. Inkasso- und Serviceanrufe stützen sich stattdessen häufig auf einen Vertrag oder eine rechtliche Verpflichtung.

Einwilligung

Eine Einwilligung nach DSGVO muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung erteilt werden. Vorangekreuzte Kästchen, Schweigen oder Untätigkeit zählen nicht. Sie müssen nachweisen können, dass die Einwilligung erteilt wurde, festhalten, wie und wann, und den Widerruf so einfach machen wie die Erteilung. Eine für einen Zweck eingeholte Einwilligung deckt nicht automatisch einen anderen ab.

Berechtigtes Interesse

Berechtigtes Interesse kann bestimmte Outbound-Aktivitäten tragen – etwa B2B-Ansprache oder die Kontaktaufnahme mit Bestandskunden zu eng verwandten Leistungen. Es erfordert eine dokumentierte dreistufige Abwägung: das berechtigte Interesse benennen, zeigen, dass die Verarbeitung dafür erforderlich ist, und bestätigen, dass die Rechte und Erwartungen der Person nicht überwiegen. Erwägungsgrund 47 der DSGVO erkennt ausdrücklich an, dass Direktwerbung ein berechtigtes Interesse sein kann – das hebt das absolute Widerspruchsrecht der Person aber nie auf.

Für welche Grundlage Sie sich auch entscheiden: Sie müssen sie festlegen, bevor Sie mit den Anrufen beginnen, sie dokumentieren und in Ihrer Datenschutzerklärung offenlegen. Sie können die Rechtsgrundlage nicht nachträglich wechseln, um eine Compliance-Lücke zu schließen.

Die ePrivacy-Richtlinie und Marketinganrufe

Die DSGVO ist beim elektronischen Marketing nicht alles. Die ePrivacy-Richtlinie (2002/58/EG in geänderter Fassung), die in den Mitgliedstaaten in nationales Recht und im Vereinigten Königreich in die PECR umgesetzt wurde, legt eigene Regeln für unerbetene Werbeanrufe fest. Diese Regeln gelten neben der DSGVO und haben, wo sie greifen, für den Marketingkanal selbst Vorrang.

Die praktischen Folgen unterscheiden sich je nach Land. Manche Mitgliedstaaten betreiben Opt-out-Register (in Deutschland etwa die Robinsonliste), mit denen Sie abgleichen müssen; andere verlangen für Live-Werbeanrufe bei Verbrauchern eine vorherige Einwilligung. Die Regeln für automatisierte oder vorab aufgezeichnete Anrufe sind in der Regel strenger und verlangen unabhängig vom Rechtsraum oft eine ausdrückliche Einwilligung. Da die nationale Umsetzung variiert, muss ein Betrieb, der in mehrere EU-Märkte anruft, pro Zielland die strengste anwendbare Regel anwenden – keine pauschale Einheitsregel. Eine geplante EU-ePrivacy-Verordnung soll einiges davon harmonisieren, doch bis sie gilt, ist nationales Recht maßgeblich.

Betroffenenrechte, die Ihre Systeme unterstützen müssen

Die DSGVO gibt Personen durchsetzbare Rechte, die Ihre Callcenter-Prozesse und -Technik erfüllen können müssen – in der Regel innerhalb eines Monats nach Eingang eines Antrags. Die für Outbound-Teams wichtigsten Rechte sind:

• Auskunftsrecht (Art. 15): Eine Person kann erfragen, welche Daten Sie über sie speichern – einschließlich Anrufprotokollen, Aufzeichnungen und Notizen – und eine Kopie erhalten.
• Recht auf Löschung (Art. 17): Das „Recht auf Vergessenwerden“ erlaubt es Personen, die Löschung zu verlangen, wenn kein vorrangiger rechtmäßiger Grund für die Speicherung besteht.
• Widerspruchsrecht (Art. 21): Bei Direktwerbung ist dieses Recht absolut – sobald jemand widerspricht, müssen Sie die Werbung ihm gegenüber einstellen, ohne Interessenabwägung.
• Recht auf Berichtigung (Art. 16): Korrektur unrichtiger Kontakt- oder Kontodaten.
• Recht auf Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) unter den jeweiligen Voraussetzungen.

In der Praxis müssen Sie einen einzelnen Kontakt in Dialer, CRM, Aufzeichnungen und Lead-Listen auffinden und seinen Antrag zügig bearbeiten können. Verstreute, über Mandanten hinweg duplizierte oder in nicht indizierten Aufzeichnungen vergrabene Daten machen die Bearbeitung von Betroffenenanträgen langsam und fehleranfällig – und eine versäumte Löschung oder ein weiterer Anruf nach einem Widerspruch ist genau die Art Fehler, die Aufsichtsbehörden ahnden.

Gesprächsaufzeichnung nach der DSGVO

Eine Sprachaufzeichnung ist ein personenbezogenes Datum und kann besondere Kategorien personenbezogener Daten erfassen (etwa Gesundheitsinformationen, die in einem Inkasso- oder Versicherungsgespräch genannt werden). Eine rechtmäßige Aufzeichnung braucht eine eigene Rechtsgrundlage und klare Transparenz. Zu den wichtigsten Erwartungen gehören:

• Hinweis: Teilen Sie dem Gesprächspartner mit, dass das Gespräch aufgezeichnet werden kann und warum – idealerweise zu Beginn des Gesprächs.
• Zweckbeschränkung: Zeichnen Sie nur für die genannten Zwecke auf (Qualität, Schulung, Klärung von Streitfällen, regulatorische Pflichten) und verwenden Sie Aufzeichnungen nicht für andere Zwecke.
• Sicherheit: Verschlüsseln Sie Aufzeichnungen im Ruhezustand und bei der Übertragung und beschränken Sie den Zugriff nach dem Need-to-know-Prinzip.
• Aufbewahrung: Bewahren Sie Aufzeichnungen nur so lange auf, wie der genannte Zweck es erfordert, und löschen Sie sie dann.

Manche Branchen und Mitgliedstaaten haben zusätzliche oder widersprüchliche Regeln – bestimmte Finanzdienstleistungsregime schreiben Aufzeichnung und Aufbewahrung für feste Zeiträume vor, während manche nationalen Gesetze die Aufzeichnung einschränken. Erfassen Sie die Aufzeichnungsregeln pro Markt, bevor Sie sie in großem Maßstab ausrollen.

Datenaufbewahrung und -minimierung

Der Grundsatz der Speicherbegrenzung der DSGVO verlangt, personenbezogene Daten nicht länger als für den Zweck nötig zu speichern. Es gibt keine einheitliche „DSGVO-Zahl“ an Tagen – die Aufbewahrung muss pro Datentyp und Zweck begründet werden. Üblich ist ein schriftlicher Aufbewahrungsplan mit getrennten Fristen für Lead-Daten, Gesprächsaufzeichnungen, Gesprächsergebnisse und Einwilligungsnachweise sowie automatischer Löschung oder Anonymisierung nach Fristablauf. Auch Datenminimierung gilt: Erheben und wählen Sie nur die Felder, die Sie tatsächlich brauchen.

Grenzüberschreitende Datenübermittlungen

Verlassen personenbezogene Daten den EWR oder das Vereinigte Königreich – auch an ein Support-Team, eine Cloud-Region oder einen Unterauftragsverarbeiter im Ausland –, brauchen Sie einen gültigen Übermittlungsmechanismus nach Kapitel V. In der Praxis sind das meist Standardvertragsklauseln (SCCs bzw. im Vereinigten Königreich das IDTA/Addendum), ein Angemessenheitsbeschluss für das Zielland oder eine andere anerkannte Garantie, oft gestützt durch ein Transfer Impact Assessment. Für einen Outbound-Betrieb lauten die Kernfragen: Wo wird Ihr Dialer gehostet, wo werden Aufzeichnungen gespeichert und wer administriert die Plattform? Wer EU-/UK-Daten in der Region hält, vereinfacht das erheblich.

Auftragsverarbeitungsverträge und Unterauftragsverarbeiter

Artikel 28 verlangt einen schriftlichen Vertrag – einen Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) – zwischen jedem Verantwortlichen und jedem Auftragsverarbeiter. Der AVV muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und Kategorien betroffener Personen sowie die Weisungen des Verantwortlichen festlegen. Außerdem muss er den Auftragsverarbeiter zu Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten, Meldung von Datenpannen, Löschung oder Rückgabe der Daten bei Vertragsende sowie zur Duldung von Audits verpflichten.

Auftragsverarbeiter dürfen Unterauftragsverarbeiter nur mit Genehmigung des Verantwortlichen einsetzen und müssen dieselben Pflichten vertraglich weitergeben. In einem Callcenter gehören zu den Unterauftragsverarbeitern typischerweise Cloud-Hosting, Telefonie-Carrier (hier allgemein bezeichnet) und Analyse-Tools. Sie sollten eine aktuelle Liste der Unterauftragsverarbeiter führen und Verantwortliche über Änderungen informieren. Wenn Sie einen Dialer-Anbieter prüfen, fragen Sie gleich zu Beginn nach seinem AVV und seiner Liste der Unterauftragsverarbeiter.

Wie DialerBee DSGVO-bewusste Abläufe unterstützt

DialerBee ist als Plattform zur Unterstützung der Compliance konzipiert, nicht als Compliance-Garantie: Ihr Unternehmen bleibt Verantwortlicher und ist für Rechtsgrundlage, Hinweise und die Konfiguration des Tools zuständig. In diesem Rahmen bietet DialerBee Kontrollen zur Unterstützung der Compliance , die EU- und UK-Betrieben helfen, belastbar zu arbeiten – darunter konfigurierbare Einwilligungs- und Do-Not-Call-Verwaltung, Sperrung nach Werbewiderspruch und Richtlinien zur Gesprächsaufzeichnung mit Aufbewahrungseinstellungen, die Sie pro Kampagne festlegen.

Die mandantenfähige Architektur hält die Daten jedes Kunden isoliert – wichtig für BPOs und Telekom-Reseller, die als Auftragsverarbeiter für mehrere Verantwortliche tätig sind – und macht es leichter, den Betroffenenantrag eines einzelnen Kontakts aufzufinden und zu bearbeiten. Audit-Logs protokollieren Konfigurationsänderungen und Zugriffe zur Nachvollziehbarkeit, und der Betrieb innerhalb von EU/UK hilft, die Komplexität grenzüberschreitender Übermittlungen zu verringern. Da die sprachsensible KI von DialerBee 11 Sprachen unterstützt, können multinationale Teams Aufzeichnungs- und Einwilligungshinweise in der Sprache des Angerufenen geben. Ein Auftragsverarbeitungsvertrag ist verfügbar, und unsere Sicherheits- und Compliance-Aufstellung finden Sie auf der Trust-Seite. Unter ausgewählten Pilotbedingungen berichteten Teams, dass zentrale Sperrlisten und Einwilligungsverwaltung den manuellen Aufwand für die Umsetzung von Widersprüchen verringert haben – die Ergebnisse variieren je nach Einsatz und Konfiguration.

Häufig gestellte Fragen

Brauchen Outbound-Callcenter nach der DSGVO für jeden Anruf eine Einwilligung?

Nicht immer. Die Einwilligung ist eine Rechtsgrundlage, doch berechtigtes Interesse kann manche Outbound-Aktivitäten tragen, etwa B2B-Ansprache oder die Kontaktaufnahme mit Bestandskunden zu verwandten Leistungen – sofern Sie eine Interessenabwägung dokumentieren. Nationale ePrivacy-Regeln können für bestimmte Werbeanrufe dennoch eine Einwilligung verlangen, und Personen behalten stets ein absolutes Widerspruchsrecht gegen Direktwerbung.

Ist Gesprächsaufzeichnung nach der DSGVO erlaubt?

Ja, wenn sie richtig umgesetzt wird. Die Aufzeichnung ist rechtmäßig, wenn Sie eine gültige Rechtsgrundlage haben, den Gesprächspartner informieren, dass und warum aufgezeichnet werden kann, die Nutzung auf die genannten Zwecke beschränken, die Aufzeichnungen durch Verschlüsselung und Zugriffskontrollen schützen und sie nach Ablauf der Aufbewahrungsfrist löschen. Manche Finanz- und regulierten Branchen schreiben die Aufzeichnung zusätzlich vor, während manche Rechtsräume sie einschränken – prüfen Sie das daher pro Markt.

Wie lange dürfen wir Gesprächsaufzeichnungen und Lead-Daten aufbewahren?

Nur so lange, wie es für den Erhebungszweck nötig ist. Die DSGVO legt keine feste Anzahl von Tagen fest. Bewährt hat sich ein schriftlicher Aufbewahrungsplan mit getrennten Fristen für Lead-Daten, Aufzeichnungen, Gesprächsergebnisse und Einwilligungsnachweise sowie automatischer Löschung oder Anonymisierung nach Ablauf jeder Frist. Für manche regulierten Tätigkeiten gelten feste Mindestaufbewahrungsfristen, die Ihren Standardplan überlagern.

Was ist ein AVV und brauchen wir einen mit unserem Dialer-Anbieter?

Ein Auftragsverarbeitungsvertrag (AVV, englisch DPA) ist der nach Artikel 28 erforderliche Vertrag, wann immer ein Verantwortlicher einen Auftragsverarbeiter einsetzt. Er legt den Umfang der Verarbeitung fest und verpflichtet den Auftragsverarbeiter zu Sicherheit, Vertraulichkeit, Unterstützung bei Betroffenenanträgen, Meldung von Datenpannen und Datenlöschung. Ja – Sie brauchen einen AVV mit jedem Dialer-Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, und sollten seine Liste der Unterauftragsverarbeiter prüfen.

Dürfen wir EU-Kontakte anrufen, wenn unser Team oder unsere Server außerhalb der EU sind?

Ja, doch jede Übermittlung personenbezogener Daten aus dem EWR oder dem Vereinigten Königreich heraus braucht einen gültigen Mechanismus wie Standardvertragsklauseln, das UK IDTA oder einen Angemessenheitsbeschluss, oft mit einem Transfer Impact Assessment. Das betrifft Ihre Server, die Speicherung von Aufzeichnungen, Ihr Support-Personal und Ihre Unterauftragsverarbeiter. Wer EU- und UK-Daten in der Region hostet und administriert, verringert diese Komplexität erheblich.

Macht uns ein Dialer DSGVO-konform?

Kein Tool kann Sie allein regelkonform machen. Sie bleiben Verantwortlicher und sind für Rechtsgrundlage, Datenschutzhinweise und Konfiguration zuständig. Ein Dialer zur Unterstützung der Compliance wie DialerBee bietet Kontrollen – Einwilligungs- und Do-Not-Call-Verwaltung, Sperrung nach Widerspruch, Aufzeichnungs- und Aufbewahrungseinstellungen, Datenisolierung pro Mandant, Audit-Logs und einen verfügbaren AVV –, die belastbares Arbeiten erleichtern, doch die Rechenschaftspflicht bleibt bei Ihrem Unternehmen.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Die Auslegung der DSGVO variiert je nach Mitgliedstaat und entwickelt sich weiter – wenden Sie sich an qualifizierte Datenschutzberater oder Rechtsanwälte.