Sobald ein Dienstleister Anrufe entgegennimmt, verarbeitet er personenbezogene Daten in Ihrem Auftrag — Namen, Rückrufnummern, Anliegen, manchmal Gesundheits- oder Vertragsdaten. Das ist kein Nebenschauplatz, sondern der rechtliche Kern der Zusammenarbeit. Dieser Text ersetzt keine Rechtsberatung, benennt aber die Punkte, die vor dem Start geklärt sein müssen.
Auftragsverarbeitung nach Art. 28 DSGVO
Ein externer Telefonservice ist in aller Regel Auftragsverarbeiter: Er verarbeitet Daten nach Ihren Weisungen, nicht zu eigenen Zwecken. Dafür ist ein Vertrag über Auftragsverarbeitung vorgeschrieben — ohne ihn ist die Verarbeitung unzulässig.
Verantwortlich im Sinne der DSGVO bleiben Sie. Das bedeutet: Sie müssen den Dienstleister auswählen können, seine Maßnahmen kennen und die Verarbeitung in Ihrem Verzeichnis von Verarbeitungstätigkeiten führen.
Was im Vertrag konkret stehen muss
Die DSGVO nennt die Mindestinhalte. Ein seriöser Anbieter legt sie unaufgefordert vor.
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Weisungsbindung — der Dienstleister handelt nur nach Ihren Vorgaben
- Vertraulichkeitsverpflichtung der eingesetzten Personen
- Technische und organisatorische Maßnahmen
- Regelungen zu Unterauftragsverarbeitern
- Unterstützung bei Betroffenenrechten und Meldepflichten
- Löschung oder Rückgabe der Daten nach Vertragsende
Die Fragen, die Sie stellen sollten
Ein Vertrag allein sagt wenig darüber, wie sorgfältig tatsächlich gearbeitet wird. Fragen Sie deshalb konkret nach: Wer hat Zugriff auf welche Daten und warum? Wie werden Zugänge vergeben und wieder entzogen? Werden Gespräche aufgezeichnet, und wenn ja, mit welcher Rechtsgrundlage? Wo werden Daten gespeichert?
Besonders relevant wird das, wenn Teile der Leistung außerhalb der EU erbracht werden. Dann braucht es zusätzlich eine tragfähige Grundlage für den Drittlandtransfer — und die sollte man sich zeigen lassen, statt sie vorauszusetzen.
Was Sie selbst regeln müssen
Auch mit einem guten Dienstleister bleiben Aufgaben bei Ihnen: Die Datenschutzerklärung muss die Verarbeitung abbilden, das Verzeichnis der Verarbeitungstätigkeiten muss den Auftragsverarbeiter nennen, und Ihre Mitarbeitenden sollten wissen, welche Daten überhaupt weitergegeben werden dürfen.
Wer diese Punkte vor dem Start klärt, spart sich unangenehme Fragen — von Kunden ebenso wie von einer Aufsichtsbehörde.
Strenger wird es, wo ein Berufsgeheimnis hinzukommt. Neben der DSGVO gilt dann § 203 StGB: Ein Dienstleister darf nur einbezogen werden, soweit das für seine Arbeit nötig ist und er vorher zur Geheimhaltung verpflichtet wurde; für Rechtsanwälte und Steuerberater verlangen § 43e BRAO und § 62a StBerG das in Textform. Wie wir das beim Telefonservice für Arztpraxen, für Rechtsanwälte und für Steuerberater regeln, steht auf den jeweiligen Branchenseiten.