Compliance im Kundenservice: Regeln, Risiken und Maßnahmen

Im Kundenservice treffen sensible Daten, Zeitdruck und viele Beteiligte aufeinander. Ein falsch identifizierter Anrufer, eine Aufzeichnung ohne Einwilligung oder ein Werbeanruf ohne Rechtsgrundlage reichen für ein Bußgeld oder eine Beschwerde bei der Aufsicht. Dieser Artikel gibt einen Überblick über die Regeln, die im Kundenservice in Deutschland gelten, die typischen Schwachstellen und die Maßnahmen, die im Alltag wirken. Er ersetzt keine Rechtsberatung.

Welche Regeln gelten im Kundenservice?

• DSGVO und BDSG: Rechtsgrundlage für jede Verarbeitung, Informationspflichten, Betroffenenrechte, technische und organisatorische Maßnahmen und Meldepflichten bei Datenpannen (Verordnung (EU) 2016/679).
• § 201 StGB: Gesprächsaufzeichnungen nur mit Einwilligung der Gesprächsbeteiligten.
• § 203 StGB: Wer für Berufsgeheimnisträger arbeitet, etwa für Arztpraxen, Kliniken oder private Krankenversicherer, muss zur Verschwiegenheit verpflichtet werden.
• UWG: Werbeanrufe bei Verbrauchern nur mit vorheriger ausdrücklicher Einwilligung, dokumentiert und fünf Jahre aufbewahrt (§§ 7, 7a UWG).
• SGB X: Wer Sozialdaten im Auftrag einer Krankenkasse verarbeitet, unterliegt zusätzlich § 80 SGB X.
• Branchenregeln: zum Beispiel Sorgfaltspflichten nach dem Geldwäschegesetz bei Finanzdienstleistern, Anforderungen an Ausgliederungen im Versicherungsaufsichtsgesetz oder das Fernmeldegeheimnis nach TDDDG in der Telekommunikation.
• KI-Verordnung: Setzen Sie Chat- oder Voicebots ein, müssen Nutzende ab dem 2. August 2026 erkennen können, dass sie mit einer KI sprechen (Art. 50). Emotionserkennung bei Mitarbeitenden ist seit Februar 2025 verboten (Art. 5 Abs. 1 lit. f).

Die typischen Risiken liegen im Alltag des Kundenservice.

Identifikation vor Auskunft. Die meisten Datenschutzfehler im Kundenkontakt entstehen, wenn Auskünfte an die falsche Person gehen. Legen Sie je Anliegen fest, welche Merkmale abgefragt werden, und dokumentieren Sie das Ergebnis.

Gesprächsaufzeichnung. Aufzeichnungen zur Qualitätssicherung sind nur mit Einwilligung der Kundin oder des Kunden und der Mitarbeitenden zulässig. Wer nicht einwilligt, muss trotzdem bedient werden. Aufzeichnungen brauchen eine kurze, festgelegte Löschfrist.

Löschfristen. Tickets, E-Mails und Chatverläufe werden oft länger gespeichert als nötig. Ein Löschkonzept legt je Datenart fest, wie lange sie aufbewahrt wird und wer löscht.

Dienstleister ohne Vertrag. Jede externe Stelle, die Kundendaten verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das gilt für Callcenter ebenso wie für Chat-Software oder Übersetzungsdienste.

Betroffenenrechte. Auskunfts- und Löschersuchen kommen häufig über den Kundenservice. Die Frist beträgt in der Regel einen Monat (Art. 12 Abs. 3 DSGVO). Das Team muss solche Anfragen erkennen und an die zuständige Stelle weiterleiten.

Datenpannen. Eine E-Mail an den falschen Empfänger kann eine meldepflichtige Datenpanne sein. Die Meldung an die Aufsichtsbehörde muss in der Regel innerhalb von 72 Stunden erfolgen (Art. 33 DSGVO). Mitarbeitende brauchen einen klaren Meldeweg.

Werbung im Servicegespräch. Ein Rückruf zum Anliegen ist keine Werbung. Wer im selben Gespräch ein Produkt anbietet, braucht bei Verbrauchern eine Einwilligung. Mehr dazu im Beitrag zu Inbound und Outbound.

Bei Verstößen drohen Bußgelder, Strafen und Vertrauensverlust.

Datenschutzbehörden können Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Für Verstöße gegen die Werberegeln des UWG sieht § 20 UWG Bußgelder bis 300.000 Euro vor. Eine unbefugte Gesprächsaufzeichnung ist eine Straftat. Hinzu kommen Schadensersatzforderungen, Aufwand für die Aufarbeitung und der Vertrauensverlust bei Kundinnen, Kunden und Auftraggebern. Öffentliche Auftraggeber und regulierte Unternehmen fragen Nachweise zu Datenschutz und Informationssicherheit bereits bei der Vergabe ab.

Diese Maßnahmen wirken im Alltag.

1. Rollen und Berechtigungen: Mitarbeitende sehen nur die Daten, die sie für ihre Aufgabe brauchen. Zugriffe werden protokolliert.
2. Schulung vor dem ersten Kontakt: Datenschutz, Identifikation und Umgang mit Betroffenenanfragen gehören in die Einarbeitung, mit Wissensprüfung vor der Freigabe. Auffrischungen folgen bei neuen Regeln.
3. Verpflichtung auf Vertraulichkeit: schriftlich, vor dem Einsatz. Bei Berufsgeheimnisträgern zusätzlich nach § 203 StGB, bei Sozialdaten auf das Sozialgeheimnis.
4. Leitfäden mit Pflichtbausteinen: Identifikation, Hinweise zur Aufzeichnung und Einwilligungsabfragen stehen im Gesprächsleitfaden und werden in Stichproben geprüft.
5. Löschkonzept und Dokumentation: Aufbewahrungsfristen je Datenart, Nachweise zu Einwilligungen, Verzeichnis der Verarbeitungstätigkeiten.
6. Stichproben und Audits: Regelmäßige Qualitätsprüfungen decken Abweichungen auf, bevor sie zum Vorfall werden. Wiederkehrende Fehler brauchen eine Ursachenanalyse und eine Korrekturmaßnahme.
7. Prüfung neuer Werkzeuge: Vor dem Einsatz von Software oder KI klären: Welche Daten fließen wohin, wer ist Auftragsverarbeiter, ist eine Datenschutz-Folgenabschätzung nötig?

Beim Outsourcing bleibt die Verantwortung beim Auftraggeber.

Lagern Sie Kundenservice aus, bleiben Sie als Auftraggeber verantwortlich. Achten Sie bei der Auswahl auf:

• einen Vertrag zur Auftragsverarbeitung mit konkreten technischen und organisatorischen Maßnahmen,
• Kontrollrechte und regelmäßige Berichte,
• den Ort der Datenverarbeitung und alle Unterauftragnehmer,
• Nachweise wie Zertifizierungen nach ISO/IEC 27001 und DIN EN ISO 18295-1 – als Beleg für funktionierende Prozesse, nicht als Ersatz für eigene Prüfungen,
• bei Sozialdaten die Anforderungen nach § 80 SGB X, einschließlich der Anzeige an die Aufsichtsbehörde, die der Auftraggeber macht.

aLIVE Support ist deutschsprachiger Kundenservice aus Rumänien oder Deutschland für Unternehmen im DACH-Raum. Die aLIVE Support S.R.L. arbeitet als Auftragsverarbeiter nach Art. 28 DSGVO, verpflichtet alle Mitarbeitenden vor dem Einsatz auf das Datengeheimnis und speichert Projektdaten auf Servern in Deutschland. Sie ist wie ihre Schwestergesellschaft aLIVE-Service GmbH unter anderem nach ISO/IEC 27001 und DIN EN ISO 18295-1 zertifiziert. Details finden Sie auf der Seite Datenschutz und bei den Zertifikaten.

Fazit.

Compliance im Kundenservice entscheidet sich im einzelnen Gespräch: bei der Identifikation, beim Hinweis zur Aufzeichnung, bei der Frage, ob ein Angebot erlaubt ist. Klare Leitfäden, Schulung vor dem Einsatz und regelmäßige Stichproben senken das Risiko stärker als jedes einmalige Projekt.

Häufige Fragen.

Was umfasst Compliance im Kundenservice?

Die Einhaltung gesetzlicher Vorgaben und interner Regeln in jedem Kundenkontakt: Datenschutz, Vertraulichkeit, Regeln für Werbeanrufe, branchenspezifische Pflichten und Dokumentation. Dazu gehören Prozesse, Technik und das Verhalten der Mitarbeitenden.

Welche Bußgelder drohen bei Datenschutzverstößen?

Nach Art. 83 DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für bestimmte Verstöße liegt die Obergrenze bei 10 Millionen Euro oder 2 %. Hinzu kommen Schadensersatzansprüche und Reputationsschäden.

Dürfen Kundengespräche aufgezeichnet werden?

Nur mit Einwilligung der Gesprächsbeteiligten. Wer ein nichtöffentlich gesprochenes Wort ohne Befugnis aufnimmt, macht sich nach § 201 StGB strafbar. Auch die Mitarbeitenden müssen einwilligen, und die Aufzeichnung braucht eine datenschutzrechtliche Grundlage und eine Löschfrist.

Bleibt die Verantwortung beim Outsourcing beim Auftraggeber?

Ja. Der Dienstleister verarbeitet Daten als Auftragsverarbeiter nach Art. 28 DSGVO, verantwortlich bleibt der Auftraggeber. Er muss den Dienstleister sorgfältig auswählen, einen Vertrag zur Auftragsverarbeitung schließen und die vereinbarten Maßnahmen kontrollieren.