Legitimation
Legitimation ist die Prüfung, ob eine Person berechtigt ist, Auskunft zu erhalten oder Änderungen zu veranlassen. Im Kundenservice geschieht das anhand festgelegter Merkmale wie Kundennummer, Geburtsdatum oder vereinbarter Sicherheitsfragen.
Ohne Legitimation gibt es keine Auskunft zu personenbezogenen Daten.
Am Telefon sieht niemand einen Ausweis. Trotzdem muss der Kundenservice sicherstellen, dass Vertragsdaten, Gesundheitsangaben oder Kontostände nur an Berechtigte gehen. Gibt ein Unternehmen Daten an Unbefugte heraus, ist das eine Verletzung des Schutzes personenbezogener Daten – mit Folgen für die betroffene Person und für das Unternehmen.
Zwei Fragen sind zu trennen:
- Identität: Ist die Person die, für die sie sich ausgibt?
- Berechtigung: Darf sie zu diesem Vertrag oder dieser Person Auskunft erhalten? Das betrifft Angehörige, Bevollmächtigte, Betreuer oder Mitarbeitende eines Firmenkunden.
Geprüft wird anhand von Merkmalen, die nur Berechtigte kennen sollten.
| Art des Merkmals | Beispiele | Einschätzung |
|---|---|---|
| Stammdaten | Name, Anschrift, Geburtsdatum | Oft auch Dritten bekannt, allein meist nicht ausreichend. |
| Vertragsdaten | Kunden-, Vertrags- oder Versichertennummer, Zählernummer | Stärker, stehen aber auf Schreiben, die Dritte finden können. |
| Vereinbarte Merkmale | Kundenkennwort, Telefon-PIN | Stark, wenn sie nicht erratbar sind. |
| Zweiter Kanal | Code per SMS oder App, Rückruf auf die hinterlegte Nummer | Stark, setzt gepflegte Kontaktdaten voraus. |
Wie viele Merkmale abgefragt werden, sollte vom Risiko abhängen. Ein gestuftes Verfahren hat sich bewährt:
Beispiel: Für allgemeine Auskünfte ohne Personenbezug ist keine Prüfung nötig. Für Auskünfte zum Vertrag werden drei Merkmale abgefragt, etwa Name, Geburtsdatum und Kundennummer. Für Änderungen der Bankverbindung oder Anschrift gilt eine höhere Stufe, zum Beispiel ein Rückruf auf die hinterlegte Nummer oder die schriftliche Bestätigung.
Diese Fehler machen Verfahren unsicher oder unbrauchbar.
- Daten vorsagen: „Sie wohnen noch in der Musterstraße 5?“ verrät das Merkmal. Die Anrufenden nennen die Daten, nicht der Kundenservice.
- Ausnahmen aus Hilfsbereitschaft: Druck, Eile und eine glaubwürdige Geschichte sind typische Mittel von Betrügern. Mitarbeitende brauchen Rückhalt, wenn sie eine Auskunft ablehnen.
- Kein Weg bei fehlgeschlagener Prüfung: Wer seine Kundennummer nicht findet, braucht eine Alternative, etwa die Antwort per Post an die hinterlegte Anschrift.
- Zu hohe Hürden für einfache Anliegen: Das verlängert Gespräche und verärgert die Kundschaft.
- Dritte ungeregelt: Für Angehörige und Bevollmächtigte muss klar sein, welche Nachweise gelten.
Im Outsourcing gibt der Auftraggeber das Verfahren vor.
Der Auftraggeber ist für die Daten verantwortlich und legt fest, welche Merkmale für welche Vorgänge gelten. Der Dienstleister setzt das Verfahren als Weisung um und schult es. Regeln Sie schriftlich: Stufen und Merkmale, Umgang mit Dritten, Vorgehen bei fehlgeschlagener Prüfung und Meldeweg bei Verdacht auf Missbrauch. Im Qualitätsmonitoring sollte die korrekte Legitimation ein eigenes Prüfkriterium sein.
Bei aLIVE Support ist die Identifikation ein fester Schritt im Gesprächsablauf; erst nach Zustimmung der Anrufenden werden Daten eingesehen. Den ganzen Ablauf zeigt der Beitrag Gesprächsablauf im Callcenter. Besonders streng sind die Anforderungen bei Sozialdaten, etwa im Callcenter für Krankenkassen.
Fragen zu Legitimation.
Ihre Frage ist nicht dabei? Wir antworten innerhalb eines Werktags.
Identifikation heißt, eine Person einem Datensatz zuzuordnen. Authentifizierung prüft, ob die Person wirklich diejenige ist. Legitimation wird im Kundenservice meist als Oberbegriff verwendet und schließt die Prüfung der Berechtigung ein.
Nur, wenn eine Berechtigung vorliegt, zum Beispiel eine hinterlegte Vollmacht oder die Zustimmung der betroffenen Person. Welche Nachweise gelten, legt der Auftraggeber im Verfahren fest.
