Wer als Unternehmen auf lockere Telefongespräche mit Kunden vor dem Vertragsabschluss vertraut, wird sich von kommendem Freitag an umstellen müssen. Zumindest nach strenger juristischer Auslegung. Dann nämlich gelten die neuen Regeln der Datenschutzgrundverordnung europaweit – und mit ihnen auch neue Informationspflichten nach Artikel 13 der DSGVO.

Nach dieser Regelung sind beispielsweise Neukunden zum Zeitpunkt der Erhebung von personenbezogenen Daten umfangreich über die Datenverarbeitung zu informieren. Was für die Datenerhebung über das Kontaktformular einer Website kein Problem darstellt (die Informationen können einfach elektronisch übermittelt werden), ist bei Telefongesprächen schon komplizierter.

Was zum Beispiel, wenn eine Agentur dem potenziellen Neukunden am Hörer immer zuerst den Zweck der Datenerhebung, den Namen des Datenschutzbeauftragten und die Dauer der Datenspeicherung nennen sowie über das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung aufklären muss, ehe es eine Auftragsbestätigung oder Bestellung platzieren kann? Abwegig ist das keineswegs. Zu welch absurdem Szenario die Informationspflichten nach DSGVO bei telefonischem Erstkontakt führen könnten, hat datenschutz-notizen.de kürzlich am Beispiel einer banalen Terminanfrage in einer Arztpraxis aufgezeigt.

Ihre Befürchtung: Telefonleitungen in Unternehmen könnten in Zukunft länger besetzt sein. Dadurch könnten Aufträge verloren gehen, weil sich genervte Anrufer womöglich wegen der besetzten Leitung an Konkurrenten wenden. Auch Mitarbeiter, die die Anrufe entgegennehmen, hätten weniger Zeit für andere Aufgaben.

Angesprochen auf diese Probleme bestätigt IT-Rechtsanwalt Adrian Schneider von der Kanzlei Osborne Clarke die streitbare Regelung zunächst. „Es ist in der Tat richtig, dass die Informationspflichten der DSGVO auch dann gelten, wenn Daten telefonisch erhoben werden. Und zwar sowohl im B2C- als auch im B2B-Bereich“, sagt Schneider.

Einen Ausnahmetatbestand gebe es nicht. „Personenbezogene Daten werden bei einem Anruf ja so gut wie immer erhoben – mindestens der Name des Anrufers ist ja fast immer bekannt“, so Schneider. Lediglich bei einem rein mündlichen Kontakt ohne weitere Datenspeicherung gelten die Informationspflichten nicht.

Kommt es jedoch zu einer Datenerhebung – etwa durch die Entgegennahme von Bestelldaten am Telefon – muss laut Schneider sehr wohl über die Datenschutz-Regeln informiert werden. „Allerdings haben auch die Datenschutzbehörden erkannt, dass es sich in der Praxis eher schwierig umsetzen lässt, telefonisch die doch recht komplexen Informationspflichten der DSGVO zu erfüllen“, sagt Schneider. Der IT-Rechtsanwalt verweist auf Nachfrage daher auf offizielle Vorschläge zur Umsetzung der Informationspflichten am Telefon.

Bezugnehmend auf die Vorschläge rät Schneider zu einer „schichtweisen“ Information. „Im Telefonat selbst muss nur über die allerwichtigsten Informationen belehrt werden. Für alle weiteren Informationen kann auf eine weiterführende Website verwiesen werden“, so der Rechtsanwalt. Zu den wichtigsten Informationen gehören laut Schneider zum Beispiel die Identität des Unternehmens, das die Daten erhebt.

Auch ungewöhnliche Verarbeitungen, mit denen der Anrufer nicht rechnen muss, werden erwähnt werden müssen. Zum Beispiel, wenn Telefonate aufgezeichnet werden sollen. Eine denkbare Lösung zur Umsetzung dieser Informationspflichten sind beispielsweise vorgeschaltete Warteschleifen in der Telefonanlage. „Ich muss aber nicht im Telefonat selbst über sämtliche Standardinformationen wie die Betroffenenrechte belehren, die für den Anrufer in dieser Situation nicht relevant sind – ein ergänzender Verweis auf eine Website reicht“, sagt Schneider.

Ohnehin müssten Unternehmen nur diejenigen Informationen bereitstellen, über die Anrufer nicht schon bereits verfügen. „Wenn man seine Kunden also bereits über die Datenerhebung belehrt hat – indem man beispielsweise mit den Vertragsunterlagen auch eine entsprechende Datenschutzerklärung bereitgestellt hat – muss man am Telefon nicht noch einmal alle Informationen wiederholen“, so Schneider.

Um das Beispiel von datenschutz-notizen.de aufzugreifen, könnte das wie folgt aussehen:

Frau Müller: „Gemeinschaftspraxis Schulze und Meyer [Identität des Verantwortlichen], Sie sprechen mit Frau Müller. Guten Morgen, was kann ich für Sie tun?“

Herr Beyroth: „Beyroth, guten Tag. Ich würde gerne einen Termin vereinbaren.“

Frau Müller: „Waren Sie schon mal bei uns?“

Herr Beyroth: „Nein, ich bin neu in der Stadt und suche einen neuen Hausarzt.“

Frau Müller: „Sie haben Glück, wir nehmen noch neue Patienten auf.“

Herr Beyroth: „Das klingt gut. Ich könnte am 20.3., 8 Uhr. Ginge das?“

Frau Müller: „Ja, das ginge. Wenn Sie einverstanden sind, trage ich den Termin bei Herrn Dr. Schulze in unser System ein [Information über erhobene Daten].“

Herr Beyroth: „Ja klar.“

Frau Müller: „Ich habe Sie am 20.3. um 8 Uhr bei Herrn Dr. Schulze eingetragen. Wenn Sie weitere Informationen dazu möchten, wie genau wir mit Ihren Daten umgehen, können Sie das auf unserer Internetseite www.dr-schulze.de nachlesen.“

Herr Beyroth: „Vielen Dank. Bis dann.“

Mehr zum Thema: 

• DSGVO auf einen Blick: Interaktive Infografik der EU erklärt die Datenschutz-Revolution
• DSGVO: Jetzt werden sogar Visitenkarten zum Datenschutz-Problem
• DSGVO: Diese Änderungen kommen auf dein Online-Business zu