Die DSGVO im telefonischen Kundenkontakt – was ist erlaubt, was nicht?

Das Inkrafttreten der Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 kennzeichnete den Beginn eines neuen Bewusstseins und Umgangs mit personenbezogenen Daten durch Unternehmen. In der öffentlichen Diskussion steht seither besonders die digitale Kommunikation im Fokus, dabei betreffen die Regelungen der DSGVO auch den telefonischen Kundenkontakt. Gerade bei Telefongesprächen werden sehr häufig Daten abgefragt bzw. ausgetauscht – was ist hier überhaupt noch erlaubt, und mit welchen Folgen ist bei Nicht-Einhaltung zu rechnen?

Wir haben Mag. Janos Böszörmenyi, Rechtsanwaltsanwärter bei der Schönherr Rechtsanwälte GmbH und dort betraut mit Datenschutzrecht, um Auskunft und Empfehlungen gefragt. (Wir weisen darauf hin: Dieses Interview stellt keine Rechtsberatung dar.)

yuutel: Provokante Frage zu Beginn: Dürfen Unternehmen überhaupt noch mit Kunden telefonieren?

Janos Böszörmenyi: Ja, wenn der Kunde anruft, darf und sollte man auch abheben. Die DSGVO zielt nicht darauf ab, Unternehmer in den Wahnsinn zu treiben, auch wenn viele diesen Eindruck gewonnen haben könnten.

Kunden rufen in der Regel im Rahmen eines Vertragsverhältnisses an und möchten Waren oder Dienstleistungen, die mit diesem Vertragsverhältnis in Zusammenhang stehen, beziehen. Solange personenbezogene Daten für die Vertragserfüllung erforderlich sind, dürfen sie selbstverständlich verarbeitet werden. Der Unternehmer ist sogar verpflichtet, diese Daten zu verarbeiten, denn er muss ja den Vertrag erfüllen. Dies gilt bereits in der Phase der Vertragsanbahnung. Die DSGVO spricht in diesem Zusammenhang von „vorvertraglichen Maßnahmen“.

Informationen, die für das Vertragsverhältnis nicht erforderlich sind, dürfen in der Regel nicht gespeichert werden, außer man holt die Zustimmung des Anrufers ein. Möchte man das Gespräch selbst aufzeichnen, ist dies nur mit Zustimmung erlaubt.

Angenommen ein Bestandskunde teilt einem Servicemitarbeiter eine geänderte E-Mail-Adresse oder Handynummer am Telefon mit. Wie muss hier die Auskunft über die Weiterverwendung der Daten erfolgen? Darf das überhaupt so – mündlich – stattfinden?

Janos Böszörmenyi: Ja, Kunden dürfen die Änderung ihrer Kontaktdaten auch mündlich bekanntgeben. Da die Datenverarbeitung im Rahmen eines aufrechten Vertragsverhältnisses stattfindet und keine sensiblen Daten (z.B. Gesundheitsdaten oder politische Meinungen) betrifft, ist keine Einwilligung erforderlich. Dies bedeutet insbesondere, dass keine Dokumentationspflichten ausgelöst werden und über die Widerrufsmöglichkeit nicht belehrt werden muss. Allerdings ist die alte E-Mail-Adresse oder Handynummer nach der Änderung zu löschen, denn diese wird nicht mehr benötigt.

Die DSGVO erlaubt es also, Kontaktdaten telefonisch zu ändern. Aus praktischen Erwägungen sollte dennoch eine schriftliche Bestätigung eingeholt werden.

Informationspflicht kann entfallen

Es kursieren vereinzelt Empfehlungen, um auf Nummer Sicher zu gehen, jedem Anrufer unmittelbar vor dem Gespräch ein Tonband mit einer Datenschutzinformation vorzuspielen. Halten Sie das für einen gangbaren Weg oder übertrieben?

Janos Böszörmenyi: Ich halte das für übertrieben. Im Einzelfall kann es aber erforderlich sein. Vorrangig sollte die Datenschutzinformation in Schriftform erteilt werden. Eine Information über Tonband wird in der Regel nur als zusätzliche Information in Frage kommen.

Die DSGVO verlangt, betroffene Personen zum Zeitpunkt des Erhebens personenbezogener Daten zu informieren. Hiervon gibt es eine in der Praxis sehr wichtige – und auch sehr vernünftige – Ausnahme. Die Informationspflicht entfällt, wenn die betroffene Person bereits über die Informationen verfügt. Kunden, die bereits im Rahmen des Vertragsabschlusses oder im Rahmen der Umstellung auf die DSGVO ordnungsgemäß über die Datenverarbeitungen im Unternehmen informiert wurden, müssen daher nicht erneut informiert werden.

Auch potentielle Neukunden wissen, dass die von Ihnen gerade durchgegebenen Daten verarbeitet werden. Dafür geben sie diese Daten ja durch. Sofern die Daten des Kunden nur für den Zweck des Anrufs verwendet werden, verfügt der Kunde über die Information, welche Daten, zu welchem Zweck verarbeitet werden. Eine darüber hinausgehende Verarbeitung der Daten wäre aufgrund des Grundsatzes der Zweckbindung (wie auch der Datenminimierung) auch dann nicht zulässig, wenn man vorher ein Tonband mit Datenschutzinformation abgespielt hätte.

Dürfen Bestandskunden immer vom Unternehmen selbständig telefonisch kontaktiert werden, z.B. für die Bewerbung eines neuen Produktes, oder nur zu Bereichen/Themen, die den unmittelbaren Vertrag betreffen?

Janos Böszörmenyi: Anrufe zu Werbezwecken („Cold Calling“) sind ohne vorherige Einwilligung des Kunden immer verboten. Dies ergibt sich aus dem Telekommunikationsgesetz. Ein Verstoß gegen dieses Verbot kann mit bis zu EUR 58.000,- bestraft werden. Zu beachten ist, dass im österreichischen Verwaltungsstrafrecht – im Gegensatz zum gerichtlichen Strafrecht – Strafen auch kumuliert verhängt werden können. Mehrere Anrufe bei demselben oder bei unterschiedlichen Kunden können daher zu einem mehrfachen Verhängen der genannten Strafe führen.

Ob und in welchem Umfang Kunden für Bewerbung telefonisch kontaktiert werden dürfen, hängt vom Vorliegen bzw. Umfang der gültigen Einwilligung ab.

Konkreter Fall: die jährliche Kundenzufriedenheitsumfrage. Dürfen Bestandskunden hierfür noch angerufen werden und wie ist mit den Ergebnissen/Daten umzugehen?

Janos Böszörmenyi: Kundenzufriedenheitsumfragen dienen der Förderung des Warenabsatzes oder dem Erbringen von Dienstleistungen. Sie sind somit als Telefonwerbung einzustufen. Ohne vorherige Einwilligung des Kunden ist ein Anruf zwecks Zufriedenheitsumfragen verboten. Dieses Verbot entspricht übrigens seit Jahrzehnten der ständigen Rechtsprechung des Obersten Gerichtshofes.

Wie sieht das aus, wenn die telefonische Abwicklung der Befragung durch einen Drittanbieter, z.B. eine Callcenter-Agentur, erfolgen soll? Ist das künftig noch erlaubt?

Janos Böszörmenyi: Ja, sogenannte Auftragsverarbeiter (nach bisherigem Sprachgebrauch: Dienstleister) dürfen auch in Zukunft eingesetzt werden. Es ist aber sicherzustellen, dass eine gültige Einwilligung der Kunden für telefonische Anrufe eingeholt worden ist. Auf die Heranziehung des Auftragsverarbeiters ist beim Einholen der Einwilligung hinzuweisen.

Akquise-Anrufe sind ja bereits im Telekommunikationsgesetz geregelt, sind aber speziell im B2B-Bereich nach wie vor gelebte Praxis. Ist mit dem Inkrafttreten der DSGVO eine verschärfte Vorgehensweise zu erwarten? Wo sind die Grenzen, oder sollte man es besser ganz bleiben lassen?

Janos Böszörmenyi: Die Strafen aufgrund des Telekommunikationsgesetzes werden von den Fernmeldebehörden verhängt. Das Verfahren vor der zuständigen Fernmeldebehörde wird regelmäßig durch Anzeige der betroffenen Person ausgelöst. Es ist davon auszugehen, dass seit dem Inkrafttreten der DSGVO ein gesteigertes Bewusstsein bei den Betroffenen vorhanden ist. Anzeigen könnten daher zunehmen. Da „Cold Calling“ verboten ist, sollte darauf auch im B2B-Bereich verzichtet werden. Es sei darauf hingewiesen, dass gerade im B2B-Bereich neben den Verwaltungsstrafen auch Unterlassungsklagen gemäß dem „Bundesgesetz gegen den unlauteren Wettbewerb“ (UWG) drohen.

Wie sieht es hier überhaupt mit der Beweisführung aus? Am Telefon gibt es ja selten „Mithörer“ oder eine Dokumentation, es sei denn, die Gespräche werden per se aufgezeichnet. Wer hat dann wem nachzuweisen, dass ein Datenschutzverstoß stattgefunden hat?

Janos Böszörmenyi: Das hängt vom angeblichen Verstoß ab. Wird dem Unternehmen vorgeworfen, kein Tonband mit Datenschutzinformation abgespielt zu haben, muss das Unternehmen sich frei beweisen. Wie bereits erwähnt, ist das Abspielen eines derartigen Tonbandes aber nur dann erforderlich, wenn der Anrufer nicht weiß, was mit seinen Daten geschieht. Man wird daher nur beweisen müssen, dass der Anrufer diese Informationen bereits erhalten hat, z.B. im Rahmen des Vertragsabschlusses.

Wird dem Unternehmen ein strafgerichtlich strafbares Verhalten, z.B. eine Drohung während des Telefongesprächs, vorgeworfen, hängt die Beantwortung dieser Frage mit der DSGVO nicht zusammen. Die Beweislast trägt, wer den Gesetzesverstoß behauptet (oder die Staatsanwaltschaft).

Als Abschlussfrage: Darf die Auskunftsanfrage seitens des Kunden zu Art.15 – EU-DSGVO zu den gespeicherten personenbezogenen Daten bzw. der Wunsch nach Änderung/Löschung auch telefonisch einlangen? Wenn ja, welches Prozedere ist in diesem Fall empfehlenswert?

Janos Böszörmenyi: Die Auskunftsfrage darf telefonisch gestellt werden. Sie darf aber nicht telefonisch beantwortet werden. Verlangt der Anrufer Auskunft, ob über ihn personenbezogene Daten verarbeitet werden, sollte eine E-Mail-Adresse oder gegebenenfalls eine postalische Adresse und die Telefonnummer erfragt werden. Aufgrund der knappen Fristen für die Beantwortung des Auskunftsbegehrens kann die elektronische Kommunikation bevorzugt werden. Diese birgt allerdings die Gefahr, dass nicht nachgewiesen werden kann, dass das E-Mail eingelangt ist. Daher sollte, wenn E-Mails versendet werden, immer um Bestätigung des Erhalts gebeten werden.

Der Anrufer muss identifiziert werden, bevor irgendwelche Unterlagen übermittelt werden. Daher ist als erster Schritt eine Ausweiskopie zu verlangen. Dies sollte bereits schriftlich erfolgen.

Ausnahmsweise muss die Auskunft mündlich erteilt werden, wenn der Betroffene dies ausdrücklich verlangt. Auch in diesem Fall muss die betroffene Person zuerst ihre Identität in geeigneter Form nachweisen. Für das Erteilen der mündlichen Auskunft ist ein Rückruf oder ein persönlicher Termin zu vereinbaren.

Fazit: Die Informationspflichten durch die DSGVO gelten auch für Telefongespräche!

Unternehmen sind gut beraten, ihre Kunden offen über die Datenverarbeitung zu informieren und entsprechend zweckgebundene Einwilligungen einzuholen. Die neuen Regelungen dienen nicht dazu, Unternehmen zu schikanieren, sondern mit dem höchsten Gut der Kunden – ihren persönlichen Daten – verantwortungsvoll und transparent umzugehen.

Besondere Vorsicht ist bei sogenannten „Cold Calls“ geboten – diese waren ohne vorherige Zustimmung des Angerufenen bereits durch das Telekommunikationsgesetz verboten, könnten aber nun durch ein erwachtes Datenschutz-Bewusstsein wieder mehr in den Fokus rücken und geahndet werden.

Tipp: Auf der Website der Schönherr Rechtsanwälte GmbH findet sich übrigens ein nützlicher, übersichtlicher Kurzleitfaden zur DSGVO mit den wichtigsten Schritten.