Das Wichtigste in Kürze
- Verantwortlich bleiben Sie als Betrieb, auch wenn ein System Ihre Anfragen bearbeitet.
- Jeder Dienstleister, der Daten für Sie verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung.
- Entscheidend sind außerdem: nur nötige Daten, feste Löschfristen, sichere Zugänge und Nachfassen mit Maß.
Vorweg: Ich bin keine Juristin. Hier steht, was ich aus der Praxis weiß und selbst umsetze, mit Schulung im Datenschutz. Für den Einzelfall fragen Sie bitte eine Anwältin oder einen Anwalt.
Sobald ein System Anfragen bearbeitet, verarbeitet es personenbezogene Daten: Name, E-Mail-Adresse, Telefonnummer, den Inhalt der Anfrage. Daran ändert sich nichts, nur weil es ein System tut statt ein Mensch. Verantwortlich bleiben Sie als Betrieb. Die Frage ist also nicht, ob die DSGVO gilt, sondern was sie konkret verlangt.
1. Ein Vertrag zur Auftragsverarbeitung ist Pflicht
Läuft die Anfragebearbeitung auf dem Server eines Dienstleisters, ist dieser Auftragsverarbeiter nach Art. 28 DSGVO. Dann braucht es einen Vertrag zur Auftragsverarbeitung (AVV). Das gilt für Ihren Automatisierungs-Dienstleister genauso wie für Ihren Webhoster und Ihr E-Mail-Postfach. Wer Ihnen keinen AVV anbietet oder ihn als Sonderwunsch behandelt, kennt die Regel nicht. Bei mir ist er immer dabei.
2. Dienste aus den USA sind erlaubt, aber nicht unsichtbar
Viele verbreitete Dienste für E-Mail, Messenger oder Kalender stammen aus den USA, und Daten fließen dorthin. Das ist zulässig, wenn der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln anbietet. Beides steht in den Datenschutzbedingungen des Anbieters. Prüfen Sie es einmal pro Dienst und notieren Sie es.
Misstrauen Sie Versprechen wie „kein Datentransfer in Drittländer“, wenn Ihr Postfach bei einem US-Anbieter liegt. Ein Server in der EU ändert nichts an den Diensten, die er anspricht. Ehrlich ist: „Mein Betrieb läuft in der EU, Ihre angebundenen Dienste nach deren Regeln.“
3. Nur die Daten, die der Ablauf wirklich braucht
Datensparsamkeit ist der Grundsatz, der in der Praxis am häufigsten verletzt wird, weil es so einfach ist, alles mitzunehmen. Ein guter Ablauf übernimmt aus der Anfrage genau die Angaben, die für Rückmeldung und Angebot nötig sind, und speichert sie an genau einem Ort. Jede zusätzliche Kopie ist ein Ort, an dem Sie später löschen müssen.
4. Löschen muss genauso selbstverständlich sein wie Erfassen
Eine Anfrage, aus der kein Auftrag wird, hat ein Verfallsdatum. Legen Sie es fest, zum Beispiel zwölf Monate nach dem letzten Kontakt, und lassen Sie die Löschung automatisch anstoßen. Wird aus der Anfrage ein Auftrag, gelten die gesetzlichen Aufbewahrungsfristen für Geschäftsunterlagen. Beides gehört in Ihre Datenschutzerklärung.
5. Zugänge sind das größte Risiko
Für eine Automatisierung erhält jemand Zugriff auf Ihr Postfach und Ihre Kundendaten. In diesem Moment entscheidet sich die Sicherheit. Was Sie erwarten sollten und was ich selbst so umsetze: Zugänge mit nur den Rechten, die wirklich nötig sind, Zwei-Faktor-Anmeldung überall, keine Passwörter in Chats, und nach Projektende die schriftlich bestätigte Rückgabe oder Löschung aller Zugänge.
6. Nachfassen ist keine Werbung an Fremde
Erinnerungen an jemanden, der Sie angefragt hat, gehören zur Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Das ist etwas anderes als Werbung an fremde Adressen, die ohne Einwilligung nicht erlaubt ist. Die Grenze ziehe ich so: Die Nachrichten beziehen sich auf die Anfrage, sie enden nach wenigen Versuchen, und jede enthält den Hinweis, wie man absagen kann.
7. KI-Bausteine verdienen denselben Blick
Wenn eine KI Anfragen zusammenfasst oder Antwortentwürfe formuliert, ist ihr Anbieter ein weiterer Auftragsverarbeiter. Also auch hier: AVV, rechtliche Grundlage bei Anbietern außerhalb der EU, und nur die Daten, die für die Aufgabe nötig sind. Für eine Zusammenfassung reicht der Text der Anfrage. Die Bankverbindung des Kunden braucht die KI nicht.
Checkliste für Ihr nächstes Projekt
- AVV mit jedem Dienstleister, der Daten für Sie verarbeitet, vor dem Start
- Liste aller angebundenen Dienste mit Standort und rechtlicher Grundlage
- Pro Schritt nur die nötigen Angaben, gespeichert an einem Ort
- Feste Löschfrist für Anfragen ohne Auftrag, automatisch umgesetzt
- Zugänge mit minimalen Rechten, Zwei-Faktor-Anmeldung, Rückgabe nach Projektende
- Nachfassen mit Bezug zur Anfrage, begrenzt, mit Hinweis zur Absage
- Datenschutzerklärung erwähnt die automatische Bearbeitung von Anfragen
So setze ich es beim Anfragen-Autopiloten um: Betrieb auf Servern in der EU, AVV immer inklusive, abgesicherte Zugänge und Löschregeln im Ablauf. Nicht, weil es gut klingt, sondern weil eine Automatisierung, die Ihnen Zeit spart, Ihnen später keinen Ärger bereiten soll.
Aleksandra DalakFachinformatikerin für Systemintegration und Gründerin von NovaFlow Services in Krefeld. Mein Anfragen-Autopilot sorgt dafür, dass Betriebe bessere statt mehr Anfragen bekommen.