DSGVO im Kundenservice

Jede Kundenanfrage enthält personenbezogene Daten: Name, E-Mail-Adresse, oft Telefonnummer, Kundennummer, manchmal Fotos oder Dokumente. Für den Kundenservice gilt deshalb die Datenschutz-Grundverordnung in vollem Umfang. Die gute Nachricht: Wer ein paar Grundsätze beachtet, ist im Alltag gut aufgestellt.

Rechtsgrundlage

Die Bearbeitung einer Anfrage ist meist zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Bei allgemeinen Anfragen ohne Vertragsbezug kommt häufig das berechtigte Interesse in Betracht (Art. 6 Abs. 1 lit. f). Für den Support-Alltag heißt das: Daten, die zur Bearbeitung nötig sind, dürfen verarbeitet werden. Daten, die nur „nützlich sein könnten", eher nicht.

Die Grundsätze im Alltag

• Datenminimierung: Nur abfragen, was für die Bearbeitung gebraucht wird. Keine Geburtsdaten, wenn eine Kundennummer reicht.
• Zweckbindung: Supportdaten nicht ohne Weiteres für Werbung nutzen.
• Speicherbegrenzung: Erledigte Tickets nicht unbegrenzt aufbewahren. Ein Löschkonzept legt fest, wann was gelöscht wird – unter Beachtung gesetzlicher Aufbewahrungspflichten etwa für Geschäftsbriefe.
• Integrität und Vertraulichkeit: Zugriff nur für Berechtigte, sichere Anmeldung, verschlüsselte Übertragung (Art. 32 DSGVO).

Betroffenenrechte

Kund*innen haben unter anderem ein Recht auf Auskunft (Art. 15), Berichtigung (Art. 16) und Löschung (Art. 17). Eine Auskunft ist grundsätzlich innerhalb eines Monats zu erteilen (Art. 12 Abs. 3). Praktisch bedeutet das: Das Ticketsystem muss alle Daten einer Person finden und exportieren sowie gezielt löschen können – inklusive Anhängen. Auch interne Notizen über eine Person können dazugehören.

Dienstleister und KI

Wer ein Ticketsystem in der Cloud nutzt, braucht einen Vertrag zur Auftragsverarbeitung. Besonders genau hinsehen sollte man bei KI-Funktionen: Werden Ticketinhalte an einen externen KI-Dienst geschickt, womöglich außerhalb der EU, ist das eine weitere Verarbeitung mit eigenem Prüfbedarf. Mehr dazu unter KI-Assistent.

Ein Beispiel

Erika Musterfrau bittet um Auskunft, welche Daten über sie gespeichert sind. Jana Beispiel sucht im Ticketsystem nach ihrem Namen und ihrer E-Mail-Adresse, findet vier Vorgänge, exportiert die Daten und schickt sie innerhalb der Frist. Zwei Monate später verlangt Frau Musterfrau die Löschung. Da keine Aufbewahrungspflicht mehr besteht, werden Kontakt, Vorgänge und Anhänge gelöscht und der Vorgang dokumentiert.

Typische Fehler

• Gemeinsame Zugangsdaten für das Support-Postfach statt persönlicher Konten.
• Kundendaten in privaten Messengern oder persönlichen Postfächern.
• Kein Löschkonzept – Tickets aus zehn Jahren liegen unverändert im System.
• Ausweiskopien oder Gesundheitsdaten, die als Anhang im Ticket bleiben, obwohl sie nur kurz gebraucht wurden.

Ausführlich im Ratgeber Ticketsystem und DSGVO. Dieser Eintrag ersetzt keine Rechtsberatung.

Ein Löschkonzept in der Praxis

Ein einfaches Löschkonzept für den Support kann so aussehen: erledigte Tickets ohne geschäftliche Bedeutung nach einer festgelegten Frist löschen, Tickets mit Bezug zu Verträgen oder Rechnungen so lange behalten, wie Aufbewahrungspflichten bestehen, und sensible Anhänge nach Abschluss entfernen.

So hilft rapidFOX

rapidFOX läuft auf Servern in Deutschland, bietet einen AVV, Export- und Löschfunktionen für Betroffenenrechte, Zwei-Faktor-Anmeldung, tägliche verschlüsselte Datensicherung und eine Abmeldung nach 10 Minuten ohne Eingabe. Die KI läuft auf eigenen Servern in Deutschland. Mehr unter Sicherheit und Checkliste Datenschutz.