DSGVO für Kundenservice-SaaS: Wie wählt und nutzt man ein wirklich konformes Tool?
Kundenservice-Software enthält nach der Gehaltsabrechnung wahrscheinlich einige der sensibelsten personenbezogenen Daten in Ihrem Unternehmen.
Kundenservice-Software enthält nach der Gehaltsabrechnung wahrscheinlich die sensibelsten personenbezogenen Daten in Ihrem Unternehmen: Kontaktdaten, Kaufhistorien, Konversationen, Anhänge, Beschwerden sowie manchmal Gesundheits- oder Finanzinformationen, die Kunden freiwillig in Freitextfeldern angeben.
Ein weit verbreiteter Irrglaube ist, dass die Wahl eines „DSGVO-konformen“ Anbieters die Verantwortung auf diesen überträgt. Hier erfahren Sie, was Sie beim Produkt, im Vertrag und bei Ihren eigenen Prozessen prüfen müssen.
DSGVO im Kundenservice-SaaS: Wer ist für Kundendaten verantwortlich?
Das nutzende Unternehmen ist in der Regel der Verantwortliche für die Datenverarbeitung.
Dies ist der Ausgangspunkt für den gesamten Prozess und der Punkt, den Einkaufsteams am häufigsten unterschätzen.
In ihrem am 28. Mai 2026 veröffentlichten Leitfaden zur Qualifizierung von Cloud-Computing-Akteuren stellt die CNIL folgendes Prinzip auf: Grundsätzlich ist der Kunde der Verantwortliche für die Verarbeitung, die er über den Cloud-Dienst durchführt, da er die Zwecke und die wesentlichen Mittel bestimmt.
Er wählt seinen Anbieter aus und entscheidet, welche Daten verarbeitet werden, wie der Dienst konfiguriert ist, was gelöscht und was gesichert wird.
Das von der CNIL genannte Beispiel lässt sich direkt auf den Kundenservice übertragen: Ein Unternehmen, das ein CRM zur Nachverfolgung seiner Kunden nutzt, ist der Verantwortliche, während der CRM-Anbieter als Auftragsverarbeiter fungiert.
Der SaaS-Anbieter ist Auftragsverarbeiter, außer bei der eigenen Datenverarbeitung
Der Anbieter agiert als Auftragsverarbeiter, wenn er Vorgänge mit Ihren Daten gemäß Ihren Anweisungen durchführt.
Diese Einstufung ist jedoch nicht starr: Derselbe Anbieter kann für bestimmte Vorgänge, über die er allein entscheidet, als Verantwortlicher auftreten – etwa bei der Nutzung von Nutzungsdaten zur Produktverbesserung – oder als gemeinsam Verantwortlicher, wenn die Verbesserung beiden Parteien zugutekommt und die Modalitäten gemeinsam festgelegt werden.
Die CNIL weist zudem darauf hin, dass die Einstufung von den tatsächlichen Gegebenheiten abhängt und nicht von einer vertraglichen Wahl: Die Unterzeichnung eines Auftragsverarbeitungsvertrags (AVV), der den Anbieter als Auftragsverarbeiter ausweist, reicht nicht aus, wenn die tatsächliche Beziehung anders gestaltet ist.
DSGVO für Kundenservice-SaaS: Welche Daten müssen vor der Implementierung erfasst werden?
Was fließt tatsächlich durch ein Kundenservice-Tool?
- Nachname, Vorname, Kontaktdaten und Kundennummer;
- E-Mail-Verläufe, Chat, WhatsApp, soziale Medien oder Telefon;
- Tickets, interne Notizen und Kommentare der Berater;
- Anhänge, die vom Kunden bereitgestellt wurden;
- Bestell-, Vertrags- oder Abonnementhistorie;
- technische Daten, Verbindungsprotokolle und Metadaten;
- Gesprächsaufzeichnungen oder Transkripte, sofern zutreffend;
- Informationen, die in Freitextfeldern angegeben wurden.
Der letzte Punkt ist besonders sensibel und spezifisch für den Support. Ein unzufriedener Kunde könnte freiwillig gesundheitliche Probleme, finanzielle Schwierigkeiten oder familiäre Situationen erwähnen, die Sie nie erfassen wollten. Diese Daten fallen dennoch in Ihren Verantwortungsbereich. Geben Sie Ihren Beratern klare Anweisungen und legen Sie ein Verfahren zur Bereinigung von Freitextfeldern fest.
Kundenservice-SaaS und DSGVO: Diese Klauseln sollten Sie im Vertrag und in der Auftragsverarbeitungsvereinbarung (AVV) prüfen
Die gemäß Artikel 28 erforderliche Auftragsverarbeitungsvereinbarung
Das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter muss durch einen schriftlichen Vertrag oder ein anderes rechtsverbindliches Dokument geregelt sein. Die CNIL empfiehlt zudem, bei der Wahl des Cloud-Anbieters besonders sorgfältig vorzugehen und die gesamte Kette der Verarbeitungsdienstleister zu berücksichtigen, nicht nur die direkten Auftragsverarbeiter.
Punkt-für-Punkt-Checkliste: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten und betroffene Personen, Verpflichtung zur Einhaltung dokumentierter Weisungen, Vertraulichkeit der Mitarbeiter, Sicherheitsmaßnahmen, Unterstützung bei Anfragen zur Wahrnehmung von Betroffenenrechten und bei Datenschutz-Folgenabschätzungen, Meldung von Verletzungen, Audit-Rechte sowie der Verbleib der Daten nach Vertragsende.
Unterauftragsverarbeiter – die häufigste Schwachstelle
Eine Kundenservice-SaaS greift fast immer auf weitere Dienstleister zurück: Cloud-Hosting, E-Mail-Versanddienste, Dateispeicher, Analysetools, KI-Modellanbieter, Sprachtranskriptionsdienste oder externer technischer Support.
Drei Mindestanforderungen: eine zugängliche, aktuelle Liste der Unterauftragsverarbeiter, ein Mechanismus zur Vorabbenachrichtigung bei Änderungen sowie ein angemessenes Widerspruchsrecht Ihrerseits. Eine ausweichende Antwort zu diesem Punkt ist ein ausreichender Grund, einen Anbieter abzulehnen.
Checkliste: 10 Punkte zur Prüfung eines AVV für Kundenservice-SaaS
- Wird der AVV standardmäßig bereitgestellt, oder müssen Sie ihn anfordern?
- Stimmen die dokumentierten Weisungen mit Ihrer tatsächlichen Nutzung überein?
- Ist die Liste der Unterauftragsverarbeiter öffentlich und datiert?
- Wie werden Sie über einen Wechsel des Unterauftragsverarbeiters informiert?
- Ist der Hosting-Standort vertraglich garantiert oder nur auf der Website angegeben?
- Welche Datentransfers außerhalb der EU finden statt, auch für Support und Wartung?
- Wie schnell informiert Sie der Anbieter über eine Verletzung des Schutzes personenbezogener Daten?
- Welche konkrete Unterstützung wird bereitgestellt für Anfragen zu Betroffenenrechten?
- Welche Audit-Regelungen sind tatsächlich praktikabel, über einen jährlichen Fragebogen hinaus?
- Was passiert nach Vertragsende mit den Daten: Format, Zeitplan, Kosten und Löschung von Kopien?
DSGVO für Kundenservice-SaaS: Wo werden Ihre Daten gehostet und wohin übertragen?
Der Hosting-Standort und das Fehlen von Datentransfers sind nicht dasselbe.
„Unsere Server stehen in Europa“ ist eine unvollständige Antwort. Hosting in Europa schließt weder den Fernzugriff aus einem Drittland zu Wartungszwecken, noch einen technischen Unterauftragsverarbeiter außerhalb der EU oder den Datenfluss an ein in das Produkt integriertes Tool aus.
Erfassen Sie vier verschiedene Aspekte: den Ort der primären Speicherung, den Ort der Backups, den Administrator- und Support-Zugriff sowie ausgehende Datenflüsse an Drittkomponenten des Produkts, einschließlich KI-Engines.
Transfers außerhalb der EU: Wie ist der aktuelle Stand beim Data Privacy Framework?
Dieses Thema erfordert eine aktuelle Antwort statt einer prinzipiellen Haltung. Der Angemessenheitsbeschluss vom 10. Juli 2023 bleibt rechtlich in Kraft, und das Gericht der Europäischen Union hat die Nichtigkeitsklage dagegen am 3. September 2025 abgewiesen.
Allerdings wurde am 31. Oktober 2025 ein Rechtsmittel beim Gerichtshof der Europäischen Union eingelegt, das noch anhängig ist, wobei mehrere Analysen mit einer Entscheidung Ende 2026 oder im Jahr 2027 rechnen.
Ein neuer Faktor ist hinzugekommen: Eine Entscheidung des Obersten Gerichtshofs der USA vom 29. Juni 2026 zur Unabhängigkeit der Federal Trade Commission hat mehrere Anwaltskanzleien dazu veranlasst, Unternehmen zu empfehlen, eine Ausweichlösung vorzubereiten, falls der Angemessenheitsbeschluss letztlich für nichtig erklärt wird, da dieser Beschluss teilweise auf der Rolle der FTC als unabhängige Aufsichtsbehörde beruht.
Was dies für Ihre Wahl des Tools bedeutet
Drei praktische Konsequenzen:
- Das Datenschutzrahmenabkommen (Data Privacy Framework) gilt nur für selbstzertifizierte Unternehmen, deren Status bei jeder Vertragsverlängerung überprüft werden muss.
- Ein Angemessenheitsbeschluss entbindet niemals von der Notwendigkeit eines Vertrags gemäß Artikel 28 oder von Sicherheitsmaßnahmen;
- Jede Strategie, die sich ausschließlich auf diesen Rahmen stützt, birgt ein Kontinuitätsrisiko. Die Bereitstellung von Standardvertragsklauseln als Rückfalloption oder die Wahl eines europäischen Hostings ist keine ideologische Entscheidung, sondern eine Maßnahme des Risikomanagements.
DSGVO für Kundenservice-SaaS: Welche Sicherheitsgarantien sollten Sie vom Anbieter verlangen?
Unterscheiden Sie zwischen Sicherheit der Cloud und Sicherheit in der Cloud
Dies ist die nützlichste Unterscheidung, die Sie bei einem Beschaffungsprozess im Hinterkopf behalten sollten. Sicherheit der Cloud liegt in der Verantwortung des Anbieters: Infrastruktur, Hypervisoren, Netzwerk und physische Ausfallsicherheit. Sicherheit in der Cloud liegt in Ihrer Verantwortung: Rollenkonfiguration, Berechtigungsmanagement, Auswahl der dort gespeicherten Daten und Kontrolle der Exporte.
Die CNIL warnt zudem vor einigen gängigen Annahmen, darunter unter der Annahme, dass die Sicherheitsverpflichtung allein beim Anbieter liegt oder wenn Telemetrie- und Nutzungsdaten, die vom Anbieter erhoben werden, bei der Risikoanalyse übersehen werden.
Zu dokumentierende technische Maßnahmen
Verschlüsselung bei der Übertragung und Speicherung, Identitätsmanagement und starke Authentifizierung, granulare Rollen und Berechtigungen, Protokollierung von Zugriffen und Exporten, Backups an geografisch getrennten Standorten, Verfahren für das Vorfallmanagement, regelmäßige Sicherheitstests, Geschäftskontinuität, und ein Notfallwiederherstellungsplan.
Verlangen Sie Nachweise statt bloßer Erklärungen: Auditberichte, aktuelle Zertifizierungen und eine Beschreibung des Schwachstellenmanagementprozesses.
Wenden Sie das Prinzip der minimalen Rechtevergabe für Support-Teams an
Sechs Fragen, die Sie innerhalb Ihrer eigenen Organisation prüfen sollten, unabhängig vom Anbieter:
- Muss ein Mitarbeiter im First-Level-Support die vollständige Kundenakte einsehen können?
- Sind Anhänge für alle Teams sichtbar?
- Können Administratoren Unterhaltungen ohne Rückverfolgbarkeit mitlesen?
- Sind Massenexporte eingeschränkt und werden diese protokolliert?
- Wie schnell werden die Konten ausgeschiedener Mitarbeiter deaktiviert?
- Haben externe Dienstleister das gleiche Zugriffsniveau wie Ihre internen Teams?
Die meisten Vorfälle im Kundenservice entstehen nicht durch Schwachstellen bei Anbietern, sondern durch zu weitreichende Berechtigungen, die über Jahre hinweg bestehen bleiben.
DSGVO im Kundenservice-SaaS: Betroffenenrechte, Vorfälle und Datenwiederherstellung
Zugriff, Berichtigung und Löschung ermöglichen
Ihr Tool muss es Ihnen ermöglichen, Anfragen von betroffenen Personen innerhalb der gesetzlichen Fristen zu bearbeiten. Funktionen, die Sie in einer Demo testen sollten, anstatt sie nur in einer Broschüre zu lesen: Suche nach einer Person über alle Kanäle hinweg, strukturierter Datenexport, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie Anonymisierung, wenn eine vollständige Löschung nicht möglich ist.
Achten Sie auf Daten, die über Tickets und Anhänge verstreut sind
Das Löschen eines Kontaktdatensatzes reicht nicht aus, wenn dieselben Informationen in einem archivierten Ticket, im Text einer E-Mail, in einem Anhang, in einem von einem Team erstellten Export, in einem Backup oder in einem angebundenen Tool verbleiben.
Eine schlecht bearbeitete Löschaufforderung ist ein häufiger Grund für Beschwerden, gerade weil das Unternehmen aufrichtig glaubt, der Aufforderung nachgekommen zu sein.
Testen Sie das vollständige Szenario vor dem Produktiveinsatz: eine fiktive Löschaufforderung, gefolgt von einer Suche über alle Kanäle und Speicherorte hinweg.
Reaktion auf eine Verletzung des Schutzes personenbezogener Daten organisieren
Der Vertrag und Ihre internen Verfahren müssen festlegen, wer die Verletzung erkennt, wer wen benachrichtigt, innerhalb welchen Zeitrahmens, welche Informationen übermittelt werden, wie Beweise gesichert werden und welche Unterstützung der Anbieter leistet, damit Sie Ihre eigenen Verpflichtungen erfüllen können. Eine vage Meldefrist im Auftragsverarbeitungsvertrag ist ein ernstes Warnsignal.
Sorgen Sie für die Reversibilität vor Vertragsunterzeichnung, nicht erst bei Beendigung
Exportformat, Umfang dessen, was tatsächlich exportiert werden kann (Tickets, Konversationen, Anhänge, interne Notizen, Metadaten), Rückgabezeitraum, mögliche Kosten, Migrationsunterstützung sowie Löschfristen für verbleibende Kopien und Backups. Diese Punkte lassen sich vor der Vertragsunterzeichnung leicht aushandeln, sind danach jedoch kaum noch durchzusetzen.
Alcmeon, eine Kundenservice-SaaS für höchste Ansprüche
Souveränes Hosting und Kontrolle der Datenströme
Alcmeon ist die Konversationsplattform, die von großen B2C-Marken und französischen Behörden genutzt wird, darunter SNCF Connect, Carrefour, Fnac Darty und Le Bon Marché. Das Hosting erfolgt in Frankreich und der Europäischen Union, was den Teil Ihrer Analyse bezüglich internationaler Datentransfers erheblich vereinfacht und Ihr Risiko im Hinblick auf die derzeitige Unsicherheit bei transatlantischen Angemessenheitsbeschlüssen reduziert.
Governance von Verarbeitung und KI
Die Plattform anonymisiert sensible Daten, bevor sie an KI-Engines gesendet werden, sowie KI-Funktionen lässt sich für jeden Anwendungsfall individuell konfigurieren lassen, anstatt global aktiviert zu werden. Native CRM-Anbindungen ermöglichen es, Beratern und automatisierten Systemen nur die Informationen bereitzustellen, die für die Bearbeitung der Anfrage erforderlich sind. Mehr zu diesem Thema erfahren Sie in unserem Leitfaden zur Governance von KI im Kundenservice.
Eine zentrale Konsole als praktische Voraussetzung für Compliance
Die Beantwortung einer Löschaufforderung ist einfach, wenn alle Kundenkonversationen an einem Ort gespeichert sind, aber sehr schwierig, wenn sie über E-Mail-Postfächer, Instagram-Konten, Chat-Tools und Tabellenkalkulationen verstreut sind. Die zentrale Konsole von Alcmeon bündelt mehr als fünfzehn Kanäle, was das Suchen, Exportieren und Löschen über die gesamte Customer Journey hinweg praktikabel macht. Lesen Sie unseren Leitfaden zur Zentralisierung von Kundenkonversationen.
Fordern Sie eine Alcmeon-Demo an und lassen Sie unsere Teams Ihre DSGVO-Checkliste prüfen.
