DSGVO (LGPD) bei der Betreuung per Telefon und WhatsApp: praktischer Leitfaden für kleine Unternehmen

Jede Betreuung beinhaltet personenbezogene Daten: den Namen der anrufenden Person, die Telefonnummer, die Lieferadresse, manchmal eine CPF. Das Allgemeine Datenschutzgesetz (Gesetz Nr. 13.709/2018, die LGPD) gilt für Unternehmen aller Größen, einschließlich des kleinen Unternehmens, das über WhatsApp vom Mobiltelefon aus betreut.

Dieser Leitfaden enthält die praktischen Punkte der LGPD für die Betreuung per Telefon, WhatsApp und KI-Mitarbeiter. Er ersetzt nicht die Beratung durch einen Rechtsanwalt, hilft aber, das Grundlegende zu ordnen, wo die meisten kleinen Unternehmen noch Lücken haben.

Die Prinzipien, die bei der Betreuung am wichtigsten sind

Die LGPD hat mehrere Prinzipien. Im Alltag der Betreuung machen vier davon den größten Unterschied:

• Zweckbindung: Sie erheben ein Datum für einen bestimmten Grund und verwenden es für diesen Grund. Die Telefonnummer, die für die Rückmeldung zum Angebot erfragt wurde, wird nicht ohne Weiteres zu einer Werbeliste.
• Erforderlichkeit: Erheben Sie nur, was Sie brauchen. Für die Vereinbarung einer Autoreparatur ist die CPF nicht erforderlich.
• Transparenz: Die Person muss wissen, was Sie mit ihren Daten tun.
• Sicherheit: Schützen Sie die Daten vor unbefugtem Zugriff, Offenlegung und Verlust.

Rechtsgrundlage: warum Sie das Datum verwenden dürfen

Jede Erhebung benötigt eine Rechtsgrundlage. Bei der Betreuung sind die häufigsten:

• Vertragserfüllung oder vorvertragliche Maßnahmen: Die Person bittet um ein Angebot, einen Termin, eine Lieferung. Sie benötigen den Namen, die Telefonnummer und die Adresse, um ihrer Anfrage nachzukommen.
• Berechtigtes Interesse: in einigen Fällen, etwa beim Versenden einer Erinnerung zu einer gebuchten Leistung, unter Wahrung der Erwartungen des Kunden.
• Einwilligung: für Nutzungen, die über die Anfrage hinausgehen, etwa zum Versenden von Werbeangeboten. Eine Einwilligung muss freiwillig, informiert und leicht widerrufbar sein.

Bei Unsicherheit darüber, welche Rechtsgrundlage in welcher Situation gilt, ziehen Sie eine Fachperson zu Rate. Wichtig ist, nicht "einfach so" zu erheben.

Besondere Datenkategorien: erhöhte Vorsicht

Die LGPD gewährt besonderen Schutz für sensible Daten wie Gesundheitsdaten, Angaben zu rassischer oder ethnischer Herkunft, Religion, politischer Meinung, Sexualleben sowie genetische und biometrische Daten. Im Kundenservice zeigt sich das vor allem bei:

• Kliniken und Praxen: Symptome, Diagnosen, Untersuchungen.
• Anwaltskanzleien: Details zu Fällen, die Gesundheitsdaten oder andere sensible Daten betreffen können.

Praktische Regel: Fragen Sie bei der Vorqualifizierung (ob durch einen Menschen oder eine KI) so wenig wie möglich. "Welche Fachrichtung?" statt "Beschreiben Sie Ihre Symptome". Die Details bleiben der Fachperson vorbehalten, im geeigneten Kanal. Wie Sie das umsetzen, erfahren Sie unter Telefonischer Service für Anwaltskanzleien.

Transparenz in der Praxis

Einige einfache Möglichkeiten, den Kunden zu informieren:

• Datenschutzerklärung auf der Website, in klarer Sprache: welche Daten erhoben werden, wofür, mit wem sie geteilt werden, wie lange sie gespeichert werden und wie die betroffene Person ihre Rechte ausübt.
• Hinweis zu Beginn des automatisierten Services, kurz. Zum Beispiel: "Dieser Service wird von einem virtuellen Assistenten durchgeführt. Ihre Daten werden verwendet, um Ihre Anfrage zu beantworten."
• Link zur Datenschutzerklärung im WhatsApp-Profil und in den automatischen Nachrichten, wo sinnvoll.

Wenn das Gespräch aufgezeichnet oder transkribiert wird, informieren Sie auch darüber. Transparenz schafft Vertrauen und vermeidet Überraschungen.

KI-Mitarbeiter: was sich ändert

Wenn eine KI den Service übernimmt (am Telefon oder in WhatsApp), gelten dieselben Sorgfaltspflichten, mit einigen zusätzlichen Punkten:

• Konfigurieren Sie die KI so, dass sie keine unnötigen Daten abfragt. Der Gesprächsleitfaden sollte genau auflisten, was erhoben wird.
• Beschränken Sie sensible Aktionen. Ein konkretes Beispiel: Beim KI-Telefon von Combot in Verbindung mit dem SGP geht die 2. Rechnungskopie nur an die WhatsApp-Nummer des Anrufers und nicht an eine beliebige Nummer, die die Person nennt. So wird verhindert, dass jemand die Rechnung einer anderen Person anfordert.
• Bestätigen lassen, bevor gehandelt wird. Aktionen mit Wirkung (etwa eine Freischaltung) sollten eine ausdrückliche Bestätigung verlangen.
• Wissen, wo die Aufzeichnungen liegen. Zusammenfassungen und Gesprächsverläufe sind ebenfalls personenbezogene Daten. Kontrollieren Sie im Dashboard, wer darauf Zugriff hat.

Wie lange speichern

Die LGPD legt keine einheitliche Frist fest. Speichern Sie so lange, wie es für den Zweck und zur Erfüllung gesetzlicher Pflichten (etwa steuerlicher) erforderlich ist. In der Praxis:

• Legen Sie eine Frist für Gespräche von Personen fest, die keine Kunden geworden sind.
• Löschen oder anonymisieren Sie, was keinen Grund mehr hat zu existieren.
• Dokumentieren Sie diese Regeln, auch wenn nur einfach.

Rechte der betroffenen Person

Die Person kann Auskunft darüber verlangen, welche Daten Sie über sie haben, diese berichtigen lassen, die Löschung von Daten verlangen, die auf Grundlage der Einwilligung verarbeitet wurden, und weitere Rechte ausüben. Halten Sie dafür einen Kanal bereit (eine E-Mail oder WhatsApp selbst) und jemanden, der für die Beantwortung zuständig ist.

Zum Datenschutzbeauftragten: Die ANPD (Nationale Datenschutzbehörde) hat spezifische Regeln für kleine Akteure veröffentlicht, die einige Pflichten lockern, etwa die formelle Benennung eines Datenschutzbeauftragten, aber einen Kommunikationskanal für die betroffene Person verlangen. Prüfen Sie in der Regulierung der ANPD, ob Ihr Unternehmen darunter fällt.

Sicherheit im Alltag

Ein Großteil der Datenprobleme im Kundenservice lässt sich einfach vermeiden:

• WhatsApp des Unternehmens auf dem Firmenhandy, mit Bildschirmsperre.
• Starke und individuelle Passwörter im Service-Dashboard; kein gemeinsames Passwort für alle.
• Zugriffe entziehen bei Personen, die das Unternehmen verlassen haben, noch am selben Tag.
• Keine Daten über beliebige Kanäle senden, etwa private Gruppen.
• Vorsicht mit Screenshots von Gesprächen, die im Team kursieren.

Schnelle Checkliste

1. Listen Sie auf, welche Daten jeder Kanal erhebt (Telefon, WhatsApp, Website).
2. Notieren Sie für jeden die Zweckbestimmung und die Rechtsgrundlage.
3. Streichen Sie, was nicht notwendig ist.
4. Veröffentlichen oder aktualisieren Sie die Datenschutzerklärung.
5. Fügen Sie einen kurzen Hinweis im automatisierten Service ein.
6. Überprüfen Sie, wer Zugriff auf die Aufzeichnungen hat.
7. Legen Sie fest, wie lange gespeichert wird.
8. Richten Sie einen Kanal für Anfragen der betroffenen Personen ein.

Zusammenfassung

LGPD im Kundenservice ist vor allem organisierter gesunder Menschenverstand: nur das Notwendige erfragen, den Zweck erklären, schützen und löschen, wenn es nicht mehr benötigt wird. Automatisierungstools helfen, wenn sie von Anfang an mit diesen Grenzen konfiguriert werden. Wenn Sie KI in WhatsApp nutzen oder nutzen möchten, lohnt sich die Lektüre von KI-Bot vs. Menü-Bot.