Datenresidenz: die fünf Fragen, die Einkauf und Datenschutz stellen

Wenn ein Contact Center in die Cloud wechselt, kommen zwei Abteilungen mit Fragen, die sich ähneln: der Einkauf und der Datenschutz. Beide wollen wissen, wo die Daten liegen. Und beide geben sich zu Recht nicht mit dem Satz „Die Daten liegen in Europa“ zufrieden.

Hinter diesem Satz stecken fünf genauere Fragen. Wer sie vorher kennt, spart sich lange Fragebogenrunden. Und wer Anbieter vergleicht, erkennt an den Antworten schnell, wie ernst sie das Thema nehmen.

#Frage 1: In welcher Region liegen die Daten, und wer wählt sie?

Die Frage nach dem Speicherort hat zwei Teile. Erstens: An welchem Standort liegen die Daten tatsächlich? Zweitens: Wer entscheidet darüber, und kann sich das ohne Ihre Zustimmung ändern?

Eine saubere Antwort nennt die Region konkret und beschreibt, wie sie festgelegt wird. Sie sagt auch, was mit Sicherungen und Notfallkopien geschieht. Eine Region, deren Sicherungen anderswo liegen, ist nur zur Hälfte eine Region.

Bei Univerx wählen Sie die EU-Region, und Daten und Medien sind darauf ausgelegt, in ihr zu bleiben. Hosting in Deutschland ist vorgesehen. Einzelheiten beschreibt Datenresidenz & Hosting in Deutschland.

#Frage 2: Wer verarbeitet außer dem Anbieter noch mit?

Kaum ein Cloud-Dienst läuft ohne Dritte: Rechenzentren, Telefonieanbieter, Dienste für Spracherkennung oder Übersetzung. Jeder davon ist ein Unterauftragsverarbeiter. Nach Art. 28 Abs. 2 DSGVO braucht jeder eine vorherige Genehmigung des Verantwortlichen.

Eine saubere Antwort ist eine Liste: Name, Leistung, Ort der Verarbeitung. Dazu kommt ein Verfahren, wie Sie über Änderungen informiert werden und widersprechen können. Bei einer allgemeinen Genehmigung schreibt die DSGVO genau das vor.

Achten Sie besonders auf KI-Funktionen. Sprachmodelle, Transkription und Übersetzung laufen oft bei spezialisierten Diensten. Fragen Sie, wo diese Verarbeitung stattfindet und ob Ihre Daten dort für andere Zwecke verwendet werden, etwa zum Training.

#Frage 3: Wo liegen Aufzeichnungen, Transkripte und Anhänge?

Im Contact Center sind die sensibelsten Daten oft nicht die Datensätze, sondern die Medien: Gesprächsaufzeichnungen, Bildschirmaufnahmen, Transkripte, hochgeladene Dokumente. Sie sind groß, werden häufig getrennt gespeichert und manchmal von anderen Diensten verarbeitet.

Eine saubere Antwort behandelt Medien ausdrücklich, nicht nur „die Daten“. Sie nennt den Speicherort der Aufzeichnungen und den Ort, an dem Transkription und Analyse stattfinden. Fehlt diese Unterscheidung, lohnt die Rückfrage.

#Frage 4: Wie wird gelöscht, und wie lässt sich das nachweisen?

Löschen hat im Kundenservice drei Ebenen: Fristen für einzelne Datenarten, Löschung auf Antrag einer betroffenen Person und die vollständige Löschung am Vertragsende. Für das Vertragsende sieht Art. 28 Abs. 3 lit. g DSGVO vor, dass nach Wahl des Verantwortlichen gelöscht oder zurückgegeben wird.

Eine saubere Antwort beschreibt alle drei Ebenen. Sie sagt, ob Fristen je Datenart einstellbar sind, wie Sicherungen in die Löschung einbezogen werden und welche Bestätigung Sie am Ende erhalten.

#Frage 5: Wie kommen die Daten wieder heraus?

Die letzte Frage stellt der Einkauf oft früher als der Datenschutz: Was passiert, wenn wir wechseln wollen? Gemeint ist ein vollständiger Export in einem verwendbaren Format: Kontakte, Verläufe, Aufzeichnungen, Konfigurationen.

Eine saubere Antwort nennt Formate, Wege und Fristen. Sie sagt auch, ob ein Export laufend möglich ist, etwa in ein eigenes Data Warehouse, oder nur einmalig am Ende. Laufende Exporte helfen auch bei Auswertungen, siehe BI & Datenexport.

#Woran Sie eine saubere Antwort erkennen

Die Unterschiede zwischen einer ausweichenden und einer belastbaren Antwort sind oft deutlich, wenn man sie nebeneinanderlegt.

#Wenn Daten die EU verlassen

Findet eine Verarbeitung außerhalb der EU statt, gelten zusätzlich die Regeln für Übermittlungen in Drittländer nach Kapitel V der DSGVO, Art. 44 bis 49. Fragen Sie dann nach der Rechtsgrundlage, etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln.

Auch Zugriffe zählen. Wartung oder Support aus einem Drittland kann eine Übermittlung sein, selbst wenn die Daten in der EU gespeichert sind. Eine saubere Antwort beschreibt deshalb nicht nur Speicherorte, sondern auch, von wo aus zugegriffen wird.

#Unterlagen, die Sie anfordern sollten

Die Antworten auf die fünf Fragen gehören nicht nur ins Gespräch, sondern in Dokumente, die Sie prüfen und ablegen können.

Bei Univerx erhalten Sie den Vertrag zur Auftragsverarbeitung, die Liste der Unterauftragsverarbeiter, die technischen und organisatorischen Maßnahmen und das Löschkonzept auf Anfrage.

Was vorliegt und was ein Ziel ist, beschreibt die Seite DSGVO im Trust Center. Die Funktionen dazu finden Sie unter Datenschutz und Regionen & Verfügbarkeit.

Den gesamten europäischen Rahmen beschreibt der Leitfaden Contact Center in Europa betreiben. Die Begriffe Datenresidenz und Auftragsverarbeitung (AVV) erklärt das Glossar.