Contact Center in Europa betreiben

#Ausgangslage

Ein Contact Center verarbeitet an einem Tag mehr personenbezogene Daten als viele andere Abteilungen in einem Monat: Gespräche, Aufzeichnungen, Transkripte, Bewertungen, Schichtpläne. In Europa greifen dabei drei Regelwerke gleichzeitig: die DSGVO, der EU AI Act und, in Deutschland, die betriebliche Mitbestimmung.

Dieser Leitfaden ordnet die drei Regelwerke entlang dessen, was ein Contact Center tatsächlich tut: Kontakte verteilen, Gespräche aufzeichnen, Ergebnisse auswerten, KI einsetzen. Er ersetzt keine Rechtsberatung. Er hilft Ihnen, die richtigen Fragen zu stellen, bevor ein Vertrag unterschrieben wird.

#Rollen klären: wer verantwortet was

Bevor es um Funktionen geht, braucht es eine klare Rollenverteilung. Ihr Unternehmen ist in aller Regel Verantwortlicher im Sinne der DSGVO. Der Plattformanbieter verarbeitet Daten in Ihrem Auftrag und ist damit Auftragsverarbeiter.

Diese Beziehung regelt ein Vertrag nach Art. 28 DSGVO, kurz AVV. Er beschreibt Gegenstand, Dauer, Art der Daten, technische und organisatorische Maßnahmen und den Umgang mit Unterauftragsverarbeitern. Fordern Sie die Liste der Unterauftragsverarbeiter vor der Vertragsprüfung an, nicht danach.

#Datenresidenz und Drittländer

Die zweite Grundfrage lautet: Wo liegen Daten und Medien? Gemeint sind nicht nur Kundendatensätze, sondern auch Aufzeichnungen, Transkripte, Protokolle und Sicherungen. Eine saubere Antwort nennt Regionen je Datenart und sagt, ob Zugriffe aus Drittländern möglich sind.

Übermittlungen in Länder außerhalb der EU sind nach Art. 44 ff. DSGVO nur unter bestimmten Bedingungen zulässig. Lassen Sie sich zeigen, welche Dienste außerhalb der gewählten Region laufen, etwa für Support oder Sprachverarbeitung. Mehr dazu im Beitrag Datenresidenz: die fünf Fragen.

#Routing: wer bekommt welchen Kontakt

Routing ist Datenverarbeitung. Welche Merkmale die Verteilung heranzieht, ist eine Entscheidung mit Folgen: Rufnummer, Kanal und Uhrzeit sind unkritisch, Kaufhistorie und vermutete Stimmung sind es nicht. Der Grundsatz der Datenminimierung aus Art. 5 DSGVO gilt auch hier.

Legen Sie fest, welche Merkmale eine Verteilung nutzen darf, und dokumentieren Sie das im Verzeichnis der Verarbeitungstätigkeiten. So bleibt nachvollziehbar, warum ein Kontakt in einer bestimmten Warteschlange landet.

#Vorausschauendes Routing und der AI Act

Vorausschauendes Routing ordnet Kontakte der Person zu, die für eine gewählte Kennzahl wahrscheinlich das beste Ergebnis erzielt. Dafür braucht das Modell Daten über die bisherigen Ergebnisse von Mitarbeitenden. Genau hier lohnt ein zweiter Blick.

Der AI Act zählt in Anhang III Systeme zum Hochrisiko-Bereich, die Aufgaben auf Grundlage individuellen Verhaltens oder persönlicher Merkmale von Beschäftigten zuweisen oder deren Leistung überwachen. Ob ein konkretes Routing darunter fällt, hängt von der Ausgestaltung ab. Lassen Sie es vor dem Einsatz prüfen.

Auch für Kundinnen und Kunden kann die Verteilung Folgen haben, etwa wenn ein Modell über Wartezeit oder Priorität entscheidet. Art. 22 DSGVO schützt vor Entscheidungen, die ausschließlich automatisiert fallen und erhebliche Wirkung haben. Halten Sie fest, wo Menschen eingreifen können.

#Aufzeichnung: Grundlage, Zweck und Frist

Gespräche dürfen nicht ohne Weiteres aufgezeichnet werden. Wer das nichtöffentlich gesprochene Wort unbefugt aufnimmt, macht sich nach § 201 StGB strafbar. Hinzu kommt die DSGVO: Jede Aufzeichnung braucht eine Rechtsgrundlage nach Art. 6.

In der Praxis ist das meist die Einwilligung, eingeholt zu Beginn des Gesprächs, mit einer echten Möglichkeit abzulehnen. Die Einwilligung wird mit dem Gespräch gespeichert. Für Mitarbeitende gilt Entsprechendes; ihre Seite der Aufzeichnung gehört zusätzlich in die Betriebsvereinbarung.

#Der Zweck bestimmt die Frist

Aufzeichnungen für das Qualitätsmanagement werden anders aufbewahrt als Aufzeichnungen, die einen Vertragsschluss belegen. Art. 5 DSGVO verlangt, dass Daten nur so lange gespeichert werden, wie es der Zweck erfordert. Ein Löschkonzept beantwortet deshalb je Zweck drei Fragen.

Prüfen Sie, ob die Plattform Fristen je Zweck, Warteschlange oder Kanal abbilden kann und ob Löschungen protokolliert werden. Eine Frist, die nur auf dem Papier steht, hilft im Audit nicht.

#Bildschirmaufzeichnung

Viele Qualitätsprogramme zeichnen neben dem Gespräch auch den Bildschirm auf. Darauf erscheinen Kundendaten, interne Notizen und oft Inhalte anderer Anwendungen. Begrenzen Sie die Aufzeichnung auf die Anwendungen, die für die Bewertung nötig sind, und maskieren Sie Felder mit sensiblen Daten.

Bildschirmaufzeichnung ist zugleich eine technische Einrichtung im Sinne der Mitbestimmung. Sie gehört deshalb in dieselbe Betriebsvereinbarung wie die Gesprächsaufzeichnung, mit eigenem Zweck, eigener Frist und eigenem Kreis von Berechtigten.

#Auswertung: Analyse, Qualität, Leistung

Gesprächsanalyse, Qualitätsbewertung und Leistungskennzahlen sind der empfindlichste Teil. Technische Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, unterliegen der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Auf die Absicht kommt es dabei nicht an, sondern auf die Eignung.

Praktisch heißt das: Welche Auswertungen es gibt, wer sie sieht und wofür sie verwendet werden, wird mit dem Betriebsrat vereinbart. Eine Plattform muss sich entsprechend konfigurieren lassen. Die Vorbereitung auf dieses Gespräch beschreibt der Beitrag Mit dem Betriebsrat über Auswertungen sprechen.

Univerx Assist· aktiv

Gespräch

KI-Agent, gekennzeichnetÜbergabe vom KI-Agenten · Kontext vollständig

Ich habe den Bescheid bekommen, aber der Betrag passt nicht zum Antrag.

Ich sehe den Vorgang vor mir. Einen Moment, ich prüfe die Berechnung.

Stimmung: ruhigTelefon

Univerx Assist

Antwortvorschlag

Der Bescheid weicht vom Antrag ab. Ich schlage eine Korrektur vor und sende Ihnen die Bestätigung per Nachricht.

EinfügenÜbernehmen

Zusammenfassung

Anliegen: Abweichung im Bescheid. Dokumente liegen vor. Nächster Schritt: Korrektur, Bestätigung per Nachricht.

#Stimmung und Emotion: eine harte Grenze

Der AI Act verbietet in Art. 5 Abs. 1 Buchst. f KI-Systeme, die am Arbeitsplatz Emotionen von Personen ableiten, mit engen Ausnahmen aus medizinischen oder Sicherheitsgründen. Gemeint sind Systeme, die dafür biometrische Daten wie die Stimme nutzen.

#Planung und Arbeitszeit

Auch die Personaleinsatzplanung verarbeitet Daten von Beschäftigten: Verfügbarkeiten, Abwesenheiten, Schichtwünsche und die Einhaltung des Plans in Echtzeit. Beginn und Ende der Arbeitszeit, Pausen und die Verteilung auf Wochentage sind nach § 87 Abs. 1 Nr. 2 BetrVG mitbestimmungspflichtig.

Die Echtzeit-Einhaltung ist zudem eine Auswertung im Sinne von Nr. 6. Vereinbaren Sie, wer Abweichungen sieht, wie lange sie gespeichert werden und ob sie in Gespräche über Leistung einfließen dürfen. Die Grundlagen der Planung erklärt der Leitfaden Personaleinsatzplanung im Contact Center.

#KI im Dialog: Kennzeichnung und Aufsicht

Art. 50 des AI Act verlangt, dass Menschen erfahren, wenn sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Diese Transparenzpflicht gilt seit dem 2. August 2026.

Für KI-Agenten am Telefon und im Chat heißt das: Kennzeichnung zu Beginn, Wiederholung auf Nachfrage, jederzeit der Weg zu einer Person. Die Kennzeichnung gehört in jeden Kanal, auch in SMS und Messaging-Apps, in denen kein Avatar und keine Stimme den Unterschied verrät.

Für Assistenzfunktionen wie Antwortvorschläge gilt: Die Person entscheidet, was gesendet wird. Protokollieren Sie, welche Vorschläge angenommen wurden, damit Qualität und Verantwortung nachvollziehbar bleiben.

Seit Februar 2025 verlangt Art. 4 des AI Act außerdem, dass Anbieter und Betreiber für ausreichende KI-Kompetenz ihres Personals sorgen. Für ein Contact Center bedeutet das Schulung für alle, die KI-Ergebnisse nutzen, prüfen oder freigeben. Wie das konkret aussieht, beschreibt der Leitfaden KI-Agenten verantwortungsvoll einführen.

#Datenschutz-Folgenabschätzung vorbereiten

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Systematische Auswertung von Gesprächen, neue Technologien wie KI und umfangreiche Verarbeitung sind typische Auslöser.

Die Folgenabschätzung verantworten Sie selbst. Ein Anbieter kann sie aber erheblich erleichtern, wenn er seine Verarbeitung offen beschreibt.

1. Verarbeitung beschreiben. Kanäle, Datenarten, Zwecke, Empfänger, Regionen, Fristen.
2. Notwendigkeit prüfen. Für jede Datenart begründen, warum sie gebraucht wird.
3. Risiken bewerten. Für Kundinnen, Kunden und Mitarbeitende getrennt.
4. Maßnahmen festlegen. Rollenrechte, Pseudonymisierung, Aggregation, Löschung, Kennzeichnung.
5. Ergebnis dokumentieren. Und bei jeder größeren Änderung der Konfiguration erneut prüfen.

#Betroffenenrechte im Alltag

Das Contact Center ist oft der Ort, an dem Auskunfts- und Löschersuchen ankommen. Wer nach Art. 15 DSGVO Auskunft verlangt, hat Anspruch auf alle Daten zu seiner Person, also auch auf Aufzeichnungen, Transkripte und Chatverläufe.

Prüfen Sie deshalb, ob sich alle Kontakte einer Person kanalübergreifend finden, exportieren und löschen lassen. Ein Löschersuchen nach Art. 17 DSGVO, das in der Telefonie umgesetzt wird, aber im Transkript-Archiv nicht ankommt, ist nicht erfüllt.

#Sicherheit und regulierte Branchen

Für Banken, Versicherungen, Energieversorger und andere regulierte Unternehmen kommen weitere Regelwerke hinzu. DORA verlangt von Finanzunternehmen ein Management der Risiken aus IKT-Drittdienstleistern. NIS2 erweitert die Pflichten zur Cybersicherheit auf viele Sektoren und deren Lieferketten.

Für das Contact Center heißt das: Der Plattformanbieter wird Teil Ihrer Lieferkette. Planen Sie Unterlagen zu Sicherheitsmaßnahmen, Notfallplänen, Meldewegen und Ausstiegsszenarien früh ein. Einordnungen finden Sie im Trust Center zu NIS2, DORA und BSI C5.

#Fragen an den Anbieter

Einkauf und Datenschutz bekommen von Anbietern oft Siegel und Schlagworte. Hilfreicher sind Unterlagen, die sich prüfen lassen. Die folgende Tabelle zeigt, woran Sie eine belastbare Antwort erkennen.

#Im Betrieb: Änderungen im Blick behalten

Eine saubere Prüfung vor dem Start ist die halbe Arbeit. Eine Cloud-Plattform verändert sich laufend: neue Funktionen, neue KI-Modelle, neue Unterauftragsverarbeiter. Jede dieser Änderungen kann eine Ihrer Entscheidungen berühren.

Vereinbaren Sie deshalb, wie Sie über Änderungen informiert werden und wie lange Sie Zeit für einen Widerspruch haben. Intern hilft eine einfache Regel: Neue Auswertungen, neue KI-Funktionen und neue Datenarten werden erst nach Prüfung durch Datenschutz und, wo nötig, Betriebsrat eingeschaltet.

Auch die Barrierefreiheit gehört in diesen Rhythmus. Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz für viele Dienstleistungen gegenüber Verbraucherinnen und Verbrauchern, darunter Kundenoberflächen wie Chat und Self-Service. Den Weg dorthin beschreibt der Leitfaden Barrierefreiheit im Kundenservice.

#Checklisten für den Start

Die erste Liste gehört in die Vorbereitung von Einkauf und Datenschutz. Die zweite ist die Grundlage für das Gespräch mit dem Betriebsrat. Beide sollten beantwortet sein, bevor der Pilot beginnt.

#Wie Univerx Sie dabei unterstützt

Univerx ist so gebaut, dass diese Fragen Konfiguration sind und kein Sonderprojekt. Daten und Medien liegen in EU-Regionen Ihrer Wahl; Hosting in Deutschland ist vorgesehen. Den Vertrag zur Auftragsverarbeitung, die Liste der Unterauftragsverarbeiter und Unterlagen für Ihre Folgenabschätzung erhalten Sie auf Anfrage.

KI-Agenten geben sich im Dialog als KI zu erkennen, übergeben jederzeit mit Kontext und protokollieren jede Aktion. Die Gesprächsanalyse und das Qualitätsmanagement lassen sich so konfigurieren, dass Rollenrechte und Aggregation den vereinbarten Regeln folgen.

Den Status jedes Punkts finden Sie im Trust Center: „ausgelegt auf“, „auf Anfrage“ oder „verfügbar“. Vertiefungen bieten die Seiten zu DSGVO, EU AI Act und Datenresidenz. Wenn Sie Ihre Fragen direkt durchgehen möchten, sprechen Sie mit uns.