Dienst­leister

Kurz gesagt: Bei Agenturen, Kanzleien und IT-Dienstleistern passen vier Stellen besonders: Support-Triage, Angebotserstellung, Leadrecherche und Protokolle. Rechtlich steht im Vordergrund, dass der Dienstleister selbst Auftragsverarbeiter seiner Kunden ist. Mit der Stelle werden wir sein Unterauftragsverarbeiter nach Art. 28 Abs. 2 und Abs. 4 DSGVO; die eigenen Kunden sind darüber zu informieren, bevor die Stelle mit echten Daten arbeitet.

Agenturen, Kanzleien und IT-Dienstleister verarbeiten fremde Daten im Auftrag ihrer Kunden. Jede Stelle, die im eigenen Haus besetzt wird, verlängert damit eine Kette, die nach Art. 28 DSGVO vertraglich beschrieben sein muss. Die Vorgänge selbst hängen an Ticket, Angebot und Vorgang und sind darüber abgrenzbar.

Was hier liegen bleibt

• Anfragen im Sammelpostfach, die als Ticket angelegt und einem Kunden zugeordnet werden müssen
• Angebote und Leistungsscheine, die aus wiederkehrenden Bausteinen entstehen
• Recherche nach passenden Unternehmen für den Vertrieb, mit Nachweis der Quelle
• Protokolle aus Jour fixe, Projektrunden und Abnahmen
• Pflege des Verzeichnisses nach Art. 30 Abs. 2 DSGVO über alle Kundenaufträge
• Rückfragen von Kunden zu Unterauftragsverarbeitern und Verarbeitungsorten

Welche Stellen hier passen

Timo (AI), AM-003, Support-Triage. Er nimmt Mails aus dem Support-Postfach auf, legt sie im Helpdesk als Ticket an und erkennt Kunde, Anlage und Vertragsstand aus Signatur, Betreff und Seriennummer. Kategorie und Priorität setzt er nach der Eskalationsmatrix des Hauses. Antworten auf wiederkehrende Fragen entwirft er aus dem freigegebenen Textbestand; verschickt wird nach Freigabe auf der Karte. Störungen mit Prio 1 gehen sofort und unbeantwortet an die Rufbereitschaft, geschlossen wird ein Ticket vom Techniker.

Nora (AI), AM-002, Angebotserstellung. Sie nimmt die Anfrage aus Outlook und dem CRM auf, setzt die Positionen aus dem Leistungsverzeichnis zusammen und übernimmt Konditionen aus einer hinterlegten Rahmenvereinbarung. Rabatte oberhalb der Staffel, abweichende Zahlungsziele sowie Haftungs- und Gewährleistungsklauseln legt sie vor. Das Angebot verschickt sie nicht; freigegeben wird es von einem Menschen auf der Karte.

Kai (AI), AM-010, Leadrecherche. Er sucht Unternehmen nach Branche, Mitarbeiterzahl und Region aus dem Zielprofil, prüft Firmierung und Vertretungsberechtigung im Handelsregister nach und gleicht gegen den Bestand im CRM ab. Zu jedem Treffer trägt er Quelle und Abrufdatum ein. Profile über einzelne Beschäftigte legt er nicht an, angeschrieben wird niemand.

Ruth (AI), AM-006, Protokolle. Sie tritt der Besprechung in Teams auf Einladung bei, sagt zu Beginn an, dass sie eine KI ist, und schreibt erst mit, wenn alle Teilnehmenden zugestimmt haben. Anweisungen nimmt sie nur von geprüften Teilnehmenden aus Ihrem Tenant an, nicht von Gästen. Sensible Inhalte, etwa Mandantendaten einer Kanzlei, verarbeitet sie nur, wenn die Datenklasse der Besprechung es zulässt; die Spracherkennung läuft in der EU oder lokal. Sie hält Beschlüsse, Aufgaben, Zuständige und Fristen fest und zieht den Stand offener Punkte aus dem letzten Protokoll nach. Den Entwurf legt sie der Sitzungsleitung im Dashboard vor, verschickt wird das Protokoll nach Freigabe auf der Karte.

Arbeiten die Stellen für eine Kanzlei, gilt für alle die Datenklasse „sensibel“.

Was in dieser Branche rechtlich dazukommt

Die eigene Rolle. Ein Dienstleister ist für die Daten seiner Kunden regelmäßig Auftragsverarbeiter nach Art. 28 DSGVO und zugleich Verantwortlicher für seine eigenen Beschäftigten, Interessenten und Lieferanten. Beide Rollen stehen im Verzeichnis nach Art. 30 DSGVO getrennt. Eine Stelle wird jeweils der Rolle zugeordnet, in der sie arbeitet.

Unterauftragsverarbeitung. Verarbeitet die Stelle Kundendaten, sind wir Unterauftragsverarbeiter. Art. 28 Abs. 2 DSGVO verlangt dafür die vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei allgemeiner Genehmigung ist über beabsichtigte Änderungen zu informieren, und dem Kunden steht ein Einspruch offen.

Weitergabe der Pflichten. Art. 28 Abs. 4 DSGVO verlangt, dem Unterauftragsverarbeiter dieselben Datenschutzpflichten aufzuerlegen, die im Vertrag mit dem Verantwortlichen stehen. Kommt der Unterauftragsverarbeiter diesen Pflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen. Für uns heißt das: Weisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32 DSGVO, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe am Ende.

Information der eigenen Kunden. Die Informationspflicht nach Art. 13 und 14 DSGVO trifft den Verantwortlichen, also Ihren Kunden. Er kann sie nur erfüllen, wenn er von Ihnen weiß, wer verarbeitet, wo und mit welchen Datenarten. Zu jeder Stelle gehört deshalb ein Datenblatt mit Datenarten, Verarbeitungsort, Löschfristen und Maßnahmen, das Sie weiterreichen können. Der Verarbeitungsort folgt dabei einem festen Grundsatz. Ihre Inhalte liegen in Deutschland: in unserer Cloud oder bei Ihnen im Haus. Zur Bearbeitung gehen sie zusätzlich an den KI-Anbieter, sensible Daten nur an einen Endpunkt in der EU, der nichts speichert.

Berufsgeheimnis bei Kanzleien. Für Rechtsanwälte regelt § 43e BRAO die Inanspruchnahme von Dienstleistungen und verlangt die Verpflichtung zur Verschwiegenheit in Textform. Für Steuerberater gelten § 57 StBerG und § 203 StGB, die Inanspruchnahme von Dienstleistungen regelt § 62a StBerG. § 203 Abs. 3 StGB erlaubt das Offenbaren gegenüber mitwirkenden Personen nur, soweit es für deren Tätigkeit erforderlich ist. Die Verpflichtung zur Verschwiegenheit ist Teil unseres Vertrags.

Mandantendaten unterliegen dem Berufsgeheimnis und gehören zur Datenklasse „sensibel“. Die Stelle läuft dann bei Ihnen im Haus (Hybrid), in unserer Cloud in Deutschland nur auf Ihre ausdrückliche Wahl. Zur Bearbeitung gehen Inhalte nur an einen KI-Endpunkt in der EU, der nichts speichert, und sensible Inhalte zeigt die Stelle nur im Dashboard.

Erstansprache. § 7 UWG begrenzt Werbung ohne Einwilligung. Telefonwerbung gegenüber Verbrauchern verlangt eine vorherige ausdrückliche Einwilligung, gegenüber sonstigen Marktteilnehmern genügt eine mutmaßliche Einwilligung. Kai recherchiert und legt vor, die Ansprache übernimmt der Vertrieb.

Wie die Einrichtung hier abläuft

Angebunden wird über Connectoren an Helpdesk, CRM und Microsoft 365, dazu an die Portale, über die Kundendaten eingehen, siehe sFTP und Portale. Zugangsdaten liegen im Schlüsseltresor, im Klartext sieht die Stelle kein Passwort.

Vor dem ersten Zugriff auf echte Daten ist geklärt, auch für den Schattenbetrieb:

• der Vertrag zur Auftragsverarbeitung mit TOM-Anlage und die Genehmigungslage nach Art. 28 Abs. 2 DSGVO gegenüber den betroffenen Kunden
• die Verpflichtung zur Verschwiegenheit, wo ein Berufsgeheimnis berührt ist; sie ist Teil unseres Vertrags
• der Eintrag im Verzeichnis nach Art. 30 DSGVO und die Folgenabschätzung, wo sie erforderlich ist
• die Anhörung Ihres Datenschutzbeauftragten und die Beteiligung Ihrer Arbeitnehmervertretung, bei jeder Stelle; eine Vorlage für die Betriebsvereinbarung liefern wir mit

Erst danach wird das Dienstkonto freigegeben. Bei Kunden mit Betriebsrat, Personalrat oder Mitarbeitervertretung setzen wir keine Stelle ohne Vereinbarung mit der Arbeitnehmervertretung ein, auch nicht für Teams-Besprechungen, etwa bei Ruth; eine Aufnahme mit Spracherkennung in Teams ist eine technische Einrichtung im Sinne von § 87 Abs. 1 Nr. 6 BetrVG.

Was Ihre IT dafür tun muss, steht auf der Seite des jeweiligen Systems; den Aufwand nennen wir nach der Aufnahme. Danach folgt die Einarbeitung in fünf Stufen je Tätigkeitsart, den Aufstieg entscheidet ein Mensch anhand der Kennzahlen. Das Verfahren steht unter Wie eine Stelle entsteht, die Weisungsgrenzen unter Leitplanken.