Datenschutz im Telefonmarketing: Was das nDSG für Schweizer Outbound-Kampagnen verlangt
Datenschutz im Telefonmarketing in der Schweiz setzt schon bei der Frage an, woher die Telefonnummer stammt und wer sie warum gespeichert hat. Das Datenschutzgesetz, das seit dem 1. September 2023 vollständig in Kraft ist, regelt genau diesen Teil: Herkunft, Bearbeitung, Aufbewahrung und Löschung von Kontaktdaten. Wer eine Outbound-Kampagne plant, muss also zwei getrennte Fragen beantworten. Darf ich diese Person anrufen? Das klärt das UWG zusammen mit dem Sterneintrag. Und: Darf ich diese Daten so verwenden, wie ich es gerade tue? Das klärt das Datenschutzgesetz.
Die beiden Regelwerke verfolgen unterschiedliche Zwecke. Das UWG schützt vor unlauterem Wettbewerbsverhalten, der Sterneintrag ist ein Opt-out gegen unerwünschte Werbeanrufe. Das nDSG dagegen schützt die Person hinter der Nummer, unabhängig davon, ob der Anruf selbst zulässig war. Eine Kampagne kann UWG-konform sein und trotzdem gegen Art. 6 DSG verstossen, etwa wenn ein Anbieter Adressdaten für einen ganz anderen Zweck kauft, als die betroffene Person sie ursprünglich angegeben hat. Für Vertriebsleiter heisst das: Die Prüfung, ob ein Anruf erlaubt ist, ersetzt nicht die Prüfung, ob die Datenbearbeitung dahinter sauber ist.
Was das nDSG für Telefonmarketing-Kampagnen regelt und wie es sich vom UWG und Sterneintrag unterscheidet
Das Datenschutzgesetz verlangt, dass ein Unternehmen Personendaten nur zu dem Zweck bearbeitet, der bei der Beschaffung erkennbar oder vereinbart war. Das ist die Zweckbindung nach Art. 6 DSG. Für Telefonmarketing bedeutet das konkret: Ein Unternehmen darf eine Adresse, die ein Kunde für die Lieferung einer Bestellung angegeben hat, nicht ohne Weiteres für eine spätere Verkaufskampagne nutzen, wenn es diesen Zweck dem Kunden nicht mitgeteilt hat.
Dazu kommt die Pflicht zur Datensicherheit nach Art. 8 DSG. Die Datenschutzverordnung konkretisiert diese Pflicht mit technischen und organisatorischen Anforderungen, etwa an die Zugriffskontrolle. Wer eine Kontaktliste an ein Call Center weitergibt, muss dafür sorgen, dass nur befugte Personen darauf zugreifen können und dass die Liste nicht offen in einer geteilten Tabelle herumliegt. Das UWG und der Sterneintrag regeln, ob der Anruf stattfinden darf. Das nDSG regelt, was mit den Daten passiert, bevor, während und nach dem Anruf.
Woher Kontaktdaten stammen dürfen und wann eine Einwilligung zwingend nötig ist
Nicht jede Outbound-Kampagne braucht eine ausdrückliche Einwilligung. Bei bestehenden Kundenbeziehungen reicht oft die berechtigte Erwartung, dass ein Anbieter zu ähnlichen Produkten Kontakt aufnimmt, sofern kein Sterneintrag vorliegt und die Person nicht widersprochen hat. Anders bei gekauften oder gemieteten Adresslisten von Datenhändlern. Hier muss das Unternehmen klären, zu welchem Zweck die betroffenen Personen ihre Daten ursprünglich angegeben haben und ob eine Weitergabe an Dritte für Marketingzwecke darin eingeschlossen war.
Besonders heikel sind Listen aus Gewinnspielen oder Umfragen. Häufig formulieren die Anbieter die Einwilligung dort nur sehr allgemein, etwa «zur Kontaktaufnahme durch Partnerunternehmen». Ob das für eine konkrete Telesales-Kampagne ausreicht, hängt davon ab, wie klar das Unternehmen den ursprünglichen Zweck umschrieben hat. Im Zweifel gilt: Je älter und unspezifischer die Einwilligung, desto grösser das Risiko, dass ein Anruf als Zweckentfremdung der Daten gilt, selbst wenn er UWG-rechtlich zulässig wäre. Für die Terminvereinbarung im B2B-Bereich schätzen wir die Ausgangslage oft anders ein, weil zwischen Unternehmen häufig ein sachlicher Bezug zur Geschäftstätigkeit besteht. Das entbindet nicht von der Prüfung der Datenherkunft, erleichtert aber in der Praxis oft die Zuordnung zu einem erkennbaren Zweck. Wie eine solche Kampagne in der Praxis aufgebaut wird, zeigen die Leistungen im Bereich Terminvereinbarung.
Wie Adresslisten und CRM-Einträge nachweisbar DSG-konform dokumentiert werden
Eine Kampagne ist erst dann wirklich abgesichert, wenn sich im Nachhinein zeigen lässt, woher eine Nummer stammt und aus welchem Grund jemand sie kontaktiert hat. In der Praxis bewährt sich eine einfache Struktur im CRM: pro Kontakt ein Feld für die Datenquelle, eines für das Datum der Erhebung und eines für den dokumentierten Zweck. Stammt die Nummer aus einer öffentlichen Quelle wie dem Handelsregister, gehört auch das ins Feld.
Bei gekauften Listen sollte das Unternehmen den Liefervertrag mit dem Datenanbieter aufbewahren, inklusive der Zusicherung, dass der Anbieter die Daten rechtmässig erhoben hat. Wickelt ein Call Center die Kampagne extern ab, sollte diese Dokumentation Teil der Übergabe sein und nicht als loses Excel-Blatt nach Kampagnenende verloren gehen. Ein Satz, den man in der Praxis oft hört, wenn ein Auftraggeber eine neue Liste liefert: «Können Sie uns die Quelle und das Erhebungsdatum pro Datensatz mitgeben, bevor wir starten?» Diese Frage gehört an den Anfang jeder Zusammenarbeit, nicht an deren Ende.
Welche Rechte Angerufene haben und wie KMU sie in der Praxis erfüllen
Jede Person hat gegenüber dem Unternehmen, das ihre Daten bearbeitet, ein Auskunftsrecht. Sie kann verlangen, zu erfahren, welche Daten das Unternehmen speichert, woher sie stammen und zu welchem Zweck es sie verwendet. Aus dem Zweckbindungsgrundsatz lässt sich zudem ableiten, dass eine Person der Bearbeitung ihrer Daten zu Marketingzwecken widersprechen kann, unabhängig vom Sterneintrag. Wer am Telefon sagt: «Ich möchte nicht mehr kontaktiert werden», sagt aus unserer Sicht mehr als nur eine höfliche Absage. In der Praxis behandeln seriöse Anbieter das wie einen Widerspruch gegen die weitere Bearbeitung zu Marketingzwecken.
Für KMU heisst das in der Praxis: Ein klarer interner Prozess legt fest, wer eine solche Anfrage entgegennimmt und wie schnell die Mitarbeitenden sie im CRM nachtragen. Eine sinnvolle Regel ist, den Kontakt sofort während des Gesprächs zu markieren und nicht erst am Ende des Arbeitstages. Kommt eine schriftliche Auskunftsanfrage, sollte innert angemessener Frist eine vollständige und verständliche Antwort erfolgen. Wickelt ein externer Dienstleister eine Kampagne ab, muss der Vertrag auch festlegen, wer solche Anfragen bearbeitet und wie er sie an das auftraggebende Unternehmen weiterleitet.
Eine private negative Bewertung nach einem Anruf ist übrigens ein eigenes Thema und hat mit dem UWG in der Regel nichts zu tun, da es an einem wettbewerbsrelevanten Verhalten fehlt. Ein Löschanspruch gegenüber einer solchen Bewertung stützt sich auf den Persönlichkeitsschutz nach Art. 28 ZGB.
Wie lange Kontaktdaten aufbewahrt werden dürfen und wann eine Löschpflicht entsteht
Das nDSG schreibt keine feste Aufbewahrungsfrist für Marketingdaten vor. Massgeblich ist stattdessen der Grundsatz, dass ein Unternehmen Daten nicht länger bearbeiten darf, als es für den Zweck nötig ist. Für eine einmalige Kampagne heisst das: Ein Unternehmen sollte Kontaktdaten von Personen, die kein Interesse gezeigt haben und nicht Kunde geworden sind, nach Abschluss der Kampagne löschen oder zumindest so archivieren, dass niemand sie mehr aktiv bearbeitet.
Bei bestehenden Kunden orientiert sich die Aufbewahrung oft an anderen gesetzlichen Fristen, etwa der handelsrechtlichen Aufbewahrungspflicht für Geschäftsunterlagen. Reine Marketingdaten ohne Vertragsbezug fallen nicht automatisch darunter. Eine Liste, die seit Jahren unverändert im System liegt und die niemand mehr für eine Kampagne genutzt hat, ist ein klassisches Beispiel für eine Bearbeitung ohne aktuellen Zweck. Ein Unternehmen sollte sie bereinigen. Praktisch bewährt sich eine jährliche Durchsicht der Kontaktdatenbank mit der einfachen Frage, ob das Unternehmen einen Datensatz noch aktiv braucht.
Was vertraglich geregelt sein muss, wenn ein externer Dienstleister die Kampagne im Auftrag durchführt
Lagert ein Unternehmen eine Outbound-Kampagne an ein Call Center aus, bleibt es datenschutzrechtlich trotzdem verantwortlich. Der Dienstleister handelt als Auftragsbearbeiter. Das setzt einen schriftlichen Vertrag voraus, der mindestens festhält, zu welchem Zweck der Dienstleister die Daten bearbeiten darf, wie lange er sie behält, wie er sie nach Kampagnenende löscht oder zurückgibt und welche technischen Massnahmen zur Zugriffskontrolle gelten.
Besonders relevant ist, ob der Dienstleister selbst Unterauftragnehmer einsetzt und ob Daten die Schweiz verlassen. Ein Team, das ausschliesslich in der Schweiz arbeitet, vereinfacht diese Prüfung erheblich, weil keine zusätzliche Übermittlung ins Ausland und keine entsprechende Risikobewertung nötig ist. Wer eine Kampagne im Bereich Outbound plant, sollte deshalb bereits im Angebotsgespräch klären, wo der Dienstleister die Daten physisch bearbeitet und wer im Team tatsächlich Zugriff auf die Liste hat.
Ein guter vertraglicher Rahmen enthält zudem eine Pflicht des Dienstleisters, das auftraggebende Unternehmen sofort zu informieren, wenn eine angerufene Person Auskunft verlangt, widerspricht oder eine Datenschutzverletzung vermutet. Ohne diese Klausel bleibt unklar, wer im Ernstfall wie schnell reagiert, und genau diese Verzögerung ist es, die aus einem kleinen Fehler ein grösseres Problem macht.
Wer eine Outbound-Kampagne aufsetzen will, die diese Punkte von Anfang an berücksichtigt, kann eine unverbindliche Offerte anfordern. Im Erstgespräch lässt sich klären, woher die Kontaktdaten stammen sollen und wie der Vertrag mit dem Dienstleister die Aufbewahrung und den Zugriff regelt.