Ratgeber

Helpdesk-Software und Recht in Deutschland: der Leitfaden für Käufer

Was gilt, wenn ein deutsches Unternehmen Kundendaten in ein Helpdesk gibt: AVV und Unterauftragsverarbeiter, Drittlandtransfer trotz EU-Hosting, Löschung und Auskunft, Mitbestimmung des Betriebsrats, Chat-Widget und TDDDG, Gesprächsaufzeichnung, AI Act, Data Act, NIS2 und BSI C5. Mit Links zu den amtlichen Quellen.

Von dem Team von help-desk.reviewsVeröffentlicht 19. September 2026Aktualisiert 19. September 2026Preise und Zahlen geprüft 18. September 2026
Allgemeine Information, keine Rechtsberatung. Mehrere Regeln haben sich 2025 und 2026 geändert. Wir verlinken amtliche Quellen und geben den Stand von September 2026 wieder. Klären Sie Ihre eigenen Pflichten mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten.

Das Wichtigste in Kürze

  • Erst den AVV, dann echte Tickets. Das gilt auch für die kostenlose Testphase.
  • EU-Hosting beendet den Drittlandtransfer nicht. Fernzugriff durch Support-Personal außerhalb der EU ist selbst ein Transfer.
  • Den Betriebsrat früh einbinden. Ein Ticketsystem mit Auswertungen pro Agent ist mitbestimmungspflichtig, auch wenn niemand die Berichte öffnet.
  • Chat-Widget erst nach Klick oder Einwilligung laden. Ein Chat gilt nicht schon beim Seitenaufruf als gewünscht.
  • Gespräche nur mit aktiver Einwilligung aufzeichnen. Eine Ansage mit Widerspruchsmöglichkeit reicht nicht.
  • KI-Chatbots müssen sich zu erkennen geben. Seit dem 2. August 2026.

Was muss im AVV mit dem Helpdesk-Anbieter stehen?

Der Anbieter speichert Tickets, Kontaktdaten und Gesprächsverläufe in Ihrem Auftrag. Er ist damit Auftragsverarbeiter. Art. 28 Abs. 3 DSGVO verlangt einen verbindlichen Vertrag. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die betroffenen Personen. Der Anbieter darf nur auf Weisung handeln, muss die Daten sichern, bei Betroffenenanfragen helfen und die Daten am Vertragsende löschen oder zurückgeben.

Die Form ist unkompliziert. Nach dem Kurzpapier Nr. 13 der Datenschutzkonferenz (DSK) kann der Vertrag schriftlich oder elektronisch geschlossen werden. Ein AVV, den Sie online per Klick akzeptieren, genügt also der Form. Bei Anbietern außerhalb der EU brauchen Sie nach der FAQ der Landesbeauftragten Niedersachsen keinen zusätzlichen AVV, wenn die unveränderten Standarddatenschutzklauseln der EU-Kommission von 2021 verwendet werden.

Unterauftragsverarbeiter sind weitere Firmen, an die der Anbieter Ihre Daten gibt, etwa Hosting- oder KI-Modell-Anbieter. Bei der üblichen allgemeinen Genehmigung muss der Anbieter neue Unterauftragsverarbeiter ankündigen, damit Sie widersprechen können. Nach den Leitlinien 07/2020 des EDSA kann Schweigen innerhalb der Frist als Zustimmung gelten. Laut Stellungnahme 22/2024 sollten Sie alle Unterauftragsverarbeiter kennen, auch die der zweiten Ebene.

Dürfen Tickets in die USA fließen, und hilft EU-Hosting?

An US-Unternehmen, die nach dem EU-US Data Privacy Framework (DPF) zertifiziert sind, dürfen Daten ohne weitere Garantien fließen, so die EU-Kommission. Das EU-Gericht hat den Angemessenheitsbeschluss am 3. September 2025 bestätigt (Latombe, T-553/23). Die Berufung zum Gerichtshof (C-703/25 P) ist nach Stand September 2026 anhängig; ein Termin ist nicht bekannt. Prüfen Sie deshalb die Zertifizierung des Anbieters und halten Sie die Standardvertragsklauseln (SCC) von 2021 im AVV als Rückfallebene vor.

Ein EU-Rechenzentrum entscheidet nur, wo die Tickets liegen. Nach den Leitlinien 05/2021 des EDSA ist schon der Fernzugriff aus einem Drittland ein Transfer, selbst wenn Support-Personal Daten nur auf dem Bildschirm ansieht. Dieselben Leitlinien nennen den Fall eines EU-Auftragsverarbeiters, der Drittlandrecht unterliegt, etwa die EU-Tochter eines US-Konzerns. Der US CLOUD Act erlaubt US-Behörden nach Einschätzung von EDSA und EDSB, Daten von Anbietern unter US-Hoheit herauszuverlangen, unabhängig vom Speicherort. EU-Hosting senkt dieses Risiko also, beseitigt es aber nicht.

Wie lange dürfen Tickets gespeichert werden, und was gehört in eine Auskunft?

Nach Art. 5 Abs. 1 lit. e DSGVO dürfen Tickets, Chats, Aufzeichnungen und Anhänge nur so lange personenbezogen gespeichert werden, wie es der Zweck erfordert. „Alles für immer“ ist keine zulässige Voreinstellung. Sie brauchen Löschfristen pro Tickettyp und die Möglichkeit, alle Tickets einer Person zu löschen.

Eine Auskunft nach Art. 15 DSGVO umfasst nach den Leitlinien 01/2022 des EDSA auch den Kommunikationsverlauf mit ein- und ausgehenden Nachrichten. Anfragen, die an die allgemeine Support-Adresse gehen, zählen trotzdem und müssen fristgerecht weitergeleitet werden. Sie brauchen also einen Export pro Person.

Muss der Betriebsrat zustimmen?

In aller Regel ja. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei technischen Einrichtungen mit, die „dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Das Bundesarbeitsgericht legt das weit aus. Im Beschluss 1 ABR 20/21 genügt es, dass ein System objektiv geeignet ist, solche Daten zu erheben; auf die Absicht des Arbeitgebers kommt es nicht an. Der Beschluss 1 ABR 16/23 vom 16. Juli 2024 bestätigt diesen Maßstab für ein Headset-System.

Ein Helpdesk protokolliert, wer welches Ticket bearbeitet hat, Antwortzeiten, Zufriedenheit pro Agent, QA-Bewertungen und die Nutzung von KI-Assistenten. Planen Sie deshalb eine Betriebsvereinbarung vor dem Start ein. Bei KI-Funktionen muss der Betriebsrat nach § 90 BetrVG rechtzeitig unterrichtet werden. Nach § 80 Abs. 3 BetrVG darf er dafür einen Sachverständigen hinzuziehen, auf Kosten des Arbeitgebers. Das kostet Zeit.

Braucht das Chat-Widget eine Einwilligung?

Oft ja. § 25 TDDDG verlangt eine Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Ausnahme: Die Speicherung ist unbedingt erforderlich für einen Dienst, den der Nutzer ausdrücklich gewünscht hat. Die Orientierungshilfe Digitale Dienste der DSK stellt klar, dass ein Chat nicht automatisch mit dem ersten Seitenaufruf gewünscht ist. Das Widget sollte also erst Cookies oder Kennungen setzen, wenn der Besucher den Chat öffnet, oder die Einwilligung über das Consent-Banner einholen.

Dürfen Support-Gespräche aufgezeichnet werden?

Nur mit Einwilligung. Wer unbefugt das nichtöffentlich gesprochene Wort eines anderen aufnimmt, macht sich nach § 201 StGB strafbar. Nach dem Beschluss der DSK vom 23. März 2018 muss der Anrufer vor Beginn aktiv zustimmen, etwa per „Ja“ oder Tastendruck. Nur eine Widerspruchsmöglichkeit anzubieten und dann weiterzusprechen, ist keine wirksame Einwilligung. Auch die Agents sind betroffen.

Was verlangt der AI Act von KI-Funktionen im Helpdesk?

Seit dem 2. August 2026 gilt Art. 50 AI Act: Menschen müssen erfahren, dass sie mit einer KI sprechen. Die Pflicht trifft den Anbieter, doch Sie sollten prüfen, dass der Hinweis standardmäßig aktiv ist und sich nicht abschalten lässt. Der KI-Omnibus, in Kraft seit 27. Juli 2026, hat diese Pflicht nicht verschoben. Verschoben wurden die Hochrisiko-Regeln, für Systeme zur Bewertung von Beschäftigten auf den 2. Dezember 2027.

Der Omnibus hat auch Art. 4 AI Act entschärft. Statt ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen, müssen Sie nun Maßnahmen ergreifen, die die KI-Kompetenz Ihres Personals fördern.

Können Sie den Anbieter später problemlos wechseln?

Der Data Act gilt seit dem 12. September 2025 auch für SaaS wie Helpdesks, so die FAQ der EU-Kommission. Die Kündigungsfrist für einen Wechsel beträgt höchstens zwei Monate, danach muss der Anbieter den Umzug binnen höchstens 30 Kalendertagen unterstützen. Wechselentgelte dürfen derzeit nur die tatsächlichen Kosten abdecken. Ab dem 12. Januar 2027 sind sie ganz verboten, auch für den Datenexport.

Wann gelten NIS2 und BSI C5?

Das deutsche NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, meldet das BSI. Betroffene Unternehmen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette steuern. Ein Helpdesk-Anbieter ist ein direkter Dienstleister in dieser Kette, deshalb kommen Sicherheitsfragebögen.

C5 ist der Kriterienkatalog des BSI für Cloud-Sicherheit; ein Wirtschaftsprüfer testiert die Einhaltung. Pflicht ist ein C5-Testat nach § 393 SGB V für die Cloud-Verarbeitung von Gesundheits- und Sozialdaten durch Leistungserbringer und Krankenkassen, seit dem 1. Juli 2025 als Typ-2-Testat.

Was Sie vor dem Kauf eines Helpdesks prüfen sollten

  1. Der AVV. Abgeschlossen, bevor echte Tickets importiert werden, auch in der Testphase.
  2. Die vollständige Liste der Unterauftragsverarbeiter. Mit Änderungsbenachrichtigung und klarer Widerspruchsfrist.
  3. Transfermechanismus. DPF-Zertifizierung des Anbieters und SCC im AVV als Rückfallebene.
  4. Hosting und Support-Zugriff. Wo die Daten liegen und von wo aus Personal darauf zugreifen kann. Siehe unsere Liste der Helpdesks mit EU-Datenhaltung.
  5. Löschfristen und Export pro Person. Tickets, Anhänge und Aufzeichnungen einer Person müssen exportierbar und löschbar sein.
  6. Auswertungen pro Agent. Welche Berichte es gibt, wer sie sieht und ob sie sich abschalten lassen. Das ist die Grundlage für die Betriebsvereinbarung.
  7. Chat-Widget. Keine nicht erforderlichen Cookies, bevor der Chat geöffnet oder eingewilligt wurde.
  8. Telefonie. Einwilligungsabfrage per Tastendruck vor der Aufzeichnung und Aufzeichnung pro Gespräch steuerbar.
  9. KI-Hinweis. Ab der ersten Nachricht aktiv und nicht abschaltbar.
  10. Nachweise. C5-Testat Typ 2 im Gesundheitswesen, Antworten auf NIS2-Fragebögen.
  11. Ausstieg. Exportformat, Fristen und Wechselentgelte. Mehr dazu in unserer Checkliste zur Helpdesk-Migration; Reaktionszeiten erklären die SLA-Grundlagen.

Häufige Fragen

Reicht ein AVV, den ich online per Klick akzeptiere?

Ja, der Form nach. Die Datenschutzkonferenz lässt einen elektronisch geschlossenen Vertrag ausdrücklich zu. Entscheidend sind der Inhalt und der Abschluss vor dem Import echter Daten.

Ist ein Helpdesk mit EU-Hosting frei von Drittlandtransfers?

Nicht unbedingt. Der EDSA wertet schon den Fernzugriff von Support-Personal aus einem Drittland als Transfer. Fragen Sie, wo dieses Personal sitzt und ob Zugriffe von außerhalb der EU eingeschränkt oder protokolliert werden.

Braucht ein Helpdesk die Zustimmung des Betriebsrats?

In aller Regel ja, wenn es Daten zu Verhalten oder Leistung einzelner Agents erfasst. Nach der Rechtsprechung des Bundesarbeitsgerichts reicht die objektive Eignung zur Überwachung; ob Sie die Berichte nutzen wollen, spielt keine Rolle.

Muss ein KI-Chatbot im Kundenservice sich als KI zu erkennen geben?

Ja. Art. 50 AI Act gilt seit dem 2. August 2026 und wurde durch den KI-Omnibus nicht verschoben. Kunden müssen erfahren, dass sie mit einer KI sprechen.

Weiterlesen

Diese Seite wurde mit KI-Unterstützung anhand der hier aufgeführten Quellen recherchiert und entworfen. Praxistests dieser Produkte haben wir nicht durchgeführt. Methode: So bewerten wir