Braucht ausgelagerte Telefonakquise einen AV-Vertrag? Auftragsverarbeitung nach DSGVO

Braucht die ausgelagerte Telefonakquise einen AV-Vertrag nach DSGVO?

Die ausgelagerte Telefonakquise braucht einen AV-Vertrag, wenn die Agentur personenbezogene Daten in Ihrem Auftrag verarbeitet: Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) verlangt dann einen Vertrag oder ein anderes Rechtsinstrument, das die Agentur bindet (Amtsblatt der Europäischen Union, Stand 04/2016). Ob dieser Fall vorliegt, hängt davon ab, wer über Zwecke und Mittel der Verarbeitung entscheidet. Stand 09.10.2026, keine Rechtsberatung.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen, etwa ein Name oder eine Kennnummer (Amtsblatt der Europäischen Union, Stand 04/2016). Ein Ansprechpartner im Einkauf, dessen Name und Durchwahl in Ihrer Liste stehen, ist so eine Person. Die DSGVO gilt deshalb auch für die Kaltakquise im B2B, obwohl Sie ihn in seiner beruflichen Rolle anrufen. Ob der Anruf selbst zulässig ist, regelt das Gesetz gegen den unlauteren Wettbewerb (UWG): Gegenüber einem sonstigen Marktteilnehmer genügt für Telefonwerbung die zumindest mutmaßliche Einwilligung (gesetze-im-internet.de, Stand 10/2026). Das ist eine eigene Prüfung, die Seite zum Recht der Kaltakquise führt sie aus.

Diese Seite behandelt nur die Frage, die davor liegt: Welche Rolle hat die Vertriebsagentur beim Umgang mit den Kontaktdaten, und was folgt daraus für den Vertrag? Sie beschreibt keine Vertragsbedingungen eines Anbieters. Wie ein bestimmter Anbieter die Rollen vertraglich löst, klären Sie vor Vertragsschluss mit ihm, auch mit KRAUSS im Gespräch mit Jesse Klotz.

Die DSGVO definiert den Auftragsverarbeiter als eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Amtsblatt der Europäischen Union, Stand 04/2016). Der Verantwortliche ist die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet (Amtsblatt der Europäischen Union, Stand 04/2016).

Zwei Pflichten tragen die Beziehung. Der Verantwortliche arbeitet nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Amtsblatt der Europäischen Union, Stand 04/2016). Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung (Amtsblatt der Europäischen Union, Stand 04/2016). Die Aufsichtsbehörden halten außerdem fest, dass der Verantwortliche sich von seiner Gesamtverantwortung nicht durch die Beauftragung eines Auftragsverarbeiters befreien kann (Datenschutzkonferenz, Stand 12/2018).

Wann ist die Agentur Auftragsverarbeiter, wann Verantwortlicher?

Die Agentur ist Auftragsverarbeiter, wenn sie Ihre Kontakte nach Ihren Weisungen anruft und über Zwecke und Mittel nicht selbst entscheidet. Sie ist selbst verantwortlich, wenn sie Kontakte nach eigener Methode auswählt oder die Daten für eigene Zwecke nutzt. Die Einordnung folgt dem tatsächlichen Ablauf, nicht dem Titel des Vertrags.

Die Datenschutzkonferenz nennt in ihrem Kurzpapier die Verarbeitung von Kundendaten durch ein Callcenter ohne wesentliche eigene Entscheidungsspielräume als Beispiel für eine regelmäßige Auftragsverarbeitung (Datenschutzkonferenz, Stand 12/2018). Das Papier sagt zugleich, dass gewisse Entscheidungsspielräume des Beauftragten bei technisch-organisatorischen Fragen die Auftragsverarbeitung nicht ausschließen (Datenschutzkonferenz, Stand 12/2018). Es steht unter dem Vorbehalt einer abweichenden Auslegung des Europäischen Datenschutzausschusses (Datenschutzkonferenz, Stand 12/2018). Prüfen Sie deshalb den Einzelfall.

Quelle des Kurzpapiers: Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Kurzpapier Nr. 13, Datenlizenz Deutschland, Namensnennung, Version 2.0.

Die Einordnung in der Tabelle ersetzt keine Prüfung Ihres Falls. Sie zeigt, welche Frage den Ausschlag gibt: Wer wählt die Kontakte aus, und wer bestimmt, wofür sie genutzt werden?

Wer bestimmt Zwecke und Mittel?

Zwecke und Mittel bestimmt, wer festlegt, wozu die Daten dienen und wie sie verarbeitet werden. Bei Telefonakquise ist der Zweck der Anruf bei bestimmten Entscheidern, und die Mittel sind Liste, Skript und Wahl des Zeitpunkts.

Die Datenschutzkonferenz betont, dass es maßgeblich auf die Entscheidung über die Verarbeitungszwecke ankommt, während technisch-organisatorische Fragen auf den Auftragsverarbeiter übertragen werden können (Datenschutzkonferenz, Stand 12/2018). Die Agentur darf also Anrufzeiten wählen und Systeme betreiben, ohne dass sie damit zum Verantwortlichen wird. Entscheidet sie dagegen, wen sie anruft und wofür sie die Daten nutzt, liegt der Schwerpunkt der Entscheidung bei ihr.

Was gilt, wenn die Agentur eine eigene Datenbank nutzt?

Nutzt die Agentur eine eigene Datenbank, entscheidet sie über Auswahl und Nutzung der Kontakte, und der Vertrag zur Auftragsverarbeitung passt für diesen Teil nicht. Dann gehört die Rollenfrage in die Vertragsverhandlung: Wer erhebt die Daten, auf welcher Rechtsgrundlage, und wer informiert die Betroffenen?

Das Thema betrifft Anbieter mit Entscheiderdatenbank. KRAUSS führt eine eigene Datenbank mit 480.000+ Entscheiderkontakten. Fragen Sie jeden Anbieter, ob er mit Ihrer Liste, mit der eigenen Datenbank oder mit beidem anruft, und lassen Sie die Antwort in den Vertrag schreiben. Wie die Entscheiderdatenbank zu Ihrer Zielgruppe passt, ist eine eigene Frage. Für die rechtliche Einordnung Ihres Falls ist Ihre Rechtsberatung zuständig.

Was bedeutet gemeinsame Verantwortung nach Art. 26 DSGVO?

Gemeinsame Verantwortung liegt vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel der Verarbeitung festlegen (Amtsblatt der Europäischen Union, Stand 04/2016). Sie legen dann in einer Vereinbarung in transparenter Form fest, wer welche Pflicht erfüllt, auch bei den Informationspflichten (Amtsblatt der Europäischen Union, Stand 04/2016).

Die Datenschutzkonferenz nennt gemeinsame Verantwortlichkeit ausdrücklich als Fall, in dem keine Auftragsverarbeitung vorliegt (Datenschutzkonferenz, Stand 12/2018). Für eine Agentur kann das passieren, wenn beide Seiten den Datenpool gemeinsam aufbauen und die Zielgruppe gemeinsam festlegen. Der erste Fall der Tabelle trifft zu, wenn der Auftraggeber Zielgruppe und Zweck festlegt und die Agentur ausführt.

Was muss ein AV-Vertrag nach Art. 28 DSGVO enthalten?

Ein AV-Vertrag muss den Gegenstand und die Dauer der Verarbeitung, Art und Zweck, die Art der Daten, die Kategorien Betroffener sowie Pflichten und Rechte des Verantwortlichen festlegen und acht Verpflichtungen des Auftragsverarbeiters vorsehen (Amtsblatt der Europäischen Union, Stand 04/2016). Er ist schriftlich abzufassen, auch in einem elektronischen Format (Amtsblatt der Europäischen Union, Stand 04/2016).

Welche Form verlangt Art. 28 DSGVO?

Die Form regelt Absatz 9: Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann (Amtsblatt der Europäischen Union, Stand 04/2016). Absatz 6 erlaubt Standardvertragsklauseln als ganzen oder teilweisen Vertragsinhalt (Amtsblatt der Europäischen Union, Stand 04/2016). Die Aufsichtsbehörden raten zusätzlich, die mindestens erforderlichen technischen und organisatorischen Maßnahmen darzustellen, weil der Verantwortliche für die Rechtmäßigkeit der Verarbeitung insgesamt verantwortlich bleibt (Datenschutzkonferenz, Stand 12/2018).

Wann dürfen Unterauftragnehmer eingesetzt werden?

Unterauftragnehmer setzt die Agentur nur mit Ihrer vorherigen Genehmigung ein, entweder gesondert oder allgemein und schriftlich (Amtsblatt der Europäischen Union, Stand 04/2016). Bei allgemeiner Genehmigung informiert sie Sie über jede beabsichtigte Änderung, und Sie können Einspruch erheben (Amtsblatt der Europäischen Union, Stand 04/2016).

Dem weiteren Auftragsverarbeiter legt die Agentur dieselben Datenschutzpflichten auf, und kommt er ihnen nicht nach, haftet der erste Auftragsverarbeiter Ihnen gegenüber (Amtsblatt der Europäischen Union, Stand 04/2016). Bei Telefonakquise kommen Unterauftragnehmer leicht ins Spiel: Telefonanlage, Gesprächsaufzeichnung, Kundenverwaltung (CRM) und Terminkalender können bei weiteren Anbietern liegen. Verlangen Sie eine Liste, bevor die Agentur beginnt.

In einem Projekt für einen Anbieter von Betriebssoftware prüfte der Vertrieb vor dem Start vier Dienstleister auf ihre Rolle. Bei 3 Dienstleistern ergab die Prüfung Auftragsverarbeitung, beim vierten, einem Datenanbieter mit eigener Datenbank, eigene Verantwortung. Die Prüfung dauerte je Dienstleister rund 3 Stunden, und bei zwei Agenturen fehlte die Liste der Unterauftragnehmer, die danach nachgereicht wurde.

Was droht ohne AV-Vertrag, und wer haftet?

Ohne AV-Vertrag droht der Rahmen des Art. 83 Abs. 4 DSGVO: Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Amtsblatt der Europäischen Union, Stand 04/2016). Er gilt für Verstöße gegen die Pflichten der Verantwortlichen und Auftragsverarbeiter aus den Artikeln 25 bis 39 (Amtsblatt der Europäischen Union, Stand 04/2016). Die tatsächliche Höhe richtet sich nach dem Einzelfall.

Die Aufsichtsbehörden weisen darauf hin, dass die Sanktionen nicht nur den Verantwortlichen, sondern auch den Auftragsverarbeiter treffen können, zum Beispiel bei Verstößen gegen Art. 28 Abs. 2 bis 4 DSGVO (Datenschutzkonferenz, Stand 12/2018). Verarbeitet ein Auftragsverarbeiter die Daten verordnungswidrig für eigene Zwecke, gilt er insoweit selbst als Verantwortlicher (Datenschutzkonferenz, Stand 12/2018). Das steht auch im Gesetz: Wer unter Verstoß gegen die Verordnung die Zwecke und Mittel bestimmt, gilt als Verantwortlicher (Amtsblatt der Europäischen Union, Stand 04/2016).

Für Werbeanrufe haftet der Auftraggeber zusätzlich nach dem UWG, wenn ein Beauftragter die Zuwiderhandlung begeht. Das ist ein getrenntes Thema. Wie weit das für Ihre Agentur reicht, steht auf der Seite zum Recht der Kaltakquise im B2B.

Wie prüfen Sie die Auftragsverarbeitung, bevor die Agentur anruft?

Sie prüfen die Auftragsverarbeitung in neun Schritten vor dem ersten Anruf: von der Rolle der Agentur über den Datenfluss bis zum Vertrag und zur jährlichen Wiederholung. Die Schritte brauchen keine Software, sie brauchen eine Seite Notizen und einen Termin mit Ihrem Datenschutzbeauftragten.

1. Rollen klären. Notieren Sie im Briefing, wer Kontakte auswählt, wer das Skript schreibt und wer über Zweck und Dauer entscheidet.
2. Datenfluss aufzeichnen. Zeichnen Sie auf, welche Daten Ihr Haus der Agentur gibt, welche die Agentur erhebt und welche zurückfließen.
3. Einordnen. Ordnen Sie die Agentur ein: Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam Verantwortlicher.
4. Vertrag schließen. Schließen Sie den Vertrag nach Art. 28 DSGVO oder die Vereinbarung nach Art. 26 DSGVO schriftlich, bevor Sie Daten übergeben.
5. Garantien prüfen. Lassen Sie sich die technischen und organisatorischen Maßnahmen zeigen, und fragen Sie nach Zertifikaten oder genehmigten Verhaltensregeln, die als Faktor dienen können (Amtsblatt der Europäischen Union, Stand 04/2016).
6. Unterauftragnehmer erfassen. Lassen Sie eine Liste vorlegen und legen Sie fest, wie Änderungen angezeigt werden.
7. Verzeichnis und Information anpassen. Tragen Sie die Agentur als Empfänger ein, denn Auftragsverarbeiter sind Empfänger, was Informations- und Verzeichnispflichten auslöst (Datenschutzkonferenz, Stand 12/2018).
8. Rückgabe festlegen. Legen Sie fest, wann und wie die Agentur Daten und Gesprächsnotizen löscht oder zurückgibt.
9. Jährlich prüfen. Wiederholen Sie die Prüfung einmal im Jahr und bei jeder Änderung von Zielgruppe oder Dienstleister.

Die Schritte gelten für jede Agentur, auch für die Gespräche mit KRAUSS. Rechnen Sie den Aufwand einmal durch, bevor Sie ihn scheuen.

Wie viel Arbeit macht die Prüfung?

Die Prüfung bindet bei den Annahmen dieses Beispiels wenige Arbeitstage im Jahr der Einführung und danach nur noch Stunden. Die Rechnung zeigt es für vier Dienstleister.

Die Werte sind Annahmen und keine Marktwerte. Setzen Sie die Zahl Ihrer Dienstleister und Ihre Stundenkosten ein. Der Aufwand sinkt, wenn Sie einen Vertragstext einmal aufbauen und für jede weitere Agentur anpassen.

Was gehört in den Prüfvermerk?

In den Prüfvermerk gehören Rolle, Vertragsstand und Datum der Prüfung je Dienstleister. Er belegt Ihrer Rechtsberatung und der Aufsicht, dass Sie vor der Datenübergabe geprüft haben.

Dienstleister: [Name], Aufgabe: [zum Beispiel Telefonakquise], Rolle: [Auftragsverarbeiter, Verantwortlicher oder gemeinsam Verantwortliche]
Vertrag: [Art und Stand], Unterauftragnehmer: [Liste oder keine], Maßnahmen geprüft am: [Datum]
Rückgabe oder Löschung: [Frist], nächste Prüfung: [Datum], geprüft von: [Name]

Welche Fehler vermeiden Sie bei der Auftragsverarbeitung?

Fünf Fehler tauchen bei der Auslagerung von Telefonakquise immer wieder auf, und alle lassen sich mit einem Eintrag vor dem Start vermeiden.

Wann reicht ein AV-Vertrag allein nicht?

Ein AV-Vertrag allein reicht nicht, wenn die Agentur eigene Datenbestände nutzt, wenn Sie die Zulässigkeit des Anrufs noch nicht geprüft haben oder wenn besondere Geheimhaltungspflichten gelten.

Prüfen Sie ehrlich, welcher der drei Punkte zu Ihnen passt. Trifft einer zu, ergänzen Sie den AV-Vertrag um die fehlende Prüfung: die Rollenfrage bei eigenen Datenbeständen, die Zulässigkeit des Anrufs nach dem UWG oder die zusätzlichen Pflichten für Berufsgeheimnisse. Die Aufsichtsbehörden weisen darauf hin, dass die Auftragsverarbeitung keine Erlaubnis ist, Daten zu offenbaren, die gesetzlichen Geheimhaltungspflichten oder Berufsgeheimnissen unterliegen (Datenschutzkonferenz, Stand 12/2018).

Welche Checkliste hilft vor Vertragsschluss?

Diese Checkliste hilft, jede Agentur vor der ersten Datenübergabe an den Pflichten dieser Seite zu messen. Sie umfasst zehn Punkte in zwei Blöcken.

• Rolle: Ich weiß, wer Zwecke und Mittel der Verarbeitung bestimmt, und habe die Agentur eingeordnet.
• Rolle: Ich habe geklärt, ob die Agentur mit meiner Liste, mit eigenen Daten oder mit beidem anruft.
• Rolle: Nutzt die Agentur eigene Daten, ist die Rechtsgrundlage und die Information der Betroffenen geklärt.
• Vertrag: Der Vertrag nach Art. 28 DSGVO liegt schriftlich vor, bevor ich die erste Liste übergebe.
• Vertrag: Er nennt Gegenstand, Dauer, Art und Zweck, Datenarten und Kategorien Betroffener.
• Vertrag: Die acht Pflichten aus Art. 28 Abs. 3 stehen darin.
• Vertrag: Unterauftragnehmer sind genannt oder genehmigungspflichtig.
• Nachweis: Die Agentur hat ihre technischen und organisatorischen Maßnahmen beschrieben.
• Nachweis: Die Agentur ist im Verzeichnis der Verarbeitungstätigkeiten als Empfänger eingetragen.
• Ende: Rückgabe oder Löschung der Daten ist mit Frist und Nachweis geregelt.

Wer die Punkte abhakt, hat die Agentur an den gelesenen Quellen geprüft. Der Vertragstext selbst gehört in die Hand einer Rechtsberatung. Die Checkliste zum Vertrag mit einer Terminierungsagentur führt die weiteren Punkte auf: Leistung, Vergütung, Kündigung und Haftung. Wie Sie eine Agentur auswählen, zeigt die Checkliste mit Fragen an eine Vertriebsagentur, und die Seite zur Telefonakquise über eine Agentur erklärt den Ablauf. Das Testprojekt von KRAUSS prüft an echten Terminen, was Ihre Zielgruppe hergibt, und den Umfang legen Sie im Gespräch mit Jesse Klotz fest.

Die Methode beschreibt, wie KRAUSS arbeitet, etwa die doppelte Terminbestätigung (KRAUSS GmbH, Stand 10/2026). Im Angebotskonfigurator stellen Sie Ihr Angebot zusammen, und die Seite zur Telefonakquise beschreibt das Angebot im Ganzen. Die Zulässigkeit eines Anrufs bei einem Entscheider, der Ihr Unternehmen nicht kennt, hängt von der mutmaßlichen Einwilligung ab. Ein Gespräch mit Jesse Klotz dauert 15 Minuten. Stand 09.10.2026, keine Rechtsberatung.