Compliance für Nicht-Juristen

Diese Seite gibt einen verständlichen Überblick über die Regeln, die für automatisierte Telefonanrufe gelten. Sie ist keine Rechtsberatung — wenden Sie sich dafür an eine Anwältin oder einen Anwalt mit Schwerpunkt Telekommunikations- oder Marketingrecht. Sie sollte aber ausreichen, um zu wissen, wonach Sie fragen müssen und was die Plattform für Sie übernimmt.

Kurzfassung. Das meiste ist bereits in der Plattform integriert. Drei Dinge müssen Sie selbst erledigen: (1) Einwilligung einholen, bevor Sie Personen anrufen, die nicht kontaktiert werden wollten, (2) Widersprüche beachten, (3) auf direkte Nachfrage nicht so tun, als sei die KI ein Mensch.

Die wichtigsten Regeln nach Region

USA — TCPA

Der Telephone Consumer Protection Act regelt automatisierte Anrufe und Nachrichten.

Faustregeln:

• Informationsanrufe (Terminerinnerungen, Lieferbestätigungen, Kontobenachrichtigungen) — in der Regel ohne schriftliche Einwilligung zulässig, wenn eine bestehende Geschäftsbeziehung vorliegt.
• Werbeanrufe (Aktionen, Kaltakquise) — erfordern eine vorherige ausdrückliche schriftliche Einwilligung, um eine Mobilnummer mit einem automatisierten System anzurufen. „Schriftlich" umfasst auch ausgefüllte Formulare, sofern das Formular ausdrücklich auf die Einwilligung in automatisierte Anrufe hinweist.
• Anrufzeiten — keine Anrufe vor 8 Uhr oder nach 21 Uhr Ortszeit der angerufenen Person.
• National Do Not Call Registry — nur für Werbung relevant. Gleichen Sie Ihre Liste vor jeder Kampagne mit dem Register ab.
• Widerspruch beachten — wer „rufen Sie mich nicht mehr an" sagt, muss innerhalb von 30 Tagen auf Ihre Sperrliste gesetzt werden. Die automatische Opt-out-Aufgabe der Plattform übernimmt das, wenn Sie sie aktivieren.

Was die Plattform übernimmt: STIR/SHAKEN-Attestierung, Durchsetzung der Anrufzeiten (sofern Sie Anrufzeiten festlegen), Abgleich mit der Sperrliste.

Was Sie übernehmen: Einwilligung einholen, bevor Sie Personen zu Outbound-Kampagnen hinzufügen, Widersprüche beachten (nutzen Sie das Feld opt_out nach dem Anruf), Abgleich mit dem DNC-Register.

USA — beidseitige Einwilligung auf Bundesstaatsebene

In Kalifornien, Florida, Illinois, Massachusetts, Maryland, Montana, New Hampshire, Pennsylvania, Washington und einigen weiteren Bundesstaaten müssen alle Gesprächsteilnehmer der Aufzeichnung zustimmen.

Was Sie tun müssen: Fügen Sie zu Beginn jedes Finn, der in diesen Bundesstaaten aktiv ist oder dorthin anruft, einen Hinweis auf die Aufzeichnung ein.

Einfacher Hinweis:

„Dieser Anruf kann zu Qualitätszwecken aufgezeichnet werden."

Fügen Sie ihn der Begrüßungsnachricht hinzu ODER aktivieren Sie die integrierte Hinweiseinblendung der Plattform unter Einstellungen → Compliance → Aufzeichnungshinweis.

USA — STIR/SHAKEN

Attestierung der Rufnummernanzeige auf Carrier-Ebene. Ohne sie werden Ihre Anrufe als „SPAM LIKELY" angezeigt und die Annahmequoten brechen ein.

Was Sie tun müssen: Registrieren Sie jede ausgehende Nummer unter Einstellungen → Telefonnummern → [Nummer] → Rufnummernregistrierung.

Was die Plattform übernimmt: Die Signierung der Attestierung selbst, sobald Ihre Nummer registriert ist.

USA — Gesundheitswesen (HIPAA)

Wenn Sie geschützte Gesundheitsdaten (PHI) verarbeiten, benötigen Sie ein Business Associate Agreement mit Finn.

• Nur im Enterprise-Tarif verfügbar.
• Das BAA muss unterzeichnet sein, bevor PHI über die Plattform übertragen werden.
• Terminerinnerungen, die nur Datum, Uhrzeit und behandelnde Person nennen, sind in der Regel durch die TPO-Ausnahme (Treatment, Payment, Operations) abgedeckt — keine gesonderte Autorisierung nötig.
• Sobald Sie jedoch Diagnosen, Testergebnisse oder Behandlungsdetails besprechen, ist eine vollständig HIPAA-konforme Handhabung erforderlich.

Praxistipp: Halten Sie das Skript des Finn bei Erinnerungen allgemein („Ihr Termin bei Dr. Patel morgen um 15 Uhr") und leiten Sie medizinische Fragen an einen Menschen weiter. So bleiben Sie im TPO-Rahmen, ohne ein BAA zu benötigen.

Europäische Union — GDPR

Datenschutzrecht, das für alle EU-Ansässigen gilt, unabhängig von Ihrem Standort.

Faustregeln:

• Rechtsgrundlage — Sie brauchen einen Grund, um Daten zu verarbeiten. Bei Terminerinnerungen an Bestandskunden ist das „berechtigtes Interesse" oder „Vertragserfüllung". Für Kaltakquise brauchen Sie eine ausdrückliche Einwilligung.
• Recht auf Löschung — jede Person kann die Löschung ihrer Daten verlangen, und Sie müssen dem innerhalb von 30 Tagen nachkommen.
• Datenminimierung — erheben Sie nur, was Sie benötigen.
• Datenstandort — Daten von EU-Kunden sollten grundsätzlich in der EU bleiben. Stellen Sie die Region Ihres Kontos bei der Registrierung auf EU ein, wenn Sie EU-Kunden haben.

Was die Plattform übernimmt: Option zur EU-Datenhaltung, Recht auf Löschung über Dashboard und API, Verschlüsselung im Ruhezustand und bei der Übertragung.

Was Sie übernehmen: Rechtsgrundlage schaffen, bevor Sie Kontakte hinzufügen, und auf Lösch- und Auskunftsanfragen reagieren.

EU – ePrivacy-Richtlinie

Spezifische Regeln zu unerwünschten Marketinganrufen in EU-Mitgliedstaaten. Generell strenger als die DSGVO allein.

Grundregel: Führen Sie keine Kaltakquise-Marketinganrufe bei EU-Verbrauchern ohne vorheriges Opt-in durch. Soft-Opt-in (bestehende Kundenbeziehung mit Widerspruchsrecht) ist bei ähnlichen Produkten meist zulässig.

Indien – TRAI

Telecom Regulatory Authority of India. Strenge Regeln für kommerzielle Anrufe.

• DLT-Registrierung ist für kommerzielle Anrufe in Indien erforderlich. Die Plattform hilft Ihnen, Ihr Unternehmen und Ihre Anwendungsfälle unter Einstellungen → Compliance → India DLT zu registrieren.
• DND-Liste – das indische Pendant zur Do-Not-Call-Liste. Gleichen Sie Ihre Daten damit ab.
• Anrufzeitbeschränkungen – 9 bis 21 Uhr.

Kanada – CRTC / CASL

Ähnlich wie der US-amerikanische TCPA, aber mit strengeren Einwilligungsanforderungen.

• CASL verlangt eine Opt-in-Einwilligung für kommerzielle elektronische Nachrichten, einschließlich bestimmter Kategorien von Sprachanrufen.
• National DNC Registry gilt. Abgleichen.
• Anrufzeiten – 9 bis 21:30 Uhr werktags, 10 bis 18 Uhr am Wochenende.

Australien – Spam Act / TCPA-Äquivalent

Australien hat ein eigenes Do-Not-Call-Register und eigene Einwilligungsregeln. Folgt generell dem EU-Muster „Opt-in für Marketing".

Andere Länder

Die meisten Länder haben lokale Regeln. Die Plattform versucht, sinnvolle Standards durchzusetzen (Anrufzeitfenster, Do-not-call-Listen), aber Sie sind für die Compliance in jeder Rechtsordnung verantwortlich, in die Sie anrufen. Bei internationalen Anrufen sprechen Sie mit einem Anwalt, der mit dem Zielland vertraut ist.

Die drei Dinge, die Sie unabhängig von der Region tun müssen

1. Einwilligung vor ausgehenden Marketinganrufen einholen

Wenn jemand nicht um Kontakt gebeten hat, müssen Sie nachweisen können, wie Sie die Erlaubnis zum Anruf erhalten haben.

Zulässige Formen:

• Formular mit ausdrücklichem Kontrollkästchen „Sie dürfen mich telefonisch kontaktieren" ausgefüllt.
• Bestehender Kunde mit vorheriger Geschäftsbeziehung.
• Eingehende Anfrage, bei der die Nummer selbst angegeben wurde.

Nicht zulässig:

• Von einer Website gescrapt.
• Von einem Listenhändler ohne überprüfbare Einwilligungsnachweise gekauft.
• Aus einem LinkedIn-Profil abgeleitet.

Im Zweifel: nicht anrufen. Allein die Bußgelder für TCPA-Verstöße beginnen bei 500 $ pro Anruf und können 1.500 $ pro Anruf erreichen.

2. Opt-outs sofort berücksichtigen

Wer sagt „Rufen Sie mich nicht mehr an", muss auf Ihre globale Sperrliste gesetzt und nie wieder angerufen werden.

Die Plattform hilft dabei:

• Fügen Sie ein Nachbearbeitungsfeld opt_out hinzu (ja/nein). Erkennt der Finn eine Opt-out-Anfrage, wird dieses Feld auf „ja" gesetzt.
• Aktivieren Sie Einstellungen → Compliance → Auto-Suppress on Opt-Out. Wenn opt_out = yes, wird die Nummer automatisch zu Ihrer globalen Sperrliste hinzugefügt.
• Die Sperrung ist global – sie gilt sofort für jede Zielgruppe und jedes Deployment.

3. Nicht über den KI-Einsatz täuschen

In den meisten Rechtsordnungen ist der Einsatz eines KI-Sprachagenten noch nicht verboten. Verboten ist aber, jemanden aktiv zu täuschen, der direkt fragt, ob er mit einem Menschen spricht.

Erlauben Sie Ihrem Finn immer die Offenlegung: Fügen Sie eine Leitplanke ein wie „Wenn der Anrufer fragt, ob Sie eine echte Person sind, sagen Sie ehrlich, dass Sie ein KI-Assistent sind."

Die meisten Anrufer fragen nicht. Die, die fragen, schätzen die Ehrlichkeit.

Aufzeichnung & Datenaufbewahrung

Anrufe aufzeichnen

• Aufzeichnung ist standardmäßig aktiviert.
• Sie können sie pro Finn (unter Anrufeinstellungen) oder global (Einstellungen → Compliance) deaktivieren.
• In Ländern/Bundesstaaten mit beidseitiger Einwilligungspflicht MÜSSEN Sie die Aufzeichnung zu Beginn des Anrufs offenlegen.

Wie lange Aufzeichnungen gespeichert werden

• Standard: 90 Tage.
• Für regulierte Branchen bis zu 7 Jahre konfigurierbar.
• Nach Ablauf der Aufbewahrungsfrist werden Aufzeichnungen endgültig gelöscht (keine Wiederherstellung).

Was eine Aufzeichnung enthält

• Audio des gesamten Anrufs.
• Transkript (Textfassung).
• Metadaten (Zeitstempel, Anrufer-ID usw.).
• Alle Analysefelder nach dem Anruf.

Schwärzung personenbezogener Daten

Opt-in-Funktion unter Einstellungen → Compliance → PII-Schwärzung. Schwärzt Sozialversicherungsnummern, vollständige Kreditkartennummern und Ähnliches in Transkripten. Die Audioaufzeichnung bleibt unverändert — für die Schwärzung im Audio müssen Sie Aufzeichnungen sensibler Anrufe manuell löschen oder kürzen.

Branchenspezifische Hinweise

Gesundheitswesen

• HIPAA + Landesgesetze + (bei Telemedizin) Regeln der staatlichen Ärztekammern.
• Terminerinnerungen sind unter TPO in der Regel unbedenklich.
• Alles Klinische erfordert vollständige HIPAA-Konformität — BAA + sorgfältiges Design.
• Manche Bundesstaaten verlangen zusätzliche Hinweise für KI im Gesundheitskontext.

Finanzdienstleistungen

• Mehrere sich überschneidende Regelwerke: TCPA, FDCPA (Inkasso), UDAP-Gesetze der Bundesstaaten, GLBA.
• Für Inkasso gelten zusätzliche Beschränkungen bei Zeit, Häufigkeit und Inhalt.
• Drohen Sie nie mit rechtlichen Schritten, die Sie nicht einleiten wollen.
• Deuten Sie nie Konsequenzen an, die es nicht gibt („wir beeinflussen Ihre Bonität“ o. Ä.).

Versicherungen

• Regeln der Versicherungsaufsicht der Bundesstaaten zusätzlich zu TCPA/CASL.
• Manche Bundesstaaten verlangen für jede Verkaufstätigkeit lizenzierte Vermittler, selbst bei Angebotsanfragen.
• Offenlegungspflichten variieren je nach Versicherungssparte.

Immobilien

• Lokale MLS-Regeln können einschränken, wer wie angerufen werden darf.
• In den meisten Rechtsordnungen unterliegen Immobilienanrufe den TCPA-Marketingregeln.

Rechtsdienstleistungen

• Die meisten Bundesstaaten beschränken die telefonische Akquise von Rechtsdienstleistungen.
• Regeln der Anwaltskammern variieren stark.

Was, wenn ich verklagt werde?

Hoffentlich passiert das nicht. Aber falls eine TCPA- oder ähnliche Beschwerde eingeht:

1. Keine Panik. Die meisten Fälle werden verglichen, nicht vor Gericht ausgetragen.
2. Rufen Sie die Anrufaufzeichnungen ab. Die Plattform speichert alles — Anrufaudio, Transkript, Zeitpunkt und die von Ihnen hochgeladenen Einwilligungsnachweise.
3. Sprechen Sie sofort mit einem Anwalt. Antworten Sie nicht direkt der beschwerdeführenden Person.
4. Wenden Sie sich an den Finn-Support. Wir kennen solche Fälle und helfen Ihnen, die richtigen Aufzeichnungen zusammenzustellen.

Beste Verteidigung: ein sauberer Einwilligungsnachweis, unverzügliche Beachtung von Opt-outs und ein Finn, der auf Nachfrage nicht vorgibt, ein Mensch zu sein.

Kurze Compliance-Checkliste vor dem Start einer Kampagne

• Für jeden Kontakt in der Liste liegt eine klare Rechtsgrundlage vor (Einwilligung / Vertrag / berechtigtes Interesse).
• Die Liste ist gegen das nationale Do-Not-Call-Register abgeglichen (sofern zutreffend).
• Der Finn weist auf die Aufzeichnung hin, wenn in eine Jurisdiktion mit beidseitiger Einwilligungspflicht angerufen wird.
• Der Finn hat einen Guardrail, der die KI-Natur auf direkte Nachfrage offenlegt.
• Das Feld opt_out nach dem Anruf ist aktiviert.
• Auto-Suppression ist unter Einstellungen → Compliance aktiviert.
• Anrufzeitfenster sind auf die Ortszeit der Empfänger eingestellt.
• Ich habe die Rufnummernanzeige für US-Nummern registriert (STIR/SHAKEN).
• Ich habe mich für India DLT registriert, falls nach Indien angerufen wird.
• Ich habe ein BAA unterzeichnet, falls US-Gesundheitsdaten (PHI) verarbeitet werden.

Wenn Sie jeden Punkt abhaken können, erfüllen Sie die plattformseitigen Anforderungen. Die geschäftsseitigen Anforderungen (Rechtsgrundlage, anwaltlich geprüfte Skripte für regulierte Branchen) bleiben Ihre Verantwortung.

Weiter

• FAQ → — häufige Fragen zu Einwilligung, Aufzeichnung und Offenlegung.
• Telefonnummern → — Anleitung zur STIR/SHAKEN-Registrierung.
• Audience → — Verwaltung der globalen Sperrliste.