DSGVO-konformer Helpdesk: Was du bei US-Tools beachten musst

Warum Datenschutz im Helpdesk so kritisch ist

Dein Helpdesk verarbeitet einige der sensibelsten Kundendaten in deinem gesamten Tech-Stack: Namen, E-Mail-Adressen, Bestellhistorien, Zahlungsinformationen, manchmal sogar Ausweisnummern oder Gesundheitsdaten bei Reklamationen. All diese Daten fallen unter die DSGVO — und die stellt klare Anforderungen daran, wo und wie sie verarbeitet werden.

Trotzdem setzen viele deutsche Shopify-Händler auf US-basierte Helpdesks wie Zendesk, Gorgias oder Freshdesk. Nicht aus Nachlässigkeit, sondern weil es bisher wenige brauchbare Alternativen gab. Die rechtlichen Risiken werden oft unterschätzt — bis der Datenschutzbeauftragte oder eine Abmahnung kommt.

Das Schrems-II-Problem: Warum US-Tools riskant sind

Was Schrems II bedeutet

Im Juli 2020 erklärte der Europäische Gerichtshof (EuGH) das Privacy-Shield-Abkommen zwischen der EU und den USA für ungültig. Das Urteil, bekannt als "Schrems II", stellte fest, dass US-Behörden weitreichenden Zugriff auf Daten haben, die auf US-Servern gespeichert werden — unabhängig davon, was das Unternehmen verspricht.

Seitdem gilt:

• Personenbezogene Daten dürfen nicht ohne Weiteres in die USA übertragen werden
• Standardvertragsklauseln (SCCs) allein reichen nicht aus — es müssen zusätzliche Schutzmaßnahmen greifen
• Das EU-US Data Privacy Framework (seit 2023) bietet eine Rechtsgrundlage, aber Experten bezweifeln seine langfristige Haltbarkeit
• Ein "Schrems III"-Urteil, das auch dieses Framework kippt, ist jederzeit möglich

Was das für deinen Helpdesk bedeutet

Wenn du einen US-basierten Helpdesk nutzt, werden bei jeder Kundenanfrage personenbezogene Daten in die USA übertragen:

• Name und E-Mail-Adresse des Kunden
• Bestelldaten (Adresse, Artikel, Bestellwert)
• Kommunikationsinhalte (oft mit sehr persönlichen Details)
• IP-Adressen und Browser-Daten
• Tracking-Informationen und Lieferadressen

All diese Daten landen auf Servern, die dem US CLOUD Act und anderen Überwachungsgesetzen unterliegen. US-Behörden können Zugriff auf diese Daten verlangen — ohne dass du oder dein Kunde davon erfahren.

Was die DSGVO von deinem Helpdesk verlangt

Die DSGVO stellt konkrete Anforderungen an die Verarbeitung personenbezogener Daten. Hier sind die wichtigsten Punkte, die dein Helpdesk erfüllen muss:

1. Auftragsverarbeitungsvertrag (AVV)

Ein AVV nach Art. 28 DSGVO ist Pflicht, wenn ein externer Dienstleister Kundendaten in deinem Auftrag verarbeitet — und genau das tut dein Helpdesk. Der AVV muss unter anderem regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Datenverarbeitung
• Kategorien der betroffenen Daten und Personen
• Technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten
• Weisungsgebundenheit des Auftragsverarbeiters
• Regelungen für Subunternehmer und deren Genehmigung

Viele US-Tools bieten zwar einen "Data Processing Agreement" an, aber diese erfüllen oft nicht die Anforderungen des deutschen Rechts. Achte darauf, dass der AVV ausdrücklich auf die DSGVO Bezug nimmt und deutschem oder EU-Recht unterliegt.

2. Datenstandort und Serverstandort

Die DSGVO verlangt, dass personenbezogene Daten angemessen geschützt werden. Am sichersten ist die Verarbeitung innerhalb der EU oder des EWR. Die Fragen, die du stellen solltest:

• Wo stehen die Server? EU, USA oder anderswo?
• Werden Daten repliziert? Auch Backups in den USA sind ein Datentransfer
• Welche Subprozessoren werden genutzt? Nutzt dein Helpdesk AWS US, Google US oder andere US-Dienste?
• Wird Content über US-Server ausgeliefert? Auch ein CDN kann zum Problem werden

3. Löschrechte (Art. 17 DSGVO)

Kunden haben das Recht auf Löschung ihrer personenbezogenen Daten. Dein Helpdesk muss es dir ermöglichen:

• Einzelne Kundendaten vollständig zu löschen (nicht nur zu archivieren)
• Kommunikationshistorien unwiderruflich zu entfernen
• Löschungen zu dokumentieren (für den Nachweis gegenüber der Aufsichtsbehörde)
• Automatische Löschfristen zu konfigurieren (z.B. Tickets nach 12 Monaten löschen)

Viele US-Tools machen die vollständige Datenlöschung überraschend schwierig. Daten werden "soft deleted" oder in Backups behalten, die nicht einzeln bereinigt werden können.

4. Auskunftsrechte (Art. 15 DSGVO)

Wenn ein Kunde wissen will, welche Daten du über ihn gespeichert hast, musst du innerhalb eines Monats vollständig Auskunft geben können. Dein Helpdesk muss alle Daten eines Kunden exportierbar machen, Kategorien klar kennzeichnen und Empfänger sowie Subprozessoren auflisten können.

5. Datensicherheit (Art. 32 DSGVO)

Dein Helpdesk muss dem Stand der Technik entsprechende Sicherheitsmaßnahmen implementieren:

• Verschlüsselung der Daten in Transit (TLS) und at Rest (AES-256)
• Zugriffskontrollen (Rollen, 2FA)
• Audit-Logs aller Datenzugriffe
• Regelmäßige Sicherheitsupdates und Penetrationstests
• Incident-Response-Prozesse bei Datenpannen

DSGVO-Checkliste für deinen Helpdesk

Nutze diese Checkliste, um deinen aktuellen Helpdesk zu bewerten — oder um einen neuen Anbieter auszuwählen:

Vertragliche Grundlagen

• AVV vorhanden und nach DSGVO / deutschem Recht gestaltet
• Subprozessoren-Liste einsehbar und aktuell
• Benachrichtigung bei Änderungen der Subprozessoren
• Weisungsgebundenheit klar geregelt

Datenstandort

• Server in der EU/EWR (primäre Datenverarbeitung)
• Backups in der EU (keine Replikation in Drittländer)
• CDN und Edge-Server innerhalb der EU
• Keine US-Subprozessoren mit Datenzugriff (oder angemessene Schutzmaßnahmen)

Betroffenenrechte

• Vollständige Datenlöschung technisch möglich (kein Soft Delete)
• Datenexport pro Kunde in maschinenlesbarem Format
• Automatische Löschfristen konfigurierbar
• Dokumentation aller Löschvorgänge

Technische Sicherheit

• Verschlüsselung in Transit und at Rest
• 2-Faktor-Authentifizierung für alle Benutzer
• Rollen-basierte Zugriffskontrolle
• Audit-Logs für Datenzugriffe
• Regelmäßige Penetrationstests oder SOC-2-Zertifizierung

Wie schneiden beliebte Helpdesks ab?

US-basierte Tools

Zendesk, Gorgias, Freshdesk und Intercom verarbeiten Daten primär in den USA. Zwar bieten einige eine "EU-Datenresidenz" als Option an, aber:

• Oft ist nur die primäre Datenbank in der EU — Backups, Logs und Analytics laufen weiterhin über US-Server
• Subprozessoren wie AWS US oder Google US haben weiterhin Zugriff
• Der CLOUD Act gilt für US-Unternehmen weltweit — unabhängig vom Serverstandort
• AVVs sind häufig US-zentriert und entsprechen nicht vollständig deutschem Recht

Direkter Vergleich

| Tool | Hosting | AVV | Löschung | EU-Option | CLOUD Act Risiko | |---|---|---|---|---|---| | Zendesk | USA | Ja | Ja | Auf Anfrage | Ja | | Gorgias | USA | Ja | Teilweise | Nein | Ja | | Freshdesk | USA/EU | Ja | Ja | Verfügbar | Ja | | Tidio | EU (Polen) | Ja | Teilweise | Standard | Gering | | Destaff | EU (Frankfurt) | Ja | Ja | Standard | Keins |

Warum EU-native die sicherste Wahl ist

Tools wie Destaff, die von Grund auf in und für die EU gebaut wurden, bieten:

• Vollständiges EU-Hosting — Server, Backups, CDN, alles in der EU
• AVV nach deutschem Recht — von deutschen Datenschutzexperten geprüft
• Keine US-Subprozessoren mit Zugriff auf Kundendaten
• Vollständige Löschfunktionen — echtes Löschen, kein Soft Delete
• Deutschsprachiger Datenschutz-Support — bei Fragen erreichst du jemanden, der das deutsche Recht kennt

Was passiert, wenn du nichts tust?

Die Risiken eines DSGVO-Verstoßes im Helpdesk sind real:

• Bußgelder: Bis zu 20 Millionen EUR oder 4 % des Jahresumsatzes — je nachdem, was höher ist
• Abmahnungen: Wettbewerber oder Datenschutzvereine können Verstöße abmahnen
• Vertrauensverlust: Kunden, die erfahren, dass ihre Support-Daten in die USA fließen, reagieren zunehmend sensibel
• Aufwand bei Datenpannen: Meldepflicht innerhalb von 72 Stunden — schwierig, wenn der Anbieter in einer anderen Zeitzone sitzt

Die deutschen Datenschutzaufsichtsbehörden gehen zunehmend proaktiv gegen die Nutzung von US-Tools vor. Mehrere Landesdatenschutzbehörden haben bereits Unternehmen aufgefordert, die Nutzung bestimmter US-Dienste einzustellen oder zu rechtfertigen.

Der pragmatische Weg zur DSGVO-Konformität

Du musst nicht von heute auf morgen alles umstellen. Hier ist ein realistischer Fahrplan:

1. Bestandsaufnahme: Welche Tools in deinem Support-Stack verarbeiten Kundendaten? Wo stehen die Server?
2. Risikoanalyse: Welches Tool verarbeitet die meisten und sensibelsten Daten? In den meisten Fällen ist es der Helpdesk
3. Alternativen evaluieren: Teste EU-native Helpdesks und vergleiche Funktionalität, Preis und Compliance
4. Migration planen: Ein Helpdesk-Wechsel ist in wenigen Stunden machbar — die DSGVO-Vorteile sind sofort wirksam
5. Dokumentieren: Halte deine Datenschutzmaßnahmen im Verarbeitungsverzeichnis fest

Fazit: Datenschutz ist kein Nice-to-Have

DSGVO-Compliance im Helpdesk ist keine optionale Zusatzfunktion — es ist eine gesetzliche Pflicht, die immer strikter durchgesetzt wird. Für DACH-Shops gibt es keinen guten Grund mehr, Kundendaten in die USA zu schicken, wenn EU-native Alternativen die gleichen oder bessere Funktionen bieten.

Die Entscheidung für einen DSGVO-konformen Helpdesk ist nicht nur eine rechtliche Absicherung — sie ist ein Wettbewerbsvorteil. Kunden vertrauen Shops, die transparent mit ihren Daten umgehen. Und dieses Vertrauen zahlt sich langfristig aus.

Teste Destaff 14 Tage kostenlos — EU-gehostet, AVV inklusive, vollständig DSGVO-konform. Kein Datentransfer in die USA, keine rechtliche Grauzone. Einfach sicherer Kundenservice. Keine Kreditkarte erforderlich.