Hinweis: Dieser Artikel gibt einen praxisorientierten Überblick — er ersetzt keine Rechtsberatung. Bei konkreten datenschutzrechtlichen Fragen empfehlen wir die Konsultation eines Datenschutzbeauftragten oder Rechtsanwalts.
Cloud-Telefonie und DSGVO — ein Thema, das regelmäßig für Unsicherheit sorgt. Werden Gespräche in der Cloud gespeichert? Wer hat Zugriff? Darf man Anrufe aufzeichnen? Die gute Nachricht: Mit dem richtigen Anbieter und klaren Prozessen ist Cloud-Telefonie vollständig DSGVO-konform zu betreiben.
Anrufaufzeichnung: was ist erlaubt?
In Deutschland ist die Aufzeichnung von Telefongesprächen rechtlich eng geregelt. Grundsatz: Die Aufzeichnung eines Telefongesprächs ohne Wissen aller Beteiligten ist strafbar (§ 201 StGB — Verletzung der Vertraulichkeit des Wortes). Das gilt für externe wie für interne Gespräche.
Mit Einwilligung: so geht's richtig
Eine Aufzeichnung ist erlaubt, wenn alle Gesprächsteilnehmer eingewilligt haben. In der Praxis geschieht das über eine Ansage vor Gesprächsbeginn: "Dieses Gespräch wird zu Qualitätssicherungszwecken aufgezeichnet. Wenn Sie damit nicht einverstanden sind, teilen Sie uns das bitte mit." Wer nach der Ansage das Gespräch fortsetzt, willigt konkludent ein.
Für Mitarbeitergespräche gilt: hier ist zusätzlich das Mitbestimmungsrecht des Betriebsrats zu beachten (falls vorhanden). Aufzeichnungen zur Leistungskontrolle sind ohne Betriebsvereinbarung in der Regel unzulässig.
Zulässige Zwecke für Aufzeichnungen
- Qualitätssicherung im Kundendienst (mit Einwilligung)
- Nachweis bei rechtlich relevanten Absprachen — z.B. telefonische Vertragsabschlüsse (mit Einwilligung)
- Training und Einarbeitung neuer Mitarbeiter (mit Einwilligung aller Parteien)
- Complaint-Management: Dokumentation von Reklamationen
Aufbewahrungsfristen für Aufzeichnungen
Aufzeichnungen dürfen nur so lange gespeichert werden, wie der Zweck es erfordert. Als Faustregel gilt: maximal 30 Tage für Qualitätssicherungszwecke, es sei denn, ein konkreter Rechtsstreit oder eine Compliance-Anforderung macht eine längere Aufbewahrung notwendig. Danach sind Aufzeichnungen datenschutzkonform zu löschen.
Anrufmetadaten und Gesprächsprotokolle
Auch ohne Aufzeichnung entstehen bei jedem Anruf Metadaten: Rufnummer, Zeitstempel, Gesprächsdauer, Richtung (ein-/ausgehend). Diese Daten sind personenbezogen im Sinne der DSGVO, wenn sie einer natürlichen Person zugeordnet werden können.
Rechtsgrundlagen für die Verarbeitung von Anrufmetadaten:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Anrufe im Rahmen bestehender Kundenverhältnisse können protokolliert werden
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Interne Auswertungen, Kapazitätsplanung, Sicherheitsmonitoring
CRM-Integration: Wenn Anrufmetadaten automatisch im CRM-System gespeichert werden (Screen Pop, Gesprächsprotokoll), muss das in der Datenschutzerklärung des Unternehmens transparent gemacht werden. Kunden haben ein Auskunftsrecht über gespeicherte Gesprächsdaten.
Datenspeicherung beim Cloud-Anbieter: was zu prüfen ist
Bei Cloud-Telefonie werden Gesprächsdaten, Konfigurationsdaten und ggf. Aufzeichnungen beim Anbieter gespeichert. Aus DSGVO-Sicht sind folgende Punkte zu prüfen:
Auftragsverarbeitungsvertrag (AVV)
Jeder Cloud-Telefonanbieter, der im Auftrag personenbezogene Daten verarbeitet, muss einen AVV (Art. 28 DSGVO) anbieten. Ohne AVV darf der Dienst nicht genutzt werden. Seriöse Anbieter stellen den AVV standardmäßig zur Verfügung — fragen Sie nach, bevor Sie einen Vertrag unterschreiben.
Speicherort der Daten
Daten müssen innerhalb der EU gespeichert werden — oder es muss ein geeigneter Übermittlungsmechanismus vorliegen (z.B. Angemessenheitsbeschluss der EU-Kommission). Für den deutschen Markt empfehlen sich Anbieter mit Rechenzentren in Deutschland. NFON speichert alle Daten in deutschen Rechenzentren mit ISO 27001-Zertifizierung.
Zugriff auf Gesprächsdaten durch den Anbieter
Technisch hat der Cloud-Anbieter theoretisch Zugriff auf Gesprächsdaten. Der AVV regelt, zu welchen Zwecken dieser Zugriff zulässig ist (typisch: Betrieb und Wartung des Systems, niemals für eigene Geschäftszwecke). Bei verschlüsselten Übertragungen (TLS/SRTP) ist außerdem sichergestellt, dass Daten auf dem Transportweg nicht abgehört werden können.
DSGVO-konforme Cloud-Telefonie: Checkliste
- AVV mit dem Cloud-Anbieter abgeschlossen
- Datenspeicherung in der EU sichergestellt
- Datenschutzerklärung um Telefonie-Datenverarbeitung ergänzt
- Anrufaufzeichnung nur mit vorheriger Einwilligung aktiviert
- Aufbewahrungsfristen für Aufzeichnungen definiert und technisch umgesetzt
- Betriebsrat (falls vorhanden) informiert und eingebunden
- Verarbeitungsverzeichnis (Art. 30 DSGVO) um Telefonieverarbeitung ergänzt
Fazit
Cloud-Telefonie ist kein datenschutzrechtliches Problem — wenn der richtige Anbieter gewählt und die internen Prozesse entsprechend gestaltet werden. Die häufigsten Fehler: keine AVV-Prüfung vor Vertragsabschluss, Anrufaufzeichnung ohne Einwilligung und fehlende Aufnahme in das Datenschutzverzeichnis. Mit der richtigen Vorbereitung sind alle diese Punkte in wenigen Stunden erledigt.
Weiterführend: UCaaS vs. klassische Telefonanlage — Einordnung, wie Cloud-Architektur grundsätzlich funktioniert, sowie Cloud-Telefonie & UCaaS für die technische Gesamtübersicht.