Jede Telefonanlage verarbeitet personenbezogene Daten, von der Rufnummer bis zur Sprachnachricht.
Kurz gesagt
Unternehmen brauchen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Cloud- und Wartungsanbietern, eine geprüfte Grundlage für Datenübermittlungen in Drittländer und ein Löschkonzept für Verbindungsdaten, Voicemails und Aufzeichnungen. KI-Funktionen brauchen eine gesonderte Prüfung.
Wann brauchen Sie einen Vertrag?
Verantwortlich ist Ihr Unternehmen, nicht der Hersteller und nicht der Cloud-Anbieter. Sobald ein Dienstleister Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag nach Art. 28 DSGVO. Das betrifft den Cloud-Anbieter, Wartungsdienste mit Fernzugriff und Anbieter von Zusatzdiensten wie KI-Assistenten. Berufsgeheimnisträger müssen nach § 203 StGB zusätzlich dafür sorgen, dass der Dienstleister zur Verschwiegenheit verpflichtet wird.
Drittland, Löschung und Voicemail
- US-Anbieter: Eine Übermittlung ist möglich, wenn der Anbieter im EU-US Data Privacy Framework gelistet ist. Das Framework ist angegriffen, ein Rechtsmittel ist anhängig (Stand Oktober 2026). Halten Sie deshalb Standardvertragsklauseln als Rückfallebene bereit.
- Löschfristen: Die DSGVO nennt keine festen Fristen, verlangt aber Speicherbegrenzung. Legen Sie pro Datenart einen Zweck und eine Frist fest und löschen Sie automatisch.
- Voicemail: Sprachnachrichten per E-Mail können abgefangen werden, das BSI weist darauf hin. Nutzen Sie deshalb verschlüsselte Übertragung und nur dienstliche Postfächer.
Was Sie jetzt prüfen sollten
- Bestand: Welche Daten verarbeitet die Anlage, inklusive Apps, Voicemail und KI?
- Betriebsrat: Verbindungsdaten zu Auswertungen sind mitbestimmungspflichtig, wenn ein Betriebsrat besteht (§ 87 Abs. 1 Nr. 6 BetrVG).
- Aufzeichnung und KI: Telefonate dürfen in aller Regel nur mit Einwilligung auch des externen Gesprächspartners aufgezeichnet werden. KI-Funktionen brauchen eine eigene Prüfung, am besten vor dem Einschalten.
Dieser Ratgeber ist keine Rechtsberatung. Lassen Sie den Einzelfall von Ihrem Datenschutzbeauftragten prüfen.
Quellen
- DSK: Kurzpapier Nr. 13 – Auftragsverarbeitung, Art. 28 DS-GVO
- DSK: Kurzpapier Nr. 11 – Recht auf Löschung
- DSK: Kurzpapier Nr. 14 – Beschäftigtendatenschutz
- DSK: Anwendungshinweise zum EU-US Data Privacy Framework (4. September 2023)
- DSK-Beschluss vom 23.03.2018: Aufzeichnung von Telefongesprächen (veröffentlicht von der LfD Niedersachsen)
Häufige Fragen
Brauche ich für meine Cloud-Telefonanlage einen Auftragsverarbeitungsvertrag?
In aller Regel ja, denn der Anbieter verarbeitet Verbindungsdaten und Sprachnachrichten in Ihrem Auftrag. Prüfen Sie besonders die Liste der Unterauftragnehmer und deren Standorte.
Darf ein US-Anbieter meine Telefonie-Daten verarbeiten?
Grundsätzlich ja, wenn die Voraussetzungen erfüllt sind. Ist der Anbieter im EU-US Data Privacy Framework zertifiziert, lässt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission stützen.
Darf der Arbeitgeber auswerten, wen Mitarbeitende anrufen?
Eine Auswertung von Verbindungsdaten ist nur in engen Grenzen zulässig, etwa zur Abrechnung oder Missbrauchserkennung. Regeln Sie das vorab schriftlich, und beziehen Sie Betriebsrat und Datenschutzbeauftragten ein.