Telefongespräche aufzeichnen: die Regeln in Deutschland, Österreich und der Schweiz

Ein Kundenservice schaltet in seiner Cloud-Telefonanlage die Gesprächsaufzeichnung frei. Der Vertrieb möchte jedes Telefonat sichern, das Qualitätsteam will Anrufe nachhören, und die IT-Verantwortlichen suchen bereits einen Speicherort für die Dateien. Die Einstellung selbst ist in wenigen Minuten erledigt. Das rechtliche Risiko beginnt im selben Moment.

Wer im Unternehmen Telefongespräche aufzeichnen will, bewegt sich in zwei Rechtsgebieten zugleich: im Strafrecht, weil das gesprochene Wort geschützt ist, und im Datenschutz, weil jede Aufnahme personenbezogene Daten enthält. Dieser Leitfaden richtet sich an Unternehmen mit Kundenservice, Vertrieb oder Call Center in Deutschland, Österreich und der Schweiz. Eine Cloud-Telefonanlage kann einen Teil der Schutzmaßnahmen automatisch durchsetzen. Die juristische Prüfung und die Entscheidung, welche Gespräche tatsächlich aufgenommen werden, bleiben beim Unternehmen.

Telefongespräche aufzeichnen: was das Gesetz darunter versteht

Telefongespräche aufzeichnen heißt, den Ton eines Telefonats ganz oder teilweise als Datei zu speichern, sodass er sich später wieder abspielen lässt. Das reine Mithören, etwa durch eine Teamleiterin in der Warteschlange, ist ein eigener Vorgang, den das Recht ebenfalls regelt. Für die Aufnahme gelten in Deutschland zwei Regelwerke nebeneinander.

§ 201 StGB schützt die Vertraulichkeit des nichtöffentlich gesprochenen Wortes. Wer es unbefugt auf einen Tonträger aufnimmt, riskiert eine Freiheitsstrafe bis zu drei Jahren oder eine Geldstrafe. Ein Geschäftstelefonat mit Kunden gilt dabei als nichtöffentlich. Die Befugnis entsteht im Alltag fast immer durch die Einwilligung aller Beteiligten, also des Anrufers und der Person am Apparat.

Die Datenschutz-Grundverordnung (DSGVO) verlangt zusätzlich eine Rechtsgrundlage nach Art. 6. Infrage kommen die Einwilligung, die Erfüllung eines Vertrags, eine gesetzliche Pflicht oder ein berechtigtes Interesse, das die Interessen der Gesprächspartner überwiegt. Eine gesetzliche Pflicht besteht etwa bei Wertpapierdienstleistungen. Dort schreibt § 83 WpHG die Aufzeichnung von Telefonaten zu Kundenaufträgen vor und verlangt eine Aufbewahrung von fünf Jahren. Für Finanzanlagenvermittler gilt eine vergleichbare Regel aus der FinVermV.

Österreich und die Schweiz regeln die Aufnahme anders

In Österreich richtet sich § 120 StGB gegen den Missbrauch von Tonaufnahme- und Abhörgeräten. Strafbar ist vor allem, eine nichtöffentliche Äußerung ohne Einverständnis des Sprechenden Dritten zugänglich zu machen oder zu veröffentlichen. Die Aufnahme bleibt trotzdem eine Datenverarbeitung nach DSGVO und österreichischem Datenschutzgesetz. Zeichnet das Unternehmen Gespräche seiner Beschäftigten auf, braucht es nach § 96 ArbVG die Zustimmung des Betriebsrats, sobald die Kontrolle die Menschenwürde berührt.

In der Schweiz bestraft Art. 179ter StGB, wer ein nichtöffentliches Gespräch, an dem er selbst teilnimmt, ohne Einwilligung der anderen aufnimmt. Art. 179quinquies nimmt Telefonate im Geschäftsverkehr aus, die Bestellungen, Aufträge, Reservationen oder ähnliche Geschäftsvorfälle betreffen. Die Schweiz gehört nicht zur Europäischen Union. Deshalb gilt dort das revidierte Datenschutzgesetz mit seiner Informationspflicht gegenüber den betroffenen Personen.

Die Grenzen der Daueraufzeichnung im Betrieb

Eine Aufnahme aller Anrufe verspricht eine lückenlose Spur, erleichtert Kontrollen und wirkt im Streitfall nützlich. Die DSGVO bindet jede Verarbeitung aber an einen festgelegten Zweck und an die Datenminimierung nach Art. 5. Wer alle Warteschlangen, alle Nebenstellen und alle internen Gespräche aufzeichnet, erfasst Telefonate, die weder der Schulung noch einem Vertragsnachweis noch einem Streitfall dienen. Die Technik speichert dann mehr, als der Zweck rechtfertigt.

Für Beschäftigte in Deutschland kommt ein zweiter Punkt hinzu. Eine automatische Aufzeichnung ist eine technische Einrichtung, die Verhalten und Leistung überwachen kann. Gibt es einen Betriebsrat, bestimmt er mit, und die Regeln landen in der Regel in einer Betriebsvereinbarung.

Der Zweck kommt vor der Konfiguration

Die erste Entscheidung betrifft den Grund für jede Aufnahme. Dateiformat und Speicherplatz folgen danach. Eine belastbare Richtlinie trennt die Zwecke:

• Schulung und Einarbeitung mit ausgewählten, passenden Gesprächen.

• Qualitätssicherung auf Basis repräsentativer Stichproben und eines dokumentierten Ziels.

• Vertragsnachweis, wenn ein Vertrag am Telefon zustande kommt und alle Beteiligten eingewilligt haben.

• Klärung eines Streitfalls mit wenigen Berechtigten und kontrollierter Speicherdauer.

• Gesetzliche Aufzeichnungspflicht, etwa im Wertpapiergeschäft.

So verwechselt niemand technische Machbarkeit mit rechtlicher Notwendigkeit. Die IT übersetzt jede Regel direkt in eine bestimmte Warteschlange, eine Benutzergruppe oder eine Anrufrichtung.

Architekturregel: Die Aufzeichnung ist ab Werk ausgeschaltet und wird erst für einen dokumentierten Zweck, einen festgelegten Kreis von Anrufen und eine feste Speicherdauer eingeschaltet.

Verhältnismäßigkeit ist der nützlichste Filter im Betrieb. Ein Unternehmen kann einzelne Schulungsgespräche aufnehmen und private oder interne Telefonate draußen lassen. Es kann einen telefonischen Vertragsabschluss absichern, ohne die gesamte Akquise davor mitzuschneiden.

Speicherdauer statt Dauerarchiv

Jede gespeicherte Datei vergrößert die Menge zugänglicher Daten und den Aufwand bei Auskunftsanfragen nach Art. 15 DSGVO. Bei einem Audit muss das Unternehmen außerdem begründen, warum jede Datei noch existiert und wer sie abrufen darf. Die DSGVO nennt keine feste Frist. Art. 5 erlaubt die Speicherung nur so lange, wie der Zweck es erfordert, und gesetzliche Pflichten wie die fünf Jahre nach WpHG gehen vor.

Eine Audiodatei und ein Bewertungsbogen haben unterschiedliche Aufgaben und unterschiedliche Lebenszyklen. Die Richtlinie trennt beide deshalb, mit eigenen Regeln für Speicherdauer, Zugriff und Löschung. Für die IT-Verantwortlichen beginnt das Projekt mit einer Zweckmatrix und endet mit technischen Sperren, die ein unbegründetes globales Einschalten verhindern.

Die Ansage zu Beginn des Gesprächs

Die Information kommt vor der Aufnahme, also gleich zum Gesprächsbeginn. Sie nennt den Zweck, das verantwortliche Unternehmen, die Empfänger und die Rechte auf Auskunft und Widerspruch, wie Art. 13 DSGVO es verlangt. Ob das bloße Weitersprechen nach der Ansage als Einwilligung genügt, ist umstritten. Deutlich sicherer ist ein Weg, das Gespräch ohne Aufnahme fortzusetzen, etwa per Tastendruck oder auf ausdrückliche Bitte.

In einer Cloud-Telefonanlage gehört diese Ansage fest zum Anrufablauf. Eine Sprachansage vor der Warteschlange oder ein Hinweis im Sprachdialogsystem am Anfang des Anrufs meldet die Aufnahme, bevor sie startet. Damit wird die Ansage zu einer Regel, die sich im System prüfen lässt.

Die Beschäftigten brauchen vorab eine eigene Information, getrennt von der Ansage für Anrufer. Wer ohne diese Information aufnimmt, riskiert in Deutschland die Strafbarkeit nach § 201 StGB und ein Bußgeld nach DSGVO. Wie einzelne Situationen zu bewerten sind, zeigt der Beitrag Telefongespräch aufnehmen: die Regeln für Unternehmen in Deutschland.

Regeln je nach Zweck

Ein Vertragsnachweis braucht nur den Teil des Gesprächs, in dem der Vertrag zustande kommt. Die Anlage muss die vorherige Beratung deshalb nicht speichern, solange es dafür keinen eigenen Zweck gibt. Eine prüfbare Konfiguration sieht Folgendes vor:

• Gezieltes Einschalten je Warteschlange, Nebenstelle oder Anrufrichtung.

• Eine Ansage zum Gesprächsbeginn, die der Anrufer versteht.

• Automatische Löschung nach der festgelegten Frist.

• Begrenzte Zugriffsrechte je nach Rolle.

• Ein Protokoll, das festhält, wer eine Datei angehört, exportiert oder gelöscht hat.

Die Aufzeichnung gehört ins Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Bei umfangreicher Aufnahme, etwa im Call Center oder bei sensiblen Inhalten, prüft das Unternehmen zusätzlich, ob eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist. Die Anlage kann diese Kontrollen automatisieren, sofern Zweck, Löschfrist und Berechtigungen vor dem Rollout feststehen.

Einsatz im Kundenservice, im Vertrieb und im Gesundheitswesen

Ein Kunde bestreitet eine Auskunft aus einem früheren Anruf. Ohne Aufnahme rekonstruiert die Teamleitung den Verlauf aus Notizen, CRM-Einträgen und Erinnerungen. Mit einer gezielten Richtlinie hört sie das betreffende Gespräch nach, prüft die gemachten Zusagen und wählt einen Ausschnitt für die Schulung aus. Die Aufnahme dient dann als Beleg und als Material für die Teamführung.

Im Kundenservice reichen oft eine Support-Warteschlange, einzelne Plätze in der Supervision oder ausgewählte Anrufe. Interne Gespräche, private Telefonate und Anrufe ohne Bezug zum Zweck bleiben draußen. Eine Cloud-Telefonanlage erleichtert diese Auswahl, weil Anrufregel, Ansage und Speicherdauer im selben Ablauf hängen.

Im Gesundheitswesen gilt die strengste Einstellung. Gesundheitsdaten zählen nach Art. 9 DSGVO zu den besonderen Kategorien, und Ärzte sowie ihre Mitarbeitenden unterliegen der Schweigepflicht nach § 203 StGB. Eine Terminplattform kann eine komplizierte Verwaltungsanfrage dokumentieren, ohne wahllos medizinische Inhalte mitzuschneiden. Das Team legt den betroffenen Anrufweg, die berechtigten Personen und das Verfahren für Auskunftsanfragen fest, bevor die Aufnahme startet.

Im Vertrieb kann die Aufnahme einen telefonisch geschlossenen Vertrag belegen, wenn der Kunde eingewilligt hat. Die Speicherung bleibt dann auf die Gespräche zum Abschluss begrenzt. Die übrige Akquise landet nicht im Archiv, nur weil einzelne Anrufe als Beweis taugen.

Dasselbe gilt für ein Systemhaus, das eine Anlage an mehreren Standorten einrichtet. Jeder Kunde verfolgt womöglich einen anderen Zweck, und eine einheitliche Richtlinie für alle Nutzer schafft unnötige Zugriffe.

Technische Sicherheit der Audiodateien

Eine Audiodatei ist vom ersten Moment an ein sensibles Datum. Der Schutz reicht vom Transport der Sprache über das Schreiben und Speichern der Datei bis zu Abruf, Export und Löschung. Wer eine Anlage einrichtet, prüft deshalb die ganze Kette und schaut über die Verwaltungsoberfläche hinaus. SIP über TLS schützt die Signalisierung, und WebRTC im Browser verschlüsselt Telefonate ab Werk, sofern beides sauber ins Sicherheitskonzept des Unternehmens eingebunden ist.

Zugriffe nach Rolle steuern

Die Anmeldung unterscheidet die Person, die ein Gespräch anhört, die Führungskraft, die ein Team betreut, und die Administration, die die Richtlinie konfiguriert. Ein Pauschalrecht für alle Führungskräfte macht den Speicher schnell zur Bibliothek, die jeder ohne Begründung durchsucht. Eine verlässliche Verwaltung umfasst diese Punkte:

1. Rollenbasierte Rechte, passend zur Aufgabe.

2. Protokollierung von Anhören, Herunterladen und Löschen.

3. Verschlüsselung im Ruhezustand, damit ein unbefugter Zugriff auf den Speicher wenig preisgibt.

4. Getrennte Umgebungen für Verwaltung, Betrieb und genehmigte Archivierung.

5. Ein Entzugsverfahren, das greift, sobald jemand die Stelle wechselt oder das Unternehmen verlässt.

Den Lebenszyklus automatisieren

Eine Löschfrist, die nur im Richtlinien-PDF steht, setzt sich im Alltag selten durch. Das System wendet sie deshalb selbst an. Sonst stapeln sich die Dateien, und die IT hängt an einem fehleranfälligen Handgriff. Jeder Anrufweg bekommt eine erlaubte Speicherdauer, nach deren Ablauf die Anlage die Dateien kontrolliert löscht. Bewertungsbögen folgen einer eigenen Frist. Muss eine Aufnahme wegen eines Streitfalls vorübergehend erhalten bleiben, dokumentiert das Unternehmen die Ausnahme mit einer verantwortlichen Person und einem Datum zur Überprüfung.

Auskunfts- und Löschanfragen folgen einem festen Ablauf. Das Team findet die betroffene Datei, prüft den Umfang der Anfrage, hält die Entscheidung fest und führt sie aus, ohne den Betrieb zu stören. An diesem Ablauf erkennt man eine verwaltbare Aufzeichnung.

Hosting in der Europäischen Union

Das Hosting fehlt oft in den ersten Workshops zur Telefonie. Die Beteiligten sprechen über Warteschlangen, Endgeräte und Routing. Später stellt sich heraus, dass Metadaten und Audiodateien auf einer Infrastruktur liegen, deren Standort, Unterauftragsverarbeiter und Zugriffsregeln niemand gründlich geprüft hat.

Eine eigene Anlage im Haus gibt dem Unternehmen direkte Kontrolle über die Server. Physische Sicherheit, Backups, Updates, Überwachung und Wiederherstellung trägt es dann ebenfalls selbst. Ein mittelständisches Unternehmen schafft das, wenn Fachwissen, Abläufe und Budget vorhanden sind.

Eine Cloud außerhalb der Europäischen Union bringt andere Fragen mit sich. Das Unternehmen muss Übermittlungen in Drittländer nach Kapitel V DSGVO, die Unterauftragsverarbeiter und mögliche Zugriffsrechte ausländischer Behörden bewerten. Für Kliniken, Kommunen und öffentliche Stellen entscheidet diese Prüfung oft über den Vertrag.

Eine Cloud in der Europäischen Union macht eine Verarbeitung nicht automatisch rechtmäßig. Sie erleichtert aber den Nachweis, dass Gespräche, Aufnahmen und Metadaten in der Union bleiben, mit prüfbaren vertraglichen und technischen Garantien. Beim Anbieter lohnen deshalb weitere Fragen. Wer verwaltet die Infrastruktur, wie werden Zugriffe protokolliert, wo liegen die Backups, welche Daten laufen über Drittdienste und wie bearbeitet der Anbieter Löschanfragen?

Voxbi ist eine Cloud-Telefonanlage mit Hosting in der Europäischen Union. Was das für Audiodateien und Metadaten bedeutet, beschreibt der Beitrag zur Datensouveränität in der Cloud. Das SaaS-Modell spart Hardware und Updates und verlagert die Arbeit auf die Prüfung des Anbieters. Verträge, Rechenzentren, Unterauftragsverarbeiter und der Weg zum Anbieterwechsel müssen für die IT und den Endkunden nachvollziehbar bleiben.

Eine Aufzeichnungsrichtlinie einführen

Die Einführung beginnt im Verzeichnis von Verarbeitungstätigkeiten. Die Fachabteilung beschreibt Zweck, betroffene Anrufwege, Personengruppen, Empfänger und Speicherdauer. Die IT prüft anschließend, ob die Anlage diese Vorgaben erzwingen kann, damit kein Administrator unter Zeitdruck die Aufnahme global einschaltet.

Schritte bis zum Produktivbetrieb

1. Den fachlichen Bedarf festlegen. Schulung, Qualitätssicherung, Streitfall und Vertragsnachweis bekommen jeweils einen eigenen, klar benannten Zweck.

2. Die Anrufe abgrenzen. Warteschlangen, Nebenstellen, Gruppen und Anrufrichtungen werden einzeln konfiguriert. Interne und private Gespräche bleiben ausgeschlossen, wenn sie mit dem Zweck nichts zu tun haben.

3. Die Information vorbereiten. Die Ansage zum Gesprächsbeginn nennt Zweck, Empfänger, Widerspruchs- und Auskunftsrecht und bietet einen Weg ohne Aufnahme an. Die Beschäftigten erhalten vorab eine eigene Information, und wo ein Betriebsrat besteht, regelt eine Betriebsvereinbarung die Details.

4. Die Speicherdauer einstellen. Die automatische Löschung entspricht der geltenden Frist. Aufnahmen und Bewertungsbögen laufen nach getrennten Kalendern.

5. Die Berechtigungen absichern. Rollen, Zugriffsprotokolle, Verschlüsselung und Exporte werden vor dem Start getestet.

6. Die Nutzer schulen. Eine Mitarbeiterin im Service weiß, wie sie eine Aufnahme unterbricht, wenn das Gespräch den Zweck verlässt. Eine Führungskraft weiß, dass jeder Download eine weitere Kopie erzeugt, die unter dieselben Regeln fällt.

Voxbi bietet eine Funktion zur Gesprächsaufzeichnung, die in dieses Vorgehen passt, wenn Auswahl, Zugriff und Speicherdauer vor dem Start feststehen. Der Partner stimmt die Architektur trotzdem mit dem Kunden ab, dokumentiert die Zuständigkeiten und prüft die Vorgaben der jeweiligen Branche.

Ein begrenzter Pilot testet Ansagen, Berechtigungen, Tonqualität, Exporte und Löschung, ohne das ganze Unternehmen einzubeziehen. Systemhäuser und Wiederverkäufer übergeben dem Kunden am Ende eine Konfigurationsakte mit Zwecken, betroffenen Plätzen, Verantwortlichen und den Abläufen für Betroffenenrechte.

Eine neue Warteschlange, ein neues Team, ein Anbieterwechsel oder ein geänderter Zweck kann eine bisher stimmige Konfiguration überholen. Prüfen Sie die Richtlinie deshalb regelmäßig und lassen Sie die rechtliche Bewertung für Ihre Branche von Ihrer Datenschutzberatung bestätigen. Für Fragen zur Aufzeichnung in der Voxbi-Telefonanlage schreiben Sie an hello@voxbi.com.