Die Anrufaufzeichnung ist in den meisten Unternehmen mit Cloud-Telefonie aktiviert, oft über einen einfachen Schalter in der Verwaltungsoberfläche, und fast immer in der Stellung „alle Anrufe, immer“. Genau das ist in Deutschland die Konfiguration, die sich am schwersten verteidigen lässt, und zwar nicht nur datenschutzrechtlich, sondern strafrechtlich.
Das Thema verdient mehr als einen Vorsichtsreflex, denn die sauber eingerahmte Aufzeichnung hat echten Wert: Schulung der Teams, Klärung von Streitfällen, Verbesserung der Gesprächsleitfäden. Geregelt ist nicht das Werkzeug, sondern Umfang, Zweck, Einwilligung und Transparenz.
Dieser Leitfaden zeigt, was erlaubt ist, was nicht, und die Checkliste, um regelkonform zu sein.
Das Prinzip: Einwilligung und Verhältnismäßigkeit, kein Verbot
Geschäftliche Gespräche aufzuzeichnen ist zulässig. Unzulässig ist es, das ohne Zustimmung der Beteiligten, dauerhaft, auf allen Nebenstellen und ohne definierten Zweck zu tun.
Deutschland hat hier eine Besonderheit, die es von vielen Nachbarländern unterscheidet: § 201 StGB schützt die Vertraulichkeit des nicht öffentlich gesprochenen Wortes. Wer ein Gespräch ohne Einwilligung aller Teilnehmer aufnimmt, begeht eine Straftat, unabhängig von der DSGVO. Die Einwilligung des Anrufers ist also keine Formalität, sondern die Voraussetzung dafür, dass überhaupt aufgezeichnet werden darf.
Darüber liegt die Regel der DSGVO, die in einen Satz passt: Das Aufzeichnungssystem muss verhältnismäßig zum verfolgten Ziel sein. In der Praxis sind das drei kumulative Bedingungen:
- Ein schriftlicher, präziser Zweck. „Die Servicequalität verbessern“ und „einen Beweis für Streitfälle sichern“ sind zwei verschiedene Zwecke mit zwei verschiedenen Aufbewahrungsfristen. „Um etwas in der Hand zu haben“ ist kein Zweck.
- Ein begrenzter Umfang. Eine Stichprobe von Anrufen oder eine Aktivierung auf Anforderung in einem konkreten Vorgang, statt einer Daueraufzeichnung aller Nebenstellen.
- Eine begrenzte Frist. Und eine automatische Löschung bei Ablauf, kein unbegrenztes Archiv.
Die zwei Personengruppen, deren Einwilligung nötig ist
Das ist der am schlechtesten behandelte Punkt. Alle denken an den Anrufer; fast niemand behandelt den Mitarbeiter korrekt.
Der Anrufer
Die Information muss klar, ausdrücklich und zu Beginn des Gesprächs gegeben werden, bevor die Aufzeichnung startet, und der Anrufer muss die Möglichkeit haben, sie abzulehnen. Das ist die Informationspflicht aus Artikel 13 DSGVO, verbunden mit der Einwilligung, die § 201 StGB verlangt, und sie deckt vier Elemente ab:
| Element | Was zu sagen ist |
|---|---|
| Die Tatsache der Aufzeichnung | Unmissverständlich, nicht im Konjunktiv in einer Ansage versteckt |
| Der Zweck | Schulung der Teams, Serviceverbesserung, Vertragsbeweis |
| Die Aufbewahrungsdauer | Eine Zahl, nicht „solange erforderlich“ |
| Die Rechte | Auskunft, Löschung, Widerspruch, und wo sie auszuüben sind |
In der Praxis kann die Ansage nicht alles tragen, ohne unerträglich zu werden. Die von den Aufsichtsbehörden akzeptierte Lösung ist die gestufte Information: das Wesentliche ansagen (Aufzeichnung, Zweck, Frist, Existenz von Rechten) und für die vollständigen Details, einschließlich Frist und Ausübungsmodalitäten, auf eine eigene Seite der Website verweisen.
Ein Beispiel, das in zwölf Sekunden passt:
„Zur Schulung unserer Teams und zur Verbesserung unseres Services zeichnen wir dieses Gespräch mit Ihrem Einverständnis auf und bewahren es sechs Monate auf. Ihre Rechte finden Sie in unserer Datenschutzerklärung. Wenn Sie nicht einverstanden sind, sagen Sie es Ihrem Gesprächspartner: Die Aufzeichnung wird dann sofort beendet.“
Der Widerspruch muss tatsächlich möglich sein: Wenn der Anrufer ablehnt, muss der Agent die Aufzeichnung während des Gesprächs abschalten können. Ein System, das das technisch nicht erlaubt, macht die Ansage zur Unwahrheit, und die Aufnahme zur Straftat.
Der Mitarbeiter
Drei verschiedene Pflichten, die oft verwechselt werden:
Die Einwilligung als Gesprächsteilnehmer. Der Mitarbeiter ist Beteiligter des Gesprächs; ohne seine Zustimmung greift § 201 StGB genauso wie beim Anrufer. In der Praxis wird sie in einer klaren, dokumentierten Vereinbarung geregelt, nicht in einer Nebenklausel des Arbeitsvertrags.
Die individuelle Information vorab. § 26 BDSG und Artikel 13 DSGVO verlangen, dass der Arbeitgeber die Beschäftigten vorab, klar und verständlich über Aufzeichnung, Zweck und Umfang informiert. Im Klartext: Eine ohne Information der Teams eingeführte Aufzeichnung kann keine Abmahnung oder Kündigung begründen, und die Arbeitsgerichte verwerfen heimliche Aufzeichnungen in der Regel als Beweismittel.
Die Mitbestimmung des Betriebsrats. Nach § 87 Absatz 1 Nummer 6 BetrVG hat der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, ein zwingendes Mitbestimmungsrecht, und das Bundesarbeitsgericht legt „dazu bestimmt“ als „dazu geeignet“ aus. Eine Anrufaufzeichnung fällt darunter. Ohne Betriebsvereinbarung darf das System nicht in Betrieb gehen; wird es trotzdem eingeführt, kann der Betriebsrat die Abschaltung verlangen.
Eine Aufzeichnung, die auf Kundenseite regelkonform ist, aber hinter dem Rücken der Teams eingeführt wurde, ist nicht halb regelkonform: Sie ist genau dort unverwertbar, wo sie gebraucht worden wäre, und in Deutschland zusätzlich strafbar.
Ergänzen wir einen Punkt, den Unternehmen unterschätzen: Auch das bloße Mithören eines Gesprächs durch einen Dritten, der nicht Teilnehmer ist, fällt unter § 201 StGB, wenn die Beteiligten es nicht wissen. Das „stille Aufschalten“ eines Vorgesetzten zur Qualitätskontrolle ist ohne vorherige Information beider Seiten keine Nachlässigkeit, sondern ein anderes Regime.
Die Aufbewahrungsfristen
| Zweck | Vertretbare Frist | Was sie rechtfertigt |
|---|---|---|
| Qualitätskontrolle, laufende Schulung | 6 Monate | Danach hat die Aufzeichnung keinen pädagogischen Wert mehr |
| Individuelle Bewertung der Agenten | 6 Monate, mit verstärkten Garantien | Fällt unter Leistungskontrolle: Betriebsrat, individuelle Information |
| Beweis in einem Vertragsverhältnis | bis zu 3 Jahre | Angelehnt an die regelmäßige Verjährung (§ 195 BGB) |
| Branchenspezifische gesetzliche Pflicht | Nach der anwendbaren Norm | Nicht erfinden: Die Norm muss zitierbar sein (§ 83 WpHG: fünf Jahre, auf Anordnung sieben) |
Zwei praktische Regeln:
Eine Frist pro Zweck, keine Frist für alles. Wer drei Jahre „für alle Fälle“ aufbewahrt, wendet faktisch die Beweisfrist auf Aufzeichnungen an, deren erklärter Zweck die Schulung ist. Das ist der bei einer Prüfung am leichtesten feststellbare Verstoß.
Die Löschung muss automatisch sein. Eine manuelle Bereinigung „wenn wir daran denken“ ist keine Aufbewahrungsfrist, sondern eine Absicht. Prüfen Sie, dass Ihr Werkzeug wirklich löscht, einschließlich der Kopien in den Backups.
Die Daten, die dort nichts zu suchen haben
Manche Daten haben in einer sechs Monate aufbewahrten Audiodatei nichts verloren:
- Bankdaten. Die erwartete Praxis, und die, die der PCI-DSS-Standard vorschreibt (der die Speicherung der Kartenprüfnummer verbietet und den Schutz der Kartennummer verlangt), ist das Pausieren der Aufzeichnung während der Eingabe oder des Diktats und das Fortsetzen danach. Wenn Ihre Lösung diese Pause nicht erlaubt, ist das ein Auswahlkriterium, kein Detail.
- Die besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO: Gesundheit, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung. Sie tauchen in einem Kundenservicegespräch häufiger auf, als man denkt.
- Identifikationsdaten mit Sicherheitszweck: Passwörter, Codes, Antworten auf Sicherheitsfragen.
Transkription und KI-Analyse: eine zweite Verarbeitung
Das ist der neueste Punkt, und der von der heutigen Praxis am schlechtesten abgedeckte. Ein Gespräch zu transkribieren und automatisch zu analysieren verlängert nicht die Verarbeitung „Aufzeichnung“: Es schafft eine neue.
Drei konkrete Folgen:
Ein eigener Eintrag im Verzeichnis von Verarbeitungstätigkeiten. Die Transkription hat ihren eigenen Zweck, ihre eigene Rechtsgrundlage und ihre eigene Frist. Weil ein Text tausendmal weniger wiegt als eine Audiodatei, ist die Versuchung groß, ihn unbegrenzt zu behalten; genau das verbietet die Logik der Verhältnismäßigkeit.
Ein verschärftes Regime, wenn die Analyse Personen bewertet. Ein Qualitätsscore pro Agent, ein Ranking, eine automatische Erkennung von „Abweichung vom Leitfaden“ sind Leistungs- und Verhaltenskontrolle. Individuelle Information, Mitbestimmung des Betriebsrats über Parameter, Regeln und Anweisungen des Systems (§ 87 Abs. 1 Nr. 6 BetrVG) und vor allem: Diese Elemente dürfen nicht die alleinige Grundlage einer Entscheidung mit Wirkung für eine Person sein (Artikel 22 DSGVO). Der Mensch muss eingebunden bleiben und widersprechen können.
Ein Blick auf den Ort der Verarbeitung. Läuft die Transkription über einen Drittanbieter, wird dieser zum Auftragsverarbeiter: Vertrag nach Artikel 28 DSGVO, Speicherort der Daten, Garantien bei einer Übermittlung außerhalb der Europäischen Union. Prüfen Sie das vorher, nicht nachher.
Die Compliance-Checkliste
Den Zweck aufschreiben und daraus den Umfang ableiten
Ein Satz pro Zweck. Wenn Sie ihn nicht ohne „für alle Fälle“ formulieren können, existiert der Zweck nicht, und die entsprechende Aufzeichnung darf nicht stattfinden.
Von der Totalaufzeichnung zur Stichprobe wechseln
Ein Prozentsatz der Anrufe oder eine Auswahl nach Team und Zeitraum genügt für alle Schulungs- und Qualitätszwecke. Das ist die Einstellung, die das System auf die vertretbare Seite bringt.
Ansage und Datenschutzseite formulieren
Die Ansage trägt das Wesentliche und holt die Einwilligung ein, die Website-Seite trägt die Details: Zweck, Frist, Empfänger, Rechte und Ausübungsmodalitäten. Nehmen Sie die Ansage mit derselben Stimme auf wie den Rest Ihrer Telefonannahme.
Mitarbeiter informieren und Betriebsvereinbarung schließen
Vor dem Rollout. Dokumentieren Sie Datum und Inhalt: Das ist, was bei einer Prüfung oder in einem Rechtsstreit verlangt wird. Ohne Betriebsrat: schriftliche Einwilligung und Information jedes Mitarbeiters.
Fristen konfigurieren und Löschung prüfen
Eine Frist pro Zweck, automatische Löschung, und sechs Monate später eine tatsächliche Kontrolle, dass die Dateien wirklich verschwunden sind, Backups eingeschlossen.
Verzeichnis von Verarbeitungstätigkeiten aktualisieren
Aufzeichnung und Transkription stehen dort getrennt, mit Zwecken, Rechtsgrundlagen, Fristen, Empfängern und Auftragsverarbeitern. Ein aktuelles Verzeichnis ist das Erste, was eine Aufsichtsbehörde bei einer Prüfung verlangt.
Die 5 häufigsten Verstöße
- „Alle Anrufe, immer“. Die Standardeinstellung vieler Werkzeuge, und die am schwersten zu rechtfertigende.
- Die Ansage ohne Zweck und Rechte. Ein nacktes „dieses Gespräch kann aufgezeichnet werden“ erfüllt weder die Informationspflicht noch die Anforderungen an eine Einwilligung nach § 201 StGB.
- Der vergessene Betriebsrat. Das System kann auf Kundenseite perfekt sein und gegenüber den Mitarbeitern unverwertbar bleiben.
- Eine einzige Frist für alle Zwecke. Meist die längste, auf alles angewendet.
- Der angekündigte, aber nicht praktikable Widerspruch. Wenn der Agent die Aufzeichnung während des Gesprächs nicht abschalten kann, ist die Ansage unwahr.
Was Sie sich merken sollten
Die Anrufaufzeichnung ist kein Verbotsthema, sondern ein Thema von Einwilligung, Dosierung und Transparenz. Drei Entscheidungen genügen, um das Wesentliche in Ordnung zu bringen: die Zwecke aufschreiben, von der Totalaufzeichnung zur Stichprobe wechseln und beide Seiten einbeziehen, den Anrufer und den Mitarbeiter samt Betriebsrat.
Der Rest (Fristen pro Zweck, automatische Löschung, Verzeichnis) ist Ordnungsarbeit ohne besondere Schwierigkeit, sobald diese drei Entscheidungen getroffen sind.
Und wenn Ihr Ziel hinter der Aufzeichnung die Steuerung der Serviceleistung ist, lässt sich ein Großteil dessen, was Sie suchen, in den Anrufstatistiken ablesen, ohne eine einzige Audiodatei aufzubewahren.
Verwandte Artikel: KI-Transkription und Zusammenfassung von Anrufen, Callcenter-Software, VoIP-Telefonie für Unternehmen und ist Kaltakquise verboten?.
