Aufgezeichnet und trotzdem sicher?

Die Ausgangslage ist zunächst einmal eindeutig: Wer ein Telefonat heimlich mitschneidet, macht sich strafbar. Aber: „In dem Moment, in dem der Anrufer davon in Kenntnis gesetzt wird, liegt keine unbefugte Aufzeichnung vor“, präzisiert Dr. Carsten Ulbricht, IT-Rechtsanwalt bei der Stuttgarter Kanzlei Menold Bezler. Entscheidend ist insofern nicht die aktive Zustimmung, sondern deren Kenntnis. Das kann etwa über eine Ansage vor Gesprächsbeginn geschehen.

Schwieriger wird es beim Datenschutz: Ob Telekommunikationsgesetz (TKG) oder Datenschutz-Grundverordnung (DSGVO) – beide Regelwerke verlangen für den Mitschnitt eine Einwilligung. Und diese muss auf einer aktiven Handlung beruhen, nicht bloß auf Schweigen oder Nicht-Auflegen. „Ein Opt-out reicht nicht. Das Weitersprechen ist keine aktive Handlung“, stellt der Jurist klar. Was das für die Praxis konkret bedeutet, zeigen die folgenden Checkpunkte.

Einwilligung vor der Aufzeichnung

Ein häufiger Fehler in der Praxis ist es, die Aufnahme bereits laufen zu lassen und die Zustimmung im Nachgang einzuholen. Datenschutzrechtlich ist das grundsätzlich nicht erlaubt. Wer auf Nummer sicher gehen will, baut den Einwilligungsprozess an den Anfang des Gesprächs: zuerst informieren, dann aktiv zustimmen lassen, dann aufzeichnen. Das klingt aufwändiger, als es ist – mit der richtigen technischen Unterstützung lässt es sich in Sekunden abwickeln.

Die aktive Handlung zählt

„Bitte legen Sie auf, wenn Sie nicht einverstanden sind“, diese Formulierung ist zwar weit verbreitet, aber unzureichend. Ein Nicht-Auflegen ist kein Opt-in. Der Anwalt empfiehlt stattdessen ein klares Signal: „Drücken Sie die Eins, wenn Sie mit der Aufzeichnung einverstanden sind.“ Der Anrufer tut aktiv etwas – das ist der entscheidende Unterschied. Dieser Schritt lässt sich technisch einfach umsetzen und protokollieren, etwa durch den Einsatz einer IVR-Ansage (Interactive Voice Response) zu Beginn des Gesprächs.

Zwei-Ebenen-Modell

Der Knackpunkt ist nicht die Einwilligung selbst, es ist die vorgelagerte Informationspflicht. Die DSGVO verlangt eine Fülle von Angaben: Wer verarbeitet die Daten, zu welchem Zweck, wie lange, gibt es Unterauftragsverarbeiter, werden Daten in Drittländer übermittelt, welche Rechte hat der Betroffene? Diese Informationen in einem Telefonat vollständig vorzulesen ist weder realistisch noch zumutbar.

Hier liefert ein Zwei-Ebenen-Modell die Lösung: Auf der ersten Ebene wird im Telefonat eine kurze, prägnante Information gegeben, zum Beispiel: „Dieses Gespräch wird zu Qualitätssicherungszwecken aufgezeichnet. Weitergehende Datenschutzhinweise finden Sie unter … [Webseite].“ Auf der zweiten Ebene steht dann eine abrufbare umfassende Datenschutzerklärung online bereit.

Transkription ist mehr als Aufzeichnen

Wer Gespräche aufzeichnet und automatisch transkribiert, betritt neues Terrain. Anders als bei der reinen Aufnahme lässt sich ein Text-Transkript indexieren, durchsuchen und für KI-Analysen verwenden. Der Eingriff in die Datenschutzsphäre ist damit weitreichender. Unternehmen, die beide Funktionen einsetzen, sind gut beraten, dies in ihrer Datenschutzerklärung explizit und vollständig auszuweisen. „Ob der Hinweis auf die Transkription bereits im Call selbst erfolgen muss oder auf die zweite Informations­ebene ausgelagert werden kann, ist eine Abwägungsfrage“, so Ulbricht. Die Nennung in der Datenschutzerklärung auf der Website, auf der sich der Anrufer informieren kann, gilt jedoch als Mindeststandard.

Verantwortlichkeiten regeln

Unabhängig davon, welcher Anbieter die Infrastruktur betreibt, trägt derjenige, der Telefongespräche aufzeichnet, die datenschutzrechtliche Verantwortung. Daher müssen Unternehmen mit ihrem Telefonanlagendienstleister einen Auftragsverarbeitungsvertrag (AVV) abschließen und diesen in der Datenschutzerklärung ausweisen. Bei Bedarf kann ein guter Dienstleister Technik und Compliance-Lösung aus einer Hand liefern, von einer rechtssicheren IVR-Ansage über die automatische Protokollierung von Einwilligungen bis hin zu Mustervorlagen für AVV und Datenschutzerklärung.

Die Vollzugspraxis der deutschen Datenschutzbehörden zeigt: Bußgelder gegen den Mittelstand sind die Ausnahme und setzen nachhaltiges Fehlverhalten voraus. Das ist kein Freifahrtschein für Gleichgültigkeit, aber ein Argument für Verhältnismäßigkeit. „Ich rate dazu, risikobasiert vorzugehen“, sagt Rechtsanwalt Ulbricht. Ein tragfähiges Opt-in-Verfahren, kombiniert mit einer vollständigen zweiten Informationsebene, ist ein Konzept, das zu empfehlen ist.