Sobald jemand bei einem Betrieb anruft und Name, Adresse und Rückrufnummer nennt, werden personenbezogene Daten verarbeitet — und damit gilt die Datenschutz-Grundverordnung (DSGVO). Das betrifft die eigene Annahme genauso wie eine externe oder KI-gestützte Notruf-Annahme.
Wer ist verantwortlich?
Verantwortlicher im Sinne der DSGVO ist der Betrieb, in dessen Auftrag die Anrufe entgegengenommen werden. Wird die Annahme von einem externen Dienstleister erbracht — ob Telefonsekretariat oder KI-Plattform —, handelt dieser in der Regel als Auftragsverarbeiter. Dann ist nach Artikel 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) erforderlich.
Auf welcher Rechtsgrundlage?
Artikel 6 Absatz 1 DSGVO nennt die möglichen Rechtsgrundlagen. Für die Notruf-Annahme kommen vor allem drei in Betracht:
- Vertrag bzw. vorvertragliche Maßnahme (Art. 6 Abs. 1 lit. b): Der Anrufer möchte eine Leistung — die Aufnahme der Daten dient der Anbahnung oder Erfüllung.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Erreichbarkeit und Dokumentation eines Notfalls, abgewogen gegen die Interessen des Anrufers.
- Einwilligung (Art. 6 Abs. 1 lit. a): Erforderlich dort, wo keine andere Grundlage trägt — zum Beispiel für eine Gesprächsaufzeichnung.
Informationspflicht: die Datenschutzansage
Artikel 13 DSGVO verlangt, dass Betroffene bei der Erhebung ihrer Daten informiert werden — wer verarbeitet, zu welchem Zweck, auf welcher Grundlage und wie lange. Am Telefon geschieht das praktisch über eine kurze Datenschutzansage mit Verweis auf die ausführliche Datenschutzerklärung.
Datenminimierung und Löschung
Es dürfen nur die Daten erhoben werden, die für den Zweck nötig sind (Grundsatz der Datenminimierung). Nach Wegfall des Zwecks sind die Daten zu löschen; Artikel 17 DSGVO gibt Betroffenen zudem ein Recht auf Löschung. Eine strukturierte Zusammenfassung statt einer dauerhaften Audioaufzeichnung ist hier oft der datensparsamere Weg.
Dienstleister außerhalb der EU
Werden Dienstleister mit Sitz oder Verarbeitung außerhalb der EU eingesetzt, braucht die Übermittlung eine geeignete Garantie — in der Praxis meist die EU-Standardvertragsklauseln (SCC). Achten Sie darauf, dass Ihr Anbieter diese vorlegt und idealerweise eine Verarbeitung innerhalb der EU anbietet.
Checkliste für Betriebe
- AVV mit dem Dienstleister abgeschlossen (Art. 28)?
- Rechtsgrundlage je Verarbeitung dokumentiert (Art. 6)?
- Datenschutzansage und aktuelle Datenschutzerklärung vorhanden (Art. 13)?
- Nur notwendige Daten, klare Löschfristen (Art. 5, 17)?
- Bei Nicht-EU-Diensten: SCC oder gleichwertige Garantie?
Häufige Fragen
Brauche ich einen AVV mit dem Anbieter der Telefonannahme?
Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet — was bei externer oder KI-gestützter Annahme die Regel ist —, ja. Artikel 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag zwischen Ihnen als Verantwortlichem und dem Auftragsverarbeiter.
Auf welcher Rechtsgrundlage darf ich Anruferdaten verarbeiten?
Meist auf Art. 6 Abs. 1 lit. b (Vertrag/Vertragsanbahnung) und/oder lit. f (berechtigtes Interesse an Erreichbarkeit und Dokumentation). Für eine Gesprächsaufzeichnung ist in der Regel eine Einwilligung nach lit. a nötig.
Wie lange darf ich die Daten speichern?
So lange, wie es für den Zweck erforderlich ist, danach sind sie zu löschen (Datenminimierung, Speicherbegrenzung). Betroffene haben nach Art. 17 DSGVO ein Recht auf Löschung. Konkrete Fristen sollten betrieblich festgelegt und dokumentiert werden.
Quellen & Rechtsgrundlagen
Alle rechtlichen und sicherheitsbezogenen Aussagen sind an Primärquellen geprüft. Stand der Recherche: Juni 2026.
- [1]Verordnung (EU) 2016/679 (DSGVO), Art. 6, 13, 17, 28EUR-Lex
- [2]§ 25 TDDDG — Schutz der Privatsphäre bei Endeinrichtungengesetze-im-internet.de (Bundesamt für Justiz)
