Telefonanlage und DSGVO: Warum der Serverstandort zählt

Anruflisten, Voicemails und Gesprächsaufzeichnungen sind personenbezogene Daten. Was die DSGVO für deine Telefonanlage bedeutet und warum Self-Hosting vieles vereinfacht.

Bei “DSGVO” denken die meisten an Newsletter und Cookie-Banner. Dabei verarbeitet kaum ein System so viele personenbezogene Daten wie die Telefonanlage: Wer hat wen wann angerufen, wie lange wurde gesprochen, welche Voicemail liegt im Postfach, was wurde aufgezeichnet. Dieser Ratgeber ordnet das Thema ein, verständlich und ohne Juristendeutsch.

Hinweis: Dieser Artikel ist keine Rechtsberatung. Er gibt einen praktischen Überblick; verbindliche Auskünfte gibt dir dein Datenschutzbeauftragter oder Anwalt.

Welche Daten fallen in einer Telefonanlage an?

• Verkehrsdaten: Rufnummern, Zeitstempel, Gesprächsdauer, also die komplette Anrufliste
• Inhaltsdaten: Voicemail-Aufnahmen, Gesprächsaufzeichnungen, deren Transkripte und Zusammenfassungen
• Kontaktdaten: zentrale Telefonbücher mit Namen, Nummern und Firmen
• Nutzungsdaten: wer ist an welchem Gerät angemeldet, Präsenzstatus

All das sind personenbezogene Daten im Sinne der DSGVO, sowohl von Mitarbeitern als auch von Anrufern.

Cloud-Anlage: Auftragsverarbeitung mit Pflichten

Liegt die Telefonanlage in der Cloud, verarbeitet der Anbieter diese Daten für dich. Das ist zulässig, verlangt aber Sorgfalt:

• Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO muss geschlossen und verstanden sein (Quelle 2).
• Du musst wissen, wo die Server stehen und ob Subunternehmer (etwa für Transkriptions-KI) außerhalb der EU sitzen.
• Auskunfts- und Löschpflichten musst du gegenüber dem Anbieter durchsetzen können.

Machbar, aber es bleibt eine dauerhafte Abhängigkeit: Ändert der Anbieter seine Subdienstleister, wandert deine Datenverarbeitung mit.

Self-Hosting: Das Thema an der Wurzel entschärfen

Läuft die Telefonanlage auf einem Server im eigenen Haus, verlassen Anruflisten, Voicemails und Aufzeichnungen dein Netzwerk erst gar nicht. Es gibt keinen Auftragsverarbeiter für den Kernbetrieb, keinen Drittstaaten-Transfer, keine Subdienstleister-Kette. Die DSGVO gilt natürlich weiterhin (du bleibst Verantwortlicher), aber die Angriffsfläche und der Papierkram schrumpfen erheblich.

Genau das ist der Grundgedanke von FRANZFON: Die Anlage läuft als VM auf deinem Server, die Daten bleiben lokal. Wie das praktisch aussieht, beschreibt der Ratgeber Telefonanlage selbst hosten.

Sonderfall Gesprächsaufzeichnung

Gespräche aufzuzeichnen ist in Deutschland streng geregelt (§ 201 StGB, Quelle 1): Wer das nichtöffentlich gesprochene Wort ohne Befugnis aufnimmt, macht sich strafbar. Eine geschäftlich genutzte Aufzeichnungsfunktion muss deshalb:

1. Einwilligung einholen, bevor die Aufnahme startet, per Ansage mit aktiver Zustimmung (Tastendruck) oder mindestens per klarer Information
2. Bewusst aktiviert werden statt heimlich mitzulaufen
3. Löschfristen kennen, etwa automatisches Löschen nach 30, 60 oder 90 Tagen

FRANZFON setzt genau dieses Muster um: Die Aufzeichnung ist standardmäßig aus, holt vor jeder Aufnahme die Einwilligung ein und löscht auf Wunsch automatisch. Details in der Anleitung Gesprächsaufzeichnung einrichten.

Sonderfall KI-Funktionen

Voicemail-Transkription und Gesprächszusammenfassungen sind praktisch, werfen aber die Frage auf: Wo rechnet die KI? Drei Stufen, von der einfachsten zur heikelsten:

1. Lokal auf der eigenen Anlage: Die Sprachdaten verlassen das Haus nicht. Datenschutzrechtlich der einfachste Fall.
2. EU-Cloud mit klarem Standort: Verarbeitung in Europa mit AVV, sauber machbar.
3. Übersee-Dienste: Drittstaaten-Transfer mit erhöhtem Prüfaufwand.

FRANZFON bietet die ersten beiden Wege an: KI-Protokolle wahlweise lokal auf der Anlage (unbegrenzt, ohne Datenabfluss) oder über eine Cloud mit Serverstandort Europa.

Praktische Checkliste

1. Verzeichnis der Verarbeitungstätigkeiten um die Telefonanlage ergänzen (Quelle 3)
2. Bei Cloud-Anlagen: AVV, Serverstandorte und Subdienstleister prüfen
3. Aufzeichnung nur mit Einwilligungs-Mechanik und Löschkonzept betreiben
4. KI-Funktionen: Verarbeitungsort klären (lokal, EU, Drittstaat)
5. Zugriffe beschränken: Wer darf Anruflisten und Aufnahmen sehen?
6. Backups verschlüsselt und mit denselben Löschfristen behandeln

Wer den Serverstandort selbst bestimmt, hat auf die meisten dieser Fragen eine kurze Antwort. Das ist der stille Vorteil der eigenen Anlage.

Zuletzt aktualisiert: 02. Juli 2026 · Autor: IAP-IT, Viktor Weizel