Was müssen Kanzleien bei der Telefonkommunikation datenschutzrechtlich beachten?

Kanzleien unterliegen beim Telefonieren besonders strengen Datenschutzpflichten, weil sie regelmäßig hochsensible Mandantendaten verarbeiten. Die Kombination aus der Datenschutz-Grundverordnung (DSGVO), dem anwaltlichen Berufsrecht und der Schweigepflicht macht datenschutzkonforme Telefonkommunikation zur Pflichtaufgabe, nicht zur Kür. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Kanzlei Telefonkommunikation Datenschutz konkret und praxisnah.

Welche datenschutzrechtlichen Pflichten gelten speziell für Kanzleien?

Kanzleien gelten datenschutzrechtlich als Verantwortliche im Sinne der DSGVO und sind zusätzlich durch berufsrechtliche Vorschriften wie die Bundesrechtsanwaltsordnung (BRAO) und die Berufsordnung für Rechtsanwälte (BORA) gebunden. Die anwaltliche Schweigepflicht gemäß § 43a BRAO und § 203 StGB erstreckt sich ausdrücklich auf alle Kommunikationswege, einschließlich des Telefons.

Das bedeutet in der Praxis: Jede Information, die ein Mandant telefonisch mitteilt, fällt unter die Verschwiegenheitspflicht. Kanzleien müssen sicherstellen, dass diese Informationen weder unbefugt weitergegeben noch unzureichend gesichert gespeichert werden. Konkret leiten sich daraus folgende Pflichten ab:

Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO), das auch die Telefonie erfasst
Technische und organisatorische Maßnahmen (TOMs) zum Schutz von Gesprächsinhalten und Verbindungsdaten
Informationspflichten gegenüber Mandanten über die Verarbeitung ihrer Daten (Art. 13 DSGVO)
Abschluss von Auftragsverarbeitungsverträgen (AVV) mit Telefondienstleistern, die Zugriff auf Gesprächsdaten haben

Steuerberatungs- und Wirtschaftsprüfungskanzleien unterliegen ähnlichen berufsrechtlichen Anforderungen. Die Grundstruktur der datenschutzrechtlichen Verpflichtungen ist für alle rechts- und steuerberatenden Berufe vergleichbar.

Wie müssen Telefongespräche in Kanzleien datenschutzkonform geführt werden?

Datenschutzkonforme Telefongespräche in einer Kanzlei erfordern sowohl technische Absicherung als auch organisatorische Disziplin im Kanzleialltag. Vertrauliche Gespräche dürfen nicht in offenen Bereichen geführt werden, und Mitarbeitende müssen für den Umgang mit sensiblen Mandanteninformationen am Telefon geschult sein.

Folgende organisatorische Maßnahmen sind in der Praxis unverzichtbar:

Räumliche Trennung: Vertrauliche Mandantengespräche sollten in abgeschlossenen Räumen geführt werden, nicht im offenen Großraumbüro oder in der Nähe von Warteräumen.
Identitätsprüfung: Bevor vertrauliche Informationen am Telefon weitergegeben werden, muss die Identität des Anrufenden sicher festgestellt werden, insbesondere bei eingehenden Anfragen.
Mitarbeiterschulung: Alle Personen, die Telefonate führen, müssen wissen, welche Informationen sie nicht ohne Weiteres herausgeben dürfen, zum Beispiel ob jemand überhaupt Mandant der Kanzlei ist.
Weiterleitungsregeln: Automatische Anrufweiterleitungen auf private Mobiltelefone ohne gesicherte Verbindung sind problematisch und sollten technisch abgesichert oder vermieden werden.

Besondere Vorsicht gilt beim Hinterlassen von Nachrichten auf Anrufbeantwortern. Detaillierte Mandanteninformationen sollten niemals auf einem Anrufbeantworter hinterlassen werden, dessen Zugriffssicherheit nicht bekannt ist.

Welche Anforderungen stellt die DSGVO an Telefonanlagen in Kanzleien?

Die DSGVO stellt keine produktspezifischen Anforderungen an Telefonanlagen, definiert aber klare Grundsätze, die jede eingesetzte Anlage erfüllen muss: Datensparsamkeit, Zweckbindung, Integrität und Vertraulichkeit (Art. 5 DSGVO). Für datenschutzkonforme Telefonanlagen in Kanzleien bedeutet das konkrete technische Anforderungen.

Eine DSGVO-konforme Telefonanlage für Kanzleien sollte folgende Eigenschaften aufweisen:

Verschlüsselung der Sprachübertragung: Bei IP-basierten Telefonanlagen muss die Signalisierung über TLS (Transport Layer Security) und die eigentliche Sprachübertragung über SRTP (Secure Real-time Transport Protocol) verschlüsselt sein. Ohne diese Verschlüsselung sind Gespräche in offenen Netzwerken theoretisch abhörbar.
Zugriffskontrolle: Die Anlage muss Benutzerrechte granular vergeben können, damit nicht jeder Mitarbeitende auf Anrufprotokolle oder Gesprächsaufzeichnungen anderer zugreifen kann.
Protokollierung und Löschkonzept: Verbindungsdaten (Wer hat wann wen angerufen?) sind personenbezogene Daten. Die Anlage muss eine konfigurierbare Aufbewahrungsdauer und automatische Löschfunktionen bieten.
Serverstandort: Werden Daten in der Cloud verarbeitet, muss der Server in Deutschland oder der EU stehen. Ein Serverstandort in Deutschland bietet die höchste Datensouveränität und vermeidet Konflikte mit Drittlandübermittlungen nach Art. 44 ff. DSGVO.

Kanzleien sollten außerdem prüfen, ob der Anbieter ihrer Telefonanlage als Auftragsverarbeiter einzustufen ist und einen entsprechenden AVV abschließen.

Darf eine Kanzlei Telefongespräche aufzeichnen?

Eine Kanzlei darf Telefongespräche grundsätzlich nur dann aufzeichnen, wenn alle Gesprächsteilnehmer zuvor ausdrücklich eingewilligt haben. Eine heimliche Aufzeichnung ohne Einwilligung ist in Deutschland nach § 201 StGB strafbar und verstößt gleichzeitig gegen die DSGVO.

Für die Praxis bedeutet das: Vor Beginn einer Aufzeichnung muss der Anrufende aktiv und verständlich darüber informiert werden, dass das Gespräch aufgezeichnet wird, und er muss die Möglichkeit haben, dies abzulehnen. Eine pauschale Einwilligung im Kleingedruckten reicht nicht aus.

Zusätzlich gelten für Aufzeichnungen in Kanzleien folgende Punkte:

Zweckbindung: Aufzeichnungen dürfen nur für den angegebenen Zweck verwendet werden, zum Beispiel zur Qualitätssicherung, nicht aber zur Überwachung von Mitarbeitenden ohne Betriebsvereinbarung.
Speicherdauer: Aufzeichnungen müssen nach Ablauf des definierten Aufbewahrungszeitraums sicher gelöscht werden.
Zugriffsbeschränkung: Nur berechtigte Personen dürfen auf gespeicherte Gesprächsaufzeichnungen zugreifen.
Besondere Sensibilität: Da Mandantengespräche unter die anwaltliche Schweigepflicht fallen, ist bei Aufzeichnungen besondere Zurückhaltung geboten. Im Zweifel sollte auf Aufzeichnungen verzichtet werden.

Was gilt beim Einsatz von Cloud-Telefonanlagen oder VoIP in Kanzleien?

Cloud-Telefonanlagen und VoIP-Systeme (Voice over IP, also Telefonie über das Internet) sind in Kanzleien datenschutzrechtlich zulässig, wenn bestimmte Voraussetzungen erfüllt sind. Entscheidend sind Verschlüsselung, Serverstandort und vertragliche Absicherung mit dem Anbieter.

IP-Telefonie operiert in offenen Netzwerken und ist ohne geeignete Schutzmaßnahmen theoretisch abhörbar. Für den datenschutzkonformen Einsatz von VoIP in Kanzleien sind daher folgende technische Voraussetzungen zwingend:

TLS-Verschlüsselung für die Signalisierung (Verbindungsaufbau und -steuerung)
SRTP-Verschlüsselung für die eigentliche Sprachübertragung
Qualitätssicherung im Netzwerk (QoS): Quality of Service und DSCP-Tagging priorisieren Sprachdaten im Netzwerk. Als Faustregel gilt: mindestens 100 kbit/s Bandbreite pro gleichzeitigem Gespräch einplanen.
Ausfallsicherheit: IP-Telefone benötigen Strom und eine aktive Internetverbindung. Eine unterbrechungsfreie Stromversorgung (USV) ist Pflicht, ein LTE- oder 5G-Backup als zweite Internetleitung empfehlenswert.

Beim Einsatz einer Cloud-Telefonanlage muss die Kanzlei außerdem prüfen, wo die Daten verarbeitet werden. Server in Deutschland oder der EU sind Pflicht. Mit dem Anbieter ist ein Auftragsverarbeitungsvertrag abzuschließen. Anbieter, die Daten in Drittstaaten übermitteln, scheiden für Kanzleien in der Regel aus.

Welche Maßnahmen schützen Kanzleien vor Datenschutzverstößen am Telefon?

Kanzleien schützen sich vor Datenschutzverstößen am Telefon durch eine Kombination aus technischen Schutzmaßnahmen, klaren internen Prozessen und regelmäßiger Schulung aller Mitarbeitenden. Kein einzelnes Mittel reicht allein aus.

Eine bewährte Schutzstrategie umfasst folgende Ebenen:

Technische Maßnahmen

Einsatz einer verschlüsselten IP-Telefonanlage mit TLS und SRTP
Zugriffskontrolle auf Anrufprotokolle und Gesprächsdaten
Automatische Löschung von Verbindungsdaten nach definierten Fristen
Sichere Weiterleitungen nur über verschlüsselte Verbindungen
Serverstandort in Deutschland oder der EU

Organisatorische Maßnahmen

Schriftliche Richtlinie für den Umgang mit vertraulichen Telefonaten
Regelmäßige Schulungen für alle Mitarbeitenden, die Telefonate führen
Klare Zuständigkeiten: Wer darf welche Informationen am Telefon bestätigen oder weitergeben?
Abschluss von Auftragsverarbeitungsverträgen mit allen relevanten Dienstleistern
Dokumentation der getroffenen technischen und organisatorischen Maßnahmen im Rahmen der DSGVO-Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)

Kanzleien sollten ihre Datenschutzmaßnahmen im Bereich Telefonie mindestens einmal jährlich überprüfen und bei technischen Änderungen, zum Beispiel einem Wechsel des Telefonanbieters, sofort anpassen. Eine enge Zusammenarbeit mit einem Datenschutzbeauftragten ist in diesem sensiblen Umfeld dringend empfehlenswert.

Wie AGFEO datenschutzkonforme Telefonie für Kanzleien unterstützt

Als Hersteller mit über 75 Jahren Erfahrung in der Telekommunikation bieten wir Kanzleien bewährte Lösungen, die die beschriebenen datenschutzrechtlichen Anforderungen technisch erfüllen. Entwicklung und Produktion erfolgen in Bielefeld, Made in Germany, mit konsequentem Fokus auf Datensouveränität.

Unsere Lösungen für Kanzleien im Überblick:

HyperFonie (Cloud-Telefonanlage): Server ausschließlich in Deutschland, DSGVO-konform, keine Datenübermittlung in Drittländer, skalierbar von 3 bis 250 Benutzern, monatlich kündbar
ES-Serie (On-Premise IP-Anlagen): Lokale Installation in der Kanzlei für maximale Kontrolle über alle Daten, hybridfähig für flexible Szenarien
Verschlüsselung als Standard: TLS-Signalisierung und SRTP-Sprachverschlüsselung sind in unseren Systemen integriert, nicht optional
Granulare Zugriffskontrolle: Benutzerrechte und Protokollierungseinstellungen lassen sich präzise konfigurieren
Auftragsverarbeitungsvertrag: Wir stellen den erforderlichen AVV für eine rechtssichere Zusammenarbeit bereit
Beratung und Installation durch zertifizierte Fachhändler: Kein Kanzleibetreiber muss die technische Einrichtung allein stemmen

Wenn Sie wissen möchten, welche unserer IP-Telefonanlagen am besten zu den Anforderungen Ihrer Kanzlei passt, sprechen Sie uns gerne direkt an. Unsere zertifizierten Fachhändler beraten Sie unverbindlich und helfen dabei, eine Lösung zu finden, die technisch, rechtlich und organisatorisch überzeugt. Jetzt Kontakt aufnehmen und datenschutzkonforme Kanzleikommunikation auf ein sicheres Fundament stellen.