Dieser Artikel ist ein Kaufratgeber, keine Rechtsberatung. Ziehen Sie für eine auf Ihre Situation zugeschnittene Beratung eine qualifizierte Anwältin oder einen qualifizierten Anwalt hinzu.
DSGVO-konforme Anruf- und Meeting-Aufzeichnung in Europa steht auf vier Säulen, die Sie kontrollieren: eine Rechtsgrundlage für die Aufzeichnung, die länderspezifischen Einwilligungsregeln, die für die Personen im Gespräch gelten, der Ort, an dem die Daten verarbeitet werden (Datenresidenz versus Datensouveränität), und wie lange Sie sie aufbewahren (Aufbewahrungsfrist). Wenn diese vier stimmen, ist die Aufzeichnung vertretbar. Wenn auch nur eine davon falsch ist, wird das scheinbar konforme Werkzeug in Ihrem Stack zum Risiko. Dieser Leitfaden geht jede der vier Säulen in der Reihenfolge durch, in der ein Käufer sie 2026 prüfen sollte, und verweist auf die tieferen rechtlichen Analysen, wo Sie sie brauchen.
Ist die Anrufaufzeichnung nach DSGVO legal?
Ja, Anrufaufzeichnung ist nach der DSGVO legal, wenn Sie eine Rechtsgrundlage haben und die lokalen Einwilligungsregeln einhalten. Die DSGVO verbietet die Aufzeichnung nicht. Sie reguliert sie. Eine Aufzeichnung, die die Stimme einer identifizierbaren Person festhält, ist ein personenbezogenes Datum, was bedeutet, dass der gesamte Rahmen gilt: Sie brauchen einen rechtlichen Grund zur Verarbeitung, Sie müssen transparent darüber sein, und Sie müssen sie schützen und löschen, wenn sie nicht mehr benötigt wird.
Zwei Punkte erhöhen den Einsatz. Erstens erfassen Aufzeichnungen oft mehr als eine Stimme. Ein Vertriebs- oder Support-Gespräch kann Gesundheit, finanzielle Not oder politische Ansichten offenbaren, die nach Artikel 9 besondere Kategorien personenbezogener Daten sind und eine höhere Hürde tragen. Zweitens ist die Aufzeichnung nur der Anfang. Transkription, KI-Zusammenfassungen und Coaching-Bewertungen sind allesamt eigenständige Verarbeitungen, die dieselben Pflichten erben. Für die vollständige rechtliche Aufschlüsselung dessen, was das EU-Recht verlangt, bevor Sie auf Aufnahme drücken, siehe was beim Aufzeichnen von Vertriebsgesprächen in Europa nach DSGVO tatsächlich legal ist.
Die Wahl der Rechtsgrundlage: Einwilligung vs. berechtigtes Interesse
Jede Aufzeichnung braucht eine Rechtsgrundlage nach Artikel 6, und für geschäftliche Gespräche liegt die praktische Wahl zwischen Einwilligung und berechtigtem Interesse. Sie führen zu sehr unterschiedlichen operativen Abläufen, also entscheiden Sie sich, bevor Sie ein Werkzeug kaufen, nicht danach.
Eine Rechtsgrundlage ist einer der sechs rechtlichen Gründe in Artikel 6 DSGVO, die die Verarbeitung personenbezogener Daten zulässig machen. Für die Anruf- und Meeting-Aufzeichnung sind die beiden, die in der Praxis gelten, die Einwilligung des Teilnehmers oder das berechtigte Interesse des Aufzeichnenden, abgewogen gegen die Datenschutzrechte des Teilnehmers. Sie müssen eine Rechtsgrundlage wählen und dokumentieren, bevor die Aufzeichnung beginnt. Sie können die Grundlage später nicht wechseln, um bereits erhobene Daten zu rechtfertigen.
Einwilligung ist im Prinzip die sauberere Grundlage. Sie muss freiwillig, spezifisch, informiert und unmissverständlich sein, und die Person muss sie so leicht widerrufen können, wie sie sie erteilt hat. Der Haken ist operativ: Sie müssen ein aktives Opt-in jedes Teilnehmers erfassen und protokollieren, bevor die Aufzeichnung startet, und Widerrufe im Nachhinein berücksichtigen. Für eingehende und kooperative Meetings ist das machbar. Für kalte Ausgangsgespräche fügt es Reibung im schlechtesten Moment hinzu.
Das berechtigte Interesse nach Artikel 6 Abs. 1 lit. f ist meist die praktischere Grundlage für die B2B-Aufzeichnung, aber es ist kein Freifahrtschein. Sie müssen eine Abwägung des berechtigten Interesses (Legitimate Interest Assessment, LIA) durchführen, einen dokumentierten Abwägungstest, der zeigt, dass Ihr Zweck (Coaching, Qualität, Streitbeilegung) die vernünftigen Datenschutzerwartungen des Teilnehmers nicht überwiegt. Die Abwägung fällt zu Ihren Gunsten aus, wenn die Person beruflich handelt, die Aufbewahrung kurz ist, die Nutzung eng ist und es eine echte Widerspruchsmöglichkeit gibt. Wenn ein Teilnehmer widerspricht, hören Sie auf, unabhängig von Ihrer LIA.
Einwilligungsregeln unterscheiden sich je nach Land
Die DSGVO setzt einen Mindeststandard, aber einzelne europäische Länder fügen darüber hinaus ihre eigenen Aufzeichnungsregeln hinzu, und die größte Variable ist die Einwilligung einer Partei gegenüber der Einwilligung aller Parteien. In einem Ein-Parteien-Regime kann es genügen, dass ein Teilnehmer von der Aufzeichnung weiß. In einem Alle-Parteien-Regime (Zwei-Parteien) muss jeder im Gespräch informiert werden oder zustimmen, bevor die Aufzeichnung beginnt. Käufer, die grenzüberschreitend verkaufen, müssen für das strengste Land planen, in dem ihre Teilnehmer sitzen, nicht für das nachsichtigste.
Ein kurzer Länderüberblick für 2026:
- Deutschland. Der strengste der großen Märkte. Das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB eine Straftat, getrennt von und zusätzlich zur DSGVO. Jeder Teilnehmer muss vor Beginn der Aufzeichnung informiert werden, ein mündlicher Hinweis zu Beginn des Gesprächs ist die verlässliche Schutzmaßnahme, und ein Betriebsrat kann für mitarbeiterbezogene Werkzeuge Mitbestimmungsanforderungen hinzufügen. Für die tiefergehenden Deutschland-Regeln siehe den Leitfaden zur Anrufaufzeichnung in Deutschland und zur § 201 StGB-Konformität.
- Frankreich. Die CNIL erwartet eine klare vorherige Information aller Teilnehmer und behandelt die KI-Analyse der Stimme, etwa Emotions- oder Tonprofilierung, als eigenständige Verarbeitungstätigkeit, die für sich offengelegt werden muss und nicht in eine generische Formel wie „Gespräche können aufgezeichnet werden" gefaltet werden darf.
- Niederlande. Die Autoriteit Persoonsgegevens wendet die DSGVO streng an und behandelt die KI-Analyse von Gesprächsinhalten als potenzielle Mitarbeiterüberwachung, was die Betriebsratsanhörung selbst dann in den Anwendungsbereich bringt, wenn der genannte Zweck die Kundenqualität ist.
- Vereinigtes Königreich. Die UK GDPR spiegelt die EU-Regeln zur Aufzeichnung, aber beachten Sie, dass die Anrufaufzeichnung auch PECR berührt und grenzüberschreitende Datenflüsse zwischen dem Vereinigten Königreich und der EU von einem Angemessenheitsbeschluss abhängen, der überwacht statt vorausgesetzt werden sollte.
Wenn sich die Teilnehmer in verschiedenen Ländern befinden, ist die klare Einwilligung aller die sicherste Einzelrichtlinie, weil sie sowohl die DSGVO als auch die strengeren nationalen Regime zugleich erfüllt. Für die breitere rechtliche Aufschlüsselung über Europa hinweg, einschließlich der Falle von Einwilligung versus Offenlegung und der vier Hinweispflichten, die Sie jedem Teilnehmer schulden, siehe die vollständige DSGVO-Aufzeichnungsanalyse.
Datenresidenz ist nicht Datensouveränität
Dies ist die Unterscheidung, die eine echte DSGVO-konforme Aufzeichnungslösung von einer trennt, die nur auf dem Datenblatt konform aussieht. Datenresidenz sagt Ihnen, wo Ihre Aufzeichnungen gespeichert sind. Datensouveränität sagt Ihnen, welche Rechtsordnung sie kontrolliert. Sie sind nicht dasselbe, und die beiden zu verwechseln ist der häufigste Fehler, den Käufer 2026 machen.
Hier ist, warum es wichtig ist. Ein US-eigener Anbieter kann Ihre Aufzeichnungen in einem Frankfurter Rechenzentrum speichern und dennoch durch US-Recht zur Herausgabe gezwungen werden. Der US CLOUD Act erlaubt es US-Behörden, von einem US-kontrollierten Unternehmen die Herausgabe von Daten zu verlangen, die es hält, unabhängig davon, wo auf der Welt diese Daten physisch liegen. Die EU-Speicherung allein stoppt also den US-Rechtszugriff nicht. Sie verlagert die Server, nicht die Gerichtsbarkeit. Für die Mechanik, wie der CLOUD Act auf in der EU gespeicherte Daten zugreift, siehe die Erläuterung zum CLOUD Act und zur EU-Datensouveränität.
Souveränität schließt diese Lücke. Sie bedeutet, dass der Speicherort und die kontrollierende Stelle beide unter EU-Gerichtsbarkeit stehen, sodass keine ausländische Regierung Zugriff erzwingen kann. Wenn Sie ein Aufzeichnungswerkzeug bewerten, lautet die Frage nicht nur „wo stehen die Server?", sondern „wer kontrolliert den Verarbeiter, und welche Gesetze können ihn erreichen?". Für das vollständigere Bild dessen, was Souveränität bedeutet und wie man die Behauptung eines Anbieters beurteilt, siehe den Leitfaden dazu, was souveräne KI in der EU tatsächlich bedeutet.
Aufbewahrung und Datenminimierung
Der Grundsatz der Speicherbegrenzung der DSGVO in Artikel 5 Abs. 1 lit. e ist einfach zu formulieren und leicht zu verletzen: Bewahren Sie Aufzeichnungen nur so lange auf, wie Sie sie wirklich brauchen, und löschen Sie sie dann. Die Standardeinstellung vieler Werkzeuge ist das Gegenteil, sie speichern alles unbegrenzt, und dieser unbegrenzte Datenberg ist ein akutes Risiko ohne Rechtsgrundlage dahinter.
Aufbewahrung ist der festgelegte Zeitraum, für den Sie eine Aufzeichnung behalten, bevor Sie sie löschen, gerechtfertigt durch den Zweck, für den Sie sie erhoben haben. Nach der DSGVO müssen Sie den Zeitraum im Voraus festlegen, dokumentieren, warum er verhältnismäßig ist, und die Löschung durchsetzen, wenn er abläuft. Aufbewahrung gilt nicht nur für die Audiodatei, sondern für jedes abgeleitete Artefakt: das Transkript, die KI-Zusammenfassung, die Coaching-Bewertung und jede von einem Unterauftragsverarbeiter gehaltene Kopie.
Für Coaching und Qualitätssicherung ist ein Aufbewahrungsfenster von 30 bis 90 Tagen ein üblicher und vertretbarer Standard. Sobald das Coaching-Signal extrahiert ist, dient die Rohaufzeichnung selten einem weiteren berechtigten Zweck. Aufzeichnungen, die einen Vertrag dokumentieren, sind die Ausnahme und können eine längere Aufbewahrung rechtfertigen, die an handelsrechtliche Aufbewahrungspflichten gebunden ist, aber das sollte eine bewusste Markierung an bestimmten Aufzeichnungen sein, keine pauschale Voreinstellung.
Zwei praktische Punkte für Käufer. Erstens sind Transkript und Audio getrennte Vermögenswerte. Sie dürfen das Audio löschen und ein anonymisiertes Transkript behalten oder unterschiedliche Fenster auf beide anwenden, aber Sie müssen es entscheiden und dokumentieren. Zweitens schlägt die automatisierte Löschung die manuelle Löschung, weil ein geplantes Löschen das Risiko beseitigt, dass eine vergessene Aufzeichnung jahrelang verweilt. Stellen Sie sicher, dass die Löschkaskade jedes abgeleitete Artefakt und jeden Unterauftragsverarbeiter erreicht, und bestätigen Sie, dass Sie ein Löschersuchen innerhalb eines Monats erfüllen können.
Die Kaufcheckliste 2026
Arbeiten Sie dies der Reihe nach durch, wenn Sie eine DSGVO-konforme Anrufaufzeichnungslösung in Europa bewerten. Jeder Punkt ist eine Frage, die der Anbieter ohne Ausflüchte beantworten können sollte.
- Rechtsgrundlage dokumentiert. Sie haben Einwilligung oder berechtigtes Interesse gewählt und schriftlich festgehalten, mit einer LIA in den Akten, falls Sie sich auf das berechtigte Interesse stützen.
- Ablauf der Einwilligungserfassung. Das Werkzeug erfasst ein aktives Opt-in oder liefert einen echten Hinweis vor der Aufzeichnung und protokolliert, dass es geschehen ist.
- Länderspezifische Regeln abgebildet. Sie wissen, in welchen Ländern Ihre Teilnehmer sitzen, und haben für das strengste geplant, einschließlich § 201 StGB in Deutschland.
- Wo die Verarbeitung läuft. Sie wissen, wo Aufzeichnung, Transkription, Speicherung und KI-Analyse jeweils physisch stattfinden, nicht nur, wo das Konto abgerechnet wird.
- Unterauftragsverarbeiter aufgeführt. Der Anbieter veröffentlicht seine Unterauftragsverarbeiter und gewährt Ihnen Rechte auf Änderungsbenachrichtigung.
- Übermittlungsmechanismus. Alle Daten, die den EWR verlassen, sind durch einen gültigen Übermittlungsmechanismus plus eine Transfer-Folgenabschätzung abgedeckt, oder sie verlassen ihn gar nicht.
- Aufbewahrungsplan. Eine festgelegte Aufbewahrungsfrist mit automatisierter Löschung über Audio, Transkript und abgeleitete Artefakte hinweg.
- Löschung und Auskunftsrecht. Sie können eine bestimmte Aufzeichnung als Reaktion auf ein Betroffenenersuchen innerhalb eines Monats auffinden, exportieren und löschen.
- AVV vorhanden. Ein unterzeichneter Auftragsverarbeitungsvertrag nach Artikel 28, der es dem Anbieter untersagt, Ihre Daten für eigene Zwecke zu nutzen, einschließlich KI-Training.
- Prüfung und Protokollierung. Das Werkzeug erfasst, wer wann auf jede Aufzeichnung zugegriffen hat, sodass Sie Rechenschaftspflicht nachweisen können.
Wenn ein Anbieter die Punkte 4, 5 und 8 nicht sauber beantworten kann, verbirgt sich die Lücke zwischen Residenz und Souveränität aus dem vorherigen Abschnitt wahrscheinlich in Ihrem Stack. Für eine sachliche Aufschlüsselung, wo die am weitesten verbreiteten Werkzeuge an diesen Kriterien scheitern, siehe unseren Leitfaden zum Vergleich DSGVO-konformer KI-Meeting-Assistenten für EU-Vertriebsteams.
Souveräne Aufzeichnung: wo Residenz und Souveränität endlich zusammenfinden
Der Grund, warum die vier Säulen schwer gleichzeitig zu erfüllen sind, ist, dass die meisten Werkzeuge die Residenz lösen und die Souveränität ignorieren. Ein souveräner Meeting-Assistent ist andersherum gebaut. Er hält die Aufzeichnung, die Transkription, die Speicherung und die KI-Analyse alle unter EU-Gerichtsbarkeit, sodass der Ort, an dem die Daten leben, und das Recht, das sie regiert, dasselbe sind. Das ist es, was die vier Säulen zusammenpassen lässt, statt gegeneinander zu arbeiten: Bei einem souveränen Design ist die EU-Residenz keine Marketingzeile, die auf ein US-kontrolliertes Backend geschraubt wurde, sondern die tatsächliche Gerichtsbarkeit jedes Schritts in der Pipeline.
Für einen Käufer schrumpft das einen Großteil der Checkliste auf eine architektonische Entscheidung zusammen. Wenn die Verarbeitung die EU-Gerichtsbarkeit nie verlässt, hören die Frage nach dem Übermittlungsmechanismus, die CLOUD-Act-Exposition und die Frage „wer kontrolliert wirklich den Verarbeiter" auf, offene Risiken zu sein. Sie müssen weiterhin die Arbeit an Rechtsgrundlage, Einwilligung und Aufbewahrung leisten, aber Sie beseitigen das strukturelle Problem, das kein noch so großer Papierkram beheben kann.