Cloud-Telefonanlage in Behörden: Was der Datenschutz verlangt

Cloud-Telefonie ist in der öffentlichen Verwaltung angekommen. Anbieter werben mit schneller Bereitstellung, geringem Betreuungsaufwand und laufenden Funktionsergänzungen. Für eine Vergabestelle verschiebt sich damit etwas Grundsätzliches: Sprachdaten, Verbindungsdaten und Adressbücher verlassen das eigene Haus. Wer so etwas beschafft, muss den Datenschutz vor der Bekanntmachung klären und nicht nach dem Zuschlag. Dieser Ratgeber zeigt, welche Fragen Sie beantworten müssen, welche Nachweise Sie fordern und wie Sie das produktneutral in die Vergabeunterlagen bringen.

Was unterscheidet Cloud-Telefonanlage, eigene Anlage und Mischform?

Die drei Betriebsformen unterscheiden sich vor allem darin, wer die Daten verarbeitet, an welchem Ort das geschieht und wer technisch darauf zugreifen kann. Alles Weitere folgt aus dieser Frage.

Bei der eigenen Anlage steht die Anlagentechnik im eigenen Rechenzentrum oder im Rechenzentrum eines kommunalen IT-Dienstleisters. Verbindungsdaten, Sprachnachrichten und Protokolle bleiben im eigenen Verantwortungsbereich. Ein Dienstleister betreut die Anlage, greift aber nach Ihren Vorgaben zu.

Bei der Cloud-Telefonanlage läuft die Anlagenfunktion als Dienst beim Anbieter. Die Endgeräte melden sich über das Netz an. Der Anbieter verarbeitet dabei Verbindungsdaten, Sprachnachrichten, Aufzeichnungen, Adressbücher, Präsenzangaben und meist auch Chatverläufe. Häufig teilen sich mehrere Kunden dieselbe technische Umgebung; die Trennung erfolgt dann logisch über Mandanten. Wie weit diese Trennung reicht, ob also Daten, Verarbeitung und Verwaltungszugänge getrennt sind, müssen Sie sich vom Anbieter beschreiben und belegen lassen.

Die Mischform kennt zwei verbreitete Ausprägungen. Erstens die eigene Anlage mit Anschluss über einen SIP-Anbieter, also lokale Verarbeitung bei externem Netzzugang. Zweitens die private Cloud, also eine dedizierte Umgebung für eine einzige Stelle, betrieben im Rechenzentrum eines öffentlichen IT-Dienstleisters. Die private Cloud verbindet den betrieblichen Vorteil eines Dienstes mit einer Mandantentrennung, die im Verantwortungsbereich eines öffentlichen IT-Dienstleisters bleibt. Die technischen Grundlagen dazu habe ich unter VoIP-Anlagen zusammengestellt.

Welche Datenschutzfragen müssen Sie vor der Beschaffung klären?

Sechs Punkte müssen geklärt sein, bevor die Leistungsbeschreibung entsteht: Auftragsverarbeitung, Verarbeitungsort, Zugriff Dritter, Verschlüsselung, Löschfristen und die Beteiligung der Personalvertretung. Wer sie erst im laufenden Verfahren aufwirft, verhandelt später aus einer schwachen Position.

Auftragsverarbeitung nach Art. 28 DSGVO

Der Vertrag zur Auftragsverarbeitung muss vorliegen, bevor die erste Verarbeitung beginnt, und er muss inhaltlich prüfbar sein. Achten Sie auf die Weisungsbindung, auf eine vollständige Liste der Unterauftragsverarbeiter mit Sitz und Aufgabe, auf einen Genehmigungsvorbehalt bei Wechseln, auf Ihre Kontrollrechte, auf die Unterstützung bei Auskunfts- und Löschbegehren sowie auf Rückgabe und Löschung nach Vertragsende. Der Satz „ein Auftragsverarbeitungsvertrag liegt vor“ sagt für sich genommen nichts aus. Lesen Sie ihn, und stellen Sie ihn nach Möglichkeit selbst.

Verarbeitungsort und Serverstandort

Der Serverstandort allein ist wenig aussagekräftig, weil der verwaltende Zugriff oft von einem ganz anderen Ort aus erfolgt. Ein Rechenzentrum in Deutschland nützt Ihnen wenig, wenn die zweite Betreuungsstufe, die Betriebsüberwachung oder die Datensicherung aus einem Drittstaat zugreifen. Ebenso in der Nachweisliste: „Benennung sämtlicher Verarbeitungsorte einschließlich Betreuung, Fernwartung, Betriebsüberwachung und Sicherung.“ Und in der Tabelle: „Der Bieter benennt jeden Verarbeitungsort einschließlich Fernwartung, Betriebsüberwachung und Sicherung.“ Fragen Sie deshalb nicht nach dem Standort, sondern nach allen Verarbeitungsorten, ausdrücklich einschließlich Fernwartung, Störungsbearbeitung, Protokollauswertung und Sicherung.

Zugriff Dritter und Übermittlung in Drittstaaten

Entscheidend ist nicht nur, ob Daten aktiv übermittelt werden, sondern ob eine Stelle außerhalb der Europäischen Union rechtlich oder technisch Zugriff nehmen kann. Prüfen Sie die gesellschaftsrechtliche Einbindung des Anbieters, den Sitz des Mutterunternehmens und die gesamte Kette der Unterauftragsverarbeiter. Für Übermittlungen gelten Art. 44 ff. DSGVO. Stand 2026 besteht ein Angemessenheitsbeschluss der Europäischen Kommission für zertifizierte Stellen in den Vereinigten Staaten; seine dauerhafte Bestandskraft wird fachlich diskutiert. Für einen öffentlichen Auftraggeber, der eine Anlage über viele Jahre betreibt, ist das ein Risiko, das Sie im Vergabevermerk benennen und bewerten sollten. Die zusätzliche Absicherung über Standardvertragsklauseln samt Prüfung der Rechtslage im Empfängerstaat ist der übliche Weg. Prüfen Sie außerdem, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.

Verschlüsselung

Signalisierung und Sprachdaten müssen nach dem Stand der Technik verschlüsselt sein, auf dem Übertragungsweg wie im gespeicherten Zustand. Üblich sind TLS für die Signalisierung und SRTP für die Sprache; als Maßstab für Verfahren und Schlüssellängen dienen die Technischen Richtlinien des BSI zur Kryptografie. Ein Punkt wird dabei regelmäßig übersehen: Bei einer Cloud-Anlage endet die Transportverschlüsselung am System des Anbieters. Dort liegen Sprachnachrichten, Aufzeichnungen und Verbindungsdaten verarbeitbar vor. Verschlüsselung ersetzt die Frage nach dem Zugriff also nicht, sie ergänzt sie.

Löschfristen und Protokolle

Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 Buchstabe e DSGVO gilt auch für Telefoniedaten, und die Fristen gibt der Verantwortliche vor, nicht der Anbieter. Legen Sie je Datenart fest, wie lange gespeichert wird: Verbindungsdatensätze, Sprachnachrichten, Anrufaufzeichnungen, Chatverläufe, Präsenzangaben, Auswertungen von Warteschlangen und Zugriffsprotokolle der Anlagenverwaltung. Verlangen Sie automatisches Löschen ohne manuellen Eingriff und einen Nachweis, dass die Löschung auch in den Sicherungen greift.

Verbindungsdaten und Mitbestimmung der Personalvertretung

Eine Telefonanlage ist eine technische Einrichtung, die zur Verhaltens- und Leistungskontrolle geeignet ist, und damit ist ihre Einführung mitbestimmungspflichtig. Die Rechtsgrundlage steht im Bundespersonalvertretungsgesetz beziehungsweise im Personalvertretungsgesetz Ihres Landes. Beteiligen Sie die Personalvertretung vor der Bekanntmachung, nicht nach dem Zuschlag. Eine Dienstvereinbarung sollte regeln, welche Auswertungen zulässig sind, ob Zielrufnummern verkürzt gespeichert werden, wer auf Statistiken zugreifen darf und wie lange Daten aufbewahrt werden. Ist die private Nutzung dienstlicher Anschlüsse erlaubt oder geduldet, regeln Sie die zulässigen Auswertungen ausdrücklich in der Dienstvereinbarung. Nach der heute überwiegenden Auffassung der Aufsichtsbehörden ist die Dienststelle dabei kein Anbieter eines Telekommunikationsdienstes. Maßgeblich bleibt damit das Datenschutzrecht: Für jede Auswertung von Verbindungsdaten brauchen Sie eine eigene Rechtsgrundlage und einen festgelegten Zweck.

Welche Nachweise fordern Sie im Vergabeverfahren?

Fordern Sie ausschließlich Nachweise, die sich prüfen lassen, und verankern Sie diese als verbindliche Mindestanforderung oder als Zuschlagskriterium, nicht als Absichtserklärung. Alles, was ein Bieter nur zusichern muss, ohne es zu belegen, ist in der Angebotswertung wertlos.

1. Bestätigung des Bieters, dass er den vom Auftraggeber gestellten Entwurf des Vertrags zur Auftragsverarbeitung unverändert anerkennt; Abweichungswünsche sind im Angebot einzeln zu benennen und zu begründen.
2. Vollständige Liste aller Unterauftragsverarbeiter mit Sitz, Aufgabe und Verarbeitungsort.
3. Benennung sämtlicher Verarbeitungsorte einschließlich Betreuung, Fernwartung, Monitoring und Sicherung.
4. Testate und Zertifikate mit Angabe des Geltungsbereichs, etwa nach ISO/IEC 27001 oder nach dem Kriterienkatalog C5 des BSI. Prüfen Sie den Geltungsbereich, nicht das Deckblatt.
5. Beschreibung der Verschlüsselung für Übertragung und Speicherung mit Angabe der eingesetzten Verfahren.
6. Löschkonzept mit Fristen je Datenart und einer Aussage zur Löschung in den Sicherungen.
7. Verfahren bei behördlichen Zugriffsverlangen aus Drittstaaten sowie Zusage zur Unterrichtung, soweit rechtlich zulässig.
8. Ausstiegskonzept: Datenexport in einem auswertbaren Format, Rückgabe und Löschung, Mitnahme der Rufnummern.

Anforderungen an die Person des Bieters gehören nach § 122 GWB in die Eignungsprüfung, leistungsbezogene Anforderungen in die Leistungsbeschreibung. Zuschlagskriterien müssen nach § 127 GWB mit dem Auftragsgegenstand in Verbindung stehen. Datenschutzanforderungen sind leistungsbezogen und gehören deshalb in die Leistungsbeschreibung und in die Bewertungsmatrix.

Wann ist die eigene Anlage die sicherere Wahl?

Die eigene Anlage oder eine private Cloud ist meist die sicherere Wahl, wenn besonders schutzbedürftige Gespräche geführt werden, wenn die Erreichbarkeit auch bei Störung der Netzanbindung gesichert sein muss oder wenn sich die Verarbeitungsorte anders nicht belastbar nachweisen lassen.

Das betrifft in der Praxis vor allem Bereiche mit Sozial-, Gesundheits- oder Verfahrensdaten: Jugendämter, Sozialämter, Gesundheitsämter, Kliniken, Justizbehörden und Ordnungsbehörden. Hinzu kommt die Verfügbarkeit. Wo Telefonie mit Alarmierung oder Notruf verknüpft ist, etwa bei Rufanlagen nach DIN VDE 0834 oder bei Notfall- und Gefahren-Reaktions-Systemen (NGRS) nach DIN EN 50726-1 (VDE 0827-1), die seit Juni 2025 die Vornorm DIN VDE V 0827-1 ersetzt, darf die Erreichbarkeit nicht allein an einer Internetanbindung hängen. Für solche Anwendungen brauchen Sie einen Rückfallweg, der ohne den Cloud-Dienst funktioniert.

Meine Position dazu ist sachlich und nicht grundsätzlich: Nach Prüfung des Schutzbedarfs empfehle ich öffentlichen Auftraggebern in den meisten Fällen die eigene Anlage oder eine private Cloud im Rechenzentrum eines öffentlichen IT-Dienstleisters. Das ist keine pauschale Ablehnung öffentlicher Cloud-Dienste. Für Bereiche ohne besonderen Schutzbedarf, etwa allgemeine Servicerufnummern ohne Fallbezug, kann ein öffentlicher Dienst wirtschaftlich sinnvoll sein. Entscheidend ist, dass die Wahl aus einer dokumentierten Prüfung folgt und nicht aus dem Angebot, das gerade auf dem Tisch liegt. Die längerfristige Sicht darauf beschreibe ich unter digitale Souveränität.

Wie schreiben Sie eine Cloud-Telefonanlage produktneutral aus?

Beschreiben Sie Funktionen, Schutzziele und nachprüfbare Eigenschaften, nicht die Erzeugnisse einzelner Anbieter. § 31 VgV untersagt die Bezugnahme auf bestimmte Erzeugnisse ohne sachlichen Grund; unterhalb des jeweils geltenden EU-Schwellenwerts gilt Entsprechendes über § 23 UVgO. Eine Markterkundung nach § 28 VgV hilft Ihnen, den Leistungsumfang realistisch zu fassen, ohne einen Anbieter vorzuzeichnen.

Halten Sie Ihre Entscheidung im Vergabevermerk fest. Die Dokumentationspflicht nach § 8 VgV ist kein Formalismus, sondern Ihr Beleg dafür, dass die Wahl der Betriebsform sachlich begründet ist. Weitere Hinweise zum Verfahren finden Sie unter Ausschreibungen und Vergabe sowie im Leitfaden zur Ausschreibung einer Telefonanlage.

Welche Fehler passieren häufig?

Die meisten Fehler entstehen nicht durch falsche Technik, sondern durch die falsche Reihenfolge: Der Datenschutz wird geprüft, wenn das Verfahren bereits läuft. In der Praxis sehe ich vor allem diese Punkte.

1. Die datenschutzrechtliche Prüfung beginnt nach der Angebotsöffnung. Dann lassen sich Anforderungen nicht mehr ergänzen, ohne das Verfahren zu gefährden.
2. Der Vertrag zur Auftragsverarbeitung stammt vom Bieter und wird ungeprüft übernommen, samt pauschaler Genehmigung künftiger Unterauftragsverarbeiter.
3. Der Serverstandort wird abgefragt, der Zugriff aus der Betreuung nicht. Damit bleibt die entscheidende Frage offen.
4. Ein Zertifikat wird akzeptiert, ohne den Geltungsbereich zu lesen. Häufig deckt es nur einen Teil der angebotenen Leistung ab.
5. Löschfristen werden dem Anbieter überlassen. Es gelten dann dessen Vorgaben und nicht Ihre.
6. Die Personalvertretung wird erst nach dem Zuschlag beteiligt. Das verzögert die Inbetriebnahme und schwächt Ihre Position.
7. Notruf, Standortangabe und Alarmierung sind nicht geregelt. Bei einer Anlage ohne feste örtliche Bindung ist das ein ernstes Versäumnis.
8. Anforderungen sind als „wünschenswert“ formuliert. Damit sind sie unverbindlich und in der Wertung nicht durchsetzbar.
9. Es fehlt ein Ausstiegskonzept. Nach Vertragsende fehlen dann Datenexport, Rufnummernmitnahme und ein belegter Löschnachweis.

Was übernehme ich als Fachplaner in solchen Verfahren?

Ich plane, prüfe und begleite fachlich; die Ausführung übernehmen die beauftragten Fachfirmen. Konkret erhebe ich den Bestand und den Schutzbedarf je Bereich, führe die Markterkundung durch, stelle die Betriebsformen in einer nachvollziehbaren Bewertung gegenüber und erarbeite daraus die produktneutrale Leistungsbeschreibung mit den datenschutzrechtlichen Anforderungen, dem Nachweiskatalog und der Bewertungsmatrix. Ich stimme die Unterlagen mit der oder dem Datenschutzbeauftragten und mit der Personalvertretung ab, prüfe die Angebote fachlich, unterstütze bei Bieterfragen und begleite Inbetriebnahme und Abnahme. Grundlage sind über 25 Jahre Praxis und mehr als 100 begleitete Vergabeverfahren. Prüflisten und Vorlagen für den Einstieg finden Sie unter Downloads.