Datenschutz in der Cloud: Wo die Aufzeichnungen und Daten Ihrer Anrufe landen

Welche Daten ein Anruf hinterlässt (es sind mehr, als Sie denken)

Wenn Sie an einen geschäftlichen Anruf denken, stellen Sie sich wahrscheinlich nur das Audio vor. Tatsächlich erzeugt ein Anruf, der über eine Cloud-Telefonanlage läuft, mehrere Ebenen von Informationen:

• Die Aufzeichnung: die Stimme des Kunden und Ihres Agenten mit allem, was gesagt wurde. Sie kann Namen, Ausweisnummern, Adressen oder, in Branchen wie dem Gesundheitswesen, sehr heikle Informationen enthalten.
• Der Verbindungsdatensatz (CDR): wer angerufen hat, welche Nummer, um welche Uhrzeit, wie lange und welcher Agent das Gespräch angenommen hat. Auch ohne Audio sagt das viel über eine Person aus.
• Transkripte und Zusammenfassungen: Wenn Sie KI-Sprachagenten oder Gesprächsanalysen einsetzen, wird das Audio zu Text, der sich leicht durchsuchen, kopieren und teilen lässt.
• Die Kundendaten: der Datensatz in Ihrem CRM, die Notizen des Agenten, die Kauf- oder Zahlungshistorie, die mit jedem Kontakt verknüpft ist.

In Kolumbien ist alles, was die Identifizierung einer Person ermöglicht, ein personenbezogenes Datum, und die Stimme gehört dazu. Deshalb fallen all diese Ebenen unter das Datenschutzrecht.

Wo sie gespeichert werden und warum Sie das interessieren sollte

„Es liegt in der Cloud“ ist keine vollständige Antwort. Dahinter stehen physische Server in einem bestimmten Land, verwaltet von bestimmten Menschen. Das sind die Fragen, auf die es wirklich ankommt:

• Speicherland: Verlassen die Daten Kolumbien, betreten Sie das Feld der internationalen Übermittlung bzw. Weitergabe, für das eigene Regeln gelten.
• Verschlüsselung bei der Übertragung: Der Anruf und die Dateien müssen geschützt zwischen Telefon, Telefonanlage und Speicher übertragen werden, damit niemand sie unterwegs abfängt.
• Verschlüsselung im Ruhezustand: Gespeicherte Aufzeichnungen müssen verschlüsselt sein, damit eine gestohlene Kopie der Festplatte ohne die Schlüssel nutzlos ist.
• Backups: Auch Sicherungskopien sind personenbezogene Daten. Wenn Sie eine Aufzeichnung im Hauptsystem löschen, sie aber jahrelang in einem Backup weiterlebt, haben Sie sie nicht wirklich gelöscht.
• Wer Zugriff hat: Ihr Team, der Anbieter, die Subunternehmer des Anbieters. Jeder Zugriff sollte begründet sein und protokolliert werden.
• Wie lange sie aufbewahrt werden: „Für alle Fälle“ und für immer aufzubewahren erhöht das Risiko, ohne Mehrwert zu schaffen.

Was das Gesetz in Kolumbien verlangt

Der wichtigste Rahmen ist die Ley 1581 de 2012 (das kolumbianische Datenschutzgesetz) und ihre Durchführungsverordnung, das Decreto 1377 de 2013, heute zusammengefasst im Decreto 1074 de 2015. Im Oktober 2026 ist die Ley 1581 weiterhin in Kraft; im Kongress wurden Initiativen zu ihrer Modernisierung eingebracht, aber solange diese ihr Verfahren nicht abgeschlossen haben, gelten folgende Regeln:

• Vorherige und informierte Einwilligung: Sie brauchen die Zustimmung der betroffenen Person spätestens zum Zeitpunkt der Datenerhebung und müssen sie später nachweisen können. Sie kann schriftlich, mündlich oder durch ein eindeutiges Verhalten erteilt werden, aber Schweigen gilt nie als Zustimmung.
• Hinweis auf Aufzeichnung und Zweck: Die Person muss wissen, dass sie aufgezeichnet wird und wofür: Qualität, Nachweis eines Verkaufs, Vertragserfüllung. Wenn Sie die Aufzeichnungen später für einen anderen Zweck nutzen möchten, etwa zum Trainieren eines KI-Modells, benötigen Sie eine neue Einwilligung.
• Sensible Daten: Gesundheitsinformationen sind sensibel. Ihre Verarbeitung erfordert eine ausdrückliche Einwilligung, und Sie müssen darauf hinweisen, dass Angaben zu diesen Daten freiwillig sind.
• Rechte der Betroffenen: Ihre Kunden können ihre Daten einsehen, aktualisieren, berichtigen und löschen lassen, einen Nachweis der Einwilligung verlangen und sich bei der Superintendencia de Industria y Comercio (SIC) beschweren. Für Beschwerden gelten gesetzlich festgelegte Antwortfristen.
• Begrenzte Aufbewahrung: Die Daten dürfen nur so lange gespeichert werden, wie es für den Zweck angemessen und notwendig ist, unter Berücksichtigung gesetzlicher, buchhalterischer oder vertraglicher Pflichten. Ist der Zweck erfüllt, werden sie gelöscht.
• Datenverarbeitungsrichtlinie: Sie müssen eine schriftliche Richtlinie zur Datenverarbeitung in klarer Sprache haben, die den Betroffenen zur Verfügung steht.
• Daten im Ausland: Das Gesetz verbietet die Übermittlung von Daten in Länder ohne angemessenes Schutzniveau, abgesehen von Ausnahmen (etwa der ausdrücklichen Einwilligung der betroffenen Person). Wenn der ausländische Anbieter die Daten nur in Ihrem Auftrag als Auftragsverarbeiter verarbeitet, erlaubt das Decreto 1377 dies mit einem Übermittlungsvertrag, der seine Pflichten zu Sicherheit und Vertraulichkeit festlegt.
• Nationales Datenbankregister (RNBD): Gemäß dem Decreto 090 de 2018 müssen sich Gesellschaften und gemeinnützige Organisationen mit einem Gesamtvermögen von mehr als 100.000 UVT sowie öffentliche Einrichtungen bei der SIC registrieren. Erreicht Ihr Unternehmen diese Schwelle nicht, muss es dennoch alle übrigen Pflichten erfüllen.

Das Gesetz ermächtigt die SIC zudem, Sanktionen zu verhängen, darunter Geldbußen von bis zu 2.000 monatlichen Mindestlöhnen und die Aussetzung der Geschäftstätigkeit. Und wenn Sie künstliche Intelligenz auf Ihre Anrufe anwenden, beachten Sie die Circular Externa 002 de 2024 der SIC, die eine Risikobewertung und bei hohem Risiko eine Datenschutz-Folgenabschätzung verlangt.

Wenn Sie auch in Ecuador oder Peru tätig sind

Beide Länder haben eigene Regeln, daher reicht es nicht, das kolumbianische Gesetz einzuhalten:

• Ecuador: Die Ley Orgánica de Protección de Datos Personales (Datenschutzgesetz Ecuadors) wurde im Mai 2021 im Registro Oficial veröffentlicht, ihr Sanktionsregime gilt seit Mai 2023. Ihre allgemeine Durchführungsverordnung wurde mit dem Decreto Ejecutivo 904 erlassen und im November 2023 veröffentlicht. Sie gilt sogar für ausländische Unternehmen, die Daten von Personen in Ecuador verarbeiten.
• Peru: Die Ley 29733 (Datenschutzgesetz Perus) hat eine neue Durchführungsverordnung, genehmigt durch das Decreto Supremo 016-2024-JUS und in Kraft seit dem 30. März 2025. Zu den Neuerungen gehören die Pflicht, Sicherheitsvorfälle innerhalb von höchstens 48 Stunden der Behörde zu melden, sowie in bestimmten Fällen einen Datenschutzbeauftragten zu benennen, etwa wenn große Datenmengen oder sensible Daten als Kerntätigkeit verarbeitet werden.

Ein Beispiel: eine Klinik, die ihre Anrufe aufzeichnet

Stellen Sie sich eine Klinik in Medellín vor, die Termine telefonisch vergibt und alle Anrufe aufzeichnet. Darin nennen die Patienten Symptome, Medikamente und Diagnosen: sensible Daten. Folgendes sollte sie in Ordnung haben:

1. Eine Ansage zu Beginn des Anrufs, die mitteilt, dass aufgezeichnet wird, wozu und wo die Datenschutzrichtlinie einsehbar ist.
2. Eine ausdrückliche Einwilligung zur Verarbeitung von Gesundheitsdaten, so gespeichert, dass sie nachweisbar ist.
3. Eine klare Aufbewahrungsregel: zum Beispiel die Aufzeichnungen der Terminvergabe nur so lange aufbewahren, wie es zur Bearbeitung von Beschwerden nötig ist, und sie danach löschen, auch aus den Backups.
4. Rollenbasierter Zugriff: Die Rezeption sieht ihren Terminkalender, der Qualitätskoordinator hört Stichproben, und sonst lädt niemand Audiodateien herunter, ohne Spuren zu hinterlassen.
5. Ein Vertrag mit dem Cloud-Telefonieanbieter, der festhält, in welchem Land die Server stehen, wie die Dateien verschlüsselt werden und was mit den Daten bei Vertragsende geschieht.

Ein Inkassounternehmen hätte einen ähnlichen Fall, mit einer zusätzlichen Besonderheit: Neben dem Datenschutz muss es die Regeln für die Kontaktaufnahme mit Schuldnern aus der Ley 2300 de 2023 beachten.

Bewährte Praktiken, die Sie sofort umsetzen können

• Hinweis zu Beginn jedes Anrufs: kurz, klar und mit Zweckangabe. Tun Sie dasselbe bei ausgehenden Anrufen und bei Anrufen, die von KI-Sprachagenten angenommen werden.
• Aufbewahrungsrichtlinie je Anrufart: Vertrieb, Support und Inkasso brauchen nicht dieselbe Frist. Legen Sie jede fest und automatisieren Sie die Löschung.
• Rollenbasierte Zugriffe und Protokoll: Jede Person sieht nur, was sie braucht, und es wird festgehalten, wer was angehört oder heruntergeladen hat.
• Durchgängige Verschlüsselung: bei der Übertragung und im Ruhezustand, einschließlich Backups und Exporten.
• Verträge mit Ihrem Anbieter: ein Datenübermittlungsvertrag, der Speicherland, Sicherheitsmaßnahmen, Subunternehmer sowie Rückgabe oder Löschung bei Vertragsende regelt.
• Sicherheitsstandards als Orientierung: Die Norm ISO/IEC 27001:2022 beschreibt, wie man ein risikobasiertes Informationssicherheits-Managementsystem aufbaut. Wenn Ihr Anbieter sie kennt oder zertifiziert ist, ist das ein gutes Zeichen, ersetzt aber nicht Ihre eigenen Pflichten.

Was Sie Ihren Cloud-Telefonieanbieter fragen sollten

Bevor Sie eine Cloud-Telefonanlage oder eine Callcenter-Plattform beauftragen, verlangen Sie schriftliche Antworten auf diese Fragen:

1. In welchem Land und in welchem Rechenzentrum liegen die Aufzeichnungen, Verbindungsdaten und Transkripte?
2. Werden sie bei der Übertragung und im Ruhezustand verschlüsselt? Wer verwaltet die Schlüssel?
3. Wo befinden sich die Backups und wie lange werden sie aufbewahrt?
4. Kann ich Aufbewahrungsfristen und automatische Löschung konfigurieren?
5. Welche Mitarbeiter des Anbieters können auf meine Daten zugreifen, und wird das protokolliert?
6. Setzen Sie Subunternehmer oder KI-Dienste Dritter ein, die meine Audiodateien verarbeiten?
7. Unterzeichnen Sie einen Datenübermittlungsvertrag nach kolumbianischem Recht?
8. Wie werde ich bei einem Sicherheitsvorfall informiert?
9. Was geschieht mit meinen Daten, wenn ich den Dienst kündige?

Bei 19 80 TIC Cloud sind wir überzeugt, dass diese Fragen vom ersten Tag an klare Antworten haben sollten; wenn Sie Ihren Fall prüfen möchten, können Sie uns gern schreiben.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für konkrete Entscheidungen wenden Sie sich an einen auf Datenschutz spezialisierten Anwalt.