Bestandsdaten nach §§ 172-174 TKG: Pflichten, Schwellen und Auskunftsprozess

Diese Seite behandelt die Daten, die TK-Anbieter für Auskünfte an Sicherheitsbehörden vorhalten, und die drei Auskunftswege nach §§ 172 bis 174 TKG. Die Überwachung der Telekommunikation selbst ist ein eigenes Thema, das die Seite § 170 TKG und TKÜV behandelt. Wie Sie den Schutz dieser Daten im Sicherheitskonzept nach § 166 TKG darstellen, steht am Ende der Seite.

Rechtsstand: TKG in der Fassung vom 22.10.2026, Kundendatenauskunftsverordnung (KDAV), Auslegungshinweise der Bundesnetzagentur zu §§ 172, 173 TKG Version 1.1 vom 07.11.2024, geprüft am 06.11.2026. Diese Seite gibt allgemeine Informationen und ist keine Rechtsberatung. Ob und wie eine Pflicht Ihr Unternehmen trifft, klärt im Einzelfall eine Rechtsanwältin oder ein Rechtsanwalt.

Was sind Bestandsdaten, und was sind die Daten nach § 172?

Das TKG kennt zwei verschiedene Datenbestände. Bestandsdaten sind nach § 3 Nr. 6 TKG die Daten eines Endnutzers, die für Begründung, Ausgestaltung, Änderung oder Beendigung des Vertrags über TK-Dienste erforderlich sind. Welche das sind, ergibt sich aus Ihrem Vertragsverhältnis. Die Daten nach § 172 TKG sind ein gesetzlich festgelegter Satz, den bestimmte Anbieter eigens für die Auskunftsverfahren erheben, auch wenn sie ihn betrieblich nicht brauchen und auch wenn der Kunde nicht im Telefonbuch steht:

• Rufnummern und andere vom Anbieter vergebene Anschlusskennungen,
• Name und Anschrift des Anschlussinhabers, bei natürlichen Personen das Geburtsdatum,
• bei Festnetzanschlüssen die Anschrift des Anschlusses,
• bei einem mit überlassenen Mobilfunkgerät dessen Gerätenummer,
• Datum der Rufnummernvergabe und, wenn abweichend, des Vertragsbeginns; Ende der Zuordnung und Vertragsende, sobald bekannt.

Andere Anschlusskennungen sind nach den Auslegungshinweisen der Bundesnetzagentur in der Praxis vor allem die IMSI, E-Mail-Adressen nur dann, wenn der Anbieter sie selbst vergeben hat. Davon zu trennen sind Verkehrsdaten, also Daten, die bei der Erbringung eines Dienstes anfallen (§ 3 Nr. 70 TKG), und die Inhalte der Kommunikation. Bestandsdaten sagen, wem ein Anschluss gehört, Verkehrsdaten, wann und wie er genutzt wurde.

Wer ist wozu verpflichtet?

Jeder der drei Paragrafen hat einen eigenen Kreis von Verpflichteten. Die Übersicht gibt den Wortlaut verkürzt wieder.

Nach unserer Lesart heißt das für die meisten kleinen Anbieter: Erhebung nach § 172, wenn sie Rufnummern oder Anschlusskennungen vergeben, die manuelle Auskunft nach § 174 und das E-Mail-Verfahren nach § 174 Abs. 7. Das automatisierte Verfahren nach § 173 betrifft sie erst oberhalb der Schwelle der KDAV. Ein reiner Internetzugangsanbieter, der keine Rufnummern vergibt, fällt nicht unter § 173.

§ 172: Daten erheben, berichtigen und löschen

Die Daten sind vor der Freischaltung zu erheben und unverzüglich zu speichern, für das manuelle Verfahren in beliebiger Form. Die Bundesnetzagentur verlangt vollständige und zutreffende Daten und lässt die Wahl der Mittel offen. Bekannt gewordene Änderungen sind unverzüglich zu berichtigen (Abs. 4). Wer die Erhebung einem Dritten überlässt, etwa einem Vertriebspartner, bleibt selbst verantwortlich (Abs. 5). Ein Vorleister ist nach den Auslegungshinweisen erst verpflichtet, wenn er selbst Rufnummern oder Anschlusskennungen vergibt.

Die Daten nach § 172 sind mit Ablauf des Kalenderjahres nach Vertragsende zu löschen (Abs. 6). Für die übrigen Bestandsdaten regelt § 172 die Löschung nicht, nach unserer Lesart gilt dort das Datenschutzrecht. Eine Entschädigung für Erhebung und Speicherung gibt es nicht (Abs. 7).

§ 173: automatisiertes Auskunftsverfahren und die Schwelle der KDAV

Im automatisierten Verfahren hält der Anbieter Kundendateien bereit, aus denen die Bundesnetzagentur jederzeit Daten abrufen kann, auch mit unvollständigen Angaben und über eine Ähnlichenfunktion. Sie führt keine eigene Datenbank und leitet die Ersuchen von abschließend neun Gruppen berechtigter Stellen automatisiert weiter, darunter Strafverfolgung, Polizei, Nachrichtendienste, Notrufabfragestellen und BaFin. Der Anbieter muss sicherstellen, dass ihm die abgerufenen Daten nicht zur Kenntnis gelangen. In die Dateien gehören auch an andere Anbieter vergebene Rufnummernkontingente und bei Portierung die Portierungskennung, ein Auftragsverarbeiter darf sie führen. Technik und Betrieb nach der TR-AAV (Ausgabe 2.0, in Kraft seit 25.07.2019) gehen auf eigene Kosten, ohne Entschädigung.

Die Verordnung nach § 173 Abs. 5, die KDAV, beschränkt die Pflicht auf Anbieter öffentlich zugänglicher Dienste, die Rufnummern vergeben und mehr als 10.000 Teilnehmer haben. Ihr Titel verweist noch auf § 112 des alten TKG. Die Bundesnetzagentur bestätigt die Schwelle in ihren FAQ.

§ 174: manuelles Auskunftsverfahren

Das manuelle Verfahren ist der weiteste Kreis: Wer TK-Dienste erbringt oder daran mitwirkt, darf seine Bestandsdaten und die Daten nach § 172 für Auskünfte an die berechtigten Stellen verwenden und muss sie auf Ersuchen übermitteln. Umfasst sind auch Daten, die den Zugriff auf Endgeräte oder Speicher schützen, etwa PIN oder PUK (unser Beispiel), und Auskünfte zu einer IP-Adresse zu einem bestimmten Zeitpunkt. Für eine IP-Auskunft dürfen Verkehrsdaten automatisiert ausgewertet werden, und alle unternehmensinternen Datenquellen sind einzubeziehen (§ 174 Abs. 1).

Formale Voraussetzungen (Abs. 2): Die Stelle verlangt die Auskunft im Einzelfall und nennt die gesetzliche Bestimmung, die ihr die Erhebung erlaubt. Das Verlangen ist schriftlich oder elektronisch zu stellen. Bei Gefahr im Verzug darf die Auskunft auch auf ein anders gestelltes Verlangen erteilt werden, das dann unverzüglich schriftlich oder elektronisch nachzureichen ist. Die Verantwortung für die Zulässigkeit trägt die ersuchende Stelle.

Berechtigte Stellen (Abs. 3): Strafverfolgungs- und Bußgeldbehörden, Gefahrenabwehrbehörden, Bundeskriminalamt und Zollkriminalamt als Zentralstellen, Verfassungsschutz, Militärischer Abschirmdienst, Bundesnachrichtendienst und BSI, für das BSI mit einer Übergangsregel (§ 230 Abs. 16). Zugangsdaten zu Endgeräten gibt es nur, wenn die Stelle sie im Einzelfall auch nutzen darf (Abs. 4), Auskünfte zu IP-Adressen nur an einen engeren Kreis (Abs. 5).

Übermittlung (Abs. 6): Wer geschäftsmäßig TK-Dienste erbringt oder daran mitwirkt, übermittelt unverzüglich und vollständig und schweigt gegenüber dem Betroffenen und Dritten über Ersuchen und Auskunft.

Die Schnittstelle nach § 174 Abs. 7

Wer öffentlich zugängliche TK-Dienste erbringt, hält für Ersuchen und Auskünfte gesicherte elektronische Schnittstellen nach der Telekommunikations-Überwachungsverordnung (TKÜV) und der Technischen Richtlinie nach § 170 Abs. 6 bereit. Ab 100.000 Vertragspartnern sind es die Schnittstelle und das E-Mail-Verfahren, darunter nur das E-Mail-Verfahren (bei der Bundesnetzagentur „E-Mail-ESB“). Einzelne Vorschriften der TKÜV gelten entsprechend (§ 174 Abs. 7 Satz 4). Jedes Ersuchen prüft eine verantwortliche Fachkraft auf die formalen Voraussetzungen nach Abs. 2, und erst nach positivem Ergebnis geht es weiter. Die Prüfung durch die Fachkraft entfällt nur, wenn die Schnittstelle sie automatisch leistet.

Was die Bundesnetzagentur dafür erwartet:

• eine Mitteilung über das Vorliegen der Verpflichtung auf ihrem Formular, mit Größenklasse, eigener Stelle oder Erfüllungsgehilfe und geplanter Inbetriebnahme,
• unter 100.000 Vertragspartnern ein Konzept nach ihrem Musterkonzept E-Mail-ESB, das sie als Vorgabe für die vorzulegende Unterlage nach § 19 Abs. 2 TKÜV bezeichnet,
• Protokollierung nach § 35 TKÜV, Prüfung durch Referat 218 einschließlich Prüfung vor Ort.

Ein Erfüllungsgehilfe ist zulässig, eine Rufbereitschaft außerhalb der Geschäftszeiten sehen die Regelungen laut Musterkonzept nicht vor. Über dieselben Schnittstellen laufen auch Auskünfte über Verkehrsdaten. Die aktuelle TR TKÜV Ausgabe 9.0 steht im Amtsblatt 18/2026 der Bundesnetzagentur vom 23.09.2026. Die Technik der Schnittstellen und die Überwachungstechnik nach § 170 TKG bieten wir nicht an. Wir helfen bei Prozess, Rollen und Dokumentation.

Die Kosten der Vorkehrungen für das manuelle Verfahren trägt der Anbieter selbst (§ 174 Abs. 1 Satz 5). Zuständig ist die Bundesnetzagentur, für das automatisierte Verfahren Referat 216, für die Schnittstelle Referat 218.

Bußgelder und Durchsetzung in Kürze

Bußgeldbewehrt sind vor allem Erhebung, Speicherung, Berichtigung und Löschung der Daten nach § 172 (bis 300.000 €), der jederzeit mögliche Abruf nach § 173 (bis 500.000 €) und das Stillschweigen nach § 174 Abs. 6 Satz 2 (bis 50.000 €), bei Fahrlässigkeit halbiert sich der Höchstbetrag nach unserer Lesart (§ 17 Abs. 2 OWiG). Die Schnittstelle nach § 174 Abs. 7 hat keinen Bußgeldtatbestand, die Bundesnetzagentur kann sie wie die übrigen Pflichten nach § 183 TKG mit Anordnungen und Zwangsgeld bis 1 Mio. € durchsetzen, das Einfrieren des Kundenstamms bei wiederholten Verstößen gilt aber nur für bestimmte Pflichten aus §§ 172 bis 174, darunter Erhebung, Kundendateien und manuelle Auskunft, und nicht für die Schnittstelle. Alle Tatbestände mit Nummern und Höchstbeträgen und die Befugnisse nach § 183 stehen auf der Seite Bußgelder nach dem TKG.

Bestandsdaten im Sicherheitskonzept

Nach § 165 Abs. 1 TKG trifft jeder, der TK-Dienste erbringt oder daran mitwirkt, angemessene Vorkehrungen gegen die Verletzung des Schutzes personenbezogener Daten. Das Sicherheitskonzept beschreibt die Maßnahmen zu § 165 Abs. 1 bis 7 (§ 166 Abs. 1 Nr. 3). Nach unserer Lesart gehören Kundendatenbanken, Auskunftspostfach und Auskunftsprozess deshalb in das Konzept, mit Zugriffsrechten, Protokollierung und Löschung. Wie die Schutzmaßnahmen im Einzelnen aussehen, steht auf der Seite Schutzmaßnahmen nach § 165 TKG.

Ein Risiko sehen wir in gefälschten Ersuchen: Wer sich als Behörde ausgibt, will Name und Anschrift zu einer Rufnummer. Die Formprüfung durch die verantwortliche Fachkraft ist deshalb auch eine Sicherheitsmaßnahme. Daneben gilt das Datenschutzrecht für alle diese Daten.

Beispiel: Auskunftsprozess eines VoIP-Anbieters

Fiktives Beispiel, kein Kunde. Ein VoIP-Anbieter mit 25 Beschäftigten bietet Geschäftskunden öffentlich zugängliche Telefonie an. Er vergibt Rufnummern aus eigenen Blöcken und hat rund 6.000 Teilnehmer bei etwa 900 Vertragspartnern. Nach unserer Einordnung muss er die Daten nach § 172 Abs. 1 erheben, manuell Auskunft geben und das E-Mail-Verfahren bereithalten. Kundendateien für das automatisierte Verfahren muss er nach der KDAV erst ab mehr als 10.000 Teilnehmern vorhalten. Die Mitteilung nach § 174 Abs. 7 hat er abgegeben. An einem Dienstag um 10:40 Uhr geht über das E-Mail-Verfahren ein Ersuchen einer Kriminalpolizeiinspektion zum Inhaber einer Rufnummer ein.

So sieht sein Ablauf aus, alle Angaben erfunden:

Fehlt eine formale Voraussetzung, geht das Ersuchen mit einer kurzen Begründung an die Stelle zurück. Die Spalte „Empfehlung“ gibt unsere fachliche Einschätzung wieder, das Gesetz schreibt diese Schritte nicht vor. Zweifel an der Berechtigung oder Form eines Ersuchens klärt die Fachkraft mit der Rechtsabteilung oder einer Rechtsanwältin oder einem Rechtsanwalt, bevor Daten herausgehen.

Drei typische Lücken

Wenn Sie Ihren Auskunftsprozess aufsetzen oder prüfen wollen, sprechen Sie uns an. Einen Überblick über alle TK-Sicherheitspflichten und unsere Festpreise finden Sie unter TK-Sicherheit nach TKG.