DSGVO-konformer KI-Telefonassistent: die Bedingungen, ehrlich erklärt.

Darf man einen KI-Telefonassistenten überhaupt einsetzen?

Die kurze Antwort: ja – aber nicht bedingungslos. Sobald ein Anruf entgegengenommen, verstanden oder gespeichert wird, verarbeitet das System personenbezogene Daten (Name, Rufnummer, Anliegen), und die DSGVO greift voll. Der Einsatz ist zulässig, wenn die datenschutzrechtlichen Pflichten erfüllt sind. Wer Ihnen pauschale „100 %ige Rechtssicherheit" verspricht, vereinfacht zu stark; seriös ist eine prüfbare Liste von Bedingungen – und genau die finden Sie weiter unten.

Zwei Regelwerke greifen dabei ineinander: die DSGVO regelt, wie die personenbezogenen Daten verarbeitet werden dürfen, und die neue EU-KI-Verordnung ergänzt eine Transparenzpflicht speziell für KI-Systeme. Beide muss ein seriöser Anbieter mitdenken. Im Folgenden gehen wir die wichtigsten Punkte der Reihe nach durch – von der Rechtsgrundlage über die Auftragsverarbeitung bis zu den erhöhten Anforderungen in sensiblen Branchen.

Die Rechtsgrundlage (Art. 6 DSGVO)

Jede Verarbeitung braucht eine Rechtsgrundlage. Beim KI-Telefonassistenten kommen drei in Betracht: die Vertragsanbahnung (Art. 6 Abs. 1 lit. b – etwa eine Terminvereinbarung oder Angebotsanfrage), das berechtigte Interesse (lit. f – effizienter Kundenservice) oder die Einwilligung (lit. a). Fachquellen weisen darauf hin: Überwiegt das schutzwürdige Interesse der Betroffenen, gerade nicht von einer KI verarbeitet zu werden, kann die Sache in eine Einwilligungspflicht kippen. Bei sensiblen Daten ist die Einwilligung daher der sichere Weg.

Auftragsverarbeitung: der AVV (Art. 28 DSGVO)

Der Anbieter des KI-Telefonassistenten verarbeitet die Daten in Ihrem Auftrag – also als Auftragsverarbeiter. Damit ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO verpflichtend. Er regelt Weisungsbindung, technische und organisatorische Maßnahmen, Löschung und – wichtig – die eingesetzten Subdienstleister (etwa Cloud-Infrastruktur). Fehlt der AVV, ist der Einsatz schon formell rechtswidrig, unabhängig davon, wie gut die Technik ist.

Serverstandort & Drittland

Idealerweise werden die Gesprächsdaten in der EU oder im EWR verarbeitet. Fließen Daten in ein Drittland – in der Praxis vor allem in die USA, weil viele Sprach-KI-Dienste dort sitzen –, braucht es eine Transfergrundlage: das EU-US Data Privacy Framework oder Standardvertragsklauseln (Art. 46 DSGVO), ergänzt um eine Folgenabschätzung. Für sensible Branchen ist EU-Hosting nicht nur sicherer, sondern faktisch Voraussetzung. Achten Sie darauf, dass der Anbieter seine Subdienstleister und deren Standorte offenlegt.

KI-Transparenzpflicht (EU-KI-Verordnung, Art. 50)

Mit der EU-KI-Verordnung kommt eine klare Pflicht: KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Person erkennt, dass sie mit einer KI spricht – außer es ist ohnehin offensichtlich. Voicebots und Telefon-Assistenten sind ausdrücklich erfasst. Diese Pflicht aus Art. 50 der Verordnung gilt ab dem 2. August 2026; bei Verstößen sieht die Verordnung empfindliche Bußgeldrahmen vor. In der Praxis genügt eine kurze Ansage zu Beginn („Sie sprechen mit einem KI-Assistenten") – und transparente Information ist schon heute über die DSGVO-Informationspflichten geboten.

Informationspflichten gegenüber dem Anrufer

Unabhängig von der KI-Verordnung verlangt die DSGVO schon heute, dass Betroffene über die Verarbeitung ihrer Daten informiert werden (Art. 13). Beim Telefon lässt sich nicht die komplette Datenschutzerklärung vorlesen – deshalb hat sich ein Schichtenmodell bewährt: eine kurze, klare Ansage zu Gesprächsbeginn (wer verarbeitet, zu welchem Zweck, dass eine KI im Einsatz ist und wo weitere Informationen zu finden sind) und der ausführliche Teil in der Datenschutzerklärung auf Ihrer Website. So bleibt der Anruf praktikabel und die Information trotzdem vollständig. Wichtig ist, dass diese Hinweise zur tatsächlichen Verarbeitung passen – also etwa keine Aufzeichnung ankündigen, die gar nicht stattfindet, und umgekehrt.

Aufzeichnung, Datenminimierung & Technik

Wird das Gespräch aufgezeichnet, braucht das eine eigene Grundlage – in der Regel Hinweis und Einwilligung. Heimliches Mitschneiden des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar. Häufig ist eine Aufzeichnung gar nicht nötig: Nach dem Grundsatz der Datenminimierung (Art. 5 DSGVO) reichen meist strukturierte Felder – Name, Rufnummer, Zeitfenster, eine kurze Zusammenfassung – statt eines vollständigen Transkripts. Dazu kommen die üblichen technischen Maßnahmen: Verschlüsselung bei Übertragung und Speicherung, Zugriffsrechte, Protokollierung, definierte Löschfristen und umsetzbare Betroffenenrechte. Bei umfangreicher oder sensibler Verarbeitung kann eine Datenschutz-Folgenabschätzung (Art. 35) erforderlich sein.

Besonders sensibel: Praxen & Kanzleien

Für Arztpraxen und Zahnarztpraxen gilt mehr: Gesundheitsdaten sind eine besondere Datenkategorie (Art. 9 DSGVO), dazu kommt die ärztliche Schweigepflicht nach § 203 StGB. Ein externer KI-Dienstleister muss als „mitwirkende Person" eingebunden und in Textform zur Verschwiegenheit verpflichtet werden – inklusive der Subdienstleister. Dasselbe Prinzip gilt für Anwälte und Steuerberater mit Mandantendaten, ergänzt um die berufsrechtliche Pflicht aus § 43e BRAO. In diesen Branchen sind EU-Hosting und eine saubere Verschwiegenheitsverpflichtung kein Komfort, sondern Pflicht.

Checkliste: Worauf Sie bei jedem Anbieter achten sollten

Ein KI-Telefonassistent lässt sich DSGVO-konform betreiben, wenn diese acht Bedingungen erfüllt sind. Damit können Sie jeden Anbieter prüfen – auch uns:

Wie wir das handhaben

Wir verkaufen kein nacktes Tool, sondern richten den KI-Telefonagenten datenschutzkonform ein und betreuen ihn: AVV im Standard, Verarbeitung auf EU-Servern, eine konfigurierte KI-Ansage und bewusst sparsame, feldbasierte Erfassung statt Dauer-Mitschnitt. Für Praxen und Kanzleien setzen wir die zusätzliche Verschwiegenheitsverpflichtung um. Was wir nicht tun: pauschale „100 %-rechtssicher"-Versprechen geben. Die endgültige Konformität hängt immer auch von Ihrem Einsatz ab – wir sorgen dafür, dass die Voraussetzungen dafür stehen.

Wie der Assistent im Betrieb funktioniert, lesen Sie auf der Seite zum KI-Telefonassistenten; wie er im Vergleich zu Mailbox, Telefonservice und Co. abschneidet, im Vergleich.

Häufige Fragen