DSGVO & KI am Telefon: Datenschutz-Check für Unternehmen

Ein KI-Telefonassistent verarbeitet Stimme, Telefonnummer und Gesprächsinhalt, also personenbezogene Daten. Sie brauchen dafür eine Rechtsgrundlage, einen AV-Vertrag mit dem Anbieter, eine Information der Anrufer und in vielen Fällen eine Datenschutz-Folgenabschätzung.

Wer einen KI-Telefonassistenten einführt, stößt beim Thema DSGVO und KI schnell auf Ratgeber zu ChatGPT, Copilot und Trainingsdaten. Am Telefon liegen die Fragen anders: Hier spricht ein Kunde, der nichts unterschrieben hat, mit einer Maschine. Seine Stimme, seine Nummer und alles, was er sagt, laufen durch Telefonanbieter, Spracherkennung, Sprachmodell und Sprachausgabe, die oft bei verschiedenen Firmen liegen. Dieser Ratgeber zeigt, welche DSGVO-Pflichten Sie als Geschäftsführer konkret treffen, wo die Fallstricke beim Telefon liegen und wie Sie Anbieter im Datenschutz vergleichen.

Welche Daten ein KI-Telefonassistent verarbeitet

Personenbezogen sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierbare Person beziehen. Bei einem typischen Anruf sind das:

• Rufnummer und Verbindungsdaten (Zeitpunkt, Dauer)
• Stimme als Audiosignal, das zur Spracherkennung übertragen wird
• Gesprächsinhalt: Name, Anliegen, Wunschtermin, Kundennummer, Adresse
• Transkript und Zusammenfassung, die der Assistent erzeugt und an Ihr Team oder Ihr CRM weitergibt
• gegebenenfalls eine Audioaufzeichnung

Zwei Sonderfälle sollten Sie kennen. Erstens: Erzählt ein Anrufer von Beschwerden, Diagnosen oder Medikamenten, sind das Gesundheitsdaten nach Art. 9 DSGVO. Das passiert nicht nur in der Arztpraxis, sondern auch beim Physiotherapeuten, beim Optiker oder in der Versicherungsagentur. Zweitens: Die Stimme allein ist nicht automatisch ein biometrisches Datum. Das wird sie nach Art. 4 Nr. 14 DSGVO erst, wenn sie mit speziellen technischen Verfahren zur eindeutigen Identifizierung verarbeitet wird, etwa bei einer Stimm-Authentifizierung. Ein normaler Telefonassistent, der Anrufer nicht per Stimmabdruck erkennt, tut das nicht.

Die sieben DSGVO-Pflichten im Überblick

Hinzu kommt außerhalb der DSGVO die Pflicht zum KI-Hinweis nach Art. 50 KI-Verordnung, die seit dem 2. August 2026 gilt. Details dazu stehen in unserem Ratgeber zur KI-Kennzeichnungspflicht am Telefon.

Rechtsgrundlage: Wofür dürfen Sie die Daten nutzen?

Für den Kern eines Telefonassistenten kommen meist zwei Grundlagen in Betracht. Ruft ein Kunde an, um einen Termin zu buchen oder eine Bestellung zu klären, dient die Verarbeitung der Vertragsanbahnung oder -erfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für allgemeine Anfragen, Weiterleitung und Rückrufnotizen stützen sich Unternehmen häufig auf ihr berechtigtes Interesse an der Erreichbarkeit (Art. 6 Abs. 1 lit. f). Das erfordert eine dokumentierte Abwägung, und der Anrufer hat ein Widerspruchsrecht.

Eine Einwilligung (Art. 6 Abs. 1 lit. a) brauchen Sie vor allem für Zusätze, die über das Anliegen hinausgehen, typischerweise die Audioaufzeichnung. Die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz vom 6. Mai 2024 betont außerdem, dass Sie Zweck und Rechtsgrundlage vor dem Einsatz festlegen müssen, nicht danach.

Bei Gesundheitsdaten wird es enger. Art. 9 Abs. 2 DSGVO lässt die Verarbeitung nur in bestimmten Fällen zu. Wenn Ihr Assistent solche Angaben nicht braucht, lassen Sie ihn gezielt nicht danach fragen. Datensparsamkeit (Art. 5 Abs. 1 lit. c) ist hier der einfachste Schutz.

Anrufer informieren: Was am Anfang des Gesprächs stehen muss

Art. 13 DSGVO verlangt, dass Sie Betroffene zum Zeitpunkt der Erhebung informieren. Am Telefon können Sie keine zweiseitige Datenschutzerklärung vorlesen. Üblich ist daher ein gestuftes Vorgehen: eine kurze Ansage zu Beginn, die vollständigen Angaben in der Datenschutzerklärung auf Ihrer Website.

Die Ansage sollte drei Dinge enthalten: Sie sprechen mit einem KI-Assistenten, ob das Gespräch aufgezeichnet oder transkribiert wird, und wo es weitere Informationen gibt. Ein Beispiel:

„Guten Tag, hier ist der digitale KI-Assistent der Muster GmbH. Ich notiere Ihr Anliegen schriftlich für unser Team. Hinweise zum Datenschutz finden Sie auf muster.de/datenschutz. Möchten Sie lieber mit einem Mitarbeiter sprechen, sagen Sie einfach ‚Mitarbeiter‘.“

Prüfen Sie zusätzlich Ihre Datenschutzerklärung. Sie sollte einen eigenen Abschnitt zum Telefonassistenten haben: Anbieter, Zwecke, Rechtsgrundlagen, Speicherdauer von Audio und Transkript, Empfänger und Drittlandtransfers.

Aufzeichnung und Transkript: der heikelste Punkt

Hier treffen DSGVO und Strafrecht zusammen. Nach § 201 StGB macht sich strafbar, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt. Ein Kundengespräch ist nichtöffentlich. Eine Audioaufzeichnung ohne Einwilligung ist daher keine gute Idee, egal wie nützlich sie für die Qualitätskontrolle wäre.

Viele Unternehmen kommen ohne Audio aus und arbeiten nur mit Transkript und Zusammenfassung. Auch die sind personenbezogene Daten und brauchen eine Löschfrist. Die Anbieter lösen das sehr unterschiedlich, wie unsere ausgewerteten Unterlagen zeigen:

• fonio: Audioaufzeichnung zuschaltbar; laut AVV Löschung von Aufnahmen nach 30 Tagen, von Transkripten und Zusammenfassungen nach 90 Tagen. Lehnt der Anrufer ab, löscht fonio laut Hilfecenter Aufnahme und Transkript automatisch.
• Zeeg: Aufzeichnung sowie Transkript- und PII-Speicherung lassen sich je Assistent ein- und ausschalten; eine Speicherdauer nennt Zeeg nicht.
• Voico: Aufzeichnungen und Transkripte werden laut Datenschutzerklärung standardmäßig nicht dauerhaft gespeichert; aktiviert, gilt voreingestellt eine Aufbewahrung von höchstens 90 Tagen.
• SpeakKI: Transkripte und Aufzeichnungen sind in jedem Tarif enthalten, Audio wird laut Anbieter nach 30 Tagen gelöscht; für Transkripte nennt SpeakKI keine Frist.
• VITAS: Laut AVV wird jeder Anruf als Sprachaufzeichnung verarbeitet; eine Abschaltung ist öffentlich nicht beschrieben.

Mehr zu den rechtlichen Grenzen beim Mitschneiden lesen Sie in unserem Ratgeber Telefongespräche aufzeichnen.

Auftragsverarbeitung: Der AV-Vertrag und die Kette dahinter

Der Anbieter des Telefonassistenten verarbeitet die Daten in Ihrem Auftrag. Sie brauchen deshalb einen Vertrag nach Art. 28 DSGVO, kurz AVV. Was hineingehört, erklärt unser Glossar zum Auftragsverarbeitungsvertrag. Fast alle Anbieter in unserer Datenbank bieten einen AVV an. Bei eBuero, telli, AssistYou, Novofon, Voxiplan und savedhours konnten wir öffentlich keinen finden; dort sollten Sie vor Vertragsschluss nachfragen.

Wichtiger als der AVV selbst ist die Liste der Unterauftragsverarbeiter. Ein Telefonassistent besteht technisch aus mehreren Bausteinen: Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe, Hosting. Jeder Baustein kann bei einem anderen Dienstleister liegen. Ein gutes Beispiel für Offenheit ist fonio: Anhang 3 des AVV nennt Hetzner und OVH als Hosting, Twilio Irland und Voxbone Belgien für die Telefonie und OpenAI Ireland für das Sprachmodell, mit Verarbeitung in Europa.

Prüfen Sie im AVV außerdem, ob der Anbieter Ihre Gesprächsdaten zum Training eigener oder fremder Modelle verwenden darf. Steht dazu nichts drin, fragen Sie schriftlich nach.

Hosting und US-Dienstleister

„Server in Deutschland“ ist ein häufiges Werbeversprechen, aber nur ein Teil der Wahrheit. Der Speicherort sagt nichts darüber, wo die Spracherkennung oder das Sprachmodell rechnet. In unserer Auswertung von 39 Anbietern haben nur zwei ausdrücklich keine Dienstleister mit US-Sitz: VITAS (Open Telekom Cloud, Standorte Magdeburg und Biere) und smao (eigene Cloud in Deutschland, selbst betriebene Sprachmodelle). Die meisten anderen nutzen mindestens einen US-Konzern, oft mit EU-Region.

Das ist nicht automatisch unzulässig. Art. 44 ff. DSGVO erlauben Übermittlungen in Drittländer auf Grundlage eines Angemessenheitsbeschlusses, etwa des EU-US Data Privacy Framework vom 10. Juli 2023 für zertifizierte US-Firmen, oder auf Basis von Standardvertragsklauseln. Ob ein Dienstleister zertifiziert ist, lässt sich auf dataprivacyframework.gov prüfen. Aufwendiger wird es, wenn der Anbieter die Daten überwiegend in den USA verarbeitet. Das ist laut eigener Dokumentation bei Retell AI der Fall; Vapi bietet eine EU-Region nur im Premier Success Package, Bland AI Datenresidenz nur im Enterprise-Tarif. Diese Plattformen richten sich vor allem an Entwickler; für einen KMU-Einsatz ohne eigene Datenschutzabteilung sind sie aufwendiger abzusichern.

Datenschutz-Folgenabschätzung: wann sie Pflicht ist

Nach Art. 35 DSGVO ist eine DSFA nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Die Datenschutzkonferenz hat dazu eine Muss-Liste veröffentlicht. Zwei Einträge betreffen KI am Telefon direkt:

• Nr. 11: Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen. Als typisches Einsatzfeld nennt die Liste den Kundensupport mittels künstlicher Intelligenz, als Beispiel ein System, das mit Kunden durch Konversation interagiert und dabei personenbezogene Daten per KI verarbeitet.
• Nr. 13: Automatisierte Auswertung von Video- oder Audio-Aufnahmen zur Bewertung der Persönlichkeit der Betroffenen, Beispiel: Ein Callcenter wertet automatisiert die Stimmungslage der Anrufer aus.

Ein Telefonassistent, der eigenständig mit Kunden spricht, liegt damit nahe an Nr. 11. Rechnen Sie also damit, dass Ihr Datenschutzbeauftragter eine DSFA verlangt. Der Aufwand ist überschaubar, wenn der Anbieter gute Unterlagen liefert: AVV, Subprozessorliste, technische und organisatorische Maßnahmen, Zertifikate. Bei VITAS etwa nennt der Anbieter eine Prüfung nach BSI C5 Typ 1 und ISO 27001.

Anbieter im Datenschutz-Vergleich

Die folgende Tabelle zeigt eine Auswahl von Anbietern mit hohen Datenschutznoten nach unserer Methodik. In die Note fließen Hosting, AVV, Offenlegung der Subprozessoren, steuerbare Aufzeichnung und KI-Hinweis ein.

Kurz eingeordnet:

• VITAS hat in unserem Vergleich die höchste Datenschutznote: Hosting nur in Deutschland, keine US-Dienstleister, BSI C5. Der Anbieter zielt auf Arztpraxen und Kliniken.
• fonio hat nach unserer Methodik die beste Gesamtnote und eine im AVV offengelegte Subprozessorliste mit festen Löschfristen. Nutzt OpenAI, aber über die irische Gesellschaft mit Verarbeitung in Europa.
• smao betreibt die Sprachmodelle selbst in Deutschland und bietet On-Premises an. Interessant, wenn Sie US-Anbieter ganz vermeiden wollen.
• Zeeg stellt sich laut Anbieter bei jedem Anruf als KI vor und lässt Aufzeichnung und PII-Speicherung je Assistent abschalten.

Eine größere Auswahl mit Filter nach Hosting finden Sie im Vergleich DSGVO-konformer KI-Telefonassistenten aus Deutschland und in der Gesamtübersicht.

Checkliste vor dem Start

1. Zweck festlegen: Welche Anrufe nimmt der Assistent an, welche Daten braucht er dafür wirklich?
2. AVV abschließen und Subprozessorliste ablegen. Fehlt sie, schriftlich anfordern.
3. Drittlandtransfers prüfen: Welche Dienstleister sitzen in den USA, welche Transfergrundlage gilt?
4. Aufzeichnung entscheiden: Audio aus oder nur mit Einwilligung; Löschfristen für Audio und Transkript einstellen.
5. Ansage schreiben: KI-Hinweis, Aufzeichnungshinweis, Verweis auf Datenschutzerklärung, Weg zum Menschen.
6. Datenschutzerklärung ergänzen um einen Abschnitt zum Telefonassistenten.
7. Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 aktualisieren.
8. DSFA-Bedarf prüfen anhand von Art. 35 und der DSK-Muss-Liste, Ergebnis dokumentieren.
9. Zugriffe regeln: Wer im Team sieht Transkripte, wer exportiert, wer löscht?
10. Betroffenenrechte vorbereiten: Wie finden Sie Gespräche zu einer Rufnummer, wenn jemand Auskunft (Art. 15) oder Löschung (Art. 17) verlangt?

smao mit 50 Freiminuten testen →

Was passiert bei Verstößen?

Art. 83 DSGVO staffelt die Bußgelder. Verstöße gegen Pflichten wie Auftragsverarbeitung (Art. 28) oder Folgenabschätzung (Art. 35) können bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes kosten, Verstöße gegen Grundsätze, Rechtsgrundlagen, Betroffenenrechte oder Drittlandregeln bis 20 Mio. Euro oder 4 %. Es gilt jeweils der höhere Betrag. Für KMU realistischer als ein Höchstbußgeld sind Anordnungen der Aufsichtsbehörde, Auskunftsersuchen von Kunden und Abmahnungen. Wer die Checkliste oben abgearbeitet hat, hat die Unterlagen für solche Anfragen bereits beisammen.

Fazit

DSGVO und KI am Telefon schließen sich nicht aus, verlangen aber Vorbereitung. Die Pflicht liegt bei Ihrem Unternehmen, nicht beim Anbieter. Der Anbieter entscheidet aber, wie viel Arbeit das macht: Ein offener AVV mit Subprozessorliste, EU-Verarbeitung, abschaltbare Aufzeichnung und klare Löschfristen verkürzen die Abstimmung mit dem Datenschutzbeauftragten spürbar. Wenn Sie noch grundsätzlich vergleichen, wie Telefon-KI funktioniert, lesen Sie unseren Ratgeber zum Voicebot. Für die Kosten hilft der Kostenrechner.

Häufige Fragen

Passend zum Thema