KI-Telefonassistent und Datenschutz: Was vor dem ersten Anruf geklärt sein muss

Ein KI-Telefonassistent nimmt Anrufe an, beantwortet wiederkehrende Fragen, erfasst Anliegen und leitet an Ihr Team weiter. Technisch ist das heute gut machbar. Die häufigste Frage in Gesprächen mit Geschäftsführern ist deshalb nicht, ob es funktioniert, sondern: Dürfen wir das, und was müssen wir vorher regeln?

Dieser Artikel ist eine Checkliste für die Punkte, die vor dem ersten echten Anruf geklärt sein sollten. Er stützt sich auf die Datenschutz-Grundverordnung (DSGVO), die KI-Verordnung der EU (AI Act) und deutsche Vorschriften, jeweils verlinkt. Stand: 29.09.2026. Er ersetzt keine Rechtsberatung und keine Prüfung durch Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten.

Was bei einem KI-Anruf technisch passiert

Um die Pflichten zu verstehen, hilft ein Blick auf den Datenfluss. Bei einem typischen KI-Telefonassistenten:

1. nimmt ein Telefonie-Anbieter den Anruf entgegen und übermittelt die Rufnummer des Anrufers,
2. wandelt eine Spracherkennung das Gesprochene in Text um,
3. erzeugt ein Sprachmodell die Antwort, die eine Sprachsynthese vorliest,
4. schreibt eine Anbindung das Ergebnis, etwa einen Rückrufwunsch oder einen Termin, in Ihr CRM oder Ihren Kalender.

An jedem dieser Schritte können unterschiedliche Anbieter beteiligt sein, oft in unterschiedlichen Ländern. Jeder Schritt verarbeitet personenbezogene Daten: Stimme, Rufnummer, Name und das, was die Person sagt.

1. Rechtsgrundlage festlegen

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für einen Telefonassistenten kommen meist zwei in Betracht:

• Art. 6 Abs. 1 lit. b: Der Anruf dient der Anbahnung oder Erfüllung eines Vertrags, etwa bei einer Terminvereinbarung oder Auftragsannahme.
• Art. 6 Abs. 1 lit. f: berechtigtes Interesse, etwa an der Erreichbarkeit und an der Bearbeitung allgemeiner Anfragen. Hier müssen Sie die Interessen der Anrufenden abwägen und dokumentieren.

Eine Einwilligung (lit. a) ist am Telefon schwer sauber einzuholen und jederzeit widerrufbar. Für Standardanliegen ist sie meist nicht die tragfähigste Grundlage. Anders ist es bei Zusatzfunktionen wie einer Aufzeichnung, dazu unten mehr.

Besondere Vorsicht bei Gesundheitsdaten: Wenn Anrufende Ihnen Diagnosen, Beschwerden oder Behandlungen nennen, etwa in einer Praxis, sind das besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dafür gelten strengere Voraussetzungen. Klären Sie diesen Fall vor dem Start ausdrücklich.

2. Am Anfang des Gesprächs informieren

Zwei Pflichten treffen hier zusammen.

Die KI-Verordnung verlangt in Art. 50 Abs. 1, dass KI-Systeme, die direkt mit Menschen interagieren, so gestaltet sind, dass die Personen erfahren, dass sie mit einem KI-System sprechen, sofern das nicht offensichtlich ist. Nach Art. 113 gilt Art. 50 seit dem 2. August 2026.

Die DSGVO verlangt in Art. 13 Informationen zum Zeitpunkt der Erhebung: wer verantwortlich ist, zu welchem Zweck und auf welcher Grundlage verarbeitet wird, wie lange gespeichert wird und welche Rechte bestehen. Am Telefon ist ein gestuftes Vorgehen üblich: eine kurze Ansage mit den wichtigsten Punkten und ein Verweis auf die vollständige Information, etwa auf Ihrer Website.

Eine Ansage kann so beginnen: „Guten Tag, Sie sprechen mit dem digitalen Assistenten der Firma Muster. Ich bin eine KI. Ihr Anliegen wird zur Bearbeitung erfasst. Informationen zum Datenschutz finden Sie unter muster.de/datenschutz. Wenn Sie lieber mit einem Menschen sprechen möchten, sagen Sie einfach ‚Mitarbeiter‘.“

3. Aufzeichnung: ja oder nein?

Hier liegt das größte Risiko. Wer das nichtöffentlich gesprochene Wort eines anderen ohne Befugnis aufnimmt, macht sich nach § 201 StGB strafbar. Eine vollständige Tonaufzeichnung braucht deshalb in der Regel eine ausdrückliche Einwilligung, die vor Beginn der Aufnahme eingeholt wird.

Unterscheiden Sie genau:

• Verarbeitung ohne Speicherung: Die Sprache wird in Echtzeit in Text umgewandelt, die Audiodaten werden nicht gespeichert. Das ist der Normalfall für die Gesprächsführung.
• Gesprächsnotiz: Gespeichert wird eine Zusammenfassung des Anliegens, zum Beispiel „Rückruf gewünscht wegen Angebot“. Das ist meist ausreichend und datensparsam.
• Vollständiges Transkript oder Tonaufnahme: Nur mit klarem Zweck, klarer Rechtsgrundlage und kurzer Speicherdauer.

Prüfen Sie bei jedem Anbieter, ob er Audiodaten standardmäßig speichert, und schalten Sie das ab, wenn Sie es nicht brauchen.

4. Verträge mit allen Beteiligten schließen

Jeder Anbieter, der im Auftrag personenbezogene Daten verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei einem Telefonassistenten sind das oft mehrere: Telefonie, Spracherkennung, Sprachmodell, Sprachsynthese, Plattform für die Gesprächssteuerung und die Anbindung an Ihre Systeme.

Fragen Sie jeden Anbieter:

• Wo werden die Daten verarbeitet und gespeichert?
• Welche Unterauftragsverarbeiter sind beteiligt?
• Werden Gesprächsinhalte zum Training von Modellen verwendet, und lässt sich das abschalten?
• Wie lange werden Daten gespeichert, und wie werden sie gelöscht?

5. Drittlandübermittlung prüfen

Viele Sprach-KI-Dienste sitzen in den USA. Eine Übermittlung dorthin ist möglich, wenn der Anbieter nach dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss 2023/1795) oder wenn Standardvertragsklauseln mit zusätzlichen Maßnahmen vereinbart sind. Die Zertifizierung können Sie in der Teilnehmerliste des Data Privacy Framework prüfen. Wo es EU-Regionen oder europäische Anbieter gibt, ist das oft der einfachere Weg.

6. Speicherdauer und Löschung festlegen

Legen Sie für jede Datenart eine Frist fest: Audio (wenn überhaupt), Transkripte, Gesprächsnotizen, Einträge im CRM. Gesprächsnotizen zu einem Auftrag folgen den Fristen des Auftrags. Protokolle der Plattform brauchen Sie meist nur für wenige Tage zur Fehlersuche. Prüfen Sie, dass die Löschung auch bei den Anbietern tatsächlich stattfindet, nicht nur in Ihrem eigenen System.

7. Menschen entscheiden lassen

Nach Art. 22 DSGVO dürfen Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung grundsätzlich nicht ausschließlich automatisiert getroffen werden. Ein Telefonassistent sollte deshalb Anliegen aufnehmen, Termine anbieten und weiterleiten, aber keine Anträge ablehnen oder Konditionen festlegen. Legen Sie fest, wann der Assistent an einen Menschen übergibt, und sorgen Sie dafür, dass das auch außerhalb der Geschäftszeiten funktioniert, zum Beispiel mit einem verbindlichen Rückruf.

8. Dokumentieren

Tragen Sie die Verarbeitung in Ihr Verzeichnis der Verarbeitungstätigkeiten ein, ergänzen Sie Ihre Datenschutzerklärung und prüfen Sie, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Bei neuen Technologien und sensiblen Daten ist das häufig der Fall. Eine gute Grundlage für die Bewertung ist die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz vom 6. Mai 2024.

Die KI-Verordnung verlangt außerdem seit dem 2. Februar 2025 in Art. 4, dass Personal, das mit KI-Systemen arbeitet, über ausreichende KI-Kompetenz verfügt. Eine kurze Schulung für die Mitarbeitenden, die Übergaben vom Assistenten annehmen, gehört deshalb zur Einführung.

Und wenn der Assistent auch auf der Website spricht?

Wird der Sprachassistent zusätzlich als Widget auf der Website angeboten, kommt § 25 TDDDG hinzu. Das Speichern und Auslesen von Informationen auf dem Endgerät, etwa Cookies oder lokaler Speicher des Widgets, ist nur mit Einwilligung zulässig, es sei denn, es ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich. Laden Sie das Widget erst, wenn Besucher es aktiv starten.

Die Checkliste in Kurzform

• Rechtsgrundlage je Zweck festgelegt, Sonderfall Gesundheitsdaten geprüft
• Ansage: Hinweis auf KI, Kurzinformation Datenschutz, Weg zum Menschen
• Aufzeichnung abgeschaltet oder mit Einwilligung vor Beginn
• AVV mit allen Anbietern, Liste der Unterauftragsverarbeiter liegt vor
• Drittlandübermittlung geprüft und dokumentiert
• Speicherfristen je Datenart festgelegt, Löschung beim Anbieter geprüft
• Übergabe an Menschen definiert, keine automatisierten Entscheidungen
• Verarbeitungsverzeichnis, Datenschutzerklärung, ggf. Folgenabschätzung
• Team geschult

Wie wir vorgehen

Wir richten KI-Telefonassistenten so ein, dass diese Punkte vor dem Start geklärt sind, und legen offen, welche Anbieter wo beteiligt sind. Die rechtliche Bewertung Ihres Einzelfalls bleibt bei Ihnen und Ihrer Datenschutzberatung. Mehr dazu auf den Seiten KI-Telefonassistent und Datensicherheit.

Hinweis: Dieser Artikel ist keine Rechtsberatung. Er fasst die verlinkten Vorschriften zusammen, Stand 29.09.2026.