KI-Telefonassistent und DSGVO: So setzen Sie ihn rechtssicher ein

Ein KI-Telefonassistent lässt sich datenschutzkonform betreiben, wenn fünf Punkte stimmen: ein klarer Zweck mit Rechtsgrundlage, ein Hinweis zu Beginn des Gesprächs, ein Vertrag zur Auftragsverarbeitung mit dem Anbieter, sparsame Speicherung und ein geprüfter Serverstandort. Gespräche dürfen nicht ohne Einwilligung aufgezeichnet werden. Dieser Artikel gibt einen Überblick aus Praxissicht und ersetzt keine Rechtsberatung.

Welche Daten ein KI-Telefonassistent verarbeitet

Schon ein kurzes Telefonat erzeugt eine Reihe personenbezogener Daten im Sinne der DSGVO:

• die Telefonnummer des Anrufers und Zeitpunkt des Anrufs
• die Stimme, die zur Spracherkennung verarbeitet wird
• das Transkript des Gesprächs, also der Text dessen, was gesagt wurde
• Inhalte wie Name, Anschrift, Auftragsnummer oder Terminwunsch
• im Einzelfall sensible Daten, etwa Gesundheitsangaben bei Arztpraxen

Für jede dieser Datenarten sollten Sie wissen, wo sie verarbeitet wird, wie lange sie gespeichert bleibt und wer Zugriff hat. Das ist die Grundlage für alle weiteren Schritte.

Rechtsgrundlage und Zweck festlegen

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Bei einem KI-Telefonassistenten kommen in der Praxis vor allem zwei infrage:

• Vertragsanbahnung oder -erfüllung: Der Anrufer will einen Termin, eine Auskunft zu seinem Auftrag oder ein Angebot.
• Berechtigtes Interesse: etwa die Erreichbarkeit außerhalb der Geschäftszeiten oder die strukturierte Erfassung von Anliegen.

Legen Sie den Zweck schriftlich fest und halten Sie sich daran. Daten, die für das Anliegen nicht nötig sind, sollte der Assistent gar nicht erst abfragen. Bei besonders sensiblen Daten, etwa Gesundheitsdaten in Praxen, gelten strengere Anforderungen – hier sollten Sie Ihren Datenschutzbeauftragten früh einbeziehen.

Transparenz: Der Hinweis zu Beginn des Gesprächs

Anrufende müssen wissen, mit wem sie sprechen und was mit ihren Daten passiert. In der Praxis bewährt sich eine kurze Begrüßung, die drei Dinge sagt:

1. dass ein digitaler Assistent bzw. eine KI das Gespräch führt,
2. wofür die Angaben verwendet werden,
3. wo die vollständigen Datenschutzinformationen zu finden sind (zum Beispiel auf Ihrer Website).

Die Informationspflichten nach Art. 13 DSGVO lassen sich nicht vollständig am Telefon vorlesen. Üblich ist ein gestuftes Vorgehen: kurzer Hinweis im Gespräch, ausführliche Informationen in der Datenschutzerklärung. Auch die KI-Verordnung der EU (AI Act) sieht vor, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren. Ein offener Hinweis ist damit nicht nur höflich, sondern Pflicht.

Auftragsverarbeitung und Serverstandort

Der Anbieter des KI-Assistenten verarbeitet die Daten in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. Prüfen Sie dabei:

• Wo stehen die Server? Rechenzentren in Deutschland oder der EU vereinfachen vieles.
• Welche Unterauftragnehmer werden eingesetzt – etwa für Spracherkennung, Sprachmodell oder Sprachausgabe? Viele Assistenten kombinieren mehrere Dienste.
• Findet eine Übermittlung in Drittländer statt, zum Beispiel in die USA? Dann braucht es eine tragfähige Grundlage wie einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
• Werden Gesprächsdaten zum Training der KI-Modelle des Anbieters verwendet? Das sollte vertraglich ausgeschlossen sein.

Lassen Sie sich die Liste der Unterauftragnehmer zeigen. Ein seriöser Anbieter legt sie offen.

Aufzeichnung und Transkripte

Hier ist besondere Vorsicht geboten. Das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes ist in Deutschland strafbar. Eine Audioaufnahme ist deshalb nur mit ausdrücklicher Einwilligung des Anrufenden zulässig – und die muss er auch verweigern können, ohne dass das Gespräch scheitert.

Transkripte und Zusammenfassungen sind datenschutzrechtlich ebenfalls Verarbeitungen. Empfehlenswert ist:

• Audio nach der Verarbeitung nicht dauerhaft speichern, sofern keine Einwilligung vorliegt
• nur die für das Anliegen nötigen Angaben als Ticket, E-Mail oder CRM-Eintrag weitergeben
• Löschfristen festlegen, etwa automatische Löschung von Transkripten nach wenigen Wochen
• Zugriffe auf die Personen beschränken, die das Anliegen bearbeiten

Dokumentation: Was Sie schriftlich festhalten sollten

Für den Nachweis gegenüber Aufsichtsbehörden und Kunden sollten Sie folgende Unterlagen haben:

• Eintrag im Verzeichnis von Verarbeitungstätigkeiten für den KI-Assistenten
• AV-Vertrag mit dem Anbieter und Liste der Unterauftragnehmer
• Ergänzte Datenschutzerklärung auf der Website mit einem Abschnitt zur telefonischen Kontaktaufnahme
• Löschkonzept für Transkripte, Zusammenfassungen und ggf. Aufnahmen
• bei hohem Risiko, etwa sensiblen Daten in großem Umfang, eine Datenschutz-Folgenabschätzung

Das klingt aufwendig, ist aber in den meisten Fällen in wenigen Stunden erledigt, wenn der Anbieter gute Unterlagen liefert. Seit Februar 2025 verlangt die KI-Verordnung außerdem, dass Unternehmen beim Einsatz von KI für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen – eine kurze Einweisung des Teams gehört also dazu.

Besonderheiten für Praxen, Kanzleien und andere Berufsgeheimnisträger

Ärztinnen, Steuerberater, Rechtsanwältinnen und andere Berufsgeheimnisträger unterliegen neben der DSGVO einer strafrechtlich geschützten Schweigepflicht. Schon die Tatsache, dass jemand Mandant oder Patient ist, kann darunter fallen. Für den Einsatz eines KI-Telefonassistenten bedeutet das:

• Der Anbieter muss als mitwirkende Person zur Verschwiegenheit verpflichtet werden; das gehört in den Vertrag.
• Der Assistent sollte nur das Nötigste abfragen, etwa Name, Rückrufnummer und Art des Anliegens, aber keine Diagnosen oder Details zum Mandat.
• Auskünfte zu laufenden Vorgängen gibt der Assistent grundsätzlich nicht. Er nimmt die Rückrufbitte auf, die Antwort kommt von einem Menschen.
• Ein Serverstandort in der EU und eine kurze Speicherdauer sind hier besonders wichtig.

Sprechen Sie in diesen Fällen vor dem Start mit Ihrem Datenschutzbeauftragten und gegebenenfalls Ihrer Kammer. Branchenhinweise finden Sie auch auf unseren Seiten für Steuerberater und Kanzleien und Arztpraxen.

Checkliste für den Start

• Zweck und Rechtsgrundlage schriftlich festgelegt
• Begrüßung mit KI-Hinweis und Verweis auf Datenschutzinformationen
• AV-Vertrag unterschrieben, Unterauftragnehmer geprüft
• Serverstandort und Drittlandübermittlung geklärt
• keine Audioaufzeichnung ohne Einwilligung
• Löschfristen für Transkripte eingestellt
• Weiterleitung an einen Menschen jederzeit möglich
• Datenschutzbeauftragter informiert, Verarbeitungsverzeichnis ergänzt

Was ein Assistent kostet und wann er sich lohnt, lesen Sie im Artikel KI-Telefonassistent: Kosten und Nutzen.