DSGVO und KI am Telefon: Was Betriebe zu Datenschutz und Transparenzpflicht wissen müssen

Ein KI-Telefonassistent nimmt verpasste Anrufe entgegen, erfasst das Anliegen und schickt Ihnen eine E-Mail – praktisch für jeden Betrieb, der während der Arbeit nicht ans Telefon kommt. Doch sobald eine Maschine mit Ihren Anrufern spricht, verarbeiten Sie personenbezogene Daten. Damit gilt die Datenschutz-Grundverordnung (DSGVO). Die gute Nachricht: Mit den richtigen Grundlagen ist der Einsatz rechtlich sauber möglich. Dieser Artikel erklärt, worauf Handwerksbetriebe, Werkstätten, Salons, Kanzleien und Praxen achten sollten.

Warum ein KI-Telefonassistent überhaupt Datenschutz betrifft

Wenn ein Anrufer seinen Namen, seine Telefonnummer und sein Anliegen hinterlässt, sind das personenbezogene Daten im Sinne von Art. 4 DSGVO. Ob ein Mensch oder eine KI diese Daten aufnimmt, ändert nichts an der rechtlichen Einordnung. Verantwortlich für die Verarbeitung ist nicht der Softwareanbieter, sondern Sie als Betrieb – Sie entscheiden über Zweck und Mittel. Deshalb müssen Sie wissen, welche Daten anfallen, wo sie gespeichert werden und wie lange.

Die Rechtsgrundlage: Auf welcher Basis dürfen Sie Anrufe verarbeiten?

Jede Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Bei einem eingehenden Anruf greift in der Regel eines von zwei Prinzipien: Möchte der Anrufer einen Termin oder ein Angebot, erfolgt die Verarbeitung zur Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b). Alternativ stützt sich die Erfassung des Anliegens auf Ihr berechtigtes Interesse (lit. f), Kundenanfragen zuverlässig zu bearbeiten. Für die reine Aufnahme von Name, Nummer und Grund des Anrufs ist meist keine gesonderte Einwilligung nötig – anders sieht es bei Tonaufzeichnungen aus.

Transparenzpflicht: Was Anrufer wissen müssen

Die DSGVO verlangt Transparenz. Nach Art. 13 müssen Sie Betroffene darüber informieren, wer ihre Daten zu welchem Zweck verarbeitet. Am Telefon lässt sich keine mehrseitige Datenschutzerklärung vorlesen – deshalb gilt ein zweistufiges Vorgehen als praxistauglich:

Eine kurze Ansage zu Beginn des Gesprächs weist auf die Verarbeitung hin und nennt den Betrieb als Verantwortlichen.
Eine vollständige Datenschutzerklärung auf Ihrer Website erklärt Details wie Speicherdauer, Anbieter und Betroffenenrechte.

Wichtig ist, dass der Anrufer diese Information erhält, bevor er sein Anliegen schildert – nicht erst danach.

Ansage am Anfang: Muss ich sagen, dass eine KI antwortet?

Eine ausdrückliche Pflicht, den KI-Einsatz offenzulegen, war in der DSGVO lange nicht direkt geregelt. Mit der EU-KI-Verordnung (AI Act) rückt Transparenz bei KI-Systemen jedoch klar in den Vordergrund: Menschen sollen erkennen können, dass sie mit einer Maschine kommunizieren. Unabhängig davon ist eine ehrliche Ansage gute Praxis und schafft Vertrauen. Ein Satz wie „Sie sprechen mit dem digitalen Assistenten von [Betrieb], Ihr Anliegen wird erfasst und weitergeleitet" erfüllt Transparenz und Erwartungsmanagement zugleich.

Aufzeichnung oder Anliegen erfassen – ein wichtiger Unterschied

Hier trennt sich Spreu von Weizen. Das Mitschneiden eines vollständigen Gesprächs als Audiodatei ist rechtlich heikel: Es berührt das Recht am gesprochenen Wort und erfordert regelmäßig eine ausdrückliche Einwilligung. Ein Assistent, der stattdessen nur das strukturierte Anliegen – Name, Rückrufnummer, Grund – erfasst und als Text weitergibt, ist deutlich datensparsamer. Achten Sie bei der Auswahl darauf, ob überhaupt Audiodaten anfallen und wie lange diese gespeichert werden.

Der Auftragsverarbeitungsvertrag (AVV)

Der Anbieter des Telefonassistenten verarbeitet Daten in Ihrem Auftrag. Deshalb schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Ohne diesen Vertrag ist der Einsatz formal nicht zulässig. Seriöse Anbieter stellen einen AVV bereit. Prüfen Sie zusätzlich:

Serverstandort: Werden Daten in der EU verarbeitet? Das erspart Ihnen Diskussionen über Drittlandtransfers.
Unterauftragnehmer: Welche Dienste, etwa Sprachmodelle, sind eingebunden und wo sitzen sie?
Löschkonzept: Werden Daten nach einer definierten Frist automatisch gelöscht?

Datensparsamkeit, Speicherung und Löschung

Erheben Sie nur, was Sie für den Rückruf tatsächlich brauchen. Legen Sie eine Löschfrist fest – erledigte Anfragen müssen nicht monatelang aufbewahrt werden. Nehmen Sie den Telefonassistenten in Ihr Verzeichnis von Verarbeitungstätigkeiten auf und ergänzen Sie Ihre Datenschutzerklärung um einen kurzen Absatz zur telefonischen Erreichbarkeit.

Kurze Checkliste für Ihren Betrieb

AVV mit dem Anbieter abschließen und ablegen
Serverstandort und Unterauftragnehmer prüfen (idealerweise EU)
Ansage zu Beginn des Gesprächs einrichten
Datenschutzerklärung auf der Website ergänzen
Speicherdauer und Löschkonzept festlegen
Eintrag im Verzeichnis von Verarbeitungstätigkeiten anlegen
Prüfen, ob Audio aufgezeichnet oder nur Text erfasst wird

Mit diesen Schritten nutzen Sie die Vorteile eines KI-Telefonassistenten, ohne den Datenschutz zu vernachlässigen.