KI Telefonassistent und DSGVO: Was du vor dem Start klären solltest

Ein Anrufer nennt seinen Namen, eine Telefonnummer und den Grund seines Anrufs. Schon damit verarbeitet der Telefonassistent personenbezogene Daten. Je nach Gespräch können vertrauliche Informationen hinzukommen. Du solltest deshalb vor dem ersten echten Anruf verstehen, was erfasst wird, wer es erhält und wann es gelöscht wird. Dieser Ratgeber gibt dir praktische Prüffragen und eine Orientierung, keine individuelle Rechtsberatung.

Zuerst den tatsächlichen Datenweg verstehen

Male den Weg eines typischen Anrufs auf: Er kommt über deinen Telefonanbieter zur KI, wird verarbeitet und endet als Zusammenfassung beim zuständigen Team. Für jeden Schritt fragst du nach den beteiligten Unternehmen und gespeicherten Daten. Dazu können Telefoniedienst, Spracherkennung, KI-Modell, Sprachausgabe und E-Mail-Versand gehören. Eine Aussage wie europäischer Serverstandort beantwortet diese Fragen allein noch nicht.

Ein praktisches Beispiel ist eine Anfrage zu einem defekten Haushaltsgerät. Für einen Rückruf reichen zunächst Name, erreichbare Nummer und die kurze Beschreibung des Problems. Eine Ausweiskopie oder vollständige Zahlungsdaten helfen dabei nicht. Genau so sollte der Leitfaden aussehen: Er fragt das ab, was für den vereinbarten nächsten Schritt gebraucht wird. Das begrenzt zugleich die Menge vertraulicher Inhalte in der späteren Nachricht.

Verantwortung, Rechtsgrundlage und Auftragsverarbeitung

Für die Bearbeitung deiner Kundenanfragen ist dein Betrieb regelmäßig Verantwortlicher. Ein Dienstleister, der Daten nach deinen Weisungen verarbeitet, benötigt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Daneben braucht jeder Zweck eine passende Rechtsgrundlage, etwa für die Bearbeitung einer konkreten Vertragsanfrage. Ein AVV ersetzt diese Prüfung nicht. Besondere Datenarten verlangen zusätzliche Voraussetzungen, insbesondere Gesundheitsdaten nach Art. 9 DSGVO.

Bei quoroAI ist Auftragsverarbeitung mit Vertrag nach Art. 28 DSGVO vorgesehen. Für deinen konkreten Einsatz klären wir, welche Angaben der Assistent erfragen darf und welche Dienstleister beteiligt sind. Verlange einen nachvollziehbaren Leistungsumfang und prüfe, ob Unterauftragnehmer und mögliche Drittlandzugriffe erfasst sind. EU-Hosting allein beantwortet weder die Frage nach allen Empfängern noch nach jeder möglichen Zugriffsmöglichkeit.

KI-Kennzeichnung nach Art. 50 AI Act

Art. 50 Abs. 1 AI Act betrifft Systeme, die direkt mit Menschen interagieren. Der Anbieter muss grundsätzlich sicherstellen, dass die betroffenen Personen über die KI-Interaktion informiert werden, sofern diese nicht offensichtlich ist. Art. 50 gilt seit dem 2. August 2026. Für unseren Telefonassistenten ist der praktische Standard eindeutig: Er sagt am Anfang immer, dass er eine KI ist.

Eine verständliche Begrüßung lautet beispielsweise: Guten Tag, hier ist der KI-Telefonassistent des Betriebs. Wie kann ich Ihnen helfen? Entscheidend ist, dass der Hinweis hörbar vor dem eigentlichen Austausch kommt. Eine besonders menschlich klingende Stimme macht diese Klarheit sinnvoll. Prüfe auch Begrüßungen für Urlaub, andere Standorte und spätere Änderungen. Der Hinweis darf bei einer neuen Variante nicht versehentlich verschwinden.

Plane daneben, wie Anrufer die Datenschutzinformationen erhalten und eine zuständige Person erreichen können. In diesen Informationen müssen unter anderem Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger und die Speicherdauer oder deren Kriterien nachvollziehbar sein. Ein kurzer KI-Hinweis enthält das nicht alles. Prüfe den Informationsweg aus Sicht eines Menschen, der gerade nur ein Telefon benutzt und nicht bereits deine Website geöffnet hat.

Primärquellen, geprüft am 16.10.2026: Art. 50 AI Act im EU-Service-Desk unter https://ai-act-service-desk.ec.europa.eu/de/ai-act/article-50 und Hinweise der Europäischen Kommission unter https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations. KI-Kennzeichnung und datenschutzrechtliche Information sind getrennte Anforderungen.

Aufnahme, Transkript und Zusammenfassung auseinanderhalten

Eine gespeicherte Tonaufnahme bewahrt die Stimme und den Gesprächsverlauf. Ein Transkript hält gesprochene Inhalte als Text fest. Eine Zusammenfassung enthält nur ausgewählte Ergebnisse. Diese drei Formen sind technisch und rechtlich nicht identisch. Auch ein System ohne gespeicherte Audiodatei verarbeitet Sprache. Frage deshalb ausdrücklich nach Live-Verarbeitung, gespeicherten Inhalten und Auswertungen, statt nur nach einem Aufnahme-Schalter zu suchen.

Unbefugtes Aufnehmen des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein. Eine bloße Ansage ersetzt keine erforderliche Zustimmung. Wenn du Audioaufnahmen einsetzen willst, müssen deren Zweck und Zulässigkeit gesondert geklärt und eine nötige Einwilligung vor Beginn eingeholt werden. Lege außerdem fest, was ohne Zustimmung passiert. Eine KI-Begrüßung ist keine Einwilligung in eine Aufzeichnung.

Für den Betriebsablauf ist oft die Ergebnisnachricht wichtig: Wer möchte weshalb zurückgerufen werden? Überlege daher zuerst, welchen konkreten Zweck eine vollständige Aufnahme erfüllen soll. Vielleicht reicht eine kurze Zusammenfassung. Falls dein Team bestimmte Gesprächsstellen überprüfen muss, kläre einen dafür passenden und zulässigen Prozess. Mehr Daten zu sammeln, weil es technisch möglich ist, beantwortet die Zweckfrage nicht.

Zur Tonaufnahme: § 201 StGB, https://www.gesetze-im-internet.de/stgb/__201.html, geprüft am 16.10.2026. Transkripte und Zusammenfassungen bleiben datenschutzrechtlich zu bewerten, auch wenn keine Audiodatei gespeichert wird.

Speicherfristen nach Zweck festlegen und tatsächlich umsetzen

Nach Art. 5 DSGVO dürfen personenbezogene Daten nicht länger als erforderlich gespeichert werden. Für KI-Telefonate gibt es keine allgemeine Standardfrist, die für jeden Betrieb passt. Lege Zwecke, Fristen und Löschwege fest. Prüfe auch Kopien in Postfächern, Kalendern, Exporten und Backups. Wird aus einer Anfrage ein Geschäftsvorgang, ist dessen Dokumentation gesondert zu betrachten; das rechtfertigt nicht automatisch die Aufbewahrung des vollständigen Gesprächs.

Ein anschaulicher Ablauf: Die Rückrufbitte kommt ins zuständige Postfach, wird bearbeitet und der erforderliche Vorgang wird im passenden System dokumentiert. Danach braucht niemand mehrere identische Kopien in privaten Postfächern. Bestimme deshalb, wer die Nachricht bearbeitet und wann sie entfernt wird. Der Dienstleister kann seine eigene Kopie löschen; das ersetzt nicht die Ordnung in deinem E-Mail-System und deinen internen Ablagen.

Vertrauliche Anliegen bewusst begrenzen

Für eine Arztpraxis sieht ein vernünftiger Erstkontakt anders aus als für einen Reifenhändler. Der Assistent soll keine ausführliche Krankengeschichte erfragen, wenn zunächst ein Rückruf organisiert werden soll. Medizinische Beratung bleibt beim Fachpersonal. Bei medizinischen Notfällen verweist er auf 112. Ähnliche Grenzen gelten für rechtliche und steuerliche Anliegen: Anliegen aufnehmen und weiterleiten, keine fachliche Einzelfallberatung improvisieren.

Auch Beschäftigte und Kundinnen können im Gespräch Informationen nennen, die du nicht aktiv abgefragt hast. Plane diesen Fall ein. Die Zusammenfassung sollte nicht jedes beiläufige Detail in einen großen Verteiler tragen. Ein kleines, zuständiges Team ist als Empfänger meist besser handhabbar. Für Berufsgeheimnisse sind zusätzliche Anforderungen zu prüfen. Der allgemeine Einsatz eines Telefonassistenten beantwortet diese branchenspezifischen Fragen noch nicht.

Was du vor dem Start praktisch prüfen kannst

• Zweck und Datenfelder festhalten: Was wird wofür benötigt und was soll nicht erfragt werden?
• Rechtsgrundlagen bestimmen und besondere Datenarten gesondert bewerten.
• AVV, Unterauftragnehmer und tatsächliche Verarbeitungsorte prüfen; mögliche Drittlandzugriffe klären.
• KI-Hinweis am Gesprächsanfang und zugängliche Datenschutzhinweise testen.
• Aufnahmen, Transkripte und Zusammenfassungen einzeln erfassen und passend konfigurieren.
• Erforderliche Einwilligungen vor einer Aufnahme einholen und eine Alternative festlegen.
• Speicherfristen, Löschung und Umgang mit Kopien nachvollziehbar vereinbaren.
• Empfänger, Zugriffsrechte und einen Weg für Auskunfts- oder Löschanfragen bestimmen.
• Mit einem Testanruf prüfen, ob Konfiguration und Information tatsächlich übereinstimmen.

Teste mit erfundenen Angaben und prüfe das Ergebnis im vorgesehenen Empfängerpostfach. Wer kann die Nachricht sehen? Stehen dort mehr Informationen als vorgesehen? Werden Gespräche unerwartet in einer Oberfläche gespeichert? Solche Beobachtungen helfen dir, gezielt nachzufragen. Ein unterschriebenes Dokument ist wichtig, aber seine Aussagen müssen auch zum wirklichen Ablauf passen. Halte offene Punkte vor dem Produktivstart konkret fest.

Abmahnrisiken ehrlich einordnen

Fehlende Informationen, unzulässige Aufnahmen oder falsche Werbeversprechen können je nach Fall rechtliche Folgen haben. Dazu können Beschwerden, aufsichtsrechtliche Maßnahmen, Ansprüche Betroffener und unter bestimmten Voraussetzungen Abmahnungen gehören. Daraus folgt weder eine automatische Abmahnung für jeden KI-Anruf noch eine pauschale Entwarnung durch einen Anbieter. Entscheidend sind der konkrete Verstoß, die jeweilige Anspruchsgrundlage und die tatsächliche Umsetzung.

Wenn eine Aufnahme ohne vorgesehenen Zustimmungsweg läuft, ist der nächste Schritt konkret: Aufnahme stoppen, Ursache prüfen und den Ablauf korrigieren. Wenn nur eine Zuständigkeit für die Bearbeitung fehlt, benennst du diese. So wird aus einem großen Schlagwort eine lösbare Aufgabe. Bei offenen Rechtsfragen zu deinem Einsatz solltest du gezielt fachkundigen Rat einholen, statt allgemeine Werbeversprechen als Freigabe zu behandeln.

DSGVO-Grundlage: insbesondere Art. 5, 6, 9, 13, 28 und 32. Amtlicher Text in der BfDI-Broschüre: https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Broschueren/INFO1.pdf?__blob=publicationFile&v=61, geprüft am 16.10.2026. Die Checkliste strukturiert die Vorbereitung und ersetzt keine Prüfung deines Einzelfalls.