KI-Telefonassistent DSGVO-konform einsetzen: Pflichten, Verträge, Ansagetexte

Das Wichtigste in Kürze

• Ein KI-Telefonassistent lässt sich DSGVO-konform betreiben. Verantwortlich bleiben Sie als Unternehmen, der Anbieter ist Ihr Auftragsverarbeiter (Art. 28 DSGVO).
• Seit 2. August 2026 Pflicht: Anrufer müssen zu Beginn erfahren, dass sie mit einem KI-System sprechen (Art. 50 Abs. 1 KI-Verordnung). Bußgelder bis 15 Mio. € oder 3 % des Jahresumsatzes.
• Die Datenschutzkonferenz nennt „Kundensupport mittels künstlicher Intelligenz“ ausdrücklich in ihrer Liste der Verarbeitungen, für die eine Datenschutz-Folgenabschätzung durchzuführen ist.
• Tonaufzeichnung nur mit Einwilligung (§ 201 StGB); am sichersten ist: Aufnahme aus, Transkripte mit kurzer Löschfrist.
• Fragen Sie jeden Anbieter, wo Daten gespeichert und wo sie während des Gesprächs verarbeitet werden. „Alles in Deutschland“ ist bei Sprach-KI selten die ganze Wahrheit.

Inhalt (15 Abschnitte)

„Ist das überhaupt erlaubt?“ Das ist die Frage, die fast jedes Unternehmen stellt, bevor es einen KI-Telefonassistenten einschaltet. Zu Recht: Am Telefon fallen Namen, Nummern, Adressen und oft sehr persönliche Anliegen an, und seit dem 2. August 2026 gelten zusätzlich die Transparenzpflichten der europäischen KI-Verordnung.

Die kurze Antwort: Ja, ein KI-Telefonassistent lässt sich DSGVO-konform einsetzen. Dafür brauchen Sie sieben Bausteine: einen KI-Hinweis zu Beginn des Gesprächs, eine Datenschutzinformation für Anrufer, eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag, eine geprüfte Absicherung von Drittlandübermittlungen, eine Datenschutz-Folgenabschätzung und klare Regeln für Aufzeichnung und Löschung.

Dieser Leitfaden geht jeden Baustein durch, mit Paragraphen, Stolperfallen aus der Praxis und Mustertexten, die Sie übernehmen können. Stand: Oktober 2026.

Die sieben Bausteine auf einen Blick

Für Ärzte, Anwälte und Steuerberater kommt die Geheimhaltungspflicht nach § 203 StGB hinzu, für ausgehende Anrufe das Wettbewerbsrecht (§ 7 UWG). Beides behandeln wir weiter unten.

Wer ist verantwortlich: Sie oder der Anbieter?

Datenschutzrechtlich sind Sie als Unternehmen der Verantwortliche (Art. 4 Nr. 7 DSGVO). Sie entscheiden, wofür der Assistent eingesetzt wird, welche Daten er erfasst und wie lange sie gespeichert werden. Der Anbieter des KI-Telefonassistenten verarbeitet die Daten in Ihrem Auftrag und auf Ihre Weisung: Er ist Auftragsverarbeiter nach Art. 28 DSGVO.

Das hat zwei praktische Folgen:

• Pflichten bleiben bei Ihnen. Information der Anrufer, Auskunft, Löschung, Verzeichnis und Folgenabschätzung sind Ihre Aufgabe. Ein guter Anbieter liefert Ihnen dafür die Bausteine, abnehmen kann er sie Ihnen nicht.
• Sie müssen den Anbieter sorgfältig auswählen. Art. 28 Abs. 1 DSGVO verlangt, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

Bei der KI-Verordnung ist die Rollenverteilung anders: Dort ist der Anbieter des KI-Systems verpflichtet, es so zu gestalten, dass Menschen über die KI-Interaktion informiert werden. Sie als Betreiber sollten trotzdem sicherstellen, dass der Hinweis in Ihrer Konfiguration tatsächlich gesprochen wird, denn gegenüber Ihren Anrufern stehen Sie in der Verantwortung.

Baustein 1: Der KI-Hinweis nach Art. 50 KI-Verordnung

Art. 50 Abs. 1 der KI-Verordnung (Verordnung (EU) 2024/1689) verpflichtet Anbieter, KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so zu gestalten, dass diese Personen informiert werden, dass sie mit einem KI-System interagieren. Eine Ausnahme gilt nur, wenn das für eine verständige Person aus den Umständen offensichtlich ist. Am Telefon mit einer natürlich klingenden Stimme ist es das gerade nicht.

Nach Art. 50 Abs. 5 muss die Information klar und eindeutig sein und spätestens zum Zeitpunkt der ersten Interaktion erfolgen. Die Pflicht gilt seit dem 2. August 2026. Die Änderungen der KI-Verordnung durch den sogenannten Digital Omnibus haben vor allem die Fristen für Hochrisiko-Systeme verschoben, nicht die Hinweispflicht bei der Interaktion mit KI.

Was heißt das für die Ansage? Der Hinweis gehört in die Begrüßung, nicht ans Ende und nicht in die Datenschutzerklärung. Er sollte verständlich sein, ohne Fachbegriffe, und nicht in einer langen Einleitung untergehen.

Mustertext KI-Hinweis (kurz):

„Guten Tag, Sie sind verbunden mit Muster GmbH. Sie sprechen mit unserem digitalen Assistenten, einem KI-System. Wie kann ich Ihnen helfen?“

Mustertext KI-Hinweis mit Datenschutz-Kurzinfo:

„Guten Tag, hier ist der digitale Assistent der Muster GmbH, ein KI-System. Ihre Angaben verwenden wir, um Ihr Anliegen zu bearbeiten. Mehr dazu unter muster.de/datenschutz. Worum geht es?“

Baustein 2: Anrufer nach Art. 13 DSGVO informieren

Wer personenbezogene Daten direkt bei der betroffenen Person erhebt, muss sie zum Zeitpunkt der Erhebung informieren (Art. 13 DSGVO): wer verantwortlich ist, zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet wird, wer Empfänger ist, ob Daten in Drittländer gehen, wie lange gespeichert wird und welche Rechte bestehen.

Am Telefon alle diese Punkte vorzulesen, wäre absurd. In der Praxis hat sich ein zweistufiges Vorgehen durchgesetzt, wie man es auch von Videoüberwachungs-Schildern kennt:

1. Stufe 1 im Gespräch: Verantwortlicher, Zweck und Fundstelle der vollständigen Information in einem Satz (siehe Mustertext oben).
2. Stufe 2 online: Ein eigener Abschnitt „Telefonische Kontaktaufnahme und KI-Telefonassistent“ in Ihrer Datenschutzerklärung.

Mustertext für die Datenschutzerklärung (anpassen und prüfen lassen):

Telefonische Kontaktaufnahme über unseren KI-Telefonassistenten Wenn Sie uns anrufen, nimmt ein KI-gestützter Telefonassistent Ihren Anruf entgegen. Er verarbeitet Ihre Rufnummer, Ihre Stimme während des Gesprächs, den Gesprächsinhalt als Transkript sowie die von Ihnen genannten Angaben (z. B. Name, Anliegen, Terminwunsch), um Ihr Anliegen zu erfassen, Fragen zu beantworten und Sie gegebenenfalls an eine Mitarbeiterin oder einen Mitarbeiter weiterzuleiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihr Anruf der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen telefonischen Erreichbarkeit). Wir setzen hierfür [Anbieter, Anschrift] als Auftragsverarbeiter ein. Für die Sprachverarbeitung werden Ton- und Textdaten während des Gesprächs an einen Unterauftragsverarbeiter in den USA übermittelt; die Übermittlung ist durch [EU-US Data Privacy Framework / Standardvertragsklauseln] abgesichert. Eine Tonaufzeichnung erfolgt [nicht / nur mit Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO]. Transkripte und erfasste Angaben löschen wir nach [X Tagen], sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Den Platzhalter zum Drittland füllen Sie mit den Angaben Ihres Anbieters. Fragen Sie konkret nach, mehr dazu in Baustein 5.

Baustein 3: Die richtige Rechtsgrundlage

Für die meisten Anrufe kommen zwei Rechtsgrundlagen in Betracht:

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen): Ein Kunde ruft an, um einen Termin zu vereinbaren, ein Angebot anzufragen oder eine Bestellung zu klären.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Allgemeine Anfragen, Weiterleitung, Qualitätssicherung anhand von Transkripten. Hier müssen Sie abwägen und die Abwägung dokumentieren.

Eine Einwilligung (Art. 6 Abs. 1 lit. a) brauchen Sie in der Regel nur für Zusätzliches, vor allem für die Tonaufzeichnung. Bauen Sie den gesamten Assistenten nicht auf Einwilligung auf: Sie wäre jederzeit widerrufbar und muss freiwillig sein, was am Telefon schwer nachzuweisen ist.

Sonderfall Gesundheitsdaten (Art. 9 DSGVO). Sobald ein Anrufer in einer Praxis Beschwerden schildert, verarbeiten Sie besondere Kategorien personenbezogener Daten. Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG erlaubt die Verarbeitung für Zwecke der Gesundheitsversorgung, wenn sie durch Fachpersonal oder unter dessen Verantwortung erfolgt. Die sauberste Lösung ist Datensparsamkeit: Der Assistent nimmt Terminart und Wunschtermin auf, fragt aber nicht nach Symptomen. Ausführlich: KI-Telefonassistent in der Arztpraxis: Datenschutz.

Baustein 4: Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Ohne AVV keine rechtmäßige Auftragsverarbeitung. Art. 28 Abs. 3 DSGVO schreibt die Mindestinhalte vor: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Weisungsgebundenheit, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung nach Vertragsende und Kontrollrechte.

Bei KI-Telefonassistenten lohnt der Blick auf drei Punkte besonders:

1. Unterauftragsverarbeiter: Wer verarbeitet Sprache, wer Text, wer hostet die Datenbank, wer stellt die Telefonie? Lassen Sie sich die Liste geben, inklusive Sitz und Übermittlungsgrundlage.
2. Training mit Ihren Daten: Der AVV oder die Unterlagen des Anbieters sollten ausschließen, dass Gesprächsdaten zum Training von KI-Modellen verwendet werden.
3. Löschung: Wie lange bleiben Transkripte gespeichert, können Sie selbst löschen, und was passiert bei Kündigung?

Bei Agile Voice ist die Auftragsverarbeitung über die AGB für Agile-Software geregelt. Die Telefonie läuft über Ihren eigenen Anbieter (etwa Twilio, Vonage, Telnyx oder einen SIP-Anbieter Ihrer Wahl); mit ihm schließen Sie den Vertrag und gegebenenfalls einen eigenen AVV. Mehr zu Inhalt und Prüfung: AVV für KI-Telefonie.

Baustein 5: Drittlandübermittlung, die ehrliche Frage nach den USA

Hier wird es spannend, und hier wird am häufigsten beschönigt. Viele Anbieter werben mit „Server in Deutschland“. Das stimmt oft für die Datenbank, in der Transkripte und Einstellungen liegen. Aber: Die Sprachverarbeitung in Echtzeit, also Spracherkennung, Dialogsteuerung und Sprachausgabe, läuft bei vielen Lösungen über spezialisierte KI-Dienstleister, die ihren Sitz oder ihre Rechenzentren außerhalb der EU haben.

Fragen Sie deshalb immer zwei Dinge getrennt:

• Wo werden Daten gespeichert (Transkripte, Aufnahmen, Kontaktdaten)?
• Wo werden Ton und Text während des Gesprächs verarbeitet?

Übermittlungen in die USA sind nach Art. 44 ff. DSGVO zulässig, wenn eine Grundlage besteht. Die wichtigsten beiden:

• EU-US Data Privacy Framework: Mit dem Angemessenheitsbeschluss vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795) gelten zertifizierte US-Unternehmen als sicherer Empfänger. Das Gericht der EU hat den Beschluss mit Urteil vom 3. September 2025 (Rechtssache T-553/23) bestätigt; dagegen ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig (C-703/25 P), behalten Sie den Stand also im Blick. Ob die Zertifizierung besteht, können Sie in der offiziellen Liste des Data Privacy Framework prüfen.
• Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit einer Bewertung der Rechtslage im Empfängerland.

So macht es Agile Voice: Voice-Agents, Transkripte und, falls eingeschaltet, Aufnahmen liegen auf Servern in Deutschland (Nürnberg). Für Sprache und Dialog verarbeitet ein KI-Dienstleister in den USA Ton und Text während des Gesprächs, abgesichert über Standardvertragsklauseln und das EU-US Data Privacy Framework; mit den Daten wird nicht trainiert. Wir sagen das so offen, weil Sie es für Ihre Datenschutzerklärung brauchen. Vertiefung: KI-Telefonie und Drittland: Was die DSGVO verlangt.

Baustein 6: Datenschutz-Folgenabschätzung und Verarbeitungsverzeichnis

Verzeichnis (Art. 30 DSGVO): Der KI-Telefonassistent ist eine eigene Verarbeitungstätigkeit. Tragen Sie ihn mit Zweck, Datenkategorien, Empfängern, Drittland, Löschfristen und Schutzmaßnahmen in Ihr Verzeichnis ein. Das ist schnell gemacht und wird bei jeder Prüfung als Erstes verlangt.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Eine DSFA ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringt. Die Aufsichtsbehörden haben dafür nach Art. 35 Abs. 4 eine Liste veröffentlicht. In der Muss-Liste der Datenschutzkonferenz steht unter Nr. 11:

Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person

DSK, Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Nr. 11

Als typisches Einsatzfeld nennt die Liste ausdrücklich den „Kundensupport mittels künstlicher Intelligenz“. Ein KI-Telefonassistent, der mit Anrufern spricht und dabei personenbezogene Daten verarbeitet, fällt also regelmäßig darunter. Rechnen Sie deshalb mit einer DSFA-Pflicht, statt auf eine Ausnahme zu hoffen.

Eine DSFA muss kein 80-Seiten-Gutachten sein. Für einen schmal eingesetzten Assistenten (Annahme, Erfassung, Weiterleitung, keine Aufnahme) reicht oft ein strukturiertes Dokument von wenigen Seiten:

1. 1

   Verarbeitung beschreiben

   Zweck, Anrufarten, erfasste Felder, beteiligte Dienstleister, Speicherorte, Löschfristen.

2. 2

   Notwendigkeit prüfen

   Warum braucht es den Assistenten, warum genau diese Daten? Was wird bewusst nicht erfasst?

3. 3

   Risiken bewerten

   Fehlerkennung von Daten, falsche Auskünfte, unbefugter Zugriff auf Transkripte, Drittlandzugriff, Überrumpelung von Anrufern.

4. 4

   Maßnahmen festlegen

   KI-Hinweis, Datensparsamkeit, Aufnahme aus, kurze Löschfristen, Zugriffsrechte, Weiterleitung an Menschen, regelmäßige Stichproben.

5. 5

   Ergebnis dokumentieren und wiederholen

   Restrisiko bewerten, Datenschutzbeauftragten einbeziehen (Art. 35 Abs. 2), bei Änderungen des Einsatzes aktualisieren.

Eine ausfüllbare Gliederung finden Sie in DSFA für KI-Telefonie: Checkliste. Hilfreich ist außerdem die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz vom Mai 2024, die Auswahl, Einführung und Betrieb von KI-Anwendungen aus Sicht der Aufsichtsbehörden beschreibt.

Checkliste · kostenlos

DSGVO-Checkliste KI-Telefonie

KI-Verordnung, AVV, Aufzeichnung, Werbeanrufe und Datenschutzhinweis für Telefonassistenten auf einen Blick

Alle Pflichten von Art. 50 KI-Verordnung bis § 201 StGB in einer abhakbaren Liste – mit Mustertexten für Ansage, Datenschutzerklärung und Verarbeitungsverzeichnis, die Sie direkt übernehmen können.

• 75 abhakbare Prüfpunkte vor dem Livegang, nach Rechtsgrundlage sortiert
• Mustertexte für KI-Hinweis, Aufzeichnungshinweis, Datenschutzerklärung und Verarbeitungsverzeichnis
• Fragenkatalog an Ihren Anbieter: AVV, Unterauftragsverarbeiter, Drittland, Löschfristen
• Sonderregeln für Praxen, Kanzleien und ausgehende Anrufe (§ 7 UWG, § 7a UWG)

Ihre E-Mail-Adresse Firma Ja, schicken Sie mir „DSGVO-Checkliste KI-Telefonie“ und gelegentlich Tipps von Agile Voice und Agile Developer per E-Mail. Abmeldung jederzeit mit einem Klick. Mehr in den Datenschutzhinweisen. Checkliste kostenlos erhalten

Baustein 7: Aufzeichnung, Transkripte und Löschfristen

Tonaufzeichnung. § 201 Abs. 1 Nr. 1 StGB stellt unter Strafe, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt. Ein Telefonat ist nichtöffentlich. Befugt ist die Aufnahme vor allem mit Einwilligung. Datenschutzrechtlich brauchen Sie zusätzlich eine Rechtsgrundlage, in der Regel ebenfalls die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Mustertext Aufzeichnungshinweis (nur wenn Sie aufzeichnen):

„Zur Qualitätssicherung würden wir dieses Gespräch gern aufzeichnen. Sind Sie damit einverstanden? Wenn nicht, sprechen wir einfach ohne Aufnahme weiter.“

Wichtig: Der Anrufer muss ablehnen können, ohne Nachteile zu haben. Eine Ansage „Mit dem Fortsetzen des Gesprächs stimmen Sie der Aufzeichnung zu“ ist rechtlich angreifbar, weil das Schweigen keine eindeutige Einwilligung ist und dem Anrufer keine echte Wahl bleibt.

Transkripte. Ein Transkript ist kein Tonträger. Ob eine automatische Verschriftlichung überhaupt unter § 201 StGB fallen kann, ist nicht abschließend geklärt. Unstrittig ist: Transkripte sind personenbezogene Daten und unterliegen allen Pflichten der DSGVO, von der Information bis zur Löschung. Sie brauchen dafür keine Einwilligung, wenn Art. 6 Abs. 1 lit. b oder f greift, wohl aber eine Löschfrist.

Löschfristen. Die DSGVO nennt keine festen Fristen, verlangt aber Speicherbegrenzung (Art. 5 Abs. 1 lit. e). Praxistaugliche Richtwerte, die Sie an Ihren Einsatz anpassen:

So macht es Agile Voice: Die Gesprächsaufzeichnung ist bei neuen Konten ausgeschaltet und lässt sich je Konto bzw. je Voice-Agent einschalten. Ist sie an, wird die Tonspur verschlüsselt gespeichert und ein Nachweis geführt. Transkripte entstehen immer, damit Sie Gespräche nachvollziehen können. Push-Nachrichten enthalten keine Gesprächsinhalte. Alles zur Rechtslage bei Mitschnitten: Gesprächsaufzeichnung am Telefon: Was ist erlaubt?.

Sonderregeln für Arztpraxen, Kanzleien und Steuerberater

Ärzte, Zahnärzte, Psychotherapeuten, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger unterliegen § 203 StGB. Schon die Tatsache, dass jemand Patient oder Mandant ist, kann ein Geheimnis sein.

Seit 2017 erlaubt § 203 Abs. 3 Satz 2 StGB ausdrücklich, Geheimnisse gegenüber sonstigen mitwirkenden Personen zu offenbaren, soweit das für deren Tätigkeit erforderlich ist. Dazu können IT-Dienstleister und damit auch der Anbieter eines KI-Telefonassistenten gehören. Die Kehrseite steht in § 203 Abs. 4 Satz 2 Nr. 1 StGB: Strafbar macht sich auch der Berufsgeheimnisträger, der nicht dafür gesorgt hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde.

• Schriftliche Verpflichtung des Anbieters zur Verschwiegenheit nach § 203 StGB (zusätzlich zum AVV oder als Teil davon)
• Verpflichtung, Unterauftragnehmer ebenfalls zur Verschwiegenheit zu verpflichten
• Berufsrechtliche Regeln prüfen (z. B. § 43e BRAO für Anwälte, § 62a StBerG für Steuerberater, Berufsordnung der Ärztekammer)
• Datensparsamkeit: keine Diagnosen, keine Mandatsdetails am Telefon erfassen
• Notfälle sofort an Menschen bzw. an 112 und den ärztlichen Bereitschaftsdienst 116117 verweisen
• Medizinische oder rechtliche Beratung durch den Assistenten ausdrücklich ausschließen

Branchenspezifische Umsetzungen finden Sie in KI-Telefonassistent für die Arztpraxis und KI-Telefonassistent für Kanzleien.

Ausgehende Anrufe: Wettbewerbsrecht schlägt Datenschutz

Viele KI-Telefonassistenten können auch selbst anrufen, etwa für Terminerinnerungen, Rückrufe oder Umfragen. Dann gilt neben der DSGVO das Gesetz gegen den unlauteren Wettbewerb:

• § 7 Abs. 2 Nr. 1 UWG: Werbeanrufe bei Verbrauchern nur mit vorheriger ausdrücklicher Einwilligung, bei Unternehmen mindestens mit mutmaßlicher Einwilligung.
• § 7 Abs. 2 Nr. 2 UWG: Werbung unter Verwendung einer automatischen Anrufmaschine braucht immer eine vorherige ausdrückliche Einwilligung, auch gegenüber Unternehmen. Ob ein dialogfähiger KI-Voice-Agent als automatische Anrufmaschine gilt, ist bisher nicht höchstrichterlich geklärt. Wer auf Nummer sicher gehen will, ruft für Werbezwecke nur Kontakte mit ausdrücklicher Einwilligung an.
• § 7a UWG: Einwilligungen in Telefonwerbung gegenüber Verbrauchern müssen dokumentiert und fünf Jahre aufbewahrt werden.

Keine Werbung sind Anrufe, die ein bestehendes Vertragsverhältnis abwickeln, etwa die Erinnerung an einen vereinbarten Termin. Die Grenze ist allerdings fließend, sobald ein Zusatzangebot ins Gespräch rutscht. Mehr dazu in Telefonwerbung B2B: Was ist erlaubt? und Ausgehende KI-Anrufe.

Technische und organisatorische Maßnahmen, die Sie prüfen sollten

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für KI-Telefonie sind diese Maßnahmen besonders relevant:

Fragen, die Sie jedem Anbieter stellen sollten

Bevor Sie unterschreiben, sollte ein Anbieter diese Fragen schriftlich und konkret beantworten können:

• Wo werden Transkripte, Aufnahmen und Kontaktdaten gespeichert (Land, Rechenzentrum)?
• Wo werden Ton und Text während des Gesprächs verarbeitet, und durch wen?
• Welche Unterauftragsverarbeiter gibt es, und auf welcher Grundlage gehen Daten in Drittländer?
• Werden Gesprächsdaten zum Training von KI-Modellen genutzt?
• Wird der KI-Hinweis automatisch gesprochen?
• Ist die Tonaufzeichnung standardmäßig aus, und wie wird die Einwilligung nachgewiesen?
• Welche Löschfristen gelten, und kann ich selbst löschen?
• Wie ist der AVV geregelt, und gibt es eine Verschwiegenheitsverpflichtung nach § 203 StGB?
• Welche technischen und organisatorischen Maßnahmen sind dokumentiert?

Eine ausführliche Checkliste mit allen Prüfpunkten, sortiert nach Rechtsgrundlage, finden Sie in unserer DSGVO-Checkliste KI-Telefonie oben im Artikel.

So unterstützt Agile Voice den datenschutzkonformen Einsatz

Agile Voice ist ein KI-Telefonassistent eines deutschen Anbieters (Agile Developer, Egenhausen). Diese Bausteine bringt das Produkt mit:

Was Agile Voice Ihnen nicht abnimmt: die Datenschutzerklärung, das Verzeichnis, die DSFA, die Einwilligung bei Aufnahmen und die Prüfung Ihrer Berufspflichten. Das bleibt bei Ihnen als Verantwortlichem, und das ist bei jedem Anbieter so. Wie Sie den Assistenten danach Schritt für Schritt aufbauen, zeigt Voice-Agent erstellen.

Fazit: Datenschutz ist kein Hindernis, sondern eine Checkliste

Ein KI-Telefonassistent ist datenschutzrechtlich nicht exotischer als ein CRM oder ein Ticketsystem. Er braucht einen AVV, eine Information der Betroffenen, eine Rechtsgrundlage und Löschfristen. Neu sind zwei Dinge: der verpflichtende KI-Hinweis nach Art. 50 KI-Verordnung und die Tatsache, dass KI-gestützter Kundensupport auf der DSFA-Muss-Liste steht.

Wer diese Punkte vor dem Start sauber erledigt, Daten sparsam erfasst, die Tonaufzeichnung nur mit Einwilligung einschaltet und vom Anbieter eine ehrliche Antwort zur Drittlandfrage verlangt, ist auf der sicheren Seite. Und gewinnt etwas, das am Telefon zählt: das Vertrauen der Anrufer.

Häufige Fragen

Ist ein KI-Telefonassistent DSGVO-konform?

Kein Produkt ist für sich allein DSGVO-konform, entscheidend ist der Einsatz. Sie brauchen einen Auftragsverarbeitungsvertrag, eine Rechtsgrundlage, eine Information der Anrufer, Löschfristen, technische Schutzmaßnahmen und eine geprüfte Absicherung etwaiger Drittlandübermittlungen. Sind diese Bausteine erfüllt, ist der Einsatz rechtssicher möglich.

Muss der KI-Telefonassistent sagen, dass er eine KI ist?

Ja. Nach Art. 50 Abs. 1 der KI-Verordnung müssen Menschen informiert werden, dass sie mit einem KI-System interagieren, spätestens bei der ersten Interaktion. Diese Pflicht gilt seit dem 2. August 2026. Ein klarer Satz in der Begrüßung genügt, etwa „Sie sprechen mit unserem digitalen Assistenten, einem KI-System.“

Brauche ich für einen KI-Telefonassistenten eine Datenschutz-Folgenabschätzung?

In vielen Fällen ja. Die Datenschutzkonferenz führt den Einsatz von KI zur Steuerung der Interaktion mit Betroffenen, Beispiel Kundensupport mittels KI, in ihrer Muss-Liste nach Art. 35 Abs. 4 DSGVO. Für kleine Einsätze ohne sensible Daten kann eine schlanke DSFA genügen; dokumentieren Sie die Abwägung in jedem Fall.

Darf ein KI-Telefonassistent Gespräche aufzeichnen?

Eine Tonaufzeichnung ist ohne Einwilligung des Gesprächspartners nach § 201 StGB strafbar, sofern keine Rechtfertigung greift. Holen Sie die Einwilligung zu Beginn ein und ermöglichen Sie ein Gespräch ohne Aufnahme. Transkripte fallen nicht unter denselben Straftatbestand, sind aber personenbezogene Daten mit allen DSGVO-Pflichten.

Ist es ein Problem, wenn der Anbieter KI-Dienste aus den USA nutzt?

Nicht automatisch. Übermittlungen in die USA sind zulässig, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln mit ergänzenden Maßnahmen bestehen. Sie müssen die Übermittlung aber kennen, dokumentieren und Anrufer in der Datenschutzerklärung darüber informieren.

Dürfen Arztpraxen und Kanzleien einen KI-Telefonassistenten nutzen?

Grundsätzlich ja, mit zusätzlichen Pflichten. Berufsgeheimnisträger müssen nach § 203 Abs. 4 StGB dafür sorgen, dass mitwirkende Dienstleister zur Geheimhaltung verpflichtet sind. Bei Gesundheitsdaten gilt Art. 9 DSGVO; der Assistent sollte nur das Nötigste erfassen, etwa den Terminwunsch, aber keine Symptombeschreibung.

Was passiert bei Verstößen?

Bei Verstößen gegen die DSGVO drohen Bußgelder nach Art. 83 DSGVO und Schadensersatzansprüche nach Art. 82 DSGVO. Verstöße gegen die Transparenzpflichten der KI-Verordnung können mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden. Unerlaubte Tonaufnahmen sind zudem nach § 201 StGB strafbar.

Checkliste · kostenlos

DSGVO-Checkliste KI-Telefonie

KI-Verordnung, AVV, Aufzeichnung, Werbeanrufe und Datenschutzhinweis für Telefonassistenten auf einen Blick

Alle Pflichten von Art. 50 KI-Verordnung bis § 201 StGB in einer abhakbaren Liste – mit Mustertexten für Ansage, Datenschutzerklärung und Verarbeitungsverzeichnis, die Sie direkt übernehmen können.

• 75 abhakbare Prüfpunkte vor dem Livegang, nach Rechtsgrundlage sortiert
• Mustertexte für KI-Hinweis, Aufzeichnungshinweis, Datenschutzerklärung und Verarbeitungsverzeichnis
• Fragenkatalog an Ihren Anbieter: AVV, Unterauftragsverarbeiter, Drittland, Löschfristen
• Sonderregeln für Praxen, Kanzleien und ausgehende Anrufe (§ 7 UWG, § 7a UWG)

Ihre E-Mail-Adresse Firma Ja, schicken Sie mir „DSGVO-Checkliste KI-Telefonie“ und gelegentlich Tipps von Agile Voice und Agile Developer per E-Mail. Abmeldung jederzeit mit einem Klick. Mehr in den Datenschutzhinweisen. Checkliste kostenlos erhalten

Quellen

1. Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 50 und Art. 99
2. DSK: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (Version 1.1)
3. DSK: Orientierungshilfe Künstliche Intelligenz und Datenschutz (Mai 2024)
4. Art. 13 DSGVO – Informationspflicht
5. Art. 28 DSGVO – Auftragsverarbeiter
6. Art. 35 DSGVO – Datenschutz-Folgenabschätzung
7. Durchführungsbeschluss (EU) 2023/1795 – Angemessenheitsbeschluss EU-US Data Privacy Framework
8. EuG, Urteil vom 3. September 2025, T-553/23 (Latombe/Kommission), Pressemitteilung
9. Data Privacy Framework – Liste zertifizierter Unternehmen
10. § 201 StGB – Verletzung der Vertraulichkeit des Wortes
11. § 203 StGB – Verletzung von Privatgeheimnissen
12. § 7 UWG – Unzumutbare Belästigungen

Redaktion Agile Voice

Wir entwickeln Agile Voice in Deutschland und schreiben hier aus der täglichen Arbeit mit unseren Kundinnen und Kunden. Jeder Artikel wird fachlich geprüft und aktualisiert, wenn sich Gesetze, Preise oder Funktionen ändern.

Link kopieren