KI-Telefonassistent und DSGVO: Welche Anforderungen Betriebe erfüllen müssen

Sobald ein KI-Telefonassistent Anrufe entgegennimmt, verarbeitet er personenbezogene Daten – mindestens Rufnummer und Gesprächsinhalt. Damit gilt die DSGVO in vollem Umfang. Die vier Punkte, die in der Praxis über die Zulässigkeit entscheiden: Rechtsgrundlage, Transparenz, Auftragsverarbeitung und Verarbeitungsort.

1. Rechtsgrundlage klären

Für die Bearbeitung eines Anliegens, das der Anrufende selbst vorbringt, kommt regelmäßig die Vertragsanbahnung oder -durchführung in Betracht, ergänzend das berechtigte Interesse an einer effizienten Erreichbarkeit. Wird das Gespräch dagegen aufgezeichnet, gelten strengere Anforderungen – eine Aufzeichnung ohne Einwilligung ist in aller Regel unzulässig.

Praktisch bedeutet das: Ein Assistent, der das Anliegen strukturiert protokolliert, statt den Mitschnitt zu speichern, ist datenschutzrechtlich deutlich einfacher zu betreiben.

2. Transparenz gegenüber Anrufenden

Anrufende müssen erkennen können, dass sie mit einem automatisierten System sprechen. Das ergibt sich sowohl aus dem Transparenzgrundsatz der DSGVO als auch aus den Kennzeichnungspflichten für KI-Systeme. Ein klarer Hinweis zu Gesprächsbeginn ist der einfachste Weg – und erfahrungsgemäß kein Akzeptanzproblem, solange das System danach zuverlässig funktioniert.

• Hinweis zu Beginn des Gesprächs, dass ein digitaler Assistent antwortet
• Möglichkeit, jederzeit an einen Menschen zu gelangen
• Datenschutzhinweise auf der Website ergänzen, inklusive Zweck und Speicherdauer

3. Auftragsverarbeitungsvertrag

Wird der Assistent über einen Dienstleister betrieben, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Darin werden Zweck, Umfang, technische und organisatorische Maßnahmen sowie mögliche Unterauftragsverarbeiter geregelt. Ohne AVV ist der Einsatz nicht rechtskonform.

4. Wo werden die Daten verarbeitet?

Der Verarbeitungsort ist der Punkt, an dem sich Angebote am deutlichsten unterscheiden. Eine Verarbeitung innerhalb der EU vermeidet die Zusatzanforderungen an Drittlandtransfers. Wird ein Modell außerhalb der EU betrieben, braucht es eine tragfähige Transfergrundlage und eine Prüfung im Einzelfall.

Eine praktische Faustregel: Je weniger Daten das System überhaupt speichert und je kürzer die Aufbewahrung, desto einfacher die gesamte Konstruktion. Datenminimierung ist hier nicht nur Rechtspflicht, sondern spart auch Aufwand.

Beispiel: Prüfreihenfolge vor der Einführung

Ein typisches Vorgehen: Zuerst wird festgelegt, welche Daten der Assistent überhaupt braucht, um seine Aufgabe zu erfüllen – meist Name, Rückrufnummer und Anliegen. Alles darüber hinaus entfällt. Danach werden Speicherdauer und Löschkonzept festgelegt, der AVV geschlossen und die Datenschutzhinweise angepasst. Erst dann geht das System in den Testbetrieb.

Welche DSGVO-Anforderungen gelten für KI-Telefonassistenten? Die Checkliste

• Rechtsgrundlage für jede Verarbeitung festgelegt (z. B. Vertragsanbahnung, berechtigtes Interesse, Einwilligung bei Aufzeichnung)
• Informationspflichten erfüllt: Ansage zu Beginn, ausführliche Hinweise in der Datenschutzerklärung
• Auftragsverarbeitungsvertrag mit dem Anbieter und Liste der Unterauftragnehmer
• Verarbeitungsort bekannt – idealerweise Deutschland oder EU
• Datensparsamkeit: nur Name, Rückrufnummer, Anliegen – was nicht gebraucht wird, wird nicht erfasst
• Löschfristen für Protokolle und Transkripte festgelegt und technisch umgesetzt
• Verzeichnis der Verarbeitungstätigkeiten ergänzt
• Datenschutz-Folgenabschätzung geprüft, insbesondere bei sensiblen Daten wie Gesundheitsangaben
• Betroffenenrechte (Auskunft, Löschung) organisatorisch abgesichert

EU AI Act: Was zusätzlich gilt

Neben der DSGVO bringt der EU AI Act Pflichten für Unternehmen, die KI einsetzen. Für Telefonassistenten sind zwei Punkte relevant: Menschen müssen erkennen können, dass sie mit einem KI-System interagieren (Transparenzpflicht), und Unternehmen müssen seit Februar 2025 für ausreichende KI-Kompetenz der Mitarbeitenden sorgen, die mit dem System arbeiten. Eine kurze Schulung zu Funktionsweise, Grenzen und Datenschutz deckt das in der Regel ab. Mehr: KI-Kennzeichnungspflicht.

Besondere Branchen

Wer Gesundheitsdaten verarbeitet – etwa in Praxen oder Pflegediensten –, braucht erhöhte Schutzmaßnahmen und sollte eine Datenschutz-Folgenabschätzung durchführen. Für Berufsgeheimnisträger wie Kanzleien kommen Verschwiegenheitspflichten hinzu. Branchenbeispiele: Arztpraxis und Pflegedienst.

So lösen wir das bei bettersorted

Unser KI-Telefonassistent verarbeitet ausschließlich auf Servern in Deutschland, mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Transkripte dienen der Protokollierung und werden nach festgelegten Fristen gelöscht; Anrufende werden zu Beginn darauf hingewiesen, dass ein digitaler Assistent spricht. Wie der Assistent technisch funktioniert, erklärt Wie funktioniert ein KI-Telefonassistent?.

Häufige Fragen zu KI-Telefonassistent und DSGVO

Muss ich Anrufende darüber informieren, dass eine KI antwortet?

Ja. Anrufende müssen erkennen können, dass sie mit einem automatisierten System sprechen. Ein kurzer Hinweis zu Gesprächsbeginn genügt, zusammen mit der Möglichkeit, an einen Menschen weitergeleitet zu werden.

Darf der Assistent Gespräche aufzeichnen?

Nur mit wirksamer Einwilligung der Anrufenden. Deutlich einfacher ist ein Assistent, der das Anliegen strukturiert protokolliert, statt den Mitschnitt zu speichern – dann stellt sich die Frage in dieser Schärfe nicht.

Brauche ich einen Auftragsverarbeitungsvertrag?

Ja, sobald ein Dienstleister die Daten in Ihrem Auftrag verarbeitet. Der AVV nach Art. 28 DSGVO ist Voraussetzung für den rechtskonformen Betrieb.

Muss die Verarbeitung in der EU stattfinden?

Zwingend ist es nicht, aber es vereinfacht die Sache erheblich, weil die zusätzlichen Anforderungen an Drittlandtransfers entfallen. Wir legen den Verarbeitungsort deshalb vor der Einführung ausdrücklich fest.

Welche DSGVO-Anforderungen gelten für KI-Telefonassistenten?

Eine Rechtsgrundlage für die Verarbeitung, transparente Information der Anrufenden inklusive KI-Hinweis, ein Auftragsverarbeitungsvertrag, Kenntnis des Verarbeitungsorts, Datensparsamkeit, festgelegte Löschfristen und die Wahrung der Betroffenenrechte.

Brauche ich eine Datenschutz-Folgenabschätzung?

Nicht in jedem Fall. Sie ist angezeigt, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt, etwa bei Gesundheitsdaten oder umfangreicher Verarbeitung sensibler Informationen. Ihre Datenschutzbeauftragten helfen bei der Einschätzung.

Nächster Schritt

Wie der Assistent im Betrieb arbeitet, zeigt die Produktseite KI-Telefonassistent. Datenschutzfragen klären wir im Rahmen der Einführung – die über INQA-Coaching zu 80 % förderfähig ist.

Stand: September 2026. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.