KI-Telefonie DSGVO-konform: Datenschutz & EU-Hosting
Wer am Telefon mit einer KI spricht, gibt Namen, Rufnummer und oft sehr persönliche Anliegen preis. KI-Telefonie DSGVO-konform umzusetzen heißt deshalb: nur die nötigen Daten verarbeiten, sie an klar benannten Orten in Deutschland bzw. der EU oder in Ihrer eigenen Infrastruktur halten und nach festgelegten Fristen löschen. Auf dieser Seite beschreiben wir, wie wir das in unseren Projekten umsetzen und welche Punkte Sie als Verantwortlicher klären sollten.
Rechtsgrundlagen für die Verarbeitung
Wenn der Assistent ein Gespräch in Text umwandelt, eine Notiz erstellt oder einen Termin einträgt, werden personenbezogene Daten verarbeitet. Dafür braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. In vielen Fällen ist das die Anbahnung oder Erfüllung eines Vertrags, wenn der Anrufer etwa einen Termin oder ein Angebot möchte, oder das berechtigte Interesse an einer geordneten Erreichbarkeit. Welche Grundlage trägt, hängt vom Anliegen ab und sollte im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden.
Besonders sorgfältig ist vorzugehen, wenn Gesundheitsdaten oder andere besondere Kategorien nach Art. 9 DSGVO betroffen sein können – etwa in Arztpraxen, Pflegediensten oder Therapiepraxen. Hier legen wir den Gesprächsleitfaden so an, dass nur das organisatorisch Nötige abgefragt wird, und stimmen die Ausgestaltung mit Ihnen und Ihrer Datenschutzberatung ab.
Datenfluss: welche Daten wohin gehen und wie lange
Jedes Projekt bekommt eine eigene Übersicht. Die folgende Tabelle zeigt den typischen Aufbau; Speicherorte und Fristen sind je Projekt konfigurierbar.
| Daten | Wo verarbeitet | Wie lange gespeichert |
|---|---|---|
| Gesprächsaudio (live) | Spracherkennung auf unseren Servern in Deutschland bzw. der EU oder in Ihrer Infrastruktur | Nur während des Gesprächs, keine Speicherung ohne Aufzeichnungs-Einwilligung |
| Audioaufzeichnung (optional) | Speicher beim gewählten Betreiber | Nur mit Einwilligung, Frist nach Ihrer Vorgabe |
| Transkript | Speicher beim gewählten Betreiber | Konfigurierbar, auch sofortige Löschung nach Erstellung der Notiz möglich |
| Gesprächsnotiz | Zustellung per E-Mail, Messenger oder Webhook an Ihre Systeme | Im Assistenten nach festgelegter Frist gelöscht, in Ihren Systemen nach Ihren Regeln |
| Rufnummer und Metadaten | Telefonie-Komponente und Protokoll | So kurz wie für Betrieb und Fehlersuche nötig, Frist konfigurierbar |
| Daten aus Schnittstellen | Abfrage in Ihrem CRM, Kalender oder Ihrer Branchensoftware | Keine dauerhafte Kopie im Assistenten, nur Nutzung im Gespräch |
Welche externen Dienste mit Verarbeitung in der EU beteiligt sind, legen wir je Projekt offen. Beim Betrieb in Ihrer eigenen Infrastruktur kann die Verarbeitung vollständig im Haus bleiben.
Bausteine eines datenschutzgerechten Setups
Auftragsverarbeitungsvertrag
Betreiben wir den Assistenten, schließen wir mit Ihnen einen Vertrag nach Art. 28 DSGVO. Eingesetzte Unterauftragsverarbeiter werden darin benannt.
Datenminimierung
Der Leitfaden fragt nur ab, was für die Bearbeitung nötig ist. Gesprächsinhalte werden nicht für das Training fremder Modelle genutzt.
Speicherfristen
Für Transkripte, Notizen und Protokolle legen Sie Fristen fest. Eine maximale Gesprächsdauer begrenzt zusätzlich die anfallende Datenmenge.
Löschkonzept
Nach Ablauf der Frist werden Daten automatisch gelöscht. Auskunfts- und Löschanfragen einzelner Anrufer lassen sich über Rufnummer oder Zeitpunkt zuordnen.
Technische und organisatorische Maßnahmen
Verschlüsselte Übertragung, Zugriffsbeschränkung auf berechtigte Personen, Protokollierung von Zugriffen und getrennte Umgebungen je Kunde sind Teil unserer TOMs.
Datenschutzinformation
Anrufer erhalten die Pflichtinformationen nach Art. 13 DSGVO, zum Beispiel über einen kurzen Hinweis in der Ansage und eine ausführliche Fassung auf Ihrer Website.
KI-Hinweis nach Art. 50 EU AI Act
Seit dem 2. August 2026 gilt die Transparenzpflicht aus Art. 50 Abs. 1 der KI-Verordnung: Menschen müssen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Am Telefon ist es das in der Regel nicht. Deshalb nennt jeder unserer Assistenten zu Beginn des Gesprächs klar, dass eine KI spricht – bei eingehenden und ausgehenden Anrufen.
Der Hinweis lässt sich kurz und freundlich formulieren, etwa als Teil der Begrüßung. Formulierungsbeispiele und Hintergründe finden Sie im Ratgeber KI-Kennzeichnung nach EU AI Act.
Aufzeichnung nur mit Einwilligung
Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar. Unsere Assistenten zeichnen den Ton daher standardmäßig nicht auf. Für Gesprächsnotiz und Transkript wird das Audio während des Gesprächs verarbeitet, aber nicht als Aufnahme gespeichert.
Wünschen Sie eine Audioaufzeichnung, etwa zur Qualitätssicherung, holt der Assistent vorher die Einwilligung des Anrufers ein und zeichnet nur bei Zustimmung auf. Lehnt der Anrufer ab, läuft das Gespräch normal weiter. Mehr dazu im Ratgeber Gesprächsaufzeichnung und Einwilligung.
Berufsgeheimnisträger: Ärzte, Anwälte, Steuerberater
Für Berufsgeheimnisträger gilt zusätzlich § 203 StGB. Sie dürfen fremde Geheimnisse gegenüber Dienstleistern offenbaren, die als sonstige mitwirkende Personen an ihrer Tätigkeit beteiligt sind, soweit das für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 StGB). Voraussetzung ist, dass diese Dienstleister zur Verschwiegenheit verpflichtet werden; andernfalls kann sich der Berufsgeheimnisträger selbst strafbar machen (§ 203 Abs. 4 StGB).
Wir verpflichten uns in diesen Projekten entsprechend zur Verschwiegenheit und gestalten den Assistenten so, dass er möglichst wenig Inhaltliches aufnimmt – etwa nur Terminwunsch und Rückrufnummer statt einer Schilderung des Falls. Wer jede Weitergabe vermeiden möchte, kann den Assistenten vollständig im eigenen Haus betreiben, siehe KI-Telefonie On-Premise. Branchenbezogene Hinweise finden Sie auf den Seiten für Kanzleien und Arztpraxen.
Checkliste für Verantwortliche
- Rechtsgrundlage je Anliegen festgelegt und im Verarbeitungsverzeichnis dokumentiert
- Auftragsverarbeitungsvertrag abgeschlossen und Unterauftragsverarbeiter geprüft
- KI-Hinweis in der Begrüßung formuliert
- Entscheidung zur Audioaufzeichnung getroffen und Einwilligungsabfrage eingerichtet
- Speicherfristen für Transkripte, Notizen und Protokolle festgelegt
- Datenschutzinformation für Anrufer ergänzt
- Bei Berufsgeheimnisträgern: Verschwiegenheitsverpflichtung vereinbart
- Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist
Häufige Fragen
Ist KI-Telefonie mit der DSGVO vereinbar?
Ja, wenn sie entsprechend gestaltet ist: mit Rechtsgrundlage, Auftragsverarbeitungsvertrag, Datenminimierung, festen Löschfristen und Information der Anrufer. Einen ausführlichen Überblick gibt der Ratgeber KI-Telefonie und DSGVO.
Wo stehen die Server?
Im gehosteten Betrieb auf Servern in Deutschland bzw. der EU. Alternativ läuft der Assistent in Ihrer eigenen Infrastruktur. Welche Dienste in Ihrem Projekt beteiligt sind, legen wir offen.
Werden Gespräche zum Trainieren von KI-Modellen verwendet?
Nein. Gesprächsinhalte dienen ausschließlich der Bearbeitung des Anliegens. Bei der Auswahl externer Bausteine achten wir darauf, dass eine Nutzung zu Trainingszwecken vertraglich ausgeschlossen ist.
Muss ich Anrufer vorab über den KI-Einsatz informieren?
Ja. Nach Art. 50 Abs. 1 EU AI Act muss erkennbar sein, dass eine KI spricht. Zusätzlich gelten die Informationspflichten nach Art. 13 DSGVO.
Brauche ich eine Datenschutz-Folgenabschätzung?
Das hängt von Art und Umfang der Verarbeitung ab, etwa bei Gesundheitsdaten oder umfangreicher Verarbeitung. Die Entscheidung trifft der Verantwortliche, wir stellen die nötigen technischen Informationen bereit.
Hören Sie, wie Ihr Assistent klingt.
In einem kurzen Gespräch klären wir Ihre Anrufgründe. Danach richten wir einen Demo-Assistenten mit Ihren Abläufen ein – zum Anrufen und Ausprobieren.
Demo anfragen → Rückruf vereinbaren Oder direkt anrufen+49 5341 288 4730