KI-Telefonassistent und DSGVO: die Pflichten

Kurz gesagt

Wer einen KI-Telefonassistenten einsetzt, trägt dieselbe Verantwortung wie beim klassischen Callcenter, aber mit einigen zusätzlichen Pflichten. Anrufer müssen informiert werden, dass sie mit einem KI-System sprechen. Ein Auftragsverarbeitungsvertrag mit dem technischen Dienstleister ist Pflicht. Gesprächsaufzeichnungen brauchen eine ausdrückliche Einwilligung. Und seit dem 2. August 2026 gilt Art. 50 der EU-KI-Verordnung.

Welche DSGVO-Pflichten gelten, wenn ein KI-System Anrufe entgegennimmt?

Ein KI-Telefonassistent klingt nach Effizienz, und das ist er auch. Doch für das Unternehmen, das ihn einsetzt, gilt dasselbe Datenschutzrecht wie beim Mensch am Telefon, ergänzt um einige KI-spezifische Pflichten aus der neuen EU-KI-Verordnung. Wer das von Anfang an berücksichtigt, spart sich teure Nacharbeit. Im Folgenden findest du die sechs Kernthemen, sortiert nach Relevanz für die Praxis. Was ein Assistent überhaupt übernimmt, steht im Ratgeber Ständig klingelt das Telefon, die Terminbuchung im Detail unter Terminvergabe am Telefon frisst Zeit.

Dieser Beitrag ist keine Rechtsberatung, sondern eine praxisorientierte Orientierungshilfe. Für verbindliche Einschätzungen wende dich an eine qualifizierte Datenschutzfachkraft oder einen Anwalt.

Informationspflicht beim ersten Kontakt (Art. 13 DSGVO)

Sobald ein KI-System Anruferdaten verarbeitet, greift Art. 13 DSGVO. Der Verantwortliche muss die betroffene Person zum Zeitpunkt der Erhebung über Name und Kontaktdaten des Unternehmens, den Verarbeitungszweck und die Rechtsgrundlage, mögliche Empfänger der Daten sowie die Speicherdauer informieren. Außerdem muss auf die Betroffenenrechte und das Beschwerderecht bei der Aufsichtsbehörde hingewiesen werden.

Beim Telefonassistenten bedeutet das in der Praxis: Der Hinweis muss am Anfang des Gesprächs erfolgen, bevor Daten erhoben werden. Ein versteckter Satz in der Datenschutzerklärung auf der Website genügt nicht. Üblich ist eine kurze gesprochene Ansage zu Beginn, die erklärt, wer man ist, wozu die Daten genutzt werden und wo die vollständige Datenschutzinformation zu finden ist.

KI-Kennzeichnungspflicht nach Art. 50 EU-KI-Verordnung

Neben dem Datenschutzrecht kommt seit dem 2. August 2026 eine zweite Pflicht hinzu. Art. 50 Abs. 1 der Verordnung (EU) 2024/1689, dem sogenannten AI Act, schreibt vor, dass Personen klar und eindeutig informiert werden müssen, wenn sie mit einem KI-System interagieren. Das gilt für alle KI-Systeme, die zur direkten Interaktion mit natürlichen Personen bestimmt sind, also auch für Voice Agents.

Die Ausnahme ist eng gefasst: Nur wenn es für eine angemessen informierte Person unter den gegebenen Umständen offensichtlich ist, dass sie mit einer KI spricht, entfällt die Pflicht. In der Realität ist das selten der Fall. Ein KI-System, das menschliche Sprache flüssig imitiert, erfüllt diese Ausnahme regelmäßig nicht. Der Hinweis muss bei der ersten Interaktion erfolgen und in klarer, verständlicher Sprache formuliert sein. Verstöße können nach Art. 99 Abs. 4 AI Act mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden, wobei der höhere Betrag gilt. Für kleine und mittlere Unternehmen kommt der jeweils niedrigere Betrag zur Anwendung.

Diese Bußgelder werden nicht erst irgendwann kommen. In Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW) die zuständige Datenschutzaufsichtsbehörde für private Unternehmen mit Sitz in NRW. Die Behörde prüft aktiv und verhängt Bußgelder: 2025 leitete die LDI NRW 141 Bußgeldverfahren ein, erließ 53 Bußgeldbescheide mit einem Gesamtvolumen von rund 432.000 Euro und verzeichnete über 12.500 Datenschutzbeschwerden, was einem Anstieg von mehr als 67 Prozent gegenüber dem Vorjahr entspricht. Das höchste Einzelbußgeld 2025 lag bei 300.000 Euro. Die Behörde macht keinen Unterschied zwischen großen Konzernen und kleineren Unternehmen.

Rechtsgrundlage für die Datenverarbeitung (Art. 6 DSGVO)

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Art. 6 Abs. 1 DSGVO nennt sechs Möglichkeiten. In der Praxis kommen für den KI-Telefonassistenten vor allem zwei in Betracht:

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Wenn der Anrufer eine bestehende Kundenbeziehung hat und das Telefonat zur Vertragsabwicklung dient, etwa für eine Terminvereinbarung, eine Bestellanfrage oder einen Support-Fall, trägt diese Grundlage. Die Verarbeitung muss dafür tatsächlich erforderlich sein, nicht nur bequem.

Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): In manchen Fällen ist eine Interessenabwägung möglich, sofern die Interessen des Unternehmens die Grundrechte der Anrufer nicht überwiegen. Das erfordert eine dokumentierte Abwägung und greift nicht pauschal.

Für sensible Daten, etwa Gesundheitsangaben, reichen diese Grundlagen nicht aus. Dann braucht es ausdrückliche Einwilligung oder eine andere Grundlage aus Art. 9 DSGVO. Die gewählte Rechtsgrundlage muss vor dem Einsatz feststehen und dokumentiert sein.

Auftragsverarbeitung mit dem technischen Dienstleister (Art. 28 DSGVO)

Der technische Dienstleister, der die KI-Infrastruktur betreibt, verarbeitet personenbezogene Daten im Auftrag des Unternehmens. Das Unternehmen bleibt dabei Verantwortlicher im Sinne der DSGVO, der Dienstleister wird zum Auftragsverarbeiter. Art. 28 DSGVO schreibt vor, dass diese Konstellation durch einen schriftlichen Vertrag abgesichert sein muss, den Auftragsverarbeitungsvertrag (AVV).

Der Vertrag muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien der betroffenen Personen und Daten sowie die Pflichten beider Seiten regeln. Konkret für den KI-Kontext wichtig sind Klauseln zu Sub-Prozessoren (welche Unterauftragnehmer setzt der Dienstleister ein?), zur Daten-Residenz (wo werden die Daten gespeichert?), zu Löschfristen und zum Verbot, die Daten für eigene Zwecke wie das Training eigener Modelle zu verwenden. Ohne diesen Vertrag ist der Betrieb des Systems rechtswidrig, unabhängig davon, wie gut das System selbst funktioniert.

Gesprächsaufzeichnungen: Einwilligung vor dem Mitschnitt

Viele KI-Telefonassistenten können Gespräche aufzeichnen, etwa für Qualitätskontrolle, spätere Transkription oder Analyse. Dieser Schritt ist rechtlich der heikelste. Die Datenschutzkonferenz der deutschen Behörden hat klargestellt, dass für Gesprächsaufzeichnungen ausschließlich die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage in Betracht kommt. Eine Berufung auf Vertragserfüllung oder berechtigte Interessen reicht nach dieser Einschätzung nicht.

Parallel dazu schützt § 201 StGB die Vertraulichkeit des gesprochenen Wortes. Wer ein Telefonat unbefugt aufzeichnet, macht sich strafbar. Eine wirksame Einwilligung beseitigt das Merkmal der Unbefugtheit und schafft gleichzeitig die datenschutzrechtliche Grundlage. Die Einwilligung muss vor Beginn der Aufzeichnung eingeholt werden, freiwillig sein und klar formuliert sein. Beweisbar muss sie ebenfalls sein. Die gesprochene Ansage, die den Anrufer um Zustimmung bittet und eine Bestätigung per Tastendruck oder gesprochener Antwort entgegennimmt, ist in der Praxis der übliche Weg.

Datenminimierung und Speicherort

Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung: Personenbezogene Daten dürfen nur in dem Umfang erhoben werden, der für den jeweiligen Zweck tatsächlich erforderlich ist. Für den KI-Telefonassistenten heißt das: Nur die Daten speichern, die für den Anrufzweck gebraucht werden. Gespräche nicht unbegrenzt vorhalten. Keine Stimmdaten auswerten, wenn der Zweck mit einer einfachen Transkription erfüllt ist.

Beim Speicherort ist die einfachste DSGVO-konforme Lösung EU-Hosting. Werden Daten außerhalb der EU gespeichert oder dorthin übermittelt, greift das Drittlandregime nach Kapitel 5 DSGVO. Ohne Angemessenheitsbeschluss der EU-Kommission für das Zielland braucht es geeignete Garantien, in der Regel EU-Standardvertragsklauseln der Kommission. Das sollte im Auftragsverarbeitungsvertrag ausdrücklich geregelt sein, nicht im Kleingedruckten der AGB versteckt.

Checkliste für den Einstieg

Vor dem Betrieb eines KI-Telefonassistenten lohnt es sich, diese Punkte abzuhaken:

Informationsansage zu Beginn des Gesprächs (Name, Zweck, Datenschutzhinweis)
Hinweis, dass der Anruf von einem KI-System entgegengenommen wird (Art. 50 KI-VO)
Rechtsgrundlage nach Art. 6 DSGVO dokumentiert und geprüft
Auftragsverarbeitungsvertrag mit dem technischen Dienstleister abgeschlossen
Einwilligungsabfrage vor jeder Gesprächsaufzeichnung
Speicherort im EU-Raum oder Drittlandtransfer abgesichert
Speicherdauer und Löschfristen festgelegt
Interne Dokumentation: Verarbeitungsverzeichnis aktualisiert

Wer diese Punkte beim Aufbau berücksichtigt, schafft eine Grundlage, auf der sich später aufbauen lässt, ohne alles wieder aufzureißen. Zur Orientierung: Die technischen und vertraglichen Voraussetzungen, also AVV, Datenspeicherort und Einwilligungslogik, lassen sich in der Regel innerhalb weniger Tage klären, wenn der technische Dienstleister bereits einen standardisierten AVV bereitstellt. Die Formulierung der Informationsansage und die Abstimmung der Rechtsgrundlage mit einem Datenschutzfachkundigen dauert erfahrungsgemäß ein bis zwei Wochen. Der vollständige Aufbau inklusive interner Dokumentation und einem ersten Test im Livebetrieb liegt realistisch bei zwei bis vier Wochen, abhängig davon wie schnell interne Entscheidungen fallen.

Rechtssicherheit als Wettbewerbsvorteil

Ein KI-Telefonassistent, der von Anfang an rechtssicher aufgesetzt ist, bringt mehr als nur die Vermeidung von Bußgeldern. Anrufer, die zu Beginn eines Gesprächs klar informiert werden, mit wem sie es zu tun haben und was mit ihren Daten geschieht, erleben das nicht als Hindernis, sondern als Zeichen von Seriosität. Vertrauen entsteht durch Transparenz, nicht durch technische Raffinesse.

Gleichzeitig schützt eine saubere Datenschutzdokumentation vor Abmahnrisiken und internen Revisionen. Wer im Falle einer Beschwerde bei der Aufsichtsbehörde lückenlose Unterlagen vorlegen kann, also AVV, dokumentierte Rechtsgrundlage, Einwilligungsnachweise, Löschfristen, zeigt Kooperationsbereitschaft, die die Behörde bei der Bußgeldbemessung ausdrücklich berücksichtigt. Kurz gesagt: Datenschutz-Compliance beim KI-Telefonassistenten ist kein Overhead, der den Nutzen schmälert. Er gehört zur Produktqualität.

Der Datenschutz endet übrigens nicht am Telefon. Wenn aus dem Gespräch automatisch ein Ticket, ein Angebot oder eine Rechnung entsteht, wandern dieselben Daten weiter durch deine Systeme. Diese Kette gehört mit in das Verarbeitungsverzeichnis. Wie sie technisch aufgebaut wird, steht auf der Seite zur Prozessautomatisierung.

Quellen: DSGVO Art. 5, 6, 13, 28 (dsgvo-gesetz.de, Stand 2026). Verordnung (EU) 2024/1689 (AI Act) Art. 50, 99 (ai-act-law.eu, Stand August 2026). IT-Recht Kanzlei: Aufzeichnung von Telefongesprächen nach DSGVO (2024). TÜV Rheinland Consulting: Transparenzpflichten EU AI Act Art. 50 (2026). LDI NRW: Zahlen und Daten 2025, Bußgeldverfahren (ldi.nrw.de, 2025). LDI NRW: 31. Tätigkeitsbericht 2026 (ldi.nrw.de, 2026).

*Dieser Beitrag ersetzt keine individuelle Rechts- oder Datenschutzberatung. Für verbindliche Einschätzungen zu deinem konkreten Anwendungsfall wende dich an eine qualifizierte Fachkraft.*

Häufige Fragen

Muss ich Anrufer darüber informieren, dass ein KI-System den Anruf entgegennimmt?

Ja, und zwar auf zwei Ebenen: Nach Art. 13 DSGVO müssen Anrufer zu Beginn über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Zusätzlich schreibt Art. 50 Abs. 1 der EU-KI-Verordnung seit dem 2. August 2026 vor, dass Personen klar darüber informiert werden müssen, dass sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist.

Brauche ich mit dem Anbieter des KI-Telefonassistenten einen Vertrag zur Auftragsverarbeitung?

In der Regel ja. Sobald der technische Dienstleister im Auftrag und nach Weisung des Unternehmens personenbezogene Daten verarbeitet, etwa Gesprächsinhalte oder Anruferdaten, ist nach Art. 28 DSGVO ein schriftlicher Auftragsverarbeitungsvertrag zwingend. Ohne diesen Vertrag ist der Einsatz des Systems rechtswidrig.

Dürfen Gespräche mit einem KI-Telefonassistenten aufgezeichnet werden?

Nur mit ausdrücklicher, vorab eingeholter Einwilligung der anrufenden Person. Die Datenschutzkonferenz erkennt für Gesprächsaufzeichnungen ausschließlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) als geeignete Rechtsgrundlage an. Zugleich schützt § 201 StGB die Vertraulichkeit des gesprochenen Wortes: Eine unbefugte Aufzeichnung ist strafbar.

Welche Anforderungen gelten für den Speicherort der Daten?

Werden Gesprächsdaten außerhalb der EU gespeichert oder verarbeitet, greift das Drittlandtransfer-Regime der DSGVO (Kapitel 5). Ohne Angemessenheitsbeschluss der EU-Kommission für das Zielland braucht es geeignete Garantien, etwa EU-Standardvertragsklauseln. Am einfachsten ist es, von Anfang auf EU-Hosting zu setzen und den Speicherort im Auftragsverarbeitungsvertrag festzuschreiben.

Als Nächstes

Ausschreibungen automatisiert bearbeiten: von den Unterlagen zum Angebot

Zurück zu den Abläufen im Hintergrund: Wie aus Ausschreibungsunterlagen automatisch ein passendes Angebot entsteht.

KI-Telefonassistent und DSGVO: was wirklich gilt