Sind KI-Kaltakquise-Anrufe legal? DSGVO, UWG und sichere Wege für Unternehmen

Die wichtigste Unterscheidung: DSGVO und UWG beantworten verschiedene Fragen

In Projekten wird oft gefragt: „Haben wir eine DSGVO-Rechtsgrundlage für den Lead?“ Das ist notwendig, aber noch keine vollständige Freigabe für den Anruf. Das Gesetz gegen den unlauteren Wettbewerb enthält eigene Regeln für Telefonwerbung. Eine Rechtsgrundlage nach Artikel 6 DSGVO ersetzt die Einwilligungsanforderungen des § 7 UWG nicht.

Umgekehrt genügt auch eine telefonisch wirksame Werbeeinwilligung nicht für jeden späteren Datenprozess. Herkunft des Leads, Speicherung, Anreicherung, Weitergabe an einen Dienstleister, Gesprächsprotokoll und Sperrlistenstatus benötigen eine datenschutzrechtliche Einordnung. Ein belastbarer Freigabeprozess beantwortet deshalb vor jedem Kampagnenstart zwei Fragen:

1. Kanalprüfung: Darf dieses Unternehmen diese Person zu diesem Zweck mit dieser Anruftechnik kontaktieren?
2. Datenprüfung: Dürfen die dazu erforderlichen Daten erhoben, gespeichert, an den Telefon-KI-Anbieter übermittelt und für das definierte Ergebnis verarbeitet werden?

B2B, B2C und Bestandskunden: sieben typische KI-Outbound-Fälle

„Kaltakquise“ wird in der Praxis für sehr unterschiedliche Kontakte benutzt. Eine sauber dokumentierte Rückrufbitte ist rechtlich und operativ etwas anderes als eine importierte Adressliste. Die folgende Matrix ist eine Risikoorientierung für die Projektplanung, keine pauschale Einzelfallfreigabe.

Besonders wichtig: Die Bestandskundenausnahme in § 7 Absatz 3 UWG betrifft elektronische Post unter bestimmten Voraussetzungen. Sie ist keine allgemeine Telefonwerbe-Ausnahme. Auch die Veröffentlichung einer geschäftlichen Telefonnummer bedeutet nicht automatisch, dass Werbeanrufe erwünscht sind.

Was bedeutet „mutmaßliche Einwilligung“ im B2B?

Bei einem gewöhnlichen Werbeanruf gegenüber einem sonstigen Marktteilnehmer nennt § 7 Absatz 2 Nummer 1 UWG mindestens eine mutmaßliche Einwilligung. In der Praxis braucht es konkrete Umstände, aus denen ein sachliches Interesse gerade an dieser telefonischen Kontaktaufnahme vermutet werden kann. „Das Produkt könnte für fast jedes Unternehmen nützlich sein“ ist als Begründung zu breit.

Für einen autonomen KI-Werbeanruf sollte diese B2B-Regel nicht vorschnell übertragen werden. § 7 Absatz 2 Nummer 2 UWG verlangt für Werbung unter Verwendung einer automatischen Anrufmaschine eine vorherige ausdrückliche Einwilligung des Adressaten. Ob ein konkretes Voice-AI-Setup rechtlich genau darunter fällt, hängt von Technik und Ablauf ab. Wer ohne ausdrückliches Opt-in starten möchte, sollte die konkrete Architektur vorab fachkundig bewerten lassen und nicht nur das Etikett „B2B“ dokumentieren.

Vollautonome KI oder KI-Unterstützung: Die Architektur verändert das Risiko

„KI-Anruf“ ist keine präzise technische Beschreibung. Ein System kann selbst wählen, sprechen, Antworten verstehen und das Gespräch abschließen. Es kann aber auch nur einem menschlichen Mitarbeiter Informationen anzeigen oder nach einem menschlich geführten Erstkontakt einen ausdrücklich gewünschten Folgeanruf übernehmen. Diese Varianten sollten im Rechts- und Datenflussdiagramm getrennt werden.

Ein Hybridmodell ist kein Trick zur Umgehung des Rechts. Entscheidend ist, was tatsächlich geschieht. Es kann aber ein sinnvoller Produkt- und Compliance-Entwurf sein: Menschen entscheiden über sensible Erstkontakte, während KI dokumentierte Rückrufe, Terminabsprachen oder wiederkehrende Folgeprozesse übernimmt.

So gestaltet man ein belastbares Opt-in für KI-Werbeanrufe

Einwilligung ist kein unlesbarer Satz unter einem Formular. Sie muss freiwillig, spezifisch, informiert und durch eine eindeutige bestätigende Handlung erteilt werden. Die Person muss erkennen können, von welchem Unternehmen sie zu welchem Themenbereich über welchen Kanal kontaktiert wird. Bei einem automatisierten KI-Anruf sollte dieser Umstand bereits im Opt-in verständlich benannt werden.

Beispiel für eine transparente Formulierung

Die Formulierung ist ein Arbeitsbeispiel und keine Rechtsgarantie. Sie muss zu Unternehmen, Zweck, Zielgruppe, Datenfluss und tatsächlichem Gespräch passen. Ein vorangekreuztes Kästchen, ein versteckter AGB-Satz oder die pauschale Freigabe „für interessante Angebote ausgewählter Partner“ sind keine robuste Grundlage.

Welche Nachweisdaten gehören in das Consent Ledger?

• vollständiger Wortlaut der Einwilligung und unveränderliche Textversion,
• Name oder eindeutig zuordenbare Person und verwendete Telefonnummer,
• Zeitpunkt, Quelle und konkrete Erteilungshandlung,
• Authentifizierungs- oder Zuordnungsmerkmal des Formularprozesses,
• werbendes Unternehmen, erlaubter Zweck und erlaubter Kanal,
• Information über den automatisierten KI-Einsatz,
• jede Nutzung der Einwilligung mit Kampagne und Zeitpunkt,
• Widerruf, Widerspruch, Sperrgrund und Wirksamkeitszeitpunkt.

Für Verbraucher-Telefonwerbung schreibt § 7a UWG die angemessene Dokumentation vor. Der Nachweis ist ab Erteilung und nach jeder Verwendung fünf Jahre aufzubewahren und der zuständigen Behörde auf Verlangen unverzüglich vorzulegen. Die Auslegungshinweise der Bundesnetzagentur betonen einen vollständigen, nachvollziehbaren und dem Kontakt zuordenbaren Nachweis.

Vier praktikable Modelle statt „Liste importieren und loswählen“

Modell 1: Consent-first-Funnel

Eine Landingpage, Veranstaltung, Produktanfrage oder ein bestehender digitaler Prozess bietet einen klaren telefonischen Rückruf durch den KI-Assistenten an. Nach der aktiven Auswahl wird der genaue Einwilligungstext mit Zeitstempel und Quelle gespeichert. Erst wenn das Freigabeobjekt vollständig ist, gelangt der Kontakt in die Kampagne.

Dieses Modell eignet sich für Beratung, Produktdemonstrationen, Lead-Qualifizierung und zeitnahe Angebotsrückfragen. Der Mehrwert entsteht durch Geschwindigkeit: Die KI kann einen ausdrücklich gewünschten Kontakt sofort übernehmen, ohne dass aus der Einwilligung eine allgemeine Dauerwerbeerlaubnis gemacht wird.

Modell 2: Human-first im B2B, KI im ausdrücklich erlaubten Follow-up

Ein menschlicher Mitarbeiter prüft und führt den rechtlich bewerteten B2B-Erstkontakt. Im Gespräch kann er für einen konkreten nächsten Schritt die Erlaubnis zu einem KI-gestützten Folgeanruf einholen, etwa für Terminabstimmung, Bedarfsdetails oder eine spätere Rückmeldung. Das Follow-up erhält einen eigenen Zweck und Ablauf.

Der Vorteil ist nicht nur rechtlich: Der Mensch übernimmt den kontextreichen Erstkontakt; die KI automatisiert den klar definierten, wiederholbaren Teil. Das vermeidet breite autonome Kaltkampagnen und hält den Nutzen der Automatisierung.

Modell 3: Requested Callback

Der Interessent fordert selbst einen Rückruf an. Gespeichert werden nicht nur Telefonnummer und Zeit, sondern auch das gewünschte Thema. Der KI-Assistent nennt zu Beginn Unternehmen, KI-Einsatz und Anlass. Ein Wunsch nach Produktberatung deckt nicht automatisch andere Kampagnen oder Partnerangebote ab.

Modell 4: Service-triggered Outbound ohne Werbe-Upsell

Terminbestätigung, Lieferstatus, Rückruf zu einem Ticket oder Information zu einem bestehenden Vorgang können echte Serviceprozesse sein. Unternehmen sollten dafür einen eigenen Gesprächsleitfaden ohne zusätzliche Verkaufsblöcke verwenden. Sobald der Serviceanruf der Absatzförderung dient, muss die Werbeprüfung erneut erfolgen.

Der DSGVO-Prozess: vom Lead bis zur technisch wirksamen Sperre

1. Zweck und Rechtsgrundlage pro Datenoperation festlegen

„Outbound“ ist kein ausreichend präziser Zweck. Erforderlich sind etwa „telefonische Beratung nach Rückrufbitte“, „werbliche Kontaktaufnahme zur Produktgruppe X“ oder „Bestätigung eines gebuchten Termins“. Für Leadquelle, Kampagnenbereitstellung, Gesprächsführung, Ergebnisübergabe und Analyse kann die Bewertung unterschiedlich ausfallen.

2. Datenquelle und Informationspflicht klären

Stammen Kontaktdaten nicht direkt von der Person, werden insbesondere die Informationspflichten nach Artikel 14 DSGVO relevant. Die Information muss rechtzeitig erfolgen; bei beabsichtigter Kommunikation spätestens bei der ersten Mitteilung. Eine gekaufte Liste ohne belastbare Herkunft, aktuellen Zweck und prüfbaren Nachweis sollte nicht in eine KI-Kampagne gelangen.

3. Daten minimieren

Der Telefonassistent benötigt nur Daten, die für Identifikation, Anlass, Gespräch und Übergabe erforderlich sind. Private Zusatzinformationen, frei importierte CRM-Notizen oder ganze Datensätze „für alle Fälle“ erhöhen das Risiko, ohne die Gesprächsqualität automatisch zu verbessern.

4. Anbieter, AVV und Unterauftragsverarbeiter prüfen

Verarbeitet ein Anbieter Gesprächs- und Kontaktdaten im Auftrag, gehört ein belastbarer Auftragsverarbeitungsvertrag zum Projekt. Entscheidend sind nicht nur Formulierungen, sondern auch Datenflüsse, Unterauftragsverarbeiter, Supportzugriffe, Modellnutzung und Löschlogik. Unser separater AVV-Leitfaden für KI-Telefonassistenten enthält dafür eine Klausel-für-Klausel-Checkliste.

5. Aufzeichnung standardmäßig deaktivieren

Ein Transkript oder Ergebnisdatensatz ist nicht dasselbe wie eine Audioaufnahme. Nichtöffentlich gesprochene Worte dürfen nicht heimlich aufgezeichnet werden; zusätzlich zu Datenschutzfragen ist § 201 StGB zu beachten. Wer Aufzeichnungen tatsächlich benötigt, sollte vor Beginn eine separate, aktive und nachweisbare Zustimmung sowie eine Alternative ohne Aufzeichnung vorsehen.

6. Widerspruch als Echtzeit-Sperre behandeln

Nach Artikel 21 DSGVO dürfen personenbezogene Daten nach einem Widerspruch nicht weiter für Direktwerbung verarbeitet werden. Der Hinweis auf dieses Recht muss spätestens bei der ersten Kommunikation klar und getrennt erfolgen. Operativ bedeutet das: Der Gesprächsstatus „kein weiterer Kontakt“ schreibt sofort in eine zentrale Sperrliste, stoppt laufende Sequenzen und verhindert einen Reimport.

7. Lösch- und Nachweisfristen trennen

Gesprächsinhalt, Kampagnenergebnis, Einwilligungsnachweis und Sperrinformation haben nicht automatisch dieselbe Frist. Der Einwilligungsnachweis kann gesetzlichen Aufbewahrungspflichten unterliegen; detaillierte Gesprächsdaten sollten nur so lange bestehen, wie ihr Zweck dies erfordert. Eine minimale Sperrinformation kann nötig sein, um den Widerspruch dauerhaft zu respektieren. Das Löschkonzept muss diese Objekte getrennt benennen.

Ein Gesprächseinstieg, der transparent und kurz bleibt

Seit dem 2. August 2026 verlangt Artikel 50 Absatz 1 EU AI Act grundsätzlich die Information, dass eine Person mit einem KI-System interagiert, sofern dies nicht ohnehin offensichtlich ist. Ein robuster Einstieg verbindet Identität, Auftraggeber, KI-Hinweis und Anlass in wenigen Sätzen.

Bei einer wirksam erlaubten Werbekampagne muss der Einstieg zur dokumentierten Einwilligung passen. Der Assistent darf den Anlass nicht erfinden, keinen angeblichen früheren Kontakt behaupten und keine Umfrage vorschieben. Wer nicht sprechen möchte, soll ohne Überredungsschleife beenden können.

Widerspruchsbehandlung als feste Dialoglogik

1. Ablehnung sofort akzeptieren.
2. Klar unterscheiden: nur dieses Gespräch beenden oder zukünftige Direktwerbung widersprechen.
3. Den erklärten Umfang bestätigen, ohne neue Werbung einzuschieben.
4. Status in Echtzeit zentral speichern.
5. Alle offenen Kampagnen und Wiederholungsversuche stoppen.
6. Keine unnötigen Gesprächsdetails in der Sperrliste ablegen.

Rufnummer sichtbar und rückrufbar

Nach § 15 Absatz 2 TDDDG darf bei Werbeanrufen die Rufnummernanzeige nicht unterdrückt werden; zu übermitteln ist die dem anrufenden Nutzer zugeteilte Rufnummer. Praktisch sollte ein Rückruf außerdem zu einer verständlichen Ansage oder zuständigen Stelle führen. Eine sichtbare, aber unbrauchbare Rufnummer zerstört Vertrauen und erschwert die Zuordnung.

Technische Go-live-Regeln: Compliance muss den Dialer steuern

Eine Richtlinie im Intranet stoppt keinen unzulässigen Wählvorgang. Die Freigabe gehört als maschinenlesbarer Status direkt vor den Dialer. Für jeden Kontakt sollte der Preflight mindestens diese Felder prüfen:

• eindeutiger Kampagnenzweck und Zielgruppe,
• Kontaktklassifikation B2C, B2B oder angeforderter Servicekontakt,
• erforderliche Erlaubnisklasse und tatsächlicher Freigabestatus,
• Reichweite, Textversion und Alter des Nachweises,
• zentraler Widerspruchs- und Sperrstatus,
• zulässiges Kontaktzeitfenster und maximale Versuchszahl,
• sichtbare, der Kampagne zugeordnete Rufnummer,
• freigegebener KI-Transparenzsatz und Gesprächsversion,
• korrektes Lösch- und Ergebnisprofil.

Ein risikoarmer 30-Tage-Pilot

1. Woche 1 – Datenfluss und Recht: einen einzigen Zweck, eine Quelle, eine Zielgruppe und ein Kampagnenprotokoll definieren.
2. Woche 2 – Dialog und Sperren: Transparenzeinstieg, Ablehnung, Widerspruch, falsche Person und menschliche Übergabe testen.
3. Woche 3 – kleiner Opt-in-Pilot: nur klar dokumentierte Rückrufbitten oder spezifische Einwilligungen verwenden; jedes Ergebnis manuell prüfen.
4. Woche 4 – Entscheidung: realisierte Ergebnisse, Beschwerden, Widersprüche, Datenfehler und Nacharbeit gegen den bisherigen Prozess vergleichen.

15 Abnahmetests vor dem ersten echten Anruf

1. Kontakt ohne passenden Freigabestatus wird technisch blockiert.
2. Die gespeicherte Einwilligung deckt Unternehmen, Telefon, Zweck und KI-Einsatz ab.
3. Ein widerrufener Kontakt bleibt auch nach erneutem Listenimport gesperrt.
4. Eine Bestandskundenbeziehung wird nicht automatisch als Telefon-Opt-in behandelt.
5. Die korrekte Rufnummer wird angezeigt und kann zurückgerufen werden.
6. Die KI nennt Unternehmen, KI-Einsatz und realen Anlass.
7. Eine falsche Person erhält keine personenbezogenen Details.
8. Ein klares Nein beendet das Gespräch.
9. Ein Werbewiderspruch stoppt alle passenden Kampagnen sofort.
10. Ein angeforderter Rückruf bleibt in seinem dokumentierten Umfang.
11. Servicegespräche enthalten keinen ungeprüften Verkaufsblock.
12. Audioaufzeichnung ist standardmäßig ausgeschaltet.
13. Ergebnisdaten enthalten nur erforderliche Angaben.
14. CRM, Telefonie und Sperrliste zeigen denselben Status.
15. Ein Prüfexport rekonstruiert Freigabe, Anruf und Statusänderung.

Fazit: Nicht „KI oder verboten“, sondern Zweck, Erlaubnis und Architektur

Die sinnvolle Unternehmensfrage lautet nicht, ob KI-Kaltakquise abstrakt erlaubt ist. Sie lautet: Welcher konkrete Kontakt wird von wem, zu welchem Zweck, mit welcher Technik und auf Grundlage welches Nachweises angerufen? Sobald diese Felder eindeutig sind, lassen sich tragfähige Prozesse entwerfen.

Der robuste Einstieg ist selten die maximal breite Kaltliste. Mehr Nutzen und weniger Risiko entstehen durch schnelle angeforderte Rückrufe, spezifische Telefon- und KI-Opt-ins, menschlich geführte B2B-Erstkontakte mit erlaubtem KI-Follow-up sowie klar getrennte Serviceprozesse. Teloro kann solche definierten Abläufe technisch abbilden; die rechtliche Freigabe der konkreten Kampagne bleibt eine Einzelfallentscheidung des einsetzenden Unternehmens.