Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Er ordnet die zentralen Datenschutzfragen ein, die beim Einsatz von KI-Telefonie typischerweise auftreten. Für eine rechtssichere Bewertung im Einzelfall sollten Unternehmen ihre Datenschutzbeauftragte, ihren Datenschutzbeauftragten oder eine Fachanwältin bzw. einen Fachanwalt hinzuziehen.
Warum Telefonie mit KI datenschutzrechtlich relevant ist
Schon die Rufnummer einer anrufenden Person ist ein personenbezogenes Datum. Sobald ein KI-Telefonassistent das Gespräch führt, kommen in der Regel weitere Daten hinzu: die Sprachaufzeichnung selbst, ein automatisch erstelltes Transkript und – je nach Anliegen – Namen, Adressen, Termine oder Anliegen, die im Gespräch genannt werden. In bestimmten Branchen reicht das bis in besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO: Wenn in einer Arztpraxis am Telefon Symptome oder Diagnosen erwähnt werden, handelt es sich um Gesundheitsdaten, die einem strengeren Schutzniveau unterliegen als eine gewöhnliche Kontaktanfrage.
Für Unternehmen bedeutet das: Ein KI-Telefonassistent ist datenschutzrechtlich kein Randthema, sondern eine Verarbeitung personenbezogener Daten wie jede andere Software auch – mit dem Unterschied, dass hier zusätzlich Sprachdaten und ein KI-Modell im Spiel sind.
Nicht nur DSGVO: § 201 StGB und die Einwilligung zur Aufzeichnung
Ein Punkt, der in der Diskussion um KI-Telefonie häufig untergeht: Neben der DSGVO greift bei Telefongesprächen zusätzlich das Strafrecht. Nach § 201 StGB ("Verletzung der Vertraulichkeit des Wortes") macht sich strafbar, wer das nichtöffentlich gesprochene Wort eines anderen ohne dessen Einwilligung aufnimmt. Ein Telefongespräch ist ohne Weiteres ein nichtöffentlich gesprochenes Wort – die Vorschrift gilt uneingeschränkt auch für geschäftliche Anrufe.
Entscheidend ist dabei die Art der Einwilligung: Ein bloßer Hinweis, dass das Gespräch aufgezeichnet wird, reicht nach herrschender Auslegung nicht aus. Erforderlich ist eine ausdrückliche, aktive Zustimmung – etwa ein hörbares „Ja" oder eine bestätigende Tastenwahl zu Beginn des Anrufs. Schweigen der anrufenden Person gilt nicht als Einwilligung. Ein Verstoß kann mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe geahndet werden.
Für KI-Telefonassistenten ist das unmittelbar relevant, weil die meisten Systeme das Gespräch für die automatische Verarbeitung aufzeichnen oder zumindest in Echtzeit transkribieren. Ein datenschutzkonformer AVV allein reicht hier nicht aus: Zusätzlich sollte am Gesprächsanfang eine tatsächliche, aktive Zustimmung eingeholt werden – nicht nur der Transparenzhinweis, den die DSGVO ohnehin verlangt (dazu mehr im nächsten Abschnitt). In der Praxis lässt sich beides in derselben kurzen Ansage kombinieren, solange sie als Frage formuliert ist und eine erkennbare Zustimmung voraussetzt, statt nur einseitig zu informieren.
Rechtsgrundlage und Informationspflichten vor dem Gespräch
Wie bei jeder Verarbeitung personenbezogener Daten braucht auch die KI-gestützte Anrufannahme eine Rechtsgrundlage nach Artikel 6 DSGVO. In der Praxis stützen sich die meisten Unternehmen auf die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Artikel 6 Abs. 1 lit. b) oder auf ein berechtigtes Interesse an einer funktionierenden Erreichbarkeit (Artikel 6 Abs. 1 lit. f) – welche Grundlage im Einzelfall passt, hängt von der genauen Ausgestaltung ab.
Aus den allgemeinen Informationspflichten nach Artikel 13 DSGVO ergibt sich außerdem, dass Anrufende nachvollziehen können sollten, wie mit ihren Daten umgegangen wird. Das ist jedoch eine Transparenzpflicht, keine Einwilligung im Sinne des § 201 StGB – ein Hinweis „Dieses Gespräch wird zu Qualitätszwecken aufgezeichnet" erfüllt die DSGVO-Informationspflicht, ersetzt aber nicht die aktive Zustimmung, die das Strafrecht verlangt. In der Praxis heißt das: eine kurze Ansage zu Beginn des Anrufs, die auf den Einsatz eines KI-Systems hinweist, die Zustimmung zur Aufzeichnung aktiv einholt und auf die Datenschutzerklärung verweist – etwa auf der Website oder in einer Terminbestätigung.
Auftragsverarbeitung, Serverstandort und Subunternehmer
Nutzt ein Unternehmen einen externen Anbieter für KI-Telefonie, verarbeitet dieser personenbezogene Daten im Auftrag. Das setzt nach Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) voraus, der unter anderem regelt, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Maßnahmen gelten und welche Subunternehmer eingebunden sind.
Drei Punkte lohnen einen genauen Blick:
- Serverstandort: Werden Sprachdaten und Transkripte innerhalb der EU beziehungsweise in Deutschland verarbeitet, oder fließen Daten in ein Drittland ohne Angemessenheitsbeschluss? Letzteres erfordert zusätzliche Garantien.
- Subunternehmer: Viele Anbieter setzen für Spracherkennung oder Sprachmodelle auf weitere Dienstleister. Diese Subunternehmer sollten im AVV benannt oder zumindest kategorisiert offengelegt werden.
- Vertragsdokumente statt Werbeaussagen: Ein Siegel oder der Satz „DSGVO-konform" auf einer Website ersetzt keinen AVV. Seriöse Anbieter stellen die Vertragsunterlagen auf Anfrage zur Verfügung, bevor ein Vertrag geschlossen wird.
Teloro verarbeitet die Anrufdaten serverseitig in Deutschland; die entsprechenden Vertragsunterlagen einschließlich AVV sind in den Datenschutz- und Vertragsunterlagen hinterlegt.
Speicherdauer, Transkripte und Löschkonzept
Nach dem Grundsatz der Speicherbegrenzung (Artikel 5 Abs. 1 lit. e DSGVO) dürfen personenbezogene Daten nur so lange aufbewahrt werden, wie es der Zweck erfordert. Für KI-Telefonie heißt das konkret: Aufzeichnungen und Transkripte sollten einer klar definierten Frist unterliegen, nach der sie automatisch gelöscht oder anonymisiert werden – nicht unbegrenzt in einem Archiv liegen bleiben.
Ebenso wichtig sind die Betroffenenrechte aus Artikel 15 und 17 DSGVO: Eine anrufende Person muss auf Anfrage erfahren können, welche Daten über sie gespeichert sind, und diese gegebenenfalls löschen lassen können. Ein Anbieter, der solche Anfragen nicht in angemessener Zeit umsetzen kann, ist datenschutzrechtlich nicht ausreichend aufgestellt – unabhängig davon, wie gut die KI selbst funktioniert.
Checkliste für die Einführung
Vor der Einführung eines KI-Telefonassistenten lohnt sich ein kurzer, konkreter Fragenkatalog gegenüber dem Anbieter:
- Wo werden Sprachdaten und Transkripte technisch verarbeitet und gespeichert (Serverstandort)?
- Liegt ein abschlussfähiger Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO vor?
- Werden Subunternehmer, etwa Anbieter von Sprachmodellen, namentlich oder kategorisiert offengelegt?
- Wie lange werden Aufzeichnungen und Transkripte gespeichert, und gibt es ein automatisches Löschkonzept?
- Erhalten Anrufende zu Beginn des Gesprächs einen Hinweis auf den Einsatz eines KI-Systems?
- Wird dabei eine tatsächliche, aktive Einwilligung zur Aufzeichnung eingeholt – nicht nur ein einseitiger Hinweis (§ 201 StGB)?
- Werden besondere Kategorien personenbezogener Daten – etwa Gesundheitsangaben in Arztpraxen – gesondert behandelt?
- Lassen sich Auskunfts- und Löschanfragen einzelner Personen in angemessener Zeit umsetzen?
Wer diese Punkte vor Vertragsschluss klärt, reduziert das Risiko einer nachträglichen Beanstandung erheblich – und bekommt nebenbei einen guten Eindruck davon, wie ernst ein Anbieter Datenschutz tatsächlich nimmt. Wie sich die laufenden Kosten für eine solche Lösung realistisch einschätzen lassen, zeigt der Beitrag Was kostet ein KI-Telefonassistent?.
Fragen zu Serverstandort, AVV oder Löschkonzept lassen sich am schnellsten im direkten Gespräch klären – gemeinsam mit einem kurzen Testanruf, der zeigt, wie die Anrufannahme in der Praxis funktioniert.
Demo buchenHäufige Fragen
Muss ich Anrufer:innen sagen, dass sie mit einer KI sprechen?
Seit dem 2. August 2026 gilt Artikel 50 des EU AI Act: Bei direkter Interaktion muss für die betroffene Person erkennbar sein, dass sie mit einem KI-System spricht, sofern dies nicht ohnehin offensichtlich ist. Eine kurze Vorstellung am Gesprächsbeginn ist deshalb die belastbare Praxis. Audioaufzeichnung und Datenschutzinformation sind davon getrennt zu prüfen.
Reicht ein Hinweis am Anfang des Anrufs als Einwilligung zur Aufzeichnung?
Nein. Ein bloßer Hinweis erfüllt zwar die Transparenzpflicht der DSGVO, genügt aber nicht als Einwilligung nach § 201 StGB. Dafür ist eine tatsächliche, aktive Zustimmung der anrufenden Person nötig – zum Beispiel ein hörbares „Ja" oder eine bestätigende Tastenwahl. Ein reiner Ankündigungssatz ohne Zustimmungsmöglichkeit reicht dafür nicht aus.
Ist ein KI-Telefonassistent für Arztpraxen überhaupt erlaubt?
Grundsätzlich ja, wenn Gesundheitsdaten als besondere Kategorie nach Artikel 9 DSGVO gesondert abgesichert sind – etwa durch eine passende Rechtsgrundlage, technische Schutzmaßnahmen und einen AVV mit dem Anbieter. Praxen sollten das konkret mit ihrer Datenschutzbeauftragten oder ihrem Datenschutzbeauftragten klären.
Was unterscheidet einen DSGVO-konformen Anbieter von einem, der es nur behauptet?
Ein belastbarer Anbieter legt AVV, Serverstandort und Subunternehmer offen, statt nur ein Siegel oder den Satz „DSGVO-konform" auf der Website zu zeigen. Liegen diese Unterlagen auf Anfrage nicht vor, ist Vorsicht angebracht.