KI-Telefonagent und DSGVO: Worauf du beim Datenschutz achten musst

Ein KI-Telefonagent kann datenschutzkonform betrieben werden – aber nur, wenn ein paar Bausteine von Anfang an sauber sitzen. Denn sobald eine KI Anrufe annimmt, verarbeitet sie personenbezogene Daten: Name, Telefonnummer, das Anliegen und je nach Setup den mitgeschnittenen Ton oder das Transkript des Gesprächs. Damit fällt der Einsatz klar in den Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO).

Die entscheidende Frage ist deshalb nicht „erlaubt oder verboten“, sondern „unter welchen Bedingungen“. Du brauchst eine Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber dem Anrufer, einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, Klarheit über Serverstandort und Speicherdauer – und die Gesprächsaufzeichnung musst du gesondert betrachten. In diesem Leitfaden gehen wir die Bausteine der Reihe nach durch, praxisnah und ohne Panikmache.

Welche Daten verarbeitet ein KI-Telefonagent?

Bevor es um Regeln geht, lohnt der nüchterne Blick darauf, was ein KI-Telefonassistent im Betrieb überhaupt an personenbezogenen Daten berührt. Wenn du das kennst, wird der Rest des Artikels greifbar. Typischerweise fallen an:

• Stammdaten des Anrufers: Name, Rückrufnummer, oft eine E-Mail-Adresse oder Adresse für den Termin.
• Inhaltsdaten: das geschilderte Anliegen – von der harmlosen Öffnungszeiten-Frage bis hin zu sensiblen Angaben, etwa wenn jemand in einer Praxis ein Gesundheitsthema nennt.
• Verbindungsdaten: Zeitpunkt, Dauer und Nummer des Anrufs.
• Sprachdaten: die Stimme selbst und – falls aktiviert – eine Audioaufzeichnung sowie das automatisch erstellte Transkript.
• Abgeleitete Daten: strukturierte Ergebnisse, die der Agent an dein CRM, deinen Kalender oder dein Ticketsystem übergibt.

Wichtig ist die Einsicht: Schon Name und Telefonnummer sind personenbezogene Daten. Und je nach Branche können besondere Kategorien hinzukommen – etwa Gesundheitsdaten in einer Arztpraxis –, die die DSGVO besonders schützt. Wie so ein Agent grundsätzlich funktioniert, erklären wir ausführlich im Beitrag Was ist ein KI-Telefonagent.

Die Rechtsgrundlage: Warum darfst du die Daten verarbeiten?

Jede Verarbeitung personenbezogener Daten braucht nach der DSGVO eine Rechtsgrundlage. Ohne sie ist die Verarbeitung unzulässig – unabhängig davon, wie gut die Technik ist. In der Praxis kommen bei einem KI-Telefonagenten vor allem zwei Grundlagen infrage:

Vertrag bzw. vorvertragliche Maßnahmen: Ruft jemand an, um einen Termin zu buchen, ein Angebot anzufragen oder eine bestehende Leistung zu klären, ist die Datenverarbeitung meist zur Erfüllung oder Anbahnung eines Vertrags erforderlich. Wer eine Terminanfrage stellt, erwartet schließlich, dass seine Daten dafür verwendet werden.

Berechtigtes Interesse: Für die schlichte Anrufannahme und Anliegenaufnahme kann ein berechtigtes Interesse deines Unternehmens tragen – gute Erreichbarkeit und Bearbeitung von Kundenanliegen. Das setzt eine Abwägung gegen die Interessen des Anrufers voraus und trägt in der Regel nur die notwendige Grundverarbeitung, nicht jede weitergehende Nutzung.

Einwilligung: Für einzelne, weitergehende Schritte – allen voran die Gesprächsaufzeichnung – reichen Vertrag oder berechtigtes Interesse oft nicht aus. Hier ist regelmäßig eine ausdrückliche Einwilligung nötig (dazu gleich mehr). Merke dir als Faustregel: Je eingriffsintensiver ein Schritt, desto eher brauchst du eine echte Einwilligung.

Transparenz: Der Anrufer muss wissen, was passiert

Die DSGVO verlangt, dass betroffene Personen verständlich darüber informiert werden, wer ihre Daten zu welchem Zweck verarbeitet. Am Telefon heißt das zweierlei: eine klare Ansage zu Gesprächsbeginn und ein abrufbarer Datenschutzhinweis.

Die Ansage: Der Agent sollte sich zu Beginn kurz zu erkennen geben und – aus Transparenzgründen und für das Vertrauen – deutlich machen, dass es sich um einen digitalen bzw. KI-gestützten Assistenten handelt. Werden Daten für einen bestimmten Zweck erhoben oder soll aufgezeichnet werden, gehört das an den Anfang, nicht ans Ende des Gesprächs.

Der Datenschutzhinweis: Die ausführlichen Pflichtinformationen – wer verantwortlich ist, welche Daten wozu verarbeitet werden, wie lange, auf welcher Rechtsgrundlage und welche Rechte bestehen – gehören in eine gut auffindbare Datenschutzerklärung. Weil am Telefon niemand einen langen Text vorgelesen bekommen will, verweist die kurze Ansage sinnvoll auf die schriftliche Fassung, etwa auf der Website. Wie das bei uns aussieht, zeigt unsere Datenschutzerklärung.

Gesprächsaufzeichnung und Transkription: der heikelste Punkt

Hier trennt sich Spreu vom Weizen – deshalb behandeln wir die Aufzeichnung bewusst getrennt vom Rest. Es macht einen großen Unterschied, ob ein KI-Telefonagent ein Gespräch nur in Echtzeit verarbeitet, um darauf zu reagieren, oder ob er es dauerhaft als Audio speichert bzw. ein Transkript ablegt.

Das dauerhafte Mitschneiden eines Telefongesprächs ist rechtlich sensibel. Neben der DSGVO berührt es das Recht am gesprochenen Wort und das allgemeine Persönlichkeitsrecht. In aller Regel gilt: Eine Audioaufzeichnung ist einwilligungsbedürftig. Der Anrufer muss also vor der Aufzeichnung informiert werden und aktiv zustimmen können – und er muss die Möglichkeit haben, das Gespräch auch ohne Aufzeichnung fortzuführen.

Für die Transkription – also die automatische Verschriftlichung – gelten ähnliche Überlegungen: Auch ein Wort-für-Wort-Protokoll ist eine Speicherung des Gesprächsinhalts. Frag dich deshalb bei jedem Setup ehrlich: Brauche ich die vollständige Aufzeichnung überhaupt? Oft reicht es, das strukturierte Ergebnis zu speichern (Name, Nummer, Anliegen, Termin) statt des kompletten Mitschnitts. Das ist nicht nur datensparsamer, sondern erspart dir die ganze Einwilligungsmechanik.

Auftragsverarbeitung: der Vertrag mit dem Anbieter

Wenn du einen KI-Telefonagenten über einen Dienstleister betreibst, verarbeitet dieser Dienstleister personenbezogene Daten in deinem Auftrag. Für genau diese Konstellation verlangt die DSGVO einen Auftragsverarbeitungsvertrag (AVV) – einen Vertrag, der regelt, was der Anbieter mit den Daten tun darf und was nicht, welche Schutzmaßnahmen gelten und wie mit Löschung und Betroffenenrechten umgegangen wird.

Ein KI-Telefonagent ist technisch selten ein einzelnes System. Meist stecken mehrere Bausteine dahinter – Spracherkennung, Sprachmodell, Sprachausgabe, Telefonie, Speicher. Häufig sind das Unterauftragnehmer (Subprozessoren). Achte deshalb darauf:

• Es existiert ein AVV mit deinem direkten Anbieter, der zum tatsächlichen Setup passt.
• Die eingesetzten Unterauftragnehmer sind benannt und ebenfalls vertraglich eingebunden.
• Es ist geregelt, wie du über den Wechsel eines Unterauftragnehmers informiert wirst.
• Es ist dokumentiert, welche technischen und organisatorischen Maßnahmen (TOM) zum Schutz der Daten getroffen werden.

Ein sauberer AVV ist kein Papierkram zur Beruhigung, sondern die vertragliche Grundlage, auf der die ganze Verarbeitung steht. Fehlt er oder passt er nicht zum realen Ablauf, hilft die beste Technik nichts.

Serverstandort und Datenübermittlung in Drittländer

Wo werden die Daten verarbeitet und gespeichert? Diese Frage ist bei Voice AI besonders relevant, weil viele Sprachmodelle und Dienste international betrieben werden. Grundsätzlich gilt: Werden Daten innerhalb der EU bzw. des EWR verarbeitet, ist die Lage vergleichsweise unkompliziert.

Sobald personenbezogene Daten in ein Drittland außerhalb des EWR übermittelt werden – etwa auf Server in den USA –, braucht es zusätzliche Garantien. Dazu zählen ein anerkannter Angemessenheitsrahmen für den jeweiligen Anbieter oder EU-Standardvertragsklauseln (SCC), ergänzt um eine Prüfung, ob im Zielland ein vergleichbares Schutzniveau tatsächlich gewährleistet ist. Das ist rechtlich anspruchsvoll und sollte nicht nebenbei erledigt werden.

Unsere Empfehlung aus der Praxis: Wo möglich, auf eine Verarbeitung innerhalb der EU setzen. Das reduziert die rechtliche Komplexität spürbar und schafft Vertrauen bei den Anrufern. Lässt sich eine Drittlandübermittlung nicht vermeiden, muss die Grundlage dafür sauber dokumentiert und geprüft sein.

Datensparsamkeit und Speicherdauer

Zwei eng verwandte Grundsätze der DSGVO sind im Alltag besonders wichtig: Datenminimierung (nur erheben, was für den Zweck nötig ist) und Speicherbegrenzung (nicht länger aufbewahren als nötig).

Für den KI-Telefonagenten heißt das ganz konkret: Erhebe nur die Daten, die du zur Bearbeitung des Anliegens wirklich brauchst. Ein Terminwunsch braucht Name, Nummer und Zeitfenster – nicht die halbe Lebensgeschichte. Und lege für jede Datenart eine Löschfrist fest: Wann wird eine erledigte Rückrufbitte gelöscht? Wann ein Transkript? Diese Fristen gehören dokumentiert und technisch umgesetzt, damit Daten nicht unbegrenzt liegen bleiben.

Betroffenenrechte: Was Anrufer verlangen können

Die DSGVO gibt jeder betroffenen Person Rechte, die du erfüllen können musst – unabhängig davon, ob die Daten von einem Menschen oder einer KI erfasst wurden. Die wichtigsten:

• Auskunft: Welche Daten sind über mich gespeichert?
• Berichtigung: falsch erfasste Daten korrigieren lassen.
• Löschung: Daten löschen lassen, wenn kein Grund mehr für die Speicherung besteht.
• Einschränkung der Verarbeitung: die Nutzung vorübergehend stoppen.
• Widerspruch: einer Verarbeitung auf Basis berechtigten Interesses widersprechen.
• Widerruf der Einwilligung: eine erteilte Einwilligung – etwa zur Aufzeichnung – jederzeit für die Zukunft zurücknehmen.

Praktisch bedeutet das: Du musst wissen, wo die vom Agenten erfassten Daten landen, und in der Lage sein, sie auf Anfrage aufzufinden, zu korrigieren oder zu löschen. Ein sauber angebundenes System – Kalender, CRM oder Ticketsystem – ist dafür Gold wert, weil die Daten dann strukturiert an einem definierten Ort liegen statt verstreut in Mitschnitten.

Praktische Umsetzungs-Checkliste

Zum Mitnehmen: Diese Punkte solltest du abhaken, bevor ein KI-Telefonagent bei dir live geht. Sie ersetzt keine individuelle Prüfung, gibt dir aber eine belastbare Struktur.

• Rechtsgrundlage je Verarbeitungsschritt bestimmt (Vertrag, berechtigtes Interesse, Einwilligung).
• Transparente Ansage zu Gesprächsbeginn, inkl. Hinweis auf den KI-Assistenten.
• Datenschutzerklärung ergänzt und leicht auffindbar (z. B. auf der Website).
• Gesprächsaufzeichnung/Transkription bewusst entschieden – und falls aktiv, mit Einwilligungslösung.
• AVV mit dem Anbieter abgeschlossen, der zum realen Setup passt.
• Unterauftragnehmer benannt und vertraglich eingebunden.
• Serverstandort geklärt; bei Drittlandbezug SCC bzw. Angemessenheitsrahmen dokumentiert.
• Datenminimierung geprüft: nur erheben, was der Zweck erfordert.
• Löschfristen je Datenart festgelegt und technisch umgesetzt.
• Prozess für Betroffenenrechte definiert (Auskunft, Löschung, Widerspruch, Widerruf).
• Verzeichnis von Verarbeitungstätigkeiten aktualisiert; ggf. Datenschutz-Folgenabschätzung geprüft.
• Abschließende Prüfung durch Datenschutzbeauftragten oder Anwalt.

Datenschutz-Bausteine auf einen Blick

Die folgende Übersicht fasst die wichtigsten Bausteine zusammen – worum es jeweils geht und was konkret zu tun ist.

Häufige Fehler beim Datenschutz

Aus Gesprächen mit Unternehmen kennen wir die Stolperfallen, die immer wieder auftauchen:

• Heimlich aufzeichnen: Gespräche mitschneiden, ohne vorher zu informieren und – wo nötig – eine Einwilligung einzuholen.
• Kein AVV: einen Dienst nutzen, aber den Auftragsverarbeitungsvertrag nie abschließen oder ihn nicht an das reale Setup anpassen.
• Unterauftragnehmer übersehen: nur an den Hauptanbieter denken und die dahinterliegenden Dienste (Sprachmodell, Telefonie, Speicher) ignorieren.
• Datensammlung ohne Grenze: mehr abfragen als nötig und alles unbegrenzt speichern, ohne Löschfristen.
• Drittland ohne Grundlage: Daten in Nicht-EU-Länder übermitteln, ohne SCC oder eine dokumentierte Prüfung.
• Datenschutzerklärung nicht angepasst: den neuen Verarbeitungsvorgang gar nicht erst in die Pflichtinformationen aufnehmen.
• Alles selbst entscheiden: bei sensiblen Branchen (z. B. Gesundheit) auf die fachliche Prüfung verzichten.

Häufige Fragen zu KI-Telefonagent und DSGVO

Ist ein KI-Telefonagent grundsätzlich DSGVO-konform?

Pauschal lässt sich das nicht sagen – und niemand sollte „garantiert DSGVO-konform“ versprechen. Richtig ist: Ein KI-Telefonagent kann datenschutzkonform betrieben werden, wenn Rechtsgrundlage, Transparenz, AVV, Serverstandort, Speicherdauer und Betroffenenrechte sauber geregelt sind. Die Konformität hängt also am konkreten Setup, nicht an der Technologie an sich.

Muss ich Anrufer darüber informieren, dass eine KI spricht?

Für die Transparenz und das Vertrauen empfehlen wir klar, den KI-Assistenten sich zu Beginn als solchen zu erkennen zu geben. Die ausführlichen Pflichtinformationen gehören in eine leicht auffindbare Datenschutzerklärung, auf die die Ansage verweisen kann.

Braucht die Gesprächsaufzeichnung eine Einwilligung?

In aller Regel ja. Das dauerhafte Mitschneiden eines Gesprächs ist ein eigenständiger, sensibler Schritt und braucht üblicherweise eine ausdrückliche Einwilligung vor der Aufzeichnung. Oft ist die datensparsamere Alternative besser: nur das strukturierte Ergebnis speichern statt des kompletten Mitschnitts.

Was ist ein AVV und wer schließt ihn ab?

Ein Auftragsverarbeitungsvertrag regelt, wie ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet. Als verantwortliches Unternehmen schließt du ihn mit deinem Anbieter ab; er sollte die eingesetzten Unterauftragnehmer einbeziehen.

Dürfen die Daten auf Servern außerhalb der EU liegen?

Möglich ist das, aber nur mit zusätzlichen Garantien wie EU-Standardvertragsklauseln und einer Prüfung des Schutzniveaus. Einfacher und vertrauensbildender ist eine Verarbeitung innerhalb der EU – die bevorzugen wir, wo es geht.

KI-Telefonagent datenschutzkonform einrichten

Datenschutz ist beim KI-Telefonagenten kein Show-Stopper, sondern eine Frage der sauberen Umsetzung. Wer die Bausteine dieses Leitfadens von Anfang an mitdenkt – Rechtsgrundlage, transparente Ansage, bewusster Umgang mit der Aufzeichnung, AVV, EU-Verarbeitung, Löschfristen und Betroffenenrechte – schafft die Grundlage für einen Betrieb, der Anrufer wie Aufsichtsbehörden standhält.

Genau so richten wir KI-Telefonagent für eingehende Anrufe bei unseren Kunden ein: mit Fokus auf Datensparsamkeit, EU-Verarbeitung und einem Setup, das zum jeweiligen Unternehmen passt. Willst du das für deinen Betrieb umsetzen? Dann lass uns die datenschutzrechtlichen Bausteine gemeinsam durchgehen – KI-Telefonagent datenschutzkonform einrichten lassen.

Und noch einmal zur Sicherheit: Dieser Beitrag ist allgemeine Information aus unserer Umsetzungspraxis, keine Rechtsberatung. Die verbindliche Prüfung deines konkreten Falls gehört in die Hände deines Datenschutzbeauftragten oder eines spezialisierten Anwalts.