Sobald ein Unternehmen ernsthaft über einen KI-Telefonassistenten nachdenkt, kommt fast immer dieselbe erste Frage: Ist das überhaupt DSGVO-konform? Das ist die richtige Frage, und es ist gut, dass sie gestellt wird. Denn bei einem Anruf, den eine KI annimmt, werden regelmäßig personenbezogene Daten verarbeitet. In diesem Leitfaden erkläre ich, was dabei wirklich passiert, worauf es rechtlich ankommt und welche Fragen Sie jedem Anbieter stellen sollten, auch mir.
Ich bin Oliver Munyak und entwickle TalkNode allein. Weil ich die Systeme selbst baue, weiß ich genau, welche Daten an welcher Stelle verarbeitet werden. Ich gehe dieses Thema deshalb lieber ehrlich an als mit Marketingfloskeln. Datenschutz ist bei KI-Telefonie kein Häkchen auf einer Liste, sondern die Grundbedingung.
Dieser Beitrag ist ein praxisnaher Ratgeber, keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls wenden Sie sich an Ihren Datenschutzbeauftragten, sofern vorhanden, oder an eine entsprechend qualifizierte Datenschutz- beziehungsweise Rechtsberatung. Was ich hier liefere, ist die Orientierung, mit der Sie dieses Gespräch vorbereitet führen können.
Warum ein KI-Telefonat fast immer DSGVO-relevant ist
Ein KI-Telefonassistent verarbeitet bei einem Anruf regelmäßig personenbezogene Daten, etwa eine Telefonnummer, den Namen und das mitgeteilte Anliegen. Diese Verarbeitung fällt unter die DSGVO. Bei einer Arztpraxis können zusätzlich Gesundheitsdaten entstehen, etwa wenn Patienten Beschwerden, Medikamente oder Befunde nennen. Das sind besondere Kategorien personenbezogener Daten nach Artikel 9, die besonders streng geschützt sind.
Ein Punkt wird dabei oft übersehen: die Stimme selbst. Eine Stimme ist nicht automatisch ein biometrisches Datum. Wenn Sprachmerkmale aber technisch verarbeitet werden, um eine Person eindeutig zu identifizieren oder wiederzuerkennen, kann daraus ein biometrisches Datum nach Artikel 9 werden, mit entsprechend verschärften Anforderungen. Genau deshalb ist es nicht egal, ob und wie lange Audio gespeichert wird.
Welche Daten entstehen bei einem KI-Telefonat?
Es hilft, sich zuerst klarzumachen, welche Arten von Daten bei einem einzigen Anruf überhaupt anfallen. Erst dann lässt sich beurteilen, was geschützt werden muss.
| Datenart | Beispiel | Warum relevant |
|---|---|---|
| Stammdaten | Name, Telefonnummer. | Personenbezogene Daten. |
| Inhaltsdaten | Anliegen, Terminwunsch, Rückrufbitte. | Zweckbindung und Löschung. |
| Kommunikationsdaten | Zeitpunkt, Dauer, Rufnummer. | Protokollierung. |
| Audio | Stimme, Gesprächsaufnahme. | Besonders sensibel. |
| Gesundheitsdaten | Beschwerden, Medikamente, Praxisanliegen. | Besondere Kategorie nach Artikel 9. |
Die Datenarten sind rechtlich unterschiedlich einzuordnen. Gesundheitsdaten gehören ausdrücklich zu den besonderen Kategorien personenbezogener Daten. Audioaufnahmen sind zwar nicht automatisch eine solche besondere Kategorie, greifen aber besonders intensiv in die Vertraulichkeit des Gesprächs ein. Genau deshalb ist Datensparsamkeit kein nettes Extra, sondern der Kern eines sauberen Konzepts.
Aufzeichnung oder Transkript? Ein wichtiger Unterschied
Datenschutzrechtlich ist es ein Unterschied, ob ein Gespräch als Audio aufgezeichnet oder nur in Text umgewandelt wird. Eine dauerhafte Tonaufnahme ist die eingriffsintensivere Variante. Hier ist in Deutschland zusätzlich Paragraf 201 StGB zu beachten: Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes ist strafbar. Eine unbefugte Tonaufnahme ist daher nicht nur ein DSGVO-Thema.
Mein Ansatz ist Datensparsamkeit. Es wird nur verarbeitet, was für die Bearbeitung des Anliegens nötig ist, und alles wird nach kurzer Zeit automatisch gelöscht. Dazu unten mehr.
Wer ist verantwortlich, wer verarbeitet?
Das ist die wichtigste Weichenstellung. In den meisten klassischen Einsatzszenarien bleiben Sie als Unternehmen der Verantwortliche, während der Anbieter des KI-Telefonassistenten als Auftragsverarbeiter tätig wird und die Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen verarbeitet. Entscheidend ist die konkrete Rollenverteilung im jeweiligen Setup: Verfolgt ein Anbieter eigene Zwecke, etwa indem er Gesprächsdaten zur Produktverbesserung nutzt, kann seine Rolle rechtlich anders zu bewerten sein. Genau deshalb ist es so wichtig, dass Gesprächsdaten nicht fürs KI-Training verwendet werden. Damit die Auftragsverarbeitung sauber ist, braucht es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, kurz AVV.
Ein seriöser Anbieter stellt Ihnen den AVV rechtzeitig vor Vertragsabschluss und spätestens vor Beginn der Verarbeitung zur Prüfung bereit. In der beschriebenen Auftragsverarbeitungskonstellation muss der AVV vor Beginn der Verarbeitung abgeschlossen sein. Ohne ihn darf diese Verarbeitung nicht starten. Der AVV regelt unter anderem, welche Daten zu welchem Zweck verarbeitet werden, welche Unterauftragsverarbeiter beteiligt sind und welche technischen und organisatorischen Maßnahmen gelten.
Sie möchten den Auftragsverarbeitungsvertrag und mein Datenschutzkonzept im Detail durchgehen, bevor Sie sich für irgendeine Lösung entscheiden? Das mache ich mit Ihnen in einem zwanzigminütigen Gespräch, ehrlich und ohne Verkaufsdruck. Ein gesondertes Datenschutz- und Sicherheitsblatt stelle ich auf Anfrage bereit.
Der heikelste Punkt: wo die Daten verarbeitet werden
Der Serverstandort und die gesamte Verarbeitungskette gehören zu den kritischsten Punkten, und gleichzeitig zu denen, bei denen am meisten geschönt wird. Werden personenbezogene Daten in ein Drittland außerhalb des Europäischen Wirtschaftsraums übermittelt oder von dort zugänglich gemacht, braucht es eine tragfähige Grundlage nach Kapitel V der DSGVO.
Für entsprechend zertifizierte Unternehmen in den USA kann derzeit das EU-US Data Privacy Framework eine Angemessenheitsgrundlage bilden. In anderen Konstellationen kommen beispielsweise Standardvertragsklauseln in Betracht, je nach Einzelfall ergänzt um weitere Prüfungen und Schutzmaßnahmen.
Ein europäisches Rechenzentrum allein beantwortet die Frage deshalb noch nicht vollständig. Geprüft werden müssen auch mögliche Zugriffe aus Drittländern, beteiligte Unterauftragsverarbeiter, Weiterübermittlungen und die dafür jeweils dokumentierte Grundlage. Hier liegt die eigentliche Falle: Manche Lösung klingt datenschutzfreundlich, greift im Hintergrund aber auf mehrere internationale Dienste zu, ohne dass die Übermittlungsgrundlage sauber dokumentiert ist.
Ehrlich gesagt: Viele leistungsfähige Lösungen für KI-Telefonie greifen für Telefonie, Spracherkennung und Sprachsynthese auf spezialisierte international tätige Anbieter zurück. Entscheidend ist nicht das Versprechen, gar keine solchen Dienste zu nutzen, sondern dass die konkrete Verarbeitungskette, die gewählten Regionen, mögliche Drittlandbezüge und die vertraglichen Grundlagen vollständig offengelegt werden.
Die TalkNode-Orchestrierung läuft auf Servern in Deutschland. Die beteiligten Telefonie-, Sprach- und Speicherdienste werden in vertraglich festgelegten EU-Regionen betrieben und transparent als Unterauftragsverarbeiter dokumentiert. Sie bekommen keine Behauptung, sondern eine nachvollziehbare Kette.
Warum Datenschutz kein späteres Feature ist
DSGVO-Konformität entsteht nicht durch einen Satz in der Datenschutzerklärung. Sie entsteht durch Architektur. Entscheidend ist, welche Daten überhaupt erhoben werden, ob Audio gespeichert wird, wo die Verarbeitung stattfindet, wer Zugriff hat, welche Unterauftragsverarbeiter beteiligt sind und wann Daten automatisch gelöscht werden. Genau deshalb sollte ein KI-Telefonassistent nicht erst nachträglich datenschutzfreundlich gemacht werden. Datenschutz muss von Anfang an Teil des Systems sein.
Das ist der Punkt, an dem sich ein durchdachtes System von einem zusammengesteckten unterscheidet. Wer Datenschutz erst beim Marketingtext mitdenkt, hat ihn in der Technik meist schon verloren.
Datensparsamkeit und Löschkonzept
Privacy by Design heißt, dass Datenschutz schon in der Architektur steckt und nicht nachträglich aufgesetzt wird. Konkret bedeutet das bei mir:
- Es wird nur das verarbeitet, was zur Bearbeitung des Anliegens nötig ist.
- Audioaufzeichnungen und gespeicherte Gesprächsinhalte werden nach vierzehn Tagen automatisch gelöscht, ohne dass jemand daran denken muss.
- Gesprächsdaten fließen nicht in das Training von KI-Modellen.
Für technisch notwendige Metadaten und Protokolle gelten getrennte, dokumentierte Fristen. Daten, die bereits an Ihr eigenes System übergeben wurden, etwa eine Aufgabe oder eine E-Mail, unterliegen danach Ihrem eigenen Löschkonzept. Eine feste, automatische Löschfrist ist deutlich mehr wert als das Versprechen, irgendwann manuell aufzuräumen. Was nicht mehr da ist, kann nicht missbraucht werden.
Die Anrufer müssen wissen, dass eine KI spricht
Seit dem 2. August 2026 gelten für direkt mit Menschen interagierende KI-Systeme die Transparenzpflichten des Artikels 50 des AI Act. Die Pflicht aus Absatz 1 richtet sich zunächst an den Anbieter: Das System muss so gestaltet sein, dass natürliche Personen vom Beginn der ersten Interaktion an klar und unterscheidbar darüber informiert werden, dass sie mit einer KI sprechen. Der Hinweis muss außerdem die geltenden Anforderungen an die Barrierefreiheit erfüllen.
Für einen normalen Anruf bei einer Praxis oder einem Unternehmen ist in der Regel nicht offensichtlich, dass eine KI antwortet. Die entsprechende Ausnahme sollte deshalb nicht als Standardlösung verstanden werden. Meine Assistentinnen weisen den Anrufer bereits in der Begrüßung ausdrücklich darauf hin, dass er mit einer KI-Telefonassistentin spricht, bevor das eigentliche Anliegen aufgenommen wird.
Wichtig: Der kurze KI-Hinweis nach dem AI Act ersetzt nicht die ausführlicheren Informationspflichten der DSGVO. Beides sind getrennte Transparenzebenen. Der KI-Hinweis gehört an den Gesprächsanfang, ergänzende Datenschutzinformationen können Sie beispielsweise über die Datenschutzerklärung oder eine leicht erreichbare Informationsseite bereitstellen.
Wenn Audio gespeichert wird: ausdrückliche Freigabe und eigene Rechtsgrundlage
Der Hinweis, dass eine KI spricht, ist noch keine Zustimmung zur Aufzeichnung des Gesprächs. Das sind zwei getrennte Dinge. Soll das nichtöffentlich gesprochene Wort dauerhaft als Audio aufgenommen werden, muss die Aufnahme befugt erfolgen. In der Praxis wird dafür regelmäßig vor Beginn der Aufnahme eine ausdrückliche Zustimmung eingeholt. Eine bloße Widerspruchsmöglichkeit nach dem Motto „wenn Sie nicht einverstanden sind, legen Sie auf“ ist dafür ein schwaches Fundament.
Davon getrennt ist die datenschutzrechtliche Rechtsgrundlage für die Verarbeitung und Speicherung von Audio, Transkript und Gesprächsinhalten zu bestimmen. Sie richtet sich nach dem Zweck, den verarbeiteten Daten und dem jeweiligen Einsatzbereich. Bei Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten muss zusätzlich eine Voraussetzung nach Artikel 9 DSGVO erfüllt sein.
TalkNode setzt technisch einen klaren Zustimmungsschritt vor die dauerhafte Speicherung. Ohne aktives Ja entstehen keine dauerhafte Audioaufnahme, kein gespeichertes Transkript und kein Inhaltseintrag. Diese Sperre liegt im Server, nicht nur in der Gesprächsführung. Damit das System die Antwort erkennen kann, wird sie lediglich flüchtig in Echtzeit verarbeitet. Lehnt der Anrufer ab, biete ich die direkte Weiterleitung an einen Menschen an oder verweise auf die üblichen Kontaktwege.
Auch die synthetische Stimme ist regulatorisch relevant
Neben dem hörbaren Hinweis enthält Artikel 50 Absatz 2 eine technische Transparenzpflicht für Anbieter von KI-Systemen, die synthetische Audioinhalte erzeugen. Solche Inhalte müssen grundsätzlich in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sein, soweit dies technisch machbar ist.
In einer mehrstufigen Verarbeitungskette können mehrere Anbieter eigene Pflichten haben. Ein Anbieter des zugrunde liegenden Sprachdienstes kann für sein System verantwortlich sein. Wer einen fertigen KI-Telefonassistenten unter dem eigenen Namen oder der eigenen Marke anbietet, muss zugleich die eigene Rolle und die Anforderungen an das Gesamtsystem prüfen und dokumentieren.
Deshalb muss geklärt werden, welche Kennzeichnung der Sprachdienst technisch bereitstellt, ob sie bis zum ausgegebenen Audiosignal erhalten bleibt und welche zusätzlichen Maßnahmen im fertigen Telefonassistenten erforderlich sind.
Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, gilt ausschließlich für die Pflichten aus Artikel 50 Absatz 2 eine begrenzte Übergangsfrist bis zum 2. Dezember 2026. Der hörbare Hinweis nach Absatz 1 ist davon nicht erfasst.
Sonderfall Arztpraxis: Gesundheitsdaten und Schweigepflicht
Bei Arztpraxen reicht ein normaler Datenschutzblick nicht aus. Sobald Patienten Beschwerden, Medikamente oder Befunde nennen, entstehen Gesundheitsdaten. Diese gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 und müssen besonders geschützt werden. Hinzu kommt die ärztliche Schweigepflicht, die unabhängig von der DSGVO gilt.
Praktisch heißt das: kurze Speicherfristen, klare Zugriffsregeln und ein Anbieter, der genau benennen kann, wo und wie diese sensiblen Daten verarbeitet werden. Wie ich das in der Praxis löse und was eine virtuelle Kollegin in einer Arztpraxis konkret darf und nicht darf, habe ich im Leitfaden für Arztpraxen ausführlich beschrieben.
Ein administrativer Telefonassistent wird nicht allein durch den Einsatz in einer Arztpraxis zum Hochrisiko-KI-System. Entscheidend sind sein vorgesehener Zweck und seine tatsächlichen Funktionen. Systeme, die Notrufe bewerten oder klassifizieren, medizinische Dringlichkeit bestimmen oder eine Behandlungspriorität festlegen, können unter die Hochrisiko-Regelungen fallen.
TalkNode ist als administrative Anrufannahme konzipiert. Das System stellt keine Diagnose und führt keine medizinische Triage durch. Es kann zuvor festgelegte Warnsignale erkennen und einen Anruf nach festen Praxisregeln an einen Menschen übergeben. Die medizinische Bewertung und Priorisierung erfolgt ausschließlich durch das Praxisteam.
Technische und organisatorische Maßnahmen
Artikel 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen, kurz TOM. Dazu gehören Zugriffskontrollen, eine nachvollziehbare Protokollierung, Backup-Konzepte und ein Plan für den Fall einer Sicherheitsverletzung. Ein seriöser Anbieter kann Ihnen diese Maßnahmen beschreiben, statt nur mit dem Wort Sicherheit zu werben. Fragen Sie ruhig konkret nach, wie Zugriffe geregelt und protokolliert werden.
Woran Sie einen datenschutzfreundlichen Anbieter erkennen
Die folgende Übersicht zeigt, was ein gutes Zeichen ist und wann Sie hellhörig werden sollten. Das gilt für jeden Anbieter, nicht nur für mich.
| Worauf Sie achten | Gutes Zeichen | Warnsignal |
|---|---|---|
| Verarbeitungs- und Zugriffskette | Regionen, beteiligte Anbieter, mögliche Drittlandzugriffe und Übermittlungsgrundlagen konkret dokumentiert. | Nur „Server in Deutschland“ ohne Angaben zur gesamten Dienstekette. |
| AVV | Liegt vor Vertragsabschluss zur Prüfung vor. | Fehlt beim Start der Verarbeitung. |
| Beteiligte Dienste | Transparent benannt und dokumentiert. | „Das ist Geschäftsgeheimnis.“ |
| Aufzeichnung | Aktive Zustimmung vor der Aufnahme. | Aufnahme läuft ohne aktives Ja. |
| Löschung | Feste Frist, automatisch. | Unbegrenzt oder unklar. |
| KI-Training | Gesprächsdaten ausgeschlossen. | Daten fließen ins Training. |
Checkliste: die zehn Fragen an jeden Anbieter
- Wo genau werden die Daten verarbeitet und gespeichert?
- Gibt es einen AVV nach Artikel 28, und liegt er vor Beginn der Verarbeitung vor?
- Welche Unterauftragsverarbeiter sind beteiligt, und wo sitzen sie?
- Wenn Daten ein Drittland berühren: auf welcher dokumentierten Grundlage?
- Werden Gespräche als Audio gespeichert oder nur transkribiert?
- Wird vor einer Aufzeichnung aktiv um Zustimmung gebeten?
- Wie lange werden Gesprächsdaten aufbewahrt, und wird automatisch gelöscht?
- Werden meine Gesprächsdaten zum Training von KI-Modellen genutzt?
- Wird der Anrufer zu Gesprächsbeginn auf die KI hingewiesen?
- Welche technischen und organisatorischen Maßnahmen gelten, wer haftet wofür, und wer ist bei einem Sicherheitsvorfall erreichbar?
KI-Kompetenz im Team: eine weitere Pflicht des AI Act
Neben der Transparenz gegenüber Anrufern betrifft Artikel 4 des AI Act die Personen, die im Auftrag eines Anbieters oder Betreibers mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Diese Regelung gilt seit dem 2. Februar 2025. Mit der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, wurde sie neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, die die Entwicklung von KI-Kompetenz unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen muss dagegen nicht mehr sichergestellt werden.
Für einen KI-Telefonassistenten bedeutet das nicht, dass jedes Teammitglied eine technische KI-Ausbildung braucht. Die beteiligten Personen sollten aber verstehen, was das System kann, wo seine Grenzen liegen, wie unsichere oder unvollständige Ergebnisse behandelt werden, wann ein Mensch übernehmen muss und welche Datenschutzregeln gelten.
Ein bestimmtes Zertifikat ist nicht vorgeschrieben. Ich liefere ein Einweisungs- und Übergabeblatt als Bestandteil einer kurzen, dokumentierten Einführung. Dazu gehören Testanrufe, die Grenzen des Systems, die menschliche Übernahme, Eskalationsregeln, der Umgang mit unvollständigen Ergebnissen und die relevanten Datenschutzvorgaben. Datum, Inhalte und beteiligte Personen können Sie intern dokumentieren. Das ist belastbarer als ein Merkblatt allein.
Der minimale DSGVO-Start für Ihr Unternehmen
Die Checkliste oben richtet sich an den Anbieter. Auf Ihrer Seite sollten Sie vor dem Start mindestens diese Punkte selbst klären, damit Sie als Verantwortlicher sauber aufgestellt sind:
- Den Zweck der Verarbeitung festlegen und auf das Nötige begrenzen.
- Den AVV abschließen und ablegen.
- Die beteiligten Unterauftragsverarbeiter kennen und dokumentieren.
- Eine klare Löschfrist vereinbaren.
- Die Informationspflicht gegenüber Anrufern umsetzen.
- Prüfen und dokumentieren, ob wegen Art, Umfang, Kontext und Risiken der Verarbeitung eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich ist.
- Ein Zugriffskonzept festlegen: Wer im Team sieht was?
- Maßnahmen festlegen, die die Entwicklung der KI-Kompetenz der zuständigen Personen unterstützen, und diese kurz dokumentieren.
- Einen Prozess für den Ernstfall einer Datenpanne haben.
- Die Verarbeitung in Ihr Verzeichnis der Verarbeitungstätigkeiten aufnehmen.
Das ist kein Hexenwerk, aber es gehört dazu. Ein guter Anbieter liefert Ihnen die Bausteine, mit denen Sie diese Liste zügig abhaken können. Für die Datenschutz-Folgenabschätzung stelle ich die nötige Zuarbeit bereit: Datenfluss, beteiligte Systeme, Zwecke, Empfänger, Fristen, technische Maßnahmen und Restrisiken.
Drei verbreitete Missverständnisse
„DSGVO-konform“ ist kein Siegel, das man einfach trägt. Es ist das Ergebnis aus sauberen Verträgen, dem richtigen Verarbeitungsort und gelebter Datensparsamkeit.
Erstens: Das Etikett allein sagt wenig. Lassen Sie sich die konkreten Punkte zeigen, nicht das Wort. Zweitens: Die Verantwortung liegt nicht allein beim Anbieter. Als Verantwortlicher müssen auch Sie informieren, dokumentieren und den passenden Anbieter auswählen. Ein guter Partner macht Ihnen das leicht, abnehmen kann er es Ihnen nicht vollständig. Drittens: Ein deutscher Server allein genügt nicht, wenn im Hintergrund undokumentiert Daten abfließen. Es zählt die gesamte Kette.
Was das für Ihre Branche bedeutet
Die Grundregeln gelten überall, die konkrete Ausprägung unterscheidet sich aber je nach Branche. Wie Datenschutz, Erreichbarkeit und Abläufe im Detail zusammenspielen, habe ich in eigenen Leitfäden beschrieben: für Arztpraxen, für Handwerksbetriebe, für Steuerkanzleien und für Hausverwaltungen. Bei Steuerkanzleien kommt zusätzlich die berufsrechtliche Verschwiegenheit ins Spiel, bei Arztpraxen die ärztliche Schweigepflicht.
Was ich bei TalkNode konkret mache
Damit es nicht bei Prinzipien bleibt, hier mein Ansatz. Die TalkNode-Orchestrierung läuft auf Servern in Deutschland. Die beteiligten Telefonie-, Sprach- und Speicherdienste werden in vertraglich festgelegten EU-Regionen betrieben und als Unterauftragsverarbeiter dokumentiert. Ein AVV gehört zum Standard. Der Anrufer wird zu Beginn des Gesprächs ausdrücklich über die KI-Interaktion informiert. Eine dauerhafte Aufzeichnung startet erst nach seiner aktiven Zustimmung, und diese Sperre wird serverseitig durchgesetzt. Audioaufzeichnungen und gespeicherte Gesprächsinhalte werden nach vierzehn Tagen automatisch gelöscht und nicht für das Training von KI-Modellen verwendet. Für Rückfragen bin ich als Entwickler direkt erreichbar, nicht über ein Ticketsystem.
Häufige Fragen zu DSGVO und KI-Telefonassistenten
Ist ein KI-Telefonassistent überhaupt DSGVO-konform möglich?
Ja, ein datenschutzkonformer Einsatz ist grundsätzlich möglich. Er setzt jedoch mehr voraus als einen europäischen Serverstandort. Erforderlich sind insbesondere eine passende Rechtsgrundlage, transparente Informationen für die Betroffenen, eine klare Rollen- und Vertragsverteilung, ein AVV bei Auftragsverarbeitung, eine dokumentierte Verarbeitungskette, angemessene technische und organisatorische Maßnahmen sowie ein Löschkonzept. Je nach Daten und Einsatz kann zusätzlich eine Datenschutz-Folgenabschätzung oder eine Voraussetzung nach Artikel 9 DSGVO erforderlich sein.
Brauche ich eine Einwilligung des Anrufers?
Nicht für jede Verarbeitung ist automatisch eine Einwilligung erforderlich. Die passende Rechtsgrundlage hängt vom Zweck, von den Daten und von der jeweiligen Branche ab. Bei besonderen Kategorien personenbezogener Daten muss zusätzlich eine Voraussetzung nach Artikel 9 DSGVO erfüllt sein.
Davon zu unterscheiden ist die Tonaufnahme: Soll das nichtöffentlich gesprochene Wort dauerhaft aufgezeichnet werden, muss die Aufnahme befugt erfolgen. Bei TalkNode wird deshalb vor jeder dauerhaften Audioaufnahme ausdrücklich um Zustimmung gebeten. Ohne aktives Ja entstehen auch kein gespeichertes Transkript und kein Inhaltseintrag.
Reicht es, wenn der Anbieter „Server in Deutschland“ sagt?
Allein nicht. Entscheidend ist die gesamte Verarbeitungskette, auch die beteiligten Dienste für Spracherkennung und Telefonie. Lassen Sie sich diese benennen und die Übermittlungsgrundlage zeigen.
Was passiert mit den Gesprächsdaten nach dem Anruf?
Das sollten Sie konkret erfragen. Bei TalkNode werden Audioaufzeichnungen und gespeicherte Gesprächsinhalte nach vierzehn Tagen automatisch gelöscht und nicht für das Training von KI-Modellen verwendet. Für technisch notwendige Metadaten gelten getrennte, dokumentierte Fristen.
Was ändert sich durch den AI Act?
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Bei einem direkt mit Menschen interagierenden KI-System muss der Anbieter sicherstellen, dass die betroffene Person vom Beginn der ersten Interaktion an klar und unterscheidbar darüber informiert wird, dass sie mit einer KI spricht. Für Anbieter synthetischer Audioausgaben können zusätzlich technische Kennzeichnungs- und Erkennungspflichten gelten. Außerdem adressiert Artikel 4 die KI-Kompetenz der beteiligten Personen. Diese Vorschrift wurde im Juli 2026 neu gefasst: Geschuldet sind Maßnahmen, die die Kompetenzentwicklung unterstützen, nicht mehr ein bestimmtes Kompetenzniveau.
Wenn Sie für Ihr Unternehmen prüfen, ob und unter welchen Voraussetzungen ein KI-Telefonassistent datenschutzkonform eingesetzt werden kann: In zwanzig Minuten zeige ich Ihnen, welche Daten bei einem KI-Telefonat entstehen, wie ich sie verarbeite, wann sie gelöscht werden und welche Unterlagen Sie für Ihre interne Prüfung von mir erhalten. Eine ehrliche Demo ohne Verkaufsdruck.
Dieser Beitrag dient der Information und ersetzt keine Rechtsberatung. Die datenschutzrechtliche Bewertung im Einzelfall liegt beim jeweiligen Unternehmen, gegebenenfalls unter Einbindung des Datenschutzbeauftragten oder einer qualifizierten Datenschutz- beziehungsweise Rechtsberatung. Rechtlicher Stand: August 2026, nach Inkrafttreten der Verordnung (EU) 2026/1744 am 27. Juli 2026.
Ihre virtuelle Kollegin live erleben.
Ich zeige Ihnen am Telefon, wie Anna, Lena, Hanna oder Marie in Ihrer Branche arbeitet. Kein Verkaufsgespräch, eine echte Demo.
Kostenlose Demo buchen