Warum KI-Telefonie überhaupt ein Datenschutzthema ist
Sobald ein KI-Telefonassistent einen Anruf annimmt, verarbeitet er personenbezogene Daten: die Rufnummer, den Namen, das Anliegen, oft auch Adresse oder Termindaten. Die Stimme selbst ist ein biometrisches Merkmal. Damit gilt für jedes Gespräch dieselbe Rechtslage wie für jedes andere Kundendatum im Unternehmen — nur dass es hier in Sekunden entsteht und automatisch weiterverarbeitet wird.
Verantwortlich im Sinne der DSGVO bist du als Unternehmen, nicht der Anbieter der Technik. Der Anbieter ist Auftragsverarbeiter und handelt auf deine Weisung. Genau deshalb reicht es nicht, sich auf ein Werbeversprechen zu verlassen: Du musst wissen, wo verarbeitet wird, was gespeichert wird und wie lange.
Der Aufwand ist überschaubar. Die meisten Anforderungen betreffen Dinge, die ein sauber gebautes System ohnehin mitbringt: einen Auftragsverarbeitungsvertrag, Verarbeitung in der EU, klare Löschfristen und eine transparente Ansage am Gesprächsbeginn. Dieser Beitrag ordnet die Punkte ein, ersetzt aber keine Rechtsberatung im Einzelfall.
Die sechs Pflichten im Überblick
Diese Punkte solltest du geklärt haben, bevor der erste echte Anruf durch die KI läuft:
- 01
Rechtsgrundlage festlegen
Für eingehende Anrufe trägt meist die Vertragsanbahnung oder das berechtigte Interesse. Bei ausgehender Werbung gelten strengere Regeln: Hier brauchst du in der Regel eine nachweisbare Einwilligung.
- 02
Transparent informieren
Anrufer müssen zu Beginn erfahren, dass ein automatisiertes System spricht und ob aufgezeichnet wird. Eine kurze, klare Ansage genügt — versteckte Hinweise in der Datenschutzerklärung reichen nicht.
- 03
Aufzeichnung sauber regeln
Mitschnitte sind nicht automatisch erlaubt. Entweder du holst eine Einwilligung ein oder du arbeitest nur mit Transkript und Zusammenfassung ohne Audioaufzeichnung.
- 04
Auftragsverarbeitungsvertrag schließen
Ohne AVV nach Art. 28 DSGVO darf kein Dienstleister deine Anruferdaten verarbeiten. Der Vertrag muss auch die eingesetzten Unterauftragnehmer benennen — Sprachmodelle und Telefonieanbieter eingeschlossen.
- 05
Verarbeitungsverzeichnis ergänzen
Die KI-Telefonie ist eine eigene Verarbeitungstätigkeit. Sie gehört mit Zweck, Datenkategorien, Empfängern und Löschfristen ins Verzeichnis nach Art. 30.
- 06
Löschfristen definieren und durchsetzen
Gesprächsdaten dürfen nur so lange gespeichert werden, wie sie für den Zweck nötig sind. Lege konkrete Fristen fest und prüfe, ob dein System sie technisch auch umsetzt.
Woran du einen datenschutzfreundlichen Anbieter erkennst
Der Unterschied zeigt sich selten im Marketing, sondern in den Details des Vertrags und der Architektur:
| Kriterium | Kritisch | Unbedenklich |
|---|---|---|
| Serverstandort | Verarbeitung in den USA oder unklar | Verarbeitung in Deutschland bzw. der EU, vertraglich zugesichert |
| Unterauftragnehmer | Nicht benannt oder jederzeit änderbar | Vollständig gelistet, Änderungen mit Vorabinformation |
| Training mit deinen Daten | Gespräche fließen ins Modelltraining | Vertraglich ausgeschlossen |
| Aufzeichnung | Standardmäßig an, ohne Hinweis | Abschaltbar, mit Ansage und dokumentierter Einwilligung |
| Löschung | Unbefristete Speicherung, kein Selfservice | Konfigurierbare Fristen, Löschung auf Anforderung |
| Auskunftsanfragen | Kein Prozess, manuelle Suche | Gespräche pro Person auffindbar und exportierbar |
Was ein sauberer Aufbau dir bringt
Keine bösen Überraschungen bei der Prüfung
Verzeichnis, AVV und Löschkonzept liegen vor. Eine Anfrage der Aufsichtsbehörde oder eines Kunden lässt sich in Minuten beantworten statt in Wochen.
Vertrauen beim Anrufer
Eine offene Ansage kostet zwei Sekunden und nimmt dem Gespräch die Unsicherheit. Wer transparent startet, bekommt mehr verwertbare Auskünfte.
Freigabe durch Einkauf und Datenschutz
In größeren Unternehmen scheitert ein Pilot selten an der Technik, sondern an fehlenden Unterlagen. Mit vollständigem AVV-Paket entfällt die Schleife.
Weniger Datenmüll
Wer Löschfristen ernst nimmt, hat am Ende saubere Daten statt jahrelanger Mitschnitte, die niemand mehr zuordnen kann.
Typische Fallstricke aus der Praxis
Diese Punkte werden bei der Einführung am häufigsten übersehen:
Outbound ohne Einwilligung
Werbeanrufe bei Verbrauchern brauchen eine ausdrückliche, dokumentierte Einwilligung. Dass eine KI anruft, ändert daran nichts — bei Verstößen drohen Bußgelder.
Gesundheitsdaten im Gespräch
In Praxen und Kliniken fallen besondere Kategorien nach Art. 9 an. Hier braucht es zusätzliche Schutzmaßnahmen und eine engere Zweckbindung.
Datenschutzerklärung nicht angepasst
Die Telefonie fehlt in vielen Erklärungen komplett. Ergänze einen eigenen Abschnitt zu automatisierter Gesprächsannahme und Aufzeichnung.
CRM als Schattenspeicher
Transkripte landen automatisch im CRM und werden dort nie gelöscht. Die Löschfrist muss über die gesamte Kette gelten, nicht nur im Telefoniesystem.
Kein Weg zum Menschen
Anrufer sollten jederzeit an eine Person übergeben werden können. Das ist gute Praxis, entschärft Beschwerden und ist bei sensiblen Anliegen Pflicht.
Testdaten aus dem Echtbetrieb
Echte Gespräche zum Feintuning zu verwenden, ist nur zulässig, wenn Zweck und Frist das abdecken. Sonst mit anonymisierten Beispielen arbeiten.
In vier Schritten rechtssicher starten
Die Reihenfolge spart Zeit: Erst die Unterlagen, dann die Technik, dann der Echtbetrieb.
Verarbeitung beschreiben
Halte fest, welche Anrufe die KI übernimmt, welche Daten dabei anfallen und wer sie später sieht. Diese Beschreibung ist die Grundlage für Verzeichnis, Datenschutzerklärung und interne Freigabe.
Verträge und Unterlagen abschließen
AVV unterzeichnen, Unterauftragnehmer prüfen, Verarbeitungsverzeichnis ergänzen und die Datenschutzerklärung um den Abschnitt zur automatisierten Telefonie erweitern.
System datensparsam konfigurieren
Ansage zur KI aktivieren, Aufzeichnung nur einschalten, wenn du sie wirklich brauchst, Löschfristen setzen und festlegen, welche Felder überhaupt ins CRM übergeben werden.
Prozesse für Betroffenenrechte einrichten
Klär intern, wer Auskunfts- und Löschanfragen bearbeitet und wie Gespräche zu einer Person gefunden werden. Ein kurzer Testlauf zeigt, ob der Weg in der Praxis funktioniert.
Häufige Fragen zu KI-Telefonie und DSGVO
Ist der Einsatz von KI-Telefonie in Deutschland erlaubt?
Ja. Es gibt kein Verbot automatisierter Gesprächsannahme. Entscheidend ist, dass die Verarbeitung eine Rechtsgrundlage hat, transparent erfolgt und die üblichen Pflichten wie AVV, Verarbeitungsverzeichnis und Löschfristen erfüllt sind.
Muss ich Anrufern sagen, dass eine KI spricht?
Ja, und zwar zu Beginn des Gesprächs. Transparenz ist eine Kernpflicht der DSGVO, und auf direkte Nachfrage muss das System wahrheitsgemäß antworten. Rufori gibt sich nie als Mensch aus.
Darf ich Gespräche aufzeichnen?
Nur mit einer tragfähigen Grundlage, in der Regel der Einwilligung des Anrufers, eingeholt vor der Aufzeichnung. Ohne Einwilligung bleibt der Weg über Transkript und Zusammenfassung ohne Audioaufzeichnung.
Wo werden die Daten bei Rufori verarbeitet?
Auf Servern in Deutschland. Die Daten bleiben in der EU, es wird ein Auftragsverarbeitungsvertrag geschlossen und Gespräche fließen nicht in das Training öffentlicher Modelle.
Wie lange werden Gesprächsdaten gespeichert?
So lange, wie es der Zweck erfordert — die Frist legst du fest. Üblich sind kurze Fristen für Rohdaten und längere nur für das, was du für Vertrag oder Buchhaltung tatsächlich brauchst.
Brauche ich eine Datenschutz-Folgenabschätzung?
Nicht in jedem Fall. Sie wird relevant, wenn systematisch in großem Umfang oder mit besonderen Datenkategorien verarbeitet wird, etwa im Gesundheitsbereich. Im Zweifel mit dem Datenschutzbeauftragten kurz prüfen.
Fazit
DSGVO-Konformität ist kein Hindernis für KI-Telefonie, sondern eine Frage der Vorbereitung.
Rechtsgrundlage klären, transparent ansagen, AVV schließen, in der EU verarbeiten, Fristen setzen. Wer das erledigt, kann ohne Bauchschmerzen automatisieren.