KI-Telefonassistent und DSGVO: Pflichten seit August 2026

Eine KI am Telefon verarbeitet mehr Daten, als man auf den ersten Blick denkt. Die Telefonnummer des Anrufers. Seine Stimme. Eine vollständige Mitschrift des Gesprächs, Name, Anliegen, oft auch Adresse und Geburtsdatum. Und das alles bei einem Anbieter, der seinerseits Spracherkennung und Sprachmodell von Dritten einkauft, nicht selten in den USA.

Verboten ist das nicht. Aber es gibt einige Pflichten, die viele Betriebe beim Start übersehen, und seit August 2026 eine neue aus der KI-Verordnung.

Wer hier wofür verantwortlich ist

Datenschutzrechtlich bist du als Betrieb der Verantwortliche. Der Anbieter des KI-Assistenten ist Auftragsverarbeiter, er verarbeitet die Daten deiner Anrufer in deinem Auftrag und nach deiner Weisung. Dafür verlangt Art. 28 DSGVO einen schriftlichen oder elektronischen Vertrag.

Der Anbieter arbeitet selten allein. Die einzelnen Bausteine kommen oft von verschiedenen Unternehmen. Diese Unterauftragsverarbeiter muss er dir benennen, und du musst ihrem Einsatz zustimmen können. Lass dir die Liste geben, bevor du unterschreibst. Daran siehst du sofort, in welchen Ländern deine Gespräche verarbeitet werden.

• Gegenstand, Dauer und Zweck der Verarbeitung, Art der Daten
• Liste der Unterauftragsverarbeiter mit Sitz und Verarbeitungsort
• Ausschluss der Nutzung von Audio und Transkripten zum Training von Modellen
• Speicherdauer für Aufnahmen, Transkripte und Notizen, danach Löschung
• Technische und organisatorische Maßnahmen, etwa Verschlüsselung und Zugriffsrechte
• Unterstützung bei Auskunfts- und Löschanfragen von Anrufern
• Meldung von Datenpannen ohne schuldhaftes Zögern
• Grundlage für Übermittlungen außerhalb der EU

Die neue Pflicht: sagen, dass eine KI spricht

Seit dem 2. August 2026 gilt Art. 50 der KI-Verordnung (EU) 2024/1689. Absatz 1 verlangt, dass KI-Systeme, die direkt mit Menschen interagieren, so gestaltet sind, dass die Betroffenen erfahren, dass sie mit einer KI sprechen. Ausnahme: Es ist für einen durchschnittlich aufmerksamen Menschen ohnehin offensichtlich. Am Telefon mit einer natürlich klingenden Stimme ist es das gerade nicht.

Absatz 5 regelt den Zeitpunkt und die Form: klar erkennbar und spätestens bei der ersten Interaktion. Ein Satz in der Datenschutzerklärung reicht also nicht. Die Information gehört in die Begrüßung.

Formal richtet sich die Pflicht an den Anbieter des Systems, der es entsprechend gestalten muss. Praktisch bist du derjenige, der die Begrüßung festlegt. Klär deshalb, ob der Hinweis fest eingebaut ist oder ob du ihn selbst in die Ansage schreiben musst.

1. 1. Aug. 2024Die Verordnung tritt in Kraft.
2. 2. Feb. 2025Verbotene KI-Praktiken sind untersagt.
3. 2. Aug. 2025Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck greifen.
4. 2. Aug. 2026Transparenzpflichten nach Art. 50 gelten, darunter der KI-Hinweis am Telefon.

Quelle: Verordnung (EU) 2024/1689, Art. 113

Mustertext für die Begrüßung

Die Ansage muss drei Dinge leisten: den KI-Hinweis nach Art. 50, eine Kurzfassung der Datenschutzinformation nach Art. 13 DSGVO und gegebenenfalls einen Hinweis zur Aufzeichnung. Die vollständige Information darf auf der Website stehen, wenn die Ansage darauf verweist. So könnte das klingen:

„Guten Tag, Sie sprechen mit dem digitalen Assistenten von Malerbetrieb Beispiel. Ich bin ein KI-System. Ihre Angaben verwenden wir nur, um Ihr Anliegen zu bearbeiten. Mehr dazu unter beispiel-maler.de/datenschutz. Das Gespräch wird nicht aufgezeichnet. Wie kann ich helfen?“

Das sind etwa 15 Sekunden. Länger sollte es nicht werden, sonst legen Anrufer auf, bevor sie ihr Anliegen nennen.

Mitschnitte und § 201 StGB

Viele Plattformen speichern standardmäßig die Audioaufnahme jedes Gesprächs. Für die Qualitätskontrolle ist das praktisch. Rechtlich ist es heikel. § 201 StGB stellt das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes unter Strafe, mit bis zu drei Jahren Freiheitsstrafe oder Geldstrafe. Ein Telefonat mit einem Betrieb ist nichtöffentlich.

Ob die laufende Umwandlung in Text ohne gespeicherte Audiodatei schon eine „Aufnahme“ ist, ist nicht abschließend geklärt. Die gespeicherte Audiodatei ist es sicher. Der vorsichtige Weg sieht so aus: Audiospeicherung beim Anbieter abschalten, nur Transkript und Notiz behalten und das in der Ansage sagen. Wer Aufnahmen für die Qualitätssicherung braucht, holt am Anfang eine ausdrückliche Einwilligung ein und bietet eine Alternative ohne Aufzeichnung an.

Transkripte sind übrigens auch personenbezogene Daten. Leg eine Löschfrist fest, etwa 30 Tage, und lösch danach automatisch. Die Notiz mit dem Anliegen wandert ohnehin in dein System.

Drittländer: wenn die KI in den USA rechnet

Viele Sprachmodelle und Stimmen stammen von US-Unternehmen. Eine Übermittlung personenbezogener Daten dorthin ist nach Art. 44 ff. DSGVO nur mit einer Grundlage zulässig. Seit dem 10. Juli 2023 gibt es den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. US-Unternehmen, die sich darunter zertifiziert haben, gelten als Empfänger mit angemessenem Schutzniveau. Eine Klage gegen den Beschluss hat das Gericht der EU im September 2025 abgewiesen; seit Oktober 2025 liegt der Fall in zweiter Instanz beim EuGH (Rechtssache C-703/25 P).

Prüf also, ob jeder US-Unterauftragsverarbeiter auf der offiziellen Liste des Data Privacy Framework steht. Ist das nicht der Fall, braucht es Standardvertragsklauseln. Wer das Thema ganz vermeiden will, wählt einen Anbieter, der Modelle und Daten vollständig in der EU betreibt. Das kostet meist etwas mehr pro Minute, wie im Beitrag zu den Kosten eines KI-Telefonassistenten beschrieben.

Wenn ein Anrufer Auskunft verlangt

Früher oder später ruft jemand an oder schreibt, er wolle wissen, was über ihn gespeichert ist. Nach Art. 15 DSGVO hat er darauf Anspruch, und zwar innerhalb eines Monats. Bei einem KI-Telefonassistenten umfasst das nicht nur die Notiz in deinem System, sondern auch Transkripte und gegebenenfalls Aufnahmen beim Anbieter.

Das klingt nach Aufwand, ist aber planbar. Klär vorab, ob du im Kundenportal des Anbieters Gespräche nach Telefonnummer suchen und exportieren kannst. Wenn nicht, muss der Anbieter dich laut Auftragsverarbeitungsvertrag dabei unterstützen. Dasselbe gilt für Löschanfragen nach Art. 17. Wer kurze Löschfristen eingestellt hat, ist hier klar im Vorteil: Was nach 30 Tagen automatisch verschwindet, muss nicht mühsam gesucht werden.

Sonderfall Berufsgeheimnisträger

Für Arztpraxen und Kanzleien reicht die DSGVO allein nicht. Wer unter § 203 StGB fällt, muss Dienstleister zusätzlich zur Verschwiegenheit verpflichten, und für Gesundheitsdaten gelten die strengeren Regeln aus Art. 9 DSGVO. Die Details stehen in den Beiträgen zum KI-Telefonassistenten in der Arztpraxis und zum Telefonservice für Kanzleien.

Was du konkret tun musst

Die Reihenfolge ist einfach. Erst den Vertrag, dann die Technik:

1. Auftragsverarbeitungsvertrag und Liste der Unterauftragsverarbeiter anfordern und prüfen.
2. Klären, wo Audio und Text verarbeitet werden, und für jeden Empfänger außerhalb der EU die Übermittlungsgrundlage notieren.
3. Audiospeicherung abschalten oder eine Einwilligungsabfrage einbauen.
4. Löschfristen für Transkripte festlegen.
5. Begrüßung mit KI-Hinweis und Kurzinformation formulieren.
6. Datenschutzerklärung auf der Website um einen Abschnitt zur Telefonie ergänzen.
7. Den Vorgang ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen.

Bei einer individuell entwickelten Lösung hast du mehr Kontrolle über Speicherorte und Modelle als bei einem Standardprodukt. Studios wie OnlineBuilders bauen solche Assistenten mit Anbindung an eigene Systeme. Für alle anderen gilt: Frag den Anbieter vor dem Vertragsschluss schriftlich nach der Liste der Unterauftragsverarbeiter und nach der Audiospeicherung. Die Antworten auf diese zwei Fragen sagen dir mehr über den Datenschutz als jedes Siegel auf der Website.

Häufige Fragen

Muss ich Anrufer um Einwilligung bitten, bevor die KI antwortet?

Für die reine Bearbeitung des Anliegens meist nicht. Termine vereinbaren oder Anfragen aufnehmen lässt sich in der Regel auf Vertragsanbahnung oder berechtigtes Interesse stützen. Eine Einwilligung brauchst du aber für Gesprächsmitschnitte und, in Praxen, oft für die Verarbeitung von Gesundheitsdaten.

Darf der Anbieter meine Gespräche zum Training seiner KI nutzen?

Nur, wenn du das erlaubst. Als Auftragsverarbeiter darf er Daten ausschließlich nach deiner Weisung verwenden. Lass dir im Vertrag ausdrücklich zusichern, dass Audio und Transkripte nicht zum Training eigener oder fremder Modelle genutzt werden.

Was droht bei fehlender KI-Kennzeichnung?

Die KI-Verordnung sieht für Verstöße gegen die Transparenzpflichten Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor, je nachdem, was höher ist. Für kleine Unternehmen gilt der jeweils niedrigere Betrag als Obergrenze.

Brauche ich eine Datenschutz-Folgenabschätzung?

Nicht automatisch. Sie wird nach Art. 35 DSGVO nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt, etwa bei umfangreicher Verarbeitung von Gesundheitsdaten oder neuer Technik mit vielen Betroffenen. Bei einer Arztpraxis mit KI am Telefon solltest du sie ernsthaft prüfen.