Ist ein KI-Telefonassistent DSGVO-konform?

Ist das überhaupt erlaubt?

Kurz gesagt: ja. Die DSGVO verbietet keine KI-gestützte Telefonannahme. Sie stellt aber Bedingungen, weil dabei personenbezogene Daten verarbeitet werden – etwa Name, Telefonnummer oder das Anliegen des Anrufers. DSGVO-Konformität bedeutet, diese Verarbeitung sauber aufzusetzen:

• Rechtsgrundlage: Es braucht eine zulässige Grundlage für die Verarbeitung – häufig die Erfüllung bzw. Anbahnung eines Vertrags oder ein berechtigtes Interesse, in bestimmten Fällen eine Einwilligung.
• Datensparsamkeit: Es werden nur die Daten erhoben, die für den Zweck (Terminvereinbarung, Weiterleitung des Anliegens) nötig sind.
• Transparenz: Anrufer werden in geeigneter Form informiert.
• Auftragsverarbeitung: Mit dem Anbieter wird ein AVV geschlossen.
• Betroffenenrechte: Auskunft, Berichtigung und Löschung müssen möglich sein.

Wer diese Punkte beachtet, kann einen KI-Telefonassistenten rechtssicher einsetzen. Eine ehrliche Einordnung gegenüber anderen Optionen finden Sie im Vergleich.

Auftragsverarbeitung & AVV

Wenn ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet – und genau das tut ein KI-Telefonassistent –, liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich. Er regelt unter anderem:

• Gegenstand, Zweck und Dauer der Verarbeitung,
• Art der Daten und Kreis der Betroffenen,
• technische und organisatorische Schutzmaßnahmen,
• Umgang mit Unterauftragnehmern,
• Löschung oder Rückgabe der Daten am Ende.

Bei ImmerRuf bleiben Sie als Betrieb der Verantwortliche, ImmerRuf ist der Auftragsverarbeiter. ImmerRuf stellt einen AVV bereit, den Sie vor dem Start abschließen. Damit ist diese formale Voraussetzung sauber erfüllt.

Wo werden die Daten gespeichert?

Der Speicherort ist ein zentraler Punkt – und einer, bei dem Sie genau hinsehen sollten. Kein Anbieter am Markt kommt heute vollständig ohne US-Dienste aus; entscheidend ist, wie viel in der EU bleibt und wie der Rest abgesichert ist. Deshalb legen wir offen, was wo passiert.

In der EU: Ihre Gesprächsdaten – Transkripte, Zusammenfassungen und Rufnummern – liegen mit AES-256-GCM verschlüsselt auf unseren Servern in der EU. Auch die Sprachverarbeitung (Sprache-zu-Text und Text-zu-Sprache) ist fest auf die EU-Region unseres Anbieters eingestellt, ebenso Hosting, E-Mail-Versand und die technischen Ablaufprotokolle. Die Reichweitenmessung dieser Website läuft ohne externen Dienstleister auf unserem eigenen EU-Server.

Außerhalb der EU: Das Sprachmodell für die Gesprächsführung und die Telefonanbindung laufen derzeit über US-Anbieter. Diese Übermittlungen stützen wir auf den Angemessenheitsbeschluss EU-US Data Privacy Framework beziehungsweise die EU-Standardvertragsklauseln nach Art. 46 DSGVO nebst ergänzenden Schutzmaßnahmen. Wer das Sprachmodell vollständig in der EU haben möchte, kann auf Wunsch ein Sprachmodell einsetzen, das vollständig in der EU betrieben wird – dieselbe Funktion, ohne Verarbeitung durch ein US-Modell.

Von einem Drittlandtransfer spricht man, sobald personenbezogene Daten die EU bzw. den EWR verlassen und in einem Land außerhalb davon verarbeitet werden. Ein solcher Transfer ist nicht automatisch unzulässig, braucht aber nach Art. 44 ff. DSGVO eine eigene Rechtsgrundlage – etwa einen Angemessenheitsbeschluss der EU-Kommission, EU-Standardvertragsklauseln (SCC) oder das EU-US Data Privacy Framework. Die praktisch entscheidende Frage an jeden Anbieter lautet daher: welche Unterauftragsverarbeiter werden eingesetzt, und wo verarbeiten sie die Daten? Bei ImmerRuf bleiben Gesprächsdaten, Speicherung und Hosting in der EU. Sprachmodell und Telefonanbindung laufen derzeit jedoch teils über US-Anbieter, sodass hier ein Drittlandtransfer stattfindet – gestützt auf die oben genannten Garantien nach Art. 44 ff. DSGVO. Die Einzelheiten stehen in unserer Datenschutzerklärung. Klären Sie diese Punkte mit Ihrem Anbieter und lassen Sie sich die konkreten Unterauftragsverarbeiter benennen.

Dazu gelten die Grundsätze der Datensparsamkeit und ein definiertes Löschkonzept: Daten werden nur so lange aufbewahrt, wie es für den Zweck erforderlich ist. Welcher Dienstleister welche Daten wo verarbeitet, steht namentlich in unserer Datenschutzerklärung und im AVV.

Verschlüsselte Speicherung in der EU, ein AVV mit namentlich benannten Unterauftragnehmern und Datensparsamkeit sind die drei Säulen, an denen man einen datenschutzfreundlichen Anbieter erkennt. Wer behauptet, ganz ohne US-Dienste auszukommen, sollte das belegen können.

Müssen Anrufer informiert werden?

Transparenz ist ein Grundprinzip der DSGVO. Anrufer sollten erfahren, dass sie mit einem automatisierten Assistenten sprechen und dass ihr Anliegen verarbeitet wird. In der Praxis genügt dafür meist ein kurzer, klarer Hinweis zu Beginn des Gesprächs sowie die übliche Information in Ihrer Datenschutzerklärung.

ImmerRuf unterstützt einen solchen Hinweis. So bleibt für den Anrufer nachvollziehbar, womit er es zu tun hat – das schafft Vertrauen und erfüllt zugleich die Transparenzpflicht.

Ein praktischer Nebeneffekt: Weil der Assistent sofort abhebt, entfällt für Ihre Anrufer die klassische Warteschleife. Diese Schnelligkeit ersetzt aber nicht die Hinweispflicht – der kurze Hinweis, dass ein automatisierter Assistent antwortet, gehört trotzdem an den Anfang jedes Gesprächs.

Aufzeichnung & Einwilligung

Hier ist Sorgfalt gefragt. Der Assistent erstellt Protokoll und Transkript des Anliegens, damit Sie nichts verpassen und nachvollziehen können, was besprochen wurde. Ob und in welchem Umfang darüber hinaus Audio gespeichert wird, hängt von Ihrer Konfiguration ab und wird im AVV geregelt.

Maßgeblich sind drei Dinge: ein klarer Zweck, Datensparsamkeit und ein Löschkonzept. Wenn Gespräche über das Notwendige hinaus aufgezeichnet werden, ist besonders auf Transparenz und gegebenenfalls eine Einwilligung zu achten. Im Zweifel gilt: weniger speichern ist datenschutzfreundlicher.

Checkliste für Betriebe

Bevor Sie einen KI-Telefonassistenten einsetzen, prüfen Sie:

• AVV mit dem Anbieter geschlossen (bei ImmerRuf bereitgestellt)?
• Rechtsgrundlage für die Verarbeitung geklärt?
• Speicherorte benannt – und für Übermittlungen in Drittländer geeignete Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln) nachgewiesen?
• Beim Anbieter erfragt, wo die Daten verarbeitet werden, ob ein Drittlandtransfer stattfindet und auf welcher Rechtsgrundlage (Angemessenheitsbeschluss, Standardvertragsklauseln oder EU-US Data Privacy Framework)?
• Datensparsamkeit: Werden nur nötige Daten erhoben?
• Hinweis an Anrufer eingerichtet und Datenschutzerklärung aktualisiert?
• Löschkonzept und Speicherdauer festgelegt?
• Betroffenenrechte (Auskunft, Berichtigung, Löschung) umsetzbar?

Wie die technische Inbetriebnahme abläuft, lesen Sie in der Anleitung zur Einrichtung. Was der Assistent monatlich kostet, erklären wir unter Kosten.

DSGVO im Detail

• AVV nach Art. 28 DSGVO für KI-Telefonassistenten – die Checkliste.
• Telefongespräch aufzeichnen – was DSGVO und § 201 StGB erlauben.
• Serverstandort Deutschland – EU-Hosting und die vier Verarbeiter.
• US-Anbieter bei Voice AI – wo das DSGVO-Risiko für deutsche Betriebe wirklich liegt.