AVV nach Art. 28 DSGVO für KI-Telefonassistenten: die Checkliste

Warum ein KI-Telefonassistent immer einen AVV braucht

Ein KI-Telefonassistent nimmt Anrufe an, versteht das Gesprochene, erzeugt eine Antwort und legt das Ergebnis ab. In jedem dieser Schritte fließen personenbezogene Daten: Rufnummer, Name, Anliegen, oft Adresse, bei Praxen und Kanzleien mitunter Gesundheits- oder Rechtsdaten nach Art. 9 DSGVO. Der Betrieb entscheidet über Zweck und Mittel, ist also Verantwortlicher. Der Anbieter führt die Verarbeitung aus, ist also Auftragsverarbeiter. Genau für diese Konstellation schreibt Art. 28 Abs. 3 DSGVO einen Vertrag vor.

Der AVV muss vor der ersten echten Verarbeitung vorliegen. Ein Testbetrieb mit echten Anrufen ist bereits eine Verarbeitung. Fehlt der Vertrag, ist der Einsatz formal rechtswidrig, selbst wenn die Technik einwandfrei ist. Für die Aufsichtsbehörden ist das ein leicht prüfbarer Punkt, weil er sich aus einem einzigen Dokument beantworten lässt.

Zwei weitere Dokumente hängen daran: das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, in das die Telefonie als eigene Tätigkeit gehört, und die Datenschutzinformation nach Art. 13 DSGVO, die Anrufer über die automatisierte Bearbeitung informiert. Mehr dazu auf der Seite DSGVO und KI-Telefonie.

Die Pflichtinhalte aus Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO ist ungewöhnlich konkret. Der Vertrag muss zunächst sechs Rahmenangaben festhalten: Gegenstand der Verarbeitung, Dauer, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Danach folgen in lit. a bis h acht Pflichten des Auftragsverarbeiters.

1. lit. a Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung, einschließlich Drittlandtransfers.
2. lit. b Vertraulichkeit: alle zugriffsberechtigten Personen sind zur Vertraulichkeit verpflichtet.
3. lit. c Sicherheit: die Maßnahmen nach Art. 32 DSGVO werden ergriffen und beschrieben.
4. lit. d Subunternehmer: Einsatz nur unter den Bedingungen von Art. 28 Abs. 2 und Abs. 4.
5. lit. e Betroffenenrechte: Unterstützung bei Auskunft, Berichtigung, Löschung und Widerspruch.
6. lit. f Meldepflichten: Unterstützung bei Art. 32 bis 36, also Sicherheit, Datenpannen und Folgenabschätzung.
7. lit. g Rückgabe oder Löschung: nach Vertragsende, nach Wahl des Verantwortlichen.
8. lit. h Nachweis und Audit: Bereitstellung aller Nachweise, Duldung von Überprüfungen und Inspektionen.

Fehlt einer dieser acht Punkte, ist der AVV unvollständig. Formal genügt nach Art. 28 Abs. 9 DSGVO die elektronische Form, ein PDF mit Unterschrift oder ein sauber eingebundenes Vertragsdokument reicht also aus.

Checkliste: neun Punkte gegen jedes Angebot

Diese neun Fragen können Sie in einer einzigen E-Mail an jeden Anbieter schicken. Wer sie nicht innerhalb weniger Werktage konkret beantwortet, wird sie später im laufenden Betrieb erst recht nicht beantworten.

1. Bitte senden Sie mir den AVV im Entwurf, vor Vertragsschluss.
2. Welche Subunternehmer sind beteiligt, mit Firma, Sitzland und Zweck?
3. Wo wird verarbeitet, getrennt nach Telefonie, Spracherkennung, Sprachmodell, Sprachsynthese, Speicherung und Support?
4. Nach wie vielen Tagen werden Audio, Transkript und Metadaten automatisch gelöscht, inklusive Backups?
5. Werden meine Gesprächsdaten zum Training von KI-Modellen genutzt, und ist das im Vertrag ausgeschlossen?
6. Gibt es eine TOM-Anlage nach Art. 32 DSGVO mit Bezug auf die Telefonieplattform?
7. Innerhalb welcher Frist melden Sie eine Datenpanne nach Art. 33 Abs. 2 DSGVO?
8. Wie unterstützen Sie mich bei Auskunfts- und Löschanfragen von Anrufern, und in welcher Frist?
9. Werden Gespräche als Audio gespeichert, und welchen Ansagetext hören meine Anrufer zu Beginn?

Ein guter Nebeneffekt: Die Antworten liefern Ihnen fast das komplette Material für Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Subunternehmer: die kritischste Zeile

Kein Anbieter eines KI-Telefonassistenten baut die ganze Kette selbst. Realistisch sind vier bis sechs Subunternehmer: ein Telefonieanbieter für die Leitung, ein Anbieter für Spracherkennung, ein Sprachmodell, eine Sprachsynthese, ein Hoster und häufig ein Kalenderdienst. Jeder dieser Dienste sieht personenbezogene Inhalte, und jeder muss namentlich im AVV stehen.

Art. 28 Abs. 2 DSGVO lässt zwei Wege zu: eine gesonderte Genehmigung im Einzelfall oder eine allgemeine Genehmigung mit Informationspflicht bei Wechseln und einem Widerspruchsrecht für Sie. In der Praxis wird fast immer der zweite Weg gewählt. Dann muss der Vertrag aber auch sagen, wie informiert wird und wie lange Ihre Widerspruchsfrist ist. Vier Wochen sind ein üblicher, fairer Wert.

Nach Art. 28 Abs. 4 DSGVO muss der Anbieter seinen Subunternehmern dieselben Datenschutzpflichten auferlegen und haftet Ihnen gegenüber für deren Verstöße. Fragen Sie deshalb nicht nur nach der Liste, sondern auch danach, ob mit jedem Subunternehmer ein eigener AVV besteht.

Löschfristen und Aufnahmen

Die DSGVO nennt keine Zahl. Art. 5 Abs. 1 lit. e verlangt aber, dass Daten nur so lange gespeichert werden, wie es der Zweck erfordert, und dieser Zeitraum muss festgelegt und begründet sein. Bei Telefonie heißt das: getrennte Fristen für Audioaufnahme, Transkript, strukturierte Felder wie Name und Termin sowie technische Logs.

Praxisüblich sind 7 bis 90 Tage für Audio und Transkript. Die strukturierten Ergebnisse, also der Termin oder die Rückrufnotiz, dürfen länger bleiben, weil sie ein eigenes geschäftliches Interesse haben. Wichtig ist, dass die Löschung automatisch abläuft und nicht davon abhängt, dass jemand daran denkt. Fragen Sie ausdrücklich, ob Backups und Logfiles mitlaufen, denn dort überleben Daten sonst Monate.

Bei der Audioaufnahme kommt neben der DSGVO § 201 StGB ins Spiel, der die Aufnahme des nicht öffentlich gesprochenen Wortes ohne Einwilligung unter Strafe stellt. Der saubere Weg ist ein kurzer Ansagetext zu Beginn des Gesprächs. Viele Betriebe entscheiden sich bewusst dagegen, Audio überhaupt zu speichern, und arbeiten nur mit Transkript und strukturierten Feldern. Das reduziert das Risiko deutlich und kostet in der Praxis wenig.

Ort der Verarbeitung und Drittland

Der häufigste Denkfehler lautet: Server in Deutschland, also alles in Ordnung. Der Serverstandort beschreibt nur die Speicherung. Die Verarbeitung findet aber auch in der Spracherkennung, im Sprachmodell, in der Sprachsynthese, im Monitoring und im Support statt. Wenn eines dieser Glieder bei einem US-Unternehmen liegt, greift Kapitel V der DSGVO mit Art. 44 ff., unabhängig davon, wo die Festplatte steht, weil bereits der Zugriff aus einem Drittland eine Übermittlung ist.

Verlangen Sie deshalb eine Tabelle: Verarbeitungsschritt, Dienstleister, Sitzland, Ort der Verarbeitung. Steht dort irgendwo ein Drittland, brauchen Sie zusätzlich Standardvertragsklauseln und ein Transfer Impact Assessment. Das ist machbar, aber es ist Arbeit, die viele kleine Betriebe nicht leisten wollen. Der einfachere Weg ist eine Kette, die vollständig in der EU bleibt.

Denken Sie auch an den Fernzugriff im Support. Wenn ein Entwicklerteam außerhalb der EU zu Fehleranalyse auf Transkripte schauen kann, ist das eine Übermittlung, selbst wenn nichts kopiert wird.

TOMs: was Sie konkret verlangen sollten

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gehören als eigene Anlage in den AVV. Allgemeine Textbausteine helfen nicht. Für Telefonie sind diese Punkte relevant:

• Transportverschlüsselung der Sprachverbindung, üblicherweise SRTP oder TLS-gesicherter SIP-Transport.
• Verschlüsselung im Ruhezustand für Aufnahmen, Transkripte und Datenbanken.
• Rollen- und Zugriffskonzept: wer im Anbieterteam darf Transkripte sehen, und wird das protokolliert?
• Mandantentrennung: sind Ihre Daten logisch von denen anderer Kunden getrennt?
• Automatische Löschroutine mit Nachweis, dass sie tatsächlich läuft.
• Backup- und Wiederherstellungskonzept inklusive Löschung aus Backups.
• Protokollierung administrativer Zugriffe, mit eigener Aufbewahrungsfrist.

Wenn Sie mit besonderen Kategorien nach Art. 9 DSGVO arbeiten, etwa in einer Praxis, sollten Sie zusätzlich prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Bei automatisierter Verarbeitung von Gesundheitsdaten in größerem Umfang ist die Antwort meist ja.

Fünf häufige Fehler

1. AVV erst nach dem Testbetrieb. Der Test mit echten Anrufern ist bereits eine Verarbeitung.
2. Subunternehmer nur als Kategorie. „Cloud-Dienstleister" ist kein Name und erfüllt Art. 28 Abs. 2 nicht.
3. Löschfrist als Floskel. „So lange wie erforderlich" ist keine Frist und nicht prüfbar.
4. Trainingsklausel übersehen. Formulierungen zur „Verbesserung der Dienste" können die Nutzung Ihrer Gesprächsdaten für Modelltraining abdecken. Das widerspricht der Weisungsbindung aus Art. 28 Abs. 3 lit. a.
5. Verarbeitungsverzeichnis nicht ergänzt. Die Telefonie ist eine eigene Verarbeitungstätigkeit und gehört nach Art. 30 DSGVO ins Verzeichnis.

Ein AVV, der die Subunternehmer nicht beim Namen nennt, ist kein Vertrag, sondern eine Absichtserklärung. ImmerRuf Redaktion

Diese Seite ersetzt keine Rechtsberatung. Sie fasst zusammen, was Art. 28 DSGVO im Wortlaut verlangt, und übersetzt es in Fragen, die ein Betrieb ohne Datenschutzabteilung selbst stellen kann. Für die verbindliche Bewertung Ihres konkreten Falls sprechen Sie mit Ihrem Datenschutzbeauftragten.

Weiterlesen

Passend zu diesem Thema: die DSGVO-Seite mit dem Überblick über Rechtsgrundlagen und Informationspflichten, der Vergleich der Telefonlösungen, der Lexikon-Eintrag zu Begriffen der KI-Telefonie, die Kostenübersicht und die Anleitung zur Einrichtung.