KI-Telefonassistent rund um die Uhr: Serverstandort Deutschland, EU und die vier Verarbeiter

Warum der Serverstandort überhaupt zählt

Ein Telefongespräch ist selten harmlos. Ein Anrufer nennt Namen, Rufnummer, Adresse, manchmal einen Schadensfall, eine Krankheit oder einen Vertrag. Sobald ein KI-Telefonassistent dieses Gespräch annimmt, werden diese personenbezogenen Daten technisch verarbeitet – und zwar in Echtzeit, an mehreren Orten hintereinander.

Für Ihren Betrieb ist das kein Detail. Sie bleiben nach der DSGVO der Verantwortliche, der Anbieter ist Ihr Auftragsverarbeiter. Sie müssen also wissen und dokumentieren können, wo die Daten Ihrer Anrufer landen. Kommt eine Auskunftsanfrage oder eine Prüfung der Aufsichtsbehörde, hilft Ihnen ein Werbebanner mit Deutschlandfahne nicht weiter. Der Nachweis besteht aus dem Auftragsverarbeitungsvertrag und der darin namentlich aufgeführten Liste der Unterauftragsverarbeiter.

Der zweite Grund ist praktisch: Sprachverarbeitung ist rechenintensiv und latenzempfindlich. Ein Assistent, der 900 Millisekunden auf eine Antwort wartet, klingt tot. Anbieter wählen ihre Regionen deshalb auch nach Geschwindigkeit aus, nicht nur nach Datenschutz. Genau in dieser Spannung entstehen die stillen Ausnahmen, die niemand freiwillig auf die Preisseite schreibt.

Die vier Verarbeiter hinter einem Anruf

Ein einziger Satz eines Anrufers durchläuft in unter einer Sekunde vier verschiedene Systeme. Sie gehören in aller Regel vier verschiedenen Unternehmen und laufen in vier verschiedenen Rechenzentren. Das ist der Kern des Problems: Es gibt keinen „den" Serverstandort.

1. Telefonanbindung (Carrier, SIP-Trunk)

Der Anruf kommt über das Telefonnetz herein. Ein Anbieter für Sprachtelefonie über IP nimmt ihn entgegen und leitet den Audiostrom an die Anwendung weiter. Diese Schicht sieht die Rufnummer und das rohe Audio – die sensibelsten Rohdaten überhaupt. Fragen Sie: Welcher Carrier? In welchem Land terminiert die Rufnummer, und in welcher Region läuft das Media-Routing? Ein deutscher SIP-Trunk kann Media durchaus über einen Knoten außerhalb der EU führen.

2. Spracherkennung (Speech-to-Text, STT)

Das Audio wird in Text gewandelt. Hier entsteht das Transkript, das später bei Ihnen im Postfach liegt. Die meisten STT-Anbieter betreiben mehrere Regionen und schalten standardmäßig auf die schnellste, nicht auf die europäische. Fragen Sie deshalb nicht „wo sitzt der Anbieter", sondern „welche Region ist in der Konfiguration fest eingestellt". Der Firmensitz eines Unternehmens sagt nichts über den Verarbeitungsort seiner Server aus.

3. Sprachmodell (LLM)

Das Sprachmodell versteht das Anliegen und formuliert die Antwort. Es ist die Schicht, bei der EU-Verarbeitung am schwersten zu bekommen ist, weil die leistungsfähigsten Modelle von US-Unternehmen stammen. Hier trennt sich die Spreu vom Weizen: Anbieter, die „100 % DSGVO" plakatieren und im selben Atemzug ein US-Modell einsetzen, ohne den Drittlandtransfer zu benennen, arbeiten unsauber. Europäische Alternativen existieren.

4. Sprachausgabe (Text-to-Speech, TTS)

Die Antwort wird vorgelesen. Der Text, der zur Sprachausgabe geht, enthält oft wieder personenbezogene Daten, etwa wenn der Assistent einen Termin oder eine Adresse bestätigt. Auch hier gilt die Regionsfrage. Diese Schicht wird bei Datenschutzprüfungen am häufigsten vergessen.

Und die fünfte: Speicherung und Hosting

Zuletzt werden Transkript, Zusammenfassung und Rufnummer gespeichert, damit Sie den Anruf nachlesen können. Das ist der einzige Ort, den die meisten Anbieter meinen, wenn sie „Serverstandort Deutschland" schreiben. Er ist wichtig, aber er ist eben nur einer von fünf.

Was Sie zu jeder Schicht abfragen

Diese Tabelle können Sie einem Anbieter direkt vorlegen. Ein Anbieter, der sie nicht innerhalb weniger Minuten ausfüllen kann, kennt seine eigene Verarbeitungskette nicht.

Wo ImmerRuf verarbeitet

ImmerRuf legt die eigene Kette offen, statt mit einem pauschalen Siegel zu werben. Kein Anbieter am Markt kommt heute vollständig ohne US-Dienste aus; entscheidend ist, wie viel in der EU bleibt und wie der Rest abgesichert ist.

In der EU: Gesprächsdaten – Transkripte, Zusammenfassungen und Rufnummern – liegen mit AES-256-GCM verschlüsselt auf Servern von ImmerRuf in der EU. Spracherkennung und Sprachausgabe sind fest auf die EU-Region des jeweiligen Anbieters eingestellt. Dasselbe gilt für Hosting, E-Mail-Versand und die technischen Ablaufprotokolle. Die Reichweitenmessung dieser Website läuft ohne externen Dienstleister auf dem eigenen EU-Server.

Außerhalb der EU: Das Sprachmodell für die Gesprächsführung und die Telefonanbindung laufen derzeit teils über US-Anbieter. ImmerRuf stützt diese Übermittlungen auf den Angemessenheitsbeschluss EU-US Data Privacy Framework beziehungsweise auf die EU-Standardvertragsklauseln nach Art. 46 DSGVO nebst ergänzenden Schutzmaßnahmen. Wer das Sprachmodell vollständig in der EU haben möchte, kann auf einen europäischen Anbieter umstellen: dieselbe Funktion, ohne Verarbeitung durch ein US-Modell.

Welcher Dienstleister welche Daten wo verarbeitet, steht namentlich in der Datenschutzerklärung und im AVV. Die ausführliche Einordnung inklusive Checkliste finden Sie im Beitrag KI-Telefonassistent und DSGVO.

Ein Anbieter, der Ihnen zu jeder der vier Schichten Anbieter, Region und Rechtsgrundlage nennen kann, ist datenschutzfreundlicher als einer, der nur „Server in Deutschland" sagt. ImmerRuf

Der rechtliche Rahmen in vier Begriffen

Sie brauchen kein Jurastudium, aber vier Begriffe sollten Sie sicher verwenden können, wenn Sie mit einem Anbieter sprechen.

• AVV nach Art. 28 DSGVO: der Auftragsverarbeitungsvertrag zwischen Ihnen und dem Anbieter. Ohne ihn dürfen Sie den Dienst nicht einsetzen. Er muss die Unterauftragsverarbeiter benennen.
• Drittlandtransfer, Art. 44 ff. DSGVO: jede Verarbeitung außerhalb der EU beziehungsweise des EWR. Nicht verboten, aber begründungspflichtig.
• Angemessenheitsbeschluss: Feststellung der EU-Kommission, dass ein Drittland ein vergleichbares Schutzniveau bietet. Für die USA greift das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist.
• Standardvertragsklauseln (SCC), Art. 46 DSGVO: vorformulierte EU-Vertragsklauseln als Alternative, üblicherweise ergänzt um zusätzliche technische Schutzmaßnahmen.

Dieser Beitrag erklärt die Grundlagen in verständlicher Form und ersetzt keine individuelle Rechtsberatung. Weitere Begriffe erklärt das Lexikon.

Sieben Fragen an jeden Anbieter

Schicken Sie diese Liste per E-Mail. Die Antwort sollte schriftlich kommen, nicht am Telefon.

1. Welche Unterauftragsverarbeiter setzen Sie ein, namentlich und vollständig?
2. In welcher Region verarbeitet Ihre Spracherkennung, und ist diese Region fest konfiguriert oder automatisch gewählt?
3. Welches Sprachmodell nutzen Sie, von welchem Anbieter, in welchem Land?
4. Gibt es eine Variante ohne US-Sprachmodell, und was kostet sie?
5. Über welchen Carrier läuft die Telefonanbindung, und wo wird das Media-Routing terminiert?
6. Wo liegen Transkripte, wie sind sie verschlüsselt, und nach wie vielen Tagen werden sie gelöscht?
7. Bekomme ich den AVV vor Vertragsschluss zur Ansicht?

Zwei Warnzeichen: Ein Anbieter, der auf Frage 1 mit „alles in Deutschland" antwortet, ohne Namen zu nennen. Und einer, der den AVV erst nach Unterschrift herausgibt.

Was das mit dem Preis zu tun hat

EU-Regionen sind meist teurer als US-Regionen, europäische Sprachmodelle ebenfalls. Anbieter mit Abrechnung pro Minute geben diesen Aufschlag gern über schwankende Rechnungen weiter. Bei ImmerRuf ist der Preis fest: Basis 99 € im Monat mit 600 Minuten, bis 10 Anrufen pro Tag und 2 parallelen Anrufen. Empfang kostet 199 € mit 1.500 Minuten, bis 25 Anrufen pro Tag und 5 parallelen Anrufen. Wachstum kostet 349 € mit 3.000 Minuten, bis 50 Anrufen pro Tag und 10 parallelen Anrufen. Über 50 Anrufe pro Tag rechnet ImmerRuf individuell ab.

Die Einrichtung kostet 99 € einmalig und entfällt für die ersten zehn Kunden, die im Gegenzug eine Fallstudie ermöglichen. Terminbuchung ist in jedem Tarif enthalten: Der Assistent bucht Termine direkt im Gespräch in Ihren Kalender, rund um die Uhr, auch außerhalb der Geschäftszeiten. Alle Preise verstehen sich netto, zzgl. USt., monatlich kündbar. Zur Einordnung: Die gemessene durchschnittliche Gesprächsdauer liegt bei ImmerRuf bei 3,8 Minuten über 221 echte Anrufe. 600 Minuten entsprechen damit rund 158 Gesprächen im Monat. Die vollständige Aufschlüsselung steht auf der Seite Preise und im Kostenvergleich.

Die Einrichtung übernimmt ImmerRuf: Ansagen, Gesprächsleitfaden, Rufumleitung und Kalenderanbindung werden für Sie konfiguriert, in der Regel ist ein Betrieb innerhalb einer Woche live. Wie sich das gegen andere Lösungen schlägt, steht im Vergleich; die branchenspezifischen Abläufe finden Sie unter Branchen.