Ein Telefonassistent verarbeitet personenbezogene Daten, und zwar in dem Moment, in dem jemand anruft: die Rufnummer, die Stimme, den Namen, das Anliegen, bei Praxen und Kanzleien oft mehr. Dass die DSGVO dafür gilt, ist unstrittig. Was sie konkret verlangt, lässt sich für den Betriebsalltag in überschaubare Punkte fassen. Dieser Artikel beschreibt sie und liefert einen Fragenkatalog für das Gespräch mit dem Anbieter.
Ein Hinweis vorab: Dieser Text erklärt Zusammenhänge und ersetzt keine Rechtsberatung. Wer besondere Datenkategorien verarbeitet, etwa Gesundheitsdaten in einer Praxis oder Mandatsgeheimnisse in einer Kanzlei, sollte die Einführung mit einer Datenschutzbeauftragten oder einer Beratung abstimmen.
Wer ist wofür verantwortlich?
Die DSGVO kennt zwei Rollen, die hier beide vorkommen:
Sie als Verantwortlicher. Der Betrieb entscheidet, dass Anrufe von einem Assistenten angenommen werden, zu welchem Zweck und mit welchen Daten. Damit trägt er die Verantwortung: Er muss eine Rechtsgrundlage haben, die Anrufer informieren und die Daten nicht länger als nötig aufbewahren.
Der Anbieter als Auftragsverarbeiter. Der Anbieter des Assistenten verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen. Artikel 28 der DSGVO verlangt dafür einen Vertrag, den Auftragsverarbeitungsvertrag (AV-Vertrag). Er regelt unter anderem Gegenstand und Dauer der Verarbeitung, technische und organisatorische Maßnahmen, den Einsatz weiterer Unterauftragnehmer und die Löschung nach Vertragsende.
Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat am 6. Mai 2024 eine Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz veröffentlicht. Sie richtet sich an Unternehmen und Behörden, die KI-Anwendungen auswählen und einsetzen, und listet Prüfpunkte für die Auswahl, die Implementierung und die Nutzung auf (Quelle: Datenschutzkonferenz, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, 6. Mai 2024, https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf). Sie eignet sich als Leitfaden für die eigene Dokumentation.
Auf welcher Grundlage werden die Daten verarbeitet?
Für die Annahme eines Anrufs, die Aufnahme des Anliegens und die Buchung eines Termins kommt in der Regel die Vertragsanbahnung oder Vertragserfüllung in Betracht (Artikel 6 Absatz 1 Buchstabe b DSGVO): Der Anrufer will etwas von Ihnen, und dafür braucht es seine Daten. Für Rückrufnummer und Name ist das nachvollziehbar. Für alles darüber hinaus, etwa eine dauerhaft gespeicherte Tonaufnahme, ist die Frage schwieriger und wird in der Praxis unterschiedlich beantwortet. Deshalb lohnt es, das Nötige vom Wünschenswerten zu trennen:
- Nötig: Anliegen erfassen, Rückrufnummer, Termindaten, Transkript zur Nachvollziehbarkeit für kurze Zeit.
- Zu prüfen: dauerhafte Tonaufzeichnung, Stimmprofile, Auswertung über den Einzelfall hinaus.
Bei Gesundheitsdaten (Artikel 9 DSGVO) ist die Schwelle höher. Praxen halten das Buchungsgespräch deshalb bewusst schlank: Leistung ja, Diagnose nein.
Informationspflicht gegenüber Anrufern
Anrufer müssen erfahren, dass ihre Daten verarbeitet werden, von wem und wozu (Artikel 13 DSGVO). Am Telefon ist die übliche Lösung eine kurze Information in der Begrüßung und ein Verweis auf die Datenschutzerklärung auf der Website, in der die Verarbeitung durch den Telefonassistenten beschrieben ist. Der Text in der Datenschutzerklärung sollte nennen: den Anbieter des Assistenten als Auftragsverarbeiter, den Zweck, die Datenkategorien, die Speicherdauer und die Rechte der Betroffenen.
Hinzu kommt die Transparenzpflicht aus der KI-Verordnung. Artikel 50 der Verordnung (EU) 2024/1689 verpflichtet Betreiber von KI-Systemen, die mit natürlichen Personen interagieren, diese darüber zu informieren, sofern es nicht offensichtlich ist. Die Vorschrift gilt seit dem 2. August 2026 (Quelle: EUR-Lex, https://eur-lex.europa.eu/eli/reg/2024/1689/oj, abgerufen am 18.09.2026). Praktisch: Der Assistent sagt in der Begrüßung, dass er ein digitaler Assistent ist. Das ist mit einem Satz erledigt und sollte in keiner Begrüßung fehlen.
Wo werden die Daten verarbeitet?
Ein Telefonassistent besteht aus mehreren Bausteinen: Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe, Speicherung. Jeder Baustein kann bei einem anderen Unternehmen laufen. Für den Datenschutz zählt, wo jeder dieser Bausteine steht und ob Daten die EU verlassen. Ein Anbieter, der „Hosting in der EU“ angibt, sollte auf Nachfrage sagen können, ob das für alle Bausteine gilt oder nur für die Datenbank.
Übermittlungen in Drittländer sind nicht verboten, brauchen aber eine Grundlage (Kapitel V DSGVO), etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Für Betriebe ist es einfacher, wenn das gar nicht erst nötig ist. Vocaris verarbeitet Gespräche in der EU und bietet auf Wunsch einen rein europäischen Sprachweg, bei dem auch das Sprachmodell in Europa läuft; die Einzelheiten stehen auf der Seite Sicherheit und Datenschutz.
Wie lange werden Daten aufbewahrt?
Die DSGVO verlangt, dass Daten nicht länger gespeichert werden als nötig (Artikel 5 Absatz 1 Buchstabe e). Was „nötig“ ist, entscheiden Sie im Rahmen des Zwecks. Für Gesprächsverläufe hat sich eine kurze Frist bewährt, nach der sie automatisch gelöscht werden. Termindaten leben im Kalender, solange der Termin relevant ist. Rechnungsrelevante Daten unterliegen eigenen Aufbewahrungspflichten. Ein guter Assistent lässt Sie die Frist selbst einstellen und löscht dann ohne weiteres Zutun.
Fragenkatalog für den Anbieter
Diese Fragen können Sie einem Anbieter per E-Mail schicken. Die Antworten gehören in Ihre Dokumentation.
| Frage | Woran Sie eine gute Antwort erkennen |
|---|---|
| Stellen Sie einen AV-Vertrag nach Artikel 28 DSGVO bereit? | Ja, als Standarddokument, ohne Aufpreis, mit Liste der Unterauftragnehmer |
| Wo werden Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe und Speicherung betrieben? | Konkrete Angabe je Baustein, nicht nur „EU-Hosting“ |
| Verlassen Daten die EU? Wenn ja, auf welcher Grundlage? | Klare Aussage; bei Nein: Option auf rein europäische Verarbeitung |
| Welche Unterauftragnehmer setzen Sie ein und wie werden Änderungen mitgeteilt? | Liste im AV-Vertrag, Mitteilung mit Widerspruchsrecht |
| Werden Tonaufnahmen gespeichert oder nur Transkripte? Kann ich das einstellen? | Einstellbar; Standard ist das Transkript |
| Wie lange werden Gesprächsverläufe aufbewahrt? Kann ich die Frist selbst festlegen? | Frist einstellbar, automatische Löschung |
| Werden meine Gespräche zum Training von Modellen verwendet? | Nein, oder nur mit ausdrücklicher Zustimmung |
| Wie sind Gespräche und Daten verschlüsselt? | Verschlüsselung bei Übertragung und Speicherung |
| Wer bei Ihnen hat Zugriff auf meine Daten und wie wird das protokolliert? | Rollenkonzept, Protokollierung, Zugriff nur zur Fehlerbehebung |
| Wie unterstützen Sie mich bei Auskunfts- und Löschanfragen von Anrufern? | Export- und Löschfunktion, Ansprechpartner |
| Stellt sich der Assistent als KI vor? | Ja, standardmäßig in der Begrüßung |
| Gibt es eine Beschreibung der technischen und organisatorischen Maßnahmen? | Ja, als Anlage zum AV-Vertrag |
Was Sie selbst erledigen müssen
Der Anbieter kann Ihnen viel abnehmen, aber nicht alles. Auf Ihrer Seite bleiben:
Häufige Fragen
Muss ich Anrufer darüber informieren, dass eine KI das Gespräch führt?
Brauche ich einen Auftragsverarbeitungsvertrag?
Darf der Assistent Gespräche aufzeichnen?
Ist ein Anbieter mit Servern in der EU automatisch DSGVO-konform?
Stand: 18. September 2026. Quellen sind an den jeweiligen Stellen im Text genannt. Der Artikel erklärt Zusammenhänge und ersetzt keine Rechts- oder Steuerberatung.