Warum die DSGVO für Telefonassistenten gilt
Jeder KI-Telefonassistent verarbeitet personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Bereits die Rufnummer des Anrufers ist ein personenbezogenes Datum, ebenso der Name, die E-Mail-Adresse bei Terminbestätigungen und der Inhalt der transkribierten Gespräche. Sobald ein System diese Daten automatisiert verarbeitet – und genau das tut ein Telefonassistent – greifen die Pflichten der DSGVO: Es braucht eine Rechtsgrundlage, die Grundsätze der Datenminimierung und Zweckbindung sind einzuhalten, und der Betreiber muss die Betroffenenrechte (Auskunft, Berichtigung, Löschung) gewährleisten. Die möglichen Sanktionen sind erheblich: Nach Art. 83 DSGVO drohen Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem was höher ist. Für den Mittelstand heißt das: Datenschutz ist beim KI-Telefonassistenten kein Formalakt, sondern ein Auswahlkriterium für den Anbieter. Wer einen Assistenten einsetzt, bleibt als verantwortliche Stelle selbst für die Rechtmäßigkeit verantwortlich – auch wenn ein externer Dienstleister die Technik bereitstellt. Deshalb ist die sorgfältige Anbieterprüfung der erste und wichtigste Schritt.
Auftragsverarbeitung: Der AVV nach Art. 28 DSGVO
Ein KI-Telefonassistent-Anbieter verarbeitet die Daten seiner Kunden weisungsgebunden – er ist Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Zwischen Ihnen als Verantwortlichem und dem Anbieter ist deshalb ein Vertrag über Auftragsverarbeitung (AVV) zwingend erforderlich. Der AVV muss nach Art. 28 Abs. 3 mindestens regeln: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und betroffener Personen, die Weisungsbefugnisse des Verantwortlichen sowie technische und organisatorische Maßnahmen (TOM) zur Datensicherheit. Außerdem muss der Anbieter zusichern, dass er nur nach dokumentierter Weisung handelt, Unterauftragsverarbeiter nur mit Zustimmung einsetzt und die Daten nach Vertragsende löscht oder zurückgibt. Ohne gültigen AVV ist der Einsatz nicht rechtskonform – das gilt auch dann, wenn der Anbieter technisch einwandfrei arbeitet. Prüfen Sie den AVV deshalb aktiv: Liegt er automatisch bei oder muss er angefordert werden? Decken die TOM-Vereinbarungen Verschlüsselung, Zugriffskontrolle und Incident-Management ab? Ein seriöser Anbieter stellt den AVV ohne Nachfrage bereit und dokumentiert seine Maßnahmen. foncall stellt AVV und Speicherfristen aktiv zur Verfügung, statt sie erst auf Anfrage auszuhändigen.
Serverstandort: Warum Deutschland zählt
Der Serverstandort ist bei Telefonassistenten ein zentrales Datenschutzkriterium. Verarbeitet der Anbieter die Gesprächsdaten auf Servern außerhalb des Europäischen Wirtschaftsraums – etwa in den USA –, liegt eine Datenübermittlung in ein Drittland vor. Diese ist nur unter engen Voraussetzungen zulässig: Es braucht einen Angemessenheitsbeschluss, Standardvertragsklauseln oder eine der Ausnahmen aus Art. 49 DSGVO. Seit den Schrems-II-Urteilen des EuGH ist die Rechtslage bei US-Anbietern besonders sensibel, da ein bloßes Privacy-Shield nicht mehr genügt. Deutsche Server, wie sie etwa foncall nutzt, lösen dieses Problem weitgehend: Die Daten bleiben innerhalb der EU, es findet keine Drittlandübermittlung statt, und es greift deutsches beziehungsweise europäisches Datenschutzrecht. Das ist nicht nur rechtlich sauberer, sondern auch ein Vertrauenssignal gegenüber Kunden, die zunehmend nach dem Speicherort ihrer Daten fragen. Bei Anbietern mit US-Sitz – etwa Synthflow – müssen Sie als Verantwortlicher zusätzlich Standardvertragsklauseln und ein Transfer-Impact-Assessment prüfen, was Aufwand und Restrisiko bedeutet. Die einfache Regel für den Mittelstand: Bevorzugen Sie Anbieter mit Rechenzentren in Deutschland oder der EU, das reduziert das rechtliche Risiko erheblich.
Rechtsgrundlagen: Was erlaubt die Verarbeitung?
Für jede Verarbeitung braucht es eine Rechtsgrundlage aus Art. 6 DSGVO. Beim KI-Telefonassistenten kommen vor allem drei infrage. Erstens Art. 6 Abs. 1 lit. b: Die Verarbeitung ist zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich – etwa wenn ein Anrufer einen Termin bucht und dafür Name und Kontaktdaten verarbeitet werden müssen. Zweitens Art. 6 Abs. 1 lit. f: das berechtigte Interesse des Betriebs, erreichbar zu sein und Kundenanfragen zu bearbeiten, sofern keine überwiegenden Interessen des Anrufers entgegenstehen. Drittens Art. 6 Abs. 1 lit. a: die Einwilligung, die bei bestimmten Verarbeitungen – etwa der Aufzeichnung ganzer Gespräche für Qualitätszwecke – erforderlich sein kann. Wichtig ist die Unterscheidung zwischen Verarbeitung und Aufzeichnung: Eine Live-Transkription zur Terminbuchung ist weniger eingriffsintensiv als die dauerhafte Speicherung von Gesprächsaufnahmen. Legen Sie deshalb fest, was Ihr Assistent speichert und warum. Im Zweifel gilt: So wenig wie möglich, so viel wie nötig. Die Datenminimierung aus Art. 5 Abs. 1 lit. c ist kein Wunsch, sondern Pflicht – sie reduziert zugleich Ihr Risiko.
Transparenz: Anrufer müssen informiert werden
Die DSGVO verlangt Transparenz: Anrufer müssen nach Art. 13 DSGVO darüber informiert werden, dass und wie ihre Daten verarbeitet werden. Beim Telefonassistenten bedeutet das konkret: Der Anrufer muss bereits zu Beginn des Gesprächs erfahren, dass er mit einem KI-System spricht, welcher Zweck verfolgt wird und wo er weitere Informationen findet. Das überschneidet sich mit der Transparenzpflicht aus dem EU AI Act (Art. 50), die zusätzlich verlangt, dass Menschen auf die Interaktion mit einem KI-System hingewiesen werden – bei Telefonie also eine klare Ansage statt eines Fußnoten-Hinweises. Praktisch gelöst wird das durch eine kurze Eröffnungsansage wie: »Sie sprechen mit einem KI-Telefonassistenten von [Unternehmen]. Ihr Anliegen wird zur Terminvergabe verarbeitet.« Diese Ansage erfüllt gleich zwei Pflichten: die DSGVO-Information und das KI-Bot-Outing. Zusätzlich sollte eine Datenschutzerklärung leicht erreichbar sein, idealerweise per Link in der Terminbestätigungs-E-Mail. Versäumen Sie diese Information, ist die Verarbeitung nicht transparent und damit nicht rechtmäßig – ein häufiger und vermeidbarer Fehler.
Speicherfristen: Wie lange dürfen Daten liegen?
Personenbezogene Daten dürfen nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Für einen Telefonassistenten heißt das: Gesprächsdaten und Transkripte, die zur Terminbuchung dienten, sollten gelöscht werden, sobald der Termin erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Für Buchungs- und Abrechnungsdaten gelten die handels- und steuerrechtlichen Fristen von 6 bis 10 Jahren, aber reine Anrufprotokolle und Sprachaufnahmen sind deutlich früher zu löschen. Ein sauberer Anbieter dokumentiert diese Fristen explizit und setzt die Löschung automatisiert um, statt Daten unbegrenzt vorzuhalten. Fragen Sie gezielt: Wie lange werden Transkripte gespeichert? Werden Sprachaufnahmen dauerhaft aufbewahrt oder nur zur Verarbeitung gepuffert? Gibt es eine automatisierte Löschroutine? foncall dokumentiert seine Speicherfristen transparent und löscht nach Ablauf automatisch. Als Verantwortlicher sollten Sie zudem ein Löschkonzept führen, das festhält, welche Datenkategorie wann entfernt wird – das ist auch die Grundlage, um Auskunfts- und Löschanträge von Betroffenen nach Art. 15 und 17 DSGVO fristgerecht zu beantworten.
Checkliste: So prüfen Sie einen Anbieter
Diese Prüfschritte helfen, einen DSGVO-konformen KI-Telefonassistenten zu erkennen. Erstens: Liegt ein AVV nach Art. 28 DSGVO vor und deckt er TOM, Unterauftragsverarbeiter und Weisungsrechte ab? Zweitens: Wo stehen die Server? Deutschland oder EU ist der klare Vorzug; bei Drittland-Anbietern brauchen Sie Standardvertragsklauseln und ein Transfer-Impact-Assessment. Drittens: Wie transparent informiert der Assistent die Anrufer? Eine klare Bot-Ansage am Gesprächsbeginn ist Pflicht. Viertens: Welche Speicherfristen gelten und werden sie automatisiert umgesetzt? Fünftens: Wie werden die Betroffenenrechte unterstützt – können Auskunft und Löschung unkompliziert umgesetzt werden? Sechstens: Gibt es eine dokumentierte Rechtsgrundlage für jede Verarbeitung, insbesondere für Aufzeichnungen? Siebtens: Wie reagiert der Anbieter auf Datenschutzvorfälle, und gibt es einen Meldeprozess nach Art. 33? Wer diese Punkte abhakt, hat die wesentlichen DSGVO-Risiken adressiert. Ein Anbieter, der bei Rückfragen ausweicht oder keinen AVV liefern kann, ist für den produktiven Einsatz nicht geeignet.
DSGVO als Wettbewerbsvorteil im Mittelstand
Datenschutz ist beim KI-Telefonassistenten nicht nur eine Pflicht, sondern ein Verkaufsargument. Kunden – insbesondere im B2B-Bereich und in sensiblen Branchen wie Praxen oder Kanzleien – fragen zunehmend, wo ihre Daten verarbeitet werden und ob ein AVV vorliegt. Ein Betrieb, der diese Fragen souverän beantworten kann, weil sein Anbieter deutsche Server, einen sauberen AVV und dokumentierte Speicherfristen bietet, gewinnt Vertrauen und Aufträge. Umgekehrt gefährdet ein unsauberer Assistent nicht nur die eigene Rechtsposition, sondern auch die Reputation: Ein Datenschutzvorfall mit abfließenden Gesprächsinhalten kann das Vertrauen nachhaltig beschädigen. Deshalb lohnt es sich, Datenschutz von Anfang an als Auswahlkriterium zu behandeln und den AVV, den Serverstandort und die Speicherfristen aktiv zu prüfen. foncall positioniert DSGVO-Konformität bewusst als Kernbestandteil des Angebots – mit deutschen Servern, AVV und dokumentierten Fristen – und macht Transparenz damit zum Vertrauensbeweis im Vertrieb. Für den Mittelstand ist das der pragmatische Weg: Rechtssicherheit und Wettbewerbsvorteil in einem.
Erreichbar, wenn es zählt
foncall.ai nimmt deine Anrufe rund um die Uhr an – ab 49 €/Monat.
Jetzt kostenlos testen