KI-Telefonassistent DSGVO: Das gilt seit August 2026

Seit dem 2. August 2026 genügt ein Absatz in der Datenschutzerklärung nicht mehr. Wer einen KI-Telefonassistenten einsetzt, muss Anrufer darüber informieren, dass am anderen Ende der Leitung eine künstliche Intelligenz antwortet.

Sie haben vermutlich denselben Gedanken wie viele Geschäftsführer vor Ihnen: Die Technologie überzeugt, aber die rechtliche Lage wirkt undurchsichtig. Genau da liegt das Problem. Die meisten Beiträge zum Thema KI Telefonassistent DSGVO bleiben entweder vage oder verlieren sich in Paragrafen, ohne zu erklären, was Sie konkret tun müssen.

Dieser Guide macht es anders. Sie erfahren, welche Rechtsgrundlage für KI-Telefonie gilt, welche sechs Pflichten Sie erfüllen müssen, was der EU AI Act seit August 2026 zusätzlich verlangt und welche Fragen Sie einem Anbieter stellen sollten, bevor Sie unterschreiben.

Ein Hinweis vorab: Dieser Artikel ersetzt keine Rechtsberatung. Er gibt Ihnen die Struktur, mit der Sie das Thema sauber angehen und die richtigen Fragen stellen können.

Ist ein KI-Telefonassistent DSGVO-konform?

Ja, ein KI-Telefonassistent kann vollständig DSGVO-konform betrieben werden. Entscheidend sind vier Punkte: eine gültige Rechtsgrundlage nach Art. 6 DSGVO, die Information der Anrufer, ein Auftragsverarbeitungsvertrag mit dem Anbieter und eine Datenverarbeitung innerhalb der EU. Die Technologie selbst ist nicht das rechtliche Risiko, die Umsetzung ist es.

Das klingt beruhigend, hat aber einen Haken. Die Verantwortung liegt bei Ihnen als verantwortlicher Stelle, nicht beim Softwareanbieter. Wenn Ihr Anbieter Gesprächsdaten auf US-Servern speichert und Sie keinen Auftragsverarbeitungsvertrag geschlossen haben, hilft Ihnen dessen Werbeversprechen im Ernstfall wenig.

Dr. Martina Reuter führt eine Zahnarztpraxis in Münster. Im Februar 2026 richtete sie einen KI-Telefonassistenten ein, um die Terminvergabe zu entlasten. Die Einrichtung dauerte keine zehn Minuten, die Entlastung war sofort spürbar.

Vier Monate später prüfte ihr externer Datenschutzbeauftragter die Praxis-IT und stellte drei Lücken fest: keine Ansage zur KI-Nutzung, kein Auftragsverarbeitungsvertrag, keine Anpassung des Verarbeitungsverzeichnisses. Die Technik war korrekt konfiguriert, die Dokumentation fehlte komplett. Der Aufwand für die Nachbesserung lag bei einem Nachmittag. Bei einer Anfrage der Aufsichtsbehörde wäre er deutlich höher ausgefallen.

Genau diese Lücke lässt sich vermeiden, wenn Sie von Anfang an wissen, worauf zu achten ist.

Welche Daten ein KI-Telefonassistent verarbeitet

Bevor Sie Pflichten erfüllen können, müssen Sie wissen, worüber Sie überhaupt sprechen. Ein KI-Telefonassistent verarbeitet mehr als nur die Rufnummer.

Typischerweise fallen folgende Daten an:

• Rufnummer und Anrufzeitpunkt: personenbezogen, sobald eine Zuordnung möglich ist
• Audioaufnahme oder Live-Stream des Gesprächs: Sprachaufnahmen gelten als biometrienah und sind besonders sensibel
• Transkript des Gesprächs: der gesprochene Inhalt in Textform
• Extrahierte Inhalte: Name, Terminwunsch, Anliegen, Rückrufnummer
• Metadaten: Gesprächsdauer, Gesprächsverlauf, Weiterleitungen

Kritisch wird es, wenn Anrufer von sich aus sensible Informationen preisgeben. Ein Patient, der am Telefon seine Beschwerden schildert, liefert Gesundheitsdaten nach Art. 9 DSGVO. Diese besonderen Kategorien personenbezogener Daten unterliegen einem strengeren Schutzniveau.

Das betrifft nicht nur Arztpraxen. Auch in einer Anwaltskanzlei oder Steuerberatung können Anrufer beiläufig Informationen nennen, die weit über eine Terminanfrage hinausgehen. Ihr Löschkonzept sollte darauf vorbereitet sein.

Die sechs DSGVO-Pflichten für KI-Telefonie im Überblick

Diese sechs Punkte bilden das Fundament für den rechtssicheren Betrieb. Wer sie erfüllt, hat den Großteil der Anforderungen an einen DSGVO-konformen KI-Telefonassistenten abgedeckt.

1. Rechtsgrundlage bestimmen (Art. 6 DSGVO)

Für die reine Anrufannahme und Terminvereinbarung stützen sich die meisten Unternehmen auf Art. 6 Abs. 1 lit. b DSGVO, also die Anbahnung oder Erfüllung eines Vertrags. Für die Gesprächsanalyse zur Qualitätsverbesserung kommt eher das berechtigte Interesse nach lit. f infrage, verbunden mit einer dokumentierten Interessenabwägung.

Eine Einwilligung brauchen Sie nicht in jedem Fall, aber immer dann, wenn Sie Gespräche dauerhaft aufzeichnen. Und eine Einwilligung am Telefon ist nur wirksam, wenn der Anrufer eine echte Wahl hat.

2. Anrufer informieren (Art. 13 DSGVO)

Die Informationspflicht nach Art. 13 DSGVO greift zum Zeitpunkt der Erhebung. Praktisch bedeutet das: eine kurze Ansage zu Gesprächsbeginn, die auf die KI-Nutzung, den Zweck und die Datenschutzerklärung verweist.

Halten Sie die Ansage kurz. Ein Satz genügt, ergänzt um einen Verweis, wo weitere Informationen zu finden sind.

3. Auftragsverarbeitungsvertrag schließen (Art. 28 DSGVO)

Ihr Anbieter verarbeitet Daten in Ihrem Auftrag. Damit ist ein Auftragsverarbeitungsvertrag (AVV) zwingend. Fehlt er, ist die Verarbeitung formal rechtswidrig, unabhängig davon, wie sicher die Technik ist.

Seriöse Anbieter stellen den AVV standardmäßig zur Verfügung. Wenn Sie danach fragen müssen und keine klare Antwort bekommen, ist das ein Warnsignal.

4. Serverstandort und Drittlandtransfer prüfen (Art. 44 ff. DSGVO)

Werden Ihre Gesprächsdaten in der EU verarbeitet oder fließen sie in die USA? Diese Frage entscheidet über den Aufwand. Bei EU-Verarbeitung sind Sie auf der sicheren Seite. Bei Drittlandtransfer brauchen Sie eine zusätzliche Grundlage und sollten die Übermittlung sauber dokumentieren.

Thomas Brenner betreibt einen Sanitärbetrieb mit elf Mitarbeitern. Er wählte 2025 einen günstigen KI-Telefondienst, dessen Oberfläche auf Deutsch verfügbar war. Erst als ein Großkunde aus der öffentlichen Verwaltung im Rahmen einer Lieferantenprüfung nach dem Verarbeitungsstandort fragte, sah Brenner genauer hin: Die Sprachverarbeitung lief über Server in Oregon. Der Wechsel zu einem europäischen Anbieter kostete ihn zwei Tage Umstellung. Der Auftrag wäre ihn deutlich teurer gekommen.

5. Löschkonzept festlegen (Art. 5 und 17 DSGVO)

Der Grundsatz der Speicherbegrenzung verlangt, dass Daten nur so lange aufbewahrt werden, wie es der Zweck erfordert. Für einen Terminwunsch heißt das: Tage, nicht Jahre.

Definieren Sie feste Löschfristen und dokumentieren Sie sie. Lösungen mit automatischer Löschung nach der Verarbeitung nehmen Ihnen diesen Punkt weitgehend ab.

6. Verarbeitungsverzeichnis und Datenschutz-Folgenabschätzung (Art. 30 und 35 DSGVO)

Der KI-Telefonassistent gehört ins Verzeichnis von Verarbeitungstätigkeiten. Das ist schnell erledigt, wird aber regelmäßig vergessen.

Eine Datenschutz-Folgenabschätzung (DSFA) wird nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Bei systematischer Verarbeitung von Gesundheitsdaten sollten Sie eine DSFA einplanen. Die Aufsichtsbehörden führen dazu Listen, an denen Sie sich orientieren können.

Die sechs Pflichten auf einen Blick

Neu seit 2. August 2026: Was der EU AI Act zusätzlich verlangt

Die Datenschutz-Grundverordnung ist seit August 2026 nicht mehr die einzige Vorgabe. Mit der KI-Verordnung der EU, bekannt als EU AI Act, gelten seit dem 2. August 2026 die allgemeinen Anwendungsregeln, darunter die Transparenzpflichten aus Artikel 50.

Der Kern für die Telefonie: Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Die Pflicht richtet sich in erster Linie an die Anbieter der Systeme. Als einsetzendes Unternehmen sollten Sie dennoch sicherstellen, dass Ihr Assistent die Information tatsächlich ausgibt.

Für die Praxis heißt das: Die Ansage zu Gesprächsbeginn erfüllt jetzt zwei Zwecke gleichzeitig. Sie deckt die Informationspflicht aus Art. 13 DSGVO ab und die Transparenzanforderung aus dem AI Act.

Die gute Nachricht ist, dass die meisten KI-Telefonassistenten für den deutschen Markt diese Ansage bereits mitbringen. Prüfen Sie trotzdem aktiv nach, ob sie aktiviert ist. Eine Funktion, die im Menü existiert, aber nicht eingeschaltet wurde, hilft Ihnen im Zweifel nicht.

Anbieter richtig prüfen: Diese Fragen sollten Sie stellen

Verlassen Sie sich nicht auf das Siegel „DSGVO-konform" auf der Startseite. Es ist kein geschützter Begriff. Bevor Sie sich für einen KI-Telefonassistenten entscheiden, stellen Sie konkrete Fragen und lassen Sie sich die Antworten schriftlich geben.

1. Wo werden Sprachdaten verarbeitet und gespeichert? Antwort sollte lauten: ausschließlich in der EU, mit Nennung der Rechenzentrumsstandorte.
2. Stellen Sie einen Auftragsverarbeitungsvertrag bereit? Der AVV sollte ohne Nachfrage verfügbar sein.
3. Werden Subunternehmer eingesetzt? Lassen Sie sich die Liste der Unterauftragsverarbeiter zeigen, inklusive der eingesetzten Sprachmodelle.
4. Wie lange werden Gesprächsdaten gespeichert und wie werden sie gelöscht? Fragen Sie nach konfigurierbaren Fristen und einer Option zur sofortigen Löschung.
5. Werden meine Gesprächsdaten zum Training von KI-Modellen verwendet? Die Antwort sollte ein klares Nein sein, vertraglich zugesichert.
6. Gibt es eine automatische Transparenzansage zur KI-Nutzung? Relevant seit dem AI Act.
7. Welche technischen und organisatorischen Maßnahmen sind implementiert? Verschlüsselung bei Übertragung und Speicherung, Zugriffskonzepte, Protokollierung.

Wenn ein Anbieter bei mehr als einer dieser Fragen ausweicht, prüfen Sie Alternativen. Die Fragen sind Standard und jeder professionelle Anbieter kann sie beantworten.

Besonders sensible Branchen: Gesundheit, Recht, Steuern

In manchen Branchen reicht die Standardkonfiguration eines KI-Telefonassistenten nicht aus. Überall dort, wo Berufsgeheimnisse oder besondere Datenkategorien betroffen sind, gelten strengere Maßstäbe.

Arztpraxen und Gesundheitswesen: Gesundheitsdaten fallen unter Art. 9 DSGVO. Zusätzlich greift die ärztliche Schweigepflicht nach § 203 StGB. Ein KI-Telefonassistent für Arztpraxen sollte so konfiguriert sein, dass er medizinische Details gar nicht erst erfasst, sondern die Terminvergabe strikt von der Anamnese trennt.

Anwaltskanzleien: Auch hier gilt die Schweigepflicht nach § 203 StGB. Der Anbieter muss als Gehilfe im Sinne der Norm eingebunden sein, was vertraglich abzubilden ist.

Steuerberatung: Für Steuerkanzleien gelten vergleichbare Anforderungen. Mandantendaten sind sensibel, besonders in der Fristensaison, wenn das Anrufaufkommen steigt.

Die Kanzlei Weber & Partner aus Freiburg ging genau diesen Weg. Vor der Einführung im Mai 2026 definierte das Team gemeinsam mit dem Datenschutzbeauftragten, welche Informationen der Assistent erfassen darf: Name, Rückrufnummer, Terminwunsch, Dringlichkeit. Alles Weitere leitet er an einen Mitarbeiter weiter. Gesprächsdaten werden nach der Terminbuchung automatisch gelöscht. Ergebnis nach zwei Monaten: kein einziger unbeantworteter Anruf mehr, und eine Dokumentation, die einer Prüfung standhält.

Die vier häufigsten Fehler in der Praxis

Beim Einsatz von KI-Telefonassistenten lassen sich vier Muster beobachten, die in Prüfungen immer wieder auffallen.

Häufige Fragen zu KI-Telefonassistent und DSGVO

Fazit: KI-Telefonassistent und DSGVO schließen sich nicht aus

Ein KI-Telefonassistent ist DSGVO-konform einsetzbar, wenn Sie die Grundlagen sauber aufsetzen. Die Technologie ist nicht das Risiko, die fehlende Dokumentation ist es.

Die wichtigsten Punkte im Überblick:

• Rechtsgrundlage klären und schriftlich festhalten, meist Vertragsanbahnung oder berechtigtes Interesse
• Anrufer informieren durch eine kurze Ansage zu Gesprächsbeginn, seit August 2026 auch wegen des EU AI Act
• Auftragsverarbeitungsvertrag schließen, ohne Ausnahme
• Datenverarbeitung in der EU sicherstellen und Subunternehmer prüfen
• Löschfristen definieren und automatisieren, statt sie manuell zu verwalten
• Verarbeitungsverzeichnis ergänzen und bei sensiblen Daten eine DSFA einplanen

Der Aufwand dafür liegt bei wenigen Stunden. Der Nutzen ist ein Telefon, das keinen Anruf mehr verpasst, und eine Dokumentation, die einer Prüfung standhält.

Bei Fragen zur konkreten Ausgestaltung lohnt sich der Blick auf die Hinweise der Aufsichtsbehörden, etwa beim Bundesbeauftragten für den Datenschutz. Für die praktische Umsetzung gilt: Wählen Sie einen Anbieter, bei dem Datenschutz nicht nachträglich aufgesetzt wurde, sondern von Beginn an Teil der Architektur ist.