Ist ein KI-Telefonassistent DSGVO-konform?

Stand: September 2026 · Sven Reimer

Ein KI-Telefonassistent ist DSGVO-konform, wenn drei Dinge stimmen: ein Vertrag zur Auftragsverarbeitung mit dem Anbieter, eine kurze Information der Anrufer und nur so viele Daten, wie für Rückruf oder Termin nötig sind. Ob das so ist, entscheidet die Einrichtung, nicht die Technik allein; ein Anbieter, der seine Arbeit ernst nimmt, liefert die Unterlagen dafür gleich mit.

Wann ist bei KI-Systemen die DSGVO zu berücksichtigen?

Immer dann, wenn die KI personenbezogene Daten verarbeitet, und am Telefon ist das jedes Mal der Fall: Name, Rückrufnummer, Anliegen, dazu die Stimme. Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, verlangt für jeden Verarbeitungsschritt einer KI-Anwendung eine Rechtsgrundlage [1]. Beim Telefonassistenten ist das meist unkompliziert: Wer einen Termin will oder um Rückruf bittet, gibt seine Daten für genau diesen Zweck, und die DSGVO erlaubt die Verarbeitung, wenn sie für einen Vertrag oder dessen Anbahnung nötig ist oder das berechtigte Interesse des Betriebs überwiegt [2].

Die Sorge ist trotzdem groß. Unternehmen, die KI schon einsetzen, nennen die Anforderungen an den Datenschutz als größtes Hindernis: 66 Prozent, noch vor rechtlicher Unsicherheit und Kosten [3]. Im kleinen Betrieb sieht das oft so aus: Die Demo hat überzeugt, der Assistent würde passen, und dann kommt die Frage, ob man das überhaupt darf. Niemand im Betrieb weiß es genau, und das Vorhaben bleibt liegen. Dabei fehlt selten die Erlaubnis, meist nur eine klare Liste, was zu tun ist.

Was muss ein Betrieb für einen KI-Telefonassistenten tun?

Der Betrieb ist Verantwortlicher im Sinne der DSGVO, der Anbieter verarbeitet die Daten in seinem Auftrag [1]. Daraus folgen vier Schritte:

• Vertrag zur Auftragsverarbeitung. Er regelt, was mit den Daten geschieht, welche Schutzmaßnahmen gelten, welche Unterauftragnehmer beteiligt sind und wann gelöscht wird [4]. Bei uns gehört er zum Start, zusammen mit der Liste aller beteiligten Dienstleister.
• Anrufer informieren. Eine vollständige Ansage ist nicht nötig. Die bayerische Datenschutzaufsicht hält eine gestufte Information für zulässig: kurz, wer die Daten verarbeitet und wofür, der Rest in der Datenschutzerklärung [5]. Für einfache Terminanrufe muss nach ihrer Auffassung nicht jeder Handwerksbetrieb und jede Arztpraxis eine Bandansage schalten [5]. Den Abschnitt zum Telefonassistenten für Ihre Datenschutzerklärung bekommen Sie von uns.
• Datenschutz-Folgenabschätzung. Die Muss-Liste der Datenschutzkonferenz nennt KI im Kundensupport ausdrücklich, als Beispiel ein System, das mit Kunden durch Konversation interagiert [6]. Das klingt aufwendig, ist aber im Kern eine geordnete Beschreibung: welche Daten, wofür, wie lange, wie geschützt. Die Angaben dafür liefert der Anbieter; zur Unterstützung dabei verpflichtet ihn die DSGVO [2].
• Sparsam aufnehmen und löschen. Der Assistent fragt nur, was für Rückruf oder Termin nötig ist. Wie lange Mitschriften und Aufnahmen bleiben, vereinbaren wir mit Ihnen; danach wird gelöscht.

Welche KI ist DSGVO-konform?

Keine KI ist von sich aus DSGVO-konform oder unzulässig; es kommt darauf an, wie der Anbieter sie betreibt und was im Vertrag steht. Fünf Fragen trennen gute Anbieter von den anderen:

• Gibt es einen Vertrag zur Auftragsverarbeitung und eine Liste der Unterauftragnehmer?
• Wo werden die Daten verarbeitet und gespeichert?
• Läuft ein Teil über einen Dienst in den USA? Dann muss dieser auf der Liste des EU-US-Datenschutzrahmens stehen [7].
• Wie lange bleiben Mitschriften und Aufnahmen gespeichert, und wer kann sie sehen?
• Bekommen Sie vom Anbieter die Angaben, die Sie für Ihre Datenschutzerklärung brauchen? Darauf müssen Betriebe achten, wenn sie eine KI nicht selbst entwickeln [1].

Zum US-Datenschutzrahmen: Das Gericht der EU hat die Entscheidung der Kommission am 3. September 2025 bestätigt [8]. Ein Rechtsmittel dagegen ist beim Europäischen Gerichtshof anhängig, am 25.09.2026 noch ohne Entscheidung [9]. Bis dahin gilt: Steht der Dienst auf der Liste, ist die Übermittlung zulässig.

Sind KI-Anrufe erlaubt?

Ja. Die KI-Verordnung der EU verlangt dafür seit dem 2. August 2026 vor allem eines: Anrufer müssen erfahren, dass sie mit einer KI sprechen, es sei denn, das ist offensichtlich [10]. Die Änderungen an der KI-Verordnung vom Juli 2026 lassen diese Pflicht unberührt [11]. Arztpraxen gibt die Kassenärztliche Bundesvereinigung einen Hinweis zu Beginn des Gesprächs vor und nennt als Beispiel „Hallo, hier ist der KI-Telefonassistent der Praxis“ [13]. Unser Assistent gibt diesen Hinweis, indem er sich als virtuelle Assistentin Ihres Betriebs vorstellt; auf Nachfrage sagt er offen: „Ja, ich bin eine KI.“ Das Wort KI nehmen wir auf Wunsch gleich in die Begrüßung. Wie Anrufer darauf reagieren, beschreibt der Ratgeber KI am Telefon.

Wann darf man ein Telefonat aufzeichnen?

Nur mit Einwilligung. Wer das nicht öffentlich gesprochene Wort eines anderen unbefugt aufnimmt, macht sich nach § 201 StGB strafbar [12]. Für einen Telefonassistenten heißt das: Der Anrufer muss vorher wissen, dass aufgezeichnet wird, und eine echte Wahl haben. Bei uns ist die Aufnahme deshalb ein Schalter je Betrieb. Schalten Sie ihn ein, richten wir den Hinweis zu Beginn des Gesprächs mit ein; die Mitschrift des Anliegens steht unabhängig davon im Verlauf.

Was gilt für Arztpraxen und Kanzleien?

Hier gilt zusätzlich das Berufsgeheimnis nach § 203 StGB, und Gesundheitsdaten sind nach der DSGVO besonders geschützt [2]. Der sichere Weg: Der Assistent nimmt nur Organisatorisches auf, also Name, Rückrufnummer und den Wunsch nach einem Termin, Rezept oder Rückruf. Beschwerden, Befunde oder Inhalte eines Mandats fragt er nicht ab. Was Kanzleien mit KI dürfen, steht im Ratgeber KI in der Kanzlei.

Hat KI Zugriff auf meine Daten?

Der Assistent kennt, was Sie ihm für die Anrufe mitgeben: Leistungen, Zeiten, Preise, Abläufe. Auf Ihre übrigen Programme greift er nur zu, wenn Sie das ausdrücklich wollen, etwa auf Ihren Kalender, um Termine einzutragen. Die Einträge aus den Anrufen liegen in Ihrem Portal: Hinein kommt nur, wer sich anmeldet, und jeder Mitarbeiter sieht nur, was Sie ihm freigeben. Dass kein Betrieb die Daten eines anderen sieht, prüfen wir vor jedem Start mit einem eigenen Test. Mehr dazu im Ratgeber Was passiert nach dem Anruf? und auf der Seite KI-Telefonassistent; wie er klingt, hören Sie in der Live-Demo.

Häufige Fragen

Quellen

1. Orientierungshilfe Künstliche Intelligenz und Datenschutz, Datenschutzkonferenz, Version 1.0, 06.05.2024, abgerufen am 25.09.2026
2. Datenschutz-Grundverordnung (EU) 2016/679, Artikel 6, 9 und 28, abgerufen am 25.09.2026
3. Erstmals nutzt die Mehrheit der Unternehmen KI, Bitkom, 603 Unternehmen ab 20 Beschäftigten, 14.09.2026, abgerufen am 25.09.2026
4. Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO, Datenschutzkonferenz, 17.12.2018, abgerufen am 25.09.2026
5. FAQ zur DS-GVO: Informationspflicht, praktische Umsetzung insbesondere am Telefon, Bayerisches Landesamt für Datenschutzaufsicht, abgerufen am 25.09.2026
6. Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Datenschutzkonferenz, Version 1.1 vom 17.10.2018, Nr. 11, abgerufen am 25.09.2026
7. Data Privacy Framework List, U.S. Department of Commerce, abgerufen am 25.09.2026
8. Pressemitteilung Nr. 106/25 zum Urteil T-553/23, Latombe gegen Kommission, Gerichtshof der Europäischen Union, 03.09.2025, abgerufen am 25.09.2026
9. Rechtssache C-703/25 P, Latombe gegen Kommission, Gerichtshof der Europäischen Union, Stand anhängig, abgerufen am 25.09.2026
10. Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 50 und 113, abgerufen am 25.09.2026
11. Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung, Amtsblatt der EU vom 24.07.2026, abgerufen am 25.09.2026
12. § 201 StGB, Verletzung der Vertraulichkeit des Wortes, Strafgesetzbuch, abgerufen am 25.09.2026
13. PraxisWissen: Künstliche Intelligenz, Hinweise zum Einsatz in Praxen, Kassenärztliche Bundesvereinigung, Dezember 2025, abgerufen am 25.09.2026