KI-Telefonassistent und Datenschutz: Anrufe rechtlich belastbar führen

Bei einem Formular auf der Website sieht der Nutzer, welche Felder er ausfüllt, und liest im Zweifel die Datenschutzhinweise, bevor er absendet. Am Telefon ist das anders. Der Anrufer spricht sofort los, oft mit mehr, als für sein Anliegen nötig wäre, und die Stimme selbst ist bereits ein personenbezogenes Datum. Ab der ersten Sekunde wird verarbeitet, ohne dass jemand ein Häkchen gesetzt hat.

Genau deshalb verlangt das Telefon eine eigene Sorgfalt. Es geht nicht darum, den Anruf mit Rechtstext zu überfrachten, sondern darum, drei Dinge sauber zu regeln: was am Anfang gesagt wird, ob und auf welcher Grundlage aufgezeichnet wird, und wie wenig der Assistent sich überhaupt merkt. Die DSGVO gibt den Rahmen vor, die konkrete Ausgestaltung hängt vom Einzelfall ab.

Die Stimme ist kein Nebenprodukt des Gesprächs, sie ist ein personenbezogenes Datum. Datenschutz am Telefon beginnt vor dem ersten Satz des Anrufers, nicht nach dem Auflegen.

Der erste und oft unterschätzte Punkt ist die Ansage. Der Anrufer sollte früh und in klarer Sprache erfahren, dass er mit einem KI-System spricht, wer dahintersteht und wozu seine Angaben verarbeitet werden. Das schafft Transparenz und nimmt dem Assistenten gleichzeitig die Angriffsfläche, jemand könne getäuscht worden sein.

Eine gute Ansage ist kurz, verständlich und nicht als Kleingedrucktes versteckt. Sie nennt den Verantwortlichen, den Zweck und einen Weg zu weiteren Informationen, etwa die Datenschutzerklärung. Wichtig ist der Unterschied zwischen Transparenz und Einwilligung: Über den KI-Einsatz und den Zweck informierst du immer. Eine echte Einwilligung brauchst du dort, wo sie die Rechtsgrundlage ist, zum Beispiel bei einer Aufzeichnung.

Viele fragen zuerst, ob der Assistent das Gespräch mitschneiden darf. Die ehrlichere erste Frage ist, ob er es überhaupt muss. Häufig reicht ein strukturiertes Protokoll, also Name, Anliegen, Termin und ein Rückrufwunsch, statt einer vollständigen Audioaufnahme. Was du nicht aufzeichnest, musst du auch nicht schützen, löschen oder herausgeben.

Wenn eine Aufzeichnung wirklich einen Zweck erfüllt, braucht sie eine belastbare Grundlage, und die typische ist eine vorher eingeholte, freiwillige Einwilligung. Der Anrufer muss verstehen, dass aufgezeichnet wird, wozu, und dass er ohne Aufzeichnung ebenso zum Ziel kommt. Eine stillschweigende oder erzwungene Zustimmung trägt nicht. Deshalb lohnt es sich, Transkript und Audio zu trennen: Ein Text-Protokoll für den Betrieb ist etwas anderes als ein dauerhaft gespeicherter Mitschnitt.

Datenminimierung ist die stille Hauptregel. Der Assistent soll nur erheben, was der Zweck verlangt. Für eine Terminbuchung sind das Name, Kontaktweg und Anliegen, nicht die halbe Lebensgeschichte, die ein Anrufer manchmal freiwillig erzählt. Ein gut gebauter Assistent lenkt das Gespräch zurück zum Zweck, statt alles mitzuschreiben, und verwirft, was er nicht braucht.

Dazu kommen die Rechte der Betroffenen. Menschen dürfen wissen, welche Daten über sie gespeichert sind, sie korrigieren und löschen lassen. Das klingt abstrakt, wird aber sehr praktisch, sobald jemand anruft und fragt, was ihr über mich gespeichert habt. Dann muss jemand die Daten finden, beauskunften und bei Bedarf löschen können. Diese Zuständigkeit gehört vor den Livegang geklärt, nicht in den ersten echten Auskunftsfall.

Und es gibt eine Rolle, die leicht vergessen wird: den Dienstleister. Wenn der Assistent über einen externen Anbieter läuft, verarbeitet dieser in deinem Auftrag. Dafür braucht es einen Auftragsverarbeitungsvertrag, der regelt, was mit den Daten geschieht, wo sie liegen und wann sie gelöscht werden.

Bevor der Assistent den ersten echten Anruf annimmt, beantworte diese fünf Fragen. Bleibst du bei einer hängen, hast du eine Baustelle gefunden, bevor sie im Betrieb zum Problem wird.

• Was sagt der Assistent in den ersten Sekunden über KI-Einsatz, Verantwortlichen und Zweck?
• Wird aufgezeichnet, und wenn ja, auf welcher Grundlage und wie erhält der Anrufer eine echte Wahl?
• Welche Angaben braucht der Zweck wirklich, und was verwirft der Assistent bewusst?
• Wer beantwortet Auskunfts- und Löschanfragen, und wie findet diese Person die Daten?
• Gibt es einen Auftragsverarbeitungsvertrag mit jedem Dienstleister, der Daten verarbeitet?

Kernsatz: Ein datenschutzkonformer Telefonassistent ist zu einem kleinen Teil eine Technikfrage und zu einem großen Teil eine Frage der Klärung. Wer die Klärung vor den Bau zieht, spart sich die teure Nacharbeit im laufenden Betrieb.

Wenn wir nicht aufzeichnen, ist Datenschutz kein Thema.

Falsch. Schon die Verarbeitung der Stimme und der Angaben im Gespräch ist datenschutzrelevant, ganz ohne Mitschnitt. Ansage, Zweckbindung und Minimierung gelten auch für ein reines Text-Protokoll.

Die Einwilligung holen wir mit einem Satz am Anfang ein.

Nicht ganz. Über den KI-Einsatz informierst du transparent. Eine echte Einwilligung, etwa für eine Aufzeichnung, muss freiwillig, informiert und ohne Nachteil verweigerbar sein, nicht in einer Pflichtansage versteckt.

Datenschutz und KI, Voice Agent, KI-Compliance, Human in the Loop.

Ist die aufgezeichnete Stimme wirklich ein personenbezogenes Datum?

Ja, in aller Regel. Eine Stimme lässt sich einer Person zuordnen, und alles, was im Gespräch gesagt wird, kann personenbezogen sein. Deshalb greift der Datenschutz ab der ersten Sekunde, unabhängig davon, ob ein Mensch oder ein KI-System zuhört.

Müssen wir jeden Anruf aufzeichnen, damit der Assistent funktioniert?

Nein. Für Termin, Anliegen und Rückruf reicht meist ein strukturiertes Protokoll. Eine vollständige Audioaufnahme ist die Ausnahme mit eigenem Zweck und eigener Grundlage, nicht der Normalfall.

Was passiert, wenn jemand seine Daten löschen lassen will?

Dann muss eine zuständige Person die gespeicherten Angaben finden, prüfen und löschen können. Damit das im Ernstfall funktioniert, wird die Zuständigkeit vor dem Livegang festgelegt, nicht erst beim ersten Anruf.