KI-Telefonassistent und DSGVO.

Hinweis: Dieser Text gibt einen praxisorientierten Überblick und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung Ihres konkreten Einsatzes wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt für IT-Recht beziehungsweise an Ihre Datenschutzbeauftragte.

Kurz vorweg: Der Einsatz eines KI-Telefonassistenten ist nach der DSGVO zulässig. Er verarbeitet personenbezogene Daten, und das ist erlaubt, wenn es eine Rechtsgrundlage gibt, die Verarbeitung transparent gemacht wird und der Anbieter vertraglich gebunden ist. Heikel wird es an drei Stellen: bei der Aufzeichnung von Gesprächen, bei Gesundheits- und anderen besonderen Daten und beim Serverstandort.

1. Die Rechtsgrundlage

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Für einen Telefonassistenten kommen in der Praxis zwei in Betracht.

Ruft jemand an, um einen Termin zu vereinbaren oder eine Leistung anzufragen, ist das eine vorvertragliche Maßnahme nach Artikel 6 Absatz 1 Buchstabe b DSGVO. Der Anrufer will etwas von Ihnen, und um es zu bekommen, müssen Name und Anliegen verarbeitet werden. Eine gesonderte Einwilligung ist dafür nicht erforderlich.

Daneben lässt sich für die Organisation der Erreichbarkeit ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO anführen. Das erfordert eine Abwägung, die dokumentiert sein sollte. Für die reine Annahme und Weiterleitung von Anrufen fällt diese Abwägung regelmäßig zugunsten des Unternehmens aus.

2. Der Vertrag zur Auftragsverarbeitung

Der Anbieter des Assistenten verarbeitet Daten in Ihrem Auftrag. Damit ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO zwingend. Ohne ihn ist die Verarbeitung formal rechtswidrig, unabhängig davon, wie gut die Technik ist.

Sie bleiben verantwortliche Stelle. Das heißt: Sie bestimmen Zweck und Mittel, der Anbieter handelt weisungsgebunden. Prüfen Sie im Vertrag insbesondere, ob Unterauftragsverarbeiter benannt sind, welche technischen und organisatorischen Maßnahmen zugesichert werden und wie mit Löschfristen umgegangen wird.

Ein Punkt wird oft übersehen: Wenn der Anbieter Ihre Gesprächsdaten zum Training eigener Modelle nutzen möchte, ist das keine Auftragsverarbeitung mehr, sondern eine eigene Zweckbestimmung. Lassen Sie sich schriftlich geben, ob und wozu Ihre Daten über die Erbringung der Leistung hinaus verwendet werden.

3. Aufzeichnung von Gesprächen

Hier liegt der häufigste Fehler. Das Mitschneiden eines Telefongesprächs ist etwas anderes als das Verarbeiten der darin enthaltenen Angaben, und es ist deutlich strenger geregelt.

Wer ein Gespräch aufzeichnet, braucht dafür grundsätzlich die Einwilligung aller Beteiligten. Diese muss vor der Aufzeichnung eingeholt werden, freiwillig sein und es muss eine echte Alternative geben, etwa die Weiterleitung an einen Mitarbeiter. Ein Hinweis, dass mit dem Fortsetzen des Gesprächs die Einwilligung erteilt gilt, ist rechtlich angreifbar.

Hinzu kommt das Strafrecht: Nach § 201 StGB ist das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes strafbar. Das ist kein Bußgeldtatbestand, sondern eine Straftat. Entsprechend sorgfältig sollte man hier vorgehen.

Der praktikable Weg für die meisten Betriebe: keine Audioaufzeichnung, sondern nur die strukturierte Erfassung dessen, was für den Vorgang gebraucht wird, also Name, Rückrufnummer, Anliegen, Wunschtermin. Das reicht für den Betrieb vollkommen aus und vermeidet das Problem.

4. Die Hinweispflicht

Anrufer müssen erfahren, wie ihre Daten verarbeitet werden. Am Telefon ist eine vollständige Datenschutzerklärung nicht praktikabel; die Aufsichtsbehörden akzeptieren daher ein gestuftes Vorgehen: ein kurzer Hinweis im Gespräch mit Verweis auf die ausführliche Information auf der Website.

Davon zu unterscheiden ist die Frage, ob offengelegt werden muss, dass es sich um ein automatisches System handelt. Rechtlich ist das nicht in jedem Fall zwingend. Wir halten es trotzdem für die einzig tragfähige Linie: Sonora gibt auf Nachfrage offen an, ein automatischer Assistent zu sein. Wer das verschleiert, riskiert bei der Aufdeckung mehr, als er durch die Täuschung gewinnt. Mit dem AI Act der EU wird sich diese Erwartung zudem weiter in Richtung Transparenzpflicht verschieben.

5. Besondere Kategorien personenbezogener Daten

Gesundheitsdaten, Angaben zu religiöser oder weltanschaulicher Überzeugung, zur sexuellen Orientierung und einige weitere Kategorien sind nach Artikel 9 DSGVO besonders geschützt. Ihre Verarbeitung ist grundsätzlich untersagt und nur in eng gefassten Ausnahmen erlaubt.

Für Arztpraxen, Physiotherapie und ähnliche Betriebe ist das unmittelbar relevant. Wer anruft und sagt, worum es geht, offenbart in der Regel bereits ein Gesundheitsdatum. Die Verarbeitung ist hier über Artikel 9 Absatz 2 Buchstabe h DSGVO möglich, wenn sie für die Gesundheitsversorgung erforderlich ist und die verarbeitenden Personen einer Geheimhaltungspflicht unterliegen.

Praktisch heißt das: Der Umfang der erhobenen Daten wird eng gehalten. Für eine Terminvergabe braucht es die Terminart, nicht die Krankengeschichte. Zusätzlich gilt für Heilberufe und für Kanzleien die strafbewehrte Schweigepflicht nach § 203 StGB, die bei der Einschaltung von Dienstleistern eigene Anforderungen stellt.

6. Serverstandort und Drittlandtransfer

Viele Sprachmodelle werden in den USA betrieben. Eine Übermittlung dorthin ist nach Kapitel V der DSGVO nur unter zusätzlichen Bedingungen zulässig. Seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 ist die Übermittlung an zertifizierte Unternehmen grundsätzlich möglich, allerdings steht dieser Beschluss unter anhaltender rechtlicher Beobachtung.

Die pragmatische Antwort lautet deshalb: Verarbeitung in der EU, wo immer es geht. Das erspart die gesamte Diskussion. Fragen Sie beim Anbieter nicht allgemein nach DSGVO-Konformität, sondern konkret: Wo genau werden die Daten verarbeitet, welche Unterauftragsverarbeiter sind beteiligt, und sitzt einer davon außerhalb der EU?

Checkliste vor dem Einsatz

• Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO abgeschlossen.
• Rechtsgrundlage bestimmt und, falls berechtigtes Interesse, die Abwägung dokumentiert.
• Verarbeitungstätigkeit im Verzeichnis nach Artikel 30 DSGVO ergänzt.
• Datenschutzerklärung um den Telefonassistenten erweitert.
• Entschieden, ob aufgezeichnet wird. Falls ja: Einwilligung vor der Aufzeichnung und echte Alternative.
• Serverstandort geklärt und Unterauftragsverarbeiter geprüft.
• Löschfristen festgelegt und im Vertrag verankert.
• Bei Gesundheitsdaten oder Berufsgeheimnisträgern: zusätzliche Anforderungen aus Artikel 9 DSGVO und § 203 StGB berücksichtigt.

Wer diese acht Punkte abgearbeitet hat, steht auf tragfähigem Grund. Die meisten Probleme in der Praxis entstehen nicht durch die Technik, sondern dadurch, dass einer dieser formalen Schritte übersprungen wurde.