Dieser Leitfaden ist eine technische und organisatorische Beschaffungshilfe für DACH-Unternehmen. Er ersetzt keine rechtliche Beurteilung des konkreten Einsatzes. Die offiziellen Quellen wurden am 26. September 2026 geprüft; nationale Aufzeichnungsregeln und branchenspezifische Pflichten müssen passend zum Betrieb bewertet werden.
Das Wichtigste in Kürze
Die wichtigsten Punkte für die Datenschutzprüfung eines KI-Telefonassistenten sind:
- Fünf Datenobjekte sind getrennt zu erfassen: Audio während des Gesprächs, gespeicherte Aufnahme, Transkript, Zusammenfassung und CRM- oder Kalendereintrag.
- Die Information, dass eine KI antwortet, ist etwas anderes als die rechtliche Beurteilung einer Tonaufnahme.
- Testen Sie die Löschung mit einem synthetischen Testkontakt, einschließlich Export, Benachrichtigung, Fehlerliste und Sicherungskopien.
01 / 10
Warum den Zweck vor der Produktauswahl festlegen?
Beschreiben Sie zunächst, warum der Assistent eingesetzt wird. Rückrufaufnahme, Terminverwaltung, Gesprächsanalyse und Training eines Modells sind unterschiedliche Zwecke. Die Daten, die für einen Rückruf benötigt werden, rechtfertigen nicht automatisch jede zusätzliche Analyse oder dauerhafte Speicherung des gesamten Gesprächs.
Die DSGVO enthält unter anderem Grundsätze für Zweckbindung, Datenminimierung und Speicherbegrenzung. Eine geeignete Rechtsgrundlage muss für die tatsächliche Verarbeitung bestimmt werden. Bei besonderen Kategorien wie Gesundheitsdaten kommen zusätzliche Voraussetzungen hinzu. Offizieller DSGVO-Text, insbesondere Artikel 5, 6 und 9
Für die Planung hilft eine enge Aufgabenbeschreibung: Der Assistent nimmt Name, bestätigten Rückkontakt und ein knappes Anliegen auf. Er fragt nicht standardmäßig nach weiteren persönlichen Angaben, die das Team für diesen Vorgang nicht benötigt. Die konkret notwendigen Felder hängen von der Aufgabe ab.
02 / 10
Welche Datenobjekte sollten Sie bei einem KI-Telefonat prüfen?
Prüfen Sie diese fünf Datenobjekt-Kategorien getrennt und dokumentieren Sie, welche der tatsächliche Ablauf erzeugt oder speichert.
| Datenobjekt | Typische Frage | Zu dokumentierende Entscheidung |
|---|---|---|
| Audio während des Gesprächs | Welche Dienste erhalten Sprache? | Verarbeitungsweg und beteiligte Anbieter |
| Gespeicherte Aufnahme | Wird Ton dauerhaft abgelegt? | Zweck, Zulässigkeit, Zugriff und Frist |
| Transkript | Wer kann den vollständigen Text lesen? | Notwendigkeit und Speicherorte |
| Zusammenfassung | Welche Details gelangen an Mitarbeiter? | Inhalt, Empfänger und Korrekturweg |
| CRM- oder Kalendereintrag | Welche Aktion bleibt im Fachsystem? | Verantwortlichkeit und dortige Aufbewahrung |
„Wir speichern keine Aufnahmen“ kann wahr sein, während umfangreiche Transkripte dauerhaft bestehen bleiben. Umgekehrt kann ein flüchtiger Audioprozess ohne dauerhafte Tondatei trotzdem personenbezogene Daten verarbeiten. Beschreiben Sie deshalb die tatsächlichen Objekte und deren Lebensdauer statt nur die sichtbare Benutzeroberfläche.
Erfassen Sie zusätzlich technische Protokolle, Fehlerlisten und Exporte. Ein gelöschter Datensatz im Hauptsystem kann als Kopie in einem Supportticket oder einer automatisch verschickten E-Mail weiterbestehen. Diese Kopien gehören in die Prüfung.
03 / 10
Wer ist verantwortlich, und welche Dienstleister sind beteiligt?
Verantwortlicher und Auftragsverarbeiter. Klären Sie, welche Partei die Zwecke und wesentlichen Mittel bestimmt und welche Partei im Auftrag verarbeitet. Benötigte Vereinbarungen müssen den tatsächlichen Dienst abdecken. Die DSGVO regelt Auftragsverarbeitung in Artikel 28; eine Produktbroschüre ist keine solche Vereinbarung.
Unterauftragnehmer. Fordern Sie eine nachvollziehbare Liste der beteiligten Unterauftragnehmer und deren Aufgaben. Fragen Sie, welche Dienste Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe, Hosting und Support bereitstellen. Ein einziges europäisches Rechenzentrum im Diagramm bedeutet nicht, dass jeder Verarbeitungsschritt dort stattfindet.
Supportzugriffe und eigene Anbieterzwecke. Prüfen Sie auch Zugriffe für Wartung und Support sowie eine mögliche Nutzung für eigene Anbieterzwecke. Aussagen wie „kein Training“ sollten sich auf die betreffenden Daten, Produkte und vertraglichen Einstellungen beziehen. Lassen Sie unklare Begriffe konkretisieren, statt eine allgemeine Zusage auf sämtliche Unterdienste zu übertragen.
04 / 10
Erlaubt die Offenlegung des KI-Einsatzes auch eine Gesprächsaufzeichnung?
EU-Transparenzpflichten. Eine verständliche Information darüber, dass eine KI antwortet, ist etwas anderes als die rechtliche Beurteilung einer Tonaufnahme. Die EU-Kommission erläutert die Transparenzpflichten für bestimmte KI-Systeme nach Artikel 50, die seit August 2026 anwendbar sind. Daraus folgt keine pauschale Erlaubnis zur Aufzeichnung.
Deutschland. In Deutschland ist zusätzlich die Vertraulichkeit des nichtöffentlich gesprochenen Wortes relevant; der offizielle Text von § 201 StGB ist eine wichtige Grundlage. Die konkrete Gestaltung von Information, Einwilligung und Alternativweg sollte rechtlich geprüft werden.
Schweiz und Österreich. Für die Schweiz erklärt der EDÖB das Zusammenspiel von Datenschutz- und Strafrecht bei Gesprächsaufzeichnungen, einschließlich bestimmter Ausnahmen. Diese dürfen nicht ungeprüft auf beliebige Qualitäts- oder Trainingszwecke übertragen werden. Auch für Österreich ist eine eigene Beurteilung nötig; eine deutsche Ansage ist keine universelle DACH-Vorlage.
05 / 10
Ein Beispiel für sparsame Rückrufaufnahme
Synthetischer Fall: Ein Dienstleistungsbetrieb möchte außerhalb der Bürozeit Rückrufwünsche sammeln. Der Vorgang benötigt einen Namen, eine bestätigte Nummer, das Anliegen und eine gewünschte Erreichbarkeit. Eine Tonaufnahme ist nicht Teil des fachlich beschriebenen Ergebnisses.
Die Beschaffung prüft daher zunächst, ob der Dienst diese Aufnahme ohne dauerhafte Tondatei umsetzen kann und welche Transkript- oder Protokollreste trotzdem entstehen. Eine kurze Zusammenfassung geht an das zuständige Team. Ausführliche persönliche Schilderungen, die für den Rückruf nicht erforderlich sind, werden nicht bewusst in mehrere Systeme kopiert.
Das Beispiel ist keine rechtliche Freigabe eines bestimmten Anbieters. Es zeigt, wie der Zweck die technische Konfiguration beeinflusst. Wenn später eine Qualitätsanalyse mit Aufnahmen gewünscht wird, ist das eine zusätzliche Entscheidung mit eigener Prüfung und passenden Informationen an Betroffene.
Haben Sie so einen Workflow?
Erzählen Sie uns davon: ehrliche Einschätzung und ein grober Preis, meist innerhalb eines Tages.
06 / 10
Wer erhält Zugriff, und wie wird ein Anrufer geprüft?
Rollen. Die Person, die Öffnungszeiten pflegt, braucht nicht automatisch Zugriff auf alle Gesprächsinhalte. Trennen Sie administrative Konfiguration, Bearbeitung von Anliegen und technische Unterstützung soweit möglich. Dokumentieren Sie Rollen und überprüfen Sie sie bei Mitarbeiterwechseln.
Identität. Eine erkannte Anrufernummer ist kein ausreichender Identitätsnachweis für vertrauliche Auskünfte. Der Assistent darf bei einer mehrdeutigen Zuordnung nicht einfach den zuerst gefundenen Kontakt verwenden. Für Änderungen oder Auskünfte ist ein angemessenes, vorab definiertes Verfahren nötig.
Technische Berechtigungen. Begrenzen Sie auch technische Aktionen. Eine Integration für Rückrufaufgaben benötigt nicht zwangsläufig Zugriff auf sämtliche Kundendaten oder Löschrechte im gesamten CRM. Prüfen Sie Berechtigungen anhand der tatsächlich erlaubten Aktionen und nicht nur anhand der Standardanforderungen eines Connectors.
Anrufe für Dritte. Testen Sie in dieser Prüfung auch mehrdeutige Anrufe und Anrufe für Dritte. Wer für ein Familienmitglied, einen Mieter oder einen Kollegen anruft, kann ein berechtigtes Anliegen haben; der passende Umgang hängt aber von der Aufgabe ab. Das Modell sollte dem Prozess des Unternehmens folgen, statt eine Berechtigung aus einem sicheren Auftreten im Gespräch abzuleiten.
07 / 10
Wie testen Sie die Löschung praktisch?
Verwenden Sie einen synthetischen Testkontakt und verfolgen Sie dessen Daten durch den gesamten Ablauf. Prüfen Sie anschließend, welche Objekte gelöscht werden können, welche nach einer festgelegten Frist verschwinden und welche aus anderen begründeten Anforderungen im Fachsystem bleiben müssen.
Betrachten Sie Hauptsystem, Transkriptansicht, Aufnahme, Export, Benachrichtigung und Fehlerliste. Klären Sie, wie Sicherungskopien behandelt werden und wie eine Wiederherstellung verhindert, dass bereits gelöschte Inhalte wieder regulär verfügbar werden. Verlangen Sie eine konkrete Beschreibung der Fristen und Zuständigkeiten.
Auch Auskunft und Berichtigung benötigen einen Weg. Wenn eine KI einen Namen falsch zusammenfasst, sollte eine Korrektur im bearbeiteten Vorgang möglich sein. Eine fehlerhafte Aussage darf nicht ungeprüft als gesicherte Kundeninformation in mehreren Systemen weiterlaufen.
08 / 10
Was gehört in die Datenflussübersicht für die Beschaffung?
Eine kurze Datenflussübersicht für einen KI-Telefonassistenten hält diese Punkte fest:
- Zweck
- Datenobjekte
- Dienstleister
- Speicherorte
- Zugriffe
- Fristen
- erlaubte Aktionen
Ergänzen Sie offene Fragen und die verantwortliche Person für deren Klärung. Bei höherem Risiko ist zu prüfen, ob weitere Bewertungen wie eine Datenschutz-Folgenabschätzung erforderlich sind.
Für den Vertrag sind nachvollziehbare Antworten wichtiger als allgemeine Etiketten. Lassen Sie sich zeigen, wo die relevanten Einstellungen liegen und wie Änderungen an Unterauftragnehmern oder Verarbeitungswegen mitgeteilt werden. Nach wesentlichen Produktänderungen muss die Übersicht erneut zum tatsächlichen System passen.
Der konkrete nächste Schritt ist eine gemeinsame Prüfung durch Fachbereich, technische Betreuung und zuständige Datenschutz- beziehungsweise Rechtsfunktion. Ein klar begrenzter Zweck und ein sichtbarer Datenweg machen diese Prüfung wesentlich belastbarer.
09 / 10
Arbeitsblatt zum Mitnehmen
Arbeitsblatt
Die Tabelle als editierbares CSV herunterladen
| Gegenstand | Frage an Anbieter und Betrieb | Benötigtes Dokument |
|---|---|---|
| Audio | Wird nur verarbeitet oder zusätzlich gespeichert? | Datenfluss und konkrete Einstellungen |
| Transkript | Ist der vollständige Wortlaut erforderlich? | Zweck und Aufbewahrungsentscheidung |
| Modellanbieter | Welche Inhalte erhalten welche Dienstleister? | Vertrags- und Unterauftragnehmerübersicht |
| Zugang | Wer kann Gespräche lesen oder anhören? | Rollenliste und Zugriffsprüfung |
| Löschung | Wie verschwinden Kopien aus Folgesystemen? | Löschablauf einschließlich Ausnahmen |
| Betroffenenanfrage | Wie wird ein Vorgang gefunden? | Verantwortlicher und Suchverfahren |
Spalten zum Ausfüllen in der Datei: Eigener Wert / Beobachtung, Verantwortlich, Nächster Schritt.
Die Tabelle als editierbares CSV herunterladen (CSV). Ergänzen Sie Ihre Werte, Zuständigkeiten und offenen Punkte. Die Vorlage enthält keine gemessenen Kundenergebnisse.
10 / 10
Passende nächste Schritte
Diese Seiten behandeln die Leistungsübersicht und die angrenzenden Entscheidungen zum Datenschutz beim KI-Telefonassistenten:
- KI-Telefonassistent für Unternehmen: Funktionen und Grenzen
- Bestehende Rufnummer mit einem KI-Telefonassistenten nutzen
- Telefonassistent im Betrieb: Fehler, Latenz und Ausfälle messen
- KI-Verordnung für KMU: konkrete Nutzung und Pflichten prüfen
Für eine konkrete Ablaufprüfung reichen zunächst eine Prozessbeschreibung, die beteiligten Systeme und typische Ausnahmen. Mit modernagents besprechen.
