GDPR compliance AI receptionist
Einhaltung

DSGVO-konforme KI-Rezeptionistin

Ravinaro
11 Mindestlesezeit

DSGVO-konforme KI-Rezeptionistin

Die Einhaltung der DSGVO für eine KI-basierte Telefonzentrale bedeutet, dass jede Anrufaufzeichnung, jedes Transkript und jeder extrahierte Name oder jede Telefonnummer als personenbezogene Daten behandelt wird. Sie müssen die KI den Anrufern offenlegen, eine gültige Rechtsgrundlage verwenden, Aufbewahrungsfristen festlegen, die Speicherung sichern, die Rechte der betroffenen Personen berücksichtigen und jede Auftragsverarbeitung dokumentieren.

Warum die Einhaltung der DSGVO wichtig ist, wenn Sie Anrufe mit einer KI-Rezeptionistin automatisieren

Jeder Anruf, den Ihre KI-Telefonistin entgegennimmt, erzeugt personenbezogene Daten, sobald der Anrufer seinen Namen oder seine Nummer angibt. Die DSGVO behandelt die Rohaufzeichnung, das Texttranskript sowie alle Namen, Telefonnummern oder Adressen, die das System aus dem Gespräch extrahiert, als eigenständige personenbezogene Daten, die rechtlich genauso bedeutsam sind wie ein Aktenschrank voller Papierdokumente. Aufsichtsbehörden haben bereits gezeigt, dass sie nicht nur multinationale Konzerne, sondern auch kleinere Unternehmen bei Fehlern in der Anrufbearbeitung bestrafen werden. Die Verpflichtungen gelten unabhängig davon, ob ein Mensch oder ein KI-System den Anruf entgegennimmt.
Das finanzielle Risiko ist real. Laut GDPR Enforcement Tracker haben EU- und EWR-Behörden bis September 2026 3.215 dokumentierte Durchsetzungsmaßnahmen mit einem Gesamtvolumen von mehreren Milliarden Euro eingeleitet, wobei allein die spanische Datenschutzbehörde (AEPD) für 1.079 dieser Fälle verantwortlich war. Reputationsschäden verschärfen das finanzielle Risiko zusätzlich. Ein Anrufer, der erfährt, dass sein Gespräch ohne sein Wissen aufgezeichnet und analysiert wurde, hat Grund zur Beschwerde, und diese Beschwerde ist in der Regel der Auslöser für eine Untersuchung.
Milliarden Euro an kumulierten DSGVO-Bußgeldern aus 3.215 Durchsetzungsverfahren von EU-/EWR-Behörden (Stand: September 2026). Quelle: GDPR Enforcement Tracker
Ein Kleinunternehmer sitzt an einem Empfangstresen und liest auf dem Bildschirm seines Laptops neben einem klingelnden Bürotelefon ein Gesprächsprotokoll.
Ausgewählte Bußgelder für unrechtmäßige Telefonaufzeichnungspraktiken
Spartoo (Frankreich, 2020) Sehr gut, gut; KG COM (Frankreich, 2023) Mittelgut, gut; SWDE (Belgien, 2026) Leichter, gut

Abbildung personenbezogener Daten im Workflow Ihres KI-Rezeptionisten

Bevor Sie die Daten eines Anrufers schützen können, müssen Sie genau wissen, wohin diese gelangen. In einer typischen KI-gestützten Telefonzentrale werden personenbezogene Daten als Rohaudio über den Telefonanbieter erfasst, anschließend zur Transkription und Absichtsanalyse an die KI-Plattform übertragen und schließlich als Buchungseintrag mit Name, Telefonnummer und Termin in ein CRM- oder Kalendersystem eingefügt. An jedem dieser Punkte besteht die Möglichkeit, dass die Daten kopiert, gespeichert oder offengelegt werden, wenn die Zugriffskontrollen unzureichend sind.
Ihr Unternehmen ist der Datenverantwortliche: Sie entscheiden, warum Anrufe aufgezeichnet werden, wie lange die Daten gespeichert werden und wer Zugriff darauf erhält. Der KI-Anbieter, der Telefonanbieter und das CRM-System sind Auftragsverarbeiter, die in Ihrem Auftrag handeln. Artikel 28 Absatz 1 der DSGVO legt dies in der Praxis klar fest. Wie sowohl das Information Commissioner's Office als auch die Verordnung selbst besagen, „darf der Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bieten, sodass die Verarbeitung den Anforderungen dieser Verordnung entspricht.“ Diese Verpflichtung liegt bei Ihnen, nicht beim Softwareanbieter. Deshalb ist der Vertrag mit dem Anbieter so wichtig. Wenn Sie sich noch nicht für einen Anbieter entschieden haben, sollten Sie sich vor Vertragsabschluss informieren , was Sie vor der Inbetriebnahme eines KI-Agenten vorbereiten sollten .

Wie man eine gültige Einwilligung für KI-gesteuerte Anrufe erhält

Für die Verarbeitung der Daten eines Anrufers ist nicht immer eine Einwilligung erforderlich, und tatsächlich ist die Einwilligung oft die falsche Rechtsgrundlage. Wenn jemand anruft, um einen Termin zu vereinbaren, deckt Artikel 6 Absatz 1 Buchstabe b DSGVO (Vertragserfordernis) die Verarbeitung von Name, Telefonnummer und Termindetails ab, da diese Verarbeitung objektiv notwendig ist, um die Anfrage zu erfüllen. Gemäß den Leitlinien des Europäischen Datenschutzausschusses (EDPB) kann diese Rechtsgrundlage nicht auf sekundäre Nutzungen wie das Training von KI-Modellen oder Marketinganalysen ausgedehnt werden. Hierfür ist entweder eine dokumentierte Abwägung der berechtigten Interessen gemäß Artikel 6 Absatz 1 Buchstabe f oder eine ausdrückliche Einwilligung gemäß Artikel 6 Absatz 1 Buchstabe a erforderlich.
Unabhängig von der Rechtsgrundlage muss jeder Anrufer darüber informiert werden, dass er mit einer KI spricht. Artikel 50 Absatz 1 der EU-KI-Richtlinie, die am 2. August 2026 in Kraft trat, besagt, dass „Anbieter sicherstellen müssen, dass KI-Systeme, die direkt mit natürlichen Personen interagieren sollen, so konzipiert und entwickelt werden, dass die betroffenen natürlichen Personen darüber informiert werden, dass sie mit einem KI-System interagieren.“ Konkret bedeutet dies, dass Ihre KI-Rezeptionistin jedes Gespräch mit einem kurzen Hinweis beginnen sollte, bevor sie auch nur eine Frage stellt. Sie sollte klar und deutlich darauf hinweisen, dass das Gespräch aufgezeichnet werden kann und warum. Wenn ein Anrufer während des Gesprächs Einspruch erhebt, muss das System eine integrierte Möglichkeit bieten, die Aufzeichnung zu stoppen oder an einen Mitarbeiter weiterzuleiten, ohne dass die Buchung verloren geht. Informationen zur genauen Umsetzung dieses Hinweises finden Sie unter „Muss ein KI-Agent seine KI-Identität offenlegen?“ .

Festlegung von Aufbewahrungsfristen und Sicherheitskontrollen für Anrufaufzeichnungen und -protokolle

Telefonaufzeichnungen dürfen nicht unbegrenzt gespeichert werden. Die Richtlinien und Durchsetzungsmaßnahmen der französischen Datenschutzbehörde CNIL und der portugiesischen Datenschutzbehörde CNPD sehen eine maximale Speicherdauer von 30 Tagen für Qualitätskontrollen vor. Diese kann auf maximal sechs Monate verlängert werden, sofern ein dokumentierter betrieblicher Grund vorliegt, und auf bis zu 24 Monate, wenn die Aufzeichnung die Erfüllung eines Fernabsatzvertrags belegt. Das Vorgehen der CNIL gegen KG COM verdeutlichte, dass die unbegrenzte Aufbewahrung von Aufzeichnungen für einen hypothetischen zukünftigen Streitfall ohne konkretes Verfahren gegen den Grundsatz der Datenminimierung gemäß Artikel 5 Absatz 1 Buchstabe e DSGVO verstößt.
  • Automatisches Löschfenster festlegen Konfigurieren Sie Ihre KI-Plattform so, dass die Rohaudiodateien innerhalb von 30 Tagen nach dem Anruf gelöscht werden, oder unmittelbar nach der Transkription, wenn Sie nur die Textaufzeichnung benötigen.
  • Bewahren Sie nur den minimierten Buchungsdatensatz auf. Speichern Sie Name, Telefonnummer und Termindetails im CRM für die Dauer der Kundenbeziehung, nicht das vollständige Protokoll.
  • Verschlüsseln Sie Daten im Ruhezustand und während der Übertragung. Vergewissern Sie sich, dass Ihr Anbieter TLS 1.3 für übertragene Anrufe und AES-256 für gespeicherte Audiodaten und Transkripte verwendet.
  • Beschränken Sie den Zugriff auf Transkripte und Aufzeichnungen auf Mitarbeiter, die diese für Buchungs- oder Qualitätsprüfungszwecke benötigen. Verwenden Sie hierfür rollenbasierte Berechtigungen anstelle gemeinsam genutzter Logins.
  • Sicherstellen, dass die Daten nicht archiviert, sondern auch aus den Backups innerhalb eines definierten Zeitraums gelöscht werden. Prüfen, ob die Löschung tatsächlich Daten aus den Backups entfernt, sondern nur aus der aktiven Datenbank.

Bearbeitung von Anfragen auf Auskunft, Löschung und sonstige Rechte betroffener Personen bezüglich ihrer Daten

Wenn ein Anrufer fragt, welche Daten Sie über ihn speichern, handelt es sich um einen Antrag auf Auskunft gemäß Artikel 15 DSGVO, auf den Sie innerhalb eines Kalendermonats antworten müssen. Fordert er die Löschung seiner Daten, handelt es sich um einen Antrag auf Löschung gemäß Artikel 17 DSGVO, für den dieselbe Frist gilt. Die Schwierigkeit bei KI-gestützten Empfangssystemen besteht darin, dass die Daten eines einzelnen Anrufers in der Regel gleichzeitig in vier verschiedenen Systemen gespeichert sind: den Rohdaten und Metadaten des Telefonanbieters, den Transkripten und Auswertungsprotokollen der KI-Plattform, den Buchungsdatensätzen und Notizen des CRM-Systems sowie der Termineingabe des Kalendertools.
Das ordnungsgemäße Löschen eines Anrufers erfordert die Auslösung der Löschung an allen vier Stellen. Artikel 19 schreibt dies rechtlich vor. Nach der Löschung müssen Sie jeden Datenverarbeiter benachrichtigen, an den die Daten weitergegeben wurden, und bestätigen, dass auch dieser seine Kopie gelöscht hat. Integrieren Sie dies vor der Einführung in Ihre Konfiguration, idealerweise indem Sie Ihren KI-Anbieter fragen, ob ein einzelner Löschbefehl automatisch an verbundene Systeme weitergegeben wird oder ob Ihre Mitarbeiter ihn in jedem Tool manuell ausführen müssen. Bei der Auswahl einer Plattform, die dies gut handhabt, sollten Sie die Compliance-Aspekte zusammen mit den allgemeineren Fragen der Compliance-Richtlinien für KI-Empfangsassistenten für KMU berücksichtigen.

Verfassen einer Datenschutzerklärung, die die KI-Anrufbearbeitung abdeckt

Ihre Datenschutzerklärung muss Angaben darüber enthalten, wer den Anruf verarbeitet, warum, wie lange die Daten gespeichert werden und welche Drittanbieter sie verarbeiten. Ein Anrufer wird sich diese Informationen jedoch nicht am Telefon anhören. Aufsichtsbehörden lösen dieses Problem mit einem sogenannten mehrstufigen Ansatz, wie ihn die Artikel-29-Datenschutzgruppe bezeichnet. In ihren Leitlinien heißt es: „Die erste Ebene sollte in der Regel die wichtigsten Informationen enthalten, nämlich die Einzelheiten zu den Verarbeitungszwecken, die Identität des Verantwortlichen und die Rechte der betroffenen Person.“ In der Praxis bedeutet das eine zehnsekündige Ansage zu Beginn des Anrufs, in der Ihr Unternehmen genannt, bestätigt wird, dass das Gespräch aufgezeichnet werden kann, und dem Anrufer erklärt wird, wie er die vollständige Datenschutzerklärung anhören kann – entweder durch Drücken einer Taste oder über einen Link.
Die zweite Ebene, die vollständige Mitteilung gemäß Artikel 13, kann direkt nach Gesprächsende per SMS oder WhatsApp versendet werden. Hier listen Sie auch Ihren KI-Anbieter und alle weiteren Auftragsverarbeiter namentlich sowie mit den jeweiligen Aufbewahrungsfristen auf. Viele kleine Unternehmen nutzen diese Methode bereits für Terminerinnerungen. Daher lässt sie sich problemlos in die bestehende WhatsApp-Automatisierung für Follow-up-Nachrichten integrieren, anstatt einen separaten Zustellungskanal von Grund auf neu zu entwickeln.

Entscheidung, ob Sie eine Datenschutz-Folgenabschätzung benötigen

Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn Ihre KI-Rezeption mehr tut, als nur einen Namen aufzunehmen und einen Termin zu buchen. Standardmäßige Gesprächsaufzeichnung und -transkription sowie die Umwandlung von Sprache in Text für eine Buchungsbestätigung fallen nicht unter die Sonderkategorienregeln von Artikel 9. Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu virtuellen Sprachassistenten ziehen eine klare Grenze: Stimme wird erst dann zu biometrischen Daten im Sinne von Artikel 9, wenn das System spezifische technische Verfahren zur eindeutigen Identifizierung einer Person durchführt, wie beispielsweise die Erstellung eines Stimmabdrucks, die Sprecherverifizierung oder den Abgleich akustischer Muster mit einem gespeicherten Profil.
Wenn Ihre KI-Telefonzentrale lediglich zuhört, transkribiert und Anrufe entgegennimmt, fallen Sie höchstwahrscheinlich nicht unter Artikel 9. Bietet sie jedoch irgendeine Form der Anrufererkennung per Stimme – sei es aus Sicherheitsgründen oder zur Personalisierung –, so ist allein diese Funktion gemäß Artikel 9 Absatz 2 Buchstabe a) genehmigungspflichtig und erfordert eine Datenschutz-Folgenabschätzung (DSFA) vor der Inbetriebnahme. Laut der spanischen Datenschutzbehörde AEPD ist es für die meisten kleinen Unternehmen am sichersten, alle nicht aktiv benötigten Funktionen zur Stimmerkennung oder Emotionsanalyse zu deaktivieren, da diese das regulatorische Risiko erhöhen, ohne einen entsprechenden betrieblichen Nutzen zu bieten. Ist eine DSFA erforderlich, sollte diese das Risiko automatisierter Entscheidungsfindung bei der Lead-Qualifizierung, die Genauigkeit der Anrufweiterleitung durch die KI und die Folgen einer Fehlklassifizierung der Anruferanfrage bewerten.

Überprüfung Ihres KI-Anbieters und Dokumentation Ihrer Konfiguration

Artikel 30 verpflichtet Sie zur Führung eines schriftlichen Verzeichnisses der Verarbeitungstätigkeiten Ihres KI-basierten Empfangssystems. Dieses Verzeichnis muss die Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, die Kategorien der verarbeiteten Daten und betroffenen Personen, die Empfänger (Telefonanbieter, KI-Plattform, CRM-System, Kalenderanbieter), alle Übermittlungen außerhalb des EWR und die eingesetzten Schutzmaßnahmen, die Aufbewahrungsfristen für jede Datenkategorie sowie eine Zusammenfassung Ihrer Sicherheitsmaßnahmen enthalten. Dieses Dokument ist der Nachweis, den Sie der Aufsichtsbehörde vorlegen, falls diese nach der Funktionsweise Ihrer Anrufbearbeitung fragt. Es muss daher Ihre tatsächliche Konfiguration widerspiegeln und darf keine Standardvorlage sein.
Bevor Sie einen Vertrag mit einem Anbieter von KI-Empfangsassistenten abschließen, prüfen Sie dessen Datenverarbeitungsvereinbarung anhand der acht in Artikel 28 Absatz 3 geforderten Kriterien:
  • Die Bearbeitung erfolgt ausschließlich gemäß Ihren dokumentierten Anweisungen, auch bei internationalen Überweisungen.
  • Vertraulichkeitsverpflichtungen, die alle Personen mit Zugriff auf Ihre Anrufdaten umfassen.
  • Sicherheitsmaßnahmen, die Artikel 32 entsprechen, konkret benannt und nicht vage beschrieben
  • Schriftliche Genehmigung und Weitergabeverpflichtungen vor Hinzufügung eines Unterauftragnehmers
  • Unterstützung bei der Erfüllung von Auskunfts- und Löschungsanträgen innerhalb Ihrer einmonatigen Frist
  • Unterstützung bei der Meldung von Datenschutzverletzungen und der Erfüllung der Datenschutz-Folgenabschätzungspflichten, falls etwas schiefgeht
  • Garantierte Löschung oder Rückgabe aller Daten bei Vertragsende
  • Das Recht, Prüfungen durchzuführen und Nachweise über die Einhaltung anzufordern
Planen Sie regelmäßige Überprüfungen ein – vierteljährlich ist für die meisten kleineren Unternehmen sinnvoll –, um die Aufbewahrungseinstellungen zu prüfen, sicherzustellen, dass sich die Datenschutzvereinbarung nicht ungünstig geändert hat, und zu testen, ob eine Testlöschung tatsächlich alle Daten aus allen verbundenen Systemen löscht. Ergänzen Sie dies mit der operativen Seite der Implementierung: Wenn Sie auch die Systemleistung überwachen, eignet sich der gleiche Überprüfungszyklus gut zur Messung des ROI des KI-Empfangssystems , da Datenschutzkonfiguration und Leistungsoptimierung in der Regel gleichzeitig überprüft werden.

Häufig gestellte Fragen zu DSGVO und KI-Rezeptionisten

Benötige ich eine Einwilligung zur Aufzeichnung eines Gesprächs, das von einer KI-gestützten Telefonistin geführt wird?
Einwilligung ist nicht immer die richtige Rechtsgrundlage. Bei eingehenden Buchungen gilt in der Regel die vertragliche Notwendigkeit gemäß Artikel 6 Absatz 1 Buchstabe b. Sie müssen den Anrufer darüber informieren, dass er mit einer KI spricht und dass das Gespräch aufgezeichnet werden kann.
Wie lange darf ich KI-Anrufaufzeichnungen gemäß DSGVO aufbewahren?
Zur Qualitätssicherung sollten Audioaufnahmen maximal 30 Tage aufbewahrt werden. Diese Aufbewahrungsfrist kann bei Vorliegen eines dokumentierten betrieblichen Grundes auf sechs Monate verlängert werden, oder auf bis zu 24 Monate, wenn die Aufnahme die Vertragserfüllung belegt.
Benötigt eine KI-Empfangskraft eine Datenschutz-Folgenabschätzung?
Wenn das System lediglich transkribiert und protokolliert, ist eine Datenschutz-Folgenabschätzung (DSFA) in der Regel nicht erforderlich. Nutzt es jedoch Stimmprofile, Sprecherverifizierung oder automatisierte Entscheidungsfindung, benötigen Sie vor der Inbetriebnahme eine ausdrückliche Einwilligung und eine DSFA.

Quellen

8 Quellen geprüft
Share X LinkedIn WhatsApp

Written by Ravinaro

We build AI receptionists, WhatsApp agents and booking automation for small businesses. If this post raised a question about your own setup, a short call answers it faster than a search.

Book a call

Keep reading

Related posts