KI-Telefonassistent DSGVO-konform einsetzen: Checkliste 2026

Ja, wenn du ihn richtig aufsetzt. Die DSGVO verbietet keine KI am Telefon, sie verlangt eine Rechtsgrundlage, klare Information für Anrufer, einen Vertrag mit dem Anbieter und sichere Verarbeitung.

Verantwortlich bleibst du. Dein Unternehmen legt fest, wofür der Agent Daten verarbeitet. Der Anbieter verarbeitet sie nur in deinem Auftrag und nach deinen Weisungen.

Ein KI-Telefonassistent verarbeitet mehr als die Stimme. Typisch sind diese Daten:

Meist Art. 6 Abs. 1 lit. b DSGVO: Der Anrufer will einen Termin, eine Auskunft oder einen Auftrag, und dafür verarbeitest du seine Daten. Für jeden weiteren Zweck brauchst du eine eigene Grundlage.

Für eine Aufzeichnung holst du eine Einwilligung ein (lit. a). Auswertungen zur Qualität kannst du auf ein berechtigtes Interesse stützen (lit. f), wenn die Interessen der Anrufer nicht überwiegen. Halte diese Abwägung schriftlich fest.

Informiere Anrufer nach Art. 13 DSGVO. Am Telefon geht das gestuft: Wer du bist, wofür du die Daten nutzt und welche Rechte bestehen, nennst du im Gespräch, den Rest lieferst du per Link oder E-Mail. So beschreiben es die Transparenz-Leitlinien der Artikel-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat.

Sprechen Anrufer über ihre Gesundheit, etwa in einer Arztpraxis, gelten die strengeren Regeln für besondere Kategorien nach Art. 9 DSGVO. Prüfe dann auch, ob du eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO brauchst.

Ja. Der Anbieter verarbeitet Gesprächsdaten in deinem Auftrag, dafür schreibt Art. 28 DSGVO einen Vertrag vor, den du auch elektronisch schließen kannst.

Bei Famulor prüfst und unterzeichnest du den AVV im Konto unter Einstellungen → Rechtliches. Das Trust Center ist der laufend aktualisierte Anhang dazu. Es listet alle Unterauftragsverarbeiter mit Zweck, Standort und Übermittlungsgrundlage.

Darauf achtest du im AVV:

Bei Famulor in Frankfurt: Die Datenbank läuft in eu-central-1, Aufnahmen und Dateien liegen standardmäßig ebenfalls in der Region Frankfurt. Die Region für die KI-Verarbeitung wählst du pro Workspace: Global, EU Only oder US Only.

Mit der Einstellung EU Only zeigt und nutzt der Workspace laut Trust Center nur EU-Anbieter und EU-Modelle. Wo welche Stimme und welches Modell läuft, steht dort für jeden Anbieter.

Sitzt ein Anbieter außerhalb der EU oder ist ein Zugriff aus einem Drittland nicht ausgeschlossen, braucht es eine Grundlage für die Drittlandübermittlung nach Art. 44 ff. DSGVO. Das Trust Center nennt sie je Anbieter, etwa das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln. Enterprise-Kunden erhalten auf Anfrage ein Transfer Impact Assessment.

Weitere Zusagen laut Trust Center: TLS 1.2 oder höher bei der Übertragung, AES-256 im Ruhezustand, kein Training von Basismodellen mit deinen Audiodaten, Transkripten oder Prompts und Löschfristen von 1 bis 24 Monaten, die du pro Datenkategorie einstellst.

Nur mit Einwilligung. Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt aufnimmt, macht sich nach § 201 StGB strafbar, deshalb holst du die Zustimmung am Anfang ein und startest die Aufnahme erst danach.

Famulor setzt das im Assistenten um: Zum Gesprächsstart läuft eine Einwilligungsansage, der Anrufer stimmt mündlich oder per Tastendruck zu, und das Ergebnis wird revisionssicher beim Anruf gespeichert. Die Aufnahme startet erst nach der Zustimmung, gefragt wird bei jedem Anruf neu.

Deckt die Ansage die Aufzeichnung nicht ab, zeichnet der Assistent nicht auf. Für das Wiedererkennen von Anrufern fragt er eine eigene Einwilligung ab, denn das ist ein anderer Zweck.

Brauchst du keine Aufnahme, schalte sie ab. Mit der PII-Schwärzung ersetzt Famulor personenbezogene Daten wie E-Mail-Adresse, Telefonnummer, IBAN oder Kreditkartennummer im Transkript, bevor es gespeichert wird.

Ja. Seit dem 2. August 2026 verlangt Art. 50 der EU-KI-Verordnung (AI Act), dass Menschen erfahren, dass sie mit einem KI-System sprechen, außer es ist aus dem Kontext offensichtlich.

Der Hinweis muss spätestens bei der ersten Interaktion klar und eindeutig kommen. Am einfachsten sagt der Agent es in der Begrüßung, etwa: „Guten Tag, hier ist die KI-Assistenz der Praxis Sonnenberg. Wie kann ich helfen?“

Famulor prüft das in Workspaces mit der KI-Region EU Only automatisch nach dem Speichern: Begrüßung, Einwilligungstext und Eröffnungs-Prompt werden zusammen bewertet. Fehlt der KI-Hinweis, bleibt der Assistent gesperrt, bis die Eröffnung korrigiert oder im Compliance-Review freigegeben ist.

Verstöße gegen die Transparenzpflichten können nach Art. 99 der KI-Verordnung Bußgelder bis zu 15 Mio. € oder 3 Prozent des weltweiten Jahresumsatzes nach sich ziehen.

Zusätzlich zur DSGVO gilt die Schweigepflicht. Nach § 203 StGB dürfen Berufsgeheimnisträger Geheimnisse gegenüber Dienstleistern nur offenbaren, soweit deren Tätigkeit es erfordert, und sie müssen dafür sorgen, dass der Dienstleister zur Geheimhaltung verpflichtet ist.

Für Kanzleien und Steuerberater konkretisieren § 43e BRAO und § 62a StBerG das: Vertrag in Textform, Verpflichtung zur Verschwiegenheit mit Belehrung über die strafrechtlichen Folgen, Kenntnisnahme nur soweit nötig und klare Regeln für Subunternehmer. Dient ein Dienst unmittelbar einem einzelnen Mandat, braucht es zusätzlich die Einwilligung des Mandanten.

Famulor stellt dafür eine Verpflichtungserklärung zur Verschwiegenheit für Deutschland bereit. Darin verpflichtet Famulor Beschäftigte und eingesetzte Personen in Textform zur Verschwiegenheit, beschränkt die Kenntnisnahme auf das Nötige und meldet Anhaltspunkte für Verstöße spätestens binnen 24 Stunden. Laut Erklärung gilt sie mit Vertragsschluss als vereinbart, auf Wunsch zeichnet Famulor sie gegen.

Für Österreich gibt es eine eigene Erklärung, unter anderem mit Bezug auf § 54 ÄrzteG, § 9 RAO und § 80 WTBG 2017. Kunden mit Sitz in der Schweiz erhalten ein Addendum zum revDSG und zum Berufsgeheimnis nach Art. 321 des Schweizer Strafgesetzbuchs.

Ja, für Rückrufe auf Wunsch und Service-Anrufe ohne Werbung. Für Werbeanrufe verlangt § 7 UWG bei Verbrauchern eine vorherige ausdrückliche Einwilligung und bei Unternehmen eine zumindest mutmaßliche Einwilligung.

Achte zusätzlich auf § 7 Abs. 2 Nr. 2 UWG: Werbung mit einer automatischen Anrufmaschine braucht immer eine vorherige ausdrückliche Einwilligung, auch bei Firmenkunden. Lass vor einer Werbekampagne prüfen, ob dein KI-Agent darunter fällt. Die sichere Wahl sind Werbeanrufe per KI nur mit ausdrücklicher Einwilligung.

Einwilligungen von Verbrauchern in Telefonwerbung dokumentierst du und bewahrst sie fünf Jahre auf (§ 7a UWG). Auch Service-Anrufe brauchen eine Rechtsgrundlage nach Art. 6 DSGVO.

In Famulor legst du pro Kampagne Anruffenster je Wochentag fest. Eine zentrale Sperrliste blockiert Kontakte mit Opt-out und wird direkt vor jedem Wählvorgang geprüft. Ruhezeiten pausieren proaktive Anrufe zusätzlich pro Kanal.