KI Telefonassistenz und Datenschutz: Ein Leitfaden

Du überlegst, einen KI-Telefonassistenten in deinem Unternehmen einzusetzen — aber die Datenschutzfrage lässt dich zögern? Das ist völlig nachvollziehbar. Wenn ein KI-System Telefongespräche entgegennimmt, Namen und Anliegen verarbeitet und vielleicht sogar Termine vereinbart, dann berührt das unweigerlich personenbezogene Daten. Und wo personenbezogene Daten ins Spiel kommen, gilt die DSGVO.

Dieser Leitfaden erklärt dir in verständlicher Sprache, was du wissen musst — ohne Juristendeutsch, ohne Panik, aber mit dem nötigen Ernst für das Thema. Denn richtig aufgestellt ist KI-Telefonassistenz nicht nur rechtlich sauber, sondern auch ein echter Wettbewerbsvorteil.

Was passiert datenschutzrechtlich beim Telefonat mit einer KI?

Wenn jemand anruft und mit einer KI-Assistentin wie Nora spricht, werden personenbezogene Daten verarbeitet. Das beginnt schon mit der Rufnummer des Anrufenden und setzt sich fort mit dem gesprochenen Namen, dem Anliegen und möglichen Termindaten. All das fällt unter Art. 4 DSGVO — und erfordert eine rechtliche Grundlage für die Verarbeitung.

In der Praxis greift hier häufig Art. 6 Abs. 1 lit. b DSGVO: Die Verarbeitung ist erforderlich, um einen Vertrag zu erfüllen oder vorvertragliche Maßnahmen durchzuführen. Ruft jemand an, um einen Termin zu vereinbaren, ist die Datenverarbeitung für genau diesen Zweck notwendig. Daneben kann auch ein berechtigtes Interesse (lit. f) als Grundlage dienen, wenn die Verarbeitung für den Betrieb des Unternehmens objektiv erforderlich ist.

Auftragsverarbeitung: Was bedeutet das?

Wenn du einen KI-Telefonassistenten eines Drittanbieters nutzt, verarbeitet dieser Anbieter personenbezogene Daten in deinem Auftrag. Das nennt sich Auftragsverarbeitung — und dafür schreibt Art. 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag (AVV) vor. Ohne diesen Vertrag bewegst du dich auf dünnem Eis.

Ein seriöser Anbieter stellt dir diesen AVV automatisch zur Verfügung. Bei fonora.ai ist das ein fester Bestandteil der Zusammenarbeit — Nora wird rechtssicher als Auftragsverarbeiterin eingebunden, sodass du auf der sicheren Seite bist.

Transparenz gegenüber Anrufenden: Was musst du kommunizieren?

Hier ist ein Punkt, der in der Praxis häufig unterschätzt wird: Anrufende müssen wissen, dass sie mit einem KI-System sprechen — und dass ihre Daten verarbeitet werden. Das ist kein nettes Extra, sondern datenschutzrechtlich geboten und auch eine Frage des Vertrauens.

Konkret bedeutet das: Nora stellt sich zu Beginn des Gesprächs als KI-Assistentin vor. Keine versteckte Verarbeitung, kein Vortäuschen eines menschlichen Mitarbeiters. Diese Transparenz ist nicht nur rechtlich korrekt, sondern schafft auch bei Anrufenden Klarheit und Vertrauen.

Zusätzlich empfiehlt es sich, in der Datenschutzerklärung auf deiner Website die KI-Telefonassistenz zu erwähnen — inklusive Zweck der Verarbeitung, Speicherdauer und möglicher Weitergabe an weitere Systeme wie dein CRM oder deinen Terminkalender.

Wo werden die Daten gespeichert?

Eines der drängendsten Datenschutzthemen rund um KI-Systeme ist die Frage des Speicherorts. Werden Gesprächsdaten auf Servern in den USA verarbeitet? Kommt es zu einer Übermittlung in Drittstaaten ohne angemessenes Datenschutzniveau?

Das sind keine hypothetischen Fragen — sie entscheiden darüber, ob eine Verarbeitung überhaupt DSGVO-konform möglich ist. Drittstaatenübermittlungen ohne Standardvertragsklauseln oder andere geeignete Garantien (Art. 46 DSGVO) sind nicht zulässig.

Bei fonora.ai wird konsequent auf europäische Infrastruktur gesetzt. Daten bleiben in der EU, und die eingesetzten Technologien sind auf europäische Datenschutzstandards ausgerichtet. Das ist kein Marketing-Versprechen, sondern Grundvoraussetzung für den rechtssicheren Betrieb.

Speicherdauer und Löschkonzept

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist — Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Das gilt auch für Gesprächsprotokolle und Mitschriften, die ein KI-Telefonassistent anlegt.

Folgende Punkte solltest du mit deinem Anbieter klären:

• Wie lange werden Gesprächsdaten und Transkripte gespeichert?
• Gibt es automatische Löschfristen?
• Wie werden Löschanfragen von Betroffenen umgesetzt?
• Wer hat intern Zugriff auf die gespeicherten Daten?

Viele Unternehmen stellen fest, dass das Thema Löschkonzept bei der Einführung neuer digitaler Tools oft zu spät auf den Tisch kommt. Mit einem guten Anbieter klärst du das von Anfang an — bevor die ersten Gespräche geführt werden.

Besondere Kategorien von Daten: Achtung bei Gesundheitsbranchen

Für Betriebe in Gesundheitsberufen — also Zahnarztpraxen, Tierarztpraxen, Apotheken oder Physiotherapiepraxen — gelten besondere Anforderungen. Gesundheitsdaten sind nach Art. 9 DSGVO besonders schützenswerte Daten, für deren Verarbeitung erhöhte Anforderungen gelten.

Das bedeutet nicht, dass KI-Telefonassistenz hier ausgeschlossen ist. Aber es bedeutet, dass die Einbindung sorgfältig konzipiert sein muss: Nora nimmt Termine entgegen und leitet weiter — sie verarbeitet keine medizinischen Diagnosen oder Behandlungsinformationen. Der Umfang der Datenverarbeitung wird klar begrenzt, und die technischen sowie organisatorischen Maßnahmen (TOMs) müssen dem erhöhten Schutzbedarf entsprechen.

Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verpflichtet dich als Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Bei KI-Telefonsystemen bedeutet das unter anderem:

• Verschlüsselte Datenübertragung (mindestens TLS)
• Zugriffskontrollen: Wer darf Gesprächsaufzeichnungen einsehen?
• Regelmäßige Überprüfung der eingesetzten Systeme
• Dokumentation der Verarbeitungstätigkeiten im Verzeichnis nach Art. 30 DSGVO

Das Verarbeitungsverzeichnis ist dabei ein Punkt, den viele kleinere Betriebe vernachlässigen. Dabei ist es Pflicht für jeden Verantwortlichen — und die Einführung eines KI-Telefonassistenten ist ein guter Anlass, das Verzeichnis zu aktualisieren oder erstmals anzulegen.

Was du als Unternehmen konkret tun solltest

Datenschutz bei KI-Telefonassistenz ist kein einmaliges Projekt, sondern ein laufender Prozess. Diese Schritte helfen dir, sauber aufgestellt zu sein:

1. AVV abschließen — noch bevor das System live geht.
2. Datenschutzerklärung aktualisieren — KI-Telefonassistenz transparent benennen.
3. Verarbeitungsverzeichnis ergänzen — den neuen Verarbeitungsprozess dokumentieren.
4. Speicherdauer festlegen — klare Löschfristen mit dem Anbieter vereinbaren.
5. Team informieren — wer hat intern Zugriff, wer ist zuständig?

Du musst das nicht alleine durchdenken. Ein guter KI-Telefonassistenz-Anbieter begleitet dich durch diesen Prozess und stellt die nötigen Unterlagen bereit. Genau das ist bei fonora.ai der Anspruch: Nora kommt nicht als Blackbox, sondern mit einem vollständigen Datenschutzpaket.