Ein KI-Telefonassistent darf in Deutschland Anrufe annehmen, wenn einige Punkte vorher geklärt sind. Anrufer müssen zu Beginn erfahren, dass sie mit einer KI sprechen. Das verlangt der EU AI Act seit dem 2. August 2026. Für die Gesprächsdaten gilt die DSGVO: Du brauchst eine Rechtsgrundlage, musst Anrufer informieren und mit den Dienstleistern, die Gesprächsdaten in deinem Auftrag verarbeiten, Verträge zur Auftragsverarbeitung schließen. Wer Gespräche zusätzlich als Audio aufzeichnen will, braucht dafür die Einwilligung des Anrufers.
Dieser Artikel ordnet die wichtigsten Punkte ein, Stand Oktober 2026 und bezogen auf Deutschland. Er ist keine Rechtsberatung. Die Bewertung für dein Unternehmen gehört zu einem Anwalt oder deinem Datenschutzbeauftragten. Wir beschreiben, worauf es ankommt und wie wir die Technik bauen, damit diese Prüfung leichtfällt.
Anrufer müssen wissen, dass sie mit einer KI sprechen
Artikel 50 des AI Act schreibt vor, dass Menschen informiert werden, wenn sie direkt mit einem KI-System interagieren. Eine Ausnahme gibt es nur, wenn das für einen aufmerksamen, durchschnittlich informierten Menschen ohnehin offensichtlich ist. Am Telefon mit einer natürlich klingenden Stimme ist es das gerade nicht. Die Information muss spätestens bei der ersten Interaktion kommen, also am Anfang des Gesprächs.
Die EU hat mit dem sogenannten Digital Omnibus zwar Fristen im AI Act verschoben, vor allem für Hochrisiko-Systeme. Die Transparenzregeln gelten laut EU-Kommission trotzdem seit August 2026.
Formal richtet sich die Pflicht an den Anbieter des KI-Systems. Für dich als Unternehmen, das den Assistenten einsetzt, ist die Sache trotzdem einfach: Die Ansage gehört an den Anfang jedes Gesprächs. Sie kostet nichts. Und wer sich getäuscht fühlt, legt eher verärgert auf als jemand, der von Anfang an Bescheid weiß. Eine Ansage kann so klingen: „Guten Tag, Sie sprechen mit der KI-Assistenz von [Firmenname]. Ich nehme Ihr Anliegen auf und gebe es an unser Team weiter. Hinweise zum Datenschutz finden Sie auf unserer Website.“ Ein vager Begriff wie „digitale Assistenz“ lässt offen, ob ein Mensch spricht. Sicherer ist es, das Wort KI ausdrücklich zu nennen.
Zwei Sonderfälle solltest du kennen. Wer die Stimmung oder Emotionen von Anrufern automatisch auswerten lässt, hat nach dem AI Act zusätzliche Informationspflichten. Für die normale Anrufannahme braucht es das nicht, und wir raten davon ab. Anders sieht es auch aus, wenn die KI Entscheidungen über Menschen vorbereitet, etwa Bewerber am Telefon vorsortiert. KI-Systeme für die Auswahl von Bewerbern zählen nach dem AI Act zu den Hochrisiko-Bereichen. Deren besondere Pflichten greifen nach dem Digital Omnibus zwar erst ab dem 2. Dezember 2027. Ein solcher Einsatz gehört trotzdem schon heute gesondert geprüft, auch wegen der DSGVO.
Für die Gesprächsdaten gilt die DSGVO
Schon während des Gesprächs verarbeitet der Assistent personenbezogene Daten: die Telefonnummer, den Namen, das Anliegen und die Stimme, die in Text umgewandelt wird. Das gilt auch dann, wenn am Ende nichts gespeichert wird. Dafür brauchst du eine Rechtsgrundlage. Meist kommen die Anbahnung eines Auftrags oder ein berechtigtes Interesse an einer geordneten Anrufannahme in Frage. Welche Grundlage bei dir trägt, entscheidet dein Datenschutzbeauftragter oder Anwalt.
Besonders vorsichtig sein müssen Praxen und alle Betriebe, bei denen Anrufer über ihre Gesundheit sprechen. Gesundheitsdaten gehören zu den besonders geschützten Daten, für die strengere Regeln gelten. Dort lohnt es sich, den Assistenten so einzustellen, dass er medizinische Details gar nicht erst abfragt. Er nimmt dann nur Name, Nummer und den Wunsch nach einem Rückruf auf.
Anrufer müssen außerdem erfahren, wer ihre Daten wofür verarbeitet. Üblich ist ein kurzer Hinweis in der Ansage, der auf die ausführlichen Informationen in der Datenschutzerklärung auf deiner Website verweist. Die Datenschutzerklärung ergänzt du dafür um den Telefonassistenten, mit den beteiligten Dienstleistern und den Speicherfristen. Und frag im Gespräch nur ab, was du für den Rückruf wirklich brauchst. Jede zusätzliche Angabe ist ein Datum mehr, das du schützen und irgendwann löschen musst.
Aufnahme, Mitschrift und Protokoll sind nicht dasselbe
Ob und was vom Gespräch gespeichert wird, ist die wichtigste Einstellung überhaupt. Wir unterscheiden drei Stufen.
Die Audioaufnahme. Das nichtöffentlich gesprochene Wort ist in Deutschland strafrechtlich geschützt. Wer ein Telefonat ohne Einwilligung aufnimmt, riskiert eine Strafbarkeit nach § 201 StGB. Eine Aufnahme braucht deshalb einen klaren Hinweis und die Zustimmung des Anrufers, dazu eine Rechtsgrundlage nach der DSGVO. Für die reine Anrufannahme ist eine Aufnahme selten nötig.
Die wörtliche Mitschrift. Ein vollständiges Transkript enthält alles, was gesagt wurde, auch Dinge, die für den Rückruf niemand braucht. Ob schon eine Mitschrift ohne Audio unter § 201 StGB fällt, wird unterschiedlich beurteilt. Nach der DSGVO braucht sie in jedem Fall eine Rechtsgrundlage und feste Löschfristen.
Das Protokoll als Zusammenfassung. Der Assistent hält fest, wer angerufen hat, wie er erreichbar ist und worum es geht. Das ist die sparsamste Variante und reicht für den Rückruf in aller Regel aus. Diese Variante empfehlen wir als Standard. Das Protokoll enthält Name, Rückrufnummer und Anliegen und geht per E-Mail an die zuständige Person oder landet im CRM. Leg zusätzlich fest, wann Protokolle gelöscht werden, etwa wenn der Rückruf erledigt ist und kein Auftrag daraus wurde.
Jeder Dienst im Hintergrund braucht einen Vertrag
Ein KI-Telefonassistent besteht meist aus mehreren Bausteinen: Telefonie, Spracherkennung, Sprachmodell, Stimme und die Automatisierung, die das Protokoll verschickt. Ein Beispiel aus unserer Arbeit: Bei einem Entsorgungsbetrieb für Verpackungsabfall ist die Assistentin mit der Telefonanlage 3CX verbunden, Anrufprotokoll und Rückruf-Mails laufen über n8n. Mehr dazu steht in der Referenz zur KI-Telefonassistentin.
Jeder dieser Dienste verarbeitet Gesprächsdaten in deinem Auftrag, und mit jedem brauchst du einen Vertrag zur Auftragsverarbeitung. Sitzt ein Anbieter außerhalb der EU, etwa in den USA, braucht die Übermittlung eine eigene Grundlage, zum Beispiel eine Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Der Assistent gehört außerdem ins Verzeichnis der Verarbeitungstätigkeiten. Ob zusätzlich eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Einzelfall ab, etwa davon, ob sensible Daten im Spiel sind.
An jeden Anbieter lohnen sich diese Fragen:
- Wo werden die Gesprächsdaten verarbeitet und gespeichert?
- Wie lange bleiben sie dort, und lassen sie sich auf Wunsch löschen?
- Nutzt der Anbieter die Daten, um eigene Modelle zu trainieren, und lässt sich das abschalten?
Ein Siegel oder ein beruhigender Satz auf der Website des Anbieters ersetzt diese Prüfung nicht.
Was ein KI-Telefonassistent nicht tun sollte
Sauber eingesetzt heißt auch, dass der Assistent in seiner Rolle bleibt:
- Verbindliche Zusagen zu Preisen, Terminen oder Leistungen, die niemand geprüft hat, macht er nicht.
- Auskünfte zu Aufträgen oder Rechnungen bekommt nur, wessen Identität feststeht. Am Telefon kann der Assistent das meist nicht prüfen.
- Als Mensch gibt er sich nie aus, auch nicht auf Nachfrage.
- Heikle Fälle, von der Beschwerde bis zum Notfall, reicht er an dein Team weiter.
Für solche Gespräche legen wir vorher fest, woran der Assistent sie erkennt und was er dann tut, meist einen dringenden Rückrufwunsch aufnehmen. Improvisieren soll er an dieser Stelle nicht. Wie das im Alltag eines Betriebs aussieht, beschreibt der Artikel über verpasste Anrufe.
Diese Punkte gehören vor dem Start geklärt
- Ansage mit Hinweis auf die KI und kurzem Datenschutzhinweis
- Rechtsgrundlage für die Verarbeitung, abgestimmt mit dem Datenschutzbeauftragten
- Entscheidung zwischen Audioaufnahme, Mitschrift und reinem Protokoll
- Speicher- und Löschfristen für Protokolle und Gesprächsdaten
- Verträge zur Auftragsverarbeitung mit allen beteiligten Diensten, bei Anbietern außerhalb der EU mit Grundlage für die Übermittlung
- Datenschutzerklärung und Verzeichnis der Verarbeitungstätigkeiten ergänzt
- Zugriffsrechte, also wer im Team welche Protokolle sieht
- Grenzen des Assistenten und Weiterleitung für heikle Fälle
- Testphase mit typischen Gesprächen, bevor echte Kunden anrufen
So gehen wir bei unseren Projekten vor
Die Checkliste oben arbeiten wir bei jedem Projekt vor dem ersten echten Anruf mit dir durch. Der Wortlaut der Ansage, die abgefragten Daten, die Frage nach einer Aufzeichnung und der Weg des Protokolls stehen fest, bevor der Assistent live geht. Die rechtliche Freigabe gibt dein Datenschutzbeauftragter oder Anwalt. Wir liefern ihm die technischen Angaben dafür, also welche Dienste beteiligt sind, wo Daten verarbeitet werden und wie lange sie liegen.
Wer den Einsatz von KI im Unternehmen breiter angehen will, findet auf der Seite zur KI-Beratung unseren Ansatz. Dort geht es auch um die Frage, welche Daten in welchen Ablauf überhaupt fließen dürfen.
Kläre in 20 Minuten, ob ein Assistent zu dir passt
Die kostenlose Potenzialanalyse dauert 20 Minuten. Wir klären darin, zu welchen Zeiten bei dir Anrufe ins Leere laufen, ob sich deine Telefonanlage anbinden lässt und welche Datenschutzfragen vor dem Start noch offen sind. Wie der Assistent technisch aufgebaut ist, zeigt die Seite zum KI-Telefonassistenten. Füll das Formular aus, wir rufen dich zurück.
