Ein verpasster Anruf kann einen nicht vergebenen Termin, einen verlorenen Auftrag oder eine unbeantwortete dringende Frage bedeuten. Gerade in Praxen, Werkstätten, Gastronomiebetrieben und anderen Dienstleistungsunternehmen soll KI-Telefonie diese Lücke schließen. Damit daraus kein Datenschutzrisiko wird, muss DSGVO-konforme KI-Telefonie von Beginn an als betrieblicher Prozess geplant werden – nicht als bloßes technisches Zusatzmodul.
Ein Sprachagent verarbeitet im Gespräch häufig personenbezogene Daten: Namen, Rückrufnummern, Terminwünsche, Adressen oder Angaben zum konkreten Anliegen. In sensiblen Branchen können auch Gesundheitsdaten oder andere besonders schützenswerte Informationen genannt werden. Entscheidend ist daher nicht, ob ein System künstliche Intelligenz verwendet. Entscheidend ist, welche Daten es zu welchem Zweck verarbeitet, wer darauf zugreifen kann und wie lange sie verfügbar bleiben.
Was DSGVO-konforme KI-Telefonie konkret bedeutet
DSGVO-Konformität entsteht nicht durch ein einzelnes Häkchen in den Einstellungen eines Anbieters. Sie beruht auf einem nachvollziehbaren Zusammenspiel aus klarer Aufgabe, passender Rechtsgrundlage, transparenter Information, technisch-organisatorischen Maßnahmen und kontrollierten Abläufen.
Für einen Telefonagenten sollte der Zweck eng beschrieben sein. Ein Betrieb kann ihn beispielsweise einsetzen, um Termine aufzunehmen, Öffnungszeiten zu erläutern, einfache Fragen zu beantworten oder Rückrufbitten zu erfassen. Diese Aufgaben benötigen andere Daten als eine vollständige Kundenanalyse. Was für die Bearbeitung eines Anrufs nicht erforderlich ist, sollte der Agent weder erfragen noch speichern.
„Ein guter Telefonagent löst konkrete Arbeitsschritte. Er sammelt nicht Daten auf Vorrat.“ – Carsten Hirschberg
Diese Grenze schützt nicht nur die Privatsphäre der Anrufenden. Sie vereinfacht auch den Betrieb. Mitarbeitende erhalten strukturierte Informationen, statt lange Gesprächsprotokolle mit Nebensächlichkeiten auswerten zu müssen.
Rechtsgrundlage: Der Anlass des Anrufs zählt
Die Datenschutz-Grundverordnung verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Bei einer Terminvereinbarung oder einer Bestellung kann die Verarbeitung regelmäßig erforderlich sein, um eine vorvertragliche Anfrage oder einen Vertrag zu bearbeiten. Bei bestehenden Kundinnen und Kunden kann auch die Durchführung der vereinbarten Leistung maßgeblich sein.
Eine Einwilligung ist nicht automatisch für jeden KI-gestützten Telefonkontakt nötig. Sie kann jedoch erforderlich werden, wenn Gespräche aufgezeichnet, für Trainingszwecke verwendet oder über den eigentlichen Bearbeitungszweck hinaus ausgewertet werden sollen. Unternehmen sollten Einwilligung nicht als bequeme Standardlösung behandeln. Sie muss freiwillig, informiert und nachweisbar sein – und sie kann widerrufen werden.
Besondere Vorsicht gilt bei Daten nach Artikel 9 DSGVO, etwa Gesundheitsdaten. Eine Arztpraxis sollte ihren Telefonagenten so gestalten, dass er Termine und organisatorische Anliegen annimmt, ohne detaillierte Diagnosen oder Behandlungsinformationen abzufragen. Wenn sensible Angaben dennoch genannt werden, braucht es eine fachlich geprüfte Grundlage und besonders strenge Schutzmaßnahmen.
Transparenz beginnt vor dem ersten Satz
Anrufende müssen verständlich erfahren, dass sie mit einem KI-System sprechen und wie ihre Daten verarbeitet werden. Eine kurze Ansage zu Gesprächsbeginn schafft Klarheit. Sie sollte den Einsatz des Sprachagenten benennen, auf weiterführende Datenschutzinformationen hinweisen und bei Bedarf eine menschliche Kontaktmöglichkeit anbieten.
Die Ansage muss nicht mit juristischen Formulierungen überladen werden. Sie sollte sachlich erklären, was passiert: Der digitale Telefonassistent nimmt das Anliegen auf, verarbeitet die Angaben zur Bearbeitung und kann auf Wunsch an eine zuständige Person weiterleiten. Die vollständigen Informationen gehören zusätzlich in die Datenschutzerklärung des Unternehmens.
Dort sollten unter anderem Zweck und Rechtsgrundlagen, Kategorien verarbeiteter Daten, Empfänger, Speicherfristen, mögliche Dienstleister sowie die Rechte betroffener Personen beschrieben werden. Werden Anrufdaten außerhalb des Europäischen Wirtschaftsraums verarbeitet, muss auch dieser Umstand transparent und rechtlich sauber abgesichert sein.
Der Anbieter bleibt Dienstleister, die Verantwortung bleibt im Betrieb
Nutzen Unternehmen einen externen Anbieter für KI-Telefonie, verarbeitet dieser häufig Daten im Auftrag. Dann ist in der Regel ein Vertrag zur Auftragsverarbeitung erforderlich. Er regelt verbindlich, welche Daten der Dienstleister verarbeitet, welche Weisungen gelten, welche Sicherheitsmaßnahmen vorgesehen sind und wie nach Vertragsende mit Daten umzugehen ist.
In der Praxis reicht es nicht, einen solchen Vertrag nur abzulegen. Verantwortliche sollten prüfen, welche Unterauftragnehmer der Anbieter einsetzt, wo Sprachdaten und Transkripte verarbeitet werden und ob Zugriffsmöglichkeiten klar begrenzt sind. Auch die Frage, ob Audiodateien, Zusammenfassungen oder Gesprächsverläufe für die Weiterentwicklung allgemeiner KI-Modelle verwendet werden, gehört vor die Einführung auf den Tisch.
Für kleine und mittlere Betriebe ist die zentrale Frage pragmatisch: Kann der Anbieter nachvollziehbar erklären, was mit den Gesprächsdaten geschieht? Unklare Aussagen zu Speicherort, Löschfristen oder Modelltraining sind kein Detail. Sie verhindern eine belastbare Datenschutzbewertung.
Auf diese Punkte kommt es bei der Technik an
Der Sprachagent sollte nach dem Prinzip der Datenminimierung eingerichtet werden. Für eine Rückrufbitte reichen beispielsweise Name, Telefonnummer, Anliegen und bevorzugte Zeit. Eine vollständige Gesprächsaufzeichnung ist dafür meist nicht erforderlich. Wenn eine Textzusammenfassung genügt, reduziert das die Menge gespeicherter Daten deutlich.
Zugriffsrechte müssen zur Rolle passen. Die Werkstattleitung benötigt möglicherweise eine Übersicht offener Aufträge, nicht aber Zugriff auf sämtliche historischen Gesprächsdaten. Ebenso sollten starke Zugangskontrollen, verschlüsselte Übertragung, Protokollierung administrativer Zugriffe und geregelte Löschroutinen Teil des Konzepts sein.
Speicherfristen werden oft zu allgemein festgelegt. Besser ist eine konkrete Entscheidung nach Datenart und Geschäftsvorgang: Eine unbearbeitete Rückrufbitte wird nur so lange vorgehalten, wie sie für die Kontaktaufnahme notwendig ist. Daten, die aus steuerlichen oder vertraglichen Gründen dokumentiert werden müssen, folgen den dafür geltenden Aufbewahrungspflichten. Nicht jede Gesprächsnotiz wird dadurch automatisch zum aufbewahrungspflichtigen Geschäftsbeleg.
Einführung in vier kontrollierbaren Schritten
Eine datenschutzgerechte Einführung beginnt mit dem Anwendungsfall, nicht mit der Stimme des Agents. Zuerst sollte der Betrieb festlegen, welche Anrufe der Agent tatsächlich bearbeiten darf und wann er an Menschen übergibt. Für eine Werkstatt können das Terminwünsche, Statusanfragen und Öffnungszeiten sein. Reklamationen, Preisverhandlungen oder komplexe technische Fragen gehören häufig in eine menschliche Bearbeitung.
Im zweiten Schritt wird der Gesprächsleitfaden erstellt. Gute Leitfäden fragen nur das ab, was für den nächsten Arbeitsschritt nötig ist. Sie enthalten klare Abbruch- und Weiterleitungsregeln, etwa bei Beschwerden, Unsicherheit oder sensiblen Angaben. Auch falsche oder missverstandene Eingaben müssen berücksichtigt werden. Ein Agent darf keine verbindlichen Zusagen erfinden, wenn die Datenlage das nicht hergibt.
Danach folgt die Datenschutzdokumentation. Das Verzeichnis der Verarbeitungstätigkeiten ist anzupassen, der Auftragsverarbeitungsvertrag zu prüfen und die Datenschutzerklärung zu ergänzen. Je nach Umfang, Datenkategorien und Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Diese Bewertung sollte nicht pauschal erfolgen, sondern anhand des konkreten Einsatzes und gegebenenfalls mit Datenschutzbeauftragten oder fachkundiger rechtlicher Beratung.
Im vierten Schritt wird im echten Betriebsablauf getestet. Dabei geht es nicht um eine perfekte Demo, sondern um Fragen aus dem Alltag: Werden Termine korrekt übermittelt? Kann ein Anrufender einen Menschen erreichen? Werden unnötige Daten abgefragt? Kommt die E-Mail-Zusammenfassung nur bei den zuständigen Personen an? Erst solche Tests zeigen, ob Datenschutz und Servicequalität zusammenpassen.
Typische Fehler, die sich vermeiden lassen
Der häufigste Fehler ist eine zu breite Datensammlung. Wer einen Agenten pauschal anweist, „möglichst viele Informationen“ einzuholen, schafft unnötige Risiken und längere Gespräche. Besser sind präzise Felder und eindeutige Zwecke.
Problematisch sind auch heimliche Aufzeichnungen oder eine unklare Kennzeichnung des KI-Einsatzes. Vertrauen entsteht nicht dadurch, dass Anrufende den technischen Charakter des Gesprächs erst später bemerken. Transparenz ist hier nicht nur eine rechtliche Pflicht, sondern eine Frage professioneller Kundenkommunikation.
Ein weiterer Fehler liegt in fehlenden Übergaben. Wenn der Agent bei einer sensiblen Anfrage weiterfragt, obwohl eine qualifizierte Person übernehmen sollte, entsteht ein doppeltes Problem: Die Bearbeitung wird schlechter und es werden möglicherweise Daten verarbeitet, die der Agent gar nicht benötigt. Gute Automatisierung erkennt ihre Grenzen.
Datenschutz als Teil eines funktionierenden Telefonprozesses
KI-Telefonie kann Teams entlasten, wenn sie wiederkehrende Anliegen zuverlässig vorsortiert und außerhalb der Öffnungszeiten erreichbar bleibt. Ihr sinnvoller Einsatz hängt jedoch von der Branche, den Gesprächsinhalten und der vorhandenen Organisation ab. Eine Terminannahme in einem Fitnessstudio stellt andere Anforderungen als ein Telefonprozess in einer medizinischen Praxis.
Wer den Zweck klar begrenzt, Zuständigkeiten festlegt und Datenschutz von Anfang an mitdenkt, schafft eine belastbare Grundlage für den Einsatz. Der beste Telefonagent ist nicht derjenige, der möglichst viel über einen Anruf weiß, sondern derjenige, der das Anliegen korrekt an die richtige Stelle bringt und dabei die Daten der Anrufenden respektiert.
„Mehr über unsere Seminare finden Sie hier: www.mehrwertseminare.de – Mehr über unsere Online-Fortbildung hier: www.mehrwertseminare.digital“.