Ein Anruf in der Praxis, Werkstatt oder Gastronomie enthält oft mehr Informationen, als zunächst sichtbar ist: Name, Telefonnummer, Anliegen, Terminwunsch und mitunter Gesundheitsdaten. Die Frage „Ist ein Sprachassistent DSGVO-konform“ entscheidet sich deshalb nicht am Einsatz von KI allein. Entscheidend sind Anbieter, technische Einrichtung, Vertragslage und der Umgang mit den Daten im einzelnen Prozess.

Für kleine und mittlere Unternehmen ist ein Sprachassistent vor allem ein operatives Werkzeug. Er nimmt Anrufe entgegen, erfasst Termine oder Bestellungen, beantwortet Standardfragen und entlastet Mitarbeitende in Stoßzeiten. Gerade weil diese Abläufe nah am Kundenkontakt liegen, muss der Datenschutz von Beginn an mitgeplant werden – nicht erst, wenn die Lösung bereits im Einsatz ist.

Ist ein Sprachassistent DSGVO-konform?

Die kurze Antwort lautet: Er kann DSGVO-konform betrieben werden. Eine pauschale Zusage wäre jedoch unseriös. Die DSGVO bewertet nicht eine Technologie als solche, sondern die konkrete Verarbeitung personenbezogener Daten.

Ein Sprachassistent verarbeitet regelmäßig Daten, sobald er einen Anruf entgegennimmt. Bereits Rufnummer, Stimme, Name oder Gesprächsinhalte können personenbezogene Daten sein. Wenn ein Anrufer einen Werkstatttermin vereinbart, handelt es sich meist um gewöhnliche personenbezogene Daten. Meldet sich ein Patient mit Symptomen oder fragt nach einem medizinischen Termin, können besondere Kategorien personenbezogener Daten betroffen sein. Dafür gelten erhöhte Anforderungen.

Es kommt also darauf an, welche Daten der Assistent benötigt, zu welchem Zweck sie verarbeitet werden, wo sie gespeichert werden und wer Zugriff erhält. Ein System, das nur Rückrufbitten erfasst und anschließend datensparsam an das Team übergibt, stellt andere Anforderungen als ein System, das Gespräche vollständig aufzeichnet, transkribiert und langfristig auswertet.

„Datenschutz wird im Alltag nicht durch ein Label erreicht, sondern durch saubere Prozesse.“ – Carsten Hirschberg

Der Zweck bestimmt den zulässigen Umfang

Ein Sprachassistent sollte nur Informationen abfragen, die für die jeweilige Aufgabe erforderlich sind. Für eine Terminvereinbarung reichen häufig Name, Rückrufnummer, gewünschte Leistung und Terminpräferenz. Eine offene Abfrage nach allen Details eines Anliegens führt dagegen schnell dazu, dass unnötige Daten verarbeitet werden.

Dieses Prinzip der Datenminimierung ist praktisch sehr relevant. Wer einen Telefonagenten einrichtet, sollte jedes Gesprächsszenario prüfen: Welche Frage beantwortet der Assistent? Welche Angabe muss er dafür erfassen? Wird die Angabe später tatsächlich verwendet? Was keinen klaren betrieblichen Zweck hat, sollte nicht abgefragt, gespeichert oder weitergegeben werden.

Auch die Rechtsgrundlage muss zum Vorgang passen. Je nach Einsatzfall kann die Verarbeitung erforderlich sein, um eine Anfrage zu bearbeiten, einen Vertrag anzubahnen oder eine rechtliche Pflicht zu erfüllen. Eine Einwilligung ist nicht automatisch für jedes Telefonat notwendig. Sie wird aber besonders relevant, wenn Gespräche aufgezeichnet oder Daten für Zwecke genutzt werden sollen, die über die unmittelbare Bearbeitung des Anliegens hinausgehen.

Aufzeichnungen verdienen besondere Aufmerksamkeit. Ein Sprachassistent kann arbeiten, ohne die Audiodatei dauerhaft zu speichern. Wird eine Aufzeichnung dennoch benötigt, etwa zur Qualitätssicherung oder Dokumentation, muss der Zweck klar sein, die Information für Anrufende verständlich erfolgen und die Speicherdauer eng begrenzt werden. Bei Gesundheitsdaten oder vergleichbar sensiblen Inhalten ist eine sorgfältige rechtliche Prüfung unverzichtbar.

Auftragsverarbeitung: Der Vertrag gehört zur Umsetzung

Nutzen Unternehmen einen externen Anbieter für den Sprachassistenten, verarbeitet dieser in der Regel Daten im Auftrag des Unternehmens. Dann ist ein Vertrag zur Auftragsverarbeitung erforderlich. Er regelt unter anderem, welche Daten verarbeitet werden, zu welchen Zwecken dies geschieht, welche Sicherheitsmaßnahmen gelten und wie der Anbieter bei Datenschutzvorfällen unterstützt.

In der Praxis sollte nicht nur der Hauptanbieter betrachtet werden. Sprachassistenten bestehen häufig aus mehreren Bausteinen: Telefonie, Spracherkennung, Sprachsynthese, KI-Verarbeitung, Terminsoftware, E-Mail-Versand oder CRM-System. Für jeden Baustein ist zu klären, ob er personenbezogene Daten erhält und ob er als Unterauftragnehmer eingebunden ist.

Besondere Sorgfalt verlangt der Ort der Verarbeitung. Werden Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet, können zusätzliche Anforderungen für internationale Datenübermittlungen entstehen. Unternehmen sollten deshalb transparent nachvollziehen können, welche Dienstleister beteiligt sind, in welchen Regionen Daten verarbeitet werden und welche vertraglichen sowie technischen Schutzmaßnahmen vorgesehen sind.

Ein Anbieterhinweis wie „DSGVO-konform“ kann eine gute Grundlage sein, ersetzt aber nicht die Prüfung des eigenen Einsatzfalls. Datenschutzkonformität entsteht aus dem Zusammenspiel von geeigneter Lösung, sauberer Konfiguration und verantwortlicher Nutzung im Betrieb.

Transparenz am Telefon schafft Klarheit

Anrufende müssen erkennen können, dass sie mit einem automatisierten System sprechen und wie ihre Daten verarbeitet werden. Eine kurze Ansage zu Beginn des Gesprächs ist dafür der richtige Ort. Sie sollte klar formuliert sein, ohne das Gespräch unnötig aufzuhalten.

Je nach Prozess kann die Ansage darauf hinweisen, dass ein digitaler Telefonassistent das Anliegen aufnimmt, die Angaben zur Bearbeitung verarbeitet werden und weiterführende Informationen in den Datenschutzhinweisen verfügbar sind. Wenn eine Aufzeichnung stattfindet, muss dies deutlich und rechtzeitig kommuniziert werden. Wer nicht aufgezeichnet werden möchte, braucht gegebenenfalls eine sinnvolle Alternative, etwa die Weiterleitung an einen Mitarbeitenden oder die Möglichkeit, das Anliegen auf anderem Weg zu übermitteln.

Transparenz ist nicht nur eine formale Pflicht. Sie beeinflusst auch die Akzeptanz. Kunden reagieren meist sachlich auf Automatisierung, wenn sie verstehen, warum sie eingesetzt wird: damit Anrufe nicht verloren gehen, Termine zuverlässig erfasst werden und das Team sich auf die eigentliche Leistung konzentrieren kann.

Technische und organisatorische Maßnahmen im Alltag

Datenschutz zeigt sich besonders deutlich in den Einstellungen, die im Tagesgeschäft leicht übersehen werden. Zugriffsrechte sollten nur den Personen gegeben werden, die Gesprächsdaten für ihre Aufgabe benötigen. Ein Restaurant benötigt beispielsweise keinen Zugriff für alle Mitarbeitenden auf jede Bestellanfrage. Eine Praxis sollte Termin- und Anliegendaten ebenfalls nur im notwendigen Personenkreis verfügbar machen.

Ebenso wichtig sind klare Löschfristen. Gesprächsnotizen dürfen nicht einfach dauerhaft im System verbleiben, weil Speicherplatz verfügbar ist. Die Frist richtet sich nach Zweck und gegebenenfalls bestehenden Aufbewahrungspflichten. Nicht benötigte Audiodateien, Transkripte und Testdaten sollten konsequent gelöscht werden.

Für einen strukturierten Start helfen vor allem fünf Prüfpunkte:

Der Einsatzbereich des Sprachassistenten ist schriftlich definiert, einschließlich der Daten, die er erfassen darf.
Die Rechtsgrundlage und die Information für Anrufende passen zu den einzelnen Gesprächsszenarien.
Ein Vertrag zur Auftragsverarbeitung liegt vor, einschließlich nachvollziehbarer Unterauftragnehmer.
Speicherorte, Zugriffsrechte, Löschfristen und Sicherheitsmaßnahmen sind dokumentiert.
Mitarbeitende wissen, wie sie Auskunfts-, Lösch- oder Korrekturanfragen an die zuständige Stelle weitergeben.

Diese Punkte gehören in das Verzeichnis der Verarbeitungstätigkeiten. Bei Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte betroffener Personen kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein. Das kann etwa bei besonders sensiblen Daten, umfangreicher Auswertung oder komplexer Profilbildung relevant werden. Ob sie notwendig ist, hängt vom konkreten Einsatz ab und sollte im Zweifel fachlich geprüft werden.

Sprachassistenten in sensiblen Branchen

Nicht jedes Unternehmen arbeitet mit denselben Risiken. Für eine Kfz-Werkstatt liegt der Schwerpunkt häufig auf Kontaktdaten, Fahrzeugdaten und Terminwünschen. Hier muss der Assistent keine umfangreichen Gesprächsinhalte erfassen, wenn der Zweck mit wenigen Angaben erfüllt ist.

In Arztpraxen oder therapeutischen Einrichtungen ist die Lage anders. Schon ein Symptom, eine Diagnose oder die Nennung einer Behandlung kann besonders sensibel sein. Der Sprachassistent sollte dort so gestaltet sein, dass er Termine und organisatorische Anliegen entgegennimmt, ohne unnötig medizinische Details abzufragen. Bei der Übergabe an Praxissoftware und beim Zugriff auf Gesprächsinhalte gelten entsprechend höhere Anforderungen.

Auch im B2B-Umfeld ist Zurückhaltung sinnvoll. Ein Telefonagent für Logistik, Einkauf oder Service kann Lieferanfragen und Rückrufwünsche vorsortieren. Vertrauliche Vertragsinformationen, Konditionen oder interne Eskalationen sollten dagegen nicht unkontrolliert in frei formulierten Gesprächsverläufen landen. Eine klare Gesprächsführung ist damit zugleich Datenschutz- und Qualitätsmanagement.

Datenschutz als Teil eines verlässlichen Betriebsprozesses

Ein gut eingerichteter Sprachassistent ersetzt keine Datenschutzorganisation. Er kann aber sinnvoll in sie eingebunden werden. Das gelingt, wenn Zuständigkeiten klar sind: Wer prüft Änderungen an Gesprächsskripten? Wer kontrolliert die Datenflüsse bei neuen Integrationen? Wer reagiert, wenn ein Anrufer seine Daten berichtigen oder löschen lassen möchte?

Gerade bei KI-gestützten Lösungen verändern neue Funktionen die Datenverarbeitung schnell. Eine nachträglich aktivierte Gesprächsanalyse, ein neues CRM-Modul oder eine zusätzliche E-Mail-Zusammenfassung kann eine Neubewertung erforderlich machen. Deshalb gehört Datenschutz nicht nur in die Beschaffungsphase, sondern in die laufende Optimierung.

Der wirtschaftliche Nutzen eines Telefonagenten entsteht durch zuverlässig bearbeitete Anrufe. Seine langfristige Akzeptanz entsteht durch einen Umgang mit Kundendaten, der nachvollziehbar, zurückhaltend und professionell bleibt. Wer diese beiden Perspektiven zusammenführt, schafft einen Prozess, der im Tagesgeschäft entlastet und das Vertrauen der Anrufenden respektiert.

„Mehr über unsere Seminare finden Sie hier: www.mehrwertseminare.de – Mehr über unsere Online-Fortbildung hier: www.mehrwertseminare.digital“.