DSGVO und KI-Verordnung beim KI-Telefonassistenten: Was Handwerker beachten müssen

Auf welcher Rechtsgrundlage darf ein KI-Telefonassistent Anruferdaten verarbeiten?

Art. 6 DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage. Bei Anfragen zu Aufträgen kommt vor allem Art. 6 Abs. 1 lit. b in Betracht, also vorvertragliche Maßnahmen auf Anfrage des Anrufers. Daneben kann ein berechtigtes Interesse nach lit. f greifen. Für zusätzliche Zwecke, etwa Aufnahmen, braucht es meist eine Einwilligung.

• Art. 6 Abs. 1 lit. b DSGVO: Der Anrufer möchte einen Auftrag anfragen, die Daten sind dafür nötig.
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse, z. B. Organisation der Rückrufe, mit Abwägung gegen die Interessen des Anrufers.
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, wenn mehr passieren soll als die Bearbeitung der Anfrage.

Welche Grundlage im Einzelfall trägt, hängt von Ihrem Ablauf ab. Halten Sie Ihre Entscheidung im Verzeichnis der Verarbeitungstätigkeiten fest.

Wie informieren Sie Anrufer nach Art. 13 DSGVO?

Art. 13 DSGVO verlangt, dass Betroffene bei der Erhebung erfahren, wer verantwortlich ist, zu welchem Zweck und auf welcher Grundlage Daten verarbeitet werden, wie lange sie gespeichert werden und welche Rechte sie haben. Am Telefon geht das gestuft: ein kurzer Hinweis in der Begrüßung und ein Verweis auf die ausführliche Datenschutzerklärung.

Beispiel (fiktiv, bitte prüfen lassen): „Sie sprechen mit dem KI-Assistenten der Firma Muster Dach. Ich nehme Ihr Anliegen für einen Rückruf auf. Das Gespräch wird nicht aufgezeichnet. Informationen zum Datenschutz finden Sie auf muster-dach.de/datenschutz.“

• Name und Kontakt des Verantwortlichen (Ihr Betrieb)
• Zweck: Aufnahme der Anfrage und Rückruf
• Rechtsgrundlage und Speicherdauer
• Empfänger, z. B. der Anbieter als Auftragsverarbeiter
• Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch und Beschwerde

Brauchen Sie einen Auftragsverarbeitungsvertrag mit dem Anbieter?

Ja, in aller Regel. Der Anbieter verarbeitet die Anruferdaten in Ihrem Auftrag und nach Ihren Weisungen. Art. 28 DSGVO schreibt dafür einen Vertrag zur Auftragsverarbeitung vor, kurz AVV. Er regelt Gegenstand, Dauer, Art der Daten, Weisungsrechte, Unterauftragsverarbeiter, Sicherheitsmaßnahmen und Löschung nach Vertragsende. Ohne AVV sollten Sie keinen Assistenten einsetzen.

• Liegt der AVV vor Vertragsbeginn vor, und ist er unterschrieben oder elektronisch abgeschlossen?
• Sind alle Unterauftragsverarbeiter genannt, etwa für Telefonie, Spracherkennung und Sprachmodell?
• Wie werden Sie über neue Unterauftragsverarbeiter informiert?
• Was passiert mit den Daten nach Kündigung?

Mehr zum Begriff: Auftragsverarbeitung. Weitere Prüffragen in der Anbieter-Auswahl-Checkliste.

Welche Sicherheitsmaßnahmen und Regeln für Drittländer gelten?

Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen, kurz TOM, etwa Verschlüsselung, Zugriffskontrolle und Protokollierung. Werden Daten außerhalb der EU verarbeitet, etwa bei US-Diensten für Sprache oder KI, gelten die Art. 44 ff. DSGVO. Dann braucht es zum Beispiel einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

Lassen Sie sich die TOM als Anlage zum AVV geben. Sie sind Pflichtbestandteil nach Art. 28 Abs. 3 lit. c DSGVO.

Welche Daten darf der Assistent abfragen und wie lange speichern?

Nach Art. 5 DSGVO gelten Datenminimierung und Speicherbegrenzung. Der Assistent soll nur abfragen, was für Rückruf und Einsatz nötig ist: Name, Rückrufnummer, Adresse, Anliegen, Dringlichkeit. Daten werden gelöscht, sobald sie nicht mehr gebraucht werden. Legen Sie feste Löschfristen fest und vermeiden Sie Fragen zu Gesundheit oder anderen sensiblen Themen.

• Nötig: Name, Rückrufnummer, Einsatzadresse, Anliegen, Dringlichkeit, Rückrufzeit.
• Meist unnötig: Geburtsdatum, Bankdaten, Angaben zu Mitbewohnern.
• Vermeiden: Gesundheitsdaten, auch wenn ein Anrufer sie von sich aus erwähnt.
• Löschen: Zusammenfassungen nach Abschluss des Vorgangs oder nach einer festen Frist.

Wer eine Transkription speichert, speichert deutlich mehr Daten als eine kurze Zusammenfassung. Prüfen Sie, ob das für Ihren Zweck nötig ist.

Was verlangt Art. 50 der KI-Verordnung beim Telefonieren?

Art. 50 der KI-Verordnung (EU) 2024/1689 regelt Transparenzpflichten. Personen müssen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Diese Pflichten gelten ab dem 2. August 2026. Ein KI-Telefonassistent sollte sich deshalb gleich zu Beginn jedes Gesprächs klar als KI vorstellen.

• Hinweis am Anfang, nicht erst am Ende.
• Klare Worte („KI“, „künstliche Intelligenz“), keine verschleiernden Formulierungen.
• Die Rollen Anbieter und Betreiber regelt die Verordnung unterschiedlich, klären Sie mit Ihrem Anbieter, wer was übernimmt.

Glossar: Art. 50 KI-Verordnung.

Darf ein KI-Telefonassistent Gespräche aufzeichnen?

Nur mit Einwilligung. § 201 StGB stellt die unbefugte Aufnahme des nichtöffentlich gesprochenen Wortes unter Strafe. Ohne ausdrückliche Zustimmung des Anrufers sollte daher nichts aufgezeichnet werden. Sicherer ist ein Assistent, der standardmäßig nicht aufnimmt und nur eine schriftliche Zusammenfassung erstellt. Ob eine flüchtige Echtzeit-Verarbeitung zulässig ist, sollten Sie prüfen lassen.

Eine Aufnahme ohne Einwilligung kann strafbar sein (§ 201 StGB). Prüfen Sie bei jedem Anbieter, ob und wie aufgezeichnet wird.

• Ist Aufzeichnung standardmäßig aus?
• Wenn sie optional ist: Wie wird die Einwilligung eingeholt und dokumentiert?
• Was passiert, wenn der Anrufer nicht zustimmt?

Mehr zum Begriff: § 201 StGB im Glossar.

Warum sind Arztpraxen und Therapiepraxen ein Sonderfall?

Weil dort fast immer Gesundheitsdaten anfallen. Diese gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und dürfen nur unter engen Voraussetzungen verarbeitet werden. Dazu kommen berufsrechtliche Schweigepflichten. Ein Assistent, der für Handwerksbetriebe gedacht ist, ist für Praxen nicht ohne Weiteres geeignet. Unser geplantes Angebot richtet sich deshalb nicht an Praxen.

Auch im Handwerk kann ein Anrufer Gesundheitsdaten nennen, etwa „Meine Mutter ist pflegebedürftig, die Heizung muss schnell laufen“. Der Assistent sollte solche Angaben nicht gezielt abfragen und nur so weit festhalten, wie es für die Dringlichkeit nötig ist.

Wie ein Assistent im Handwerk praktisch eingesetzt wird, beschreibt der Ratgeber KI-Telefonassistent fürs Handwerk. Schritt für Schritt einrichten: Einrichtungs-Checkliste.

Häufige Fragen