KI-Telefonassistent und DSGVO: was kleine Betriebe wirklich beachten müssen

07. Juli 202610 Min. Lesezeit

Du überlegst, einen KI-Telefonassistenten einzusetzen — und irgendwo im Hinterkopf meldet sich die Stimme: „Darf ich das überhaupt? Was ist mit dem Datenschutz?" Berechtigte Frage. Denn ja: Ein KI-Telefonassistent verarbeitet personenbezogene Daten, und die DSGVO gilt auch für den Zwei-Mann-Betrieb. Die gute Nachricht: Das Thema ist deutlich weniger kompliziert, als es die üblichen Angst-Artikel klingen lassen. Du brauchst kein Jurastudium — du brauchst vier Dinge, die du bei jedem Anbieter prüfst, und ein paar saubere Gewohnheiten im eigenen Betrieb.

Genau das bekommst du hier: eine Klartext-Checkliste zu KI-Telefonassistent und DSGVO, konkrete Beispiele für Physiopraxis, Friseursalon, Kfz-Werkstatt und Handwerksbetrieb — und ehrliche Hinweise, wo du selbst ran musst.

Wichtig: Das ist keine Rechtsberatung. Dieser Artikel fasst allgemein zugängliche Anforderungen der DSGVO verständlich zusammen. Für deinen konkreten Fall — vor allem, wenn du Gesundheitsdaten verarbeitest — sprich mit einer Datenschutzberatung oder deiner Kammer. Die zitierten Gesetzestexte findest du verlinkt im Text.

Warum die DSGVO beim KI-Telefonassistenten überhaupt greift

Kurz gesagt: Sobald der Assistent ans Telefon geht, fließen personenbezogene Daten. Typischerweise sind das:

Die Stimme und die Rufnummer des Anrufers
Name und Anliegen („Hier ist Frau Meier, ich brauche einen Termin für meine Rückenschmerzen")
Aufnahme, Transkript und Zusammenfassung des Gesprächs, wenn dein System das speichert
Je nach Branche auch besonders geschützte Daten — dazu gleich mehr

Verantwortlich dafür bist du als Betrieb, nicht der Software-Anbieter. Der Anbieter verarbeitet die Daten in deinem Auftrag — und genau deshalb dreht sich die halbe Checkliste um die Frage, ob er das sauber tut.

Das klingt nach Last, ist aber auch ein Filter: Wer die vier Punkte unten nicht beantworten kann, fällt raus. So einfach kannst du dir die Anbieterauswahl machen. Eine ausführlichere Fragenliste für Verkaufsgespräche findest du in unseren 15 Fragen an jeden KI-Telefonassistent-Anbieter.

Die Klartext-Checkliste: 4 Punkte, die du bei jedem Anbieter prüfst

1. AVV — der Vertrag, ohne den nichts geht

AVV steht für Auftragsverarbeitungsvertrag (englisch oft „DPA"). Das ist der Vertrag zwischen dir und dem Anbieter, der regelt: Der Anbieter verarbeitet die Anruferdaten nur nach deiner Weisung, sichert sie ab und darf sie nicht für eigene Zwecke nutzen. Ohne AVV verstößt du gegen Art. 28 DSGVO — unabhängig davon, wie gut die Technik ist.

Klartext-Prüfung: Frag den Anbieter: „Wo finde ich euren AVV, und welche Subunternehmer (Subprozessoren) stehen drin?" Ein seriöser Anbieter hat den AVV griffbereit, oft direkt zum Online-Abschluss. Wenn du erst dreimal nachhaken musst oder nur ein „das machen wir schon DSGVO-konform" zurückkommt: Finger weg.

Achte in der Subprozessoren-Liste besonders darauf, wer die Sprach-KI betreibt — die eigentliche KI läuft bei fast allen Anbietern nicht im eigenen Keller, sondern bei spezialisierten Dienstleistern. Das ist normal und in Ordnung, solange es transparent im AVV steht.

2. Datenstandort — wo liegen Aufnahmen und Transkripte?

Die DSGVO verbietet nicht pauschal, dass Daten außerhalb der EU verarbeitet werden — aber sie stellt Bedingungen daran, und für dich als kleinen Betrieb ist die einfachste Antwort die beste: Speicherung in der EU.

Klartext-Prüfung: Zwei Fragen an den Anbieter:

„Wo werden Gesprächsaufnahmen und Transkripte gespeichert?" — Wunschantwort: Rechenzentrum in der EU.
„Fließen Sprachdaten zur Verarbeitung in Drittländer, z. B. in die USA — und wenn ja, auf welcher Rechtsgrundlage?" — Hier ist eine ehrliche, konkrete Antwort (etwa Verweis auf anerkannte Übermittlungsmechanismen) besser als ein ausweichendes „alles sicher".

Ein Anbieter, der die Frage nicht beantworten kann, kennt seine eigene Datenkette nicht. Das ist das eigentliche Warnsignal.

3. Einwilligung und Information — was Anrufer wissen müssen

Zwei Dinge werden hier gern verwechselt:

Information ist Pflicht. Anrufer müssen erfahren, dass sie mit einem automatischen System sprechen und dass das Gespräch ggf. aufgezeichnet oder transkribiert wird. Das gehört in die Begrüßungsansage — kurz und freundlich, kein Paragrafen-Vortrag.
Einwilligung brauchst du vor allem für die Aufzeichnung. Das heimliche Mitschneiden von Telefongesprächen ist in Deutschland sogar strafbar (§ 201 StGB) — die Ansage vor dem Gespräch plus die Möglichkeit, aufzulegen oder zu widersprechen, ist deshalb Standard.

Wie genau du die Ansage formulierst — und was zusätzlich der EU AI Act mit seiner Transparenzpflicht für KI-Systeme verlangt — haben wir in einem eigenen Beitrag mit fertigen Formulierungen aufgeschrieben: Muss ich Anrufern sagen, dass eine KI spricht?

Klartext-Prüfung: Lässt sich die Begrüßungsansage frei anpassen, und bietet der Anbieter eine Vorlage mit KI-Hinweis und Aufnahme-Hinweis an? Und: Vergiss deine eigene Datenschutzerklärung nicht — der Telefonassistent gehört dort als Verarbeitung rein, genau wie dein Kontaktformular.

4. Aufbewahrung und Löschung — Daten sind kein Sammelalbum

Art. 5 DSGVO sagt sinngemäß: Speichere nur, was du brauchst, und nur so lange, wie du es brauchst. Für Telefondaten heißt das praktisch:

Aufnahmen und Transkripte brauchst du meist nur, bis das Anliegen erledigt ist — Termin gebucht, Rückruf erfolgt, Auftrag angelegt. Danach dürfen sie weg.
Kontaktdaten von Kunden dürfen länger bleiben (Kundenbeziehung, gesetzliche Aufbewahrungsfristen für Rechnungen etc.).
Es braucht eine realistische Löschroutine, keine perfekte. „Aufnahmen werden nach X Tagen automatisch gelöscht" ist besser als ein 10-seitiges Löschkonzept, das niemand umsetzt.

Klartext-Prüfung: „Kann ich Lösch- bzw. Aufbewahrungsfristen für Aufnahmen und Transkripte einstellen — und kann ich einzelne Gespräche auf Zuruf löschen, wenn ein Anrufer das verlangt?" Letzteres brauchst du für Auskunfts- und Löschanfragen nach DSGVO.

Die Checkliste auf einen Blick

Prüfpunkt	Deine Frage an den Anbieter	Gutes Zeichen	Warnsignal
AVV	„Wo ist euer AVV, wer sind die Subprozessoren?"	AVV online abrufbar, Liste transparent	„Machen wir schon konform" ohne Dokument
Datenstandort	„Wo liegen Aufnahmen und Transkripte?"	Speicherung in der EU, klare Auskunft zu Drittländern	Ausweichende Antworten
Einwilligung/Info	„Kann ich KI- und Aufnahme-Hinweis in der Ansage anpassen?"	Anpassbare Ansage + Vorlagen	Aufzeichnung ohne Hinweis-Option
Aufbewahrung	„Kann ich Löschfristen einstellen und einzelne Gespräche löschen?"	Einstellbare Fristen, Einzellöschung möglich	Daten liegen unbegrenzt, keine Löschfunktion

Was das konkret für deine Branche bedeutet

Die vier Punkte gelten für alle — aber der Teufel steckt im Branchendetail. Hier die Stellen, an denen es in der Praxis wirklich hakt.

Physiotherapie: Gesundheitsdaten sind die höchste Stufe

Wenn Frau Meier am Telefon sagt, dass sie nach ihrer Bandscheiben-OP Termine braucht, ist das ein Gesundheitsdatum — und damit besonders geschützt nach Art. 9 DSGVO. Praktisch heißt das für dich: Die vier Checklisten-Punkte sind hier keine Kür, sondern Pflicht in Reinform. EU-Datenstandort und kurze Löschfristen für Aufnahmen solltest du als Praxis nicht verhandeln. Konfiguriere den Assistenten außerdem so, dass er nur das Nötigste erfragt: Name, Rückrufnummer, „Rezept vorhanden ja/nein", Wunschtermin. Er muss keine Diagnose-Details sammeln — das klärst du in der Praxis. Weniger erfasste Daten = weniger Risiko.

Beauty & Friseur: unkritischer, aber nicht egal

Ein Terminwunsch für Schneiden und Färben ist kein sensibles Datum. Hier geht es vor allem um die Basics: AVV abschließen, Telefonassistent in die Datenschutzerklärung aufnehmen, Ansage mit KI-Hinweis. Ein Stolperstein aus der Praxis: Kundennotizen. Wenn im System steht „verträgt Produkt X nicht, Kopfhaut-Allergie", bist du plötzlich doch bei Gesundheitsdaten. Halte solche Notizen sachlich und knapp.

Kfz-Werkstatt: Kennzeichen und Fahrzeughistorie

Kennzeichen, Fahrgestellnummer und Reparaturhistorie sind personenbezogene Daten, weil sie sich dem Halter zuordnen lassen. Kritisch wird es selten — aber achte auf zwei Dinge: Erstens, dass Gesprächsdaten und Fahrzeugdaten nicht ewig unstrukturiert herumliegen, sondern im Kundenvorgang landen und die Aufnahme danach gelöscht werden kann. Zweitens der Klassiker: Der Anrufer ist Fahrer, aber nicht Halter (Firmenwagen, Familienauto). Nimm am Telefon nur auf, was für den Werkstatttermin nötig ist.

Handwerk: Adressen, Zugangsdaten, Baustellenfotos

Im Handwerk sammeln sich schnell heikle Details: „Schlüssel liegt unterm Blumentopf", Urlaubszeiten der Kunden, Fotos aus Privatwohnungen. Wenn dein Assistent Anliegen aufnimmt und per WhatsApp Fotos nachfordert, gilt: Solche Infos gehören in den Auftrag, nicht dauerhaft in Gesprächsprotokolle. Und wenn du mit Hausverwaltungen arbeitest, wird dich früher oder später jemand nach deinem AVV fragen — dann ist es gut, wenn dein Anbieter dir den sauber liefert.

Ehrlicher Einschub: wann du das Thema auch ohne Tool im Griff hast

Zwei Dinge gehören zur Wahrheit dazu:

Erstens: Wenn bei dir nur eine Handvoll Anrufe pro Woche eingeht und du fast immer selbst rangehst, löst ein KI-Telefonassistent kein echtes Problem — dann kaufst du dir Datenschutz-Hausaufgaben ohne Nutzen ein. Ein sauber besprochener Anrufbeantworter plus Datenschutzerklärung ist dann die einfachere DSGVO-Baustelle. Auch ein klassisches Telefonsekretariat mit Menschen kann passen — wobei du dort übrigens genauso einen AVV brauchst.

Zweitens: Der beste Anbieter nimmt dir nicht alles ab. AVV unterschreiben, Datenschutzerklärung ergänzen, Löschfristen festlegen, Mitarbeiter kurz briefen — das bleibt bei dir, kostet aber realistisch einen Nachmittag, nicht Wochen. Wer dir „100 % DSGVO-konform, du musst nichts tun" verspricht, verkauft dir etwas, das es rechtlich gar nicht geben kann. Mehr solcher unbequemen Wahrheiten haben wir in den 7 ehrlichen Nachteilen von KI-Telefonassistenten gesammelt.

Falls du noch ganz am Anfang stehst und erst mal verstehen willst, was so ein Assistent überhaupt tut: Was ist ein KI-Telefonassistent — und lohnt er sich?

So hilft dir Telewa dabei

Telewa ist ein KI-Assistent für Telefon und WhatsApp, gebaut für kleine Betriebe in Deutschland und auf die Anforderungen europäischer Betriebe ausgelegt. Für das DSGVO-Thema heißt das konkret: Anrufe landen mit Aufnahme, Transkript und Zusammenfassung in einem Posteingang — statt verstreut über Anrufbeantworter, Zettel und private Handys, was in der Praxis oft das größere Datenschutz-Chaos ist. Die Begrüßungsansage gestaltest du selbst, inklusive KI- und Aufnahme-Hinweis, und die Einrichtung braucht keine IT-Kenntnisse.

Und dann gilt die Checkliste aus diesem Artikel — für jeden Anbieter, auch für uns: Stell uns die vier Fragen zu AVV, Datenstandort, Einwilligung und Löschung ruhig direkt. Ein Anbieter, der da ins Schwimmen kommt, hat dein Vertrauen nicht verdient.

Wenn du erst mal wissen willst, wie Telewa zu deinem Betrieb passt: Buch dir eine kostenlose Demo für dein Handwerk — für Physio, Beauty und Kfz zeigen wir dir die Demo genauso passend zu deiner Branche. Beim Onboarding kannst du den Assistenten zudem mit einem Demo-Testanruf selbst ausprobieren, bevor echte Kunden mit ihm sprechen.

Häufige Fragen

Ist ein KI-Telefonassistent grundsätzlich DSGVO-konform?

Nein — und zwar bei keinem Anbieter „automatisch". DSGVO-Konformität entsteht aus dem Zusammenspiel: seriöser Anbieter (AVV, EU-Datenstandort, Löschfunktionen) plus deine Hausaufgaben (Datenschutzerklärung, Ansage mit Hinweis, Löschfristen). Beides zusammen ist gut machbar, keins von beiden reicht allein.

Muss ich Anrufern sagen, dass eine KI spricht?

Ja, davon solltest du ausgehen: Die DSGVO verlangt transparente Information, und der EU AI Act schreibt eine Kennzeichnung von KI-Interaktionen vor. Praktisch löst du das mit einem Satz in der Begrüßung. Fertige Formulierungen findest du im Detailbeitrag zur Hinweispflicht bei KI am Telefon.

Darf der Assistent Gespräche aufzeichnen?

Ja — wenn Anrufer vorher darauf hingewiesen werden und die Möglichkeit haben, nicht einverstanden zu sein (z. B. aufzulegen oder einen Rückruf ohne Aufzeichnung zu wählen). Heimliche Aufzeichnung ist in Deutschland strafbar. Prüfe außerdem, dass Aufnahmen nach einer festgelegten Frist gelöscht werden.

Brauche ich als kleiner Betrieb einen Datenschutzbeauftragten?

In der Regel erst ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten — das erreichen die wenigsten kleinen Betriebe. Ausnahmen gibt es bei umfangreicher Verarbeitung sensibler Daten; gerade Gesundheitsberufe sollten das einmal mit einer Datenschutzberatung klären.

Was passiert, wenn ein Anrufer Auskunft oder Löschung verlangt?

Dann musst du sagen können, welche Daten zu ihm gespeichert sind, und sie auf Wunsch löschen — auch Aufnahmen und Transkripte. Deshalb steht in der Checkliste: Wähle einen Anbieter, bei dem du einzelne Gespräche gezielt finden und löschen kannst. Mit einem zentralen Posteingang ist das eine Sache von Minuten.