KI-Telefonassistent und DSGVO

Stand: September 2026 · Lesezeit ca. 5 Minuten

Wenn ein Assistent für dich ans Telefon geht, verarbeitest du personenbezogene Daten — und zwar du, nicht der Anbieter. Das ist der Satz, den man verstanden haben muss, bevor man loslegt. Der Rest ist beherrschbar.

Vorab, ehrlich: Wir sind kein Anwalt und dieser Text ist keine Rechtsberatung. Er beschreibt, welche Punkte in der Praxis regelmäßig auftauchen, damit du das Richtige fragen kannst. Bei Praxen, Kanzleien und allem mit Gesundheitsdaten führt an fachlicher Prüfung kein Weg vorbei.

1. Wer ist verantwortlich?

Du. Der Betrieb, dessen Telefon klingelt, ist Verantwortlicher im Sinne von Artikel 4 DSGVO. Der Anbieter des Assistenten ist Auftragsverarbeiter — er handelt in deinem Auftrag und nach deiner Weisung. Das heißt konkret: Beschwert sich ein Anrufer bei der Aufsichtsbehörde, landet die Frage bei dir, nicht beim Softwarehaus.

Daraus folgt der praktische Teil: Du musst wissen, was mit den Daten passiert, und es dokumentieren können.

2. Der Auftragsverarbeitungsvertrag

Ohne AV-Vertrag nach Artikel 28 DSGVO darfst du keinen Dienstleister einsetzen, der in deinem Auftrag personenbezogene Daten verarbeitet. Der Vertrag muss unter anderem regeln: Gegenstand und Dauer, Art der Daten, Kategorien betroffener Personen, technische und organisatorische Maßnahmen, Umgang mit Unterauftragnehmern und was am Ende mit den Daten passiert.

Der Vertrag ist bei seriösen Anbietern Standard und liegt vor Vertragsschluss vor. Wenn ein Anbieter dir keinen AV-Vertrag vorlegen kann, ist das ein Ausschlusskriterium — kein Verhandlungspunkt.

Wichtig ist die Liste der Unterauftragnehmer darin. Ein KI-Telefonassistent besteht praktisch immer aus mehreren Diensten: Telefonanbindung, Spracherkennung, Sprachmodell, Sprachausgabe, Kalender. Jeder davon sieht Teile des Gesprächs. Die Liste muss vollständig und aktuell sein, und du musst über Änderungen informiert werden.

3. Die Hinweispflicht am Gesprächsanfang

Anrufer müssen erfahren, wer ihre Daten verarbeitet und wozu (Artikel 13 DSGVO). Am Telefon läuft das über einen kurzen Hinweis zu Gesprächsbeginn plus einen Verweis auf die ausführliche Information — üblicherweise die Datenschutzerklärung auf deiner Website.

Getrennt davon steht die Frage, ob man sagen muss, dass es eine KI ist. Rechtlich ist das je nach Ausgestaltung diskutabel; praktisch ist die Antwort einfach: Sag es. Der Ärger, wenn jemand es hinterher merkt, ist größer als der Nachteil, es vorher zu sagen. Wir richten Assistenten grundsätzlich nur mit klarem Hinweis ein.

Ein Formulierungsbeispiel: „Hallo, hier ist der digitale Assistent von Musterbetrieb. Ich nehme Ihr Anliegen auf. Das Gespräch wird dafür in Text umgewandelt. Sie können jederzeit einen Rückruf durch Herrn Muster bekommen.“

4. Aufzeichnung, Transkript, Speicherdauer

Hier wird es praktisch relevant, weil viele Betriebe den Unterschied nicht kennen:

• Audioaufzeichnung des Gesprächs ist der eingriffsintensivste Fall. Sie braucht eine tragfähige Rechtsgrundlage, in der Regel eine ausdrückliche Einwilligung zu Beginn. Für reine Terminvergabe braucht man sie nicht — wir richten sie standardmäßig nicht ein.
• Transkript, also der Gesprächsinhalt als Text, ist deutlich sparsamer und für die Nachvollziehbarkeit meist ausreichend.
• Strukturierte Daten — Name, Nummer, Termin, Anliegen — sind das Minimum, das du ohnehin brauchst.

Für jede dieser Ebenen brauchst du eine Löschfrist, und sie sollte kurz sein. Transkripte nach dreißig oder neunzig Tagen zu löschen ist in den meisten Betrieben unproblematisch; der Termin selbst bleibt im Kalender. Diese Frist gehört in dein Verarbeitungsverzeichnis und muss technisch tatsächlich umgesetzt sein, nicht nur aufgeschrieben.

5. Serverstandort und Unterauftragnehmer

„Server in Deutschland" ist ein gutes Argument, aber selten die ganze Wahrheit. Die Automatisierung kann in Deutschland laufen und das Sprachmodell trotzdem bei einem US-Anbieter. Das ist nicht automatisch unzulässig — für Übermittlungen in die USA gibt es das EU-US Data Privacy Framework und Standardvertragsklauseln —, aber es muss geprüft, dokumentiert und in der Datenschutzerklärung genannt sein.

Die richtige Frage an jeden Anbieter lautet deshalb nicht „steht der Server in Deutschland", sondern: Welche Dienste sind beteiligt, wo sitzen sie, und auf welcher Grundlage werden Daten dorthin übermittelt? Wer darauf ausweichend antwortet, hat es selbst nicht geprüft.

6. Gesundheitsdaten und andere besondere Kategorien

Sobald ein Anrufer sagt, warum er einen Termin braucht — Rückenschmerzen, Zahnweh, Allergie —, liegt ein Gesundheitsdatum nach Artikel 9 DSGVO vor. Das gilt für Physiotherapie, Heilpraktiker, Zahnärzte, teils auch für Kosmetik und Tattoo (Vorerkrankungen, Allergien).

Besondere Kategorien brauchen einen eigenen Erlaubnistatbestand. In der Praxis läuft es meist über die ausdrückliche Einwilligung des Anrufers oder über den Behandlungskontext. Zusätzlich gilt: Datenminimierung wird hier zur Pflicht, nicht zur Empfehlung. Ein Assistent, der in einer Praxis nur Name, Nummer, Termin und Verordnungsstatus aufnimmt und keine Symptomschilderung speichert, ist deutlich einfacher zu verantworten als einer, der jedes Gespräch vollständig ablegt.

Für Ärzte und Zahnärzte kommt die ärztliche Schweigepflicht nach § 203 StGB hinzu — die ist strenger als die DSGVO und muss gesondert betrachtet werden.

7. Der KI-Verordnung-Teil

Die EU-KI-Verordnung sieht für Systeme, die unmittelbar mit Menschen interagieren, eine Transparenzpflicht vor: Betroffene müssen erkennen können, dass sie es mit einem KI-System zu tun haben. Ein Telefonassistent fällt darunter. Praktisch deckt sich das mit dem, was oben ohnehin empfohlen wurde — der Hinweis zu Gesprächsbeginn erledigt beides.

Für den Einsatz in der Terminvergabe ist keine Einstufung als Hochrisiko-System zu erwarten. Wer den Assistenten für Entscheidungen mit rechtlicher Wirkung einsetzen wollte — Bonitätsprüfung, Personalauswahl —, sähe eine andere Rechtslage.

8. Checkliste vor dem Start

• AV-Vertrag liegt unterschrieben vor
• Liste aller Unterauftragnehmer ist vollständig und aktuell
• Hinweis zu Gesprächsbeginn ist eingerichtet und getestet
• Datenschutzerklärung auf der Website ist um den Assistenten ergänzt
• Löschfristen sind definiert und technisch umgesetzt
• Verarbeitungsverzeichnis ist ergänzt
• Geklärt, ob besondere Datenkategorien anfallen — und wenn ja, wie sie minimiert werden
• Ein Weg zum Menschen existiert und ist im Gespräch jederzeit erreichbar

Bei Avonto liefern wir AV-Vertrag, Liste der beteiligten Dienste, Textbausteine für die Datenschutzerklärung und die eingestellten Löschfristen mit — und legen offen, welche Anbieter im Hintergrund arbeiten. Ob dir das reicht, entscheidest du, gern zusammen mit deinem Datenschutzbeauftragten.