KI Telefonassistent Datenschutz und DSGVO: Risiken & Vorschriften

Ein KI Telefonassistent lässt sich vollständig DSGVO-konform einsetzen, wenn man entsprechende Maßnahmen zum Datenschutz einhält. Die DSGVO ist relevant, weil KI-gestützte Telefonassistenten personenbezogene Daten verarbeiten.

Zu den von KI-basierten Telefonassistenten erhobenen Daten gehören unter anderem Namen, Telefonnummern, E-Mail-Adressen, Anschriften, Gesprächsinhalte und – je nach System – Stimmaufnahmen. Datenschutz ist bei der Einrichtung einer DSGVO-konformen Telefonassistenz kein optionales Thema, sondern eine zentrale Voraussetzung für den rechtssicheren Einsatz des intelligenten Assistenten.

Bei der Einführung eines virtuellen Telefonassistenten im Unternehmen ist Transparenz wichtig, denn Anrufer müssen darüber informiert werden, dass sie mit einer KI sprechen, welche Daten zu welchem Zweck verarbeitet werden und wie lange die Daten gespeichert werden. Telefonieren Anrufer mit der KI, müssen sämtliche Rechte der Betroffenen gewahrt werden. Zu den Betroffenenrechten gemäß der DSGVO zählen das Recht auf Auskunft, Berichtigung und Löschung der Daten sowie das Widerrufsrecht der Einwilligung.

Ein besonders hoher Datenschutz ist in Branchen erforderlich, in denen regelmäßig sensible Informationen verarbeitet werden, wie zum Beispiel bei Ärzten, Zahnärzten, Psychotherapeuten und Anwälten. Unser KI Telefonassistent von fonio ist datenschutzrechtlich nutzbar, denn wir achten auf das EU-Hosting und ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist bei uns standardmäßig Teil des Vertrags.

Kann man KI Telefonassistenten ohne Datenschutz Risiken nutzen?

Ja, man kann KI Telefonassistenten ohne Datenschutz Risiken nutzen, wenn man sich an die gesetzlichen Vorschriften hält. Bei der Nutzung von KI Telefonassistenten im Unternehmen ist entscheidend, dass personenbezogene Daten ausschließlich auf einer zulässigen Rechtsgrundlage nach Art. 6 DSGVO verarbeitet werden.

Als Rechtsgrundlage nach Art. 6 DSGVO für den smarten Telefonassistenten kommt je nach Einsatzgebiet insbesondere die Vertragserfüllung, das berechtigte Interesse oder eine ausdrückliche Einwilligung in Betracht. Ein berechtigtes Interesse besteht zum Beispiel bei Rückrufbitten oder Terminwünschen. Werden Gespräche vom KI Telefonassistenten aufgezeichnet oder transkribiert, ist zusätzlich eine Einwilligung erforderlich.

Zu einer datenschutzkonformen Verwendung eines KI Telefonassistenten gehören die Datensparsamkeit und Zweckbindung, die verschlüsselte Speicherung und Übertragung, möglichst kurze Speicherfristen, regelmäßige Löschungen und die vollständige Protokollierung aller Datenflüsse. Es dürfen vom intelligenten Telefonassistenten nur die Informationen erhoben werden, die für den jeweiligen Zweck tatsächlich notwendig sind.

Neben der DSGVO sind seit Inkrafttreten des EU AI Acts (vor allem Art. 50 Abs. 4 KI-VO) auch dessen Transparenzpflichten relevant. Ab dem 02. August 2026 müssen KI Telefonassistenten Anrufer gesetzlich eindeutig darüber informieren, dass sie mit einer künstlichen Intelligenz kommunizieren.

Wann entstehen bei der Nutzung von KI Telefonassistenten Datenschutzprobleme?

Bei der Nutzung von KI Telefonassistenten entstehen Datenschutzprobleme, wenn beispielsweise die Anrufer nicht über die Aufzeichnung durch die KI informiert werden, wenn heimliche Transkripte sowie Aufnahmen getätigt werden, wenn Daten zu lange ohne berechtigten Zweck gespeichert werden und wenn es keine Rechtsgrundlage zur Erhebung der Daten sowie zur Aufzeichnung gibt.

Besondere Vorsicht ist beim Einsatz von Anbietern für KI Assistenten außerhalb der EU, zum Beispiel aus den USA, erforderlich. Erfolgt ein Drittlandtransfer durch den virtuellen Telefonassistenten ohne geeignete rechtliche Absicherung oder ohne einen passenden AV-Vertrag nach Art. 28 DSGVO sowie dessen erforderliche Garantien nach Art. 44 ff. DSGVO, verstößt dies gegen die Datenschutzvorschriften.

Ein besonders hohes Risiko besteht nach Art. 9 DSGVO bei der Verarbeitung besonderer personenbezogener Daten durch den KI-gestützten Telefonassistenten, wie medizinische Informationen in Arztpraxen oder vertrauliche Mandantendaten in Anwaltskanzleien. Datenschutzprobleme entstehen bei digitalen Telefonassistenten vor allem dann, wenn gesetzliche Vorgaben missachtet werden oder technische Schutzmaßnahmen fehlen.

KI Telefonassistent DSGVO-konform einrichten

Einen KI Telefonassistenten kann man DSGVO-konform einrichten, indem man sich unter anderem für ein EU-Hosting entscheidet, nur sichere Drittanbieter nutzt, einen AVV abschließt und einen KI-Hinweis zu Beginn des Gesprächs einfügt. Ein KI Telefonassistent sollte von Anfang an DSGVO-konform eingerichtet werden.

Wie man einen KI Telefonassistenten DSGVO-konform einrichtet und ein DSGVO Setup durchführt, erklären wir im Folgenden detailliert.

Entscheide dich für ein EU- oder Deutschland-Hosting

Entscheide dich bei den Anbietern des KI-basierten Telefonassistenten für ein EU- oder Deutschland-Hosting, um unsichere internationale Datenübermittlungen zu vermeiden. Achte beim Anbieter auf eine Ende-zu-Ende- oder Transportverschlüsselung sowie auf eine verschlüsselte Speicherung der Daten, um die Informationen der Anrufer zu schützen. Wählt man KI-Anbieter, deren Server innerhalb der EU betrieben werden, erleichtert man sich die Einhaltung der DSGVO erheblich.

Nutze nur sichere Drittanbieter

Nutze bei der Implementierung des KI-basierten Telefonassistenten nur sichere Drittanbieter mit angemessenem Datenschutzniveau. Bei US-Anbietern sollten nur Produkte von Unternehmen verwendet werden, die nach dem EU-US Data Privacy Framework (DPF) zertifiziert sind. Erfolgt durch den smarten Telefonassistenten eine Datenübermittlung in andere Drittländer, sind Standardvertragsklauseln oder eine Transferfolgenabschätzung erforderlich. Der KI Assistent sollte die Anrufer transparent über mögliche Drittlandtransfers informieren.

Schließe AV-Verträge ab

Schließe AV-Verträge mit jedem Dienstleister ab, der personenbezogene Daten verarbeitet. Ein AVV nach Art. 28 DSGVO für Drittanbieter betrifft zum Beispiel den Anbieter des KI Telefonassistenten, Cloud-Dienste, Hosting-Anbieter oder Transkriptionsdienste. AV-Verträge sind wichtig, damit personenbezogene Daten ausschließlich auf datenschutzkonforme Weise verarbeitet werden, angemessene technische sowie organisatorische Maßnahmen zum Schutz der Daten umgesetzt werden und die Anforderungen der DSGVO eingehalten werden.

Füge einen KI-Hinweis am Anfang des Gesprächs ein

Füge einen KI-Hinweis am Anfang des Gesprächs ein, damit Anrufer bereits zu Beginn über den Einsatz von KI informiert werden. Anrufer müssen verständlich darüber informiert werden, dass sie mit einer KI sprechen, welche Daten dabei verarbeitet werden und zu welchem Zweck dies geschieht. Es ist wichtig, dass mit den Anrufern kommuniziert wird, wie lange ihre Daten gespeichert werden und welche Rechte ihnen dabei zustehen. Mit dem KI-Hinweis am Anfang der Telefonate werden die Transparenzpflichten der DSGVO erfüllt.

Beginne die Aufzeichnung erst nach Einwilligung

Beginne die Aufzeichnung der Telefonate immer erst nach Einwilligung, damit ein Verstoß gegen die DSGVO vermieden wird. Die Einwilligung des Anrufers zur Aufzeichnung des Gesprächs und die Verarbeitung seiner personenbezogenen Daten muss freiwillig, eindeutig und nachweisbar erfolgen. Die nachweisbare Einwilligung des Anrufers erfolgt zum Beispiel durch eine mündliche Zustimmung oder das Drücken einer Taste am Telefon.

Schriftliche Transkripte durch den KI Telefonassistenten gelten datenschutzrechtlich als Aufzeichnung und bedürfen deshalb einer ausdrücklichen Einwilligung durch den Anrufer. Heimliche Aufzeichnungen durch den virtuellen Assistenten ohne Einwilligung auch bei ausschließlich interner Nutzung sind gemäß § 201 StGB strafbar. Verweigert ein Anrufer die Einwilligung für die Aufzeichnung oder Volltranskripte, sollte eine Alternative angeboten werden, zum Beispiel die Weiterleitung an einen menschlichen Mitarbeiter.

Keine sensiblen Daten besprechen

Der KI Telefonassistent sollte mit dem Anrufer keine sensiblen Daten besprechen, um die Privatsphäre der Person nicht zu verletzen und damit das Unternehmen sich nicht rechtlich haftbar macht. Gerade in Arztpraxen oder Kanzleien empfiehlt es sich, die KI auf Terminvereinbarung, Rückrufbitten, Qualifizierung und einfache Fragenbeantwortung zu beschränken. Die Besprechung von Symptomen und Diagnosen oder rechtliche Beratungen sollten statt durch intelligente Telefonassistenten ausschließlich durch Mitarbeiter erfolgen.

Sorge für kurze Löschfristen

Sorge für kurze Löschfristen, denn personenbezogene Daten dürfen vom KI Telefonassistenten nur so lange gespeichert werden, wie dies für den angegebenen Zweck erforderlich ist. Automatische Löschprozesse helfen im Unternehmen dabei, Speicherfristen zuverlässig einzuhalten und dadurch der DSGVO nachzukommen. Eine sofortige Löschung der gespeicherten Daten sollte auf Anfrage durch den Anrufer jederzeit möglich sein.

Führe eine Datenschutz-Folgenabschätzung durch

Führe eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vor der Live-Schaltung des KI Telefonassistenten durch, wenn durch den Einsatz der KI voraussichtlich ein hohes Risiko für die Rechte der Betroffenen besteht. Risiken für die Rechte der Anrufer bestehen zum Beispiel durch Aufzeichnungen oder durch die Verarbeitung von Gesprächsdaten. Bei der Datenschutz-Folgenabschätzung werden vor allem Zweck und Notwendigkeit der Verarbeitung, mögliche Auswirkungen, Schutzmaßnahmen sowie Maßnahmen zur Risikominimierung schriftlich festgehalten.

Richte eine Weiterleitung an Mitarbeiter ein

Richte eine Weiterleitung an Mitarbeiter ein, wenn Anrufer der Aufzeichnung oder der Verarbeitung ihrer Daten durch KI nicht zustimmen. Nicht jeder Anrufer möchte mit einer KI sprechen oder einer Gesprächsaufzeichnung zustimmen, dieser sollte durch eine Ablehnung jedoch keinen Nachteil haben. Mit der ständigen Möglichkeit einer Weiterleitung an einen Mitarbeiter durch den KI Telefonassistenten ist die Wahrscheinlichkeit hoch, dass datenschutzrechtliche Konflikte vermieden werden.

DSGVO Vorschriften für KI Telefonassistenten

Die relevanten DSGVO Vorschriften für KI Telefonassistenten sind vor allem in den Art. 4 - 6, 9, 13, 14, 25, 28, 30, 32, 35 und 44 DSGVO festgehalten. Die Betroffenenrechte werden in den Art. 15 - 22 DSGVO beschrieben, die beim Einsatz von KI Telefonassistenten zu jeder Zeit zu bewahren sind.

Die folgende Liste beschreibt die wichtigen DSGVO Vorschriften für KI Telefonassistenten im Detail.

• Art. 4 DSGVO: Im Art. 4 DSGVO sind allgemeine Begriffsbestimmungen festgehalten, unter anderem zu den personenbezogenen Daten und zur Verarbeitung dieser, die für den Einsatz von KI Telefonassistenten wichtig sind.

• Art. 5 DSGVO: Der Art. 5 DSGVO legt die Grundprinzipien zur Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung und Speicherbegrenzung durch den KI Telefonassistenten fest.

• Art. 6 DSGVO: Art. 6 DSGVO bestimmt die möglichen Rechtsgrundlagen für die Verarbeitung der personenbezogenen Daten, die besonders bei den Terminvereinbarungen, Transkriptionen und Aufnahmen durch den KI-basierten Telefonassistenten wichtig sind.

• Art. 9 DSGVO: Der Art. 9 DSGVO ist vor allem relevant für Arztpraxen, Kliniken und Kanzleien, wenn Gesundheitsdaten oder besonders schützenswerte Daten durch den smarten Telefonassistenten verarbeitet werden.

• Art. 13 und 14 DSGVO: In den Artikeln 13 und 14 der DSGVO geht es um die Informationspflichten zur Anwendung von KI gegenüber den Anrufern sowie um die Verarbeitung personenbezogener Daten.

• Art. 25 DSGVO: Artikel 25 DSGVO besagt, welche Maßnahmen bei der Technikgestaltung und Einstellungen wichtig sind, damit der KI Telefonassistent datenschutzfreundlich konfiguriert werden kann.

• Art. 28 DSGVO: Artikel 28 behandelt die Notwendigkeit des Abschlusses eines Auftragsverarbeitungsvertrags mit Dienstleistern, um den Anrufern ausreichende Datenschutzgarantien zu bieten.

• Art. 30 DSGVO: Im Artikel 30 DSGVO wird über das Erfordernis eines Verzeichnisses aller Verarbeitungstätigkeiten geschrieben, um einen Nachweis der DSGVO-Konformität zu haben.

• Art. 32 DSGVO: Der Art. 32 DSGVO beschreibt die Voraussetzung von angemessenen technischen und organisatorischen Maßnahmen beim Einsatz eines virtuellen Telefonassistenten zum Schutz der personenbezogenen Daten.

• Art. 35 DSGVO: Im Art. 35 DSGVO geht es um die Datenschutz-Folgenabschätzung, die wichtig ist, wenn bei der Nutzung eines smarten Telefonassistenten ein hohes Risiko für die Rechte von Personen besteht.

• Art. 44 DSGVO: Art. 44 DSGVO bestimmt die Voraussetzungen für den datenschutzkonformen Datentransfer in Staaten außerhalb der EU oder des EWR durch den KI Telefonassistenten.

Bei Verstoß gegen die DSGVO bei der Implementierung eines KI-basierten Telefonassistenten drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Neben den Bußgeldern können für das Unternehmen bei Verstößen durch den KI Assistenten Schadensersatzansprüche der Betroffenen sowie rechtliche Maßnahmen folgen.

Kennzeichnungspflicht für KI Telefonassistenten

Ab August 2026 besteht eine Kennzeichnungspflicht für KI Telefonassistenten. Die Kennzeichnungspflicht besagt, dass Kunden klar und verständlich darüber informiert werden müssen, dass sie mit einer KI reden. Ab August dieses Jahres wird die Kennzeichnungspflicht Teil der EU-KI-Verordnung sein.

Am Anfang des Gesprächs muss den Kunden mitgeteilt werden, dass eine künstliche Intelligenz am Telefon ist, dass das Telefonat aufgenommen wird und warum die Daten verarbeitet werden. Es ist notwendig, dass Kunden wissen, dass sie ihre erteilte Einwilligung jederzeit widerrufen können und welche Alternativen es zur Einwilligung gibt.

Zusätzlich zur EU-KI-Verordnung ergibt sich die Informationspflicht bereits aus Art. 13 DSGVO. Wir bei fonio stellen einen DSGVO-konformen Telefonassistenten zur Verfügung, wofür wir zum Beispiel einen AVV bereithalten, die direkte Löschung der Daten auf Anfrage gewährleisten und alle Daten auf Servern in Deutschland sowie innerhalb der EU speichern.