KI-Telefonassistent und DSGVO: Was du 2026 wissen musst
Darf eine KI deine Kundenanrufe annehmen? Erfahre, welche DSGVO-Regeln und EU AI Act-Pflichten 2026 gelten – mit Praxis-Checkliste für datenschutzkonforme KI-Telefonie.
Schon das erste gesprochene Wort am Telefon kann datenschutzrechtlich relevant sein. Klingt übertrieben? Ist es nicht.
KI-Telefonassistenten sind im DACH-Raum gerade überall. Terminvereinbarungen, Bestellstatus, Kundenfragen – vieles davon lässt sich heute automatisieren. Und das ist auch gut so. Aber: Viele Unternehmen setzen diese Technologie ein, ohne sich ernsthaft mit den rechtlichen Anforderungen auseinanderzusetzen. Das wird 2026 zum Problem.
Denn die DSGVO war nur der Anfang. Ab dem 2. August 2026 greifen die Transparenzpflichten des EU AI Act (Artikel 50) – und die verändern die Spielregeln für alle, die KI in der direkten Kommunikation mit Menschen einsetzen. Wer sich nicht daran hält, riskiert empfindliche Strafen: bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Bei besonders schweren Vergehen sogar bis zu 35 Millionen Euro oder 7 %.
Darf eine KI überhaupt meine Kundenanrufe annehmen?
Kurze Antwort: Ja. Aber es gibt Bedingungen.
Die DSGVO liefert in Artikel 6 die möglichen Rechtsgrundlagen. Für die meisten KI-Telefonie-Szenarien kommen zwei davon in Frage:
Wenn das Telefonat direkt mit einem Vertrag zusammenhängt – Terminvereinbarung, Bestellbestätigung, Rückfrage zum laufenden Auftrag.
Z. B. effiziente Kundenkommunikation. Aber Vorsicht: Das Interesse des Anrufers wiegt schwer. Eine Interessenabwägung ist Pflicht.
Und genau da wird es ab August 2026 richtig konkret. Der EU AI Act schreibt in Artikel 50 vor: Wer ein KI-System einsetzt, das für die direkte Interaktion mit Menschen gedacht ist, muss diese Personen vorab darüber informieren. Nicht irgendwo im Kleingedruckten. Sondern klar, eindeutig und zu Beginn des Gesprächs. Das ist keine Empfehlung – das ist Pflicht.
Aufzeichnung vs. Transkription: Ist das nicht das Gleiche?
Ehrlich gesagt – diesen Irrtum sehe ich ständig: „Wir zeichnen ja nicht auf, wir transkribieren nur." Datenschutzrechtlich ist das leider keine Entwarnung.
Audio-Datei wird gespeichert. Stimme kann als biometrisches Datum gelten (Art. 9 DSGVO). Höchster Schutzstandard. In der Regel ausdrückliche Einwilligung nötig. § 201 StGB schützt das nicht-öffentlich gesprochene Wort.
Sprache wird in Text umgewandelt, Audio sofort gelöscht. Kein biometrischer Bezug mehr. Deutlich weniger invasiv – aber personenbezogene Daten werden trotzdem verarbeitet.
Was heißt das in der Praxis? Audio sofort nach der Transkription löschen. Keinen dauerhaften Audiospeicher führen. Keine Voiceprints erstellen. Keine Emotionserkennung.
Übrigens: Auch das Fernmeldegeheimnis (TDDDG § 3) spielt hier rein. Gesprächsinhalte dürfen nur mit gesetzlicher Grundlage verarbeitet werden – auch wenn die Verarbeitung rein automatisiert abläuft.
Checkliste: 7 Punkte für DSGVO-konforme KI-Telefonie
Okay, genug Theorie. Hier sind die sieben Dinge, die du konkret beachten musst:
Ab August 2026 gesetzlich verpflichtend durch den EU AI Act (Art. 50). Aber auch jetzt schon: Tu es einfach. Der Anrufer muss wissen, dass er mit einer KI spricht.
Für jeden Verarbeitungsschritt brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Vertragserfüllung, berechtigtes Interesse, Einwilligung – je nach Use Case. Vorher dokumentieren.
Bei externem KI-Telefonassistenten: AVV nach Art. 28 DSGVO mit Zweck, Dauer, Datenarten, TOM und Liste der Unterauftragsverarbeiter.
Idealfall: Datenverarbeitung in der EU, besser noch in Deutschland. Bei US-Unterauftragsverarbeitern: Angemessenheitsbeschluss oder Standardvertragsklauseln prüfen.
Audio sofort nach Transkription löschen. Transkripte nur so lange speichern wie nötig. Konfigurierbare Aufbewahrungsfristen sind Pflicht, kein Nice-to-have.
Bei systematischer Verarbeitung von Gesprächsdaten durch KI ist eine DSFA nach Art. 35 DSGVO in der Regel Pflicht.
Der EU AI Act verbietet manipulative KI-Techniken. Keine Emotionserkennung. Kein Ranking von Anrufern. Keine politischen Meinungsäußerungen durch die KI.
Das wird gerne übersehen
Die DSGVO-Konformität deines Anbieters reicht allein nicht aus. Du als Unternehmen bist der Verantwortliche. Und du kannst eine technisch einwandfreie Lösung trotzdem rechtswidrig einsetzen:
Die Technik muss stimmen – aber die Anwendung eben auch. Das ist wie ein Auto mit TÜV-Plakette – fährt trotzdem nicht von allein durch die rote Ampel.
Was ScaleTalk für Datenschutz tut
Statt einer langen Feature-Liste ein paar Dinge, die uns von vielen Anbietern unterscheiden:
Wir prüfen uns nicht selbst. Spezialisierte, externe Partner auditieren unsere Datenschutzprozesse regelmäßig.
Transparent und öffentlich einsehbar.
Server-Standorte in Deutschland und der EU. Bei US-Unterauftragsverarbeitern: Data Privacy Framework oder Standardvertragsklauseln.
Audio wird sofort nach der Transkription gelöscht. Kein dauerhafter Audio-Speicher. Keine Voiceprints. Keine Emotionserkennung. Keine Profilbildung.
Unsere Datenschutzvereinbarung und unser AVV sind öffentlich einsehbar – du findest sie unter app.scaletalk.ai/privacy-policy.
Fazit
KI-Telefonie und Datenschutz schließen sich nicht aus. Aber sie erfordern, dass du das Thema ernst nimmst – als Anbieter und als Nutzer.
2026 bringt mit dem EU AI Act neue Regeln. Die Transparenzpflichten aus Artikel 50, das Verbot manipulativer Techniken, die verschärften Anforderungen an KI-Systeme – all das ist kein fernes Zukunftsszenario, sondern tritt in wenigen Monaten in Kraft. Wer jetzt auf eine Lösung setzt, die Datenschutz von Anfang an mitdenkt, spart sich später eine Menge Ärger.
Und ja: ein paar hundert Euro Bußgeld sind das eine. Aber der Vertrauensverlust bei deinen Kunden wiegt deutlich schwerer.
DSGVO-konform starten – jetzt ScaleTalk kostenfrei testen
KI-Telefonie, die Datenschutz von Anfang an mitdenkt. Auditiert von DataGuard. Server in Deutschland.