Voicebot und DSGVO: Checkliste für den KI-Telefonassistenten

Am Telefon werden Namen genannt, Adressen, Geburtsdaten, in manchen Branchen auch Diagnosen oder Schadensfälle. Wer einen KI-Telefonassistenten einsetzt, verarbeitet diese Daten automatisiert. Das ist erlaubt, aber es braucht saubere Grundlagen.

Diese Checkliste zeigt, worauf Sie achten sollten. Sie ersetzt keine Rechtsberatung, hilft aber, die richtigen Fragen zu stellen: an Ihren Anbieter und an Ihren Datenschutzbeauftragten.

Wer ist verantwortlich?

Auch wenn der Voicebot bei einem Dienstleister läuft: Verantwortlicher im Sinne der DSGVO bleiben Sie: der Betrieb, dessen Kunden anrufen. Der Anbieter des Voicebots ist in der Regel Auftragsverarbeiter. Er verarbeitet die Daten nur nach Ihren Weisungen und für Ihre Zwecke.

Daraus folgt der erste und wichtigste Punkt der Checkliste.

1. Auftragsverarbeitungsvertrag abschließen

Nach Art. 28 DSGVO brauchen Sie mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, einen Auftragsverarbeitungsvertrag (AV-Vertrag). Darin steht unter anderem, welche Daten verarbeitet werden, zu welchem Zweck, welche Schutzmaßnahmen gelten und welche Unterauftragnehmer beteiligt sind.

Bei SprachBot ist der AV-Vertrag inklusive. Fragen Sie bei jedem Anbieter danach. Ohne AV-Vertrag sollten Sie keinen Voicebot live schalten.

2. Server-Standort und Unterauftragnehmer prüfen

Wo werden Sprache, Transkripte und Zusammenfassungen verarbeitet und gespeichert? Liegen Daten außerhalb der EU, gelten für die Übermittlung zusätzliche Anforderungen (Kapitel V DSGVO). Am einfachsten ist es, wenn die Verarbeitung in Deutschland oder der EU stattfindet.

SprachBot läuft auf einer Plattform mit Hosting in Deutschland und ISO-27001-Zertifizierung. Lassen Sie sich außerdem die Liste der Unterauftragnehmer zeigen, sie gehört in den AV-Vertrag.

3. Technische und organisatorische Maßnahmen

Art. 32 DSGVO verlangt angemessene Schutzmaßnahmen. Für einen Voicebot heißt das zum Beispiel:

• verschlüsselte Übertragung und Speicherung
• Zugriff nur für berechtigte Personen, mit eigenen Zugängen
• nachvollziehbare Protokolle, wer wann auf Daten zugegriffen hat
• ein Zertifikat wie ISO 27001 als Nachweis für ein funktionierendes Sicherheitsmanagement

4. Anrufer informieren

Menschen, deren Daten Sie erheben, müssen Sie nach Art. 13 DSGVO informieren, unter anderem über den Zweck, die Rechtsgrundlage, die Speicherdauer und ihre Rechte. Am Telefon geht das nicht in voller Länge. Bewährt hat sich ein zweistufiges Vorgehen:

1. Ein kurzer Hinweis zu Beginn des Gesprächs, zum Beispiel: „Sie sprechen mit dem digitalen Assistenten der Praxis Dr. Albers. Ihre Angaben verwenden wir zur Bearbeitung Ihres Anliegens. Mehr zum Datenschutz auf unserer Website.“
2. Die ausführlichen Informationen in der Datenschutzerklärung auf Ihrer Website, mit einem eigenen Abschnitt zum Telefonassistenten.

5. Transparenz: Die KI gibt sich zu erkennen

Die KI-Verordnung der EU (AI Act) verlangt in Art. 50, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren, es sei denn, das ist ohnehin offensichtlich. Für einen Telefonassistenten mit natürlicher Stimme ist es das nicht.

Deshalb gehört der Satz „Hier spricht der digitale Assistent“ an den Anfang jedes Gesprächs. Das ist nicht nur Pflicht, sondern auch gut fürs Vertrauen: Wer weiß, mit wem er spricht, redet klarer und fragt bei Bedarf nach einem Menschen.

6. Aufzeichnung: lieber zusammenfassen als mitschneiden

Das unbefugte Aufzeichnen des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein. Soll ein Gespräch aufgenommen werden, braucht es deshalb vorher einen deutlichen Hinweis und die Einwilligung des Anrufers.

In vielen Fällen ist eine Aufnahme gar nicht nötig. Für die Übergabe an Ihr Team reicht eine strukturierte Zusammenfassung: Anliegen, Name, Rückrufnummer, Termin. Das ist datensparsamer, leichter zu lesen und schneller zu bearbeiten.

7. Rechtsgrundlage klären

Die Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Bei Terminanfragen, Reservierungen oder Auftragsanfragen ist das häufig die Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b), bei allgemeinen Auskünften oft das berechtigte Interesse (lit. f). Für Aufnahmen kann eine Einwilligung (lit. a) nötig sein. Welche Grundlage für welchen Ablauf gilt, sollte Ihr Datenschutzbeauftragter festhalten.

8. Löschfristen festlegen

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist (Grundsatz der Speicherbegrenzung, Art. 5 DSGVO). Legen Sie fest:

• Wie lange bleiben Zusammenfassungen im System des Voicebots?
• Wie lange werden Transkripte oder Aufnahmen aufbewahrt, falls überhaupt?
• Wann werden Daten gelöscht, die bereits in Ihr eigenes System übertragen wurden?

9. Sonderfall Gesundheitsdaten und Schweigepflicht

Arztpraxen, Therapiepraxen und andere Gesundheitsberufe haben zwei zusätzliche Themen:

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist nur unter engen Voraussetzungen erlaubt. Wer sie in größerem Umfang verarbeitet, muss unter Umständen eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchführen.

Die ärztliche Schweigepflicht ist in § 203 StGB abgesichert. Seit einer Gesetzesänderung im Jahr 2017 dürfen Berufsgeheimnisträger Dienstleister einbinden, wenn das für ihre Tätigkeit erforderlich ist. Die Dienstleister müssen aber zur Verschwiegenheit verpflichtet werden.

Praktisch heißt das: Lassen Sie den Voicebot nur abfragen, was für die Organisation nötig ist („Folgerezept“, „Terminwunsch Vorsorge“), nicht, was medizinisch interessant wäre. Und stimmen Sie den Einsatz vorab mit Ihrem Datenschutzbeauftragten ab.

10. Ausweg zum Menschen

Kein Datenschutzpunkt im engeren Sinn, aber eng verwandt: Anrufer sollten jederzeit die Möglichkeit haben, statt mit dem Voicebot mit einem Menschen zu sprechen oder zurückgerufen zu werden. Das senkt Hürden, verhindert Frust und ist besonders wichtig, wenn es um sensible Themen geht.

Die Checkliste zum Abhaken

• AV-Vertrag nach Art. 28 DSGVO abgeschlossen
• Server-Standort und Unterauftragnehmer bekannt
• Sicherheitsmaßnahmen dokumentiert (z. B. ISO 27001)
• Hinweis zu Beginn des Gesprächs formuliert
• Datenschutzerklärung um den Telefonassistenten ergänzt
• Hinweis „Sie sprechen mit einem digitalen Assistenten“ eingebaut
• Entscheidung zu Aufnahme vs. Zusammenfassung getroffen
• Rechtsgrundlagen je Ablauf festgehalten
• Löschfristen definiert
• bei Gesundheitsdaten: Verschwiegenheitsverpflichtung und ggf. Folgenabschätzung
• Weiterleitung oder Rückruf durch Menschen möglich

Wie SprachBot Sie dabei unterstützt

Bei SprachBot sind Hosting in Deutschland, ISO-27001-Zertifizierung und der AV-Vertrag von Anfang an dabei. Die Gesprächsabläufe gestalten wir mit Ihnen datensparsam, mit Hinweis auf den digitalen Assistenten und mit einem Ausweg zum Menschen. Welche Angaben in Ihrem Betrieb abgefragt werden, legen Sie fest.

Mehr zur IT-Sicherheit in Ihrem Unternehmen insgesamt bietet unsere Muttergesellschaft unter Digitale Sicherheit. Wie die Einführung Schritt für Schritt abläuft, lesen Sie im Ratgeber Voicebot einführen.

Häufige Fragen

Ist ein Voicebot DSGVO-konform?

Ein Voicebot kann DSGVO-konform betrieben werden, wenn die Grundlagen stimmen: Auftragsverarbeitungsvertrag, geeignete Server-Standorte, technische und organisatorische Schutzmaßnahmen, Information der Anrufer, Datensparsamkeit und klare Löschfristen. Verantwortlich für den Einsatz bleibt der Betrieb, der den Voicebot nutzt.

Muss ich Anrufer informieren, dass sie mit einer KI sprechen?

Ja, das sollten Sie. Die KI-Verordnung der EU verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren. Ohnehin schafft ein kurzer Hinweis zu Beginn des Gesprächs Vertrauen.

Darf ein Voicebot Telefongespräche aufzeichnen?

Das Aufzeichnen des nichtöffentlich gesprochenen Wortes ohne Einwilligung kann nach § 201 StGB strafbar sein. Soll aufgezeichnet werden, müssen Anrufer vorher informiert werden und einwilligen. Oft reicht statt einer Aufnahme eine strukturierte Zusammenfassung des Anliegens.

Dürfen Arztpraxen einen Voicebot nutzen?

Grundsätzlich ja, aber mit besonderer Sorgfalt: Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt, und Ärztinnen und Ärzte unterliegen der Schweigepflicht. Dienstleister müssen zur Verschwiegenheit verpflichtet werden. Stimmen Sie den Einsatz mit Ihrem Datenschutzbeauftragten ab.