Ist ein KI-Telefonassistent überhaupt DSGVO-konform einsetzbar?

Ja, wenn die Rahmenbedingungen stimmen: Verarbeitung in der EU, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen Ihnen und dem Anbieter, ein transparenter KI-Hinweis zu Gesprächsbeginn (Art. 50 EU-KI-Verordnung) und eine gesonderte Einwilligung, falls aufgezeichnet wird. Der Einsatz ist also kein Sonderfall, sondern folgt den normalen Regeln der Auftragsverarbeitung. Dieser Hinweis ersetzt keine Rechtsberatung.

Wer ist bei KI-Telefonie der Verantwortliche im Sinne der DSGVO?

Sie als Betrieb. Sie entscheiden, warum und wie die Anrufe verarbeitet werden, und sind damit Verantwortlicher (Art. 4 Nr. 7 DSGVO). Der Anbieter — bei uns die Kyoomee GmbH — verarbeitet die Daten in Ihrem Auftrag und ist Auftragsverarbeiter. Deshalb ist es auch Ihre Datenschutzerklärung, die Ihre Anrufer informiert, gestützt auf die Angaben, die der Anbieter Ihnen liefert.

Müssen Anrufer erfahren, dass sie mit einer KI sprechen?

Ja. Nach Art. 50 der EU-KI-Verordnung, anwendbar ab dem 2. August 2026, müssen Menschen darüber informiert werden, dass sie mit einem KI-System interagieren — und zwar spätestens zur ersten Interaktion. Bei kyoomee erfolgt dieser Hinweis als erste Ansage zu Gesprächsbeginn, und Anrufer können jederzeit den Wunsch äußern, mit einem Menschen zu sprechen.

Werden Gespräche aufgezeichnet — und wie lange gespeichert?

Bei kyoomee gibt es keine Tonaufzeichnung. Gespeichert wird höchstens eine Text-Mitschrift; sie wird nach höchstens 90 Tagen gelöscht, pro Betrieb auch früher. Grundsätzlich werden Daten nur so lange gespeichert, wie es der jeweilige Zweck erfordert.

Werden Daten in die USA übermittelt?

Ja, teilweise: Das Hosting liegt in Deutschland, einzelne spezialisierte Anbieter für Telefonie und Sprach-KI verarbeiten Daten aber auch in den USA. Diese Übermittlung ist über den EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend über die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) abgesichert. Die konkreten Anbieter, Regionen und Absicherungen nennt Anhang 1 unserer Auftragsverarbeitungsvereinbarung.

DSGVO bei KI-Telefonie: Der Leitfaden für KMU

Wer ist wofür verantwortlich? Die wichtigste Weiche zuerst

Sobald ein KI-Assistent Anrufe für Ihren Betrieb entgegennimmt, entsteht eine klare Rollenverteilung im Sinne der DSGVO — und die zu verstehen, erspart die meisten späteren Diskussionen. Sie als Betrieb entscheiden, warum und wie die Anruferdaten verarbeitet werden. Damit sind Sie der Verantwortliche (Art. 4 Nr. 7 DSGVO). Der Anbieter der Technik verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen — er ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

Praktisch heißt das: Die Datenschutzerklärung, die Ihre Anrufer betrifft, ist Ihre — nicht die des Anbieters. Der Anbieter liefert Ihnen die Bausteine (welche Daten wo verarbeitet werden, welche Fristen gelten), aber die Information gegenüber Ihren Kunden verantworten Sie. Das ist keine Formalie, sondern der Kern jeder sauberen Auftragsverarbeitung.

Bei kyoomee ist diese Grenze bewusst scharf gezogen: Nimmt kyoomee im laufenden Betrieb die Anrufe eines Geschäftskunden entgegen, ist dieser Geschäftskunde der Verantwortliche und die Kyoomee GmbH die Auftragsverarbeiterin. Maßgeblich sind dann Ihre Datenschutzerklärung und der Auftragsverarbeitungsvertrag zwischen uns.

Der Auftragsverarbeitungsvertrag (AVV) — das Pflichtdokument

Weil der Anbieter Daten in Ihrem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag vor. Ohne ihn ist der Einsatz eines KI-Telefonassistenten in der Regel nicht rechtskonform — unabhängig davon, wie gut die Technik ist. Der AVV ist die vertragliche Grundlage, die festlegt, was der Anbieter mit den Daten darf und was nicht.

Ein AVV regelt unter anderem: den Gegenstand und die Dauer der Verarbeitung, die Art der Daten und die betroffenen Personen, die technischen und organisatorischen Schutzmaßnahmen, den Umgang mit Unterauftragnehmern (Sub-Prozessoren) und Ihre Kontroll- und Weisungsrechte. Achten Sie darauf, dass der Anbieter diesen Vertrag standardmäßig anbietet und nicht als teures Extra behandelt.

AVV nach Art. 28 DSGVO — schriftlich, vor dem ersten produktiven Anruf.
Eine nachvollziehbare Liste der eingesetzten Sub-Prozessoren (wer verarbeitet was, in welcher Region).
Ein geregelter Prozess, wenn sich ein Sub-Prozessor ändert — mit Vorabinformation und Widerspruchsmöglichkeit.
Dokumentierte technische und organisatorische Maßnahmen (Verschlüsselung, Zugriffskontrolle).

Wo werden die Daten verarbeitet? Warum "EU" die ehrlichere Antwort ist

"Server in Deutschland" klingt beruhigend, ist bei Sprach-KI aber selten die vollständige Wahrheit. Ein KI-Telefonassistent besteht aus mehreren Bausteinen: Telefonie, Spracherkennung, Sprachmodell und Sprachsynthese. Diese Bausteine können bei unterschiedlichen Dienstleistern und in unterschiedlichen Rechenzentren liegen. Seriös ist deshalb die Aussage, dass verarbeitet wird — und in welcher Region das geschieht.

Bei kyoomee läuft das Hosting auf Infrastruktur in Deutschland. Einzelne spezialisierte Anbieter für Telefonie und Sprach-KI verarbeiten Daten auch in den USA; diese Übermittlung ist abgesichert — über den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), sofern der Anbieter zertifiziert ist, und ergänzend über die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

Die Frage, die Sie einem Anbieter stellen sollten, lautet also nicht nur "Wo stehen Ihre Server?", sondern "Welcher Baustein wird wo verarbeitet, und wie ist jeder Drittlandbezug abgesichert?". Eine ehrliche, differenzierte Antwort ist ein gutes Zeichen; ein pauschales "100 % Deutschland" sollte eher Rückfragen auslösen.

KI-Transparenz nach dem EU-AI-Act (Art. 50)

Seit der EU-KI-Verordnung (VO (EU) 2024/1689) gibt es eine eigene Pflicht, die über die DSGVO hinausgeht: Wer ein KI-System einsetzt, das direkt mit Menschen spricht, muss diese Menschen darüber informieren, dass sie mit einer KI interagieren. Diese Transparenzpflicht aus Art. 50 ist ab dem 2. August 2026 anwendbar. Für KI-Telefonie ist das die zentrale neue Regel.

Konkret bedeutet das: Der Hinweis muss spätestens zur ersten Interaktion erfolgen — also zu Gesprächsbeginn, nicht am Ende. Er sollte klar und unmissverständlich sein. Um auf der sicheren Seite zu sein, empfiehlt es sich, das System eindeutig als KI zu benennen und sich nicht auf einen vagen Begriff wie "digitaler Assistent" zu verlassen. Bei kyoomee weist der Assistent als erste Ansage darauf hin, dass ein KI-Telefonassistent spricht, und Anrufer können jederzeit den Wunsch äußern, mit einem Menschen zu sprechen oder das Gespräch zu beenden.

Wichtig ist auch, was kyoomee bewusst nicht tut: keine Emotionserkennung und keine biometrische Kategorisierung. Solche Systeme lösen nach Art. 50 zusätzliche Pflichten aus — wer sie nicht einsetzt, muss diese Pflichten auch nicht erfüllen. Das ist eine bewusste Produktentscheidung, keine Lücke.

Aufzeichnung, Löschfristen und die Rechte der Anrufer

Ein Gespräch mitzuschneiden ist rechtlich etwas anderes als es nur zu bearbeiten. Eine Aufzeichnung braucht eine eigene Rechtsgrundlage — in der Praxis die Einwilligung des Anrufers, die vor Beginn der Aufzeichnung eingeholt werden muss. Verweigert jemand die Einwilligung, muss das Gespräch trotzdem normal weiterlaufen können. Bei kyoomee gibt es keine Tonaufzeichnung; gespeichert wird höchstens eine Text-Mitschrift.

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Für Mitschriften gilt bei kyoomee eine Aufbewahrung von höchstens 90 Tagen, pro Betrieb kürzer einstellbar; danach wird automatisch gelöscht. Sinnvoll ist, dass Fristen pro Datenart nachvollziehbar dokumentiert sind, statt "so lange wie nötig" ohne Zahl.

Die Betroffenenrechte gelten bei KI-Telefonie genauso wie überall sonst: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen sind grundsätzlich unentgeltlich und müssen zügig beantwortet werden — die DSGVO nennt eine Regelfrist von einem Monat (Art. 12 Abs. 3), die in Ausnahmefällen um zwei Monate verlängert werden kann. Als Verantwortlicher sind Sie Ansprechpartner für diese Rechte; ein guter Anbieter unterstützt Sie technisch dabei, sie zu erfüllen.

Eine praktische Checkliste für Ihre Auswahl

Sie müssen kein Datenschutzjurist sein, um einen Anbieter sinnvoll zu prüfen. Die folgenden Fragen decken die Punkte ab, die bei KI-Telefonie erfahrungsgemäß am häufigsten übersehen werden — und die Antworten sagen viel über die Reife eines Anbieters aus.

Wird ein AVV nach Art. 28 DSGVO standardmäßig und ohne Aufpreis angeboten?
In welcher Region wird jeder einzelne Baustein (Telefonie, Spracherkennung, Sprachmodell, Sprachsynthese) verarbeitet — und wie ist jeder Drittlandbezug abgesichert?
Erfolgt der KI-Hinweis nach Art. 50 automatisch zu Gesprächsbeginn und lässt er sich nicht ausschalten?
Ist die Aufzeichnung standardmäßig aus, und gibt es einen sauberen Einwilligungs-/Widerspruchsablauf?
Sind Löschfristen pro Datenart konkret genannt (z. B. höchstens 90 Tage für Mitschriften)?
Unterstützt der Anbieter Sie bei Auskunfts- und Löschanfragen Ihrer Anrufer?
Verzichtet das System auf Emotionserkennung und biometrische Kategorisierung — oder wird das transparent gemacht?

DSGVO bei KI-Telefonie: Worauf es wirklich ankommt.