Ist ein KI-Telefonassistent überhaupt DSGVO-konform einsetzbar?

Ja, wenn die Rahmenbedingungen stimmen: Verarbeitung in der EU, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen Ihnen und dem Anbieter, ein transparenter KI-Hinweis zu Gesprächsbeginn (Art. 50 EU-KI-Verordnung) und eine gesonderte Einwilligung, falls aufgezeichnet wird. Der Einsatz ist also kein Sonderfall, sondern folgt den normalen Regeln der Auftragsverarbeitung. Dieser Hinweis ersetzt keine Rechtsberatung.

Wer ist bei KI-Telefonie der Verantwortliche im Sinne der DSGVO?

Sie als Betrieb. Sie entscheiden, warum und wie die Anrufe verarbeitet werden, und sind damit Verantwortlicher (Art. 4 Nr. 7 DSGVO). Der Anbieter — bei uns die Kyoomee GmbH — verarbeitet die Daten in Ihrem Auftrag und ist Auftragsverarbeiter. Deshalb ist es auch Ihre Datenschutzerklärung, die Ihre Anrufer informiert, gestützt auf die Angaben, die der Anbieter Ihnen liefert.

Müssen Anrufer erfahren, dass sie mit einer KI sprechen?

Ja. Nach Art. 50 der EU-KI-Verordnung, anwendbar ab dem 2. August 2026, müssen Menschen darüber informiert werden, dass sie mit einem KI-System interagieren — und zwar spätestens zur ersten Interaktion. Bei kyoomee erfolgt dieser Hinweis als erste Ansage zu Gesprächsbeginn, und Anrufer können jederzeit den Wunsch äußern, mit einem Menschen zu sprechen.

Werden Gespräche aufgezeichnet — und wie lange gespeichert?

Eine Aufzeichnung ist nicht der Standard. Wird sie eingesetzt, wird zu Gesprächsbeginn darauf hingewiesen; wer nicht einverstanden ist, kann widersprechen, ohne den Service zu verlieren. Aufzeichnungen werden bei kyoomee standardmäßig nach 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Grundsätzlich werden Daten nur so lange gespeichert, wie es der jeweilige Zweck erfordert.

Werden Daten in die USA übermittelt?

Die Verarbeitung findet grundsätzlich in der EU statt (Hosting in Deutschland, ein Teil der Sprachverarbeitung in Schweden). Wo einzelne spezialisierte Anbieter für Sprach-KI ihren Sitz in den USA haben, ist eine Übermittlung über den EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend über die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) abgesichert. Die konkreten Regionen und Absicherungen benennen wir im AVV und auf Anfrage.

DSGVO bei KI-Telefonie: Der Leitfaden für KMU

Wer ist wofür verantwortlich? Die wichtigste Weiche zuerst

Sobald ein KI-Assistent Anrufe für Ihren Betrieb entgegennimmt, entsteht eine klare Rollenverteilung im Sinne der DSGVO — und die zu verstehen, erspart die meisten späteren Diskussionen. Sie als Betrieb entscheiden, warum und wie die Anruferdaten verarbeitet werden. Damit sind Sie der Verantwortliche (Art. 4 Nr. 7 DSGVO). Der Anbieter der Technik verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen — er ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

Praktisch heißt das: Die Datenschutzerklärung, die Ihre Anrufer betrifft, ist Ihre — nicht die des Anbieters. Der Anbieter liefert Ihnen die Bausteine (welche Daten wo verarbeitet werden, welche Fristen gelten), aber die Information gegenüber Ihren Kunden verantworten Sie. Das ist keine Formalie, sondern der Kern jeder sauberen Auftragsverarbeitung.

Bei kyoomee ist diese Grenze bewusst scharf gezogen: Nimmt kyoomee im laufenden Betrieb die Anrufe eines Geschäftskunden entgegen, ist dieser Geschäftskunde der Verantwortliche und die Kyoomee GmbH die Auftragsverarbeiterin. Maßgeblich sind dann Ihre Datenschutzerklärung und der Auftragsverarbeitungsvertrag zwischen uns.

Der Auftragsverarbeitungsvertrag (AVV) — das Pflichtdokument

Weil der Anbieter Daten in Ihrem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag vor. Ohne ihn ist der Einsatz eines KI-Telefonassistenten in der Regel nicht rechtskonform — unabhängig davon, wie gut die Technik ist. Der AVV ist die vertragliche Grundlage, die festlegt, was der Anbieter mit den Daten darf und was nicht.

Ein AVV regelt unter anderem: den Gegenstand und die Dauer der Verarbeitung, die Art der Daten und die betroffenen Personen, die technischen und organisatorischen Schutzmaßnahmen, den Umgang mit Unterauftragnehmern (Sub-Prozessoren) und Ihre Kontroll- und Weisungsrechte. Achten Sie darauf, dass der Anbieter diesen Vertrag standardmäßig anbietet und nicht als teures Extra behandelt.

AVV nach Art. 28 DSGVO — schriftlich, vor dem ersten produktiven Anruf.
Eine nachvollziehbare Liste der eingesetzten Sub-Prozessoren (wer verarbeitet was, in welcher Region).
Ein geregelter Prozess, wenn sich ein Sub-Prozessor ändert — mit Vorabinformation und Widerspruchsmöglichkeit.
Dokumentierte technische und organisatorische Maßnahmen (Verschlüsselung, Zugriffskontrolle).

Wo werden die Daten verarbeitet? Warum "EU" die ehrlichere Antwort ist

"Server in Deutschland" klingt beruhigend, ist bei Sprach-KI aber selten die vollständige Wahrheit. Ein KI-Telefonassistent besteht aus mehreren Bausteinen: Telefonie, Spracherkennung, Sprachmodell und Sprachsynthese. Diese Bausteine können bei unterschiedlichen Dienstleistern und in unterschiedlichen Rechenzentren liegen. Seriös ist deshalb die Aussage, dass verarbeitet wird — und in welcher Region das geschieht.

Bei kyoomee findet die Verarbeitung in der EU statt: Das Hosting läuft auf Infrastruktur in Deutschland, ein Teil der Sprachverarbeitung in Schweden. Wir sagen bewusst "in der EU" und nicht "ausschließlich in Deutschland", weil das der Realität entspricht. Wo einzelne spezialisierte Anbieter für Sprach-KI ihren Sitz in den USA haben, ist eine solche Übermittlung abgesichert — über den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), sofern der Anbieter zertifiziert ist, und ergänzend über die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

Die Frage, die Sie einem Anbieter stellen sollten, lautet also nicht nur "Wo stehen Ihre Server?", sondern "Welcher Baustein wird wo verarbeitet, und wie ist jeder Drittlandbezug abgesichert?". Eine ehrliche, differenzierte Antwort ist ein gutes Zeichen; ein pauschales "100 % Deutschland" sollte eher Rückfragen auslösen.

KI-Transparenz nach dem EU-AI-Act (Art. 50)

Seit der EU-KI-Verordnung (VO (EU) 2024/1689) gibt es eine eigene Pflicht, die über die DSGVO hinausgeht: Wer ein KI-System einsetzt, das direkt mit Menschen spricht, muss diese Menschen darüber informieren, dass sie mit einer KI interagieren. Diese Transparenzpflicht aus Art. 50 ist ab dem 2. August 2026 anwendbar. Für KI-Telefonie ist das die zentrale neue Regel.

Konkret bedeutet das: Der Hinweis muss spätestens zur ersten Interaktion erfolgen — also zu Gesprächsbeginn, nicht am Ende. Er sollte klar und unmissverständlich sein. Um auf der sicheren Seite zu sein, empfiehlt es sich, das System eindeutig als KI zu benennen und sich nicht auf einen vagen Begriff wie "digitaler Assistent" zu verlassen. Bei kyoomee weist der Assistent als erste Ansage darauf hin, dass ein KI-Telefonassistent spricht, und Anrufer können jederzeit den Wunsch äußern, mit einem Menschen zu sprechen oder das Gespräch zu beenden.

Wichtig ist auch, was kyoomee bewusst nicht tut: keine Emotionserkennung und keine biometrische Kategorisierung. Solche Systeme lösen nach Art. 50 zusätzliche Pflichten aus — wer sie nicht einsetzt, muss diese Pflichten auch nicht erfüllen. Das ist eine bewusste Produktentscheidung, keine Lücke.

Aufzeichnung, Löschfristen und die Rechte der Anrufer

Ein Gespräch mitzuschneiden ist rechtlich etwas anderes als es nur zu bearbeiten. Eine Aufzeichnung braucht eine eigene Rechtsgrundlage — in der Praxis die Einwilligung des Anrufers, die vor Beginn der Aufzeichnung eingeholt werden muss. Verweigert jemand die Einwilligung, muss das Gespräch trotzdem normal weiterlaufen können. Bei kyoomee ist die Aufzeichnung nicht der Standard; ist sie aktiviert, wird zu Gesprächsbeginn darauf hingewiesen, und wer nicht einverstanden ist, kann widersprechen, ohne den Service zu verlieren.

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Für Aufzeichnungen gilt bei kyoomee als Standard eine Aufbewahrung von 30 Tagen; danach wird gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sinnvoll ist, dass Fristen pro Datenart nachvollziehbar dokumentiert sind, statt "so lange wie nötig" ohne Zahl.

Die Betroffenenrechte gelten bei KI-Telefonie genauso wie überall sonst: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen sind grundsätzlich unentgeltlich und müssen zügig beantwortet werden — die DSGVO nennt eine Regelfrist von einem Monat (Art. 12 Abs. 3), die in Ausnahmefällen um zwei Monate verlängert werden kann. Als Verantwortlicher sind Sie Ansprechpartner für diese Rechte; ein guter Anbieter unterstützt Sie technisch dabei, sie zu erfüllen.

Eine praktische Checkliste für Ihre Auswahl

Sie müssen kein Datenschutzjurist sein, um einen Anbieter sinnvoll zu prüfen. Die folgenden Fragen decken die Punkte ab, die bei KI-Telefonie erfahrungsgemäß am häufigsten übersehen werden — und die Antworten sagen viel über die Reife eines Anbieters aus.

Wird ein AVV nach Art. 28 DSGVO standardmäßig und ohne Aufpreis angeboten?
In welcher Region wird jeder einzelne Baustein (Telefonie, Spracherkennung, Sprachmodell, Sprachsynthese) verarbeitet — und wie ist jeder Drittlandbezug abgesichert?
Erfolgt der KI-Hinweis nach Art. 50 automatisch zu Gesprächsbeginn und lässt er sich nicht ausschalten?
Ist die Aufzeichnung standardmäßig aus, und gibt es einen sauberen Einwilligungs-/Widerspruchsablauf?
Sind Löschfristen pro Datenart konkret genannt (z. B. 30 Tage für Aufzeichnungen)?
Unterstützt der Anbieter Sie bei Auskunfts- und Löschanfragen Ihrer Anrufer?
Verzichtet das System auf Emotionserkennung und biometrische Kategorisierung — oder wird das transparent gemacht?

DSGVO bei KI-Telefonie: Worauf es wirklich ankommt.