DSGVO & KI-Telefonie

Warum Datenschutz bei KI-Telefonie so wichtig ist

KI-Anrufbeantworter sind technisch gesehen Auftragsverarbeiter: Sie nehmen Anrufe in Ihrem Namen entgegen und verarbeiten dabei personenbezogene Daten. Dazu gehören Name, Telefonnummer, Anliegen — und im medizinischen Umfeld: Gesundheitsdaten.

Das klingt abstrakt, hat aber konkrete Konsequenzen. Wer einen schlecht konfigurierten oder datenschutzrechtlich unzureichenden Dienst einsetzt, riskiert:

• Bußgelder nach Art. 83 DSGVO (bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes)
• Strafbarkeit nach § 203 StGB bei unbefugter Offenbarung von Berufsgeheimnissen (Ärzte, Rechtsanwälte, Steuerberater)
• Reputationsschäden bei Datenpannen

Die gute Nachricht: Mit dem richtigen Anbieter und einer sauberen Konfiguration ist KI-Telefonie vollständig DSGVO-konform umsetzbar. Dieser Artikel erklärt, worauf Sie achten müssen.

Welche Daten werden bei einem KI-Anrufbeantworter verarbeitet?

Beim Einsatz eines KI-Anrufbeantworters fallen folgende personenbezogene Daten an:

Gesundheitsdaten und Berufsgeheimnisse fallen unter besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für deren Verarbeitung gelten erhöhte Anforderungen — unter anderem ein expliziter AV-Vertrag und technisch-organisatorische Schutzmaßnahmen.

Rechtsgrundlagen für die Verarbeitung

Die DSGVO erfordert für jede Datenverarbeitung eine Rechtsgrundlage (Art. 6 DSGVO). Beim Einsatz eines KI-Anrufbeantworters kommen in der Praxis zwei in Betracht:

1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Die Aufzeichnung und Transkription eines Anrufs ist notwendig, um das Anliegen des Anrufers bearbeiten zu können — z. B. einen Termin zu vergeben oder einen Rückruf zu ermöglichen. Das ist eine vertragliche oder vorvertragliche Maßnahme.

2. Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)

Das berechtigte Interesse des Unternehmens an einer lückenlosen Erreichbarkeit und einer strukturierten Kommunikation kann ebenfalls als Rechtsgrundlage dienen — sofern die Interessen der Anrufer nicht überwiegen.

Für besondere Datenkategorien (Gesundheitsdaten): Hier ist Art. 9 Abs. 2 lit. h DSGVO relevant — die Verarbeitung ist zulässig für die Gesundheitsversorgung und ärztliche Behandlung durch Fachkräfte, die dem Berufsgeheimnis unterliegen.

Der Auftragsverarbeitungsvertrag (AV-Vertrag)

Wenn Sie einen externen Dienst mit der Verarbeitung personenbezogener Daten beauftragen, sind Sie nach Art. 28 DSGVO verpflichtet, einen Auftragsverarbeitungsvertrag abzuschließen. Das ist keine bürokratische Formalität — es ist eine rechtliche Voraussetzung.

Was der AV-Vertrag regeln muss

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien betroffener Personen
• Rechte und Pflichten des Verantwortlichen
• Technische und organisatorische Maßnahmen (TOMs) des Auftragsverarbeiters
• Regelungen zu Unterauftragsverarbeitern

Achtung bei anderen Anbietern: Viele günstige KI-Dienste aus den USA oder UK bieten keinen AV-Vertrag nach deutschem Standard an oder verwenden Standardvertragsklauseln, die in Deutschland nicht ausreichend sind. Prüfen Sie das vor dem Einsatz.

Besonderheiten für Arztpraxen: § 203 StGB

Ärzte, Psychotherapeuten, Zahnärzte und andere Heilberufsangehörige unterliegen der ärztlichen Schweigepflicht nach § 203 StGB. Das bedeutet: Sie dürfen Patientengeheimnisse nicht unbefugt an Dritte weitergeben.

Ein KI-Anrufbeantworter ist ein Dritter im Sinne des § 203 StGB — es sei denn, er ist als „sonstiger Berufsgeheimnisträger-Assistent" nach § 203 Abs. 3 StGB qualifiziert. Das erfordert:

• Der Anbieter verpflichtet seine Mitarbeiter ausdrücklich zur Verschwiegenheit
• Die Verarbeitung erfolgt auf Weisung des Arztes
• Der Anbieter ist vertraglich zur Geheimhaltung verpflichtet

telefon.ki erfüllt diese Voraussetzungen durch den AV-Vertrag und die technisch-organisatorischen Maßnahmen. Da bei telefon.ki zudem keine menschlichen Mitarbeiter des Dienstleisters Zugang zu den Transkriptionen haben — die Verarbeitung erfolgt vollautomatisch auf deutschen Servern — ist das Risiko einer Verletzung der Schweigepflicht erheblich geringer als bei einem klassischen Telefonservice mit menschlichen Agenten.

Empfehlung für Arztpraxen: Holen Sie eine kurze schriftliche Einschätzung Ihres Datenschutzbeauftragten ein, bevor Sie den Dienst produktiv einsetzen. In den meisten Fällen ist der Einsatz unkompliziert möglich.

Besonderheiten für Kanzleien und Steuerberater

Rechtsanwälte und Steuerberater unterliegen ebenfalls der Verschwiegenheitspflicht nach § 203 StGB. Die Anforderungen sind analog zu denen für Arztpraxen.

Zusätzliche Anforderungen für Kanzleien

• Mandatsgeheimnisse dürfen nicht ohne Einwilligung des Mandanten an Dritte gelangen
• Die Bundesrechtsanwaltskammer (BRAK) hat Leitlinien für den Einsatz von Cloud-Diensten veröffentlicht — darunter die Anforderung, dass Daten auf Servern in Deutschland oder der EU gespeichert werden müssen
• Für die Steuerberatung gilt § 57 StBerG — die berufsrechtliche Verschwiegenheitspflicht

Praktische Empfehlung: Steuerkanzleien und Rechtsanwaltskanzleien können telefon.ki einsetzen, wenn der AV-Vertrag vorliegt, die Daten auf deutschen Servern verarbeitet werden und die Ansage den Anrufer transparent über die Aufzeichnung informiert.

Serverstandort und Drittlandtransfer

Einer der kritischsten Punkte beim Datenschutz für KI-Dienste: Wo werden die Daten tatsächlich verarbeitet?

Nach Art. 44 ff. DSGVO ist ein Datentransfer in Drittländer (außerhalb der EU/EWR) nur unter strengen Voraussetzungen zulässig — zum Beispiel durch Standardvertragsklauseln (SCCs) oder einen Angemessenheitsbeschluss der EU-Kommission (z. B. für UK oder USA).

US-amerikanische Dienste (auch solche, die mit SCCs arbeiten) sind in Deutschland datenschutzrechtlich umstritten — insbesondere nach dem Schrems-II-Urteil des EuGH. Viele Datenschutzbehörden empfehlen, für besonders sensible Daten (Gesundheitsdaten, Anwaltskorrespondenz) ausschließlich Dienste mit Serverstandort in Deutschland oder der EU zu nutzen.

Transparenzpflicht: Müssen Anrufer informiert werden?

Nach Art. 13 DSGVO müssen betroffene Personen bei der Erhebung ihrer Daten informiert werden — auch Anrufer, deren Gespräche aufgezeichnet und transkribiert werden.

Wie Sie die Transparenzpflicht erfüllen

Löschfristen und Datenhygiene

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck der Verarbeitung erforderlich sind (Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO).

Empfohlene Löschfristen für KI-Anrufbeantworter

Bei telefon.ki können Sie in der App individuelle Löschfristen konfigurieren. Einzelne Einträge können jederzeit manuell gelöscht werden. Automatische Löschung nach definierten Zeiträumen ist im Business-Tarif enthalten.

Checkliste: DSGVO-konformer Einsatz

Nutzen Sie diese Checkliste vor dem produktiven Einsatz eines KI-Anrufbeantworters:

• AV-Vertrag nach Art. 28 DSGVO liegt vor und ist unterzeichnet
• Serverstandort ist Deutschland oder EU — kein Drittlandtransfer
• Technisch-organisatorische Maßnahmen (TOMs) des Anbieters sind dokumentiert
• Begrüßungsansage enthält Hinweis auf Aufzeichnung
• Datenschutzerklärung auf der Website ist aktualisiert
• Löschfristen sind in der App konfiguriert
• (Für Praxen/Kanzleien) Datenschutzbeauftragter wurde einbezogen
• Verarbeitungsverzeichnis nach Art. 30 DSGVO wurde aktualisiert
• Mitarbeiter sind über den Umgang mit Transkriptionen informiert

KI-Telefonie und DSGVO schließen sich nicht aus — aber der Teufel steckt im Detail. Serverstandort, AV-Vertrag, Transparenzpflicht und Löschfristen sind keine optionalen Extras, sondern rechtliche Mindestanforderungen. telefon.ki wurde von Anfang an für den datenschutzkonformen Einsatz in deutschen Unternehmen und Praxen entwickelt — mit deutschen Servern, automatischem AV-Vertrag und konfigurierbaren Löschfristen.

Häufige Fragen