Sind KI-Anrufe in Deutschland legal? DSGVO-Guide

Sind KI-Anrufe in Deutschland erlaubt?

Ja. KI-Anrufe sind in Deutschland zulässig, wenn die DSGVO eingehalten wird. Es gibt kein Gesetz, das einen KI-Telefonassistenten verbietet. Entscheidend ist nicht die Technik, sondern wie Sie sie einsetzen: transparent, mit klarer Rechtsgrundlage, mit Vertrag zum Anbieter und mit sparsamem Umgang mit Daten.

Genau hier trennt sich seriöse KI-Telefonie von Grauzonen-Lösungen. KI-Telefon datenschutzorientiert zu betreiben heißt vor allem: Anrufende wissen, dass sie mit einem KI-System sprechen. Es werden nur die nötigen Daten verarbeitet. Der Anbieter hat einen ordentlichen Auftragsverarbeitungsvertrag und nutzt nachvollziehbare Speicher- und Verarbeitungsorte.

Hinweis: n3tz ist keine Anwaltskanzlei. Dieser Beitrag ist eine allgemeine Orientierung und keine Rechtsberatung. Die genannten Vorschriften (DSGVO, KI-Verordnung) sind allgemein zitiert, nicht auf Ihren Fall bezogen. Für Ihren konkreten Einzelfall binden Sie bitte Ihren Datenschutzbeauftragten oder eine spezialisierte Kanzlei ein.

Worum geht es bei „KI-Anrufen” überhaupt?

Ein KI-Telefonassistent nimmt konfigurierte Anrufe an, beantwortet Fragen nach hinterlegtem Wissen und erfasst vereinbarte Kontaktdaten als Vorgang. Ist ein Terminmodul aktiviert, kann er nach Verfügbarkeit und Kalenderregeln freie Zeiten anbieten. Dabei werden personenbezogene Daten verarbeitet: Name, Telefonnummer, das Anliegen und das Gesprächstranskript. n3tz fertigt keine eigene Audioaufnahme an und speichert kein Roh-Audio in seinen Systemen; die Echtzeit-Sprachdienste können Audiodaten nach den im AVV veröffentlichten Bedingungen verarbeiten und begrenzt aufbewahren.

Sobald personenbezogene Daten verarbeitet werden, greift die DSGVO. Das ist nichts Exotisches. Dasselbe gilt für einen klassischen Anrufbeantworter, ein CRM oder eine Telefonanlage. Die Anforderungen sind also bekannt; sie müssen nur sauber umgesetzt werden.

Die fünf Punkte, auf die es ankommt

1. Transparenz: der KI-Hinweis

Anrufende dürfen nicht im Unklaren gelassen werden. Sie müssen erkennen können, dass sie mit einem KI-System und nicht mit einem Menschen sprechen. In der Praxis löst man das mit einem kurzen Hinweis zu Beginn des Gesprächs, etwa: „Hier ist der digitale Assistent von [Firma].”

Der Hinweis dient der Transparenz, ist aber keine Einwilligung: Die Fortsetzung des Gesprächs ersetzt keine Rechtsgrundlage. Der einsetzende Betrieb muss die Verarbeitung für seinen konkreten Zweck auf eine tragfähige Grundlage stützen und die erforderlichen Informationen bereitstellen. Wer nicht mit der KI sprechen möchte, kann auflegen oder um einen menschlichen Rückruf bitten. Ein allgemein verfügbarer Live-Transfer gehört nicht zum öffentlichen Leistungsumfang. Nur im konfigurierten Notdienstfall kann Griffi nach Tier-2-Erkennung an eine gültig eingerichtete Bereitschaft übergeben; fehlen aktivierte Übergabe, gültige Bereitschaftsnummer oder kompatible Telefonie einschließlich SIP-Trunk, erfasst Griffi einen dringenden Rückruf. Zur 112 oder zu anderen Notrufdiensten stellt Griffi nie durch. Ein solcher Hinweis adressiert zugleich die Transparenzanforderung aus Art. 50 KI-Verordnung. Ob sie in Ihrem Fall vollständig erfüllt ist, hängt von Ihrer konkreten Ausgestaltung ab und können wir Ihnen nicht bescheinigen. Wie wir das umsetzen, erläutern wir in unserer Datenschutzerklärung und auf der Seite zur EU-KI-Verordnung.

2. Rechtsgrundlage: Art. 6 DSGVO

Jede Verarbeitung braucht eine Rechtsgrundlage. Für KI-Telefonie kommen vor allem zwei in Betracht:

• Vertragsanbahnung/-erfüllung (Art. 6 Abs. 1 lit. b): Ruft jemand an, um einen Termin zu vereinbaren oder ein Angebot zu bekommen, ist die Verarbeitung der Anfrage zur Durchführung dieser vorvertraglichen Maßnahme erforderlich.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Ein Unternehmen hat ein nachvollziehbares Interesse daran, erreichbar zu sein und Anliegen zu erfassen. Hier ist eine kurze Interessenabwägung zu dokumentieren.

Eine ausdrückliche Einwilligung (lit. a) ist für die normale organisatorische Anrufbearbeitung in der Regel nicht zwingend, wohl aber für darüber hinausgehende Zwecke wie Werbung.

3. Auftragsverarbeitung: Art. 28 DSGVO

Der KI-Telefonanbieter verarbeitet die Daten in Ihrem Auftrag. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Er regelt, was mit den Daten passieren darf, welche technischen und organisatorischen Maßnahmen gelten und welche Unterauftragsverarbeiter eingesetzt werden.

Ohne AVV ist der Einsatz nicht sauber abgesichert. Prüfen Sie deshalb vor Vertragsschluss, ob der Anbieter einen AVV bereitstellt, und ob darin die tatsächlich genutzten Subprozessoren benannt sind. Unseren AVV finden Sie unter Auftragsverarbeitungsvertrag.

4. Datensparsamkeit, Speicherort & Subprozessoren

Erheben Sie nur, was für den Zweck nötig ist. Für eine Terminanfrage braucht es Name, Kontakt und Anliegen, nicht mehr. Je weniger Daten anfallen, desto kleiner das Risiko.

Entscheidend ist außerdem, wo die Daten liegen und wer sie verarbeitet. Hier liegt der größte Unterschied zwischen Anbietern:

• Anwendungsdatenbank und Dateien: Die zentrale Anwendungsdatenbank von n3tz läuft bei Hetzner in Nürnberg. Alle Kundendateien und verschlüsselten externen Backups liegen in Cloudflare R2 mit Datenstandort EU. Weitere konkrete Anbieter und Datenflüsse sind im AVV benannt; diese Speicherorte sind deshalb keine pauschale Zusage, dass jeder Verarbeitungsschritt ausschließlich in Deutschland oder der EU stattfindet.
• KI-Unterauftragnehmer: Entscheidend ist die Modalität. Die Textverarbeitung für Live-Chat, E-Mail-Entwürfe, Gesprächszusammenfassungen, Lead-Extraktion und Website-Analyse ist auf Datenresidenz in der EU konfiguriert. Das KI-Live-Telefonat und die Begrüßungs-Sprachausgabe laufen über Echtzeit-Sprachdienste in den USA, auf Grundlage des EU-US Data Privacy Framework und ergänzender Standardvertragsklauseln. Bei den kostenpflichtigen KI-Diensten werden Eingaben und Antworten nicht zur Produktverbesserung genutzt; eine begrenzte Aufbewahrung beim Anbieter zur Missbrauchserkennung bleibt möglich. Welche Unterauftragnehmer das konkret sind, welche Transfermechanismen gelten und wie lange aufbewahrt wird, steht in der jeweils gültigen Fassung im AVV.

Der Vorteil gegenüber vielen rein US-basierten Diensten liegt damit nicht im vollständigen Verzicht auf Drittlandtransfers, sondern in ihrem klar abgegrenzten Umfang, den dokumentierten Schutzmechanismen und der transparenten Unterauftragnehmerliste.

5. Besondere Vorsicht bei Gesundheitsdaten: Art. 9 DSGVO

Gesundheitsdaten sind eine besondere Kategorie personenbezogener Daten (Art. 9 DSGVO) und genießen erhöhten Schutz. Griffi bietet das KI-Telefon derzeit nicht produktiv für Arztpraxen an. Die Anbieterbedingungen schließen die klinische Praxis, medizinische Beratung sowie Angebote aus, die an Minderjährige gerichtet sind oder voraussichtlich von ihnen genutzt werden. Ein späterer Einsatz setzt eine schriftlich bestätigte Anbieterfreigabe oder einen geeigneten alternativen Verarbeiter voraus und muss rein administrativ, auf volljährige Personen begrenzt und datenschutz- sowie berufsrechtlich geprüft sein.

Datenminimierung ist hier nicht nur Best Practice, sondern der sicherste Weg, gar nicht erst in die Art-9-Problematik zu geraten.

DSGVO-Checkliste für KI-Telefonie

Stellen Sie jedem Anbieter und auch Ihrer eigenen Konfiguration diese Fragen:

Speicher- und Transfermodell genau prüfen

Ein Drittlandtransfer ist nicht automatisch unzulässig; er muss aber für den konkreten Dienst, die Datenarten und die Transfergrundlage dokumentiert und bewertet werden. Bei n3tz sind die zentrale Anwendungsdatenbank in Nürnberg, Kundendateien und verschlüsselte externe Backups in R2 EU sowie die gesonderte US-Verarbeitung der Echtzeit-Sprache getrennt beschrieben. Diese Trennung erleichtert eine sachliche Prüfung, ersetzt aber nicht die Bewertung des Einzelfalls.

Was Sie konkret tun sollten

1. Hinweis einrichten: Stellen Sie sicher, dass jedes KI-Gespräch mit einem klaren KI-Hinweis startet.
2. Rechtsgrundlage festhalten: Notieren Sie kurz, worauf Sie die Verarbeitung stützen, und führen Sie ggf. die Interessenabwägung durch.
3. AVV vereinbaren: Kein KI-Telefon ohne wirksam einbezogenen Auftragsverarbeitungsvertrag.
4. Konfiguration prüfen: Welche Daten werden erfasst? Lässt sich Überflüssiges abschalten, vor allem bei Gesundheitsdaten?
5. In die Datenschutzdokumentation aufnehmen: Ergänzen Sie das Verzeichnis von Verarbeitungstätigkeiten und Ihre Datenschutzerklärung. Wie wir das handhaben, sehen Sie in unserer Datenschutzerklärung.
6. Im Zweifel Fachrat holen: Ihr Datenschutzbeauftragter oder eine Kanzlei prüft den Einzelfall.

Transparenz und Datenflüsse entscheiden

KI-Telefonie kann in Deutschland rechtmäßig eingesetzt werden, wenn der konkrete Zweck, die Rechtsgrundlage, Transparenz, Auftragsverarbeitung, Datenminimierung und die jeweiligen Datenflüsse passen. Ob diese Voraussetzungen erfüllt sind, hängt vom Einsatzfall und der Konfiguration ab.

Nachvollziehbar getrennte Speicherorte und transparent benannte KI-Unterauftragnehmer sind dabei zentral: Die Datenflüsse bleiben prüfbar dokumentiert, und genau das können Sie Ihren Kunden zeigen.

Mehr erfahren: KI-Telefon in Griffi → oder unsere Datenschutzerklärung lesen →