KI und Datensicherheit 2026: Der DSGVO-Leitfaden für Voice Agents und KI-Chat im Kundenservice

Kurz gesagt: Ein KI-Telefonassistent oder Chatbot lässt sich DSGVO-konform betreiben, wenn sieben Punkte geklärt sind: Rechtsgrundlage, Auftragsverarbeitungsvertrag, Übermittlungen in Drittländer, Datenschutz-Folgenabschätzung, Aufzeichnung, Löschfristen und Datenschutzinformation samt KI-Hinweis. Verantwortlich bleibt Ihr Unternehmen, nicht der Anbieter der Plattform. Für KI im Kundensupport steht die Datenschutz-Folgenabschätzung auf der Muss-Liste der deutschen Aufsichtsbehörden. Dieser Leitfaden geht alle Punkte der Reihe nach durch, mit dem Gesetzestext als Quelle.

Wir haben diesen Beitrag im Oktober 2026 vollständig neu geschrieben. Die erste Fassung vom Februar 2026 versprach technische Eigenschaften wie Ende-zu-Ende-Verschlüsselung, eine Verarbeitung ausschließlich in zertifizierten EU-Rechenzentren und eine Speicherung ohne jede Datenaufbewahrung. Diese Aussagen können wir in dieser Form nicht belegen. Sie sind raus. Was EchoCall tatsächlich bietet, steht im Abschnitt zu EchoCall. Neu sind die konkreten Pflichten aus DSGVO, Strafgesetzbuch, TDDDG, Handelsgesetzbuch und KI-Verordnung, jeweils mit Fundstelle.

Der Leitfaden richtet sich an Unternehmen, die Anrufe oder Website-Chats von einer KI annehmen lassen wollen: Praxen, Kanzleien, Handwerksbetriebe, Onlineshops, Agenturen. Er ersetzt nicht das Gespräch mit Ihrem Datenschutzbeauftragten. Er zeigt aber, welche Fragen Sie ihm und Ihrem Anbieter stellen sollten.

Welche Daten ein Voice Agent oder Chatbot verarbeitet

Bevor es um Paragrafen geht, lohnt ein Blick auf die Datenflüsse. Bei einem typischen Anruf fallen an:

• Rufnummer und Verbindungsdaten des Anrufers
• die Stimme als Audiosignal, das in Text umgewandelt wird
• der Gesprächsinhalt als Transkript, oft mit Name, Anliegen, Adresse oder Terminwunsch
• Ergebnisse von Aktionen, etwa ein Termin im Kalender, ein Ticket im Helpdesk oder ein Eintrag im CRM
• Protokolle für Abrechnung und Fehlersuche

Beim Website-Chat kommen technische Daten aus dem Browser hinzu, etwa eine Sitzungskennung. Schreiben Besucher Namen, E-Mail-Adressen oder Bestellnummern in den Chat, ist auch das personenbezogen.

Diese Daten durchlaufen mehrere Stationen: Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe, Speicherung und angebundene Werkzeuge. Jede Station ist eine Frage für Ihre Prüfung. Wo läuft sie? Wer betreibt sie? Wie lange bleibt dort etwas liegen?

Eine Klarstellung zur Stimme: Sie ist nicht automatisch ein biometrisches Datum im Sinne von Art. 9 DSGVO. Die Vorschrift erfasst biometrische Daten "zur eindeutigen Identifizierung einer natürlichen Person". [1] Ein Agent, der nur versteht, was gesagt wird, identifiziert niemanden anhand seiner Stimme. Anders liegt es, wenn ein System Anrufer an ihrem Stimmabdruck erkennt.

Wer ist verantwortlich, wenn die KI telefoniert?

Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer "über die Zwecke und Mittel der Verarbeitung" entscheidet. [1] Das ist Ihr Unternehmen. Sie legen fest, dass ein Agent Anrufe annimmt, was er fragt und wohin die Daten gehen. Der Anbieter der Plattform verarbeitet die Daten in Ihrem Auftrag. Er ist Auftragsverarbeiter.

Daraus folgen drei Pflichten für Sie:

1. Sie brauchen für jede Verarbeitung eine Rechtsgrundlage.
2. Sie müssen Anrufer und Chat-Nutzer informieren.
3. Sie dürfen nur mit Anbietern arbeiten, die "hinreichend Garantien" für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1). [1]

Der Anbieter muss Sie dabei unterstützen. Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der deutschen Aufsichtsbehörden, schreibt in ihrer Orientierungshilfe zu KI: Wer eine KI-Anwendung nicht selbst entwickelt, muss darauf achten, dass der Anbieter genug Informationen liefert, um die Transparenzpflichten erfüllen zu können. [2]

Rechtsgrundlage: Welche Bedingung aus Art. 6 DSGVO trägt?

Art. 6 Abs. 1 DSGVO erlaubt eine Verarbeitung nur, wenn mindestens eine von sechs Bedingungen erfüllt ist. [1] Für KI im Kundenservice sind vier davon relevant. Die Wahl hängt vom Zweck ab, nicht von der Technik. Die Tabelle zeigt typische Zuordnungen. Im Einzelfall kann eine andere Grundlage passen.

Gesundheitsdaten und andere besondere Kategorien. Erzählt ein Anrufer in der Arztpraxis von seinen Beschwerden, verarbeitet der Agent Gesundheitsdaten. Deren Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt. [1] Erlaubt ist sie nur mit einer Ausnahme aus Abs. 2, etwa einer ausdrücklichen Einwilligung (lit. a) oder wenn sie für die Versorgung oder Behandlung im Gesundheitsbereich erforderlich ist (lit. h). Ärzte, Therapeuten und Anwälte müssen zusätzlich die Schweigepflicht nach § 203 StGB beachten. Sie dürfen Geheimnisse an mitwirkende Dienstleister nur weitergeben, soweit das für deren Tätigkeit erforderlich ist, und müssen dafür sorgen, dass diese zur Geheimhaltung verpflichtet sind. [3] Wie das in der Praxis aussieht, beschreibt unser Beitrag zur Terminvergabe in der Arztpraxis.

Keine automatisierte Letztentscheidung. Art. 22 DSGVO gibt jedem das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihm gegenüber rechtliche Wirkung entfaltet oder ihn in ähnlicher Weise erheblich beeinträchtigt. [1] Ein Agent, der Termine vergibt oder Fragen beantwortet, trifft in diesem Sinn meist keine solche Entscheidung. Anders ist es, wenn er Anfragen ablehnt, Kunden nach Bonität sortiert oder Bewerber aussortiert. Die DSK stellt klar, dass eine nur formelle Beteiligung eines Menschen nicht ausreicht. [2] Lassen Sie den Agenten in solchen Fällen nur Angaben sammeln. Entscheiden soll ein Mensch mit echtem Spielraum.

Auftragsverarbeitung nach Art. 28: Was in den AVV gehört

Ohne Auftragsverarbeitungsvertrag (AVV) darf kein Anbieter Gesprächsdaten für Sie verarbeiten. Art. 28 Abs. 3 DSGVO legt fest, was mindestens im Vertrag stehen muss. [1] In Kurzform:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen
• Verarbeitung nur auf Ihre dokumentierte Weisung, auch bei Übermittlungen in Drittländer
• Verpflichtung der beteiligten Personen zur Vertraulichkeit
• die Sicherheitsmaßnahmen nach Art. 32
• Regeln für weitere Auftragsverarbeiter
• Unterstützung bei Anfragen von Betroffenen und bei Ihren Pflichten nach Art. 32 bis 36, also auch bei der Datenschutz-Folgenabschätzung
• Löschung oder Rückgabe aller Daten nach Vertragsende, nach Ihrer Wahl
• Nachweise und Überprüfungen, einschließlich Inspektionen

Die Kette der Unterauftragnehmer. Ein Voice Agent besteht selten aus einem einzigen Dienst. Spracherkennung, Sprachmodell, Sprachausgabe, Telefonie und Hosting stammen oft von verschiedenen Unternehmen. Jedes davon ist ein weiterer Auftragsverarbeiter. Art. 28 Abs. 2 verlangt dafür Ihre vorherige Genehmigung. Bei einer allgemeinen Genehmigung muss der Anbieter Sie über jede geplante Änderung informieren, damit Sie widersprechen können. [1] Nach Abs. 4 müssen dieselben Datenschutzpflichten an jeden weiteren Auftragsverarbeiter weitergegeben werden. Bitten Sie deshalb um die vollständige Liste, mit Sitz und Aufgabe jedes Dienstes.

Training mit Ihren Daten. Fragen Sie ausdrücklich, ob Gesprächsinhalte zum Training von KI-Modellen genutzt werden. Die DSK hält Anwendungen für datenschutzrechtlich vorzugswürdig, die Ein- und Ausgabedaten nicht für das Training verwenden. [2]

White Label und Wiederverkauf. Agenturen, die KI-Agenten unter eigener Marke an ihre Kunden weitergeben, stehen in der Mitte der Kette. Gegenüber ihren Kunden sind sie Auftragsverarbeiter, die Plattform ist dann ein weiterer Auftragsverarbeiter. Die Pflichten aus Art. 28 Abs. 4 müssen lückenlos durchgereicht werden. Für Ihre Kunden brauchen Sie deshalb drei Unterlagen: einen eigenen AVV, die Liste der Unterauftragnehmer und eine Beschreibung der technischen und organisatorischen Maßnahmen.

Drittlandtransfer: Was gilt für US-Anbieter und KI-Modelle?

Viele KI-Dienste stammen von Unternehmen aus den USA. Art. 44 DSGVO stellt den Grundsatz auf: Eine Übermittlung in ein Drittland ist nur zulässig, wenn die Bedingungen des Kapitels V eingehalten werden. [1] In der Praxis gibt es zwei Wege.

Weg 1: Angemessenheitsbeschluss. Nach Art. 45 darf übermittelt werden, wenn die EU-Kommission einem Drittland ein angemessenes Schutzniveau bescheinigt hat. [1] Für die USA ist das der Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 zum Datenschutzrahmen EU-USA, englisch EU-US Data Privacy Framework. [4] Er gilt nach seinem Art. 1 aber nur für Übermittlungen an Organisationen, die in der Data Privacy Framework List des US-Handelsministeriums stehen. Prüfen Sie also für jeden US-Dienst in der Kette, ob er dort aufgeführt ist. Das Gericht der EU hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23). [5] Der Beschluss gilt damit weiter.

Weg 2: Geeignete Garantien. Fehlt ein Angemessenheitsbeschluss oder ist ein Empfänger nicht gelistet, erlaubt Art. 46 eine Übermittlung mit geeigneten Garantien. [1] Die wichtigsten sind die Standardvertragsklauseln der Kommission aus dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021. [6] Nach Klausel 14 müssen die Parteien beurteilen, ob Recht und Praxis im Zielland den Empfänger daran hindern, die Klauseln einzuhalten. Diese Beurteilung ist zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen.

Reicht ein Server in Deutschland?

Nicht allein. Der Ort, an dem Daten gespeichert werden, sagt wenig darüber, wo sie verarbeitet werden. Ein Anbieter kann Kundendaten in Frankfurt speichern und das Sprachmodell trotzdem über einen Dienst in den USA aufrufen. Auch wer aus einem Drittland auf die Daten zugreifen kann, etwa ein Support-Team oder eine Muttergesellschaft, gehört in die Prüfung. Fragen Sie deshalb nicht nur nach dem Speicherort. Fragen Sie nach jedem Verarbeitungsschritt: Spracherkennung, Sprachmodell, Sprachausgabe, Telefonie, Backups und Support.

Wer gezielt nach Anbietern mit Datenresidenz in der EU sucht, sollte die Antworten deshalb genau lesen. "EU-Hosting" heißt nicht, dass jede Station der Kette in der EU liegt. Dieselbe Frage stellt sich bei bekannten US-Plattformen für Voice Agents. Für zwei davon haben wir das in eigenen Beiträgen durchgesehen: Vapi und Retell AI.

Datenschutz-Folgenabschätzung: Ist sie bei KI im Kundenservice Pflicht?

Art. 35 Abs. 1 DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Verarbeitung "insbesondere bei Verwendung neuer Technologien" voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. [1] Die Aufsichtsbehörden veröffentlichen nach Abs. 4 Listen der Verarbeitungen, für die eine DSFA durchzuführen ist.

Die Muss-Liste der deutschen Aufsichtsbehörden nennt unter Nummer 11 den Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten "zur Steuerung der Interaktion mit den Betroffenen". Als typisches Einsatzfeld steht dort "Kundensupport mittels künstlicher Intelligenz". Das Beispiel der Liste passt genau auf Voice Agents und Chatbots: ein System, "welches mit Kunden durch Konversation interagiert" und für deren Beratung personenbezogene Daten durch eine KI verarbeitet. [7] Nummer 13 nennt zusätzlich die automatisierte Auswertung von Telefongesprächen, etwa wenn ein Callcenter die Stimmungslage der Anrufer auswertet.

Die Orientierungshilfe der DSK zu KI hält fest, dass eine DSFA beim Einsatz von KI-Anwendungen "vielfach der Fall sein" wird. [2] Planen Sie die DSFA deshalb von Anfang an ein.

Was hineingehört, regelt Art. 35 Abs. 7: [1]

1. eine systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke
2. eine Bewertung von Notwendigkeit und Verhältnismäßigkeit
3. eine Bewertung der Risiken für die Betroffenen
4. die geplanten Abhilfemaßnahmen

Für einen KI-Telefonassistenten heißt das: Beschreiben Sie den Gesprächsablauf, die abgefragten Daten, die angebundenen Systeme und die Speicherfristen. Bewerten Sie Risiken wie falsche Auskünfte, ungewollt erfasste Gesundheitsdaten, unbefugten Zugriff auf Transkripte und Übermittlungen in Drittländer. Halten Sie die Gegenmaßnahmen fest: wenige Pflichtfragen im Gesprächsleitfaden, Weiterleitung an einen Menschen, kurze Löschfristen, enge Zugriffsrechte. Haben Sie einen Datenschutzbeauftragten, holen Sie nach Abs. 2 seinen Rat ein. [1]

Ohne Angaben des Anbieters zur Funktionsweise des Systems lässt sich eine DSFA kaum erstellen. Die DSK rät deshalb, schon bei der Auswahl darauf zu achten, dass der Anbieter diese Informationen bereitstellt. [2]

Gespräche aufzeichnen: § 201 StGB und DSGVO

Hier liegt der schärfste Punkt, denn er ist strafbewehrt. Nach § 201 Abs. 1 StGB wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft, wer unbefugt "das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt". [8] Schon der Versuch ist strafbar (Abs. 4). Ein Telefonat mit Ihrem Unternehmen ist in aller Regel nichtöffentlich.

Unterscheiden Sie zwei Vorgänge:

• Verarbeitung in Echtzeit. Der Agent muss zuhören, um antworten zu können. Die Sprache wird dafür fortlaufend in Text umgewandelt.
• Speicherung als Audiodatei. Wird das Gespräch als Ton abgelegt, liegt eine Aufnahme auf einem Tonträger nahe. Dafür brauchen Sie eine Befugnis. Im Kundenservice kommt dafür vor allem die Einwilligung des Anrufers in Betracht, nach einem klaren Hinweis zu Beginn.

Ob schon die reine Echtzeit-Verarbeitung durch eine KI eine Aufnahme im Sinne von § 201 StGB ist, ist nicht abschließend geklärt. Eine höchstrichterliche Entscheidung dazu ist uns nicht bekannt.

Unabhängig vom Strafrecht ist ein Transkript ein personenbezogenes Datum. Es unterliegt dem Grundsatz der Datenminimierung: Daten müssen "auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein" (Art. 5 Abs. 1 lit. c DSGVO). [1]

Vier praktische Regeln:

1. Speichern Sie Audio nur, wenn Sie einen konkreten Zweck haben, etwa die Klärung von Streitfällen.
2. Kündigen Sie eine Aufzeichnung zu Beginn an und bieten Sie einen Weg ohne Aufzeichnung an.
3. Fragen Sie Ihren Anbieter, ob sich die Audiospeicherung abschalten lässt und wie lange Transkripte gespeichert bleiben.
4. Beschränken Sie den Zugriff auf Transkripte auf die Personen, die sie für ihre Arbeit brauchen.

Löschfristen: Wie lange dürfen Transkripte und Aufnahmen bleiben?

Die DSGVO nennt keine feste Zahl. Sie verlangt Speicherbegrenzung: Daten dürfen in identifizierbarer Form nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist (Art. 5 Abs. 1 lit. e). [1] Die Speicherdauer oder die Kriterien dafür nennen Sie in der Datenschutzinformation (Art. 13 Abs. 2 lit. a). Und Ihr Anbieter muss nach Vertragsende alle Daten nach Ihrer Wahl löschen oder zurückgeben (Art. 28 Abs. 3 lit. g).

Legen Sie Fristen je Datenart fest. Die folgende Tabelle ist ein Beispiel, keine gesetzliche Vorgabe:

Zum Handelsrecht: § 257 Abs. 4 HGB verlangt zehn Jahre für Handelsbücher und Jahresabschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für empfangene und abgesandte Handelsbriefe. [9] Handelsbriefe sind nach Abs. 2 nur Schriftstücke, die ein Handelsgeschäft betreffen. Ein Transkript zu einer Frage nach den Öffnungszeiten betrifft kein Handelsgeschäft. Wird aus einem Gespräch eine Bestellung, können für die daraus entstehenden Unterlagen die handelsrechtlichen Fristen gelten.

Denken Sie auch an das Recht auf Löschung. Nach Art. 17 können Betroffene verlangen, dass ihre Daten gelöscht werden, etwa wenn sie für den Zweck nicht mehr notwendig sind. [1] Klären Sie vorab, wie Sie die Gespräche eines einzelnen Anrufers finden, zum Beispiel über die Rufnummer, und wie Sie sie löschen.

Informationspflichten nach Art. 13: Was Anrufer und Chat-Nutzer erfahren müssen

Art. 13 Abs. 1 DSGVO verlangt die Information "zum Zeitpunkt der Erhebung dieser Daten". [1] Dazu gehören unter anderem:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls auch des Datenschutzbeauftragten
• Zwecke und Rechtsgrundlage, bei Art. 6 Abs. 1 lit. f auch das berechtigte Interesse
• Empfänger oder Kategorien von Empfängern, also auch die Dienstleister hinter der KI-Plattform
• eine geplante Übermittlung in ein Drittland und die Grundlage dafür
• die Speicherdauer oder die Kriterien dafür
• die Rechte der Betroffenen, das Beschwerderecht bei einer Aufsichtsbehörde und bei einer Einwilligung das Recht, sie zu widerrufen

Am Telefon können Sie das nicht vorlesen. Eine praktikable Lösung ist ein kurzer Satz zu Beginn, der Ihr Unternehmen und den Zweck nennt und auf die vollständige Datenschutzinformation auf Ihrer Website verweist. Ein Beispiel für die erste Nachricht des Agenten: "Guten Tag, hier ist der KI-Assistent der Praxis Muster. Ich helfe Ihnen bei Terminen und verarbeite dafür Ihre Angaben. Mehr dazu finden Sie unter praxis-muster.de/datenschutz."

Im Chat gehört ein Link zur Datenschutzinformation sichtbar in das Widget, noch vor der ersten Nachricht. Zusätzlich gilt § 25 TDDDG: Wer Informationen im Browser des Nutzers speichert oder dort ausliest, braucht dafür grundsätzlich eine Einwilligung. [10] Ausgenommen ist, was unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Ein Chat, den der Besucher selbst öffnet, kann darunter fallen. Für Tracking und Reichweitenmessung über das Widget greift die Ausnahme in aller Regel nicht. Lassen Sie sich vom Anbieter erklären, was das Widget wann im Browser speichert.

KI-Hinweis nach Art. 50 der KI-Verordnung

Seit dem 2. August 2026 gilt die KI-Verordnung (EU) 2024/1689 allgemein (Art. 113). [11] Art. 50 Abs. 1 verpflichtet Anbieter, KI-Systeme für die direkte Interaktion mit Menschen so zu gestalten, dass diese informiert werden, "dass sie mit einem KI-System interagieren". Ausgenommen ist nur, was für einen verständigen Menschen aus den Umständen ohnehin offensichtlich ist. Nach Abs. 5 muss die Information "spätestens zum Zeitpunkt der ersten Interaktion" klar und eindeutig erfolgen. Verstöße gegen die Transparenzpflichten nach Art. 50 können nach Art. 99 Abs. 4 mit bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. [11]

Für die Praxis heißt das: Der Hinweis gehört in den ersten Satz, nicht in die Datenschutzerklärung. Am Telefon reicht ein Halbsatz wie im Beispiel oben. Im Chat genügt ein gut sichtbarer Hinweis im Widget. KI-Hinweis und Datenschutzinformation lassen sich in derselben Begrüßung verbinden.

Ein Sonderfall ist die Auswertung von Gefühlen. Wer aus der Stimme oder dem Text Emotionen ableitet, betreibt ein Emotionserkennungssystem und muss die Betroffenen nach Art. 50 Abs. 3 darüber informieren. [11] Zusammen mit Nummer 13 der DSK-Liste ist das ein Grund, auf eine Stimmungsanalyse zu verzichten, wenn Sie sie nicht wirklich brauchen. Wer die Pflichten trägt, wenn Plattform und Kunde gemeinsam einen Agenten bauen, und wie gute Beispielsätze klingen, erklärt unser Leitfaden zur KI-Hinweispflicht.

Checkliste: Zehn Fragen an jeden Anbieter für DSGVO-konforme Voice Agents

Ob Sie eine Plattform für KI-Telefonie, einen Chatbot oder eine Voice-API vergleichen, diese Fragen sollten schriftlich beantwortet sein:

1. Gibt es einen AVV nach Art. 28 DSGVO, den Sie vor Vertragsschluss lesen können?
2. Wie lautet die vollständige Liste der Unterauftragnehmer, mit Sitz und Aufgabe?
3. Wo laufen Spracherkennung, Sprachmodell und Sprachausgabe, und wo liegen Audio, Transkripte und Backups?
4. Auf welcher Grundlage werden Daten in Drittländer übermittelt: Datenschutzrahmen EU-USA, Standardvertragsklauseln oder beides?
5. Werden Ihre Gesprächsdaten zum Training von KI-Modellen genutzt?
6. Lässt sich die Audiospeicherung abschalten, und sind Speicherfristen für Transkripte einstellbar?
7. Wie finden und löschen Sie die Daten eines einzelnen Anrufers, wenn er Auskunft oder Löschung verlangt?
8. Welche Unterlagen liefert der Anbieter für Ihre Datenschutz-Folgenabschätzung?
9. Wie setzen Sie den KI-Hinweis im Chat und am Telefon um, und was erledigt die Plattform automatisch?
10. Wen erreichen Sie bei einer Datenpanne, und in welcher Sprache?

Ein Anbieter, der bei diesen Fragen ausweicht, macht Ihnen die DSFA schwer. Vergleichen Sie die Antworten nebeneinander, bevor Sie über Preise sprechen. Eine Übersicht über Preise und Datenschutz-Fragen mehrerer Anbieter finden Sie in unserem Vergleich von KI-Telefonassistenten.

So ist es bei EchoCall geregelt

Wir beantworten diese Fragen für unsere eigene Plattform so konkret, wie wir es belegen können:

• Hosting: Die EchoCall-Plattform läuft in Rechenzentren von IONOS in Frankfurt und Karlsruhe.
• KI-Modelle und Drittländer: Eine Verarbeitung ausschließlich in der EU sagen wir für die KI-Modelle nicht zu. Wie Übermittlungen in Drittländer geregelt sind, erklärt unsere Datenschutzseite. Den Auftragsverarbeitungsvertrag finden Sie unter AVV.
• Zero-PII-Modus: Im EchoHub steht ein Zero-PII-Modus zur Verfügung. Ob er für Ihren Einsatz passt, klären wir gern vorab mit Ihnen.
• KI-Hinweis im Chat: Das Chat-Widget zeigt automatisch einen KI-Hinweis auf Deutsch, Englisch oder Französisch. Bevor Besucher im Widget per Sprache mit dem Agenten sprechen, erscheint eine Hinweiskarte vor dem Mikrofon.
• KI-Hinweis am Telefon: Den Hinweis schreiben Sie selbst in die erste Nachricht Ihres Agenten. Der Editor zeigt dazu eine Infobox, das Help Center hat Beispielsätze. Nach unseren AGB sind Sie dafür verantwortlich, dass der Hinweis erfolgt.

Wie ein Agent klingt, können Sie in der Live-Demo ausprobieren: Website-Adresse eingeben, nach etwa 20 Sekunden steht ein Agent bereit, ohne Anmeldung. Für einen Test mit Ihren eigenen Abläufen gibt es einen Testzugang: 30 Voice-Minuten und 30 Chat-Gespräche für 14 Tage, die Kreditkarte wird dafür mit 1 Euro geprüft. Fragen zum Datenschutz beantworten wir über das Kontaktformular.

Häufige Fragen zu DSGVO und KI im Kundenservice

Ist der Einsatz von KI-Agenten im Kundenservice DSGVO-konform möglich?

Ja, wenn Rechtsgrundlage, AVV, Übermittlungen in Drittländer, Datenschutzinformation und Löschfristen geklärt sind. Für KI im Kundensupport steht die Datenschutz-Folgenabschätzung zudem auf der Muss-Liste der deutschen Aufsichtsbehörden. Die DSGVO verbietet KI nicht. Sie verlangt, dass Sie wissen und dokumentieren, was mit den Daten geschieht.

Brauche ich für einen KI-Telefonassistenten eine Datenschutz-Folgenabschätzung?

Sehr wahrscheinlich ja. Die Muss-Liste der DSK nennt Kundensupport mittels künstlicher Intelligenz ausdrücklich, mit dem Beispiel eines Systems, das mit Kunden durch Konversation interagiert. Eine DSFA ist kein Verbot, sondern eine strukturierte Risikoprüfung nach Art. 35 Abs. 7 DSGVO. Ihr Anbieter sollte Ihnen die Angaben zur Funktionsweise liefern, die Sie dafür brauchen.

Darf ein KI-Telefonassistent Gespräche aufzeichnen?

Nur mit Befugnis. Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt auf einen Tonträger aufnimmt, macht sich nach § 201 StGB strafbar. Kündigen Sie eine Aufzeichnung zu Beginn an, holen Sie die Einwilligung ein und speichern Sie Audio nur, wenn Sie es wirklich brauchen. Transkripte sind zusätzlich personenbezogene Daten und brauchen eine Löschfrist.

Reicht es, wenn der Anbieter seine Server in Deutschland hat?

Nicht allein. Entscheidend ist, wo jeder Verarbeitungsschritt stattfindet und wer zugreifen kann. Spracherkennung, Sprachmodell und Sprachausgabe können bei anderen Diensten laufen als die Speicherung. Für jeden Dienst außerhalb der EU brauchen Sie eine Grundlage nach Art. 45 oder 46 DSGVO, etwa den Datenschutzrahmen EU-USA oder Standardvertragsklauseln.

Muss ich Anrufern sagen, dass sie mit einer KI sprechen?

Ja. Seit dem 2. August 2026 verlangt Art. 50 der KI-Verordnung, dass Menschen spätestens bei der ersten Interaktion erfahren, dass sie mit einem KI-System sprechen. Unabhängig davon verlangt Art. 13 DSGVO Informationen über die Verarbeitung. Beides lässt sich in der Begrüßung des Agenten verbinden.

Was gilt beim KI-Telefonassistenten in der Arztpraxis?

Gesundheitsdaten sind besonders geschützt. Art. 9 DSGVO erlaubt ihre Verarbeitung nur mit einer Ausnahme, etwa wenn sie für Versorgung oder Behandlung erforderlich ist oder der Patient ausdrücklich einwilligt. Dazu kommt die Schweigepflicht nach § 203 StGB: Dienstleister müssen zur Geheimhaltung verpflichtet sein. Lassen Sie den Agenten nur abfragen, was für den Termin nötig ist.

Quellen

Die Quellen sind deutschsprachig, sofern nicht anders angegeben.

1. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4, 5, 6, 9, 13, 17, 22, 28, 35, 44 bis 46: eur-lex.europa.eu
2. Datenschutzkonferenz, Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Randnummern 12, 21, 24, 39 und 40: datenschutzkonferenz-online.de
3. § 203 StGB, Verletzung von Privatgeheimnissen: gesetze-im-internet.de
4. Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023, Datenschutzrahmen EU-USA: eur-lex.europa.eu
5. Gericht der Europäischen Union, Urteil vom 3. September 2025, Rechtssache T-553/23, Latombe gegen Kommission: eur-lex.europa.eu
6. Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021, Standardvertragsklauseln, Klausel 14: eur-lex.europa.eu
7. Datenschutzkonferenz, Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1 vom 17. Oktober 2018, Nummern 11 und 13: datenschutzkonferenz-online.de
8. § 201 StGB, Verletzung der Vertraulichkeit des Wortes: gesetze-im-internet.de
9. § 257 HGB, Aufbewahrung von Unterlagen: gesetze-im-internet.de
10. § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen: gesetze-im-internet.de
11. Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50, 99 und 113: eur-lex.europa.eu

Alle Links wurden am 6. Oktober 2026 geprüft. Dieser Beitrag ist keine Rechtsberatung.

Weiterlesen

• EU AI Act 2026: Was die KI-Hinweispflicht für Voice- und Chat-Systeme bedeutet
• Terminvergabe in der Arztpraxis automatisieren 2026: Wie KI am Telefon MFA entlastet und was Schweigepflicht und DSGVO verlangen
• KI-Kaltakquise 2026: Was ist erlaubt? UWG, DSGVO, Robinsonliste und die Regeln in Österreich, der Schweiz, UK und den USA
• KI-Strategie 2026: Der Leitfaden für KI-Agenten im Kundenservice, von der Kontaktanalyse bis zum Rollout
• Kundenservice-Trends 2026: Acht Entwicklungen bei Conversational AI, Voice AI und KI-Agenten, mit Quellen