KI Voice Agents können heute hunderte Outbound-Anrufe pro Stunde führen, vollautomatisch, in natürlicher Sprache und mit personalisierten Inhalten. Was technisch möglich ist, ist aber nicht immer rechtlich erlaubt. Dieser Leitfaden erklärt, was bei automatisierten Outbound-Anrufen in Deutschland, Österreich und der Schweiz gilt, was verboten ist und wie Sie rechtskonforme Kampagnen aufsetzen.
Was sagt das Gesetz zu automatisierten Anrufen?
Gegenüber Verbrauchern (B2C)
- Automatisierte Werbeanrufe ohne ausdrückliche Einwilligung sind verboten (§ 7 Abs. 2 Nr. 2 UWG). Das gilt auch für KI-Anrufe. Bußgelder bis 300.000 € pro Verstoß sind möglich.
- Eine frühere Geschäftsbeziehung reicht nicht aus. Nur eine explizite, dokumentierte Einwilligung (z. B. Double-Opt-in) legitimiert automatisierte Werbeanrufe.
- Der Anrufer muss sich bereits zu Gesprächsbeginn als KI zu erkennen geben (EU AI Act), unabhängig davon, ob der Angerufene danach fragt.
Gegenüber Unternehmen (B2B)
- Mehr Spielraum bei mutmaßlichem Interesse: B2B-Kaltakquise ist unter bestimmten Voraussetzungen auch ohne explizite Einwilligung möglich, wenn ein sachlicher Zusammenhang zwischen Angebot und Geschäftstätigkeit besteht.
- Dokumentation ist Pflicht: Begründung für das mutmaßliche Interesse, Datenquelle und Opt-out-Option müssen protokolliert werden.
- DSGVO-Rechte gelten auch für Geschäftskontakte: Auskunft, Berichtigung und Löschung müssen ermöglicht werden.
Was ist mit KI-Outbound rechtlich erlaubt?
| Anruftyp | Status |
|---|---|
| Terminbestätigung (Bestandskunde) | Erlaubt (Vertragsverhältnis) |
| Terminerinnerung (mit Zustimmung) | Erlaubt |
| NPS / Zufriedenheitsbefragung (mit Einwilligung) | Erlaubt |
| Reaktivierung inaktiver Bestandskunden | Erlaubt (bestehendes Vertragsverhältnis) |
| B2B-Kaltakquise (sachlicher Zusammenhang) | Erlaubt (mutmaßliches Interesse, dokumentiert) |
| B2C-Werbung ohne Einwilligung | Verboten (§ 7 Abs. 2 UWG) |
| Verschleierung der KI-Identität | Nicht erlaubt (EU AI Act) |
Gibt es eine deutsche Do-Not-Call-Liste? Die Robinsonliste erklärt
Anders als in den USA gibt es in Deutschland kein staatliches Do-Not-Call-Register. Telefonwerbung wird über das Einwilligungserfordernis geregelt (§ 7 UWG): Ein B2C-Werbeanruf ohne vorherige ausdrückliche Einwilligung ist unzulässig, unabhängig von jeder Liste.
Was es gibt, ist die Robinsonliste, ein freiwilliges, von der Branche geführtes Schutzregister, in das sich Verbraucher kostenlos eintragen können. Der Abgleich Ihrer Anruflisten damit gilt als gute Praxis und senkt das Beschwerderisiko, ersetzt aber niemals die Einwilligung: Eine Nummer, die nicht auf der Robinsonliste steht, darf deswegen noch lange nicht angerufen werden. Für KI-Telefonmarketing in Deutschland gilt daher: zuerst Einwilligung (bzw. im B2B die dokumentierte mutmaßliche Einwilligung), zusätzlich Robinsonlisten-Abgleich und die eigene Opt-out-Sperrliste.
Der EU AI Act und KI-Telefonie
Seit dem EU AI Act (vollumfänglich anwendbar ab August 2026) gelten zusätzliche Anforderungen: KI-Systeme im direkten Kundenkontakt müssen bereits zu Beginn der Interaktion als solche erkennbar sein, nicht erst auf Nachfrage. Outbound-KI für Massenanrufe kann in bestimmten Kontexten als Hochrisiko eingestuft werden.
Wie EchoCall DSGVO-konforme Outbound-Kampagnen ermöglicht
- Zero-PII-Modus: Personenbezogene Daten werden unmittelbar nach der Absicht-Extraktion verworfen, es erfolgt keine Speicherung über das notwendige Minimum hinaus.
- Automatisches Opt-out: Wenn ein Anrufer ablehnt, wird die Nummer sofort auf die interne Sperrliste gesetzt.
- Transparenz-Skript: Der Agent stellt sich am Gesprächsbeginn als KI-Assistent vor.
- Audit-Log: Alle Anrufe werden mit Zeitstempel, Ergebnis und (auf Wunsch) anonymisiertem Transkript protokolliert.
- EU-Datenresidenz standardmäßig: Übermittlungen an Zahlungsdienstleister sind über EU-Standardvertragsklauseln abgesichert, DSGVO-konforme Verarbeitung per AVV geregelt.
Best Practices für rechtskonforme KI-Outbound-Kampagnen
- Rechtsgrundlage klären vor dem Start: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder berechtigtes Interesse (lit. f); beide Wege haben Dokumentationsanforderungen.
- Datensatz bereinigen: Nur verifizierte Kontakte mit sauberem Opt-in-Nachweis verwenden.
- Opt-out sofort umsetzen: Automatisierte Sperrlisten-Verwaltung ist Pflicht, keine Option.
- Anruftiming beachten: Keine Anrufe vor 9 Uhr und nach 20 Uhr, Feiertage ausschließen.
- Kampagne auditierbar machen: Jede Kampagne muss im Audit-Log vollständig nachvollziehbar sein.
DSGVO-konforme Outbound-Kampagnen mit EchoCall
Zero-PII, automatisches Opt-out, vollständiges Audit-Log, EU-Hosting. 3 Tage für 1 € testen auf hub.echocall.de.
FAQ: KI-Kaltakquise und DSGVO
Darf ein KI-Agent vorgeben, ein Mensch zu sein?
Nein. Laut EU AI Act muss ein KI-System bereits zu Gesprächsbeginn als solches erkennbar sein, unabhängig davon, ob explizit danach gefragt wird. Eine bewusste Täuschung über die Natur des Gesprächspartners ist verboten und kann als Wettbewerbsverstoß geahndet werden.
Was ist der Unterschied zwischen Kaltakquise und Reaktivierung?
Kaltakquise richtet sich an Kontakte ohne vorherige Geschäftsbeziehung. Reaktivierung spricht inaktive Bestandskunden an, mit denen ein Vertragsverhältnis besteht. Im B2C-Bereich ist die rechtliche Grundlage für Reaktivierung deutlich stärker.
Gibt es Branchen mit besonderen Regeln?
Ja: Finanzdienstleistungen (MiFID II), Gesundheitswesen und Telekommunikation haben sektorale Regelungen zusätzlich zur DSGVO. EchoCall's Zero-PII-Modus ist für regulierte Branchen konzipiert.
