Datenschutz bei KI am Telefon: 10 Fragen an den Anbieter

Wenn eine KI für Ihren Betrieb telefoniert, verarbeitet sie Daten Ihrer Anrufer: Namen, Telefonnummern, das, was sie sagen, manchmal Adressen und Schadensbeschreibungen. Dafür sind Sie verantwortlich, nicht der Anbieter. Er arbeitet in Ihrem Auftrag. Das heißt: Sie müssen wissen, was er mit den Daten tut, bevor Sie ihn beauftragen.

Dieser Artikel ist keine Rechtsberatung und kann sie nicht ersetzen. Er nennt zehn Fragen, die Sie jedem Anbieter stellen sollten, erklärt, warum sie wichtig sind, und sagt, wie eine gute Antwort aussieht. Stand: Oktober 2026.

Vorweg: Wer ist wofür verantwortlich?

Die DSGVO kennt zwei Rollen. Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden. Das sind Sie: Sie wollen, dass Anrufe angenommen und Anliegen notiert werden. Der Auftragsverarbeiter verarbeitet die Daten in Ihrem Auftrag und nach Ihren Weisungen. Das ist der Anbieter des Assistenten, und dahinter oft weitere Dienstleister für Telefonie, Sprachverarbeitung und Server.

Diese Aufgabenteilung ist der Grund, warum Sie fragen müssen. Gibt es ein Problem mit den Daten, fragt die Datenschutzbehörde zuerst Sie. Die zehn Fragen helfen Ihnen, dann eine Antwort zu haben.

Die zehn Fragen

1. Gibt es einen Auftragsverarbeitungsvertrag?

Artikel 28 Absatz 3 der DSGVO verlangt einen Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, Ihre Weisungsrechte und die Pflichten des Anbieters regelt. Ohne diesen Vertrag dürfen Sie den Anbieter nicht einsetzen. Eine gute Antwort: Der Vertrag liegt fertig vor, Sie können ihn lesen, bevor Sie sich entscheiden, und er wird beim Abschluss Teil Ihres Vertrags.

2. Wo werden die Daten gespeichert?

Fragen Sie nach dem Land, nicht nach dem Kontinent, und fragen Sie getrennt nach Speicherung und Verarbeitung während des Gesprächs. Liegen Daten außerhalb der EU oder werden sie dorthin übermittelt, gelten die Regeln von Kapitel V der DSGVO. Das ist machbar, aber Sie müssen es prüfen. Eine gute Antwort nennt den Speicherort und sagt, ob und wofür Daten die EU verlassen.

3. Wer sind die Unterauftragsverarbeiter?

Kaum ein Anbieter macht alles selbst. Artikel 28 erlaubt weitere Auftragsverarbeiter nur mit Ihrer Genehmigung und verpflichtet den Anbieter, Sie über Änderungen zu informieren. Eine gute Antwort ist eine Liste: welcher Dienstleister, wofür, in welchem Land, mit welcher Grundlage bei Übermittlungen. Die Liste gehört in den Auftragsverarbeitungsvertrag oder in eine Anlage dazu.

4. Werden Gespräche als Tonaufnahme gespeichert?

Das ist der Punkt, an dem sich Anbieter am stärksten unterscheiden. Eine Mitschrift als Text ist etwas anderes als die Stimme des Anrufers als Audiodatei. Tonaufnahmen brauchen in Österreich und Deutschland besondere Vorsicht; was dabei gilt, steht im Artikel KI am Telefon: Was Anrufer erfahren müssen. Eine gute Antwort: Es gibt keine Tonaufnahme, nur die Mitschrift, oder, wenn es eine gibt, wofür, wie lange und wer sie hören kann.

5. Werden meine Daten zum Training von KI-Modellen verwendet?

Manche Anbieter nutzen Gespräche ihrer Kunden, um ihre Modelle zu verbessern. Das ist ein eigener Zweck, der nichts mit Ihrem Auftrag zu tun hat, und er muss im Vertrag ausgeschlossen oder ausdrücklich geregelt sein. Eine gute Antwort ist ein klares Nein im Vertrag, auch für die Dienstleister dahinter.

6. Wie lange werden Daten gespeichert und wie werden sie gelöscht?

Artikel 5 verlangt, dass Daten nicht länger gespeichert werden, als es der Zweck erfordert; Artikel 17 regelt das Recht auf Löschung. Fragen Sie nach festen Fristen für Mitschriften, Anliegen und Anrufdaten, und danach, ob Sie einzelne Anrufer auf Wunsch löschen können. Eine gute Antwort nennt Fristen in Tagen und einen Weg, wie Sie die Löschung auslösen.

7. Wird die Stimme der Anrufer erkannt oder ausgewertet?

Eine Stimme kann biometrisch ausgewertet werden, um Personen zu erkennen, oder auf Emotionen hin analysiert werden. Biometrische Daten zur eindeutigen Identifizierung gehören zu den besonderen Kategorien nach Artikel 9, mit strengen Regeln. Für einen Telefonassistenten, der Anliegen notiert, braucht es das nicht. Eine gute Antwort: Anrufer werden an der Telefonnummer erkannt, nie an der Stimme, und es gibt keine Emotionsauswertung.

8. Wer hat Zugriff, und gibt es Rollen?

Artikel 32 verlangt angemessene technische und organisatorische Maßnahmen. Übersetzt für Ihren Betrieb: Wer bei Ihnen kann die Anliegen lesen, und wer beim Anbieter? Gibt es Rollen wie Inhaber, Admin und Mitglied, damit nicht jede Aushilfe alles sieht? Werden Zugriffe protokolliert? Eine gute Antwort beschreibt die Rollen und sagt, dass Mitarbeiter des Anbieters nur bei Störungen und nachvollziehbar zugreifen.

9. Wie erfahren Anrufer, dass eine KI spricht und was mit ihren Daten passiert?

Der Hinweis, dass eine KI spricht, ist Pflicht, und die Informationspflichten der DSGVO gelten auch am Telefon. Fragen Sie, was der Assistent am Anfang sagt, ob sich das abschalten lässt (es sollte nicht), und wie Anrufer zu den vollständigen Informationen kommen. Eine gute Antwort nennt den Wortlaut und einen Weg, etwa einen Hinweis auf Ihre Datenschutzerklärung.

10. Bekomme ich meine Daten heraus, wenn ich kündige?

Artikel 28 Absatz 3 verlangt, dass der Anbieter nach Ende der Leistung alle Daten löscht oder zurückgibt, nach Ihrer Wahl. Fragen Sie, in welchem Format Sie Anliegen und Mitschriften bekommen und wann nach der Kündigung gelöscht wird. Eine gute Antwort nennt beides, ohne dass Sie nachhaken müssen.

Was Sie selbst noch tun sollten

Mit den Antworten des Anbieters sind Sie nicht fertig. Drei Dinge liegen bei Ihnen:

• Verarbeitungsverzeichnis. Artikel 30 verlangt von Verantwortlichen ein Verzeichnis ihrer Verarbeitungstätigkeiten; für kleine Betriebe gibt es Ausnahmen, die aber an Bedingungen hängen. Der Telefonassistent ist eine neue Verarbeitung, die hinein gehört, wenn Sie ein Verzeichnis führen. Klären Sie das mit Ihrer Beratung.
• Datenschutzerklärung. Ergänzen Sie, dass Anrufe von einem KI-Assistenten angenommen und als Text notiert werden, mit dem Anbieter als Auftragsverarbeiter und den Fristen.
• Team informieren. Wer die Anliegen liest, muss wissen, dass es Personendaten sind: nicht weiterleiten, nicht privat speichern, nach Erledigung nichts behalten, was nicht gebraucht wird.

Das Gespräch mit dem Anbieter: Schicken Sie die zehn Fragen vor dem Termin per E-Mail und bitten Sie um schriftliche Antworten. Was schriftlich nicht beantwortet wird, ist beim Gespräch oft auch nicht klar. Heben Sie die Antworten auf; sie sind Teil Ihrer Dokumentation.

Wo Tellondi hilft

Tellondi speichert Anliegen, Mitschriften und Konten auf Servern in der EU. Kein Gespräch wird als Audio gespeichert; Sie bekommen die Mitschrift und das Anliegen als Text. Ihre Gespräche und Anliegen trainieren keine KI-Modelle, und Anrufer erkennt der Assistent an der Telefonnummer, nie an der Stimme. Anrufdaten löschen wir nach 365 Tagen, Testanrufe schon nach 7 Tagen. Den Auftragsverarbeitungsvertrag finden Sie als Kunde in der App, mit den Unterauftragsverarbeitern in der Anlage; welche Arten von Dienstleistern wir einsetzen, der Wortlaut des KI-Hinweises und alle Löschfristen stehen unter Datenschutz und Sicherheit. Im Team gibt es die Rollen Inhaber, Admin und Mitglied.