Lesezeit: 6 Minuten.
Zusammenfassung:
Ein KI-Telefonassistent nimmt Anrufe an, versteht das Anliegen und leitet es an die richtige Person weiter. Für die Erreichbarkeit ist das ein Gewinn. Beim Datenschutz stellt sich sofort eine Frage: Darf eine Maschine überhaupt mithören, mitschreiben und die Daten Ihrer Anrufer verarbeiten?
Die kurze Antwort: Ja, Sie dürfen Anrufe von einer KI annehmen lassen. Drei Dinge müssen dafür stimmen. Es braucht einen Auftragsverarbeitungsvertrag mit dem Anbieter, die Gespräche sollten in der EU verarbeitet werden, und die Anrufer müssen erkennen können, dass am anderen Ende eine KI antwortet. Dieser Beitrag erklärt jeden dieser Punkte in verständlicher Sprache und zeigt, worauf es beim Anbietervergleich wirklich ankommt.
Darf man Anrufe von einer KI annehmen lassen?
Ja. Wer anruft, möchte ein Anliegen loswerden, und es macht datenschutzrechtlich keinen grundsätzlichen Unterschied, ob ein Mensch oder eine KI den Hörer abnimmt. Solange die KI die Daten nur nutzt, um genau dieses Anliegen zu bearbeiten, bewegen Sie sich auf sicherem Boden. Als Rechtsgrundlage trägt in der Regel die Anbahnung oder Erfüllung eines Vertrags, bei reinen Serviceanfragen auch Ihr berechtigtes Interesse an einer guten Erreichbarkeit. Zudem sollte die Datenschutzerklärung hierüber aufklären (idealerweise direkt in Verbindung mit Art. 50 KI-VO).
Sobald das Gespräch aufgezeichnet, transkribiert oder zusammengefasst wird, kommen zusätzliche Pflichten hinzu. Denn dann verarbeiten Sie personenbezogene Daten dauerhaft, nicht nur flüchtig im Moment des Gesprächs. Wie eine Aufzeichnung sauber abläuft, welche Ansage sie braucht und wann eine aktive Zustimmung nötig ist, haben wir im Beitrag zur Aufzeichnung von Anrufen nach DSGVO im Detail erklärt.
Eingehende und selbst geführte Anrufe sind dabei zwei Paar Schuhe. Bei eingehenden Anrufen gelten die Datenschutzregeln, die dieser Beitrag beschreibt. Sobald Sie ausgehend werben, kommt zusätzlich das Wettbewerbsrecht ins Spiel, und da wird es enger. Mehr dazu weiter unten.
Was macht einen KI-Telefonassistenten DSGVO-konform?
Ein KI-Telefonassistent ist DSGVO-konform, wenn vier Punkte geklärt sind: ein Auftragsverarbeitungsvertrag mit dem Anbieter, ein Serverstandort in der EU, ein vertraglicher Ausschluss der Nutzung Ihrer Gespräche zum KI-Training und ein Transparenzhinweis für die Anrufer. Diese vier Punkte gelten für jeden Anbieter, unabhängig vom Preis oder von der Größe des Systems. Wir gehen sie einzeln durch.
Auftragsverarbeitung nach Art. 28 DSGVO
Der Anbieter Ihres KI-Telefonassistenten verarbeitet personenbezogene Daten in Ihrem Auftrag: Namen, Rückrufnummern, Anliegen und je nach Konfiguration auch Audioaufnahmen. Damit ist er Auftragsverarbeiter im Sinne von Art. 28 DSGVO, und ein Auftragsverarbeitungsvertrag ist Pflicht. Ohne diesen Vertrag ist der Einsatz unzulässig, selbst wenn die Technik einwandfrei arbeitet.
Der Vertrag muss regeln, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Maßnahmen der Anbieter umsetzt und wann die Daten wieder gelöscht werden. Ein Punkt wird dabei oft übersehen: die Kette der Unterauftragnehmer. Ein KI-Telefonassistent besteht selten aus einer einzigen Firma. Meist steckt ein Sprachmodell eines anderen Anbieters dahinter, dazu ein Telefonieanbieter. Diese müssen im Vertrag benannt sein. Was dabei zu beachten ist, zeigt unser Beitrag zum Auftragsverarbeitungsvertrag und speziell zu den Unterauftragsverarbeitern im AVV.
Serverstandort und EU-Hosting
Wo Ihre Gespräche verarbeitet werden, entscheidet über den halben Aufwand. Findet die Verarbeitung auf Servern innerhalb der EU statt, idealerweise in Deutschland, vereinfacht das die Einhaltung der DSGVO erheblich. Sie brauchen dann keine zusätzlichen Garantien für einen Datentransfer ins Ausland.
Sobald Daten in ein Land außerhalb der EU fließen, etwa in die USA, braucht es eine tragfähige Grundlage. In der Praxis sind das ein Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln, oft ergänzt um das EU-US Data Privacy Framework. Viele Anbieter arbeiten mit einzelnen US-Dienstleistern im Hintergrund, etwa für das Sprachmodell. Das ist kein Ausschlusskriterium, aber Sie sollten wissen, welcher Teil des Gesprächs wohin fließt und wie er abgesichert ist. Fragen Sie den Anbieter konkret, wo Audio, Transkript und Zusammenfassung verarbeitet werden. Gerade an diesem Punkt gehen die Anbieter weit auseinander.
Keine Nutzung der Gespräche zum Training der KI
Ihre Kundengespräche gehören Ihnen, nicht dem KI-Anbieter. Viele Anbieter behalten sich in ihren Standardbedingungen aber vor, eingespeiste Daten zur Verbesserung ihrer Modelle zu nutzen, solange dies nicht ausdrücklich ausgeschlossen ist. Wer diesen Punkt im Vertrag nicht adressiert, riskiert, dass aus einer Auftragsverarbeitung eine eigene Verarbeitung des Anbieters wird. Dann verlassen die Daten Ihre Kontrolle, und die Verantwortung dafür bleibt trotzdem bei Ihnen.
Prüfen müssen Sie das auf zwei Ebenen, beim Anbieter selbst und beim Sprachmodell, das im Hintergrund läuft. Bei den gängigen Business- und Enterprise-Tarifen der großen Modellanbieter ist ein Training mit Ihren Daten vertraglich ausgeschlossen. Lassen Sie sich beides schriftlich bestätigen, statt sich auf ein Siegel auf der Website zu verlassen. Wie sich der Trainingsausschluss und die übrigen Pflichten beim KI-Einsatz zusammenfügen, beschreibt unser Beitrag dazu, welche personenbezogenen Daten Sie in eine KI eingeben dürfen.
Transparenzpflicht nach Art. 50 KI-VO: Anrufer müssen die KI erkennen
Seit dem 2. August 2026 gelten die Transparenzpflichten der EU-KI-Verordnung. Systeme, die unmittelbar mit Menschen sprechen, müssen so gestaltet sein, dass die Person erkennt, dass sie mit einer KI zu tun hat. Für einen Telefonassistenten heißt das in der Praxis: ein klarer Hinweis in der Begrüßung, bevor das Gespräch inhaltlich beginnt.
Die Pflicht ist leicht zu erfüllen und trotzdem wichtig. Ein realistisch klingender Sprachassistent wird sonst für einen Menschen gehalten, und genau das will die KI-Verordnung verhindern. Für Sie als Betreiber steckt darin sogar eine Chance. Wer offen sagt, dass hier eine KI antwortet, baut von der ersten Sekunde an Vertrauen auf. Wie die KI-Verordnung und die DSGVO ineinandergreifen, ordnet unser Beitrag zur KI-Verordnung im Kontext der DSGVO ein.
Darf die KI selbst anrufen (outbound)?
Hier wird es strenger. Sobald die KI nicht mehr Anrufe annimmt, sondern selbst wählt, greift neben der DSGVO auch das Wettbewerbsrecht. Maßgeblich ist § 7 UWG, und der macht keinen Unterschied, ob ein Mensch oder eine Maschine anruft. Entscheidend ist der Zweck des Anrufs.
Bei Verbrauchern ist ein Werbeanruf ohne deren vorherige ausdrückliche Einwilligung unzulässig. Kommt zusätzlich eine automatische Anrufmaschine zum Einsatz, was auf einen KI-Voicebot zutrifft, verlangt das Gesetz erst recht eine ausdrückliche vorherige Einwilligung. Eine frühere Geschäftsbeziehung allein reicht dafür nicht. Im Verhältnis zwischen Unternehmen genügt unter Umständen eine mutmaßliche Einwilligung, also ein sachlicher Zusammenhang zwischen Ihrem Angebot und der Tätigkeit des angerufenen Unternehmens.
Dazu kommt eine Dokumentationspflicht. Nach § 7a UWG müssen Sie eine erteilte Einwilligung festhalten und den Nachweis fünf Jahre aufbewahren. Die Bundesnetzagentur sanktioniert fehlende Dokumentation inzwischen aktiv, und die Bußgelder für unerlaubte Telefonwerbung reichen bis zu 300.000 Euro pro Fall. Reine Serviceanrufe zur Abwicklung eines bestehenden Termins oder Auftrags gelten dagegen meist nicht als Werbung. Die Grenze verläuft dort, wo der Anruf zusätzlich etwas verkaufen soll.
In der Praxis lässt sich die Grenze meist gut ziehen. Bestätigt die KI Termine oder erinnert sie an einen offenen Vorgang, ist das unkritisch. Bei echter Kaltakquise brauchen Sie dagegen eine belastbare Einwilligung und eine saubere Dokumentation.
Sollten eingehende Kontaktanfragen (Inbound Leads) telefonisch durch die KI qualifiziert werden, kann dies datenschutzkonform gestaltet werden. Dies ist im Einzelfall zu bewerten.
KI-Telefonassistenten im Datenschutz-Vergleich: fonio, Placetel, ElevenLabs & Parloa
Nicht jeder Anbieter passt zu jedem Unternehmen. Statt Funktionslisten vergleichen wir vier gängige Lösungen entlang der Fragen, die für den Datenschutz wirklich zählen: Wo sitzen Anbieter und Server, behalten Sie Ihre Nummer, und wie steht es um Datenhaltung und Training? Am Ende zählt außerdem, für wen die Lösung überhaupt gedacht ist.
| Anbieter | Herkunft und Hosting | Bestehende Nummer | Datenhaltung und Training | Am besten für |
|---|---|---|---|---|
| fonio.ai | DACH, Hosting in Nürnberg (Hetzner, EU) | Ja, per Rufumleitung oder SIP | EU-Datenhaltung, keine Speicherung des Audios über das Gespräch hinaus, Modell über Azure EU ohne Training | Kleine und mittlere Unternehmen, schneller Start |
| Placetel AI | Deutscher Telefonieanbieter, EU-Hosting, ISO 27001 | Ja, als Anbieter native Portierung möglich | DSGVO-konform, Trainingsausschluss vertraglich zu fixieren | Unternehmen, die Telefonie und KI aus einer Hand wollen |
| ElevenLabs | US-Anbieter, EU-Datenhaltung nur im Enterprise-Tarif | Über Anbindung möglich | AVV mit Standardvertragsklauseln vorhanden, EU-Verarbeitung und Zero-Retention nur in bestimmten Tarifen und Konfigurationen | Entwicklerteams, die Bausteine selbst zusammensetzen |
| Parloa | In Berlin gegründet, Azure-Hosting, breite Zertifizierung | Über Contact-Center-Anbindung | DSGVO-konform ausgewiesen, EU-Sprachverarbeitung verfügbar | Große Contact Center mit eigenem IT-Team |
Ein Wort zu fonio und DSGVO, weil danach am häufigsten gefragt wird. fonio positioniert sich als datenschutzkonforme und KI-Verordnungs-konforme Lösung, hostet die Gespräche in Deutschland und stellt einen Auftragsverarbeitungsvertrag bereit. Für die meisten kleinen und mittleren Unternehmen ist das ein solider Ausgangspunkt. Als Datenschutzbeauftragte raten wir trotzdem, den Vertrag und die Liste der Unterauftragnehmer selbst zu prüfen und sich nicht allein auf die Produktseite zu verlassen. Über die Zulässigkeit entscheidet am Ende diese Prüfung.
Placetel spielt seine Stärke aus, wenn Sie Telefonie und KI nicht trennen wollen. Als Telefonieanbieter kann Placetel Ihre Nummer direkt übernehmen, statt sie über eine Weiterleitungskette anzubinden. ElevenLabs und Parloa richten sich an andere Zielgruppen. ElevenLabs liefert exzellente Sprachbausteine, verlangt aber eine strukturierte Datenschutzprüfung und für echte EU-Verarbeitung den Enterprise-Tarif. Parloa ist eine Plattform für große Contact Center mit entsprechend hohem Einführungsaufwand. Für ein Team, das schlicht seine Telefonzentrale ersetzen möchte, ist das meist überdimensioniert.
Aufnehmen und zurückrufen statt durchstellen
Es gibt zwei Wege, wie ein KI-Telefonassistent mit einem Anliegen umgeht. Er kann live an die zuständige Person durchstellen, oder er nimmt das Anliegen auf und die richtige Person ruft zurück. Aus Datenschutzsicht ist der zweite Weg der sauberere, und er ist meist auch der bessere Service.
Beim Aufnehmen und Zurückrufen erfasst die KI Name, Rückrufnummer und Anliegen, ordnet das Ganze der passenden Rolle zu und stellt eine strukturierte Zusammenfassung zu. Ihre Mitarbeiter rufen dann vorbereitet zurück, das Anliegen liegt ihnen schon vor. Der Datenfluss bleibt dabei sauber dokumentierbar, vom Anruf über die Verarbeitung beim Auftragsverarbeiter bis zur Zustellung an einen fest definierten Empfänger. Eine wechselnde Live-Verbindung zu ständig anderen Zielen entfällt, und mit ihr eine typische Fehlerquelle.
Ein Punkt gehört dann bewusst festgelegt: die Rückrufzeit. Weil niemand mehr sofort durchgestellt wird, ersetzt die Zusage „wir melden uns innerhalb von“ das unmittelbare Gespräch als Servicequalität. Diese Zusage gehört in die Ansage der KI und als feste Regel hinter jede Empfängergruppe. Sonst verschiebt sich Ihre Erreichbarkeit unbemerkt nach hinten.
Der entscheidene rechtliche Aspekt, wieso dieses Vorgehen meistens „einfacher“ umgesetzt wird: Der geringere Autonomiegrad der KI bzw. der Verzeicht auf alleinige automatisierte Entscheidungen.
Häufige Fragen zu KI-Telefonassistent und DSGVO
Ja, und oft müssen Sie mehr tun als nur informieren. Wenn Sie selbst als Auftragsverarbeiter für Ihre Geschäftskunden tätig sind und deren Support über eine KI abwickeln, wird der KI-Anbieter zu Ihrem Unterauftragnehmer. Nach Art. 28 DSGVO brauchen Sie dafür die Erlaubnis Ihrer Kunden, müssen den bestehenden Auftragsverarbeitungsvertrag mit ihnen anpassen, die Liste der Unterauftragnehmer aktualisieren und dieselben Datenschutzpflichten an den KI-Anbieter weiterreichen. Das ist ein anderer Vertrag als der Auftragsverarbeitungsvertrag zwischen Ihnen und dem KI-Anbieter. Diese beiden werden häufig verwechselt. Die Details klärt unser Beitrag zu den Unterauftragsverarbeitern im AVV.
Ja, seit dem 2. August 2026 ist das Pflicht. Art. 50 der KI-Verordnung verlangt, dass Menschen erkennen, wenn sie mit einem KI-System interagieren. In der Praxis genügt ein kurzer Hinweis in der Begrüßung, bevor das eigentliche Gespräch beginnt. Ergänzend verweisen Sie auf die Datenschutzerklärung auf Ihrer Website, in der Sie über die Verarbeitung der Gesprächsdaten informieren.
Bei Verbrauchern nein. Werbeanrufe ohne vorherige ausdrückliche Einwilligung sind nach § 7 UWG unzulässig, und beim Einsatz einer automatischen Anrufmaschine gilt das erst recht. Zwischen Unternehmen kann eine mutmaßliche Einwilligung ausreichen, wenn ein sachlicher Zusammenhang zwischen Ihrem Angebot und dem Geschäft des Angerufenen besteht. Reine Serviceanrufe zur Abwicklung eines bestehenden Vorgangs zählen dagegen in der Regel nicht als Werbung. Wer akquirieren will, braucht eine dokumentierte Einwilligung und muss diese fünf Jahre aufbewahren.
Datenstand: 31.08.2026. Die Angaben in diesem Vergleich wurden nach bestem redaktionellem Wissen anhand öffentlich zugänglicher Anbieterinformationen und der jeweils verlinkten Quellen zusammengestellt. Sie beziehen sich auf den oben genannten Datenstand und können sich durch Änderungen an Produkten, Preisen, Leistungsumfängen oder Betriebsmodellen verändern.
Keyed erhebt keinen Anspruch auf Vollständigkeit oder dauerhafte Aktualität. Wenn Sie als betroffener Anbieter eine sachlich unzutreffende oder veraltete Angabe feststellen, können Sie uns dies mit einem konkreten Quellenbeleg unter sales@keyed.de mitteilen. Wir prüfen den Hinweis redaktionell und aktualisieren die betreffende Angabe, sofern sich die Änderung anhand belastbarer Informationen nachvollziehen lässt. Der Vergleich stellt keine allgemeine Rangliste und keine Empfehlung für jedes Unternehmen dar. Die Eignung einer Lösung hängt vom individuellen Bedarf, dem gebuchten Leistungsumfang und den vertraglichen Bedingungen ab.
