Braucht mein Unternehmen einen AVV mit dem Anbieter des KI-Telefonassistenten?

Ja. Sobald ein Anbieter personenbezogene Daten im Auftrag deines Unternehmens verarbeitet, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag vor.

Muss ich Anrufende informieren, dass sie mit einer KI sprechen?

Ja, das ergibt sich aus der Informationspflicht nach Art. 13 DSGVO. Eine kurze Ansage zu Gesprächsbeginn reicht in der Regel aus.

Dürfen Gesundheitsdaten automatisiert über einen KI-Telefonassistenten verarbeitet werden?

Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Sie sollten nicht automatisiert verarbeitet werden, sondern klassisch über das zuständige Team.

Reicht ein Serverstandort in der EU allein aus, um DSGVO-konform zu sein?

Nein. Ein EU-Serverstandort ist ein wichtiger Baustein, ersetzt aber nicht den AVV, die Informationspflicht gegenüber Anrufenden und, in bestimmten Branchen, zusätzliche berufsrechtliche Vorgaben.

KI-Telefonassistent und DSGVO

Das Wichtigste in Kürze

Ein KI-Telefonassistent ist grundsätzlich DSGVO-konform, wenn der Anbieter einen Auftragsverarbeitungsvertrag (AVV) anbietet und die Daten innerhalb der EU verarbeitet.
Anrufende müssen darüber informiert werden, dass ein KI-System das Gespräch führt, meist durch eine kurze Ansage zu Gesprächsbeginn.
In Branchen mit gesetzlicher Schweigepflicht, etwa Arztpraxen oder Steuerkanzleien, reicht technische DSGVO-Konformität allein nicht aus. Hier gelten zusätzliche berufsrechtliche Vorgaben.
Superchat verarbeitet Daten auf deutschen Servern und schließt mit jedem Kunden einen individuellen AVV. Ein KI-Telefonassistent nimmt Anrufe entgegen, ohne dass ein Mensch abhebt. Genau das wirft bei vielen Unternehmen eine erste Frage auf: Ist das überhaupt erlaubt? Dieser Artikel beantwortet, was ein Anbieter datenschutzrechtlich leisten muss, wo die Grenzen liegen und warum manche Branchen strengere Regeln beachten müssen als andere.

Ist ein KI-Telefonassistent grundsätzlich DSGVO-konform?

Ja, ein KI-Telefonassistent kann DSGVO-konform betrieben werden. Entscheidend ist nicht die Technologie selbst, sondern wie der Anbieter mit den verarbeiteten Daten umgeht.

Ein KI-Telefonassistent verarbeitet personenbezogene Daten wie Namen, Telefonnummern und den Inhalt des Gesprächs. Diese Verarbeitung braucht dieselbe rechtliche Grundlage wie jede andere Kundenkommunikation auch, meist die Erfüllung eines Vertrags oder ein berechtigtes Interesse nach Art. 6 DSGVO.

Problematisch wird es erst, wenn Daten außerhalb der EU verarbeitet werden, kein AVV vorliegt oder die anrufende Person nicht weiß, dass sie mit einem automatisierten System spricht.

Welche Voraussetzungen muss ein Anbieter erfüllen?

Drei Punkte sind bei der Anbieterauswahl entscheidend:

Auftragsverarbeitungsvertrag (AVV): Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Unternehmens. Dafür schreibt Art. 28 DSGVO einen AVV vor, der Umfang, Zweck und Dauer der Verarbeitung regelt.
Serverstandort innerhalb der EU: Werden Daten außerhalb der EU verarbeitet, braucht es zusätzliche Absicherung, etwa Standardvertragsklauseln (SCC). Ein Serverstandort in Deutschland oder der EU vereinfacht das erheblich.
Verschlüsselung und Löschkonzept: Gesprächsdaten sollten verschlüsselt gespeichert und nach einer klar definierten Frist gelöscht werden, statt unbegrenzt vorzuhalten. Superchat erfüllt alle drei Punkte: Die Datenverarbeitung läuft auf deutschen Servern, und jeder Kunde erhält einen individuellen AVV.

Worüber müssen Anrufer informiert werden?

Wer mit einem KI-Telefonassistenten spricht, hat ein Recht darauf, das zu wissen. Das ergibt sich aus der Informationspflicht nach Art. 13 DSGVO.

In der Praxis reicht dafür eine kurze Ansage zu Gesprächsbeginn, etwa: "Sie sprechen mit unserem digitalen Assistenten." Diese Ansage sollte außerdem einen Hinweis enthalten, wie die anrufende Person bei Bedarf einen Menschen erreicht.

Wichtig ist zudem: Es muss immer möglich sein, im Notfall oder auf Wunsch mit einem Menschen zu sprechen. Ein KI-Telefonassistent sollte deshalb feste Übergaberegeln haben, wann er ein Gespräch an ein Teammitglied weiterleitet.

In welchen Branchen gelten strengere Anforderungen?

Für die meisten Unternehmen reicht die Kombination aus AVV, EU-Serverstandort und transparenter Ansage aus. In einigen Branchen kommen jedoch zusätzliche berufsrechtliche Pflichten hinzu, weil dort besonders sensible Informationen am Telefon besprochen werden. Fünf Beispiele:

Arztpraxen: Ärztinnen und Ärzte unterliegen der ärztlichen Schweigepflicht nach §203 StGB. Gesundheitsdaten gelten außerdem als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Diagnosen oder Medikamentenfragen sollten deshalb nicht automatisiert verarbeitet werden, sondern klassisch über das Praxisteam.
Steuerberatungskanzleien: Steuerberater:innen unterliegen der Verschwiegenheitspflicht nach §57 StBerG und §203 StGB. Die Bundessteuerberaterkammer hält in ihrem FAQ-Katalog zu KI in der Steuerberatung fest, dass diese Pflicht durch den Einsatz von KI-Systemen unberührt bleibt. Mandantenbezogene Steuerfragen gehören deshalb nicht in den automatisierten Chat.
Rechtsanwaltskanzleien: Für Anwälte gilt die anwaltliche Verschwiegenheitspflicht nach §43a BRAO und §203 StGB. Inhaltliche Fallfragen oder Mandatsdetails sollten telefonisch nicht automatisiert erfasst werden, sondern nur organisatorische Anliegen wie Terminvereinbarung.
Physiotherapiepraxen: Auch Physiotherapeut:innen sind als Angehörige eines Heilberufs an §203 StGB gebunden. Schon Metadaten wie ein Anruf bei einer Praxis können eine Behandlungsbeziehung erkennbar machen, was die Schweigepflicht berühren kann.
Versicherungsvermittler:innen: Neben der DSGVO gilt hier oft zusätzlich das Sozialgeheimnis nach §35 SGB I, sobald Gesundheitsdaten im Rahmen einer Versicherungsleistung besprochen werden, etwa bei Berufsunfähigkeits- oder Krankenversicherungen. Für diese Branchen gilt: Ein KI-Telefonassistent eignet sich gut für organisatorische Anfragen wie Terminvereinbarung oder allgemeine Fragen. Inhaltliche, personenbezogene Fallfragen sollten weiterhin über das Team laufen. Kläre diesen Punkt vor dem Rollout mit deinem Datenschutzbeauftragten, das ist keine pauschale Ja/Nein-Frage.

Wie setzt Superchat diese Anforderungen technisch um?

Superchat verarbeitet Daten auf deutschen Servern und schließt mit jedem Kunden einen individuellen AVV. Für WhatsApp-Kommunikation kommt zusätzlich die WhatsApp Business API zum Einsatz, deren Inhalte Ende-zu-Ende verschlüsselt sind, wie eine Prüfung der saarländischen Datenschutzbehörde bestätigt.

Die Übergaberegeln für den KI-Agenten legt jedes Unternehmen selbst fest. Für Branchen mit Schweigepflicht bedeutet das konkret: Der Agent übernimmt Terminvereinbarung und allgemeine Fragen, während inhaltliche oder mandantenbezogene Anliegen automatisch an ein Teammitglied gehen.

Fazit

Ein KI-Telefonassistent ist für die meisten Unternehmen ohne datenschutzrechtliche Hürden einsetzbar, solange der Anbieter einen AVV anbietet, in der EU verarbeitet und Anrufende transparent informiert werden. Arbeitest du in einer Branche mit gesetzlicher Schweigepflicht, prüfe vor dem Rollout gemeinsam mit deinem Datenschutzbeauftragten, welche Anfragen automatisiert laufen dürfen und welche zwingend an dein Team gehen.

Der pragmatischste erste Schritt: Teste den KI-Agenten zunächst für rein organisatorische Anfragen wie Terminvereinbarung, bevor du ihn für weitere Anwendungsfälle öffnest.