KI-Telefonie DSGVO-konform einsetzen: Was rechtlich gilt

Ein Voice Agent, der Anrufe annimmt oder Interessenten zurückruft, ist technisch schnell aufgesetzt. Rechtlich berührt er mehrere Regelwerke gleichzeitig: die KI-Verordnung der EU, die Datenschutz-Grundverordnung, das Strafgesetzbuch, das Wettbewerbsrecht und, sobald Beschäftigte betroffen sind, das Betriebsverfassungsgesetz. Dieser Artikel ordnet die wichtigsten Pflichten ein und verweist jeweils auf die Primärquelle.

Hinweis: Dieser Beitrag ist ein praxisorientierter Überblick und keine Rechtsberatung. Für Ihren konkreten Einsatz sollten Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten und gegebenenfalls eine Anwaltskanzlei einbeziehen.

Kurz gesagt: Für KI-Telefonie sind sechs Fragen zu klären: Erfährt der Anrufer, dass er mit einer KI spricht? Wird das Gespräch aufgezeichnet, und ist das erlaubt? Auf welcher Rechtsgrundlage werden personenbezogene Daten verarbeitet? Ist ein ausgehender Anruf als Werbung überhaupt zulässig? Gibt es Verträge zur Auftragsverarbeitung mit allen Dienstleistern, auch bei Transfers in Drittländer? Und ist der Betriebsrat beteiligt, wenn das System Leistung oder Verhalten von Beschäftigten erfassen kann?

Die Regelwerke im Überblick

Thema	Primärquelle	Kernfrage für die KI-Telefonie
Transparenz	Art. 50 KI-Verordnung (EU) 2024/1689	Wissen Anrufer, dass sie mit einer KI sprechen?
Aufzeichnung	§ 201 StGB	Wird das gesprochene Wort ohne Befugnis aufgenommen?
Rechtsgrundlage	Art. 6 DSGVO	Worauf stützt sich die Verarbeitung der Gesprächsdaten?
Werbeanrufe	§ 7 und § 7a UWG	Liegt die nötige Einwilligung vor und ist sie dokumentiert?
Dienstleister	Art. 28 DSGVO	Gibt es einen Vertrag zur Auftragsverarbeitung?
Drittlandtransfer	Kapitel V DSGVO, Angemessenheitsbeschluss (EU) 2023/1795	Fließen Daten in die USA oder andere Drittländer?
Mitbestimmung	§ 87 Abs. 1 Nr. 6 BetrVG	Kann das System Leistung oder Verhalten von Beschäftigten überwachen?

Transparenzpflicht: Die KI muss sich zu erkennen geben

Artikel 50 Absatz 1 der KI-Verordnung verpflichtet Anbieter, KI-Systeme für die direkte Interaktion mit Menschen so zu gestalten, dass die Betroffenen informiert werden, dass sie mit einem KI-System interagieren. Die Pflicht entfällt nur, wenn das für eine angemessen informierte, aufmerksame und verständige Person ohnehin offensichtlich ist. Am Telefon mit einer natürlich klingenden Stimme ist es das in aller Regel nicht.

Zur Geltung: Nach Artikel 113 der KI-Verordnung gilt die Verordnung grundsätzlich ab dem 2. August 2026, Artikel 50 gehört nicht zu den dort genannten Ausnahmen mit abweichendem Datum. Die Änderungsverordnung (EU) 2026/1744, der sogenannte Digital Omnibus zur KI, hat vor allem die Fristen für Hochrisiko-Systeme verschoben und einzelne Regeln zur Kennzeichnung synthetischer Inhalte angepasst. Prüfen Sie vor dem Start den aktuellen konsolidierten Text.

Formal trifft die Pflicht aus Absatz 1 den Anbieter des Systems. In der Praxis sollten Sie als einsetzendes Unternehmen trotzdem sicherstellen, dass der Hinweis tatsächlich erfolgt, am einfachsten im ersten Satz: „Sie sprechen mit dem digitalen Assistenten von …“. Mehr zum Zeitplan und zu den übrigen Pflichten der Verordnung steht im Artikel EU AI Act in Deutschland.

Aufzeichnung, Transkription und § 201 StGB

Nach § 201 StGB macht sich strafbar, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder eine solche Aufnahme gebraucht oder Dritten zugänglich macht. Der Strafrahmen reicht bis zu drei Jahren Freiheitsstrafe. Ein Telefonat ist typischerweise nichtöffentlich.

Für die KI-Telefonie folgt daraus eine Designentscheidung:

Audio speichern nur, wenn es dafür einen klaren Zweck gibt und der Anrufer vorher informiert wurde und zugestimmt hat, etwa per Ansage mit der Möglichkeit, das Gespräch ohne Aufzeichnung fortzusetzen.
Nur transkribieren reduziert das Risiko, ersetzt aber nicht die datenschutzrechtliche Prüfung. Ob und wann eine reine Echtzeit-Verarbeitung ohne Speicherung des Audios unter § 201 StGB fällt, sollten Sie rechtlich bewerten lassen, statt es zu unterstellen.
Speicherfristen für Transkripte und Zusammenfassungen festlegen und technisch umsetzen.

Rechtsgrundlagen nach Art. 6 DSGVO

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Artikel 6 der DSGVO. Für die KI-Telefonie kommen vor allem drei in Betracht:

Vertrag oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b): Ein Kunde ruft an, um einen Termin zu vereinbaren oder eine Bestellung zu klären. Die Verarbeitung muss dafür objektiv erforderlich sein, nicht nur nützlich.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): etwa für die Qualitätssicherung oder die Weiterleitung eines Anliegens. Hier ist eine dokumentierte Interessenabwägung nötig.
Einwilligung (Art. 6 Abs. 1 lit. a): zum Beispiel für die Aufzeichnung des Audios. Sie muss informiert, freiwillig und widerruflich sein.

Der Landesbeauftragte für Datenschutz Baden-Württemberg hat in seinem Diskussionspapier zu Rechtsgrundlagen beim Einsatz von KI herausgearbeitet, dass die Vertragsgrundlage nur trägt, wenn die Verarbeitung objektiv erforderlich ist, und dass das berechtigte Interesse eine Prüfung von Erforderlichkeit und Abwägung verlangt. Eine besondere Frage ist, ob Gesprächsdaten zum Training oder zur Verbesserung von Modellen genutzt werden. Dafür trägt die Vertragsgrundlage nach dem Papier in der Regel nicht. Klären Sie deshalb vertraglich, dass Ihre Dienstleister Gesprächsdaten nicht für eigenes Training verwenden.

Die Informationspflichten nach Art. 13 DSGVO gelten auch am Telefon. Bewährt hat sich ein kurzer Hinweis in der Ansage mit Verweis auf die ausführliche Datenschutzerklärung. Grundsätzliches zum Umgang mit personenbezogenen Daten in KI-Systemen beschreibt der Artikel KI, Ethik und Datenschutz.

Ausgehende Anrufe: Kaltakquise nach § 7 UWG

Für Outbound gelten unabhängig von der KI die Regeln zur Telefonwerbung. Nach § 7 Abs. 2 Nr. 1 UWG ist Werbung mit einem Telefonanruf eine unzumutbare Belästigung, wenn sie gegenüber Verbrauchern ohne deren vorherige ausdrückliche Einwilligung erfolgt oder gegenüber sonstigen Marktteilnehmern ohne deren zumindest mutmaßliche Einwilligung.

Zielgruppe	Voraussetzung	Nachweis
Verbraucher (B2C)	vorherige ausdrückliche Einwilligung	dokumentieren und fünf Jahre aufbewahren (§ 7a UWG)
Unternehmen (B2B)	zumindest mutmaßliche Einwilligung	Begründung des konkreten Interesses dokumentieren

§ 7a UWG verlangt, die Einwilligung von Verbrauchern zum Zeitpunkt der Erteilung in angemessener Form zu dokumentieren und den Nachweis ab Erteilung sowie nach jeder Verwendung fünf Jahre aufzubewahren. Ein KI-Setter darf also nur Kontakte anrufen, für die diese Voraussetzungen erfüllt sind. Die mutmaßliche Einwilligung im B2B-Bereich ist eine Einzelfallfrage; ein allgemeines Interesse an Kostensenkung reicht nach verbreiteter Auffassung nicht. Am sichersten sind Rückrufe auf ausdrückliche Anfrage.

Auftragsverarbeitung und Drittlandtransfer

Eine typische Sprach-Pipeline besteht aus mehreren Diensten: Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe, CRM. Jeder Dienst, der personenbezogene Daten in Ihrem Auftrag verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Lassen Sie sich die Liste aller Unterauftragsverarbeiter geben und prüfen Sie, wo die Daten verarbeitet werden.

Liegen Dienstleister in den USA, ist ein Transfer möglich, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist. Die Kommission hat dafür mit dem Durchführungsbeschluss (EU) 2023/1795 ein angemessenes Schutzniveau festgestellt. Ohne Zertifizierung brauchen Sie andere Garantien, etwa Standardvertragsklauseln, und eine Bewertung des Transfers. Wie Sie solche Klauseln mit KI-Anbietern verhandeln, beschreibt der Artikel KI-Verträge im Unternehmen.

Betriebsrat: Mitbestimmung bei Überwachungsmöglichkeit

Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. In der arbeitsrechtlichen Praxis wird das weit ausgelegt: Es kommt regelmäßig darauf an, ob eine Einrichtung zur Überwachung geeignet ist, nicht ob sie dafür gedacht war. Eine KI-Telefonie, die Übergaben an Mitarbeitende protokolliert, Bearbeitungszeiten auswertet oder Gespräche von Beschäftigten transkribiert, fällt schnell darunter. Beziehen Sie den Betriebsrat früh ein; eine Betriebsvereinbarung schafft Klarheit für beide Seiten. Praktische Hinweise dazu gibt der Artikel KI und Betriebsrat.

Checkliste vor dem Start

KI-Hinweis in der ersten Ansage
Entscheidung: Audio speichern ja oder nein, mit Zustimmungsweg
Rechtsgrundlage je Verarbeitungszweck dokumentiert
Informationspflichten erfüllt, Datenschutzerklärung ergänzt
Für Outbound: Einwilligungen geprüft und nachweisbar
Verträge zur Auftragsverarbeitung mit allen Diensten, Unterauftragnehmer bekannt
Transfermechanismus für Drittländer geprüft
Löschfristen für Transkripte festgelegt
Betriebsrat beteiligt, wo Beschäftigte betroffen sind
Datenschutz-Folgenabschätzung geprüft

Aus meinen Produkten

Bei anicall.io hat mich das Thema Verlässlichkeit zu einer klaren Designentscheidung geführt: Der Agent ist so gebaut, dass er nur aus geprüften Quellen antwortet. Wissenslücken gehen als Freigabe-Aufgabe ans Team, statt dass der Agent eine Auskunft erfindet. Das ist auch rechtlich relevant, denn eine falsche Auskunft am Telefon ist schwerer zu korrigieren als eine falsche E-Mail. Für die Anbindung an CRM und Kalender nutzen wir HMAC-signierte Webhooks, damit nur berechtigte Systeme Gesprächsergebnisse empfangen. Wie Sie Wissen so aufbereiten, dass jede Antwort belegbar ist, beschreibt der Leitfaden Wissens-KI mit RAG.

Wenn Sie KI-Telefonie mit sauberer Datenschutz-Architektur planen, finden Sie mein Vorgehen unter Voice AI und, für die Wissensbasis dahinter, unter Wissens-KI mit RAG. Was ein solcher Betrieb kostet, rechnet der Artikel Was kostet KI-Telefonie? durch.

Häufig gestellte Fragen

Muss sich ein Voice Agent als KI zu erkennen geben?

Ja, in aller Regel. Artikel 50 der KI-Verordnung verlangt, dass Menschen informiert werden, wenn sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Die Verordnung gilt grundsätzlich seit dem 2. August 2026. Am einfachsten erfolgt der Hinweis im ersten Satz des Gesprächs.

Darf eine KI Telefongespräche aufzeichnen?

Nur mit Befugnis. § 201 StGB stellt die unbefugte Aufnahme des nichtöffentlich gesprochenen Wortes unter Strafe. Wer Audio speichern will, sollte vorher informieren, eine Zustimmung einholen und einen Weg ohne Aufzeichnung anbieten. Datenschutzrechtlich braucht jede Speicherung zusätzlich eine Rechtsgrundlage und eine Löschfrist.

Darf ein KI-Setter Kaltakquise am Telefon machen?

Gegenüber Verbrauchern nur mit vorheriger ausdrücklicher Einwilligung, die nach § 7a UWG dokumentiert und fünf Jahre aufbewahrt werden muss. Gegenüber Unternehmen ist zumindest eine mutmaßliche Einwilligung nötig, deren Vorliegen im Einzelfall zu prüfen ist. Dass eine KI statt eines Menschen anruft, ändert an diesen Regeln nichts.

Brauche ich einen AVV mit dem Anbieter der KI-Telefonie?

Ja, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, was bei Telefonaten praktisch immer der Fall ist. Der Vertrag nach Artikel 28 DSGVO sollte auch die Unterauftragnehmer für Telefonie, Spracherkennung, Sprachmodell und Sprachausgabe abdecken.

Muss der Betriebsrat bei KI-Telefonie zustimmen?

Wenn das System geeignet ist, Leistung oder Verhalten von Beschäftigten zu überwachen, hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen. Das betrifft etwa Auswertungen von Übergaben, Bearbeitungszeiten oder Gesprächen von Mitarbeitenden. Eine frühe Einbindung und eine Betriebsvereinbarung vermeiden Verzögerungen.