Zusammenfassung
Ein KI-Telefonassistent verarbeitet häufig Namen, Rufnummern, Gesprächsinhalte und Anliegen. Ob und wie das zulässig ist, hängt von Zweck, Datenarten, Rechtsgrundlage, Beteiligten und konkreter Umsetzung ab. Diese Checkliste hilft Unternehmen, die wichtigsten Datenschutzfragen vor dem Start systematisch zu prüfen. Sie ersetzt keine Rechtsberatung und keine Bewertung des Einzelfalls durch die zuständigen Datenschutzverantwortlichen.
Datenschutz beginnt mit dem Zweck
Formulieren Sie zuerst, wofür der Assistent eingesetzt wird. Ein klarer Zweck könnte lauten: „Anrufe entgegennehmen, häufige organisatorische Fragen beantworten und bei Bedarf eine Rückrufbitte an das Serviceteam übermitteln.“ Vermeiden Sie unbestimmte Zwecke wie „Kundendaten verbessern“ oder „alle Gespräche auswerten“, wenn dafür kein konkreter Prozess besteht.
Die DSGVO verlangt unter anderem eine rechtmäßige, faire und transparente Verarbeitung sowie eine Beschränkung der Daten auf das notwendige Maß. Für jeden Zweck muss eine passende Rechtsgrundlage geprüft werden. Welche Grundlage im konkreten Fall trägt, kann nicht pauschal für alle Anrufe beantwortet werden (DSGVO, insbesondere Artikel 5 und 6).
1. Welche Daten fallen an?
Erstellen Sie eine Liste der verarbeiteten Informationen. Bei einem einfachen Rückrufprozess können das Name, Rückrufnummer und Anliegen sein. Eine Terminbuchung kann zusätzliche Angaben benötigen. Fragen Sie nicht vorsorglich nach weiteren Informationen, nur weil sie technisch verfügbar sind.
Prüfen Sie besonders genau, ob Anrufende sensible Angaben machen können. In Arztpraxen können Gesprächsinhalte Gesundheitsdaten enthalten, die besonderen Schutzanforderungen unterliegen. Legen Sie fest, ob solche Angaben überhaupt im Assistentenprozess gebraucht werden, und vermeiden Sie medizinische Detailabfragen, wenn das Anliegen nur organisatorisch aufgenommen werden soll.
2. Audio, Transkript und Zusammenfassung getrennt betrachten
„Der Anruf wird verarbeitet“ kann verschiedene Dinge bedeuten: Live-Audio wird zur Spracherkennung verarbeitet, ein Transkript wird gespeichert, eine Zusammenfassung wird an Mitarbeitende gesendet oder eine Audioaufnahme bleibt abrufbar. Diese Vorgänge haben unterschiedliche Zwecke und Risiken. Dokumentieren Sie für jede Datenart, ob sie anfällt, wofür sie gebraucht wird und wann sie gelöscht wird.
Eine Aufnahme eines nichtöffentlich gesprochenen Wortes kann zusätzlich § 201 StGB berühren. Das Gesetz stellt eine unbefugte Aufnahme unter Strafe. Eine mögliche Aufzeichnung sollte daher gesondert rechtlich geprüft, transparent angekündigt und nur mit einem passenden Verfahren eingesetzt werden (§ 201 StGB). Eine Transkription oder Zusammenfassung sollte ebenfalls nicht als „datenschutzfrei“ behandelt werden: Sie kann weiterhin personenbezogene Informationen enthalten.
3. Anrufende verständlich informieren
Überlegen Sie, welche Information Anrufende beim Kontakt erhalten müssen: Wer verarbeitet ihre Angaben, zu welchem Zweck, welche Daten werden weitergeleitet und wie können sie ihre Rechte wahrnehmen? Die Datenschutzhinweise müssen zum tatsächlichen Gesprächsablauf passen und an einer geeigneten Stelle erreichbar sein.
Gestalten Sie die Begrüßung verständlich. Wenn ein KI-Assistent den Anruf entgegennimmt, sollte der Ablauf nicht den Eindruck erwecken, es spreche eine menschliche Person. Beschreiben Sie knapp, was der Assistent erledigen kann und wie eine menschliche Anlaufstelle erreichbar ist. Lassen Sie die konkreten Informationspflichten und die passende Form der Offenlegung rechtlich bewerten.
4. Verantwortlichkeiten und Dienstleister klären
Klären Sie, wer für die Zwecke und wesentlichen Mittel der Verarbeitung verantwortlich ist und welche Anbieter oder Unterauftragnehmer Daten erhalten. Falls ein Anbieter Daten im Auftrag verarbeitet, prüfen Sie die Voraussetzungen einer Auftragsverarbeitungsvereinbarung, die Weisungen, Sicherheitsmaßnahmen, Unterstützungspflichten und Löschung oder Rückgabe nach Vertragsende regelt. Die DSGVO enthält dazu Anforderungen in Artikel 28.
Erstellen Sie eine Datenflussübersicht:
- Wo werden Anrufdaten erhoben und verarbeitet?
- Welche Anbieter erhalten Audio, Transkript oder Zusammenfassungen?
- In welchen Ländern findet Verarbeitung oder Speicherung statt?
- Welche Unterauftragnehmer sind beteiligt?
- Wie werden Daten übertragen und geschützt?
- Wer kann auf Aufzeichnungen, Logs und Konfigurationen zugreifen?
Prüfen Sie diese Punkte anhand aktueller Vertragsunterlagen und technischer Dokumentation des konkreten Anbieters. Ein Anbieterclaim oder ein Serverstandort allein belegt nicht, dass der gesamte Prozess den Datenschutzanforderungen genügt.
5. Speicherfristen und Zugriff beschränken
Legen Sie für Aufnahmen, Transkripte, Zusammenfassungen und technische Protokolle getrennte Aufbewahrungsfristen fest. Speichern Sie nur so lange, wie ein dokumentierter Zweck es erfordert. Beschränken Sie Zugriffe auf Mitarbeitende, die die Daten für ihre Aufgabe benötigen, und regeln Sie den Umgang mit Exporten, E-Mails und Backups.
Prüfen Sie außerdem, wie Löschanfragen bearbeitet werden, ob Daten aus angebundenen CRM- oder Ticketsystemen ebenfalls gelöscht werden müssen und welche Informationen für Nachweis- oder Aufbewahrungspflichten getrennt behandelt werden.
6. Risiken und Sicherheit bewerten
Wählen Sie technische und organisatorische Schutzmaßnahmen passend zu Art, Umfang und Risiko der Verarbeitung. Dazu können rollenbasierte Zugriffe, sichere Übertragung, begrenzte Berechtigungen, Protokollierung und regelmäßige Überprüfung der Anbieter gehören. Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau.
Prüfen Sie, ob für den geplanten Einsatz eine Datenschutz-Folgenabschätzung erforderlich ist. Das kann insbesondere bei Verarbeitungen mit voraussichtlich hohem Risiko relevant werden. Beziehen Sie Datenschutzbeauftragte oder Rechtsberatung frühzeitig ein, wenn sensible Daten, große Datenmengen oder umfangreiche Überwachung im Spiel sind.
7. Menschliche Übergabe und Fehlerfälle planen
Datenschutz und Servicequalität hängen auch davon ab, was bei einem Fehler passiert. Bestimmen Sie, welche Anliegen der Assistent nicht bearbeiten soll, wie ein Anruf an Mitarbeitende übergeben wird und welche Informationen dabei mitgehen. Prüfen Sie, ob Mitarbeitende übermittelte Zusammenfassungen wirklich benötigen oder ob weniger Daten genügen.
Testen Sie falsche Erkennung, abgebrochene Gespräche, doppelte Datensätze und nicht erreichbare Zielsysteme. Eine klare Rückrufoption ist besser als eine unbelegte Zusage, der Vorgang sei erledigt.
Checkliste vor dem Einsatz
- Zwecke und Datenarten sind dokumentiert.
- Rechtsgrundlagen wurden für die einzelnen Zwecke geprüft.
- Audio, Transkripte, Zusammenfassungen und Logs sind getrennt bewertet.
- Hinweise an Anrufende passen zum tatsächlichen Ablauf.
- Anbieter, Unterauftragnehmer, Datenorte und Verträge sind geprüft.
- Aufbewahrungsfristen, Zugriffsrechte und Löschwege sind festgelegt.
- Sicherheitsmaßnahmen und gegebenenfalls eine Folgenabschätzung wurden bewertet.
- Übergabewege, Betroffenenanfragen und Fehlerfälle sind organisiert.
Fazit
Ein KI-Telefonassistent ist nicht automatisch datenschutzkonform oder datenschutzwidrig. Entscheidend ist, welche Daten für welchen Zweck verarbeitet werden und wie der gesamte Prozess gestaltet ist. Eine dokumentierte Datenflussprüfung, sparsame Datenerhebung und klare Verantwortlichkeiten sind ein guter Ausgangspunkt für eine belastbare Entscheidung.