Datenschutz bei automatisierter Telefonie
Von Leonie Hartmann, Datenschutz- und Voice-AI-Strategin Veröffentlicht am 8. August 2026
Der Anruf kommt um 18:12 Uhr. Ein Bestandskunde fragt nach einem Liefertermin, nennt Auftragsnummer und Rückrufnummer. Ein AI Voice Agent kann diese Anfrage zuverlässig aufnehmen, einordnen und an die richtige Person weitergeben. Doch genau hier beginnt der Datenschutz bei automatisierter Telefonie: Stimme, Telefonnummer, Auftragsdaten und Gesprächsinhalte sind keine Nebensache. Sie müssen vom ersten Klingeln an sauber behandelt werden.
> Das Wichtigste in Kürze: Ein AI Voice Agent kann datenschutzkonform eingesetzt werden, wenn Zweck, Informationspflichten, Speicherung, Zugriffsrechte und Dienstleister klar geregelt sind. Besonders wichtig: Werden Gespräche aufgezeichnet oder transkribiert, müssen Anrufende vorab verständlich informiert werden - und je nach Rechtsgrundlage aktiv einwilligen können.
Warum ist Datenschutz bei automatisierter Telefonie ein Geschäftsthema?
Für kleine und mittlere Unternehmen ist Erreichbarkeit ein Umsatzthema. Wenn das Büro überlastet ist oder nachmittags niemand mehr ans Telefon geht, landen Anfragen bei der Konkurrenz oder verlaufen im Sand. Ein AI Voice Agent nimmt diese Gespräche an - auch außerhalb der Geschäftszeiten - und entlastet das Team bei wiederkehrenden Anliegen.
Der Vorteil darf aber nicht dazu führen, dass Gesprächsdaten unkontrolliert in Postfächern, Transkripten oder Systemen liegen. Wer personenbezogene Daten telefonisch verarbeitet, trägt Verantwortung für sie. Dazu zählen nicht nur Name und Telefonnummer, sondern oft auch sensible Kontextdaten: Beschwerden, Lieferprobleme, Vertragsfragen oder Terminwünsche.
Die Größenordnung ist klar: Nach Art. 83 DSGVO können Verstöße mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden - maßgeblich ist der höhere Betrag. Für die meisten KMU geht es im Alltag jedoch zuerst um etwas viel Näherliegenderes: Vertrauen. Kunden sollen sich gut betreut fühlen, nicht unerwartet überwacht.
Welche Daten verarbeitet ein AI Voice Agent überhaupt?
Ein AI Voice Agent verarbeitet nur das, was für die Bearbeitung des Anrufs erforderlich ist. In der Praxis können das Kontaktdaten, Gesprächsinhalte, Anliegen, Terminpräferenzen, Bestell- oder Auftragsnummern und die Information sein, welche Abteilung zuständig ist.
Entscheidend ist die Unterscheidung zwischen der Bearbeitung eines Gesprächs und seiner dauerhaften Speicherung. Ein Agent kann etwa einen Anruf entgegennehmen, eine Frage beantworten und einen Rückruf anstoßen. Werden dabei keine Audioaufnahme und kein Volltranskript gespeichert, ist der Datenschutzaufwand anders als bei einem System, das jedes Gespräch vollständig archiviert.
Was sollte wirklich gespeichert werden?
Speichern Sie nicht alles, nur weil es technisch möglich ist. Für einen Rückruf reichen häufig Name, Rückrufnummer, Anliegen und Dringlichkeit. Eine minutenlange Wort-für-Wort-Transkription ist dafür nicht immer nötig.
Praktisch bewährt sich eine klare Regel: Der AI Voice Agent übergibt dem zuständigen Team eine kurze, strukturierte Gesprächszusammenfassung. Das reduziert Datenmenge, erleichtert die Bearbeitung und schützt den Anrufer besser als ein unübersichtliches Audioarchiv.
Wann braucht es eine Einwilligung für Aufzeichnung und Transkription?
Hier liegt einer der häufigsten Fehler. Ein Unternehmen darf nicht einfach Gespräche aufzeichnen, weil sie später nützlich sein könnten. In Deutschland ist das heimliche Mitschneiden nicht öffentlich gesprochener Worte regelmäßig strafbar. Auch bei automatischer Transkription ist Vorsicht geboten, wenn Gesprächsinhalte gespeichert werden.
Eine Einwilligung muss vor Beginn der Aufnahme oder Transkription erfolgen, freiwillig, informiert und nachvollziehbar sein. Eine knappe Ansage kann beispielsweise erklären, dass der Anruf durch einen AI Voice Agent bearbeitet wird, ob eine Aufzeichnung oder Transkription erfolgt, wofür dies geschieht und welche Alternative besteht.
Eine brauchbare Ansage ist konkret statt verklausuliert: „Dieser Anruf wird zur Bearbeitung Ihres Anliegens transkribiert. Wenn Sie das nicht möchten, verbinden wir Sie gern mit unserem Team oder nehmen Ihr Anliegen ohne Aufzeichnung auf.“ Ob diese Alternative technisch und organisatorisch möglich ist, muss vor dem Start festgelegt werden.
Reicht ein Hinweis am Anfang des Gesprächs?
Ein Hinweis ist notwendig, aber nicht immer ausreichend. Ob eine Einwilligung erforderlich ist oder eine andere Rechtsgrundlage trägt, hängt vom konkreten Prozess ab: Wird nur eine Terminbitte verarbeitet? Besteht bereits ein Vertragsverhältnis? Werden Audio und Transkript gespeichert? Wie lange? Wer erhält Zugriff?
Für reine Serviceanliegen kann die Verarbeitung unter Umständen zur Vertragserfüllung oder zur Bearbeitung vorvertraglicher Maßnahmen erforderlich sein. Für eine zusätzliche Aufzeichnung zu Qualitätszwecken ist diese Begründung meist deutlich schwächer. Deshalb sollten Unternehmen Aufnahme, Transkription und bloße Gesprächsbearbeitung nicht in einen Topf werfen.
Wie wird ein AI Voice Agent DSGVO-konform eingerichtet?
Datenschutz entsteht nicht durch einen Hinweistext allein. Er muss im Ablauf des Telefonats verankert sein. Bevor der Agent live geht, sollten Geschäftsführung, Fachbereich und Datenschutzverantwortliche gemeinsam festlegen, welche Anrufe der Agent übernimmt und welche Informationen er abfragen darf.
Diese Punkte gehören in eine saubere Umsetzung:
- Klare Zwecke: Der Agent darf Daten nur für definierte Anliegen verarbeiten, etwa Terminbuchung, Rückruf, Lieferstatus oder Weiterleitung.
- Datenminimierung: Fragen Sie nur ab, was zur Lösung des konkreten Anliegens gebraucht wird.
- Transparente Ansage: Anrufende erfahren sofort, dass sie mit einem AI Voice Agent sprechen und was mit ihren Angaben passiert.
- Geregelte Speicherfristen: Transkripte, Audios und Gesprächsnotizen werden nach einem festgelegten Zeitraum gelöscht.
- Berechtigungen nach Rolle: Vertrieb sieht Vertriebsanfragen, Support sieht Supportfälle. Nicht jeder braucht Zugriff auf jedes Gespräch.
- Auftragsverarbeitung: Externe Technologieanbieter verarbeiten Daten nur auf Grundlage eines passenden Vertrags nach Art. 28 DSGVO.
- Sichere Übergabe: E-Mail-, Slack- oder andere Benachrichtigungen müssen so gestaltet sein, dass sensible Inhalte nicht unnötig breit verteilt werden.
Gerade bei der automatischen Weiterleitung liegt oft unnötiges Risiko. Eine vollständige Gesprächsabschrift an eine große Verteilerliste zu schicken, ist selten erforderlich. Besser ist eine knappe Zusammenfassung an die zuständige Person, ergänzt um einen geschützten Zugriff auf Details, wenn diese wirklich gebraucht werden.
Worauf kommt es bei Anbietern und Datenstandorten an?
Nicht jeder Telefonie- oder AI-Anbieter passt automatisch zu den Anforderungen eines Unternehmens in Deutschland, Österreich oder der deutschsprachigen Schweiz. Prüfen Sie vor dem Einsatz, wo Gesprächsdaten verarbeitet werden, welche Unterauftragnehmer eingebunden sind und ob sich Speicherfristen technisch einstellen lassen.
Ein geeigneter Anbieter beantwortet diese Fragen konkret. Er kann erklären, wie Daten verschlüsselt übertragen und gespeichert werden, welche Zugriffskontrollen bestehen und wie Löschkonzepte umgesetzt werden. Vage Aussagen wie „wir nehmen Datenschutz ernst“ reichen nicht, wenn der Agent täglich Kundengespräche bearbeitet.
Bei Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums gelten zusätzliche Anforderungen. Das ist kein pauschales Ausschlusskriterium, aber ein Punkt, der rechtlich geprüft und dokumentiert werden muss. Für Schweizer Unternehmen sind zudem die Vorgaben des revidierten Datenschutzgesetzes zu berücksichtigen.
Wie bleibt der Nutzen hoch, ohne zu viele Daten zu sammeln?
Der beste AI Voice Agent fragt nicht möglichst viel, sondern zielgerichtet. Ein Handwerksbetrieb braucht für einen Rückruf vielleicht Adresse, Gewerk und bevorzugtes Zeitfenster. Ein Großhändler benötigt oft Kundennummer, Auftragsnummer und Rückrufnummer. Was nicht zur Bearbeitung beiträgt, wird nicht abgefragt.
Das verbessert nicht nur den Datenschutz. Kurze, klare Gespräche erhöhen auch die Abschlusschance und vermeiden Nacharbeit. Mitarbeitende erhalten genau die Informationen, die sie benötigen, statt lange Transkripte durchsuchen zu müssen.
The Real AI Agents plant solche Gesprächsabläufe nicht vom technischen Feature aus, sondern vom konkreten Anrufgrund. Das Ergebnis soll einfach sein: Kein wichtiger Anruf geht verloren, und dennoch bleiben Datenflüsse kontrollierbar.
Welche Fragen stellen Unternehmen häufig zum Datenschutz bei automatisierter Telefonie?
Muss ich sagen, dass ein AI Voice Agent den Anruf annimmt?
Ja. Anrufende sollten zu Beginn klar erkennen können, dass sie mit einem automatisierten Telefonassistenten sprechen. Die Information muss verständlich sein und darf nicht im Kleingedruckten versteckt werden.
Darf ein AI Voice Agent Gespräche automatisch transkribieren?
Das kann möglich sein, setzt aber eine passende Rechtsgrundlage, transparente Information und ein sauberes Lösch- und Berechtigungskonzept voraus. Bei gespeicherten Gesprächsinhalten ist besondere Sorgfalt nötig.
Wie lange dürfen Gesprächsdaten gespeichert werden?
Nur so lange, wie es für den festgelegten Zweck erforderlich ist. Für eine Rückrufbitte kann das deutlich kürzer sein als für eine dokumentationspflichtige Kundenanfrage. Die Frist sollte schriftlich definiert und technisch umgesetzt werden.
Brauche ich einen Vertrag zur Auftragsverarbeitung?
Wenn ein externer Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet, ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Lassen Sie den konkreten Einsatz rechtlich prüfen.
Fazit / Key Takeaways
- Ein AI Voice Agent schafft Erreichbarkeit, darf aber nur klar definierte Daten und Zwecke verarbeiten.
- Aufnahme und Transkription brauchen eine besonders sorgfältige rechtliche Grundlage und transparente Ansage.
- Weniger gespeicherte Daten bedeuten meist weniger Risiko und schnellere Bearbeitung.
- Zugriffsrechte, Löschfristen und ein Vertrag zur Auftragsverarbeitung gehören vor dem Livegang auf die Checkliste.
- Datenschutz ist kein Bremsklotz für Telefonautomation, sondern die Grundlage dafür, dass Kunden dem Service vertrauen.
Wer den Telefonprozess zuerst sauber aufsetzt, muss später weder Umsatzchancen noch Kundendaten dem Zufall überlassen.
