KI-Telefonassistent & DSGVO: Der vollständige Leitfaden 2026

Dieser Beitrag ist keine Rechtsberatung. Für verbindliche datenschutzrechtliche Einschätzungen wenden Sie sich bitte an einen qualifizierten Datenschutzbeauftragten oder Fachanwalt für Datenschutzrecht.

---

Warum DSGVO beim KI-Telefonassistenten eine eigene Kategorie ist

Ein KI-Telefonassistent verarbeitet personenbezogene Daten in einer ungewöhnlichen Kombination: Er hört einer Person zu, transkribiert gesprochene Sprache, speichert Namen, Telefonnummern und Terminwünsche — und macht das ohne menschliche Vermittlung. Das ist aus DSGVO-Sicht nicht per se problematisch, aber es erfordert klare Entscheidungen zu mehreren Punkten, die bei normaler CRM-Software oft als selbstverständlich gelten.

Dieser Leitfaden geht die wichtigsten Prüfpunkte systematisch durch.

---

1. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Sobald Sie einen externen Anbieter mit der Verarbeitung personenbezogener Daten beauftragen, sind Sie als Verantwortlicher (Art. 4 Nr. 7 DSGVO) verpflichtet, einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abzuschließen. Das gilt auch für einen KI-Telefonassistenten, der Gesprächsinhalte verarbeitet.

Was der AVV regeln muss:

• Gegenstand, Dauer und Zweck der Verarbeitung
• Art der personenbezogenen Daten und betroffene Personengruppen
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen (TOMs)
• Regelungen zu Subauftragsverarbeitern (z. B. TTS/ASR-Dienste, Cloud-Hosting)
• Löschung oder Rückgabe der Daten nach Auftragsende

Prüffrage: Hat der Anbieter einen AVV (auf Deutsch, Art.-28-konform)?

Bei Lucidence ist ein AVV-Template verfügbar und wird vor dem Produktivbetrieb abgeschlossen. Weitere Informationen zur Datenschutzerklärung unter /legal/privacy und zur Liste der Subauftragsverarbeiter unter /legal/subprocessors.

---

2. Serverstandort und EU-Datentransfer

Die DSGVO erlaubt die Übermittlung personenbezogener Daten in Drittstaaten außerhalb der EU/EWR nur unter bestimmten Bedingungen (Art. 44–49 DSGVO). Für eine Software, die Gesprächsinhalte verarbeitet, ist das ein kritischer Punkt.

Checkliste Serverstandort:

• Wo liegen die Produktionsdaten? (EU/EWR = unproblematisch)
• Gibt es Subverarbeiter mit Serverstandort außerhalb der EU?
• Falls ja: Standardvertragsklauseln (SCC) vorhanden?
• Sind Daten verschlüsselt bei der Übertragung (TLS) und im Ruhezustand?

Lucidence-Posture: Produktionsdaten werden auf Render Managed Postgres in Frankfurt (EU) gehostet. Gesprächstranskripte und Kundendaten verlassen die EU-Region nicht in unverschlüsselter Form. Die eingesetzten KI-Dienste (Spracherkennung via ElevenLabs) unterliegen eigenen Subverarbeitungsvereinbarungen — diese sind im AVV dokumentiert.

---

3. Information der Anrufer (Art. 13 DSGVO)

Art. 13 DSGVO verlangt, dass betroffene Personen zum Zeitpunkt der Datenerhebung über die Verarbeitung informiert werden. Für einen KI-Telefonassistenten bedeutet das: Der Anrufer muss wissen, dass er mit einer KI spricht und dass sein Gespräch verarbeitet wird.

Das ist aus zwei Gründen relevant:

1. Datenschutzrechtlich: Transparenzpflicht nach Art. 5 Abs. 1 lit. a DSGVO
2. Strafrechtlich: Wer ein Gespräch ohne Wissen des anderen aufzeichnet, riskiert eine Strafbarkeit nach §201 StGB — mehr dazu in unserem gesonderten Artikel Darf eine KI Telefonate aufzeichnen?

Mindestinformationen beim ersten Kontakt:

• Der Gesprächspartner ist eine KI, kein Mensch
• Für welchen Betrieb die KI handelt
• Was mit den Daten passiert (Terminbuchung, Protokollierung)
• Hinweis auf die Datenschutzerklärung (URL genügt)

Lucidence informiert Anrufer in der Begrüßungsansage standardmäßig darüber, dass sie mit einem digitalen Assistenten sprechen. Dieser Hinweis ist konfigurierbar, kann aber nicht vollständig entfernt werden — das ist by design, nicht nur aus Compliance-Gründen.

---

4. Anrufaufzeichnung: Einwilligung vs. Verzicht

Hier liegt einer der häufigsten Irrtümer: Viele Betriebe glauben, dass ein KI-Assistent automatisch alle Gespräche aufzeichnet. Das ist bei Lucidence nicht der Fall.

Der Unterschied:

• Transkription / Live-Verarbeitung: Die KI hört das Gespräch, um zu verstehen und zu antworten — das ist für den Betrieb technisch notwendig und mit einer Information nach Art. 13 vertretbar.
• Speicherung der Audioaufnahme: Das ist ein separater Schritt, der eine explizite Einwilligung aller Gesprächsparteien erfordert.

Lucidence: Aufzeichnung standardmäßig deaktiviert. Wenn Sie die Audioaufzeichnung aktivieren möchten, gibt es im Dashboard eine Attestationsmaske, die eine ausdrückliche schriftliche Bestätigung verlangt. Dieser Schritt kann nicht übergangen werden.

Für die meisten Betriebe ist die Aufzeichnung nicht notwendig — der Gesprächsbericht (Zusammenfassung, Sentiment, Terminbuchung) reicht für alle operativen Zwecke aus.

---

5. Aufbewahrung und Löschkonzept (Art. 5 Abs. 1 lit. e, Art. 17 DSGVO)

Art. 5 Abs. 1 lit. e DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck notwendig ist. Art. 17 gewährt Betroffenen ein Recht auf Löschung.

Was ein Löschkonzept für einen KI-Telefonassistenten umfassen muss:

• Aufbewahrungsfristen für Gesprächsprotokolle (z. B. 90 Tage, 1 Jahr)
• Automatische Löschung nach Fristablauf (keine manuelle Pflege)
• Art. 17-Löschanfragen: Wie werden sie bearbeitet, was genau wird gelöscht?
• Anonymisierung vs. vollständige Löschung (z. B. bei Buchungsdaten mit steuerrechtlicher Aufbewahrungspflicht)

Lucidence-Posture: Konfigurierbare Aufbewahrungsfristen per Mandant (Standard: aktiv). Ein automatischer Löschlauf läuft täglich. Die Art.-17-Funktion löscht beim Löschen eines Kontakts: Kontaktdatensatz, Anrufprotokolle, SMS-Logs, Nachrichten und Einwilligungseinträge. Buchungen werden anonymisiert (Pflichtfeld [gelöscht]), nicht gelöscht, da steuerrechtliche Aufbewahrungspflichten gelten können.

---

6. Audit-Logs und Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)

Das Rechenschaftsprinzip verlangt, dass Sie als Verantwortlicher nachweisen können, dass Sie die DSGVO einhalten — nicht nur behaupten. Für eine Software bedeutet das: Es braucht Audit-Logs.

Was Audit-Logs dokumentieren sollten:

• Wer hat wann auf Kundendaten zugegriffen?
• Wer hat Datensätze verändert oder gelöscht?
• Wann wurden Löschanfragen ausgeführt?
• Wann wurden Einwilligungen erteilt und wann widerrufen?

Lucidence protokolliert jede CRUD-Operation auf Kundendaten mit Zeitstempel, Benutzer und Mandant-ID. Audit-Logs sind im Dashboard einsehbar (gefiltert, paginiert, mit Detailansicht) und können als Teil des Datenschutz-Exports ausgegeben werden.

---

7. Einwilligungsmanagement (TTDSG §25, Art. 6/7 DSGVO)

Für die Datenverarbeitung am Telefon ist die Rechtsgrundlage in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung oder vorvertragliche Maßnahmen) — wenn der Anrufer einen Termin buchen möchte, ist die Verarbeitung seiner Daten für die Buchung notwendig.

Für weitergehende Verarbeitungen (z. B. Marketing-Follow-ups) brauchen Sie eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Lucidence protokolliert Einwilligungen mit Zeitstempel und Kanal (Telefon, WhatsApp, Widget).

---

Die DSGVO-Checkliste für KI-Telefonassistenten

• AVV mit dem Anbieter abgeschlossen (Art. 28)?
• Serverstandort EU/EWR oder SCC vorhanden?
• Anrufer werden bei Gesprächsbeginn über KI informiert (Art. 13)?
• Aufzeichnung standardmäßig deaktiviert oder mit Einwilligungsverfahren gesichert?
• Aufbewahrungsfristen definiert und automatisierte Löschung aktiv?
• Art. 17-Löschanfragen technisch umsetzbar (nicht nur als manuelle Aufgabe)?
• Audit-Logs aktiv und exportierbar?
• Einwilligungen werden protokolliert mit Zeitstempel?
• Datenschutzerklärung erwähnt den KI-Telefonassistenten als Verarbeitungstätigkeit?
• ROPA (Verzeichnis der Verarbeitungstätigkeiten) aktualisiert?

---

Fazit: DSGVO-Konformität ist möglich — aber erfordert aktive Entscheidungen

Ein KI-Telefonassistent ist datenschutzrechtlich handhabbar. Er erfordert keine außergewöhnlichen Maßnahmen — aber er erfordert aktive Entscheidungen zu Serverstandort, Aufzeichnung, Aufbewahrung und Transparenz. Anbieter, die diese Punkte nicht klar dokumentieren oder transparent kommunizieren, sind ein Risiko.

Die relevanten Lucidence-Dokumente finden Sie unter /legal/privacy (Datenschutzerklärung) und /legal/subprocessors (Subauftragsverarbeiter-Liste).