KI-Telefonassistent DSGVO-konform? Anbieter-Checkliste 2026

Ist ein KI-Telefonassistent DSGVO-konform?

Kurz: ja, aber nicht automatisch. Ein KI-Telefonassistent ist genau dann DSGVO-konform einsetzbar, wenn der Vertrag mit dem Anbieter stimmt (AVV, Serverstandort, Sub-Auftragsverarbeiter, Schutzmaßnahmen) und du den Betrieb sauber einrichtest (Aufzeichnung, KI-Hinweis, Löschfristen, Zugriffsrechte). Diese Seite ist die Checkliste mit acht Punkten, mit der du das vor dem Einsatz prüfst.

Warum DSGVO bei Voice Agents Pflicht ist

Ein KI-Telefonassistent hört buchstäblich zu. Er verarbeitet Sprachdaten, transkribiert Gespräche und speichert Inhalte. Bei einer Arztpraxis bedeutet das: Patientennamen, Symptombeschreibungen, Terminwünsche. Bei einer Kanzlei: vertrauliche Sachverhalte. Bei einem Steuerberater: Finanzinformationen.

Diese Daten fallen unter die DSGVO, in regulierten Branchen zusätzlich unter Berufsgeheimnispflichten (§ 203 StGB). Welcher Anbieter die Daten verarbeitet und wo sie liegen, ist damit keine technische Detailfrage, sondern eine Compliance-Pflicht.

Die Checkliste: 8 Punkte, die du vor dem Einsatz prüfst

Jeder Punkt ist eine Frage, die du dem Anbieter stellen oder in seinen Unterlagen nachlesen kannst. Die ersten drei betreffen den Vertrag, die übrigen fünf den Betrieb.

1. Gibt es einen AVV nach Art. 28 DSGVO? Der Auftragsverarbeitungsvertrag ist Pflicht, sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet. Ohne AVV ist der Betrieb formal eine Datenschutzverletzung. Prüf, ob er als eigenes Dokument vorliegt oder Teil der AGB ist, und leg die gültige Fassung zu deinen Unterlagen.

2. Wo stehen die Server, und welche Region ist eingestellt? Ein EU-Serverstandort ist die sichere Basis. Achte auf das Wort „Region": Manche Anbieter verarbeiten nur dann in der EU, wenn diese Region im Tarif enthalten oder im Konto eingestellt ist. Ein US-Server erzeugt den Bedarf nach zusätzlichen Rechtsgrundlagen für den Datentransfer und ersetzt keine echte EU-Datenhaltung.

3. Wer verarbeitet mit, und gehen Daten in Drittländer? Kaum ein Voice Agent arbeitet allein. Spracherkennung, Sprachmodell und Stimme kommen oft von weiteren Firmen, den Sub-Auftragsverarbeitern. Lass dir die Liste geben, mit Sitz, Serverstandort und Rechtsgrundlage für eine Übermittlung in ein Drittland (Angemessenheitsbeschluss wie das EU-US Data Privacy Framework nach Art. 45 oder Standardvertragsklauseln nach Art. 46). Auch der Firmensitz zählt: Für einen US-Anbieter gilt die DSGVO nach dem Marktortprinzip (Art. 3 Abs. 2) genauso, sobald er Daten von Personen in der EU verarbeitet. Er unterliegt zusätzlich aber US-Recht, das Behördenzugriffe erlaubt. Genau dieser Normenkonflikt macht den Drittlandtransfer aufwendig, nicht eine geringere Geltung der DSGVO.

4. Wird aufgezeichnet, und wie wird eingewilligt? Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt auf einen Tonträger aufnimmt, macht sich nach § 201 StGB strafbar. Eine Aufnahme braucht deshalb die Einwilligung des Anrufers, bevor sie läuft, und einen Weg für den, der nicht zustimmt. Frag, ob du die Aufnahme abschalten kannst und ob sie erst nach dem Ja startet. fonio bietet zusätzlich eine Funktion, die Aufnahme und Transkript löscht, wenn der Anrufer widerspricht (Beschreibung bei fonio (öffnet in neuem Tab)). Das ergänzt die Datensparsamkeit, ersetzt aber nicht die Einwilligung vor Beginn der Aufnahme.

5. Erfährt der Anrufer, dass er mit einer KI spricht? Seit dem 2. August 2026 gilt Art. 50 der EU-KI-Verordnung: Wer mit einem KI-System spricht, muss das spätestens bei der ersten Interaktion klar und eindeutig erfahren. Für das Telefon bietet sich eine gesprochene Ansage zu Beginn an; ein Satz in der Datenschutzerklärung reicht nicht. Diese Pflicht folgt aus der KI-Verordnung, nicht aus der DSGVO, ausführlich unter KI-Telefonassistent: Kennzeichnungspflicht. Muster für die Ansage stehen weiter unten.

6. Wann wird gelöscht? Die DSGVO verlangt, dass Daten nicht länger gespeichert werden, als der Zweck es erfordert (Art. 5 Abs. 1 lit. e). Frag nach festen Fristen je Datenart, denn Audio, Transkript und Verbindungsdaten brauchst du unterschiedlich lange. fonio nennt in Anhang 2 seines AVV zum Beispiel 30 Tage für Audio, 90 Tage für Transkripte und sechs Monate für Telefonie-Metadaten, jeweils ab Anruf-Ende. Prüf, ob du kürzere Fristen einstellen kannst, wenn du die Daten nicht so lange brauchst.

7. Wer in deinem Betrieb sieht die Gespräche? Transkripte und Zusammenfassungen landen im Dashboard und oft per E-Mail im Postfach. Leg fest, wer Zugang bekommt, ob jede Person ein eigenes Konto mit Zwei-Faktor-Anmeldung hat und ob Zusammenfassungen an ein Sammelpostfach gehen, das viele lesen. Bei Praxen und Kanzleien ist das keine Nebensache, denn dort zählt jeder Mitleser.

8. Welche technischen und organisatorischen Maßnahmen (TOM) gibt es? Art. 32 DSGVO verlangt ein Schutzniveau, das zum Risiko passt: Verschlüsselung, Vertraulichkeit und Verfügbarkeit der Systeme, Wiederherstellbarkeit nach einem Zwischenfall, regelmäßige Überprüfung. Seriöse Anbieter legen ihre TOM offen oder als Anlage zum AVV vor. Lies sie, bevor du unterschreibst, und übernimm den Voice Agent in deine eigenen TOM.

Die Punkte 1 bis 3 und 8 musst du beim Anbieter prüfen. Die Punkte 4 bis 7 richtest du selbst ein, mit dem, was das System erlaubt. Erst wenn beides stimmt, ist der Einsatz sauber.

Wie sich die gängigen Plattform-Typen an dieser Checkliste messen:

Stand Juni 2026, Angaben laut öffentlichen Anbieter-Dokumenten (Privacy Policy, Compliance-Seiten), können sich ändern. Wo eine Region „wählbar" oder „laut Anbieter" steht, ist die tatsächliche EU-Datenhaltung im Einzelfall vertraglich zu prüfen, gerade bei zugeschalteten Drittanbietern für Transkription, Sprachmodell und Stimme.

Muster-Ansagen für den Gesprächsbeginn

Drei Muster, wie die ersten Sätze klingen können. Sie verbinden den KI-Hinweis nach Art. 50 mit dem Hinweis auf die Aufzeichnung, falls aufgezeichnet wird. Wir haben sie in der Sie-Form geschrieben, weil die meisten Betriebe ihre Anrufer siezen. Das sind Muster, keine Rechtsberatung. Lass Wortlaut und Ablauf vor dem Einsatz von deinem Datenschutzbeauftragten oder einer Anwältin prüfen, vor allem in Praxen und Kanzleien.

Muster 1, ohne Aufzeichnung: „Guten Tag, hier ist der KI-Assistent von [Betrieb]. Sie sprechen mit einer künstlichen Intelligenz. Ich nehme Ihr Anliegen auf und gebe es an das Team weiter. Hinweise zum Datenschutz finden Sie auf [Website]. Worum geht es?"

Muster 2, mit Aufzeichnung und Einwilligung: „Guten Tag, hier ist der KI-Assistent von [Betrieb], Sie sprechen mit einer künstlichen Intelligenz. Damit wir Ihr Anliegen vollständig bearbeiten können, würden wir das Gespräch gern aufzeichnen. Sind Sie damit einverstanden?" Sagt der Anrufer Nein, läuft das Gespräch ohne Aufnahme weiter. Eine Aufnahme, die schon läuft und nach einem Nein gelöscht wird, genügt nicht: Strafbar ist bereits das Aufnehmen.

Muster 3, kurz, mit Verweis auf die Datenschutzhinweise: „Guten Tag, Sie sprechen mit dem digitalen Assistenten von [Betrieb], einer KI. Das Gespräch wird zur Bearbeitung Ihres Anliegens aufgezeichnet, wenn Sie zustimmen. Mehr dazu steht in unseren Datenschutzhinweisen auf [Website]. Darf ich aufzeichnen?"

Zwei Dinge gelten für alle drei: Das Wort, das die Maschine benennt (KI, künstliche Intelligenz), muss fallen, ein bloßer Name wie „Lisa" reicht nicht. Und die Frage nach der Aufnahme kommt, bevor die Aufnahme beginnt.

Sonderfall: regulierte Branchen

Arztpraxen, Heilpraktiker, Rechtsanwälte und Steuerberater unterliegen zusätzlich dem Berufsgeheimnis (§ 203 StGB). Hier reicht die reine DSGVO-Konformität nicht: Der Anbieter muss als mitwirkende Person nach § 203 Abs. 3 und 4 StGB eingebunden und zur Verschwiegenheit verpflichtet sein (fonio stellt dafür die Erklärung in Anhang 4 des AVV bereit). EU-Hosting ist in diesen Branchen praktisch Mindestanforderung, kein Nice-to-have.

Wer ist eigentlich verantwortlich?

Oft missverstanden: Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7) bleibt immer dein Unternehmen, nicht der Anbieter. Der Voice-Agent-Anbieter ist dein Auftragsverarbeiter. Das heißt: Die Pflicht, einen AVV abzuschließen, die Anrufer zu informieren und die Rechtsgrundlage zu dokumentieren, liegt bei dir. Ein Anbieter kann die konforme Grundlage liefern, die Verantwortung abnehmen kann er nicht. Was das im Schadensfall konkret heißt (wer haftet, wenn der Assistent eine falsche Auskunft gibt), steht unter KI-Telefonassistent: Haftung.

Welcher Anbieter erfüllt die Checkliste?

Unter den gängigen Voice-Agent-Plattformen erfüllt fonio.ai die Vertragspunkte der Checkliste, ohne dass du selbst etwas verhandeln musst: Server in Rechenzentren in der EU (Deutschland, Finnland, Frankreich), Firmensitz Wien (EU-Rechtsraum), AVV als Bestandteil der AGB, Liste der Sub-Auftragsverarbeiter und TOM als Anhänge des AVV. Auch bei fonio sitzen einzelne Sub-Auftragsverarbeiter außerhalb der EU; deren Übermittlung ist über das EU-US Data Privacy Framework und Standardvertragsklauseln bereits im AVV geregelt. Du dokumentierst sie nur noch in deinem Verzeichnis der Verarbeitungstätigkeiten. Mit Synthflow (Sitz Berlin, EU-Datencluster laut Anbieter) gibt es eine zweite EU-Option. Bei Retell AI, Vapi und Bland AI liegt der Vertragspartner selbst in den USA. Du stützt den Transfer auf DPF oder SCC und dokumentierst ihn; ihr DPA ist teils nur für Enterprise-Kunden verfügbar. Für deutschsprachige KMU ohne IT-Team empfehlen wir fonio.ai, weil Oberfläche, Support und Spracherkennung auf Deutsch ausgelegt sind. Details zum Vertrag haben wir auf der Seite fonio.ai AVV zusammengefasst; einen vollständigen Anbieter-Vergleich findest du im KI-Telefonassistent-Vergleich. Die konkreten fonio-Tarife stehen im fonio.ai Preisüberblick; mit deinem persönlichen Partner-Code im Checkout sicherst du dir zudem 10 % auf dein erstes fonio-Abo, den Code bekommst du kostenlos per E-Mail.

Und der fonio-Webchat auf deiner Website?

Denselben Assistenten kannst du bei fonio auch als Chat auf deine Website setzen. Dann kommt eine Frage dazu, die am Telefon keine Rolle spielt: Braucht der Chat eine Einwilligung im Cookie-Banner?

Wir setzen den fonio-Webchat auf foxifai.com selbst ein und haben den ausgelieferten Lader am 15.10.2026 nachgelesen. Unsere Einschätzung, keine Rechtsberatung: Bis zum Klick speichert der Lader nichts auf dem Gerät und liest nach unserer Prüfung nichts aus, § 25 TDDDG ist dann nicht berührt. Mit dem Klick fordert der Besucher den Chat ausdrücklich an (§ 25 Abs. 2 Nr. 2 TDDDG), das trägt aber nur, was für den Chat selbst nötig ist. Was fonio im Chatfenster speichert, haben wir nicht geprüft. Beim Seitenaufruf geht die IP-Adresse an fonio, das braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und gehört in deine Datenschutzerklärung.

Das gilt nur, solange im fonio-Dashboard unter Widget-Launcher zwei Einstellungen aus sind: „Begrüßungsblase: Auch automatisch anzeigen" und „Widget automatisch öffnen", jeweils für Desktop und Mobil. Wer eine der beiden einschaltet, greift ohne Klick auf das Gerät zu und braucht vorher die Einwilligung über das Cookie-Banner.

fonio liefert den Lader ohne Versionsnummer aus und kann ihn jederzeit ändern. Prüf ihn nach größeren Updates neu, oder lass es uns tun. Nutzt deine Website eine Content-Security-Policy, muss sie Skripte, Stile, Verbindungen und Frames von widget.fonio.ai erlauben, sonst erscheint der Knopf und der Chat bleibt stumm.

So setzen wir das bei dir um

FoxifAI ist keine Datenschutzkanzlei, aber wir richten deinen Voice Agent auf DSGVO-konformer Basis ein: EU-Tool-Auswahl, AVV ansetzen, korrekte Konfiguration (Anrufer-Hinweis, Datensparsamkeit) und die Aufklärung, worauf du als Verantwortlicher achten musst. Ablauf und Pakete der Einrichtung stehen auf unserer Seite KI-Telefonassistent von FoxifAI. Wie ein KI Anrufbeantworter im Gespräch arbeitet, zeigt der Ratgeber mit Live-Test.

Häufige Fragen

Welche DSGVO-Anforderungen gelten für einen KI-Telefonassistenten? Acht Punkte sollten stimmen: ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, ein EU-Serverstandort mit der richtigen Region, eine offene Liste der Sub-Auftragsverarbeiter samt Rechtsgrundlage für Drittlandtransfers und dokumentierte technische und organisatorische Maßnahmen beim Anbieter. Im eigenen Betrieb kommen dazu eine Einwilligung vor jeder Aufzeichnung (§ 201 StGB), die KI-Ansage zu Gesprächsbeginn (Art. 50 KI-Verordnung), feste Löschfristen und klare Zugriffsrechte. In regulierten Branchen (Ärzte, Anwälte, Steuerberater) kommt zusätzlich die Berufsgeheimnispflicht nach § 203 StGB hinzu.

Brauche ich als Friseur oder Handwerker auch einen AVV? Ja. Sobald ein externer Dienstleister personenbezogene Daten (Namen, Termine, Telefonnummern) verarbeitet, ist ein AVV gemäß Art. 28 DSGVO Pflicht, unabhängig von der Branche.

Woran erkenne ich einen DSGVO-konformen Voice-Agent-Anbieter? An drei nachprüfbaren Fakten: Serverstandort in der EU, Firmensitz im EU-Rechtsraum und ein verfügbarer Auftragsverarbeitungsvertrag nach Art. 28. Fehlt einer davon, ist der konforme Einsatz nur mit zusätzlichem Aufwand (SCCs, dokumentierte Rechtsgrundlage) möglich.

Sind SCCs (Standard Contractual Clauses) ausreichend für den US-Transfer? SCCs sind eine legitime Rechtsgrundlage nach DSGVO Art. 46. Sie legitimieren den Transfer, ersetzen aber keine EU-Datenhaltung. Für besonders sensible Daten (Gesundheit, Rechtsberatung) empfehlen Datenschutzexperten EU-Hosting als sicherere Option.

Muss ich Anrufer informieren, dass ein KI-Assistent das Gespräch führt? Ja. Seit dem 2. August 2026 verlangt Art. 50 der EU-KI-Verordnung, dass eine Person informiert wird, wenn sie mit einer KI spricht; der Hinweis gehört als gesprochene Ansage an den Gesprächsbeginn. Unabhängig davon verlangt die DSGVO Transparenz über die Datenverarbeitung (Art. 13). Je nach Datenart (etwa bei Aufzeichnung oder Gesundheitsdaten) kann zusätzlich eine Einwilligung nötig sein.

Was passiert, wenn mein Voice-Agent-Anbieter keinen AVV anbietet? Ohne AVV darf der Dienst für die Verarbeitung personenbezogener Daten nicht genutzt werden. Dein Unternehmen haftet für DSGVO-Verstöße; Ein fehlender AVV fällt unter Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

Trägt am Ende der Anbieter oder mein Unternehmen die Verantwortung? Dein Unternehmen. Du bist Verantwortlicher im Sinne der DSGVO, der Anbieter ist Auftragsverarbeiter. Der AVV regelt die Pflichten zwischen beiden, verlagert die Letztverantwortung aber nicht auf den Anbieter.

Jetzt kostenloses Erstgespräch buchen (öffnet in neuem Tab). Wir klären deine DSGVO-Fragen direkt im Gespräch.