KI-Telefonassistent & DSGVO: Worauf Sie achten müssen

Ein KI-Telefonassistent nimmt Anrufe entgegen, spricht mit Ihren Kundinnen und Kunden und vereinbart Termine – und verarbeitet dabei zwangsläufig personenbezogene Daten. Für Beauty- und Ästhetikbetriebe stellt sich damit sofort die Frage: Ist das überhaupt DSGVO-konform? Die kurze Antwort: Ja, wenn der Anbieter sauber arbeitet und Sie ein paar Punkte prüfen. Die lange Antwort mit allen relevanten Anforderungen und einer praktischen Checkliste lesen Sie in diesem Artikel.

Welche Daten ein KI-Telefonassistent verarbeitet

Um die DSGVO-Anforderungen einordnen zu können, muss klar sein, was bei einem KI-gestützten Telefonat überhaupt anfällt. Typischerweise sind das:

• Die Stimme des Anrufers. Das Gespräch wird verarbeitet, um es zu verstehen und zu beantworten – die Sprachdaten selbst sind bereits personenbezogene Daten.
• Name und Kontaktdaten. Wer einen Termin vereinbart oder einen Rückruf wünscht, nennt Name, Telefonnummer und oft eine E-Mail-Adresse.
• Das Anliegen und der Terminwunsch. Wofür interessiert sich die Person, welche Behandlung, welcher Zeitraum?
• Gegebenenfalls Angaben mit Gesundheitsbezug. Und hier wird es besonders relevant für die Beauty- und Ästhetikbranche: Wer bei einer Ästhetikklinik, einer Zahnarztpraxis oder einem Kosmetikstudio anruft, erwähnt schnell Hautprobleme, Allergien, Schmerzen oder gewünschte medizinische Behandlungen. Solche Angaben können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein – eine besonders geschützte Datenkategorie, bei der erhöhte Sorgfalt gilt.

Kurz: Ein KI-Telefonassistent ist kein Anrufbeantworter, sondern ein datenverarbeitendes System. Entsprechend ernst sollten Sie die Anbieterauswahl nehmen.

Wichtig dabei: Verantwortlich im Sinne der DSGVO bleiben Sie. Der Anbieter des Telefonassistenten verarbeitet die Daten in Ihrem Auftrag – aber gegenüber Ihren Anruferinnen und Anrufern sind Sie als Betrieb die verantwortliche Stelle. Wählt Ihr Dienstleister ein unsauberes Setup, fällt das auf Sie zurück. Genau deshalb lohnt es sich, vor Vertragsschluss die richtigen Fragen zu stellen – welche das sind, zeigt die Checkliste weiter unten.

Die relevanten DSGVO-Anforderungen im Überblick

Die gute Nachricht: Die DSGVO verbietet KI-Telefonassistenten nicht. Sie stellt aber klare Anforderungen an den Einsatz. Die wichtigsten Bausteine:

Rechtsgrundlage (Art. 6 DSGVO)

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Bei Terminanfragen kommt typischerweise die Vertragsanbahnung in Betracht – die Person ruft ja gerade an, um eine Leistung zu buchen. Daneben kann ein berechtigtes Interesse oder eine Einwilligung relevant sein, etwa wenn Gespräche über das unmittelbar Notwendige hinaus gespeichert werden. Welche Grundlage im Einzelfall trägt, hängt von der konkreten Ausgestaltung ab.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Der Anbieter des KI-Telefonassistenten verarbeitet die Daten Ihrer Anrufer in Ihrem Auftrag – er ist damit Auftragsverarbeiter. Die DSGVO verlangt dafür zwingend einen Auftragsverarbeitungsvertrag (AVV). Darin wird unter anderem geregelt, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Maßnahmen der Anbieter trifft und welche Subunternehmer er einsetzt. Ein seriöser Anbieter stellt Ihnen den AVV aktiv zur Verfügung – Sie sollten nie danach betteln müssen.

Serverstandort und Drittlandtransfer (Art. 44 ff. DSGVO)

Werden Daten außerhalb der EU verarbeitet – etwa auf US-Servern –, gelten die strengen Regeln für Drittlandtransfers. Das ist rechtlich möglich, aber komplex und mit zusätzlichen Risiken verbunden. Deutlich einfacher und sicherer ist es, wenn die Daten die EU gar nicht erst verlassen. Fragen Sie deshalb konkret nach: Wo stehen die Server? Fließen Sprach- oder Transkriptdaten an KI-Dienste außerhalb der EU?

Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO)

Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Für einen Telefonassistenten heißt das: Es braucht ein Löschkonzept mit definierten Fristen – Gesprächsdaten und Aufzeichnungen dürfen nicht unbegrenzt liegen bleiben.

Informationspflichten (Art. 13 DSGVO)

Anrufer müssen darüber informiert werden, dass und wie ihre Daten verarbeitet werden – wer verantwortlich ist, zu welchem Zweck verarbeitet wird und welche Rechte sie haben. In der Praxis geschieht das über eine Kombination aus einem kurzen Hinweis im Gespräch und ausführlichen Informationen in Ihrer Datenschutzerklärung. Zudem sollte für Anrufer erkennbar sein, dass sie mit einem KI-System sprechen.

Betroffenenrechte (Art. 15 ff. DSGVO)

Anrufer haben das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten. Ihr Anbieter muss Sie in die Lage versetzen, solche Anfragen zu erfüllen – etwa indem sich Gesprächsdaten einer Person auffinden und auf Wunsch löschen lassen.

Checkliste: Woran Sie einen DSGVO-konformen Anbieter erkennen

Nutzen Sie diese Punkte als Prüfraster, bevor Sie einen KI-Telefonassistenten beauftragen:

• EU-Serverstandort: Die Verarbeitung findet vollständig in der EU statt – idealerweise in Deutschland. Der Anbieter kann das klar benennen, nicht nur vage andeuten.
• Kein Drittlandtransfer: Auch die eingesetzten KI-Komponenten senden keine Sprach- oder Gesprächsdaten in Länder außerhalb der EU.
• AVV liegt vor: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird proaktiv angeboten und ist verständlich formuliert.
• Verschlüsselung: Daten werden verschlüsselt gespeichert und übertragen.
• Löschkonzept: Es gibt definierte Speicherfristen, und Gesprächsdaten lassen sich auf Anfrage löschen.
• Transparente Subunternehmer: Der Anbieter legt offen, welche weiteren Dienstleister (z. B. Telefonie- oder Hosting-Partner) beteiligt sind.
• Unterstützung bei Betroffenenrechten: Auskunfts- und Löschanfragen Ihrer Anrufer können Sie mit Hilfe des Anbieters erfüllen.
• KI-Transparenz: Das System gibt sich Anrufern gegenüber als Assistent zu erkennen und täuscht keinen Menschen vor.
• Datensparsamkeit: Es werden nur die Daten erfasst, die für Terminvereinbarung und Anliegen wirklich nötig sind.
• Ansprechbarkeit: Der Anbieter beantwortet Ihre Datenschutzfragen konkret und schriftlich – ausweichende Antworten sind ein Warnsignal.

Wenn ein Anbieter bei mehreren dieser Punkte ausweicht oder mauert, suchen Sie weiter. Gerade wenn in Ihren Gesprächen Gesundheitsbezug entstehen kann – etwa in der Physiotherapie oder Ästhetikmedizin –, sollten Sie hier keine Kompromisse machen.

Ein praktischer Tipp für das Auswahlgespräch: Stellen Sie die Fragen schriftlich, etwa per E-Mail, und bewahren Sie die Antworten auf. So dokumentieren Sie, dass Sie Ihren Auftragsverarbeiter sorgfältig ausgewählt haben – auch das ist Teil Ihrer Pflichten als verantwortliche Stelle. Und Sie merken schnell, wie sattelfest ein Anbieter wirklich ist: Wer den eigenen Serverstandort, die Subunternehmer und die Löschfristen nicht in zwei Sätzen benennen kann, hat seine Hausaufgaben nicht gemacht.

Wie Anrufbutler diese Punkte löst

Wir haben Anrufbutler von Anfang an für den deutschen Markt und die Anforderungen der DSGVO gebaut. Konkret bedeutet das:

• Serverstandort Deutschland: Die Verarbeitung findet auf Servern in Deutschland statt.
• Daten verlassen nie die EU: Es findet kein Drittlandtransfer statt – Ihre Gesprächsdaten bleiben vollständig in der EU.
• Verschlüsselte Speicherung: Alle Daten werden verschlüsselt gespeichert.
• AVV inklusive: Selbstverständlich schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Dazu erfasst Anrufbutler nur, was für den Zweck des Anrufs nötig ist: Name, Anliegen und Kontaktdaten für Rückrufe und Terminvereinbarungen. Die Einrichtung übernehmen wir vollständig für Sie – in unter zwei Wochen bis zum Go-Live, Ihre bestehende Nummer bleibt erhalten.

Wichtiger Hinweis

Dieser Artikel gibt einen allgemeinen Überblick über datenschutzrechtliche Anforderungen und ersetzt keine Rechtsberatung. Wie die DSGVO in Ihrem konkreten Betrieb umzusetzen ist, klären Sie am besten mit einer auf Datenschutz spezialisierten Anwältin, einem Anwalt oder Ihrem Datenschutzbeauftragten.

Fazit: DSGVO-konform erreichbar sein ist machbar

Ein KI-Telefonassistent und die DSGVO schließen sich nicht aus – im Gegenteil: Mit dem richtigen Anbieter sind die Anforderungen gut erfüllbar, und Sie gewinnen etwas, das sich kein Betrieb entgehen lassen sollte: Erreichbarkeit. Denn 62 % der Anrufe bei kleinen Unternehmen bleiben unbeantwortet, und 85 % der Anrufer rufen kein zweites Mal an. Ob Kosmetikstudio, Ästhetikklinik oder Praxis – wer ans Telefon geht, gewinnt die Kundin.

Sie möchten wissen, wie ein DSGVO-konformer KI-Telefonassistent konkret in Ihrem Betrieb aussehen würde? Vereinbaren Sie ein kostenloses, unverbindliches Erstgespräch – wir zeigen Ihnen, wie Anrufbutler jeden Anruf annimmt, Termine direkt im Gespräch vereinbart und dabei Ihre Daten dort lässt, wo sie hingehören: in Deutschland.