Dein Voice Bot läuft. Dein Datenschutz nicht.

Das ist das Muster, das ich in Gesprächen mit Teams beobachte, die KI-Telefonie einführen. Das Tool läuft. Der Kalender ist angebunden. Die ersten Terminbuchungen kommen.

Und dann kommt die Frage: "Haben wir eigentlich Auftragsverarbeitungsverträge mit dem Anbieter?" Meistens: Nein. "Haben wir eine Einwilligung für die Gesprächsaufzeichnung eingeholt?" Meistens: Auch nicht.

Das ist kein Kleinstproblem. Aufzeichnungen ohne Einwilligung können nicht nur einen DSGVO-Verstoß darstellen, sondern auch strafrechtlich relevant sein — §201 StGB schützt das "nichtöffentlich gesprochene Wort" und stellt unerlaubte Aufnahmen unter Strafe.

Dieser Artikel ist kein Rechtsrat. Aber er gibt dir die 12-Punkte-Checkliste aus dem DSN GROUP Datenschutz-Notizen Artikel (13.07.2026), damit du weißt, welche Fragen du stellen und beantworten musst — bevor dein Voice Bot in Betrieb geht.

FAQ

• F: Brauche ich für jeden Voice Bot eine Datenschutz-Folgenabschätzung (DSFA)?
• A: Das muss individuell bewertet werden. Eine DSFA ist immer erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten von Personen darstellt. Der Einsatz von KI ist grundsätzlich ein starkes Argument für eine DSFA — insbesondere wenn Kundendaten auch zum Training der KI zurückfließen oder besondere Datenkategorien (z. B. Gesundheitsdaten) verarbeitet werden. Bei typischen B2B-Outbound-Voice-Bots ohne Training-Rückfluss: individuelle Prüfung notwendig, aber Hochrisiko-Einordnung oft nicht zwingend.
• F: Gilt §201 StGB auch für B2B-Calls?
• A: Ja. §201 StGB schützt das "nichtöffentlich gesprochene Wort" in Telefonaten — unabhängig davon, ob das Gespräch geschäftlich oder privat ist. Aufzeichnung ohne Kenntnis und Einwilligung des Gesprächspartners ist strafbar. Das gilt auch für automatisierte Transkriptionen durch Voice Bots.

Die DSGVO-Grundlage: Warum Voice Bots besondere Anforderungen stellen

KI-Voice-Bots verarbeiten personenbezogene Daten in Echtzeit — Stimme, Gesprächsinhalt, Metadaten. Sie können diese Daten aufzeichnen, transkribieren und an externe Anbieter übermitteln. Das macht sie zu einem datenschutzrechtlich anspruchsvollen Werkzeug.

Drei Ebenen gleichzeitig

DSGVO: Regelt, wie personenbezogene Daten verarbeitet werden dürfen — Rechtsgrundlage, Einwilligung, AVV, Drittlandtransfer.

§201 StGB: Schützt das nichtöffentlich gesprochene Wort. Aufnahmen ohne Einwilligung sind eine Straftat — nicht nur ein Datenschutzverstoß.

EU AI Act (ab August 2026): Art. 50 schreibt vor, dass KI-Sprachsysteme sich als KI identifizieren müssen. Das kommt zusätzlich zur DSGVO, nicht statt ihr.

Alle drei gelten gleichzeitig und unabhängig voneinander.

→ Artikel 57 — EU AI Act: Was ab August 2026 für KI-Telefonie gilt

FAQ

• F: Welche Rechtsgrundlage gilt für Voice Bots im Kundenservice?
• A: Bei Bestandskunden: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder lit. f (berechtigtes Interesse — schnelle Bearbeitung von Anfragen). Bei berechtigtem Interesse muss das schutzwürdige Interesse der betroffenen Person gegenübergestellt werden. Wenn Betroffene ein starkes Interesse haben, nicht durch KI bearbeitet zu werden, scheidet lit. f aus — dann ist Einwilligung nötig.
• F: Muss ich Anrufer informieren, dass ein Voice Bot am Apparat ist?
• A: Ja — aus zwei Gründen. Erstens: EU AI Act Art. 50 (ab August 2026) schreibt aktive Offenlegung vor. Zweitens: Ohne Offenlegung ist keine informierte Einwilligung für Aufzeichnung/Transkription möglich — was einen DSGVO-Verstoß darstellt.

Die 12-Punkte DSGVO-Checkliste für Voice Bots

Technisch/organisatorische Grundlagen

1. KI-System verstehen: Wie funktioniert der eingesetzte Voice Bot? Was passiert mit den Gesprächsdaten — werden sie gespeichert, wofür, wie lange?

2. Trainingsdaten prüfen: Auf Grundlage welcher Daten wurde die KI trainiert? Wurden dabei personenbezogene Daten aus deinem Unternehmen oder deiner Kundenbasis verwendet?

3. Datenrückfluss klären: Fließen Daten aus neuen Gesprächen zurück an den KI-Anbieter für weiteres Modell-Training? Wenn ja, ist dieser Einsatz "äußerst kritisch" — die datenschutzrechtlichen Transparenzpflichten können dann kaum erfüllt werden, weil die Weiterverwendung nicht nachvollzogen werden kann.

Vertragsgrundlagen

4. AVV abschließen: Wenn du einen externen KI-Anbieter nutzt, muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorliegen. Ohne AVV: rechtswidrige Verarbeitung.

5. Drittlandtransfer prüfen: Hat der Anbieter Sitz in einem Drittland (USA, UK, etc.)? Dann muss geprüft werden, ob die Datenübermittlung auf Basis von Standard Contractual Clauses (SCCs) oder einem Angemessenheitsbeschluss rechtmäßig ist.

Einwilligungs-Management

6. Rechtsgrundlage für Grundverarbeitung: Welche Rechtsgrundlage nach Art. 6 DSGVO gilt für die Kernfunktion des Voice Bots (Gesprächsführung, Qualifizierung)? Art. 6 lit. b (Vertragserfüllung) oder lit. f (berechtigtes Interesse)?

7. Einwilligung für Aufzeichnung und Transkription: Aufzeichnung und Transkription erfordern immer eine gesonderte informierte Einwilligung — unabhängig von der Rechtsgrundlage für die Grundverarbeitung.

Wie Einwilligung eingeholt werden kann:

• Per Telefonansage: "Wenn Sie mit der Aufzeichnung dieses Gesprächs einverstanden sind, drücken Sie bitte die 2."
• Konkludent: "Wenn Sie einverstanden sind, bleiben Sie in der Leitung. Andernfalls legen Sie bitte auf." → In diesem Fall muss eine gleichwertige Kontaktalternative angeboten werden.

8. Informierte Aufklärung sicherstellen: Bevor die Einwilligung eingeholt wird, muss der Anrufer klar und verständlich aufgeklärt werden — Kurzfassung per Telefonansage, ausführlichere Information per Link auf die Unternehmenswebsite (kurzer, merkbarer URL).

Praxisbeispiel

Formulierung für die Telefonansage: "Hallo, hier ist [Name], ein KI-Assistent von [Unternehmen]. Dieses Gespräch wird aufgezeichnet und transkribiert, um Ihnen besser helfen zu können. Weitere Informationen zum Datenschutz finden Sie unter [kurze URL]. Wenn Sie einverstanden sind, bleiben Sie in der Leitung."

Automatisierte Entscheidungen und Folgenabschätzung

9. Art. 22 DSGVO prüfen: Trifft der Voice Bot eigenständige Entscheidungen, die rechtliche Wirkung für Anrufer haben (z. B. Kreditentscheidungen, Vertragszusagen)? Dann greift das Verbot der automatisierten Entscheidungsfindung — ohne Einwilligung oder gesetzliche Grundlage unzulässig.

10. DSFA durchführen (wenn erforderlich): Individuelle Prüfung, ob eine Datenschutz-Folgenabschätzung notwendig ist. Starke Hinweise: Datenrückfluss an KI-Anbieter, besondere Datenkategorien, große Anrufvolumina.

Compliance-Dokumentation

11. §201 StGB absichern: Keine Aufzeichnung ohne Einwilligung — unabhängig von der DSGVO. Dieser Punkt ist nicht optional, er ist strafrechtlich relevant. Die Einwilligung nach Punkt 7 deckt beide Ebenen ab, wenn sie klar auf Aufzeichnung und Transkription Bezug nimmt.

12. Verantwortlichen benennen: Wer ist intern zuständig für die Datenschutz-Compliance des Voice Bots? Diese Verantwortung muss dokumentiert und einer Person zugewiesen sein.

FAQ

• F: Wie formuliere ich den Datenschutz-Hinweis für meinen Voice Bot in der Praxis?
• A: Kurz, klar, zu Beginn des Gesprächs. Drei Pflichtbestandteile: (1) Identifikation als KI, (2) Hinweis auf Aufzeichnung/Transkription und Zweck, (3) Hinweis auf weitergehende Informationen (kurze URL zur Datenschutzseite). Maximale Länge der Ansage: 20–30 Sekunden, damit Anrufer nicht abbrechen. Die ausführliche Information liegt auf der Website — die Ansage ist nur der Einstieg.
• F: Was passiert, wenn ein Anrufer die Einwilligung verweigert (in der Leitung bleibt nicht)?
• A: Bei konkludenter Einwilligung ("bleiben Sie in der Leitung"): Wenn der Anrufer auflegt, gibt es keinen Einwilligungsnachweis — der Anruf darf nicht aufgezeichnet werden. Für diesen Fall muss eine gleichwertige Kontaktalternative angeboten werden (z. B. "Andernfalls können Sie uns auch unter [Nummer] oder [E-Mail] erreichen"). Bei aktiver Einwilligungsverweigerung: Gespräch kann weitergehen, aber ohne Aufzeichnung.

Häufige Datenschutz-Fehler beim Voice-Bot-Einsatz

Fehler 1: Kein AVV mit dem KI-Anbieter {#fehler-1}

Ohne schriftlichen Auftragsverarbeitungsvertrag ist die Datenübermittlung an den Anbieter rechtswidrig — unabhängig davon, wie das Gespräch verläuft. Der AVV ist keine Bürokratie, er ist Pflicht.

Fehler 2: Aufzeichnung ohne Einwilligung {#fehler-2}

Viele Tools nehmen standardmäßig auf. Ohne explizite Einwilligung des Anrufers: DSGVO-Verstoß und potentiell §201 StGB. Das ist kein theoretisches Risiko — es ist ein aktiver Verstoß bei jedem aufgezeichneten Gespräch.

Fehler 3: Datenrückfluss nicht geprüft {#fehler-3}

Wenn Gespräche für weiteres KI-Training genutzt werden, verschlechtert sich die Datenschutz-Situation erheblich. Die Transparenzpflichten können kaum erfüllt werden, weil die Weiterverwendung nicht nachvollzogen werden kann. Dieser Punkt muss im Tool-Auswahlprozess geprüft werden — nicht nach der Einführung.

Fehler 4: Datenschutz erst nach dem Launch {#fehler-4}

"Wir regeln den Datenschutz nach der Einführung." Das ist zu spät. DSGVO gilt ab dem ersten Gespräch. Datenschutz muss in der Konzeptionsphase mitgedacht werden — nicht als Nacharbeit.

FAQ

• F: Wie finde ich heraus, ob mein KI-Anbieter DSGVO-konform ist?
• A: Drei Kontrollfragen: (1) Gibt es einen AVV, den der Anbieter zur Unterschrift bereitstellt? (2) Dokumentiert der Anbieter, wo und wie lange Gesprächsdaten gespeichert werden? (3) Wird dargelegt, ob und wie neue Gespräche ins Modell-Training zurückfließen? Anbieter, die diese drei Fragen nicht beantworten können oder wollen, sind ein Datenschutz-Risiko.
• F: Brauche ich einen Datenschutzbeauftragten für den Voice Bot Einsatz?
• A: Einen Datenschutzbeauftragten brauchen Unternehmen, die regelmäßig und systematisch personenbezogene Daten in großem Umfang verarbeiten oder besondere Datenkategorien verarbeiten. Bei Voice Bots mit großem Anrufvolumen oder Verarbeitung besonderer Datenkategorien: Prüfung empfohlen. Ansonsten: Ein interner Verantwortlicher (Punkt 12 der Checkliste) und externe Datenschutz-Beratung für die Einrichtung sind der pragmatische Einstieg.

Fazit & nächster Schritt

Voice Bots können DSGVO-konform betrieben werden. Aber nicht ohne Planung.

Die 12 Punkte dieser Checkliste sind kein Luxusprogramm — sie sind die Mindestanforderungen, die vor dem ersten Gespräch erfüllt sein müssen. Wer Datenschutz in der Konzeptionsphase mitdenkt, hat kein Nacharbeits-Problem.

Weiterführende Artikel

→ Artikel 57 — EU AI Act: Was ab August 2026 für KI-Telefonie gilt

Dein nächster Schritt: Schreibe deinem KI-Telefonie-Anbieter heute drei Fragen: (1) Liegt ein AVV vor? (2) Wo und wie lange werden Gesprächsdaten gespeichert? (3) Fließen Gespräche ins Modell-Training zurück? Die Antworten zeigen dir sofort, ob du datenschutzrechtlich sicher aufgestellt bist.

Quellen

• DSN GROUP Datenschutz-Notizen — KI Voice Bots im Kundenservice (13.07.2026) — 12-Punkte-Checkliste, Einwilligungsformulierungen, AVV, Drittlandtransfer, Art. 22 DSGVO, DSFA, §201 StGB
• EUR-Lex — DSGVO Volltext Art. 6, 22, 28 — Rechtsgrundlagen, Auftragsverarbeitung, automatisierte Entscheidungen
• EUR-Lex — EU AI Act Art. 50 Transparenzpflichten — Offenlegungspflicht für KI-Sprachsysteme ab August 2026