KI am Telefon: Was Betriebe beim Datenschutz beachten müssen

Immer mehr Handwerksbetriebe nutzen KI-Telefonassistenten, um Anrufe zu bearbeiten. Das entlastet schnell, doch der Datenschutz ist auch hier ein Thema. Anke Hofmeyer, Unternehmensberaterin für Compliance und externe Datenschutzbeauftragte für Handwerksunternehmen aus München, berät Handwerksbetriebe und weiß, worauf es ankommt.

Worauf muss ich beim Anbieter achten?

„Viele glauben, ein deutscher Anbieter garantiere Sicherheit. Doch das sagt nichts über den Standort der Server aus“, erklärt Hofmeyer. Entscheidend sei, dass die Daten in der EU bleiben und dort verarbeitet werden. Ebenso wichtig sei, ob der Anbieter Subunternehmer einsetzt, etwa für Transkripte oder Zusammenfassungen. „Dann muss klar sein, welche Subunternehmer welche Daten wo verarbeiten und wie sie damit umgehen“, betont sie.

Brauche ich einen Auftragsverarbeitungsvertrag?

Ja, denn der Auftragsverarbeitungsvertrag (AVV) regelt diese Punkte verbindlich. Betriebe müssen ihn aktiv anfordern und prüfen:

• Der Vertrag muss genau festlegen, welche Daten wie, von wem und wo verarbeitet werden, zum Beispiel Telefonnummern, Namen, Adressen, Kundenwünsche, Termine, Gesprächsinhalte, Zusammenfassungen und Audioaufnahmen.
• Er muss den Verarbeitungszweck, Speicherfristen und alle Subunternehmer im Anhang aufführen.
• Sensible Daten nach Artikel 9 DSGVO erfordern besondere Vorsicht. Erwähnt ein Anrufer etwa eine Krankheit, muss der Anbieter solche Informationen sofort herausfiltern.
• Der AVV sollte auch die Nutzung der Daten durch den Anbieter ausschließen. Selbst wenn es nur um „Trainingszwecke“ geht und der Anbieter „Anonymisierung“ verspricht. „Sie tragen als Unternehmer bei Verstößen gegen den Datenschutz die volle Verantwortung – nicht der Anbieter.“
• Ist der Anbieter nicht bereit, die eigene Nutzung vertraglich auszuschließen, dann sollte man sich einen anderen suchen, so die Expertin.

Den AVV und weitere Informationen sollten der Anbieter und sein Datenschutzbeauftragter sofort zur Verfügung stellen können. Weicht ein Anbieter aus, sei Vorsicht geboten. „Das deutet darauf hin, dass er seine Prozesse nicht komplett durchdacht hat“, sagt Hofmeyer.

Wichtig: Auch in der Testphase fallen personenbezogene Daten an. Deshalb müssen Betriebe vorab alle Datenschutzfragen klären und einen AVV abschließen.

Wie muss ich meine Anrufer informieren?

Betriebe müssen Anrufer sofort informieren, wenn sie eine KI einsetzen. „Anrufer müssen zu Beginn des Gesprächs wissen, dass sie mit einer KI sprechen – das verlangt die KI-Verordnung“, erklärt Hofmeyer. Sie empfiehlt eine zweistufige Information:

• Die KI sollte mit einer kurzen Ansage starten: „Sie sprechen mit unserer KI- Telefonassistentin. Das Gespräch wird aufgezeichnet und transkribiert. Weitere Informationen finden Sie in unserer Datenschutzerklärung.“
• Auf der Website sollten ausführliche Angaben zu Anbietern, Rechtsgrundlage und Speicherdauer folgen.

Wichtig: Das Wort „KI“ muss in der Ansage klar genannt werden. Formulierungen wie „digitale Telefonassistentin“ seien zu ungenau, warnt Hofmeyer.

Woran muss ich beim Datenschutz noch denken?

Anrufer können jederzeit Auskunft über ihre Daten verlangen oder deren Löschung fordern. Das ist eine Herausforderung, denn jeder Anruf kann eine Kette von Prozessen auslösen: Daten landen nicht nur beim KI-Anbieter, sondern auch im Betrieb, etwa im E-Mail-Postfach, vielleicht als Kontaktdaten oder mehr in der Handwerkersoftware.

Deswegen gilt: „An jeder Schnittstelle muss klar sein: Welche Daten sind nötig? Wer greift darauf zu? Wie lange bleiben sie gespeichert?“, erklärt Hofmeyer. Hilfreich seien auch eine Datenlandkarte und klare Prozesse: Wo landen wann welche Daten. Das erleichtere Auskünfte und Löschung, wenn Betroffene dies fordern. 

Aber auch der KI-Anbieter ist hier mit in der Pflicht: „Der AVV muss regeln, dass der Anbieter bei solchen Anfragen unterstützt, soweit es ihn betrifft.“ Die Reaktionszeit sollte maximal drei Arbeitstage betragen. Bei Datenpannen sollte der Anbieter innerhalb von 24 Stunden handeln.

Brauche ich eine Datenschutzfolgenabschätzung?

Eine Datenschutzfolgenabschätzung (DSFA) nach Artikel 35 DSGVO ist nötig, wenn die Verarbeitung ein hohes Risiko für Betroffene birgt. Bei KI-Telefonassistenten kommen mehrere Risikofaktoren zusammen: sensible Daten, automatisierte Verarbeitung, Sprachaufzeichnungen und Weiterleitungen. „In den meisten Fällen rate ich zu einer DSFA“, sagt Datenschutzbeauftragte Hofmeyer. Selbst wenn keine vollständige DSFA nötig ist, sollten Betriebe die Vorprüfung dokumentieren.

Kann ich den Datenschutz nicht einfacher gestalten?

Viele Betriebe starten mit der KI als besserem Anrufbeantworter. „Das ist sinnvoll“, sagt Hofmeyer. So bleiben die Datenschutzanforderungen überschaubar, und die Betriebe sammeln erste Erfahrungen. Wer sofort eine vollständige Automatisierung mit CRM-Integration einführt, riskiere eine „unüberschaubare Komplexität“. Hofmeyers Rat: „Gehen Sie modular vor. Setzen Sie erst die Basis sauber auf. Wenn das funktioniert, bauen Sie das schrittweise aus.“