DSGVO und KI-Telefonassistent: Worauf müssen Handwerker in Österreich achten?

Wenn ein KI-Assistent für Ihren Betrieb ans Telefon geht, laufen Namen, Telefonnummern und Anliegen Ihrer Kunden durch dessen Technik — und datenschutzrechtlich verantwortlich dafür sind Sie, nicht der Anbieter. Bevor Sie einen Telefonassistenten einsetzen, sollten Sie deshalb fünf Fragen beantwortet bekommen: Wird aufgezeichnet? Wie lange werden Daten gespeichert? Wird mit den Gesprächen eine KI trainiert? Wo stehen die Server? Und gibt es einen Auftragsverarbeitungsvertrag (AVV)? Ein seriöser Anbieter beantwortet alle fünf konkret. Wer ausweicht oder nur mit „100 % DSGVO-konform“-Plaketten wirbt, ist mit Vorsicht zu genießen.

Warum Sie das überhaupt betrifft

Die DSGVO unterscheidet zwischen dem Verantwortlichen — dem, der über die Daten bestimmt — und dem Auftragsverarbeiter, der sie in seinem Auftrag verarbeitet. Der Verantwortliche sind Sie: Es sind Ihre Kunden, die anrufen, und Sie entscheiden, dass ein Dienstleister diese Anrufe entgegennimmt. Passiert beim Anbieter etwas mit den Daten, fragt die Datenschutzbehörde zuerst bei Ihnen nach. Kein Grund zur Panik — aber ein guter Grund, den Anbieter genau anzuschauen, bevor man unterschreibt.

Frage 1: Wird das Gespräch aufgezeichnet?

Der wichtigste Punkt, weil er am meisten Folgen hat. Eine dauerhafte Tonaufnahme eines Telefonats ist datenschutzrechtlich ein schweres Kaliber — gespeicherte Aufnahmen schaffen Risiken und Pflichten. Etwas anderes ist die Verarbeitung im Moment: Damit eine KI antworten kann, muss sie das Gesagte natürlich verarbeiten — die Frage ist, ob danach eine Audiodatei übrig bleibt. Fragen Sie wörtlich: „Bleibt von dem Anruf eine Tonaufnahme gespeichert?“ Ein klares Nein ist die beste Antwort.

Frage 2: Wie lange werden Daten gespeichert?

Auch ohne Tonaufnahme entstehen Daten: eine Mitschrift des Gesprächs, die Nummer des Anrufers, der gebuchte Termin. Die DSGVO verlangt, dass Daten nicht länger aufgehoben werden, als es einen Zweck dafür gibt. Ein Anbieter sollte Ihnen eine konkrete Frist nennen können — „Mitschriften werden nach X Tagen automatisch gelöscht“ — und nicht bloß „wir speichern nur so lange wie nötig“. Das eine ist eine überprüfbare Zusage, das andere eine Floskel.

Frage 3: Wird mit den Gesprächen eine KI trainiert?

Viele KI-Firmen verbessern ihre Modelle mit den Daten ihrer Kunden. Für Sie hieße das: Die Anliegen Ihrer Kunden landen im Trainingsmaterial eines Technikkonzerns — ohne dass die Anrufer davon wissen. Fragen Sie, ob das Training mit Kundendaten vertraglich ausgeschlossen ist, und zwar nicht nur beim Anbieter selbst, sondern auch bei dessen Technikpartnern. Genau dort wird es nämlich gern schwammig.

Frage 4: Wo stehen die Server?

Innerhalb der EU gilt die DSGVO unmittelbar; bei Servern außerhalb wird die Rechtslage schnell kompliziert. „Wo genau werden die Daten gespeichert?“ ist deshalb eine berechtigte Frage, auf die es eine Ortsangabe geben sollte — nicht ein „in einer sicheren Cloud“. Vorsicht auch vor der umgekehrten Übertreibung: Wer pauschal behauptet, wirklich jede einzelne Verarbeitung passiere ausschließlich in der EU, sollte das im AVV samt Unterauftragsverarbeitern schwarz auf weiß zeigen können.

Frage 5: Gibt es einen AVV?

Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist keine Kür, sondern Pflicht: Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, müssen Sie einen abschließen. Ein Anbieter, der auf die Frage nach dem AVV erst nachdenken muss, hat seine Hausaufgaben nicht gemacht. Gut ist, wenn der AVV automatisch Teil des Vertrags ist und Sie ihn nicht extra verhandeln müssen.

Damit Sie sehen, wie konkrete Antworten aussehen — so beantwortet DienstBot diese fünf Fragen: Es wird nie eine Tonaufnahme gespeichert (Audio wird nur im Arbeitsspeicher verarbeitet), Gesprächsmitschriften werden nach 30 Tagen automatisch gelöscht, KI-Training mit Kundendaten ist mit allen Technikpartnern vertraglich ausgeschlossen, die Server stehen in Deutschland, und der AVV ist bei jedem Kunden automatisch dabei.

Woran Sie ausweichende Antworten erkennen

Die Erfahrung zeigt: Auf diese fünf Fragen antworten viele Anbieter mit Gütesiegeln statt mit Fakten. „DSGVO-konform“ ist als Wort nicht geschützt — es sagt nichts darüber, ob aufgezeichnet wird oder wo die Server stehen. Verlangen Sie die konkreten Antworten schriftlich, am besten in der Datenschutzerklärung oder im AVV nachlesbar. Was dort nicht steht, ist im Zweifel nicht zugesagt.

Häufige Fragen

Brauche ich die Einwilligung meiner Kunden, wenn eine KI abhebt?

Der Anrufer muss jedenfalls erkennen können, dass er mit einer KI spricht — das schreibt inzwischen auch die europäische KI-Verordnung vor. Ein sauber aufgesetzter Assistent sagt das daher gleich in der Begrüßung. Für die normale Terminvereinbarung selbst braucht es keine gesonderte Einwilligung, wohl aber eine transparente Information; für dauerhafte Tonaufnahmen wäre die Hürde deutlich höher. Im Zweifel gilt: Das ersetzt keine Rechtsberatung für Ihren Einzelfall.

Was ist ein AVV, ganz kurz?

Ein Vertrag, in dem der Dienstleister sich verpflichtet, die Daten Ihrer Kunden nur nach Ihrer Weisung zu verarbeiten, sie zu schützen und sie nicht für eigene Zwecke zu verwenden. Art. 28 DSGVO schreibt ihn zwingend vor, sobald jemand Daten in Ihrem Auftrag verarbeitet — das gilt für den Telefonassistenten genauso wie für den Steuerberater mit Ihrer Lohnverrechnung.

Reicht es, wenn der Anbieter „DSGVO-konform“ auf die Website schreibt?

Nein. Die Behauptung kostet nichts und wird von niemandem geprüft. Entscheidend ist, ob die fünf konkreten Fragen — Aufzeichnung, Speicherdauer, Training, Serverstandort, AVV — schriftlich und überprüfbar beantwortet sind.

Hafte ich, wenn beim Anbieter etwas schiefgeht?

Als Verantwortlicher stehen Sie in der ersten Reihe, ja. Genau deshalb verlangt die DSGVO, dass Sie nur Auftragsverarbeiter mit ausreichenden Garantien einsetzen — und genau das weisen Sie mit einem sauberen AVV und dokumentierten Antworten auf die fünf Fragen nach.

Die fünf Fragen können Sie jedem Anbieter stellen — die Antworten von DienstBot finden Sie gesammelt auf dienstbot.at, samt AVV. Testen lässt sich das Ganze 10 Tage kostenlos, ohne Kreditkarte.