Eine Kundin ruft beim Malerbetrieb an, um einen Termin zu verschieben. Eine freundliche Stimme meldet sich, fragt nach dem Namen, schlägt den Donnerstag vor. Erst am Ende merkt die Kundin, dass da kein Mensch war. Sie fühlt sich hereingelegt. Und der Betrieb hat ein Problem, das über die Laune einer Kundin hinausgeht.
Seit dem 2. August 2026 gilt Artikel 50 der KI-Verordnung der EU (VO 2024/1689). Er steht in Kapitel IV. Für dieses Kapitel gibt es in Artikel 113 keine Ausnahme vom allgemeinen Geltungsbeginn [1]. Wer einen KI-Telefonassistenten einsetzt, sollte deshalb drei Dinge sauber trennen: die KI-Transparenz, die Datenschutzinformation und die Frage, ob aufgezeichnet wird.
1. Die KI-Transparenz nach Art. 50 AI Act
Artikel 50 Absatz 1 verlangt, dass KI-Systeme für die direkte Interaktion mit Menschen so gebaut sind, dass die Menschen erfahren, dass sie mit einem KI-System sprechen. Eine Ausnahme gibt es nur, wenn das für eine „angemessen informierte, aufmerksame und verständige natürliche Person“ ohnehin offensichtlich ist [1].
Bei einer Telefonstimme, die natürlich klingt, ist es eben nicht offensichtlich. Genau deshalb kauft man so ein System ja. Auf die Ausnahme würden wir uns nicht verlassen.
Absatz 5 regelt den Zeitpunkt: Die Information muss „spätestens zum Zeitpunkt der ersten Interaktion“ kommen, „in klarer und eindeutiger Weise“ [1]. Am Telefon heißt das praktisch: im ersten Satz. Ein Hinweis in der dritten Minute oder nur auf der Website reicht nicht.
Formal richtet sich Absatz 1 an den Anbieter des Systems, also an den, der es entwickelt und in Verkehr bringt [1]. Für Sie als Betrieb ist das kein Freibrief. Wenn Sie die Ansage selbst konfigurieren oder abschalten können, hängt es an Ihnen, ob sie läuft. Lassen Sie sich vom Anbieter zeigen, wo der KI-Hinweis steht und dass er sich nicht versehentlich entfernen lässt.
Einen „KI-Beauftragten“ müssen Sie dafür nicht bestellen. Diese Pflicht steht nicht in der Verordnung, auch nicht ab einer bestimmten Mitarbeiterzahl.
2. Die Datenschutzinformation nach Art. 13 DSGVO
Am Telefon nennt der Anrufer seinen Namen, seine Nummer und meist auch sein Anliegen. Das sind personenbezogene Daten. Artikel 13 DSGVO verlangt, dass der Verantwortliche „zum Zeitpunkt der Erhebung“ unter anderem mitteilt, wer er ist, wofür er die Daten verarbeitet und auf welcher Rechtsgrundlage [2]. Verantwortlich sind hier Sie, nicht der Anbieter der Software.
Eine vollständige Datenschutzerklärung am Telefon vorzulesen, ergibt keinen Sinn. Ein gängiger Weg ist zweistufig: Kurzinfo in der Ansage, vollständige Fassung auf der Website, deren Adresse die Ansage nennt. Ob diese Form in Ihrem Fall genügt, klären Sie mit Ihrem Datenschutzbeauftragten oder Ihrer Beratung. Wir geben hier keine Rechtsauskunft.
Ein Punkt gehört unbedingt in die Datenschutzerklärung: wo die Gesprächsdaten verarbeitet werden. Wer Daten in ein Land außerhalb der EU übermittelt, muss die zusätzlichen Bedingungen aus Kapitel V der DSGVO erfüllen [2]. Läuft die Spracherkennung auf einem Server in Deutschland, fällt dieser Teil weg.
3. Aufzeichnung nur mit Einwilligung: § 201 StGB
Der dritte Punkt ist der mit dem schärfsten Schwert. Nach § 201 StGB wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft, wer „unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt“ [3]. Ein Telefonat mit einem Handwerksbetrieb ist nichtöffentlich.
Wenn Ihr System Gespräche als Audiodatei speichert, etwa zur Qualitätskontrolle, brauchen Sie vorher die Einwilligung des Anrufers. Und Sie brauchen einen Weg, wie das Gespräch weitergeht, wenn er Nein sagt.
Am einfachsten ist es, gar nicht aufzuzeichnen. Für eine Rückrufnotiz braucht ein Telefonassistent keine Audiodatei, sondern nur das, was am Ende in der Notiz steht: Name, Rückrufnummer, Anliegen. Fragen Sie den Anbieter, ob und wie lange Audio gespeichert wird. Wenn er das nicht sofort beantworten kann, wäre das für uns ein Grund, weiterzusuchen.
Die Ansage zum Kopieren
Diese Vorlage deckt die drei Punkte ab. Ersetzen Sie die eckigen Klammern. Sie ist bewusst kurz. Jeder zusätzliche Satz hält den Anrufer von seinem eigentlichen Anliegen ab.
Guten Tag, hier ist der digitale Telefonassistent von [Betrieb]. Ich bin eine KI. Ich nehme Ihr Anliegen auf und gebe es an das Team weiter. Das Gespräch wird nicht aufgezeichnet. Wie wir Ihre Angaben verarbeiten, steht unter [Adresse]/datenschutz. Wenn Sie lieber mit einem Menschen sprechen möchten, sagen Sie einfach „Mitarbeiter“.
Falls Sie doch aufzeichnen, tauschen Sie den vierten Satz aus:
Wenn Sie einverstanden sind, zeichnen wir das Gespräch auf, damit wir Ihr Anliegen richtig bearbeiten. Sagen Sie bitte Ja oder Nein.
Bei Nein läuft das Gespräch ohne Aufnahme weiter. Das muss technisch funktionieren, bevor Sie live gehen. Testen Sie es mit einem eigenen Anruf.
Der Satz mit dem Menschen steht nicht im Gesetz. Wir empfehlen ihn trotzdem. Wer weiß, dass er jederzeit raus kann, bleibt eher dran.
Für die Website und die Datenschutzerklärung haben wir ein Werkzeug für Art.-50-Textbausteine gebaut. Wie das in einer Arztpraxis aussieht, wo zusätzlich Notfälle sofort erkannt werden müssen, steht im Beitrag Sprach-KI für Arztpraxen: Notfall-Filter und DSGVO.
DripBack betreibt Telefonassistenten mit lokal laufenden Open-Source-Modellen, auf eigenen Servern in Deutschland oder beim Kunden. Die Frage nach Drittlandübermittlung stellt sich dann nicht.
Weiterlesen in der Serie „KI am Telefon, ohne Risiko“
Die Ansage steht. Aber brauchen Sie überhaupt einen KI-Telefonassistenten? Vielleicht tut es ein guter Anrufbeantworter. Ein System kann im Prospekt alles. Woran es im Alltag scheitert, sehen Sie erst, wenn Sie es mit fünf bestimmten Testanrufen prüfen. Am fünften erkennen Sie, ob ein System für den Alltag gebaut ist oder für die Vorführung:
→ Teil 2: KI-Anrufbeantworter oder KI-Telefonassistent? Ein Testraster für kleine Betriebe
Quellen
[1] Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50 Abs. 1 und 5, Art. 113, Amtsblatt der EU, deutsche Fassung. eur-lex am 30.10.2026 NICHT ERREICHT (HTTP 202), Wortlaut geprüft an der Amtsblatt-Kopie vom 17.09.2026: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689
[2] Verordnung (EU) 2016/679 (DSGVO), Art. 13 Abs. 1 und Art. 44, deutsche Fassung. eur-lex am 30.10.2026 NICHT ERREICHT (HTTP 202), Wortlaut geprüft an der Amtsblatt-Kopie vom 17.09.2026: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
[3] § 201 StGB, Verletzung der Vertraulichkeit des Wortes, abgerufen 30.10.2026: https://www.gesetze-im-internet.de/stgb/__201.html