KI-Telefonassistent & DSGVO 2026: Checkliste für Handwerker

Du bist auf dem Dach, das Handy klingelt in der Tasche, und du gehst nicht ran. Abends stehen vier verpasste Anrufe auf dem Display, du rufst zurück — „Ich hab schon jemanden gefunden.” Genau in diese Lücke verkaufen seit einem Jahr Dutzende Anbieter ihren KI-Telefonassistenten: eine Stimme, die rangeht, wenn du nicht kannst, das Anliegen aufnimmt und dir eine Notiz hinterlässt. Klingt nach dem Anrufbeantworter, der den Auftrag gleich aufschreibt. Und rechtlich ist es das Heikelste, was du dir in den Betrieb holen kannst.

Die kurze Antwort vorweg: Ein KI-Telefonassistent ist in Deutschland erlaubt — aber nur, wenn neun Dinge stimmen, und die DSGVO ist dabei nur die Hälfte der Miete. Am Telefon kommt Strafrecht dazu (§ 201 StGB schützt das gesprochene Wort), seit dem 2. August 2026 auch die Transparenzpflicht aus der KI-Verordnung der EU. Das Gute daran: Alle neun Punkte sind prüfbar. Du kannst sie in einer Stunde durchgehen — teils in der Anbieter-Oberfläche, teils in deinen eigenen Unterlagen — und danach weißt du, ob dein Setup sauber ist oder wo es hakt.

Diese Liste ist entstanden, weil wir sie für unseren eigenen Telefonkanal gebraucht haben. Wir haben die Rechtsgrundlagen an den Originalquellen nachgelesen — Gesetzestext, Papiere der Aufsichtsbehörden, EDSA-Leitlinien — und uns dazu angeschaut, wie zwölf deutsche Anbieter das in ihren eigenen Datenschutztexten regeln. Das Ergebnis steht hier, mit Quellen, damit du es nicht glauben musst.

Kurz vorweg, damit wir uns richtig verstehen: Das hier ist keine Rechtsberatung. Ich bin Entwickler, kein Anwalt. Was du bekommst, ist eine sauber recherchierte Arbeitsgrundlage mit benannten Quellen — für deinen konkreten Fall, für Verträge und für alles, was in Richtung Gesundheitsdaten oder Berufsgeheimnis geht, hol dir jemanden mit Zulassung.

Wenig Zeit? Spring direkt zur Checkliste oder zu den häufigen Fragen.

Warum das Telefon rechtlich schwerer wiegt als der Chat auf deiner Website

Ein Chatfenster auf der Website ist datenschutzrechtlich harmlos: Der Kunde tippt, du speicherst Text, fertig. Am Telefon liegen drei Ebenen übereinander, und nur eine davon heißt DSGVO.

Das gesprochene Wort ist strafrechtlich geschützt

§ 201 StGB stellt es unter Strafe, „das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger” aufzunehmen — ohne Befugnis. Das ist kein Bußgeld wie bei der DSGVO, sondern eine Straftat: bis zu drei Jahre Freiheitsstrafe oder Geldstrafe, und schon der Versuch ist strafbar. Nachzulesen im Original beim Bundesamt für Justiz.

Zwei Entwarnungen und eine Warnung dazu. Entwarnung eins: § 201 wird nur auf Antrag des Betroffenen verfolgt, das steht in § 205 StGB, und zwar ausnahmslos — die Staatsanwaltschaft kann hier nicht von sich aus loslegen. Entwarnung zwei: Die Einwilligung nimmt der Aufnahme das „unbefugt”. Wer angekündigt bekommt, was passiert, und trotzdem weiterspricht, willigt strafrechtlich ein.

Die Warnung: Der beliebte Satz „wir speichern ja kein Audio, nur den Text, also gilt § 201 nicht” ist umstritten, nicht sicher. Rechtsprechung zu Live-Transkription gibt es bislang keine. In der Fachliteratur wird zwar vertreten, dass reine On-the-fly-Umwandlung ohne Speicherung keine Aufnahme ist — im selben Atemzug steht dort aber der Satz, dass die meisten marktüblichen Werkzeuge das Audiosignal zwischenpuffern und der Anwendungsbereich des § 201 damit „regelmäßig eröffnet” ist. Ob dein Anbieter puffert, kannst du weder kontrollieren noch beweisen. Deshalb ist die Ansage am Gesprächsanfang nicht Kür, sondern deine eigentliche Absicherung.

Was sich am 2. August 2026 geändert hat

Seit diesem Datum gilt Artikel 50 der KI-Verordnung (Verordnung (EU) 2024/1689). Kern für dich: Ein KI-System, das direkt mit Menschen spricht, muss so gebaut sein, dass die Leute merken, dass sie mit einer Maschine reden. Die Information muss „spätestens zum Zeitpunkt der ersten Interaktion … in klarer und erkennbarer Weise” kommen — also im ersten Satz, nicht am Ende.

Es gibt eine Ausnahme für Fälle, in denen das ohnehin offensichtlich ist. Verlass dich nicht darauf: Die EU-Kommission warnt in ihren Leitlinien vom Juli 2026 ausdrücklich davor, sich auf diese Ausnahme zu stützen, und synthetische Telefonstimmen sind inzwischen gut genug, dass „offensichtlich” schlicht nicht stimmt.

Neu ist auch, dass es dafür in Deutschland jetzt eine Adresse gibt. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz ist Ende Juli 2026 in Kraft getreten, zuständig ist die Bundesnetzagentur — sie ist Marktüberwachungsbehörde und Beschwerdestelle zugleich. Der Bußgeldrahmen in Art. 99 klingt mit bis zu 15 Millionen Euro brachial; für kleine und mittlere Betriebe gilt aber ausdrücklich der jeweils niedrigere der beiden Werte, und das deutsche System kennt auch Verwarnungen. Für einen Betrieb, der die Ansage sauber macht, ist das Risiko klein. Für einen, der eine Maschine als Mensch verkauft, ist es jetzt real.

Du willst das Telefon erstmal aussparen und trotzdem keine Anfrage mehr verlieren? Ein KI-Chat auf deiner Website nimmt nachts und am Wochenende Anfragen mit Foto und Adresse an, ohne dass du dich mit § 201 StGB beschäftigen musst — schriftlich ist rechtlich deutlich entspannter. So funktioniert der KI-Chat, Festpreis, kein Knebelvertrag.

Die Checkliste: 9 Punkte vor dem ersten Anruf

Jeder Punkt ist so formuliert, dass du ihn nachprüfen kannst — in der Oberfläche deines Anbieters, im Vertrag oder in deiner eigenen Datenschutzerklärung. „Der Anbieter sagt, das passt schon” zählt nicht als Prüfung.

1. Die KI sagt im ersten Satz, dass sie KI ist

Warum: Doppelte Pflicht — Art. 13 DSGVO (Information bei Erhebung) und Art. 50 der KI-Verordnung. Die Ansage erledigt beides in einem Satz und liefert nebenbei die Einwilligung, die dich bei § 201 StGB schützt.

So prüfst du es: Ruf deine eigene Nummer an. Fällt in den ersten fünf Sekunden das Wort „KI” oder ein ebenso klares Äquivalent? Wenn dort nur „digitaler Assistent” oder gar „interaktiver Anrufbeantworter” steht, ist das der alte Marktstandard — und seit August 2026 riskant. Zweiter Test: Frag die Maschine mitten im Gespräch, ob du mit einem Menschen sprichst — sie muss das zugeben.

Ein Muster, das alles Nötige in zwei Sätze packt:

„Hallo, hier spricht der KI-Assistent von [Betrieb]. Ich notiere dein Anliegen für den Rückruf — worum geht’s?”

Warum die zweite Hälfte so wichtig ist: Der Anrufer erfährt, was mit dem Gesagten passiert. Genau das verlangt die Fachliteratur zum Strafrecht — dem Anrufer muss „klar vor Augen geführt” werden, was verarbeitet wird; allgemeines Gerede über „Qualitätssicherung” reicht nicht. Wer das hört und weiterspricht, hat eingewilligt. Das ist eine starke Position — aber keine gerichtlich bestätigte, weil es zu diesem Thema schlicht noch keine Urteile gibt.

2. Keine Gesprächsaufzeichnung ohne Einwilligung

Warum: Siehe oben — § 201 StGB ist Strafrecht, nicht Verwaltungsrecht. Und eine unrechtmäßig entstandene Aufnahme ist vor Gericht meist nicht mal verwertbar, du hättest also Risiko ohne Gegenwert.

So prüfst du es: In der Oberfläche deines Anbieters nach „Audio”, „Recording” oder „Aufzeichnung” suchen und den Schalter ausdrücklich auf „aus” stellen. Bei einer der meistgenutzten Plattformen ist die Aufzeichnung ab Werk an — in deren eigener Doku steht wörtlich „By default, audio recordings are enabled”. Verlass dich nicht auf die Vermutung, dass ein deutscher Wiederverkäufer das für dich abgedreht hat: nachschauen, Screenshot machen, ablegen.

Und wenn du Audio doch brauchst? Dann brauchst du eine echte Einwilligung, und zwar nach Auffassung der Datenschutzkonferenz eine aktive: „Ja” sagen oder eine Taste drücken. Weitersprechen genügt datenschutzrechtlich nicht — das ist der Punkt, an dem sich Straf- und Datenschutzrecht unterscheiden, und der Grund, warum die halbe Branche gar nicht erst aufzeichnet. Der Branchenverband VATM hat das in seiner Handreichung zur KI-Transkription sauber aufgeschrieben.

3. Speicherdauer: Der Default ist wahrscheinlich zwei Jahre

Das ist der Punkt, an dem in der Praxis die meisten Betriebe unwissentlich falsch liegen — inklusive uns, bevor wir nachgesehen haben.

Warum: Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung, und deine Datenschutzerklärung nennt irgendeine Frist. Die Frist gilt aber nicht nur für deine Datenbank, sondern auch für die Kopie beim Anbieter. Steht dort ein anderer Wert, ist dein Text schlicht unwahr.

So prüfst du es: In den Privacy- oder Retention-Einstellungen deines Anbieters nachsehen, welche Frist für Transkripte und welche für Audio gilt — das sind oft zwei getrennte Werte. Bei ElevenLabs, das im deutschsprachigen Markt von mehreren Telefon-Assistenten als Unterauftragnehmer eingesetzt wird, sind es laut deren Doku standardmäßig zwei Jahre für Gesprächsdaten. Diese Frist lässt sich pro Agent auf einen beliebigen Wert bis hinunter zu null setzen; manche Plattformen bieten zusätzlich einen Modus, in dem gar nichts gespeichert wird.

Zur Einordnung, was der Markt für vertretbar hält:

Anbieter bzw. Quelle	Was gelöscht wird	Frist
VITAS	Aufzeichnung und personenbezogene Daten	max. 3 Wochen
VATM (Branchenverband)	Empfehlung für Telefonate	max. 1 Monat „noch vertretbar”
Aaron (Arztpraxen)	Audio	60 Tage
medflex	Audio und Transkript	105 Tage
Vokaro	Transkripte und Anrufinhalte	6 Monate
Typischer Plattform-Default	Transkripte und Audio	2 Jahre

Für den Zweck „Notiz, damit ich zurückrufen kann” sind zwei Jahre nicht zu begründen. Ein bis drei Monate sind es sehr wohl. Wichtig ist, dass die Zahl in deiner Datenschutzerklärung, die Einstellung beim Anbieter und die tatsächliche Löschung in deinem System dieselbe Zahl sind — auch in den Backups.

4. AVV nach Art. 28 — unterschrieben, bevor das Telefon klingelt

Warum: Dein Anbieter verarbeitet personenbezogene Daten in deinem Auftrag. Ohne Auftragsverarbeitungsvertrag ist das ein eigener Verstoß, unabhängig davon, wie sauber der Rest läuft. Bei den etablierten Anbietern ist der AVV Teil der Anmeldung, bei anderen musst du ihn aktiv anfordern.

So prüfst du es: Liegt das unterschriebene Dokument in deinem Ordner? Und: Wer steht als Unterauftragnehmer drin? Bei einem KI-Telefon hängen typischerweise drei bis fünf Firmen in der Kette — Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe, Hosting. Die musst du kennen, weil du sie in deiner Datenschutzerklärung benennen sollst.

Wenn ein US-Dienst dabei ist: Das ist erlaubt, aber nur ehrlich. Der Standardweg ist EU-US Data Privacy Framework plus Standardvertragsklauseln, beides zusammen im DPA des Anbieters. Sag es offen, statt „100 % Server in Deutschland” zu behaupten, während in der eigenen Datenschutzerklärung sechs US-Firmen aufgelistet sind — genau das werfen Wettbewerber in dieser Branche einander gerade öffentlich vor.

Unsicher, ob dein aktueller Anbieter das erfüllt? Schick mir den Namen und den Link zu seiner Datenschutzerklärung — ich schaue mir die Kette durch und sage dir, welche der neun Punkte er abdeckt und welche du selbst erledigen musst. Kurz anfragen, Antwort meist am selben Tag. Kostenlos, kein Verkaufsgerede.

5. Kein KI-Training mit euren Gesprächen

Warum: Deine Rechtsgrundlage — Vertrag oder berechtigtes Interesse — deckt die Bearbeitung der Anfrage. Nicht gedeckt ist, dass ein Anbieter aus den Gesprächen deiner Kunden sein Modell weitertrainiert. Das wäre ein eigener Zweck mit eigener Rechtsgrundlage, und die Aufsichtsbehörden halten dafür praktisch nur eine Einwilligung für tragfähig.

So prüfst du es: Im Vertrag und in den Einstellungen nach „Training” oder „Model Improvement” suchen. Die Orientierungshilfe „KI und Datenschutz” der deutschen Aufsichtsbehörden sagt es deutlich: vorzugswürdig sind Anwendungen, die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden. Wenn du es abgestellt hast, schreib es hin — ein Hamburger Ärztezentrum formuliert in seiner Patienteninformation schlicht „Kein Einsatz der erhobenen Daten zum Training externer KI”. Diesen einen Satz versteht jeder Anrufer, und du kannst ihn belegen.

6. Datenschutz-Folgenabschätzung: Pflicht, nicht Kür

Hier steht in vielen Ratgebern etwas Falsches, deshalb ausführlicher.

Warum: Art. 35 Abs. 4 DSGVO verpflichtet die Aufsichtsbehörden, eine Liste der Verarbeitungen zu führen, für die eine Folgenabschätzung immer nötig ist. In der deutschen Muss-Liste steht unter Nummer 11 die „Verarbeitung unter Einsatz von künstlicher Intelligenz zur Steuerung einer Interaktion mit dem Betroffenen oder zur Bewertung persönlicher Aspekte”. Ein Telefonagent, der ein Gespräch führt, ist genau das. Die beiden Alternativen sind mit „oder” verbunden — es reicht die Interaktion, Bewertung von Personen braucht es nicht. Eine Ausnahme für kleine Betriebe kennt Art. 35 nicht. Und: Eine fehlende Folgenabschätzung ist ein eigener Bußgeldtatbestand.

So prüfst du es: Gibt es das Dokument, oder gibt es keins? Es gibt kein Drittes.

Die gute Nachricht: Die DSGVO schreibt keine Form vor. Art. 35 Abs. 7 nennt vier Bestandteile — Beschreibung der Verarbeitung, Notwendigkeit und Angemessenheit, Risiken für die Betroffenen, geplante Maßnahmen. Ein sauberes Dokument über zwei bis vier Seiten, das diese vier Punkte durchgeht, ist eine vollwertige Folgenabschätzung. Kein Berater-Projekt, kein Fünfstelliges. Wir haben unsere in einem Nachmittag geschrieben, weil die Punkte ohnehin aus dieser Liste hier fallen.

7. Ein eigener Abschnitt in deiner Datenschutzerklärung — plus der Ansagetext

Warum: Am Telefon musst du nicht die komplette Art.-13-Information vorlesen. Die Aufsichtsbehörden akzeptieren ein zweistufiges Modell: kurze Ansage am Anfang, vollständiger Text auf der Website. Das steht so in den Transparenz-Leitlinien der europäischen Datenschützer, die ausdrücklich auch Telefongespräche einschließen. In die erste Stufe gehört das Unerwartete — dass eine Maschine spricht und dass mitgeschrieben wird.

So prüfst du es: Ruf deine eigene Datenschutzseite auf. Gibt es dort einen Abschnitt „Telefonischer KI-Assistent” mit: wer verantwortlich ist, wer verarbeitet (Plattform, Sprachmodell, wohin die Benachrichtigung geht), was gespeichert wird, wie lange, auf welcher Rechtsgrundlage, und dem Hinweis auf das Widerspruchsrecht nach Art. 21? Wenn dort nur ein Link zum Anbieter steht, fehlt dir die eigene Information — du bist der Verantwortliche, nicht er.

Ein Extrapunkt, der fast nichts kostet und den kaum jemand macht: Der europäische Datenschutzausschuss empfiehlt in seinen Leitlinien zu Sprachassistenten, den gesprochenen Ansagetext wörtlich auf der Website zu veröffentlichen, damit Anrufer und Behörden ihn nachlesen können (EDSA-Leitlinien 02/2021, Rn. 143). Zwei Zeilen kopieren, fertig — und du hast im Zweifel den Nachweis, dass informiert wurde. Wie so ein Abschnitt aussieht, kannst du dir in unserer Datenschutzerklärung ansehen.

8. Ein Ausweg zum Menschen — und ein zweiter Weg zu dir

Warum: Zwei Gründe, ein juristischer und ein handwerklicher. Juristisch: Die konkludente Einwilligung („weitersprechen”) steht nur, wenn der Anrufer nicht unter Druck ist. Wer keine Alternative hat, hat keine Wahl — deshalb empfiehlt die Fachliteratur, immer einen anderen Weg zu nennen. Handwerklich: Dein Stammkunde mit dem Wasserschaden will keine Maschine, er will dich.

So prüfst du es: Sag im Testanruf „Ich möchte einen Menschen sprechen”. Passiert etwas Sinnvolles — Weiterleitung, Rückrufzusage, Nennung deiner Handynummer? Steht auf deiner Kontaktseite neben der KI-Nummer noch ein zweiter Kanal, den ein Mensch liest? Ein Hamburger Ärztezentrum schreibt seinen Patienten wörtlich, sie könnten sich jederzeit mit einem Menschen verbinden lassen und müssten das dem KI-Assistenten einfach sagen, „wie sie es einem Menschen sagen würden”. Genau diese Zeile fehlt bei den meisten.

Für Notdienst-Gewerke gehört der zweite Satz dazu: Was passiert bei einem echten Notfall? Arztpraxen setzen an dieser Stelle den Hinweis auf die 112. Bei dir ist es die Frage, ob der Bereitschaftsdienst durchgestellt wird oder erst am Morgen jemand die Notiz liest — der Anrufer muss das hören, bevor er auflegt und wartet.

Willst du erstmal wissen, wie viel dich verpasste Anrufe wirklich kosten? Schreib mir kurz, wie viele Anfragen pro Woche bei dir auflaufen und wann sie kommen — ich rechne dir aus, ob sich ein Telefonassistent, ein KI-Chat oder schlicht ein besseres Kontaktformular lohnt. Lass uns kurz reden — und wenn du nichts davon brauchst, sage ich dir das auch.

9. Rechtsgrundlage benennen — und wissen, wo sie aufhört

Warum: Ohne Rechtsgrundlage ist jede Verarbeitung rechtswidrig, egal wie gut der Rest sitzt. Für einen Telefonagenten, der Anfragen entgegennimmt, ist die Konstruktion Standard und von den Aufsichtsbehörden gedeckt: Art. 6 Abs. 1 lit. b DSGVO für alles, was zur Bearbeitung der Anfrage nötig ist — die europäischen Datenschützer nennen in ihren Leitlinien ausdrücklich die ganze Kette von der Sprachaufnahme über die Transkription bis zur Antwort — und Art. 6 Abs. 1 lit. f für den Rest, etwa die Notiz für den Rückruf. Bei Neukunden greift die zweite Variante von lit. b: vorvertragliche Maßnahmen auf Anfrage der betroffenen Person.

So prüfst du es: Steht in deiner Datenschutzerklärung, welcher Buchstabe für welchen Schritt gilt? Und ist das Widerspruchsrecht nach Art. 21 genannt, das bei lit. f dazugehört?

Drei Grenzen, die du kennen solltest:

• Daten Dritter. Wenn der Anrufer über seine Nachbarin oder seinen Mieter spricht, deckt lit. b das nicht — das läuft nur über das berechtigte Interesse, und du solltest solche Angaben gar nicht erst in die Notiz übernehmen.
• Art. 22 DSGVO (automatisierte Entscheidungen) trifft dich nicht, solange die Maschine Fragen beantwortet und Notizen schreibt, während du entscheidest. Wichtig ist, dass du wirklich entscheidest: Ein Mensch, der den Vorschlag der KI nur abnickt, reicht den Aufsichtsbehörden nicht. Wenn dein Agent anfängt, Termine selbst zu vergeben oder Anfragen selbst abzulehnen, ändert sich die Bewertung.
• Art. 9 DSGVO (besondere Kategorien) greift nicht dadurch, dass eine Stimme verarbeitet wird. Biometrisch wird Sprache erst, wenn du Sprecher wiedererkennen willst — schalte also keine Sprecheridentifikation ein, dann bleibt es einfach. Über den Inhalt kann Art. 9 trotzdem hereinkommen, wenn jemand am Telefon von seiner Krankheit erzählt. Dann gehört das nicht in die Notiz.

Drei Sätze, die im Netz stehen und trotzdem nicht stimmen

„Ein deutscher Anbieter ist automatisch sicher.” Der Firmensitz sagt nichts über den Serverstandort und noch weniger über die Unterauftragnehmer. Ein Wiener Anbieter mit Hosting in Nürnberg listet in seiner eigenen Datenschutzerklärung mehrere US-Firmen für Telefonie, Spracherkennung und Sprachmodell. Das ist nicht verboten — aber es ist etwas anderes als „alle Daten in Deutschland”.

„Das Fernmeldegeheimnis verbietet mir das sowieso.” Nein. Verpflichtet sind nach § 3 Abs. 2 TDDDG die Anbieter öffentlich zugänglicher Telekommunikationsdienste — also dein Telefonanbieter, nicht du als Empfänger des Anrufs. Der grundrechtliche Schutz endet, wenn die Nachricht im Herrschaftsbereich des Empfängers angekommen ist. Manche Anbieter-Blogs behaupten das Gegenteil, ohne den Kreis der Verpflichteten zu prüfen.

„Für einen kleinen Betrieb ist die Folgenabschätzung nicht nötig.” Diesen Satz liest man oft, und er ist der teuerste der drei. Siehe Punkt 6: Die Muss-Liste kennt keine Betriebsgrößen. Ob eine Behörde bei einem Zwei-Mann-Betrieb je danach fragt, ist eine andere Frage — aber „unwahrscheinlich geprüft” ist keine Rechtslage.

Und ein vierter, der andersherum stimmt: Werbeanrufe. Für eingehende Anrufe ist § 7 UWG nicht einschlägig, und wenn du auf Wunsch des Kunden in seiner eigenen Sache zurückrufst, ist das keine Werbung. Sobald du beim Rückruf etwas verkaufst, was er nicht angefragt hat, ist es welche — und wenn die KI von sich aus rausruft, gelten noch strengere Regeln.

Was das für deinen Betrieb praktisch heißt

Wenn du das jetzt liest und denkst „für einen Anrufbeantworter ist mir das zu viel Papier” — verständlich. Deshalb die ehrliche Einordnung, wie viel Arbeit wirklich dranhängt:

Einmalig, ungefähr ein halber Tag: AVV unterschreiben, fünf Schalter in der Anbieter-Oberfläche prüfen (Aufzeichnung aus, Speicherfrist runter, Training aus, Ansagetext rein, Gesprächsdauer begrenzt), Folgenabschätzung als kompaktes Dokument schreiben, Abschnitt in die Datenschutzerklärung, Verzeichnis der Verarbeitungstätigkeiten ergänzen.

Laufend, praktisch null: Wenn Löschfristen als Automatik laufen und nicht als Vorsatz, musst du nichts tun. Genau da liegt der Unterschied zwischen einer Datenschutzerklärung, die etwas verspricht, und einem System, das es einhält — wir haben in unserem eigenen Setup gemerkt, dass zwischen beidem monatelang eine Lücke klaffen kann, wenn niemand nachsieht.

Was du dir dafür einhandelst: Der Anruf um 19:40 Uhr, während du beim Abendessen sitzt, endet nicht mehr im Nichts. Für Elektro und SHK, wo der Anrufer die Liste von oben nach unten durchtelefoniert, ist das der ganze Unterschied. Es bleibt trotzdem eine Abwägung: Der Telefonkanal ist von allen der rechtlich anspruchsvollste. Wer nur die verpasste Abendanfrage einfangen will, kommt mit einem KI-Chat auf der Website oder WhatsApp schneller und mit weniger Formularen ans Ziel — und wer ohnehin gerade an seiner Sichtbarkeit arbeitet, sollte vorher bei Google überhaupt gefunden werden, sonst klingelt auch das schönste Telefon nicht.

Wie wir das bei Lomageek angehen

Volle Transparenz: Bei uns nimmt aktuell keine KI Anrufe entgegen. Der Kanal ist gebaut und getestet, aber noch nicht scharf — genau deshalb ist diese Liste entstanden. Wir wollten wissen, was wir unterschreiben, bevor eine Maschine mit unseren Kunden spricht.

Drei Entscheidungen haben wir dabei getroffen, die du übernehmen kannst:

1. Kein Audio, nur Text. Das Gespräch wird im Moment des Sprechens in Text umgewandelt, gespeichert wird nur eine kurze Notiz für den Rückruf. Das ist strenger als der Markt: Zwei bekannte deutsche Anbieter heben Audio 60 bzw. 105 Tage auf.
2. Die Ansage sagt beides — dass eine KI spricht und dass mitgeschrieben wird — und steht wörtlich in unserer Datenschutzerklärung.
3. Fristen laufen im Code, nicht im Text. Eine Aufräum-Aufgabe löscht alte Gespräche automatisch. Ein Datum in der Datenschutzerklärung, das niemand vollstreckt, ist eine Behauptung.

Wenn du mit dem Gedanken spielst, so etwas in deinen Betrieb zu holen: Nimm die neun Punkte, geh sie mit deinem Wunschanbieter durch und lass dir jeden schriftlich bestätigen. Wer bei Punkt 3 oder 5 ausweicht, hat sie selbst nicht geprüft.

Fazit

Ein KI-Telefonassistent ist kein rechtliches Minenfeld, aber auch nichts, was man nebenbei einschaltet. Die Substanz passt auf eine Seite: Sag im ersten Satz, dass eine KI spricht. Zeichne nicht auf. Setz die Speicherfrist beim Anbieter selbst — der Default ist wahrscheinlich viel zu lang. Unterschreib den AVV, schalt das Training ab, schreib die Folgenabschätzung, ergänze deine Datenschutzerklärung, lass einen Weg zum Menschen offen und benenne deine Rechtsgrundlage. Neun Punkte, ein halber Tag, danach ist es erledigt.

Der teuerste Fehler ist nicht die vergessene Formulierung — es ist, dem Anbieter zu glauben, dass „DSGVO-konform” auf der Preisseite auch für deinen Betrieb gilt. Verantwortlicher bist du. Das Gute daran: Alles auf dieser Liste kannst du selbst nachprüfen, ohne Jurastudium.

Du willst den Kram nicht selbst durchgehen? Schick mir deinen Anbieter oder deine Betriebsseite — ich schaue mir an, welche der neun Punkte schon stehen, was fehlt und ob ein Telefonassistent für dein Gewerk überhaupt der richtige Kanal ist. Jetzt kurz anfragen, Antwort meist noch am selben Tag. Kostenlos und ohne Verkaufstour — und wenn ein Chat auf deiner Website mehr bringt als eine Telefon-KI, sage ich dir genau das.

FAQ

Ist ein KI-Telefonassistent in Deutschland überhaupt erlaubt? Ja. Es gibt kein Verbot, und Praxen, Kommunen und Handwerksbetriebe setzen solche Assistenten seit Jahren ein. Erlaubt ist er aber nur mit Transparenz: Der Anrufer muss im ersten Satz erfahren, dass er mit einer KI spricht (Art. 50 KI-Verordnung, seit 2. August 2026), und du brauchst eine Rechtsgrundlage nach Art. 6 DSGVO, einen Auftragsverarbeitungsvertrag mit dem Anbieter und klare Speicherfristen.

Darf ein KI-Telefonassistent das Gespräch aufzeichnen? Nur mit Einwilligung — und die muss datenschutzrechtlich aktiv erklärt werden, etwa durch ein gesprochenes „Ja” oder einen Tastendruck. Bloßes Weitersprechen reicht dafür nach Auffassung der deutschen Aufsichtsbehörden nicht. Ohne Einwilligung ist die Aufnahme des nichtöffentlich gesprochenen Wortes nach § 201 StGB eine Straftat. Deshalb arbeiten die meisten Anbieter im Handwerksbereich ohne Audiospeicherung und behalten nur den Text.

Reicht es, wenn sich die KI als „digitaler Assistent” vorstellt? Das war jahrelang der Marktstandard, ist aber seit August 2026 riskant. Art. 50 der KI-Verordnung verlangt eine Information „in klarer und erkennbarer Weise” — und die EU-Kommission warnt ausdrücklich davor, sich darauf zu verlassen, dass der KI-Charakter ohnehin offensichtlich sei. Sicher bist du mit dem Wort „KI” im ersten Satz, plus einer ehrlichen Antwort, wenn jemand direkt nachfragt.

Brauche ich als kleiner Handwerksbetrieb wirklich eine Datenschutz-Folgenabschätzung? Ja. Der Einsatz künstlicher Intelligenz zur Steuerung einer Interaktion mit betroffenen Personen steht auf der Muss-Liste der deutschen Aufsichtsbehörden zu Art. 35 Abs. 4 DSGVO, und eine Ausnahme für kleine Betriebe gibt es nicht. Die Form ist aber frei: Ein Dokument über zwei bis vier Seiten, das Verarbeitung, Notwendigkeit, Risiken und Maßnahmen beschreibt, erfüllt die Anforderungen aus Art. 35 Abs. 7 vollständig.

Wie lange darf ich Gesprächsnotizen und Telefonnummern speichern? So lange, wie du sie für den Zweck brauchst — bei einer Rückruf-Notiz sind das Wochen, nicht Jahre. Im Markt reicht die Spanne von drei Wochen bis sechs Monaten, der Branchenverband VATM hält maximal einen Monat für gut vertretbar. Entscheidend ist, dass dieselbe Frist auch beim Anbieter eingestellt ist: Dort stehen die Standardwerte oft bei zwei Jahren.

Muss ich meine Datenschutzerklärung ergänzen? Ja, und zwar mit einem eigenen Abschnitt für den Telefonkanal: wer verantwortlich ist, welche Dienstleister beteiligt sind, was gespeichert wird, wie lange, auf welcher Rechtsgrundlage und wie man widerspricht. Ein bloßer Verweis auf die Datenschutzseite deines Anbieters genügt nicht, weil du der Verantwortliche bist. Empfohlen wird zusätzlich, den gesprochenen Ansagetext wörtlich auf der Website zu veröffentlichen.

Ist die Stimme meines Anrufers ein biometrisches Datum nach Art. 9 DSGVO? Nicht automatisch. Biometrisch werden Sprachdaten erst, wenn sie mit speziellen Verfahren zur eindeutigen Identifizierung einer Person verarbeitet werden — also bei Sprechererkennung. Reine Umwandlung von Sprache in Text ohne Stimmprofil fällt nicht darunter. Art. 9 kann trotzdem über den Inhalt hereinkommen, etwa wenn jemand am Telefon von seiner Gesundheit erzählt; solche Angaben gehören dann nicht in die Notiz.

Was kostet es, wenn ich die Regeln ignoriere? Drei getrennte Risiken: Bußgelder nach der DSGVO (fehlende Folgenabschätzung ist ein eigener Tatbestand), Bußgelder nach der KI-Verordnung wegen fehlender Transparenz — für kleine Betriebe gedeckelt auf den jeweils niedrigeren der beiden gesetzlichen Werte — und eine Strafanzeige nach § 201 StGB, wenn ohne Einwilligung aufgezeichnet wurde. Letztere wird nur auf Antrag des Betroffenen verfolgt, ist dafür aber Strafrecht und kein Verwaltungsverfahren.