1Muss der Anrufer informiert werden?
Ja. Anrufer haben das Recht zu erfahren, dass sie mit einer KI sprechen. Die meisten KI-Telefonassistenten begrüßen den Anrufer daher mit einem Hinweis wie: „Sie sprechen mit dem automatischen Telefonassistenten der Praxis Müller. Wie kann ich Ihnen helfen?"
Diese Transparenzpflicht ergibt sich aus der DSGVO (Art. 13/14) und dem EU AI Act, der seit 2025 schrittweise in Kraft tritt.
2Welche Daten werden verarbeitet?
Bei einem KI-Telefongespräch fallen verschiedene Daten an:
- Audiodaten des Gesprächs (für die Spracherkennung)
- Transkription (Text des Gesprochenen)
- Metadaten (Anrufzeit, Dauer, Rufnummer)
- Ggf. personenbezogene Daten (Name, Geburtsdatum bei Terminbuchung)
3Wo müssen die Daten gespeichert werden?
Für DSGVO-Konformität ist entscheidend, wo die Daten verarbeitet und gespeichert werden. Idealerweise:
- Serverstandort in Deutschland oder der EU
- Keine Übertragung in Drittländer (USA, China) ohne Angemessenheitsbeschluss
- Verschlüsselte Übertragung (TLS/SSL)
- Keine dauerhafte Speicherung von Audiodateien nach der Verarbeitung
4Auftragsverarbeitungsvertrag (AVV)
Als Unternehmen, das einen KI-Telefonassistenten einsetzt, müssen Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag (AVV) abschließen. Dieser regelt:
- Welche Daten verarbeitet werden und zu welchem Zweck
- Wie lange die Daten gespeichert werden
- Welche technischen und organisatorischen Maßnahmen der Anbieter trifft
- Rechte und Pflichten beider Parteien
5Checkliste: DSGVO-konformer KI-Telefonassistent
Achten Sie bei der Anbieterwahl auf folgende Punkte:
- Serverstandort in der EU (idealerweise Deutschland)
- Transparenzhinweis zu Gesprächsbeginn
- AVV wird angeboten und ist standardmäßig verfügbar
- Keine dauerhafte Speicherung von Audiodateien
- Löschkonzept für personenbezogene Daten
- Technische Sicherheitsmaßnahmen (Verschlüsselung, Zugriffskontrollen)
- Anbieter kann Informationen zu Subunternehmern bereitstellen
6Besonderheit: Arztpraxen und Gesundheitsdaten
Gesundheitsdaten sind nach DSGVO besonders schützenswert (Art. 9). Für Arztpraxen gelten daher strengere Anforderungen. Stellen Sie sicher, dass der Anbieter mit Gesundheitsdaten umgehen darf und entsprechende Zertifizierungen vorweisen kann.