KI-Sprachassistenten und DSGVO: Der Compliance-Leitfaden

Ein KI-Sprachassistent ist datenschutzrechtlich eine Verarbeitung, für die Sie als Verantwortlicher einstehen. Sie brauchen je Zweck eine Rechtsgrundlage nach Art. 6 DSGVO, eine Rechtsgrundlage für die Aufzeichnung, definierte Löschfristen, einen Auftragsverarbeitungsvertrag nach Art. 28 und – bei Verarbeitung außerhalb der EU – ein wirksames Übermittlungsinstrument.

Konformität ist keine Eigenschaft der Software. Zwei Betriebe können denselben Assistenten einsetzen und nur einer ist rechtskonform, weil die Pflichten daran hängen, wie Sie ihn einsetzen: was Sie aufzeichnen, wozu, wie lange und was Sie den Anrufenden sagen. Dieser Leitfaden geht die Entscheidungen in der Reihenfolge durch, in der sie tatsächlich anfallen.

Es handelt sich um allgemeine Orientierung, nicht um Rechtsberatung. Sobald besondere Kategorien personenbezogener Daten im Spiel sind – Gesundheitsdaten vor allem – holen Sie fachlichen Rat für Ihren konkreten Fall ein.

1. Sie sind der Verantwortliche

Diese Zuordnung ist keine Formalie: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt bei Ihnen. Sie müssen belegen können, dass die Verarbeitung rechtmäßig ist – nicht der Anbieter. Orientierung dazu geben die Hinweise der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.

2. Rechtsgrundlage – je Zweck, nicht pauschal

Gesprächsaufzeichnungen und Transkripte sind personenbezogene Daten. Das Gespräch anzunehmen braucht eine Grundlage; es aufzuzeichnen braucht eine eigene.

Die vorletzte Zeile wird am häufigsten übersehen. Fragen Sie Ihren Anbieter ausdrücklich und schriftlich, ob Audio oder Transkripte zum Training von Modellen verwendet werden und ob sich das auf Kontoebene abschalten lässt.

3. Aufzeichnung: das deutsche Sonderthema

Über die DSGVO hinaus ist in Deutschland das gesprochene Wort strafrechtlich geschützt: § 201 StGB stellt die Aufnahme des nichtöffentlich gesprochenen Wortes ohne Kenntnis der Beteiligten unter Strafe. Praktisch heißt das: Eine heimliche Aufzeichnung ist kein Datenschutzverstoß mit Bußgeldrisiko, sondern ein eigener Tatbestand.

Die saubere Lösung ist unspektakulär und kostet nichts: Am Gesprächsanfang wird gesagt, dass aufgezeichnet wird und wozu – und wer das nicht möchte, bekommt einen Weg ohne Aufzeichnung. Wenn Sie nur eine Sache aus diesem Beitrag mitnehmen, dann diese.

4. Transparenz am Gesprächsanfang

Drei Punkte gehören an den Anfang, in der Sprache des Assistenten und nicht als vorgelesener Rechtstext.

1. 1Dass ein automatischer Assistent spricht. Verschweigen ist zuerst ein Transparenzproblem und erst danach alles andere; die regulatorische Richtung geht eindeutig zur Offenlegung.
2. 2Dass aufgezeichnet wird, und grob wozu. Ein Satz: „Dieses Gespräch wird aufgezeichnet, damit wir die Angaben in Ihrem Vorgang festhalten können.“
3. 3Wo die vollständige Information steht und wie man einen Menschen erreicht. Eine benannte Seite und ein jederzeit möglicher Ausstieg aus dem automatisierten Gespräch.

5. Löschfristen festlegen und durchsetzen

„Wir behalten Aufzeichnungen unbefristet“ ist keine Löschfrist. Legen Sie sie je Kategorie fest, schreiben Sie sie auf und lassen Sie sich vom Anbieter bestätigen, dass tatsächlich gelöscht und nicht nur ausgeblendet wird.

• Rohaudio hat die kürzeste zu rechtfertigende Lebensdauer – häufig Wochen, sofern kein konkreter Streitfall oder eine Aufbewahrungspflicht dagegensteht.
• Transkripte und Zusammenfassungen in einer Kundenakte folgen den Fristen dieser Akte.
• Strukturierte Ergebnisse – der Termin, das Ergebniskennzeichen – sind gewöhnliche Geschäftsunterlagen; hier greifen handels- und steuerrechtliche Aufbewahrungsfristen.

6. Auftragsverarbeitungsvertrag nach Art. 28

Der AV-Vertrag ist schriftlich zu schließen und hat einen Pflichtinhalt. Vier Fragen erledigen bei der Anbieterprüfung den größten Teil der Arbeit.

1. 1Wo wird verarbeitet und gespeichert? Verlässt etwas die EU, brauchen Sie das Übermittlungsinstrument schriftlich.
2. 2Wer sind die Unterauftragsverarbeiter? Spracherkennung, Modellbetrieb und Telefonie sind häufig drei verschiedene Unternehmen. Sie brauchen die Liste und eine Änderungsanzeige.
3. 3Wie werden Löschverlangen umgesetzt? Verlangt eine betroffene Person Löschung, müssen Sie den Auftragsverarbeiter anweisen und eine Bestätigung erhalten können.
4. 4Was passiert am Vertragsende? Rückgabe oder Löschung, mit Frist.

7. Drittlandübermittlung

Werden Daten außerhalb der EU verarbeitet – und bei Sprachverarbeitung ist das häufiger der Fall, als der Vertrag auf den ersten Blick zeigt – reicht ein Hinweis im Vertrag nicht. Es braucht ein Instrument nach Kapitel V DSGVO: einen Angemessenheitsbeschluss für das betreffende Land oder Standardvertragsklauseln, ergänzt um eine dokumentierte Prüfung der Rechtslage im Zielland.

Fragen Sie konkret nach dem Serverstandort für Audio, Transkripte und Backups. Diese drei liegen erstaunlich oft nicht am selben Ort.

8. Verzeichnis, DSFA und Betroffenenrechte

Die Verarbeitung gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Ob zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist, hängt vom Risiko ab – neue Technologie, systematische Verarbeitung, und erst recht Gesundheitsdaten sprechen deutlich dafür. Auch wo sie streng genommen entbehrlich wäre, erzeugt sie die Dokumentation, die Sie im Ernstfall zeigen wollen.

Und ein Test, den kaum jemand vor dem Livegang macht: Nehmen Sie eine anrufende Person und versuchen Sie, alles herauszusuchen, was Sie über sie gespeichert haben – Audio eingeschlossen. Wenn das nicht innerhalb eines Monats geht, ist der Aufbau in der Praxis nicht auskunftsfähig, wie gut die Unterlagen auch aussehen.

9. Cookies und Website-Tracking gehören nicht hierher

Ein häufiges Missverständnis: Die Einwilligungspflicht für Cookies folgt aus § 25 TTDSG und betrifft Ihre Website, nicht das Telefon. Der Assistent braucht kein Cookie-Banner. Umgekehrt ersetzt ein Cookie-Banner keine Information über die Anrufaufzeichnung.

Checkliste

1. 1Daten erfassenAuflisten, was im Gespräch anfällt: Audio, Transkript, Name, Kontaktdaten und alles, was besondere Kategorie sein könnte.
2. 2Rechtsgrundlage festhaltenEine Zeile je Zweck; bei berechtigtem Interesse die Abwägung schriftlich.
3. 3Ansage formulierenAutomatischer Assistent, Aufzeichnung und Zweck, Weg zum Menschen – am Gesprächsanfang.
4. 4Löschfristen setzenJe Kategorie, mit vom Anbieter schriftlich bestätigtem Löschmechanismus.
5. 5AV-Vertrag schließenInklusive Unterauftragsverarbeiter, Drittlandinstrument und Löschung bei Vertragsende.
6. 6Verzeichnis und ggf. DSFAEintrag nach Art. 30; Folgenabschätzung, wo das Risiko es nahelegt.
7. 7Auskunftsersuchen testenZu einer anrufenden Person alles zusammentragen – und die Zeit dafür messen.

Nichts davon ist exotisch; es ist dieselbe Sorgfalt, die Sie bei Ihrem CRM ohnehin anwenden, erweitert auf das Telefon. Wenn Sie die Liste an Ihrem eigenen Aufbau durchgehen möchten: Demo vereinbaren – und bringen Sie Ihre Datenschutzfragen mit. Wir beantworten sie lieber vorher als nachher.

← Alle Beiträge