DSGVO und KI am Telefon: was Betriebe beachten müssen

Verantwortlich bleibt der Betrieb

Die Rollenverteilung ist eindeutig: Der Betrieb bestimmt Zweck und Mittel der Verarbeitung und ist damit Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Der Anbieter des Assistenten verarbeitet weisungsgebunden und ist Auftragsverarbeiter.

Praktisch heißt das: Auskunftsersuchen und Löschanfragen von Anrufern richten sich an Sie, nicht an den Anbieter. Der Anbieter muss Sie dabei unterstützen, entscheiden müssen Sie.

Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er regelt Weisungsrechte, Unterauftragnehmer, technische Maßnahmen, Löschfristen und Ihre Kontrollrechte. Ohne diesen Vertrag ist der Einsatz nicht zulässig.

Der Hinweis auf die KI gehört an den Gesprächsanfang

Anrufer müssen erkennen können, dass sie nicht mit einem Menschen sprechen. Der Hinweis steht am Anfang des Gesprächs, bevor Angaben erhoben werden.

Das folgt bereits aus dem Transparenzgebot nach Art. 12 und 13 DSGVO. Hinzu kommt Art. 50 der KI-Verordnung der EU, der für Systeme, die unmittelbar mit natürlichen Personen interagieren, eine Offenlegungspflicht vorsieht – es sei denn, es ist aus dem Zusammenhang offensichtlich.

Auf die Ausnahme sollten Sie sich nicht verlassen. Ein Hinweis am Anfang kostet zwei Sekunden und nimmt die Diskussion vorweg.

Aufzeichnung ist etwas anderes als Verarbeitung

Ein Assistent muss das Gespräch verarbeiten, um zu antworten. Ob die Audiodatei darüber hinaus gespeichert wird, ist eine getrennte Entscheidung – mit eigenen Anforderungen.

In Optik und Akustik können Gesundheitsdaten fallen

Sobald ein Anrufer seine Hörminderung oder eine Augenerkrankung nennt, liegt eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO vor. Das hebt die Anforderungen.

Das lässt sich nicht vermeiden – es gehört zum Anliegen. „Mein Hörgerät pfeift“ ist bereits eine Gesundheitsangabe. Entscheidend ist deshalb nicht die Vermeidung, sondern der Umgang: Solche Angaben dürfen nur so weit verarbeitet werden, wie sie für die Terminvergabe nötig sind, und nicht zu anderen Zwecken ausgewertet werden.

Achten Sie im AVV darauf, dass die Verarbeitung besonderer Kategorien ausdrücklich geregelt ist und die technischen Maßnahmen dazu passen – verschlüsselte Speicherung, enge Zugriffsrechte, definierte Löschfristen.

Serverstandort und Unterauftragnehmer

Ein Serverstandort in Deutschland oder der EU vereinfacht die Prüfung erheblich, weil keine Drittlandübermittlung zu rechtfertigen ist. Entscheidend ist aber die gesamte Kette, nicht nur der Hauptanbieter.

Fragen Sie nach der vollständigen Liste der Unterauftragnehmer. Ein Assistent besteht typischerweise aus mehreren Bausteinen – Telefonie, Spracherkennung, Sprachmodell, Sprachausgabe –, die von verschiedenen Anbietern stammen können. Ein deutscher Serverstandort für den einen Baustein nützt wenig, wenn ein anderer in ein Drittland überträgt.

Werden Daten in Drittländer übermittelt, braucht es einen Angemessenheitsbeschluss, Standardvertragsklauseln oder eine Einwilligung. Lassen Sie sich das schriftlich geben.

Was Sie in Ihre Datenschutzerklärung aufnehmen sollten

Vier Angaben genügen für die Telefonie: welche Daten anfallen, zu welchem Zweck, wie lange sie bleiben und wer sie im Auftrag verarbeitet.