Einführung
Sprach-KI transformiert die Art und Weise, wie Unternehmen Kundeninteraktionen handhaben. Von der automatisierten Terminplanung bis zur 24/7-Inbound-Anrufbearbeitung werden KI-Sprachagenten eher zu betrieblichen Notwendigkeiten als zu Neuheiten. In Europa ist der Einsatz jedoch nicht einfach eine Frage der Wahl der beeindruckendsten Technologie. Es ist eine Frage des Rechts.
Die Datenschutz-Grundverordnung (DSGVO) legt strenge Regeln fest, wie personenbezogene Daten erhoben, verarbeitet und gespeichert werden. Sprachgespräche sind von Natur aus reich an personenbezogenen Daten: Namen, Kontonummern, Gesundheitsdetails, emotionaler Tonfall und biometrische Stimmabdrücke können alle in einem einzigen Anruf auftauchen. Zusätzlich zur DSGVO führt der EU AI Act eine neue Ebene von Pflichten ein, die speziell auf künstliche Intelligenzsysteme abzielen, einschließlich solcher, die per Sprache mit Menschen interagieren.
Fehler sind teuer. DSGVO-Bußgelder können bis zu 20 Millionen EUR oder 4 % des weltweiten Jahresumsatzes betragen. Über Bußgelder hinaus untergräbt ein Compliance-Versagen das Kundenvertrauen auf eine Weise, die schwer zu reparieren ist.
Dieser Leitfaden führt Sie durch die genauen Anforderungen von DSGVO und EU AI Act für Sprach-KI-Implementierungen, worauf Sie bei einem Anbieter achten sollten und wie Sie sicherstellen, dass Ihr Setup konform ist, bevor Sie live gehen.
Was die DSGVO für KI-Sprachagenten verlangt
Datenverarbeitung: Kennen Sie Ihre Rechtsgrundlage
Jeder KI-Sprachagent verarbeitet personenbezogene Daten. Mindestens erfasst er die Stimme des Anrufers, die von europäischen Datenschutzbehörden als personenbezogene Daten eingestuft wird. Wenn das System Stimmbiometrie zur Identifizierung verwendet, gelten die Daten als biometrische Daten gemäß Artikel 9, eine besondere Kategorie mit noch strengeren Handhabungsregeln.
Vor dem Einsatz eines DSGVO-konformen KI-Sprachagenten müssen Sie eine rechtmäßige Grundlage für die Verarbeitung gemäß Artikel 6 festlegen. Die gängigsten Rechtsgrundlagen für Sprach-KI sind:
- Einwilligung (Art. 6 Abs. 1 lit. a): Der Anrufer stimmt der Verarbeitung ausdrücklich zu. Dies ist oft erforderlich, wenn Aufnahmen gespeichert oder biometrische Verarbeitung durchgeführt wird.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Das Unternehmen hat einen berechtigten Grund für die Datenverarbeitung, abgewogen gegen die Rechte des Anrufers. Dies kann bei Echtzeitverarbeitung gelten, bei der keine Aufnahmen gespeichert werden.
- Vertragsdurchführung (Art. 6 Abs. 1 lit. b): Die Sprachinteraktion ist zur Erfüllung einer vom Anrufer angeforderten Dienstleistung erforderlich.
Welche Grundlage Sie auch wählen, Sie müssen sie in Ihrem Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentieren und bereit sein, sie gegenüber Aufsichtsbehörden nachzuweisen.
Einwilligung und Transparenz
Artikel 13 der DSGVO verlangt, dass Sie Anrufer zum Zeitpunkt der Datenerhebung über die Verarbeitung informieren. Für ein Sprach-KI-System bedeutet das, dass der Agent zu Beginn jedes Anrufs klar offenlegen muss:
- Dass der Anrufer mit einem KI-System spricht, nicht mit einem Menschen.
- Welche Daten erhoben werden und warum.
- Ob das Gespräch aufgezeichnet wird.
- Wie der Anrufer seine Rechte ausüben kann (Auskunft, Löschung, Widerspruch).
Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein. Eine generische Nachricht wie “Dieses Gespräch kann zu Qualitätszwecken aufgezeichnet werden” erfüllt nicht den DSGVO-Standard, wenn KI-Verarbeitung beteiligt ist. Der Anrufer muss verstehen, dass eine KI seine Sprache verarbeitet, und muss eine echte Möglichkeit zum Widerspruch haben, beispielsweise durch Weiterleitung an einen menschlichen Agenten.
Datenspeicherung und Aufbewahrung
Wo Sprachdaten gespeichert werden, ist unter der DSGVO von enormer Bedeutung. Artikel 44 beschränkt die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), sofern keine angemessenen Schutzmaßnahmen bestehen. Nach dem Schrems-II-Urteil sind Übermittlungen in die Vereinigten Staaten rechtlich problematisch, selbst unter dem EU-US Data Privacy Framework, das viele Rechtsexperten als anfällig für zukünftige Anfechtungen betrachten.
Klären Sie deshalb für jede Verarbeitungsstufe, wo sie stattfindet und auf welcher Grundlage eine Übermittlung in ein Drittland gegebenenfalls erfolgt (Angemessenheitsbeschluss, Standardvertragsklauseln). Je weniger Stufen den EWR verlassen, desto geringer ist Ihr Prüfaufwand. Zu betrachten sind:
- Echtzeit-Verarbeitungsinfrastruktur (Speech-to-Text, NLP, Text-to-Speech)
- Ruhende Daten (Anrufprotokolle, CRM-Integrationen, Analysedatenbanken)
- Modelltrainingsdaten, falls der Anbieter Anrufdaten zur Verbesserung seiner Modelle nutzt
- Backup- und Disaster-Recovery-Systeme
Die Datenaufbewahrung muss dem Grundsatz der Speicherbegrenzung (Artikel 5 Abs. 1 lit. e) folgen. Sie sollten klare Aufbewahrungsfristen definieren und durchsetzen: wie lange Anrufaufnahmen gespeichert werden, wann Transkripte gelöscht werden und wie abgeleitete Analysedaten anonymisiert oder bereinigt werden.
Datenschutz-Folgenabschätzung
Gemäß Artikel 35 ist eine Datenschutz-Folgenabschätzung (DSFA) verpflichtend, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. KI-gesteuerte Sprachverarbeitung löst diese Anforderung fast immer aus, da sie Folgendes beinhaltet:
- Systematische und umfassende Bewertung persönlicher Aspekte (Profiling)
- Verarbeitung von Daten in großem Umfang
- Innovativer Einsatz neuer Technologien
Ihre DSFA sollte die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung bewerten, Risiken für die Rechte und Freiheiten der Anrufer einschätzen und die Maßnahmen dokumentieren, die Sie zur Minderung dieser Risiken ergreifen.
EU AI Act: Was sich für Sprach-KI ändert
Der EU AI Act, der im August 2024 in Kraft getreten ist und dessen Verpflichtungen schrittweise bis 2026 greifen, fügt Anforderungen hinzu, die über den Datenschutz hinausgehen. Das Gesetz klassifiziert KI-Systeme nach Risikoniveau und weist entsprechende Pflichten zu.
Transparenzpflichten
Artikel 50 des AI Act verlangt, dass jedes KI-System, das darauf ausgelegt ist, direkt mit natürlichen Personen zu interagieren, so gestaltet sein muss, dass die Person darüber informiert wird, dass sie mit einer KI interagiert. Dies verstärkt und erweitert die DSGVO-Transparenzanforderung. Für den Einsatz eines Sprach-KI-Agenten gemäß dem EU AI Act muss die Offenlegung klar, rechtzeitig und zugänglich sein, nicht in allgemeinen Geschäftsbedingungen versteckt.
Risikoeinstufung
Die meisten kundenorientierten KI-Sprachagenten fallen unter die Kategorie “begrenztes Risiko”, die hauptsächlich Transparenzpflichten auslöst. Wenn Ihr Sprachagent jedoch in Kontexten wie den folgenden eingesetzt wird:
- Beschäftigung (telefonische Bewerberauswahl)
- Zugang zu wesentlichen Dienstleistungen (Versicherungsansprüche, Bankwesen)
- Strafverfolgung oder Migration
kann er als “Hochrisiko” gemäß Anhang III eingestuft werden, was umfangreiche Anforderungen auslöst, darunter Konformitätsbewertungen, Qualitätsmanagementsysteme, Mechanismen zur menschlichen Aufsicht und Registrierung in der EU-Datenbank.
Pflichten für Anbieter und Betreiber
Der AI Act unterscheidet zwischen Anbietern (die KI-Systeme entwickeln oder auf den Markt bringen) und Betreibern (die sie nutzen). Als Betreiber sind Sie verantwortlich für:
- Die Nutzung des Systems gemäß den Anweisungen des Anbieters
- Die Sicherstellung menschlicher Aufsicht gemäß der Risikoeinstufung
- Die Überwachung des Systems auf Risiken während des Betriebs
- Die Meldung schwerwiegender Vorfälle an die Behörden
Das bedeutet, dass Ihre Wahl des Anbieters direkt Ihre Compliance-Last beeinflusst. Ein Anbieter, der klare Dokumentation, transparente Risikobewertungen und integrierte Compliance-Funktionen bietet, reduziert Ihr betriebliches und rechtliches Risiko erheblich.
Worauf Sie bei einem konformen Sprach-KI-Anbieter achten sollten
Datenresidenz
Die wichtigste technische Frage: Wo befinden sich die Daten physisch und wo werden sie verarbeitet? Lassen Sie sich den Hosting-Standort benennen und fragen Sie nicht nur nach der Speicherung, sondern nach allen Verarbeitungsphasen, einschließlich Spracherkennung, Sprachmodell und Sprachausgabe. Ein seriöser Anbieter legt offen, welche Unterauftragsverarbeiter beteiligt sind, wo sie verarbeiten und wie Übermittlungen außerhalb der EU abgesichert sind.
DSGVO-by-Design-Architektur
Artikel 25 der DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Suchen Sie Anbieter, die den Datenschutz von Grund auf in ihre Architektur eingebaut haben und ihn nicht als Konfigurationsoption nachgerüstet haben. Wichtige Indikatoren sind:
- Datenminimierung als Standard (nur das Nötige erheben)
- Automatische Durchsetzung von Aufbewahrungsfristen und Löschung
- Verschlüsselung bei Speicherung und Übertragung
- Rollenbasierte Zugriffskontrollen
- Audit-Logging für alle Datenzugriffe
Vertragliche Absicherungen
Gemäß Artikel 28 benötigen Sie einen Auftragsverarbeitungsvertrag (AVV) mit Ihrem Sprach-KI-Anbieter. Der AVV muss Art und Zweck der Verarbeitung, die betroffenen Datentypen und die Pflichten des Auftragsverarbeiters festlegen. Stellen Sie sicher, dass der Anbieter einen konformen AVV standardmäßig anbietet und keine Verhandlung für grundlegende DSGVO-Garantien erfordert.
Wie Hanc.AI diese Anforderungen umsetzt
Hanc.AI ist ein Produkt der Good Point GmbH mit Sitz in Wien, also eines Unternehmens in der EU, und für DSGVO und EU AI Act gebaut.
Hosting in Deutschland. Die Anwendungs- und Sprachinfrastruktur von Hanc.AI läuft in Deutschland, die Hauptdatenbank in Frankfurt. Einzelne ergänzende KI-Verarbeitungen können außerhalb der EU stattfinden; die Datenschutzerklärung nennt jeden Unterauftragsverarbeiter und wie Übermittlungen geregelt sind. Transkripte werden verschlüsselt gespeichert und mit dem Konto oder auf Anfrage gelöscht. Mehr dazu auf der Seite Sicherheit und DSGVO.
Offenlegung im Gespräch. Jede anrufende Person erfährt zu Beginn, dass sie mit einer KI spricht. Wie Sie diese Ansage rechtssicher gestalten, erklärt der Beitrag zur KI-Kennzeichnungspflicht.
No-Code mit Compliance-Leitplanken. Der No-Code-Builder ermöglicht es Teams, KI-Sprachagenten ohne Entwicklungsressourcen bereitzustellen, während die KI-Ansage zu Gesprächsbeginn fest eingebaut ist.
Zugängliche Preise. Die bezahlten Tarife beginnen bei 49 € pro Monat, und der gesamte Betrag wird zu Gesprächsguthaben. Das macht Sprach-KI auch für kleine und mittelständische Unternehmen erschwinglich.
Übergabe an Menschen. Ein Anruf kann jederzeit an eine Person in Ihrem Team weitergeleitet werden. Das ist zugleich der einfachste Weg, Anrufern eine echte Alternative zur KI anzubieten.
Praktische Compliance-Checkliste
Rechtliche Grundlage
- Rechtsgrundlage für die Verarbeitung von Sprachdaten identifizieren und dokumentieren
- Datenschutz-Folgenabschätzung (DSFA) durchführen
- Auftragsverarbeitungsvertrag (AVV) mit Ihrem Sprach-KI-Anbieter abschließen
- Datenschutzerklärung aktualisieren, um die KI-Sprachverarbeitung abzudecken
- Verzeichnis von Verarbeitungstätigkeiten (VVT) aktualisieren
Transparenz und Einwilligung
- Sprachagenten so konfigurieren, dass er zu Beginn jedes Anrufs seine KI-Natur offenlegt
- Anrufer darüber informieren, welche Daten erhoben werden, warum und wie lange sie gespeichert werden
- Einen klaren Mechanismus zum Widerspruch bereitstellen (z. B. Weiterleitung an einen menschlichen Agenten)
- Bei Aufzeichnung von Gesprächen ausdrückliche Einwilligung vor Beginn der Aufzeichnung einholen
Datenhandhabung
- Für jede Verarbeitungsstufe klären, wo sie stattfindet
- Liste der Unterauftragsverarbeiter prüfen und Übermittlungen außerhalb des EWR auf ihre Rechtsgrundlage prüfen
- Datenaufbewahrungsfristen definieren und durchsetzen
- Automatische Löschung nach Ablauf der Aufbewahrungsfristen implementieren
- Verschlüsselung bei Speicherung und Übertragung für alle Sprachdaten sicherstellen
EU AI Act
- Risikoeinstufung Ihres Sprach-KI-Anwendungsfalls bestimmen
- Bei Hochrisiko: Konformitätsbewertung einleiten und in der EU-Datenbank registrieren
- Mechanismen zur menschlichen Aufsicht dokumentieren
- Prozess zur Überwachung und Meldung schwerwiegender Vorfälle etablieren
Laufender Betrieb
- Regelmäßige Compliance-Audits planen (mindestens jährlich)
- Mitarbeiter zu KI-Sprachagenten-Betrieb und Betroffenenrechte-Anfragen schulen
- Prozess zur Bearbeitung von Auskunfts-, Löschungs- und Widerspruchsanfragen etablieren
- Regulatorische Hinweise Ihrer nationalen Datenschutzbehörde verfolgen
Fazit
Den Einsatz eines DSGVO-konformen KI-Sprachagenten in Europa zu gewährleisten, ist keine Kür, sondern Grundvoraussetzung. Die Kombination aus DSGVO, EU AI Act und sich entwickelnden Leitlinien der Aufsichtsbehörden bedeutet, dass Unternehmen ihre Technologieanbieter sorgfältig auswählen und Compliance von Anfang an in ihren Sprach-KI-Betrieb einbauen müssen.
Die Unternehmen, die dies richtig machen, werden nicht nur Bußgelder vermeiden. Sie werden das Vertrauen europäischer Kunden gewinnen, die zunehmend verlangen, dass ihre Daten verantwortungsvoll behandelt werden, von Systemen, die ihre Rechte by Design respektieren.
Bereit, einen KI-Sprachagenten datenschutzgerecht einzusetzen? Hanc.AI ist in Deutschland gehostet und für DSGVO und EU AI Act gebaut, die bezahlten Tarife beginnen bei 49 € pro Monat. Die deutsche Rechtslage im Detail finden Sie im Ratgeber KI-Telefonassistent und DSGVO.
