DSGVO-konformer Telefonassistent: Was Sie prüfen müssen

Zuerst den konkreten Einsatz beschreiben

Datenschutzfragen lassen sich nicht allein anhand der Software beantworten. Beschreiben Sie, welche Anrufe automatisiert entgegengenommen werden, welchen Zweck die Verarbeitung erfüllt und welche Informationen dabei anfallen. Geht es um eine Rückrufbitte, eine Terminvereinbarung, eine allgemeine Auskunft oder eine Weiterleitung? Werden Namen, Telefonnummern, Gesprächsinhalte oder besondere Kategorien personenbezogener Daten verarbeitet? Unterschiedliche Zwecke können unterschiedliche Anforderungen auslösen.

Ermitteln Sie, wer über Zweck und wesentliche Mittel entscheidet und welche Dienstleister Daten in Ihrem Auftrag verarbeiten. In vielen Konstellationen kann eine Auftragsverarbeitung vorliegen; die konkrete Rollenverteilung muss aber anhand des tatsächlichen Modells geklärt werden. Holen Sie bei Zweifeln fachkundige Datenschutzberatung ein. Ein Anbieter kann Unterlagen und technische Angaben liefern, nimmt Ihnen jedoch nicht automatisch Ihre Verantwortung als Unternehmen ab.

Rechtsgrundlage, Transparenz und Aufzeichnungen

Ordnen Sie jede Verarbeitung einem klaren Zweck und einer passenden Rechtsgrundlage nach der DSGVO zu. Eine Einwilligung ist nicht in jedem Fall die einzige mögliche Grundlage; ebenso wenig darf man sie ohne Prüfung voraussetzen. Geben Sie Anrufenden verständliche Informationen darüber, wer verantwortlich ist, warum Daten verarbeitet werden, wie lange sie aufbewahrt werden und welche Rechte bestehen. Prüfen Sie, wann und in welcher Form diese Hinweise im Gespräch oder über ergänzende Kanäle bereitgestellt werden.

Gesprächsaufzeichnung ist von der bloßen Verarbeitung zur Transkription oder Zusammenfassung zu unterscheiden. Fragen Sie genau, ob Audio gespeichert wird, ob Sprache in Text umgewandelt wird und ob Protokolle entstehen. Eine Aufzeichnung ist nicht automatisch erforderlich, nur weil ein Sprachassistent im Einsatz ist. Wenn sie vorgesehen ist, prüfen Sie Erforderlichkeit, Rechtsgrundlage, Information, Zugriff und kurze, begründete Aufbewahrungsfristen gesondert. Vermeiden Sie pauschale Ansagen, die eine nicht stattfindende Speicherung suggerieren oder eine unnötige Datenerhebung auslösen.

Anbieter, Auftragsverarbeitung und Unterauftragnehmer

Fordern Sie einen Vertrag zur Auftragsverarbeitung an, sofern die Rollenverteilung dies erfordert. Er sollte Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personengruppen sowie Rechte und Pflichten beschreiben. Prüfen Sie, ob Sicherheitsmaßnahmen konkret erläutert sind, wie Unterstützung bei Betroffenenanfragen und Datenschutzvorfällen organisiert wird und welche Regeln am Vertragsende für Rückgabe oder Löschung gelten.

Fragen Sie nach einer aktuellen Liste der Unterauftragnehmer und deren Aufgaben. Dazu können beispielsweise Telefonie-, Hosting-, Transkriptions- oder Modellanbieter gehören. Klären Sie, in welchen Ländern Daten verarbeitet und von wo aus auf sie zugegriffen werden kann. Ein beworbener Standort in Deutschland oder der EU ist nützlich zu prüfen, beantwortet aber nicht von selbst alle Fragen zu Supportzugriffen, Backups und internationalen Datentransfers. Lassen Sie sich dafür nachvollziehbare, aktuelle Angaben geben.

Behauptungen zu Zertifizierungen sollten Sie anhand des konkreten Zertifikats, des Geltungsbereichs, der Organisation und der Laufzeit verifizieren. Eine Zertifizierung eines Rechenzentrums ist nicht automatisch eine Zertifizierung des gesamten Dienstes oder Ihres konkreten Prozesses. Dasselbe gilt für Aussagen wie „100 Prozent sicher“ oder „vollständig DSGVO-konform“: Sicherheit ist risikobasiert, und die rechtliche Bewertung hängt vom Einsatz ab.

Datenminimierung, Zugriff und Löschung

Legen Sie fest, welche Angaben für den nächsten Arbeitsschritt wirklich nötig sind. Eine Terminnotiz benötigt nicht zwangsläufig das vollständige Transkript eines Gesprächs. Definieren Sie getrennte Fristen für Audio, Transkript, Zusammenfassung und Kontaktdaten; begründen Sie jede längere Speicherung. Fragen Sie, ob Löschungen auch Sicherungskopien und angebundene Systeme erfassen und innerhalb welcher Frist sie wirksam werden.

Prüfen Sie rollenbasierte Zugriffe, Authentifizierung und Protokollierung administrativer Änderungen. Nutzen Sie möglichst eng begrenzte Berechtigungen für die Verbindung zu Kalendern oder CRM-Systemen. Mitarbeitende sollten wissen, welche Informationen sie in Notizen aufnehmen dürfen und wie sie mit sensiblen Anliegen umgehen. Ein dokumentierter manueller Eskalationsweg ist wichtig, wenn eine automatische Antwort unklar oder unpassend wäre.

Risiken bewerten und vor dem Start testen

Bewerten Sie Eintrittswahrscheinlichkeit und mögliche Folgen von Fehlzuordnung, unbefugtem Zugriff, Gesprächsabbruch und falscher Weiterleitung. Abhängig von Art, Umfang, Umständen und Zwecken der Verarbeitung kann eine Datenschutz-Folgenabschätzung erforderlich sein. Klären Sie das frühzeitig mit Ihrer oder Ihrem Datenschutzbeauftragten. Testen Sie mit nicht echten oder angemessen anonymisierten Daten, bevor Sie reale Gespräche in einen neuen Prozess einbeziehen.

Ein praktischer Prüfplan enthält Zuständigkeiten, freigegebene Gesprächsinhalte, Testfälle, Eskalationsnummern und ein Verfahren für Störungen. Kontrollieren Sie, ob die Assistenz bei unverständlicher Sprache nachfragt oder an Menschen übergibt, statt Informationen zu erfinden. Legen Sie außerdem fest, wie Beschwerden, Auskunftsanfragen und Löschersuchen an die zuständige Stelle gelangen. Wiederholen Sie die Prüfung nach wesentlichen Änderungen am Anbieter, Datenfluss oder Einsatzbereich.

Prüfliste für die Beschaffung

• Welche Audio-, Text- und Kontaktdaten entstehen, und welche davon sind erforderlich?
• Wo werden Daten verarbeitet, gespeichert und gesichert? Welche Unterauftragnehmer erhalten Zugriff?
• Welche Rechtsgrundlage gilt für jeden Zweck, und wie werden Anrufende verständlich informiert?
• Wie sind Löschfristen, Zugriffsrollen, Verschlüsselung und Vorfallmeldungen dokumentiert?
• Gibt es Drittlandübermittlungen, und welche rechtlichen und technischen Prüfungen sind dafür vorgesehen?
• Wie funktionieren Betroffenenrechte, Supportzugriff und Datenrückgabe nach Vertragsende?

Dokumentieren Sie Antworten und offene Punkte, bevor Sie den Dienst produktiv nutzen. Verlassen Sie sich nicht allein auf ein Werbeversprechen, einen allgemeinen Mustervertrag oder eine mündliche Zusicherung. Wenn für einen wesentlichen Datenfluss keine belastbare Auskunft vorliegt, behandeln Sie dies als offene Voraussetzung und entscheiden Sie erst nach Klärung. Datenschutz bleibt eine laufende Aufgabe: Verantwortlichkeiten, Hinweise und Konfiguration müssen zum tatsächlichen Betrieb passen.

Weiterführende Informationen

Erfahren Sie mehr über Funktionen und Einsatzgrenzen und prüfen Sie den Rahmen auf der Seite Preise. Ergänzend: CRM-Integration und Datenübergaben, Was ein Telefonassistent ist sowie Hinweise für kleine Unternehmen.