Woran Sie erkennen, ob ein KI-Telefonassistent wirklich DSGVO-konform ist, und welche Nachweise Sie vom Anbieter verlangen sollten. Mit Prüfliste und den echten Rechtsgrundlagen.
Ein KI-Telefonassistent ist nicht DSGVO-konform, nur weil der Anbieter es behauptet. Konformität entsteht aus vier Dingen zusammen: dem Vertrag (Auftragsverarbeitung nach Art. 28), dem Datenfluss (wo verarbeitet wird, durch wen), der Technik (Verschlüsselung, Löschung, Zugriff) und der Transparenz gegenüber Anrufern. Die folgenden neun Kriterien machen jeden Anbieter überprüfbar, bevor Sie unterschreiben.
Verlangen Sie einen schriftlichen AV-Vertrag. Der Anbieter verarbeitet nur auf Ihre Weisung, Sie bleiben Verantwortlicher.
Daran erkennen Sie einen seriösen Anbieter: Er benennt klar seine Rolle als Auftragsverarbeiter und liefert den AV-Vertrag von sich aus mit.
Für Serviceanrufe meist Vertragsanbahnung (lit. b) oder berechtigtes Interesse (lit. f). Zweck muss benannt und begrenzt sein.
Daran erkennen Sie einen seriösen Anbieter: Zweck und Rechtsgrundlage sind schriftlich benannt und auf die Anrufbearbeitung begrenzt.
Anrufer müssen erkennen, dass eine KI spricht. Die Kennzeichnungspflicht gilt seit dem 2. August 2026.
Daran erkennen Sie einen seriösen Anbieter: Eine Ansage zu Gesprächsbeginn weist Anrufer klar darauf hin, dass eine KI spricht.
Eine Aufzeichnung ohne Befugnis ist strafbar. Ein bloßer Hinweis reicht dafür nicht aus: Anrufer müssen der Aufzeichnung zustimmen oder sie ablehnen können, und das Gespräch muss auch ohne Aufzeichnung möglich sein.
Daran erkennen Sie einen seriösen Anbieter: Wird aufgezeichnet, werden Anrufer zu Beginn gefragt, können ablehnen und das Gespräch läuft dann ohne Aufzeichnung weiter.
Audio, Transkript und Zusammenfassung brauchen feste, dokumentierte Löschfristen und automatische Löschung.
Daran erkennen Sie einen seriösen Anbieter: Feste Fristen sind dokumentiert, die Löschung läuft automatisch, auch aus Sicherungskopien.
Vollständige Liste aller Unterauftragnehmer mit Sitzland verlangen. Bei Drittland: Standardvertragsklauseln (SCC). Für Kanzleien und Steuerberatung zusätzlich § 203 StGB / § 43e BRAO beachten.
Daran erkennen Sie einen seriösen Anbieter: Eine vollständige Liste aller Unterauftragnehmer mit Sitzland liegt offen vor.
Lassen Sie sich schriftlich zusichern, dass Transkripte, Audios und Prompts nicht zum Training von KI-Modellen genutzt werden.
Daran erkennen Sie einen seriösen Anbieter: Der Trainingsausschluss steht schriftlich im Vertrag, nicht nur im Marketing.
Verschlüsselung, Mandantentrennung, Zugriffskontrolle. Fragen Sie, worauf sich ein Zertifikat genau bezieht, auf die Infrastruktur oder den ganzen Dienst.
Daran erkennen Sie einen seriösen Anbieter: Er sagt klar, worauf sich ein Zertifikat bezieht, und legt seine technischen Schutzmaßnahmen offen.
Eskalation an eine Person muss möglich sein. Auskunft, Löschung und Berichtigung nach DSGVO brauchen einen definierten Prozess.
Daran erkennen Sie einen seriösen Anbieter: Eine Weiterleitung an einen Menschen ist möglich, für Auskunft und Löschung gibt es einen klaren Prozess.
Die Kriterien oben gelten für jeden Anbieter. Hier steht nachprüfbar, wie VoiceMind sie umsetzt, mit offengelegten Subprozessoren, festen Löschfristen und den Verträgen, die Sie dafür brauchen.
Beim Einsatz von VoiceMind bleiben Sie der Verantwortliche im Sinne der DSGVO, VoiceMind ist Ihr Auftragsverarbeiter nach Art. 28 und verarbeitet ausschließlich auf Ihre Weisung. Der Auftragsverarbeitungsvertrag ist Vertragsbestandteil und wird im Onboarding als Dokument bereitgestellt. Als externer Datenschutzbeauftragter der MAWI Software Solutions ist Jan Henrik Schneider (pro data consulting GmbH) benannt.
Hier finden Sie die wichtigsten Dienstleister, die am Betrieb unserer Voice-KI beteiligt sind, einschließlich ihrer jeweiligen Funktion und der Orte, an denen Daten verarbeitet werden. Mit jedem dieser Dienstleister besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
| Anbieter | Funktion | Verarbeitungsort |
|---|---|---|
| AWS | Infrastruktur & Hosting | Frankfurt, Deutschland |
| OpenAI via Microsoft Azure | Sprachmodell (LLM) | Schweden, EU |
| ElevenLabs | Sprachausgabe (Text-to-Speech) | Belgien, EU |
| Gladia | Spracherkennung (Speech-to-Text) | Frankreich, EU |
| Twilio | Telefonie | Irland, EU |
Wird eine Aufzeichnung erstellt, wird sie nach 30 Tagen automatisch gelöscht. Dieselbe Frist gilt für Transkripte und Gesprächszusammenfassungen.
Ihre Gesprächsdaten werden ausschließlich zur Leistungserbringung verarbeitet, nie zum Training oder zur Verbesserung von KI-Modellen.
Übertragung und Speicherung sind verschlüsselt, Ihre Daten sind strikt von denen anderer Kunden getrennt, Zugriff nur nach Need-to-know.
Am Vertragsende erhalten Sie Ihre Daten als CSV oder JSON binnen 30 Tagen, danach folgt die Löschung mit Nachweis.
VoiceMind sichert Ihnen eine SLA-Verfügbarkeit von 99,5 Prozent im Monatsdurchschnitt vertraglich zu, mit Gutschrift, falls dieser Wert unterschritten wird. Der real gemessene Wert liegt höher: die öffentliche Statusseite unter voicemind.de/status weist die Uptime der Systemkomponenten über 90 Tage aus (zuletzt 99,98 Prozent). Beide Werte stehen hier bewusst getrennt: 99,5 Prozent ist die vertragliche Zusage, 99,98 Prozent der gemessene Ist-Wert.
Nein. Entscheidend ist nicht der Firmensitz, sondern welche Subprozessoren die Sprach- und KI-Verarbeitung übernehmen, wo deren Server stehen und ob ein AV-Vertrag nach Art. 28 vorliegt. Fragen Sie nach der Subprozessoren-Liste und dem Verarbeitungsort, nicht nur nach dem Sitzland.
Ja. Seit dem 2. August 2026 gilt die Transparenzpflicht nach Art. 50 der KI-Verordnung. Anrufer müssen erkennen können, dass sie mit einer KI sprechen. Eine kurze Ansage zu Gesprächsbeginn erfüllt diese Pflicht. Eine etwaige Gesprächsaufzeichnung ist davon getrennt zu behandeln und braucht die Zustimmung des Anrufers, ein Hinweis allein genügt dafür nicht.
Ja. Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein AV-Vertrag nach Art. 28 DSGVO Pflicht. Bei VoiceMind ist er Vertragsbestandteil und wird im Onboarding als Dokument bereitgestellt.
Bei VoiceMind nicht. Ihre Gesprächsdaten werden ausschließlich zur Leistungserbringung verarbeitet und nicht zum Training oder zur Verbesserung von KI-Modellen verwendet. Diese Zusage steht schriftlich im Vertrag.
Wird aufgezeichnet, werden Aufzeichnungen, Transkripte und Zusammenfassungen nach 30 Tagen automatisch gelöscht. Am Vertragsende erhalten Sie Ihre Daten auf Wunsch als CSV oder JSON binnen 30 Tagen, danach werden sie mit Nachweis gelöscht.
Für Berufe mit gesetzlicher Verschwiegenheitspflicht (§ 203 StGB, § 43e BRAO) gelten zusätzliche Anforderungen. Die technische Grundlage, deutsches und EU-Hosting, AV-Vertrag nach Art. 28 und offengelegte Subprozessoren, ist gegeben. Ob der Einsatz in Ihrem konkreten Fall mit Ihrer Berufsordnung vereinbar ist, klären Sie im Zweifel mit Ihrer Kammer.
Die Infrastruktur läuft in Frankfurt (AWS), das Sprachmodell über Microsoft Azure in Schweden, die Spracherkennung über Gladia in Frankreich, die Sprachausgabe über ElevenLabs in Belgien, die Telefonie über Twilio in Irland. Die gesamte Verarbeitung erfolgt innerhalb Europas, jeder Subprozessor ist über einen AV-Vertrag nach Art. 28 abgesichert.