Ja. Placetel AI erfüllt die Anforderungen der DSGVO sowie des kommenden EU AI Acts. Unsere KI wird ausschließlich in sicheren, europäischen Rechenzentren betrieben. Alle Gesprächsdaten werden vertraulich verarbeitet und nicht für externe Trainingszwecke genutzt.



Wir legen besonderen Wert auf Transparenz: Sie behalten jederzeit die Kontrolle über Inhalte, Tonalität und gespeicherte Daten.

KI-Telefonassistenten verarbeiten per Definition Gesprächsinhalte, Stimmdaten und häufig personenbezogene Kundeninformationen in Echtzeit. Dies berührt gleich mehrere Ebenen des Datenschutzrechts gleichzeitig:

• die DSGVO als allgemeinen Rahmen
• das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) für den Bereich der Kommunikationsdienstleistungen sowie
• den seit Anfang 2025 stufenweise anwendbaren EU AI Act (KI-VO)

Hinzu kommt, dass Anrufer in vielen Fällen nicht wissen, dass sie mit einer KI sprechen – und damit das Transparenzgebot nach Art. 5 Abs. 1 lit. a) DSGVO sowie die Informationspflichten nach Art. 13 DSGVO im Mittelpunkt der Diskussion stehen. Datenschutzbehörden haben KI-gestützte Kommunikationstools bereits in den Fokus ihrer
Prüftätigkeit genommen, weshalb ein rechtssicherer Einsatz zwingend erforderlich ist.

Ja, der Einsatz ist grundsätzlich möglich – erfordert aber eine klare Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO für jede Verarbeitungsphase. In der Praxis kommen vor allem folgende Grundlagen in Betracht:

Erstens die Vertragserfüllung nach Art. 6 Abs. 1 lit. b) DSGVO, wenn die KI im Rahmen eines bestehenden Kundenvertragsverhältnisses eingesetzt wird und die Verarbeitung für die Erbringung der vertraglich geschuldeten Leistung erforderlich ist.

Zweitens das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO, sofern nach einer Interessenabwägung die Interessen des Unternehmens (z.B. effiziente Erreichbarkeit) die schutzwürdigen Interessen der Anrufer nicht überwiegen. Das setzt eine konkrete, dokumentierte Interessenabwägung voraus.

Drittens die Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO, insbesondere wenn besondere Datenkategorien nach Art. 9 DSGVO verarbeitet werden könnten (z.B. Gesundheitsdaten aus dem Gesprächsinhalt). In diesen Fällen ist eine ausdrückliche Einwilligung erforderlich. Zusätzlich sind stets alle Datenschutzgrundsätze des Art. 5 DSGVO einzuhalten: Zweckbindung, Datenminimierung, Speicherbegrenzung und Transparenz.

Datenschutzrechtlich verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist das Unternehmen, das die KI-Telefonlösung einsetzt und damit die Zwecke und Mittel der Verarbeitung bestimmt. Der KI-Anbieter – in diesem Fall Placetel – ist in der Regel Auftragsverarbeiter nach Art. 28 DSGVO, sofern er die Daten ausschließlich auf Weisung des verantwortlichen Unternehmens verarbeitet und keine eigenen Zwecke verfolgt.

Diese Konstellation ist von einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO zu unterscheiden: Letztere liegt nur dann vor, wenn beide Parteien gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. Das erfordert ein tatsächliches Ineinandergreifen der Entscheidungen beider Seiten. Wenn der KI-Anbieter hingegen die Verarbeitungsmittel eigenmächtig über die Weisung des Verantwortlichen hinaus bestimmt, kann er selbst zum Verantwortlichen werden. Praktisch bedeutet das: Das einsetzende Unternehmen bleibt gegenüber den Anrufern der datenschutzrechtliche Ansprechpartner und
Haftungsträger.

Der EU AI Act (KI-VO, Verordnung (EU) 2024/1689) gilt seit August 2024 schrittweise, mit voller Anwendbarkeit ab August 2026. KI-Telefonassistenten sind nach dem aktuellen Stand in der Regel als KISysteme mit begrenztem Risiko einzustufen. Für sie gelten primär Transparenzpflichten: Anwender müssen sicherstellen, dass natürliche Personen wissen, dass sie mit einem KI-System interagieren, sofern dies nicht ohnehin offensichtlich ist (Art. 50 KI-VO).

Wenn ein KI-Telefonassistent jedoch zur automatisierten Entscheidungsfindung mit erheblichen Auswirkungen eingesetzt wird – etwa zur Kreditwürdigkeitsprüfung oder Risikoklassifizierung im Kundenkontakt – kann eine Einstufung als Hochrisiko-KI nach Anhang III KI-VO in Betracht kommen. In diesem Fall greifen umfangreiche Pflichten, u.a. zur technischen Dokumentation, Konformitätsbewertung und menschlichen Aufsicht. Die KI-VO verdrängt die DSGVO ausdrücklich nicht; beide Regelwerke gelten parallel.

Diese Frage ist für die DSGVO-Konformität zentral, da eine Verarbeitung außerhalb der EU/des EWR ein Drittlandtransfer nach Art. 44 ff. DSGVO darstellt und besondere Absicherungen – z.B. Standardvertragsklauseln (SCC) oder einen Angemessenheitsbeschluss der Kommission – erfordert. Unternehmen müssen sich beim KI-Anbieter konkret erkundigen, in welchen Rechenzentren Sprachund Transkriptionsdaten verarbeitet werden und wer (z.B. Subunternehmer, Modellbetreiber) Zugriff auf diese Daten hat. Placetel positioniert sich ausdrücklich als „Datenschutz Made in Germany“, was auf eine EU-seitige Datenverarbeitung hindeutet. Dies muss jedoch vertraglich abgesichert und im Auftragsverarbeitungsvertrag (AVV) konkret dokumentiert sein.

Die Nutzung von Gesprächsdaten zum Training von KI-Modellen stellt eine Zweckänderung gegenüber der ursprünglichen Erhebung (Bearbeitung des Anrufs) dar und bedarf einer eigenständigen Rechtsgrundlage. Als Rechtsgrundlage für das KI-Training mit personenbezogenen Daten kommt nach der aktuellen deutschen Rechtsprechung und der herrschenden Meinung primär Art. 6 Abs. 1 lit. f) DSGVO (berechtigtes Interesse) in Betracht . Dies setzt jedoch eine klare Dokumentation des Interesses,
seine Erforderlichkeit und eine Interessenabwägung voraus.

Soweit Gesprächsinhalte besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten können (z.B. Gesundheitsinformationen, die ein Anrufer beiläufig erwähnt), ist das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO zu beachten, für das eine ausdrückliche Ausnahme vorliegen muss. In der Praxis sollte der AVV mit dem KI-Anbieter ausdrücklich regeln, ob und unter welchen Bedingungen Kundendaten für Modellverbesserungen genutzt werden dürfen. Eine pauschale Nutzung ohne vertragliche Grundlage ist nicht zulässig.

Beide Formen sind datenschutzrechtlich relevant, weisen aber unterschiedliche rechtliche
Ausgangspunkte auf.

Die Gesprächsaufzeichnung erfasst die Stimme als biometrisch-identifizierbares Merkmal auf einem Tonträger. Sie unterliegt neben der DSGVO auch dem strafrechtlichen Schutz des § 201 StGB (Verletzung der Vertraulichkeit des Wortes): Die unbefugte Aufnahme des nicht öffentlich gesprochenen Wortes eines anderen ist strafbar. Das Bundesverfassungsgericht hat zudem das Recht am gesprochenen Wort als Ausprägung des allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG anerkannt. Gesprächsaufzeichnungen sind daher nur mit ausdrücklicher Einwilligung beider Gesprächsparteien oder auf Basis einer klaren gesetzlichen Grundlage zulässig.

Die Transkription wandelt den Gesprächsinhalt in Text um. Sie ist ebenfalls eine Datenverarbeitung im
Sinne von Art. 4 Nr. 2 DSGVO und bedarf einer Rechtsgrundlage nach Art. 6 DSGVO. Der Eingriff in das
Persönlichkeitsrecht ist bei reiner Texttranskription in der Regel geringer als bei der Speicherung der
Originalstimme, jedoch nicht ohne Weiteres zulässig. Unternehmen müssen insbesondere die
Speicherdauer und den Zugriffskreis begrenzen (Datenminimierung und Speicherbegrenzung nach Art.
5 Abs. 1 lit. c) und e) DSGVO).

Ja – und zwar aus mehreren rechtlichen Grundlagen heraus. Nach Art. 13 DSGVO sind Betroffene bei der Erhebung ihrer Daten über den Verantwortlichen, den Verarbeitungszweck und die Rechtsgrundlage zu informieren. Diese Informationspflicht gilt auch im Telefongespräch, muss allerdings in geeigneter Form und zum richtigen Zeitpunkt erfüllt werden (z.B. durch eine Ansage zu Beginn des Anrufs).

Zusätzlich verpflichtet Art. 50 KI-VO Anbieter und Nutzer von KI-Systemen sicherzustellen, dass Personen, die mit einem KI-Sprachassistenten interagieren, darüber in Kenntnis gesetzt werden, es sei denn, die Verwendung einer KI ist offensichtlich. Schließlich schützt das Recht am gesprochenen Wort nach der Rechtsprechung des BVerfG die Selbstbestimmung darüber, wem der Gesprächsinhalt zugänglich ist – was eine transparente Kommunikation über den KI-Einsatz erfordert. Eine klar formulierte Ansage zu Beginn des Anrufs ist daher sowohl aus DSGVO- als auch aus KI-VO-Sicht zwingend.

Der AVV nach Art. 28 DSGVO ist eine zentrale Pflichtvoraussetzung, keine bloße Formalität. Er muss die in Art. 28 Abs. 3 DSGVO vorgesehenen Mindestinhalte enthalten, insbesondere: den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.

Für KI-Telefonassistenten sind darüber hinaus folgende Regelungen besonders wichtig: erstens, ob und unter welchen Bedingungen Gesprächsdaten für das Training von KI-Modellen genutzt werden dürfen; zweitens, welche Subunternehmer (z.B. Spracherkennungsanbieter, Cloud-Provider) eingesetzt werden und ob deren Einbeziehung genehmigungspflichtig ist; drittens, wo die Daten verarbeitet werden und ob Drittlandtransfers stattfinden; und viertens, welche technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO implementiert sind. Wählt ein Auftragsverarbeiter eigenmächtig Zwecke oder Mittel der Verarbeitung aus, wird er selbst zum datenschutzrechtlich Verantwortlichen. Eine ordnungsgemäße Überwachung des AVV durch das Unternehmen ist eine Dauerpflicht.

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (TOMs) umsetzen, die dem Risiko der Verarbeitung angemessen sind. Bei KI-Telefonassistenten sind folgende Aspekte besonders zu prüfen:

• Verschlüsselung von Sprachdaten während der Übertragung und Speicherung (Transport Layer Security
• Ende-zu-EndeVerschlüsselung)
• Zugangs- und Zugriffskontrollen (Need-to-Know-Prinzip )
• Datenlöschkonzepte (insbesondere wann und wie Sprach- und Transkriptionsdaten gelöscht werden)
  Zertifizierungen wie ISO 27001 oder BSI C5 als Nachweis eines zertifizierten Informationssicherheitsmanagements
• sowie Incident-Response-Prozesse für den Fall von Datenschutzverletzungen

Bei besonders sensitiven Einsatzszenarien – etwa im Gesundheitswesen oder in der Finanzbranche – sind erhöhte Anforderungen nach Art. 32 Abs. 1 lit. b) DSGVO geboten. Unternehmen sollten sich diese Maßnahmen vertraglich zusichern lassen und regelmäßige Überprüfungen vornehmen.

Auf Basis der rechtlichen Analyse lassen sich drei Kernfragen benennen, die vor dem Einsatz zwingend
zu klären sind:

Erstens die Rechtsgrundlage und Verarbeitungszwecke: Für welche konkreten Verarbeitungsschritte (Transkription, Analyse, Speicherung, ggf. Training) existiert eine Rechtsgrundlage nach Art. 6 DSGVO? Werden besondere Datenkategorien nach Art. 9 DSGVO berührt, die eine Einwilligung oder einen gesetzlichen Ausnahmetatbestand erfordern? Ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich – z.B. weil systematisch Sprachdaten großer Personenzahlen verarbeitet werden?

Zweitens die vertragliche Absicherung: Liegt ein vollständiger AVV nach Art. 28 DSGVO mit dem KI-Anbieter vor? Sind Subunternehmer, Datenspeicherort und Trainingsdatennutzung geregelt? Sind ggf. Standardvertragsklauseln für Drittlandtransfers notwendig?

Drittens die Transparenz gegenüber Anrufern: Wird eine klare Ansage zu Beginn des Anrufs ausgespielt, die über den KI-Einsatz, den Verarbeitungszweck, eine etwaige Aufzeichnung und die Widerspruchsmöglichkeit informiert? Diese dreifache Prüfung deckt die wesentlichen DSGVO-Anforderungen sowie die Anforderungen des EU AI Acts ab und bildet die Grundlage für einen rechtssicheren Betrieb.