KI am Telefon ist erlaubt – wenn Sie diese Pflichten kennen

Warum das Thema jetzt auf Ihren Tisch gehört

KI ist im Mittelstand angekommen. 36 Prozent der deutschen Unternehmen ab 20 Beschäftigten nutzten 2025 Künstliche Intelligenz – fast doppelt so viele wie im Vorjahr mit 20 Prozent (Bitkom, 2025). Telefonassistenten gehören zu den häufigsten Einstiegsanwendungen, denn sie lösen ein konkretes Problem: verpasste Anrufe.

Gleichzeitig läuft eine Frist. Am 2. August 2026 werden die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung wirksam (Verordnung 2024/1689, Art. 113). Vorab die Entwarnung: Alles, was ein seriöser KI-Telefonassistent tut, lässt sich rechtssicher gestalten. Sie müssen nur wissen, welche vier Regelwerke gleichzeitig greifen – KI-Verordnung, DSGVO, Strafgesetzbuch und Wettbewerbsrecht.

Die KI muss sich zu erkennen geben

Artikel 50 der KI-Verordnung verpflichtet Sie ab dem 2. August 2026, Anrufer klar und verständlich darüber zu informieren, dass sie mit einem KI-System sprechen (Verordnung 2024/1689). Die Pflicht trifft Sie als Betreiber – nicht nur den Software-Anbieter. Die EU-Kommission hat am 20. Juli 2026 Leitlinien zu Art. 50 veröffentlicht; danach soll die Information bei Sprachsystemen zu Beginn des Gesprächs erfolgen (Europäische Kommission, 2026). Bereits am 10. Juni 2026 erschien der Code of Practice zur Kennzeichnung KI-generierter Inhalte, der die Pflichten weiter konkretisiert (Europäische Kommission, 2026).

In der Praxis genügt eine ehrliche Begrüßung: „Guten Tag, hier spricht der digitale Assistent von Malerbetrieb Schmidt. Ich bin ein KI-System und nehme Ihr Anliegen auf.“ Eine Ausnahme gilt nur, wenn der KI-Einsatz für einen durchschnittlich informierten Menschen ohnehin offensichtlich ist – darauf sollten Sie sich nicht verlassen.

Die Bußgelder haben Gewicht: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 4 KI-VO). Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag (Art. 99 Abs. 6 KI-VO). Die Ansage kostet Sie einen Satz – das Risiko ohne sie steht in keinem Verhältnis dazu.

Die DSGVO verlangt Rechtsgrundlage, Information und Verträge

Stimme und Gesprächsinhalt sind personenbezogene Daten. Damit gilt die DSGVO für jedes KI-Telefonat, auch ohne Aufzeichnung. Statt eines Volltext-Jurastudiums brauchen Sie eine Aufgabenliste:

• Rechtsgrundlage je Zweck festlegen: Terminvereinbarung und Anliegenaufnahme stützen sich meist auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder Anbahnung); alles darüber hinaus braucht in der Regel eine Einwilligung.
• Informationspflichten erfüllen (Art. 13 DSGVO): Kurzhinweis in der Ansage plus vollständige Datenschutzhinweise auf der Website.
• Auftragsverarbeitungsvertrag mit dem KI-Anbieter schließen (Art. 28 DSGVO) – ohne ihn dürfen Sie nicht starten.
• Vertraglich ausschließen, dass der Anbieter Ihre Gesprächsdaten für das Training seiner Modelle nutzt; Serverstandort und mögliche Drittlandtransfers klären.
• Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO) – bei Neueinführung eines Sprachsystems häufig ja.

Bei Aufzeichnung und Mitschrift wird es strafrechtlich

Hier liegt der schärfste Stolperdraht. Das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes ist eine Straftat und kann mit Freiheitsstrafe bis zu drei Jahren geahndet werden (§ 201 StGB). Das gilt unabhängig vom Zweck – auch wer nur für Qualitätsanalyse oder Dokumentation mitschneidet, braucht die Einwilligung aller Gesprächsteilnehmer.

Diese Einwilligung muss aktiv erteilt werden: Der Anrufer hört die Ansage und bestätigt bewusst, etwa per Stimme oder Tastendruck. Bloßes Weitersprechen nach einem Bandhinweis genügt nach herrschender Lesart nicht. Der Widerruf muss jederzeit möglich sein, auch mitten im Gespräch.

Unterscheiden Sie drei Stufen: reine Gesprächsführung ohne Speicherung der Tonspur, Live-Transkription in Text und dauerhafte Audioaufzeichnung. Je weniger Sie speichern, desto einfacher wird die Rechtslage. Ehrlich gesagt: Für die meisten Mittelständler lohnt sich die Audioaufzeichnung nicht – ein strukturiertes Gesprächsprotokoll erfüllt denselben Zweck, ohne § 201 StGB zu berühren. Legen Sie in jedem Fall ein Lösch- und Speicherkonzept fest.

In Praxen und Kanzleien setzt die Schweigepflicht den Rahmen

Für Ärzte, Anwälte und Steuerberater gilt zusätzlich § 203 StGB. Geschützt ist schon die Information, dass jemand Patient oder Mandant ist – und die fällt bei jedem Anruf an. Die gute Nachricht: Seit der Reform von 2017 dürfen Berufsgeheimnisträger externe Dienstleister als „mitwirkende Personen“ einbinden, soweit deren Tätigkeit das erfordert (§ 203 Abs. 3 StGB).

Daran sind drei Bedingungen geknüpft: Sie wählen den Anbieter sorgfältig aus, verpflichten ihn in Textform zur Verschwiegenheit und beschränken den Datenzugriff auf das Erforderliche. Für Anwälte konkretisiert § 43e BRAO diese Anforderungen; bei ausländischen Anbietern muss ein mit Deutschland vergleichbares Schutzniveau sichergestellt sein (§ 43e BRAO; BRAK-Hinweise, 2024). Praxen verarbeiten Gesundheitsdaten und unterliegen damit Art. 9 DSGVO – eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist hier praktisch immer nötig.

Die bewährte Praxisregel: Die KI organisiert Termine, Rezeptanfragen und Rückrufbitten. Befunde, Diagnosen und Mandatsinhalte gehören nicht in den Bot – nicht weil es pauschal verboten wäre, sondern weil der rechtliche Aufwand den Nutzen dort selten rechtfertigt.

Ausgehende KI-Anrufe haben enge Grenzen

Bei ausgehenden Anrufen dreht sich das Bild. Werbeanrufe bei Verbrauchern ohne deren vorherige ausdrückliche Einwilligung sind unzulässig (§ 7 Abs. 2 UWG) – für KI-Stimmen genauso wie für Menschen. Die Bundesnetzagentur kann Verstöße mit Bußgeldern bis zu 300.000 Euro ahnden (§ 20 UWG; Bundesnetzagentur, 2026). Die Einwilligung müssen Sie zudem dokumentieren und aufbewahren; Verstöße gegen diese Pflicht kosten bis zu 50.000 Euro (§§ 7a, 20 UWG).

Im B2B-Bereich existiert mit der „mutmaßlichen Einwilligung“ ein schmaler Ausweg – er ist riskant und trägt keine Kaltakquise-Kampagne. Klartext: Wenn Ihr Plan KI-gestützte Kaltakquise bei Verbrauchern ist, lassen Sie es. Unkritisch sind dagegen Service-Rückrufe auf Kundenwunsch und Terminerinnerungen mit bestehender Rechtsgrundlage. Und auch am ausgehenden Telefon gilt Art. 50 KI-VO: Die KI muss sich als KI vorstellen.

So starten Sie in sieben Schritten rechtssicher

Die Punkte aus diesem Beitrag lassen sich in eine Reihenfolge bringen:

Seriöse Anbieter von KI-Telefonie bilden diese Punkte vertraglich ab. Stellen Sie jedem Kandidaten drei Fragen: Liefern Sie einen AV-Vertrag nach Art. 28 DSGVO? Schließen Sie das Training mit meinen Daten aus? Unterschreiben Sie eine Verschwiegenheitsverpflichtung nach § 203 StGB? Wer hier ausweicht, ist der falsche Partner.

• KI-Ansage formulieren: KI-Hinweis, Zweck des Gesprächs, Datenschutz-Kurzinfo.
• Rechtsgrundlage je Anwendungsfall festlegen und im Verarbeitungsverzeichnis dokumentieren.
• AV-Vertrag schließen und die Nutzung Ihrer Gesprächsdaten für KI-Training vertraglich ausschließen.
• Aufzeichnung nur mit aktiver Einwilligung – im Zweifel abschalten.
• Praxen und Kanzleien: Verschwiegenheitsverpflichtung in Textform einholen, Datenzugriff minimieren.
• Datenschutz-Folgenabschätzung durchführen, wo nötig.
• Eskalation zum Menschen einbauen und das Team schulen.