Dieser Leitfaden erläutert die Grundsätze und ersetzt keinen Anwalt. Die genauen Regeln hängen vom Land ab, in dem sich das Unternehmen und die angerufenen Personen befinden; prüfen Sie sie für Ihren Fall.

Wer für die Daten verantwortlich ist

Bei einem Anruf, der von einem Sprachagenten geführt wird, gibt es zwei Rollen:

  • der Verantwortliche ist das Unternehmen, das entscheidet, warum und wie Anrufe gemacht werden, zum Beispiel die Klinik oder das Geschäft (DSGVO, Art. 4 Nr. 7);
  • der Auftragsverarbeiter ist die Plattform, die den Agenten im Namen des Unternehmens betreibt (Art. 4 Nr. 8).

Die Beziehung zwischen ihnen wird in einem Vertrag zur Datenverarbeitung festgehalten, mit dem von Artikel 28 verlangten Inhalt: Gegenstand und Dauer, Arten von Daten, Anweisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Löschung am Ende und Recht auf Prüfung.

Die Informationspflichten und die Wahl der Rechtsgrundlage bleiben beim Verantwortlichen. Die Plattform unterstützt ihn, übernimmt sie aber nicht.

Rechtsgrundlage für die Aufzeichnung

Die Aufzeichnung eines Anrufs ist eine Datenverarbeitung und erfordert eine Rechtsgrundlage nach Artikel 6 Absatz 1. In der Praxis werden verwendet:

  • die Erfüllung eines Vertrags (lit. b), wenn der Anruf eine Bestellung oder eine von der Person angeforderte Dienstleistung betrifft;
  • eine rechtliche Verpflichtung (lit. c), wenn ein Gesetz die Aufbewahrung von Gesprächen vorschreibt;
  • das berechtigte Interesse (lit. f), zum Beispiel der Nachweis einer Bestätigung, nach einer schriftlichen Bewertung, die zeigt, dass die Rechte der Person nicht überwiegen;
  • die Einwilligung (lit. a), wenn keine andere Rechtsgrundlage passt. Sie muss genauso leicht widerrufen werden können, wie sie erteilt wurde (Art. 7 Abs. 3).

Einige Jurisdiktionen, auch außerhalb der Europäischen Union, verlangen die Zustimmung aller Teilnehmenden zur Aufzeichnung eines Gesprächs, unabhängig von der datenschutzrechtlichen Grundlage. Wenn Sie in mehrere Länder anrufen, prüfen Sie jedes Land.

Die Ansage: was, wann, wie

Artikel 13 verlangt, dass die Person zum Zeitpunkt der Erhebung der Daten informiert wird. Bei einem Anruf bedeutet das: bevor die Aufzeichnung beginnt, nicht am Ende und nicht in einer E-Mail, die am nächsten Tag gesendet wird.

Eine gesprochene Ansage kann nicht die gesamte Datenschutzerklärung enthalten. Es wird eine gestufte Information verwendet:

  • zu Beginn des Anrufs: wer der Verantwortliche ist, dass der Anruf aufgezeichnet wird und zu welchem Zweck, wo die Details zu finden sind;
  • in der Datenschutzerklärung: die Rechtsgrundlage, die Empfänger, Übermittlungen, die Speicherdauer, die Rechte und das Recht, eine Beschwerde einzureichen (Art. 13 Abs. 1 und 2).

Die Ansage muss kurz, klar und in der Sprache des Gesprächs sein.

Sagen Sie, dass ein KI-Sprachassistent spricht

Die Verordnung (EU) 2024/1689 über künstliche Intelligenz sieht in Artikel 50 Absatz 1 vor, dass Systeme, die dazu bestimmt sind, direkt mit Menschen zu interagieren, so gestaltet werden müssen, dass Menschen erfahren, dass sie mit einem KI-System interagieren, außer wenn dies offensichtlich ist. Der Zeitplan für die Anwendung ist in Artikel 113 festgelegt; prüfen Sie ihn für das Datum, an dem Sie starten.

Auch dort, wo es nicht verpflichtend ist, vermeidet es das Gefühl der Täuschung und spätere Beschwerden, von Anfang an zu sagen, dass ein virtueller Assistent spricht.

Ausgehende Anrufe und Widerspruchsrecht

Wenn der Agent für Direktmarketing anruft, kann die Person dem jederzeit widersprechen, und die Daten werden für diesen Zweck nicht mehr verwendet (Art. 21 Abs. 2 und 3). Das Recht muss der Person spätestens bei der ersten Kommunikation ausdrücklich mitgeteilt werden, getrennt von anderen Informationen (Art. 21 Abs. 4).

Außerdem haben viele Länder eigene Regeln für unaufgeforderte kommerzielle Anrufe, teils mit verpflichtender vorheriger Zustimmung. Für einen Agenten bedeutet das:

  • nur Listen mit Personen, für die Sie eine Grundlage haben;
  • einen Satz im Skript, der die Ablehnung ohne Nachsetzen akzeptiert;
  • die Entfernung der Nummer aus den nächsten Kampagnen nach einer Ablehnung.

Automatisierte Entscheidungen

Die Person hat das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22). Ein Agent kann Informationen für einen Kredit, eine Police oder eine Einstellung sammeln; die Entscheidung trifft ein Mensch, und die Person kann seine Beteiligung verlangen.

Wie lange Sie Aufzeichnungen aufbewahren

Daten werden nur so lange aufbewahrt, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e). Legen Sie schriftlich eine Frist für jede Datenart fest: die Audioaufnahme, die Transkription, die Zusammenfassung, die extrahierten Felder. Es muss nicht dieselbe sein; eine Transkription kann länger nützlich sein als der Ton.

Die Stimme als biometrische Daten

Eine Sprachaufnahme wird nicht automatisch zu biometrischen Daten. Sie wird es dann, wenn sie technisch verarbeitet wird, um eine Person eindeutig zu identifizieren oder zu authentifizieren (Art. 4 Ziff. 14), und fällt dann unter die Regelung der besonderen Kategorien (Art. 9). Wenn Sie die Stimme verwenden, um den Anrufer zu erkennen, behandeln Sie sie auch so.

Die Folgenabschätzung

Artikel 35 verlangt eine Folgenabschätzung vor Verarbeitungen mit hohem Risiko, insbesondere bei der systematischen Bewertung von Personen auf Grundlage automatisierter Verarbeitung, der umfangreichen Verarbeitung besonderer Datenkategorien oder der systematischen umfangreichen Überwachung eines öffentlich zugänglichen Bereichs. Ein Agent für eine Klinik oder für finanzielle Entscheidungen ist ein ernsthafter Kandidat.

Übermittlungen, Sicherheit, Vorfälle

  • Übermittlungen: Wenn die Anbieter der Plattform außerhalb des Europäischen Wirtschaftsraums sind, verlangen Sie den Übermittlungsmechanismus, in der Regel die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c).
  • Sicherheit: geeignete technische und organisatorische Maßnahmen entsprechend dem Risiko (Art. 32): eingeschränkter Zugriff auf Aufzeichnungen, Protokolle, Verschlüsselung bei der Übertragung.
  • Vorfälle: Der Verantwortliche meldet der Aufsichtsbehörde ohne ungerechtfertigte Verzögerung und, wenn möglich, spätestens innerhalb von 72 Stunden, nachdem er von der Verletzung erfahren hat, es sei denn, sie stellt kein Risiko für Personen dar (Art. 33).

Wie Kallina funktioniert

  • Der Hinweis in der Telefonie. Ab 9. September 2026 wird bei den Anrufen, die über den Telefonserver von Kallina laufen, der Aufnahmehinweis vom Server gesprochen, vor dem Start der Aufzeichnung, nicht aus dem Text jedes Agenten. So hängt es nicht davon ab, wer das Szenario geschrieben hat.
  • Nachweis pro Anruf. Der Server vermerkt bei jedem Anruf, dass der Hinweis gesprochen wurde und in welcher Sprache.
  • Die Rollen. Für die Anrufe Ihres Agenten sind Sie der Verantwortliche; Kallina ist die beauftragte Person auf Grundlage eines Verarbeitungsvertrags.
  • Die Anbieter. Die Liste derjenigen, die Daten für den Dienst verarbeiten, ist öffentlich, auf der Seite der Unterauftragsverarbeiter.
  • Anfragen von Personen. Der Export oder die Löschung der mit einer Telefonnummer verbundenen Daten erfolgt auf Ihre Anfrage, über unser Team.

Checkliste

  1. Sie haben festgelegt, wer der Verantwortliche ist, und Sie haben den unterzeichneten Verarbeitungsvertrag.
  2. Sie verfügen für jede Anrufart über eine schriftliche Grundlage.
  3. Die Ansage wird vor der Aufzeichnung in der Sprache des Gesprächs abgespielt.
  4. Die Person erfährt, dass sie mit einem KI-Agenten spricht.
  5. Die Datenschutzrichtlinie enthält alles, was Artikel 13 verlangt.
  6. Das Szenario akzeptiert Ablehnung und Widerspruch, und die Nummern werden aus den Listen entfernt.
  7. Keine Entscheidung mit rechtlicher Wirkung wird nur vom Agenten getroffen.
  8. Es gibt Aufbewahrungsfristen nach Datenarten.
  9. Haben Sie geprüft, ob Sie eine Datenschutz-Folgenabschätzung benötigen.
  10. Sie wissen, wo die Anbieter sind und über welchen Mechanismus die Daten übertragen werden.