KI-Telefonassistent für Makler: DSGVO-Checkliste für Anrufannahme und Gesprächsdaten

Montagmorgen, mehrere Rückrufe warten, eine Kundin möchte dringend einen Schaden melden und parallel ruft ein Interessent wegen eines Besichtigungstermins an. Ein KI-Telefonassistent kann Anrufe entgegennehmen, Anliegen vorsortieren und Termine eintragen. Er hört aber auch Namen, Versicherungsnummern, Adressen, Gesundheitsangaben oder Informationen zu Immobilien mit. Damit wird aus einer praktischen Entlastung schnell ein Datenschutzthema mit mehreren Prüfpflichten.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Ein KI-Telefonassistent verarbeitet regelmäßig personenbezogene Daten. Sobald Gespräche aufgezeichnet, transkribiert oder automatisch zusammengefasst werden, steigen die Anforderungen deutlich. Prüfen Sie deshalb nicht nur die technische Funktion, sondern den gesamten Datenfluss vom ersten Klingeln bis zur Löschung.

Zuerst den tatsächlichen Einsatz festlegen

„KI-Telefonassistent“ ist kein einheitliches Produkt. Manche Systeme nehmen nur Anrufe entgegen und leiten sie weiter. Andere verstehen freie Sprache, erstellen Gesprächsnotizen, schlagen Antworten vor oder übergeben Daten automatisch an das Maklerverwaltungsprogramm.

Erstellen Sie vor der Einführung eine kurze Funktionsbeschreibung. Sie verhindert, dass Einstellungen aktiviert werden, die für Ihren Zweck gar nicht erforderlich sind.

Funktion	Typische Daten	Datenschutzrisiko
Anrufannahme und Weiterleitung	Telefonnummer, Name, Anliegen	Datenverarbeitung ohne ausreichenden Hinweis
Terminvereinbarung	Kontaktdaten, Kalenderdaten, Beratungsgrund	unzulässiger oder zu umfangreicher Datenabgleich
Gesprächsaufzeichnung	vollständiger Gesprächsinhalt, Stimme	hohes Risiko, insbesondere ohne wirksame Zustimmung
Transkription	Gesprächsinhalt in Textform	unnötig lange Speicherung, sensible Angaben
Zusammenfassung für die Kundenakte	Kontaktdaten, Vertrags- oder Objektdaten	fehlerhafte, überzogene oder unkontrollierte Dokumentation
Automatische Antworten	individuelle Kundenanliegen	falsche Auskünfte, fehlende menschliche Kontrolle

Legen Sie für jede Funktion fest, ob sie wirklich benötigt wird. Für eine Terminvereinbarung genügt oft die Erfassung von Name, Rückrufnummer, Anliegen in wenigen Worten und gewünschtem Termin. Eine vollständige Aufzeichnung ist dafür in der Regel nicht erforderlich.

Anrufer sofort und verständlich informieren

Wer mit einem KI-System spricht, muss das früh erkennen können. Das ist nicht nur für Transparenz und Vertrauen wichtig. Seit August 2026 gelten für bestimmte KI-Systeme Transparenzpflichten der KI-Verordnung, wenn Personen direkt mit einem KI-System interagieren. Ein menschlicher Gesprächspartner darf nicht vorgetäuscht werden.

Der Hinweis gehört an den Beginn des Gesprächs, bevor umfangreiche Daten abgefragt werden. Er muss verständlich sein und eine Handlungsmöglichkeit eröffnen.

Eine praxistaugliche Ansage kann so aufgebaut sein:

„Willkommen bei [Maklerbüro]. Sie sprechen mit unserem digitalen Telefonassistenten. Ihre Angaben werden zur Bearbeitung Ihres Anliegens verarbeitet. Wenn Sie mit einer Mitarbeiterin oder einem Mitarbeiter sprechen möchten, sagen Sie bitte ‚Mitarbeiter‘.“

Wenn das Gespräch aufgezeichnet werden soll, reicht dieser allgemeine Hinweis nicht aus. Die Aufzeichnung muss separat und eindeutig angesprochen werden. Ohne Zustimmung darf die Aufzeichnung nicht starten. Nach § 201 StGB kann das unbefugte Aufzeichnen des nichtöffentlich gesprochenen Wortes strafbar sein.

Eine mögliche Ergänzung lautet:

„Dieses Gespräch kann zur Dokumentation aufgezeichnet werden. Sind Sie damit einverstanden? Bitte sagen Sie eindeutig ‚Ja‘ oder ‚Nein‘.“

Bei einem „Nein“ muss die Technik die Aufnahme zuverlässig unterlassen. Leiten Sie den Anruf alternativ ohne Aufzeichnung weiter oder bieten Sie einen Rückruf an. Ein bloßes Fortsetzen des Gesprächs sollte nicht als Zustimmung zu einer Aufnahme behandelt werden.

Wichtig: Die Information über Datenschutz und die Einwilligung in eine Aufzeichnung sind unterschiedliche Punkte. Verweisen Sie in der Ansage kurz auf Ihre Datenschutzhinweise, etwa auf der Website, und halten Sie dort die Details nach Art. 13 DSGVO bereit.

Rechtsgrundlage nach Verarbeitung trennen

Nicht jede Verarbeitung benötigt eine Einwilligung. Entscheidend ist, was der Assistent konkret erledigt und welche Daten er verarbeitet.

Für die Bearbeitung einer konkreten Anfrage kann Art. 6 Abs. 1 Buchstabe b DSGVO einschlägig sein, wenn die Verarbeitung der Vertragsanbahnung dient. Bei Bestandskunden kann auch die Durchführung des Vertrags relevant sein. Für organisatorische Zwecke wie die Annahme, Zuordnung und Bearbeitung eines Anrufs kommt je nach Einzelfall ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchstabe f DSGVO in Betracht.

Eine Gesprächsaufzeichnung sollten Sie dagegen besonders kritisch prüfen. Neben der DSGVO ist das Strafrecht zu beachten. Holen Sie daher vor dem Start der Aufnahme eine nachweisbare, freiwillige und eindeutige Zustimmung ein. Wenn Sie die Aufzeichnung nur für interne Qualitätszwecke wünschen, ist sie häufig schwerer zu rechtfertigen als eine kurze, sachliche Gesprächsnotiz.

Besondere Vorsicht gilt bei Gesundheitsdaten, Informationen zu Schäden, finanziellen Verhältnissen oder familiären Umständen. Ein KI-Assistent sollte nicht dazu animieren, solche Angaben am Telefon umfassend zu schildern. Begrenzen Sie die Abfrage auf das Nötigste und übergeben Sie komplexe Fälle an Mitarbeitende.

Die grundsätzliche Einordnung der Rechtsgrundlagen sollte zu Ihren bestehenden Prozessen passen. Der Beitrag „Einwilligung oder berechtigtes Interesse für Makler“ hilft Ihnen bei der Abgrenzung.

Anbieter, Verträge und Datenstandorte prüfen

Nutzen Sie einen externen Anbieter für Telefonie, Sprachverarbeitung oder Transkription, verarbeitet dieser häufig Daten in Ihrem Auftrag. Dann benötigen Sie in der Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Prüfen Sie dabei nicht nur den Vertrag des Telefonassistenten. Auch Unterauftragnehmer können relevant sein, etwa für Cloud-Speicher, Spracherkennung, KI-Modelle, Support oder Analysefunktionen.

Kontrollieren Sie diese Punkte vor Vertragsabschluss:

• Ist ein Vertrag zur Auftragsverarbeitung verfügbar und inhaltlich vollständig?
• Sind Zweck, Datenarten und Kategorien betroffener Personen klar beschrieben?
• Werden Unterauftragnehmer benannt und Änderungen rechtzeitig mitgeteilt?
• Wo werden Audioaufnahmen, Transkripte und Metadaten verarbeitet und gespeichert?
• Finden Übermittlungen außerhalb des Europäischen Wirtschaftsraums statt?
• Ist ausgeschlossen, dass Gesprächsdaten zum Training allgemeiner KI-Modelle verwendet werden?
• Können Sie Daten exportieren und nach Vertragsende sicher löschen lassen?
• Gibt es klare Regelungen zu Sicherheitsvorfällen und Unterstützung bei Betroffenenanfragen?

Eine bloße Aussage wie „DSGVO-konform“ ersetzt diese Prüfung nicht. Welche Dienstleister typischerweise einen Auftragsverarbeitungsvertrag benötigen, erläutert der Beitrag „AV-Vertrag für Makler: Wer braucht wirklich einen?“.

Aufzeichnung, Transkription und Zusammenfassung getrennt einstellen

Viele Systeme aktivieren mehrere Funktionen gemeinsam. Das ist problematisch, weil eine deaktivierte Audioaufzeichnung nicht automatisch bedeutet, dass keine Gesprächsdaten gespeichert werden. Auch Transkripte, KI-Zusammenfassungen, Gesprächsprotokolle, Qualitätsanalysen und Metadaten können personenbezogene Daten enthalten.

Prüfen Sie die Einstellungen einzeln:

• Audioaufzeichnung standardmäßig deaktivieren.
• Transkription nur aktivieren, wenn sie für einen klaren Zweck erforderlich ist.
• Automatische Zusammenfassungen vor der Übernahme in die Kundenakte durch Mitarbeitende prüfen lassen.
• Keine automatische Speicherung vollständiger Gesprächsverläufe im Maklerverwaltungsprogramm einrichten.
• Analyse-, Trainings- und Verbesserungsfunktionen des Anbieters deaktivieren, soweit sie nicht erforderlich sind.
• Zugriffe auf Audio, Transkripte und Auswertungen nach Rollen beschränken.
• Mehrfaktor-Authentifizierung für Administrationszugänge aktivieren.
• Testanrufe regelmäßig durchführen und die tatsächliche Speicherung kontrollieren.

Insbesondere KI-Zusammenfassungen dürfen nicht ungeprüft als Beratungsdokumentation behandelt werden. Sie können unvollständig oder falsch sein. Für die Beratungsdokumentation bleibt Ihr Maklerbüro verantwortlich.

Löschfristen konkret festlegen

„Wir löschen regelmäßig“ genügt nicht. Legen Sie für jede Datenart eine Frist, einen Auslöser und eine verantwortliche Rolle fest. Die Frist muss sich am Zweck orientieren. Daten, die nur für einen Rückruf erhoben wurden, brauchen keine dauerhafte Speicherung.

Ein mögliches Löschkonzept kann so aussehen:

Datenart	Zweck	Beispiel für Löschentscheidung
Verpasster Anruf mit Rückrufnummer	Rückruf und Zuordnung	löschen, wenn Anliegen erledigt ist und keine weitere Beziehung besteht
Terminnotiz	Durchführung des Beratungstermins	nach Termin und Bearbeitung löschen, sofern keine Übernahme in die Kundenakte erforderlich ist
Audioaufzeichnung	nur bei dokumentierter Zustimmung und klarem Zweck	nach Erreichen des Zwecks unverzüglich löschen
Transkript	Bearbeitung des Anliegens	auf relevante Kurznotiz reduzieren, vollständiges Transkript zeitnah löschen
Gesprächsnotiz in Kundenakte	Vertrags- oder Schadenbearbeitung	nach den für die Akte geltenden Fristen prüfen

Dokumentieren Sie die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten. Ergänzen Sie unter anderem Zwecke, Datenkategorien, Empfänger, Löschfristen und technische Schutzmaßnahmen. Eine praktische Anleitung finden Sie im Beitrag „Verarbeitungsverzeichnis für Makler: Muster & Anleitung“.

Für allgemein geltende Aufbewahrungs- und Löschfragen ist außerdem „Aufbewahrungsfristen für Makler: aufbewahren & löschen“ hilfreich. Wichtig ist die Trennung: Handels- und steuerrechtliche Pflichten betreffen nicht automatisch jede Audioaufnahme oder jedes KI-Transkript.

Datenschutz-Folgenabschätzung und Notfallablauf prüfen

Eine Datenschutz-Folgenabschätzung ist nicht bei jedem Telefonassistenten automatisch Pflicht. Sie kann aber erforderlich werden, wenn Verarbeitungsvorgänge voraussichtlich ein hohes Risiko für Betroffene verursachen. Das kann etwa bei umfangreicher Gesprächsüberwachung, systematischer Auswertung von Stimmen, sensiblen Daten oder einer großen Zahl betroffener Personen relevant sein.

Prüfen und dokumentieren Sie diese Bewertung vor dem Start. Binden Sie gegebenenfalls Ihren Datenschutzbeauftragten ein.

Definieren Sie außerdem einen einfachen Notfallablauf. Wenn versehentlich Aufzeichnungen öffentlich zugänglich sind, falsche Daten an eine Kundenakte gelangen oder ein Dienstleister einen Vorfall meldet, müssen Zuständigkeiten und Meldewege klar sein. Für mögliche Datenschutzverletzungen hilft Ihnen das „72-Stunden-Playbook“ zur Datenpanne.

Wer die rechtlichen und organisatorischen Grundlagen systematisch vertiefen möchte, findet passende Seminare bei cmt.de.

Checkliste vor dem Livegang

• Funktionsumfang und Datenfluss schriftlich festgelegt.
• KI-Hinweis zu Beginn jedes Gesprächs eingerichtet.
• Datenschutzinformationen nach Art. 13 DSGVO aktualisiert.
• Aufnahmefunktion standardmäßig deaktiviert oder Einwilligungsprozess technisch abgesichert.
• Transkription, Zusammenfassung und Analysefunktionen einzeln geprüft.
• Vertrag zur Auftragsverarbeitung und Unterauftragnehmer geprüft.
• Datenstandorte und mögliche Drittlandtransfers bewertet.
• Nutzung von Gesprächsdaten für Modelltraining ausgeschlossen oder wirksam deaktiviert.
• Rollen, Zugriffsrechte und Mehrfaktor-Authentifizierung eingerichtet.
• Löschfristen für Audio, Transkripte, Notizen und Metadaten definiert.
• Verarbeitung im Verzeichnis dokumentiert.
• Testanrufe mit verschiedenen Fällen durchgeführt.
• Mitarbeitende für Übergaben, Fehlermeldungen und sensible Anfragen eingewiesen.

Ein KI-Telefonassistent sollte Anrufe strukturiert entgegennehmen, nicht unkontrolliert Gespräche sammeln. Wenn Sie Funktionen bewusst begrenzen, Anrufer transparent informieren und Löschung technisch umsetzen, kann die Entlastung im Maklerbüro mit Datenschutz und Vertraulichkeit vereinbar sein.