Kurz gesagt: Wer mit Kunden über eine KI spricht — am Telefon oder im Website-Chat —, muss ihnen das zu Beginn sagen, außer es ist ohnehin offensichtlich. Das steht in Art. 50 der KI-Verordnung und gilt seit dem 2. August 2026. Die DSGVO gilt unverändert daneben weiter.
Die Hinweispflicht nach Art. 50
Die KI-Verordnung der EU (Verordnung (EU) 2024/1689, kurz AI Act) teilt KI-Systeme nach Risiko ein. Telefonassistenten und Chatbots, die Termine buchen oder Fragen beantworten, gehören in aller Regel nicht zu den Hochrisiko-Systemen. Für sie gilt aber eine Transparenzpflicht: Menschen, die mit einem KI-System interagieren, müssen darüber informiert werden — es sei denn, das ist aus den Umständen offensichtlich.
Am Telefon ist es fast nie offensichtlich. Moderne Stimmen klingen sehr natürlich. Die sichere Lösung ist deshalb ein Satz gleich in der Begrüßung, etwa: „Hier spricht der digitale Assistent von Haustechnik Weber — ich bin eine KI.“ Im Website-Chat gehört ein entsprechender Hinweis in das erste Chatfenster.
Bei Verstößen gegen die Transparenzpflichten sieht die Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor; für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Wichtiger als die Höchstsumme ist der praktische Punkt: Ein ehrlicher Hinweis kostet nichts und kommt bei Anrufern erfahrungsgemäß besser an als ein Bot, der so tut, als wäre er ein Mensch.
Wer ist verantwortlich — Anbieter oder Betrieb?
Die Pflicht aus Art. 50 Abs. 1 richtet sich zunächst an den Anbieter, also an den, der das System entwickelt: Er muss es so bauen, dass Menschen informiert werden. Als Betrieb, der den Assistenten einsetzt, solltet ihr euch darauf aber nicht verlassen, sondern prüfen: Sagt die Begrüßung klar, dass eine KI spricht? Lasst euch das zeigen, bevor der Assistent live geht — und achtet darauf, dass ihr den Satz nicht später selbst wieder herausnehmt.
KI-Kompetenz im Team (Art. 4)
Schon seit Februar 2025 verlangt die KI-Verordnung von Unternehmen, die KI einsetzen, Maßnahmen für ausreichende KI-Kompetenz ihres Personals. Für einen kleinen Betrieb heißt das nicht Zertifikat, sondern: Wer mit dem Assistenten arbeitet, sollte wissen, was er kann, wo er Fehler macht und was im Zweifel zu tun ist. Eine kurze, dokumentierte Einweisung ist ein guter Anfang.
Was die DSGVO weiterhin verlangt
- Auftragsverarbeitung (Art. 28 DSGVO): Der Anbieter verarbeitet Daten eurer Anrufer in eurem Auftrag. Dafür braucht es einen Vertrag — vor dem Start.
- Information (Art. 13 DSGVO): Anrufer müssen erfahren können, was mit ihren Daten passiert. Ein kurzer Hinweis auf die Datenschutzerklärung in der Begrüßung oder auf der Website genügt meist.
- Übermittlung in Drittländer: Viele Sprach- und KI-Dienste haben ihren Sitz in den USA. Dann braucht es eine Grundlage wie das EU-US Data Privacy Framework oder Standardvertragsklauseln. Wer „lokal“ verspricht, sollte das auch belegen können.
- Aufzeichnung: Gespräche ohne Einwilligung mitzuschneiden, ist in Deutschland nach § 201 StGB strafbar. Eine Textzusammenfassung statt Audio löst das Problem fast immer.
- Gesundheitsdaten: Praxen verarbeiten besondere Kategorien von Daten (Art. 9 DSGVO) und unterliegen der Schweigepflicht (§ 203 StGB). Hier gehört der Betrieb in die EU, und der Assistent sollte keine Beschwerden abfragen, sondern nur Terminwunsch und Rückruf.
- Löschfristen: Legt fest, wie lange Gesprächsnotizen gespeichert werden — und lasst es euch schriftlich geben.
Checkliste für Betriebe
- Sagt der Assistent in der Begrüßung, dass er eine KI ist?
- Gibt es einen Auftragsverarbeitungsvertrag und eine Liste aller Unterauftragnehmer?
- Wo werden die Daten verarbeitet, und auf welcher Grundlage, falls außerhalb der EU?
- Werden Gespräche aufgezeichnet — und wenn ja, mit Einwilligung?
- Nach wie vielen Tagen werden Gesprächsnotizen gelöscht?
- Werden eure Daten zum Training von KI-Modellen genutzt? (Die Antwort sollte „nein“ lauten.)
- Ist das Team eingewiesen, und ist das kurz dokumentiert?
Stand: Oktober 2026. Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Die EU arbeitet an Anpassungen der KI-Verordnung; einzelne Fristen können sich noch ändern. Für euren konkreten Fall fragt bitte euren Datenschutzbeauftragten oder eine Kanzlei.
