DSGVO Telefonassistent

Von der AIOOS Redaktion · Zuletzt aktualisiert am 13. August 2026

Ein DSGVO-konformer Telefonassistent verarbeitet Anrufdaten – Rufnummer, Name, Gesprächsinhalt, Termin – auf einer dokumentierten Rechtsgrundlage nach Artikel 6 DSGVO, informiert die anrufende Person vor Beginn der Verarbeitung und nicht erst währenddessen, und stützt jede Übermittlung in ein Drittland auf ein Transferinstrument nach Kapitel V. Verantwortlich bleibt der Betrieb, der die Nummer führt, nicht der Anbieter der Software.

Was heißt „vor Beginn der Verarbeitung“ konkret?

Diese Frage hat die Datenschutzbehörde 2025 in einem Verwaltungsstrafverfahren sehr deutlich beantwortet. Mit Straferkenntnis vom 8. September 2025 verhängte sie 6.300 Euro wegen der unrechtmäßigen Aufzeichnung eines Vertragsgespräches. Das Aufnahmegerät lief bereits, bevor der Raum betreten wurde; die Gesprächspartnerin erfuhr erst im laufenden Gespräch davon. Die Behörde hielt fest, dass eine Einwilligung damit „vor Beginn der Verarbeitung faktisch unmöglich“ war.

Wichtiger für den Telefonbetrieb ist der zweite Teil der Begründung. Die Beschuldigte berief sich auf ein berechtigtes Interesse an Qualitätssicherung – ein Zweck, den die Behörde grundsätzlich als berechtigtes Interesse anerkennt. Er trug trotzdem nicht, weil die Betroffene nicht vor Erhebung ihrer Daten über dieses Interesse informiert worden war, sondern erst, „als die Verarbeitung bereits im Gang war“. Das Straferkenntnis ist nicht rechtskräftig.

Der Fall betraf ein Gespräch vor Ort, kein Telefonat. Übertragbar ist die Begründung: Nicht der Zweck entscheidet, sondern der Zeitpunkt der Information. Für einen Assistenten heißt das, dass Hinweis und Zweckangabe in die Begrüßung gehören – dorthin, wo ohnehin schon die KI-Kennzeichnung nach EU AI Act Artikel 50 steht.

Darf ein Assistent Gespräche mitschneiden?

Die DSGVO ist hier nicht die einzige Schranke. § 120 Abs. 2 StGB stellt es unter Strafe, die Tonaufnahme einer nicht öffentlichen Äußerung ohne Einverständnis des Sprechenden einem Dritten zugänglich zu machen oder zu veröffentlichen; die Strafdrohung reicht bis zu einem Jahr Freiheitsstrafe oder 720 Tagessätze. Verfolgt wird nur auf Ermächtigung der verletzten Person. Praktisch heißt das: Ein Mitschnitt, der intern weitergereicht oder ausgewertet wird, braucht eine eigene, vorab erteilte Grundlage – und wer ohne Aufzeichnung auskommt, etwa mit einem strukturierten Gesprächsergebnis statt einer Audiodatei, umgeht das Thema.

Wo dürfen die Daten liegen?

Drittland ist nach Auffassung der Datenschutzbehörde jeder Staat außer den EU-Mitgliedstaaten und den EFTA-Staaten Island, Liechtenstein und Norwegen. Geht etwas dorthin, braucht es zwingend eines der Transferinstrumente: Angemessenheitsbeschluss (Art. 45), geeignete Garantien wie Standarddatenschutzklauseln (Art. 46) oder eine Ausnahme nach Art. 49. Für den Assistenten selbst ist eine Auftragsverarbeitervereinbarung nach Art. 28 zu schließen. Und der Satz, der die Verantwortung verteilt: Verursacht der Auftragsverarbeiter einen Verstoß, ist das nach EuGH-Judikatur so zu qualifizieren, als hätte ihn der Verantwortliche begangen.

Wie streng wird das in Österreich geprüft?

2025 langten bei der Datenschutzbehörde 5.300 Individualbeschwerden ein – nach 3.019 im Jahr 2024 und 2.389 im Jahr 2023. Dazu kamen 1.855 gemeldete Sicherheitsverletzungen (1.704 nach Art. 33 DSGVO, 83 nach dem TKG 2021). In Verwaltungsstrafverfahren ergingen 75 Bescheide, davon 58 Geldbußen mit zusammen rund 145.000 Euro. Die einzelnen Beträge sind also meist klein; das Beschwerdeaufkommen ist es nicht.

Häufige Fragen

Wer ist verantwortlich – Betrieb oder Anbieter?

Der Betrieb. Der Anbieter ist in aller Regel Auftragsverarbeiter; sein Fehler wird dem Betrieb zugerechnet.

Was prüfe ich vor der Unterschrift?

Rechtsgrundlage je Zweck, Wortlaut der Begrüßung, Auftragsverarbeitervereinbarung samt Subunternehmerliste, Verarbeitungsort und Transferinstrument, Speicher- und Löschfristen, gesonderte Grundlage für Mitschnitte.

Und wenn kein Mitschnitt entsteht?

Personenbezogene Daten fallen trotzdem an – Rufnummer, Name, Anliegen. Mehr dazu unter Was ist ein KI-Telefonassistent, KI-Rezeption und im Ratgeber KI-Telefonassistent. Auch die Übergabe an einen Menschen per Warm Transfer ist eine Verarbeitung.

Quellen

Datenschutzbehörde, Tätigkeitsbericht 2025, Wien, im März 2026. Daraus übernommen: Straferkenntnis vom 8. September 2025, OZ: 2025-0.388.125 (GZ: D550.1202), „Unrechtmäßige Aufzeichnung eines Vertragsgespräches“, Strafe 6.300 Euro, Information erst im laufenden Gespräch, Einwilligung „vor Beginn der Verarbeitung faktisch unmöglich“, Qualitätssicherung als berechtigtes Interesse ausgeschieden, weil die Information erst erfolgte, „als die Verarbeitung bereits im Gang war“, nicht rechtskräftig (S. 55 f.); Individualbeschwerden 2025: 5.300 Eingänge / 3.403 Erledigungen, 2024: 3.019, 2023: 2.389 (S. 24); Sicherheitsverletzungen 2025: 1.855 gesamt, davon 1.704 nach Art. 33 DSGVO und 83 nach dem TKG 2021 (S. 26); Verwaltungsstrafverfahren 2025: 75 Bescheide, davon 58 Geldbußen mit rund 145.000 Euro Gesamtsumme, 10 bekämpfte Strafbescheide (S. 51 f.). <https://dsb.gv.at/sites/site0344/media/downloads/taetigkeitsbericht_2025_v4.pdf> — abgerufen am 13.08.2026

RIS – Rechtsinformationssystem des Bundes, Strafgesetzbuch § 120 „Mißbrauch von Tonaufnahme- oder Abhörgeräten“, konsolidierte Fassung, BGBl. I Nr. 112/2015, in Kraft seit 01.01.2016. Wortlaut Abs. 1 (bis zu einem Jahr Freiheitsstrafe oder 720 Tagessätze), Abs. 2 (Zugänglichmachen oder Veröffentlichen einer Tonaufnahme ohne Einverständnis des Sprechenden), Abs. 3 (Verfolgung nur mit Ermächtigung des Verletzten). <https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10002296&Paragraf=120> — abgerufen am 13.08.2026

Datenschutzbehörde, „Ihre Pflichten als Verantwortliche:r“. Daraus: Drittland-Definition (alle Staaten außer EU-Mitgliedstaaten und den EFTA-Staaten Island, Liechtenstein, Norwegen), die drei Transferinstrumente nach Art. 45, 46 und 49 DSGVO, Auftragsverarbeitervereinbarung nach Art. 28 DSGVO, Zurechnung eines Verstoßes des Auftragsverarbeiters an den Verantwortlichen nach EuGH-Judikatur, Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 24 DSGVO, Bußgeldrahmen nach Art. 83 DSGVO (10 Mio. Euro / 2 % bzw. 20 Mio. Euro / 4 %). <https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-verantwortlicher> — abgerufen am 13.08.2026

Datenschutzbehörde, „Künstliche Intelligenz und Datenschutz“: Die DSGVO bleibt parallel zur KI-Verordnung anwendbar, sobald personenbezogene Daten verarbeitet werden; wer ein KI-System einsetzt, ist dafür Verantwortlicher, unabhängig davon, wer es entwickelt hat. <https://dsb.gv.at/kuenstlichebrintelligenz/kuenstliche-intelligenz-datenschutz> — abgerufen am 13.08.2026

Verordnung (EU) 2024/1689 (EU AI Act), Artikel 50 – Transparenzpflichten; anwendbar seit 02.08.2026. <https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng> — abgerufen am 13.08.2026