EU AI Act am Telefon: Praxis-Leitfaden für Betreiber in Österreich

Von der AIOOS Redaktion · Zuletzt aktualisiert am 15. August 2026

Wer in Österreich einen KI-Telefonassistenten auf der geschäftlichen Telefonnummer einsetzt, gilt nach dem EU AI Act als Betreiber (Deployer). Daraus folgt seit 2. August 2026 eine gesetzliche Transparenzpflicht nach Artikel 50 Absatz 1: Anrufende müssen spätestens in der Begrüßung verständlich erfahren, dass ein KI-System antwortet und für welchen Betrieb es handelt. Flankierend sind ein Auftragsverarbeitungsvertrag, ein Verzeichnis von Verarbeitungstätigkeiten (VVT) und die Beachtung des österreichischen Tonaufnahmerechts nach § 120 StGB erforderlich.

Diese Seite behandelt die Rechtsfragen. Wie ein solcher Assistent technisch arbeitet und was er kostet, steht im Ratgeber KI-Telefonassistent.

1. Anbieter vs. Betreiber: Welche Rolle hat Ihr Betrieb?

Im europäischen KI-Recht (Verordnung EU 2024/1689) bestimmt die rechtliche Rolle über die Pflichten. Für Unternehmen, die eine telefonische Sprachassistenz einsetzen, unterscheidet das Gesetz klar zwischen Anbieter (Provider) und Betreiber (Deployer bzw. Verwender):

• Betreiber (Deployer nach Art. 3 Nr. 4): Das ist Ihr Betrieb (z. B. Hotel, Handwerksbetrieb, Kanzlei oder Ordination), wenn Sie eine bestehende Softwarelösung auf Ihre Festnetznummer aufschalten und mit betriebsinternen Informationen (Öffnungszeiten, Leistungsbeschreibungen, Kalenderanbindung) konfigurieren. Sie setzen das System unter eigener Verantwortung für Ihre geschäftliche Kundenkommunikation ein.
• Anbieter (Provider nach Art. 3 Nr. 3): Das ist der Softwarehersteller, der das KI-System entwickelt, trainiert und als marktreife Lösung bereitstellt. Der Anbieter trägt die Verantwortung für die technische Gesetzeskonformität des Basismodells.

Wann wird ein Betrieb zum Anbieter?

Gemäß Artikel 25 des EU AI Act kann ein Verwender in die Anbieter-Rolle aufrücken, wenn er ein KI-System unter eigenem Namen oder eigener Handelsmarke vertreibt, den vorgesehenen Verwendungszweck grundlegend ändert oder wesentliche Modifikationen am zugrundeliegenden Modell vornimmt.

Das reine Hinterlegen betrieblicher Fakten, das Konfigurieren von Arbeitszeiten oder das Einrichten von Weiterleitungen per Warm Transfer innerhalb des vorgesehenen Verwendungszwecks verändern das Basismodell nicht grundlegend; der Betrieb verbleibt hierbei in der Betreiberrolle.

2. Kennzeichnungspflicht: Was die Ansage exakt sagen muss

Die Kennzeichnungspflicht am Telefon folgt unmittelbar aus Artikel 50 Absatz 1 des EU AI Act. Betreiber müssen sicherstellen, dass natürliche Personen informiert werden, sobald sie mit einem KI-System interagieren.

Die zwei Pflichtbestandteile der Begrüßung

Nach den Vorgaben der Verordnung und den Auslegungen der RTR-KI-Servicestelle muss die gesprochene Ansage zwei Punkte transportieren:

Die künstliche Natur des Gesprächspartners: Dem Anrufer muss verständlich mitgeteilt werden, dass ein KI-System antwortet.

Die Identität des Betriebs: Der Assistent muss offenlegen, für welches Unternehmen er das Gespräch führt.

Die genaue rechtliche Definition, Ausnahmebestimmungen und Detailregelungen sind im Beitrag EU AI Act Artikel 50 am Telefon aufgeschlüsselt.

Praxis-Muster für österreichische Betriebe

Das Gesetz schreibt keinen starren Wortlaut vor. Folgende Begrüßungsmuster erfüllen die gesetzlichen Kriterien:

Beispiel Ordination / Gruppenpraxis:

„Grüß Gott bei der Ordination Dr. Gruber. Mein Name ist Sophie, ich bin die digitale KI-Telefonassistenz der Ordination. Wie kann ich Ihnen bei Termin oder Rezept helfen?“

Beispiel Handwerk & Notdienst (Installateur):

„Guten Tag beim Installateur-Notdienst Huber. Sie sprechen mit unserem KI-Telefonassistenten. Ich nehme Ihr Anliegen sofort auf. Wo liegt der Schaden?“

Beispiel Hotellerie & Tourismus:

„Herzlich willkommen im Hotel Alpenblick in Tirol. Mein Name ist Lukas, ich bin die KI-Rezeption des Hauses. Womit kann ich Ihnen weiterhelfen?“

Was rechtlich nicht genügt

• Verschweigen der KI-Natur: Eine Begrüßung nur mit menschlich klingendem Namen ohne Hinweis auf die KI ist unzulässig.
• Verweis auf AGB oder Web-Impressum: Ein schriftlicher Hinweis auf der Website oder in Geschäftsbedingungen reicht am Telefon nicht aus; die Information muss gesprochen im Anruf selbst erfolgen.
• Verzögerte Information: Die Information muss zu Beginn der Interaktion erteilt werden – nicht erst im Nachhinein oder nach mehreren Dialogschritten.
• Unverständliche Fachbegriffe: Rein technische Beschreibungen (z. B. der Verweis auf neuronale Sprachmodelle) erfüllen das Gebot klarer und barrierefreier Sprache nicht.

3. Betreiber-Checkliste für österreichische Unternehmen

Für den rechtskonformen Betrieb empfiehlt sich eine Dokumentation anhand der folgenden fünf Punkte:

1. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Da der KI-Telefonassistent im Auftrag des Betriebs personenbezogene Daten (Name, Telefonnummer, Anliegen) verarbeitet, ist ein AVV mit dem Anbieter abzuschließen. Darin sind technische und organisatorische Maßnahmen, Verarbeitungsorte sowie eingesetzte Subdienstleister (etwa für Spracherkennung und Sprachsynthese) verbindlich zu regeln.

2. Verzeichnis von Verarbeitungstätigkeiten (VVT nach Art. 30 DSGVO)

Nehmen Sie den Telefonassistenten in Ihr betriebliches Verzeichnis von Verarbeitungstätigkeiten auf. Die Dokumentation umfasst typischerweise:

• Zweck: Telefonische Erreichbarkeit, Beantwortung von Standardanfragen, Notizerfassung und Terminkoordination.
• Datenkategorien: Stammdaten des Anrufers (Name, Rufnummer), Datum/Uhrzeit, Gesprächsnotiz und Termindaten.
• Betroffene Personen: Anrufende Kunden, Gäste, Patienten oder Interessenten.
• Löschfristen: Definierte Aufbewahrungs- und Löschfristen für Gesprächsnotizen und Kontaktdaten.

3. Menschliche Aufsicht und Eskalationspfad

Der Betrieb muss klare organisatorische Prozesse für die Weiterverarbeitung definieren:

• Zuständigkeit im Betrieb festlegen, wer eingegangene Notizen prüft und rückruft (Close-the-Loop).
• Technische Weiterleitungsmöglichkeit an Mitarbeitende für Notfälle oder persönliche Beratungen vorsehen (Warm Transfer).

4. KI-Kompetenz im Team fördern (Art. 4 AI Act)

Gemäß Artikel 4 des EU AI Act haben Betreiber sicherzustellen, dass ihr Personal, das mit dem Betrieb von KI-Systemen betraut ist, über ein ausreichendes Maß an KI-Kompetenz verfügt. Eine dokumentierte betriebliche Unterweisung über Arbeitsweise, Leistungsgrenzen und den Umgang mit Anruferdaten bildet hierfür die praxisnahe Grundlage.

5. Wissensbasis und Informationsgrenzen definieren

Halten Sie schriftlich fest, welche betrieblichen Fakten (Öffnungszeiten, Stornobedingungen, Standardauskünfte) dem System als Wissensbasis zur Verfügung gestellt werden und ab welchem Komplexitätsgrad an menschliche Mitarbeitende übergeben wird.

4. Zusammenspiel: EU AI Act, DSGVO und § 120 StGB

Der EU AI Act regelt die Transparenz über den Einsatz von KI, ersetzt jedoch weder das Datenschutz- noch das Strafrecht. Am Telefon greifen drei Regelungsbereiche ineinander:

┌────────────────────────────────────────────────────────┐
│                   Eingehender Anruf                    │
└───────────────────────────┬────────────────────────────┘
                            │
               Spontane Begrüßungsansage:
        1. KI-Kennzeichnung (EU AI Act Art. 50)
        2. Transparenz über Notizerfassung (DSGVO)
                            │
        ┌────────────────────┴────────────────────┐
        ▼                                         ▼
Flüchtige Audioverarbeitung               Dauerhafte Tonaufnahme
- Textnotiz des Anliegens                 - Speicherung der Audiodatei
- Art. 6 Abs. 1 DSGVO (z. B. lit. b / f)  - Ausdrückliche Einwilligung nötig
- Zweckgebundene Bearbeitung              - § 120 StGB / Strenge DSB-Praxis

Flüchtige Echtzeit-Verarbeitung vs. Gesprächsaufzeichnung

Bei modernen Systemen werden Audiodaten häufig rein flüchtig verarbeitet: Das gesprochene Wort wird in Echtzeit analysiert, in eine strukturierte Textnotiz überführt und die reine Sprachdatei nicht dauerhaft archiviert (mehr zur Technik unter Voice Agent).

Soll dagegen ein vollständiger Tonmitschnitt gespeichert werden, sind enge rechtliche Grenzen zu beachten:

• § 120 Abs. 2 StGB: Das unbefugte Zugänglichmachen oder Veröffentlichen einer Tonaufnahme einer nichtöffentlichen Äußerung ohne Einverständnis des Sprechenden ist gerichtlich strafbar (Freiheitsstrafe bis zu einem Jahr oder bis zu 720 Tagessätze).
• Datenschutzbehörde: Die Information über eine Tonaufnahme sowie die entsprechende Rechtsgrundlage müssen zwingend vor Beginn der Verarbeitung vorliegen; eine nachträgliche Information im laufenden Gespräch genügt nach ständiger behördlicher Praxis nicht.

Die datenschutzrechtlichen Vorgaben, die Verantwortlichkeiten und die Praxis der Aufsichtsbehörden sind auf der Themenseite DSGVO Telefonassistent im Detail dargestellt.

5. Zeitplan und Umsetzung in Österreich

Für Betreiber in Österreich gelten insbesondere folgende Stichtage:

• 2. Februar 2025: Anwendbarkeit der Pflichten zur KI-Kompetenz (Artikel 4) sowie der Verbote unzulässiger Praktiken (Artikel 5).
• 2. August 2026: Volle Anwendbarkeit der Transparenzpflichten nach Artikel 50 für KI-Systeme, die unmittelbar mit Menschen interagieren.

Institutioneller Rahmen in Österreich

• Die Rundfunk und Telekom Regulierungs-GmbH (RTR) fungiert mit der KI-Servicestelle als zentrale Beratungs- und Informationsplattform für Unternehmen.
• Die formelle nationale Benennung der zuständigen Marktüberwachungsbehörden und Durchsetzungsstrukturen durch den österreichischen Gesetzgeber befindet sich in Ausarbeitung.
• Unabhängig vom Stand der nationalen Ausführungsgesetze gilt der EU AI Act als europäische Verordnung unmittelbar in allen Mitgliedstaaten.

Häufige Fragen (FAQ)

Muss die KI-Kennzeichnung bei jedem Anruf erfolgen?

Ja. Artikel 50 Absatz 1 AI Act sieht keine Ausnahme für wiederkehrende Anrufer vor. Da ein System vor der Entgegennahme nicht verlässlich feststellen kann, wer anruft, muss der Hinweis auf die KI regulärer Bestandteil jeder Begrüßung sein.

Reicht es, wenn die Stimme hörbar künstlich klingt?

Nein. Das Gesetz enthält zwar eine Ausnahme, wenn die KI-Interaktion nach den Umständen offensichtlich ist; Behörden und Leitlinien legen diese Ausnahme jedoch sehr eng aus. Da auf geschäftlichen Telefonnummern Personen unterschiedlichster Vorkenntnisse anrufen, sollten sich Betriebe nicht auf eine angebliche Offensichtlichkeit verlassen.

Welche Konsequenzen drohen bei Verstößen gegen Artikel 50?

Der EU AI Act sieht bei Verstößen gegen Transparenzpflichten nach Artikel 99 empfindliche behördliche Sanktionen vor, die sich am weltweiten Jahresumsatz orientieren (wobei für KMU und Start-ups nach Art. 99 Abs. 6 gesonderte Berechnungsregeln gelten). Zudem können zivilrechtliche Unterlassungsansprüche geltend gemacht werden.

Auf welcher Rechtsgrundlage werden Anrufnotizen verarbeitet?

Für geschäftliche Routinekontakte (wie Terminvereinbarungen, Anfragen für Kostenvoranschläge oder Tischreservierungen) stützt sich die Erfassung im Regelfall auf die Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder das berechtigte Interesse an einer geordneten Kundenkommunikation (Art. 6 Abs. 1 lit. f DSGVO). Bei sensiblen Daten (z. B. Gesundheitsdaten nach Art. 9 DSGVO in einer Ordination) gelten besondere Voraussetzungen.

Benötigt ein Betrieb eine behördliche Bewilligung für den Telefonassistenten?

Nein. Ein standardisierter KI-Telefonassistent zur Terminannahme und Kundeninformation gilt als System mit begrenztem Risiko (limited risk). Er bedarf keiner behördlichen Vorab-Zulassung, unterliegt aber den gesetzlichen Transparenz- und Betreiberpflichten.

Wer haftet gegenüber Kunden für fehlerhafte Auskünfte?

Gegenüber dem Anrufer haftet grundsätzlich der Betrieb, unter dessen Rufnummer der Assistent auftritt. Eine laufend gepflegte Wissensbasis und definierte Übergabeprozesse per Warm Transfer an Mitarbeitende sind daher essenziell.

Worin liegt der Unterschied zwischen Notizaufnahme und Tonmitschnitt?

Bei der flüchtigen Notizaufnahme wird das gesprochene Wort in Text umgewandelt und die Sprachdatei sofort verworfen; hier greifen die Standard-DSGVO-Regeln. Ein dauerhafter Tonmitschnitt speichert die Roh-Audiodatei und erfordert wegen § 120 StGB und Art. 6 DSGVO eine ausdrückliche, vorab erteilte Einwilligung des Anrufers.

Quellen

Europäische Union: Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung / EU AI Act). Artikel 3 (Begriffsbestimmungen: Anbieter, Betreiber), Artikel 4 (KI-Kompetenz), Artikel 25 (Pflichten entlang der Wertschöpfungskette), Artikel 50 (Transparenzpflichten), Artikel 99 (Sanktionen) und Artikel 111 (Inkrafttreten). <https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng> — abgerufen am 15.08.2026

RTR – Rundfunk und Telekom Regulierungs-GmbH (KI-Servicestelle): „AI Act: Transparenzpflichten“. Erläuterungen zu Artikel 50 Abs. 1 (mündliche Hinweise bei Telefonie, Offenlegung von KI-Natur und vertretenem Betrieb, Unzulässigkeit von AGB-Hinweisen, enge Auslegung von Offensichtlichkeitsausnahmen). <https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/Transparenzpflichten.de.html> — abgerufen am 15.08.2026

RTR – KI-Servicestelle: „FAQ: Nationale Umsetzung der Zuständigkeiten in Österreich“. Feststellung zum Umsetzungsstand der Marktüberwachungsbehörden und notifizierenden Stellen in Österreich. <https://www.rtr.at/rtr/service/ki-servicestelle/faq/FAQ.de.html> — abgerufen am 15.08.2026

Österreichische Datenschutzbehörde (DSB): Tätigkeitsbericht 2025, Wien, März 2026. Ausführungen zu Informationspflichten vor Beginn der Verarbeitung und zur Rechtswidrigkeit verspäteter Hinweise bei Gesprächsaufzeichnungen. <https://dsb.gv.at/sites/site0344/media/downloads/taetigkeitsbericht_2025_v4.pdf> — abgerufen am 15.08.2026

RIS – Rechtsinformationssystem des Bundes: Bundesgesetz über die gerichtliche Verfolgung von Straftaten (Strafgesetzbuch – StGB), § 120 „Mißbrauch von Tonaufnahme- oder Abhörgeräten“, konsolidierte Fassung BGBl. I Nr. 112/2015. <https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10002296&Paragraf=120> — abgerufen am 15.08.2026

Österreichische Datenschutzbehörde (DSB): „Künstliche Intelligenz und Datenschutz“. Leitlinien zur Verantwortlichkeit des Betreibers und dem parallelen Fortbestehen der DSGVO-Pflichten beim Einsatz von KI-Systemen. <https://dsb.gv.at/kuenstlichebrintelligenz/kuenstliche-intelligenz-datenschutz> — abgerufen am 15.08.2026

Aus dem Entwurf entfernt

• Währungs- und Preisangaben: Sämtliche Euro-Beträge und Preisnennungen wurden gemäß der redaktionellen Hausregel vollständig gestrichen. Sanktionen und Bußgeldrahmen wurden auf die gesetzlichen Umsatzprozentsätze nach Art. 99 AI Act und Verweise auf die Glossarseiten umgestellt.
• Falschangabe zu Artikel 26 AI Act: Die Nennung von Art. 26 in der Betreiber-Tabelle wurde entfernt, da dieser Artikel ausschließlich Betreiber von Hochrisiko-KI-Systemen betrifft.
• Rechtliche Garantieversprechen: Absolute Formulierungen wie „rechtssicher Betreiber bleiben“ oder „DSGVO-konform ohne Vorab-Opt-in“ wurden durch differenzierte Erläuterungen der gesetzlichen Voraussetzungen nach Art. 25 AI Act und Art. 6/9 DSGVO ersetzt.
• Duplizierte Passagen: Textpassagen zur detaillierten Aufschlüsselung des nicht rechtskräftigen DSB-Straferkenntnisses sowie zur Behördenstatistik wurden gekürzt und mit Verweisen auf /glossar/dsgvo-telefonassistent und /glossar/eu-ai-act-artikel-50-telefon verlinkt, um thematische Kannibalisierung zu vermeiden.
• Sprachliche Bereinigung: Bundesdeutsche Begriffe (Arztpraxis, Verfahrensverzeichnis, Sanitär-Notdienst, Kostenvoranschlagsbitten, Abmahnungen) wurden durch die österreichische Terminologie (Ordination, Verzeichnis von Verarbeitungstätigkeiten, Installateur-Notdienst, Anfragen für Kostenvoranschläge, Unterlassungsansprüche) ersetzt.