KI-Sprachassistenten in Deutschland: DSGVO & AI Act Compliance 2026

Kurzantwort

KI-Sprachassistenten lassen sich in Deutschland rechtssicher einsetzen, wenn Unternehmen den Use Case klar eingrenzen, eine belastbare DSGVO-Grundlage für Call-Daten wählen, eine deutliche KI-Offenlegung vorsehen, Vendor Terms und Transfers prüfen und sensible Fälle rechtzeitig an einen Menschen übergeben.

• Starten Sie mit Routing, FAQ, Zusammenfassungen und Agent Assist statt mit Beschwerden oder ergebnisrelevanten Entscheidungen.
• Prüfen Sie Rechtsgrundlage, Call-Hinweise, Aufbewahrung, AVV, Unterauftragsverarbeiter, Hosting und Trainingseinstellungen vor dem Go-live.
• Bauen Sie Human Handoff, Betriebsratsprüfung bei Mitarbeiterbezug und klare Governance für sensible Gespräche ein.

KI-Sprachassistenten können in Deutschland eingesetzt werden, aber nur mit sauberer Compliance-Struktur. Für viele Unternehmen lautet die praktische Antwort ja: Voice Agents, Call-Routing-Assistenten, Transkriptions-Tools und Agent-Assist-Systeme sind nutzbar, wenn die KI klar offengelegt wird, der Datenumfang begrenzt bleibt, eine tragfähige DSGVO-Grundlage gewählt wird, Recording und Aufbewahrung kontrolliert sind und Beschwerden, strittige Ergebnisse oder sensible Themen an einen Menschen eskalieren.

Rechtlich entscheidend ist meist nicht das Schlagwort “Voice AI”, sondern die konkrete Rolle des Systems im Gespräch. Maßgeblich ist, was in den Call-Flow eingebunden wird, welche personenbezogenen Daten verarbeitet werden, ob Gespräche aufgezeichnet oder weiterverwendet werden und ob das Tool Entscheidungen prägt, die für Kunden oder Beschäftigte relevant sind.

Vor dem Rollout sollten Legal, Datenschutz, Procurement und Operations typischerweise klären:

• welche Live-Call-Daten, Transkripte, Metadaten und CRM-Felder in den Workflow gelangen,
• ob der Use Case nur Routing und Assistenz oder auch Beschwerden und Ergebnissteuerung umfasst,
• welche DSGVO-Rechtsgrundlage und welcher Call-Hinweis die Verarbeitung tragen,
• ob Recording, Aufbewahrung und Trainingsnutzung technisch und vertraglich sauber begrenzt sind,
• ob der Anbieter einen belastbaren AVV nach Art. 28 DSGVO bietet,
• und an welchen Stellen zwingend ein Mensch übernehmen muss.

Dürfen Unternehmen KI-Sprachassistenten in Deutschland rechtssicher einsetzen?

In vielen Konstellationen ja. Ob der Einsatz rechtssicher ist, hängt aber vom Betriebsmodell ab und nicht vom Produktnamen.

Typische Anwendungsfälle sind:

1. Voice Bots im First-Level-Support,
2. KI-gestütztes Call Routing und Intent Detection,
3. Transkription und Zusammenfassung von Anrufen,
4. Agent Assist während Live-Gesprächen,
5. interne Sprachassistenten für Beschäftigte,
6. Qualitätssicherung von Gesprächen in größerem Umfang.

Rechtlich wirken hier häufig mehrere Ebenen zusammen:

• Art. 5 und Art. 6 DSGVO zu Zweckbindung, Datenminimierung und Rechtsgrundlage,
• Art. 13 und Art. 14 DSGVO zur Transparenz gegenüber Anrufern und Kunden,
• Art. 28 DSGVO zur Auftragsverarbeitung,
• Kapitel V DSGVO bei Drittlandtransfers,
• Art. 22 DSGVO, wenn das System in rechtlich oder ähnlich erheblich wirkende Entscheidungen hineinläuft,
• Art. 50 AI Act zur Offenlegung bei direkter Interaktion mit KI,
• und bei mitarbeiterbezogenen Rollouts § 87 Abs. 1 Nr. 6 BetrVG, wenn technische Einrichtungen Verhalten oder Leistung sichtbar machen können.

Wenn Sie einen konkreten Voice-Anbieter pruefen, lesen Sie auch unsere ElevenLabs-DSGVO-Pruefung. Dort geht es um AVV beziehungsweise DPA, EU Data Residency, Zero Retention Mode und die Frage, wie Unternehmen Kundenanrufe, Voice Cloning und Mitarbeiteraufnahmen rechtlich bewerten sollten. Unternehmen, die Azure OpenAI Compliance-Funktionen in KI-Sprachassistenten oder AWS Bedrock für Voice-AI-Anwendungen einsetzen, sollten Datenschutz, Datenlokalisierung und Human-Oversight-Anforderungen gezielt prüfen. Branchenspezifische Anforderungen finden Sie in unseren Leitfäden zu KI-Anforderungen im Gesundheitswesen und den Compliance-Anforderungen im Einzelhandel und E-Commerce. Einen umfassenden Überblick über alle EU-AI-Act-Compliance-Pflichten bietet unser Compliance-Hub.

Auch die Fristen sind wichtig. Die Europäische Kommission nennt 1. August 2024 als Inkrafttreten des AI Act, 2. Februar 2025 für Verbote und AI-Literacy-Pflichten sowie 2. August 2026 als Startpunkt der Transparenzpflichten aus Art. 50 AI Act. Unternehmen sollten die Disclosure-Logik deshalb jetzt in den Rollout einbauen und nicht erst kurz vor 2026.

Wenn Sie angrenzende Einsatzfelder vergleichen möchten, helfen unsere Guides zu KI im Kundenservice, AI Chatbots, und ElevenLabs bei Datenschutz- und Betriebsfragen rund um ähnliche Datenflüsse.

Voice Agents, Call Routing, Transkripte und Zusammenfassungen: Was ändert sich rechtlich?

Das Risikoprofil hängt stark davon ab, welche Funktion der Sprachassistent im Gespräch übernimmt.

Ein Tool, das sich offen als KI ankündigt, Anrufer an das richtige Team weiterleitet und für einen Menschen ein Gespräch zusammenfasst, ist regelmäßig leichter vertretbar als ein System, das:

• Beschwerden vollständig bearbeitet,
• Rückerstattungen oder Sperrungen beeinflusst,
• Emotionen oder Stress in der Stimme auswertet,
• Personen per Stimme identifiziert,
• oder Beschäftigte anhand von Gesprächsverhalten bewertet.

Dieser Unterschied ist sowohl für die DSGVO als auch für den AI Act relevant. Begrenzte Interaktionssysteme werfen häufig vor allem Transparenz- und Datenschutzfragen auf. Sobald Profiling, biometrische Nutzung oder ergebnisprägende Entscheidungen dazukommen, steigt der Prüfungsbedarf deutlich.

DSGVO-Rechtsgrundlage für Live-Calls und Voice-Daten

Es gibt keine einheitliche Rechtsgrundlage für jeden Voice-AI-Use-Case.

In der Praxis prüfen Unternehmen meist:

• ob der Workflow für die Erbringung eines Dienstes erforderlich ist und sich auf Art. 6 Abs. 1 lit. b DSGVO stützen lässt,
• ob Teile des Setups durch Art. 6 Abs. 1 lit. f DSGVO getragen werden können,
• ob Recording oder Analytik eine eigenständige und strengere Begründung brauchen,
• und ob im Gespräch besondere Kategorien personenbezogener Daten auftauchen, die die Schwelle weiter erhöhen.

Sprachinhalte, Transkripte, Anruferkennung, Zeitstempel und Routing-Metadaten sind personenbezogene Daten. Wenn Stimme zur Authentifizierung oder Identifizierung genutzt wird, können zusätzlich biometrische Fragestellungen relevant werden. Die Rechtsprüfung sollte daher die gesamte Pipeline erfassen und nicht nur das Speech-to-Text-Modell.

Call Recording, Aufbewahrung und Modelltraining

Ein häufiger Fehler in Voice-AI-Projekten ist, Recording, Transkription, Zusammenfassung und Trainingsnutzung als eine einzige Frage zu behandeln. Das ist zu kurz gegriffen.

Mindestens vier Ebenen sollten getrennt geprüft werden:

1. ob das Gespräch überhaupt aufgezeichnet wird,
2. ob es transkribiert oder analysiert wird,
3. wie lange Roh-Audio und Transkripte gespeichert werden,
4. ob der Anbieter das Material zum Training oder zur Produktverbesserung nutzen darf.

Call-Hinweise, Datenschutzhinweise, Aufbewahrungslogik und Vendor Terms sollten genau auf diese Unterschiede abgestimmt sein. Ein Setup kann für Live-Routing und Zusammenfassungen vertretbar sein, aber nicht für eine offene Weiterverwendung von Kundencalls zu Trainingszwecken. Trainingsnutzung sollte deshalb immer als aktuelle technische und vertragliche Einstellung geprüft werden und nicht als bloße Marketingaussage.

Wenn Ihr Voice-Workflow in breitere Support-Automatisierung hineinspielt, sollten Sie die Leitplanken aus unserem Guide zu KI im Kundenservice mitdenken.

Human Handoff und AI-Act-Transparenz bei KI-Sprachassistenten

Für Sprachassistenten in Deutschland gilt als sicherste Designregel: Anrufer müssen erkennen können, dass sie mit KI sprechen, und sie müssen bei sensiblen oder ergebnisrelevanten Themen einen Menschen erreichen können.

Die Offenlegung sollte deshalb regelmäßig klar und früh erfolgen, also beim ersten Kontaktpunkt und nicht versteckt in einer Datenschutzerklärung oder in einem nachgelagerten E-Mail-Hinweis. Auch Übergänge zwischen KI und menschlichen Agents sollten für Anrufer transparent sein.

Ebenso wichtig ist der Human Handoff. Unternehmen sollten Eskalationstrigger vorab definieren, insbesondere für:

• Beschwerden und strittige Ergebnisse,
• Kündigungen, Rückerstattungen und Sperrungen,
• Hinweise auf Gesundheit, Kinder oder andere sensible Themen,
• unklare Antworten oder Halluzinationen,
• den ausdrücklichen Wunsch nach menschlicher Prüfung,
• und jeden Schritt, in dem die KI ein relevantes Kundenergebnis zu stark prägt.

Hier treffen AI Act und DSGVO praktisch zusammen. Auch wenn ein Use Case nicht formal in eine AI-Act-Hochrisikokategorie fällt, kann ein schlechter Handoff schnell zu Fairness-, Accountability- und Vertrauensproblemen führen.

Vendor Due Diligence für Voice-AI-Anbieter

Viele Voice-AI-Projekte scheitern rechtlich nicht im Live-Betrieb, sondern bereits bei der Beschaffung.

Vor dem Launch sollten Teams mindestens diese Punkte prüfen:

• ob ein belastbarer AVV verfügbar ist,
• wo Audio, Transkripte und Logs gehostet werden,
• welche Unterauftragsverarbeiter eingebunden sind,
• welcher Transfermechanismus außerhalb des EWR genutzt wird,
• ob Modelltraining oder Produktverbesserung mit Kundendaten aktiviert ist,
• wie Löschung und Aufbewahrung technisch steuerbar sind,
• welche Sicherheitsmaßnahmen für Audio und Transkripte gelten,
• und ob das Tool Human Handoff und Nachvollziehbarkeit technisch unterstützt.

Das betrifft nicht nur spezialisierte Voice-Anbieter, sondern auch Plattformen, die Voice in bestehende Service-Prozesse einbetten. Vergleichbare Fragen tauchen häufig auch bei Intercom AI, Zendesk AI, oder HubSpot AI auf, wenn Gesprächsdaten mit Ticket-Historie und CRM-Informationen verknüpft werden.

Wann Sprach-KI arbeitsrechtliche oder betriebsverfassungsrechtliche Risiken auslöst

KI-Sprachassistenten sind nicht nur Kundentools. Häufig sind sie zugleich mitarbeiterbezogene Systeme.

Dann kommen arbeitsrechtliche Fragen hinzu. Wenn ein Voice-AI-Rollout beeinflusst, wie Beschäftigte überwacht, gesteuert, bewertet oder sichtbar gemacht werden, kann die Mitbestimmung nach § 87 BetrVG relevant werden. Typische Warnsignale sind:

• QA-Systeme mit Ranking von Agents,
• Dashboards mit Gesprächs- und Leistungskennzahlen,
• automatisierte Coaching- oder Compliance-Scores,
• Tools, die Live-Calls auswerten und Supervisor-Reviews prägen,
• oder interne Sprachassistenten mit umfangreicher Verhaltensprotokollierung.

In solchen Konstellationen sollte die Betriebsratsfrage nicht erst nach der Beschaffung auftauchen. Sie gehört früh in den Rollout-Plan, zusammen mit Datenschutz- und Governance-Prüfung.

Praktische Checkliste für KI-Sprachassistenten in Deutschland

Vor einer Skalierung von KI-Sprachassistenten sollten Unternehmen typischerweise diese Punkte abarbeiten:

1. Konkrete Use Cases definieren und rechtsnahe oder hochsensible Szenarien aus der ersten Ausbaustufe ausschließen.
2. Erfassen, welche Audio-, Transkript-, Metadaten- und CRM-Daten in das System gelangen.
3. Die DSGVO-Rechtsgrundlage für Live-Verarbeitung, Recording, Analytik und Aufbewahrung jeweils getrennt festlegen.
4. Eine klare KI-Offenlegung für den ersten Kontakt und weitere KI-Handoff-Punkte gestalten.
5. AVV, Unterauftragsverarbeiter, Hosting, Transfers, Löschung und Trainingseinstellungen prüfen.
6. Rechte und Datenzugriffe auf das Erforderliche begrenzen.
7. Verbindliche Human-Handoff-Regeln für Beschwerden, Streitfälle, sensible Themen und unklare Outputs definieren.
8. Prüfen, ob Mitarbeiterbezug und Leistungstransparenz eine Betriebsratsbeteiligung auslösen.
9. Qualität, Halluzinationsrisiken und irreführende oder diskriminierende Ergebnisse vor dem breiten Rollout testen.
10. Den Einsatz in KI-Governance, Datenschutz und Vendor Management sauber dokumentieren.

Wobei Compound Law unterstützt

Compound Law berät Unternehmen in Deutschland und der DACH-Region bei KI-Rollouts an der Schnittstelle von Datenschutz, Commercial, Arbeitsrecht und regulatorischer Compliance.

Typische Unterstützung bei Voice-AI-Projekten umfasst:

• DSGVO- und Call-Data-Bewertungen,
• Prüfung von AVV und Vendor Terms,
• Governance für Aufbewahrung und Trainingsnutzung,
• Gestaltung der AI-Act-Disclosure,
• Betriebsratsstrategie für mitarbeiterbezogene Systeme,
• und Rollout-Begleitung für Legal, Datenschutz, Procurement und Operations.

Konkrete Deployments erfordern weiterhin individuelle Rechtsberatung. Ein Guide wie dieser strukturiert die Prüfung, ersetzt aber keine einzelfallbezogene Bewertung des Tools, der Verträge, der Datenflüsse und des konkreten Einsatzmodells.

FAQ

Dürfen wir einen KI-Sprachassistenten für Kundencalls in Deutschland einsetzen?

Oft ja, wenn der Assistent transparent gestaltet ist, der Use Case eng begrenzt bleibt, die DSGVO-Struktur trägt und sensible oder ergebnisrelevante Themen an einen Menschen gehen.

Müssen wir Anrufer darüber informieren, dass sie mit KI sprechen?

In vielen Fällen ja. Nach Art. 50 AI Act müssen Personen bei direkter Interaktion mit KI informiert werden, sofern das nicht offensichtlich ist. Diese Transparenzpflichten gelten ab dem 2. August 2026.

Ist Call Recording für KI-Zusammenfassungen automatisch zulässig?

Nein. Recording, Transkription, Zusammenfassungen, Aufbewahrung und Trainingsnutzung sollten getrennt geprüft werden. Die rechtliche Bewertung hängt vom konkreten Call-Flow, den Hinweisen, der Rechtsgrundlage und der Vendor-Konfiguration ab.

Wann wird ein Sprachassistent zum Betriebsratsthema?

Regelmäßig dann, wenn das System Mitarbeiterüberwachung, Leistungsbewertung, Quality Scoring oder ähnliche Verhaltens- und Leistungsdaten sichtbar macht.

Was ist der sicherste Einstieg in Voice AI?

Meist ein enger Rollout für Routing, FAQ, Zusammenfassungen und Agent Assist mit klarer Offenlegung und verbindlichem Human Handoff bei Beschwerden, sensiblen Themen und strittigen Ergebnissen.