AVV-Muster für KI-Telefonie nach Art. 28 DSGVO

Dieser Beitrag ordnet die Rechtslage allgemein ein und ersetzt keine Rechtsberatung. Für die verbindliche Prüfung Ihres Einzelfalls ziehen Sie Ihren Datenschutzbeauftragten oder eine Fachanwältin hinzu.

Ein Auftragsverarbeitungsvertrag, kurz AVV, regelt schriftlich, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Bei einem KI-Telefonassistenten ist er nach Art. 28 DSGVO Pflicht, weil der Anbieter Anruferdaten für Sie verarbeitet. Fehlt der AVV, ist der Einsatz ein eigenständiger Datenschutzverstoß, unabhängig davon, wie sicher das System technisch ist.

Inhalt

• Was ein AVV ist und warum er bei KI-Telefonie greift
• Art. 28 DSGVO kompakt
• Sechs Punkte, die der AVV abdecken muss
• AVV-Muster für KI-Telefonie herunterladen
• Typische Fehler beim AVV
• Häufige Fragen

Was ein AVV ist und warum er bei KI-Telefonie greift {#was-ist-avv}

Sobald Ihr KI-Telefonassistent einen Anruf annimmt, entstehen personenbezogene Daten: der Name der anrufenden Person, ihre Rückrufnummer und ihr Anliegen. Diese Daten verarbeitet der Anbieter der Technik in Ihrem Auftrag. Damit wird er zum Auftragsverarbeiter, und Sie bleiben der Verantwortliche im Sinne der DSGVO.

Für dieses Verhältnis schreibt das Gesetz einen Vertrag vor. Er hält fest, dass der Anbieter Daten nur nach Ihrer Weisung nutzt und nicht für eigene Zwecke. Der Begriff „Auftragsverarbeitungsvertrag telefon ki" beschreibt genau diesen Vertrag für den Fall der KI-Telefonannahme. Ohne ihn dürfte der Anbieter die Daten rechtlich gar nicht in Ihrem Auftrag verarbeiten.

Der AVV ist deshalb kein Formalismus, den man nach dem Vertragsschluss nachreicht. Er ist die Grundlage, auf der die Datenverarbeitung überhaupt erst zulässig wird. Wie sich die übrigen Datenschutzpflichten rund um den Assistenten ordnen, erklärt der Ratgeber zu DSGVO und KI-Telefonassistent.

Art. 28 DSGVO kompakt {#art-28-kompakt}

Die zentrale Norm ist Art. 28 DSGVO. Absatz 1 erlaubt nur Auftragsverarbeiter, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Sie dürfen also nicht irgendeinen Anbieter beauftragen, sondern müssen dessen Schutzniveau vorab prüfen.

Absatz 3 legt fest, was der Vertrag mindestens regeln muss. Dazu zählen Gegenstand und Dauer der Verarbeitung, ihre Art und ihr Zweck sowie die Kategorien der betroffenen Personen. Hinzu kommen die Weisungsbindung, die Vertraulichkeit des Personals und die Sicherheitsmaßnahmen nach Art. 32. Der Vertrag muss außerdem den Einsatz von Unterauftragsverarbeitern, die Unterstützung bei Betroffenenrechten, die Löschung nach Vertragsende und die Nachweispflichten des Anbieters abdecken.

Sechs Punkte, die der AVV abdecken muss {#checkliste}

Die folgenden sechs Punkte sind der Kern, den Sie im AVV eines KI-Telefonie-Anbieters finden sollten. Sie leiten sich aus den Pflichtinhalten des Art. 28 Abs. 3 DSGVO ab und lassen sich beim Lesen des Vertrags abhaken.

1. Gegenstand und Zweck: Der Vertrag benennt konkret, dass es um die telefonische Anrufannahme geht, welche Datenarten anfallen und wie lange sie verarbeitet werden.
2. Weisungen: Der Anbieter verarbeitet die Daten ausschließlich auf Ihre dokumentierte Weisung und nutzt sie nicht zum eigenen Training oder für eigene Zwecke.
3. Subunternehmer: Alle Unterauftragsverarbeiter sind mit Firmensitz und Leistung gelistet, etwa der Dienst für Spracherkennung; Änderungen werden angekündigt und sind widerspruchsfähig.
4. Technische und organisatorische Maßnahmen: Der AVV beschreibt die TOMs nach Art. 32, also Verschlüsselung, Zugriffskontrolle und die Trennung der Mandantendaten.
5. Löschung: Der Vertrag legt fest, wann Audio, Transkripte und Zusammenfassungen gelöscht werden und was am Vertragsende mit den Daten geschieht.
6. US-Transfer und SCC: Sitzt ein beteiligter Dienst außerhalb der EU, nennt der AVV die Grundlage der Übermittlung, etwa Standardvertragsklauseln (SCC) oder eine Zertifizierung unter dem EU-US Data Privacy Framework.

AVV-Muster für KI-Telefonie herunterladen {#muster-download}

Damit Sie diese Punkte nicht im Fließtext abgleichen müssen, stellen wir ein AVV-Muster für KI-Telefonie als Vorlage bereit. Es enthält die Pflichtfelder nach Art. 28 Abs. 3 DSGVO, eine Anlage für die technischen und organisatorischen Maßnahmen und eine Liste für Unterauftragsverarbeiter.

Das Muster ist eine allgemeine Vorlage und kein auf Ihren Betrieb zugeschnittener Vertrag. Prüfen Sie vor dem Einsatz, ob die Angaben zu Datenarten, Löschfristen und Serverstandort zu Ihrem tatsächlichen Anbieter passen, und lassen Sie den fertigen AVV im Zweifel juristisch abnehmen.

Typische Fehler beim AVV {#typische-fehler}

Der häufigste Fehler ist, ganz auf den AVV zu verzichten, weil der Dienst technisch überzeugt. Die Sicherheit des Systems ersetzt den Vertrag nicht; beides sind getrennte Pflichten. Ein fehlender AVV bleibt ein eigenständiger Verstoß, auch bei vorbildlicher Verschlüsselung.

Ein zweiter Fehler betrifft die Unterauftragsverarbeiter. Viele KI-Telefonanbieter setzen im Hintergrund weitere Dienste für Spracherkennung oder Sprachmodelle ein. Nennt der AVV diese Subunternehmer nicht, wissen Sie nicht, wohin die Daten fließen, und können Ihrer Rechenschaftspflicht nicht nachkommen.

Gerade in Berufen mit besonderer Verschwiegenheit wiegen diese Lücken schwer. Für Kanzleien kommt zur Auftragsverarbeitung eine berufsrechtliche Pflicht hinzu, die der Beitrag für Rechtsanwältinnen und Rechtsanwälte aufgreift.