Glossar
DSGVO und AV-Vertrag
Ein AV-Vertrag regelt nach Art. 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf.
Auf dieser Seite
Setzt ein Betrieb einen KI-Telefonassistenten ein, bleibt er für die Daten seiner Anrufer verantwortlich. Der Anbieter verarbeitet sie in seinem Auftrag. Dafür verlangt die DSGVO einen Vertrag, der Gegenstand, Dauer, Art der Daten, Weisungsrechte, Sicherheitsmaßnahmen und den Einsatz von Unterauftragnehmern festlegt.
Bei der Prüfung zählen vor allem vier Punkte: welche Unterauftragnehmer beteiligt sind, in welchen Ländern Daten verarbeitet werden, auf welcher Grundlage Daten in Länder außerhalb der EU übermittelt werden und wie lange Aufnahmen und Transkripte gespeichert bleiben. Die Aussage „DSGVO-konform“ ersetzt diese Prüfung nicht. Bei besonders sensiblen Daten, etwa in Arztpraxen oder Kanzleien, kommen Berufsgeheimnisse hinzu.
In der Praxis
Die Arbeit beginnt vor dem ersten Anruf. Du schließt den AV-Vertrag mit dem Anbieter, liest die Liste der Unterauftragnehmer und trägst die neue Verarbeitung in dein Verzeichnis von Verarbeitungstätigkeiten ein. In deine eigene Datenschutzerklärung gehört ein Hinweis darauf, dass Anrufe mit Hilfe eines Dienstleisters und einer KI bearbeitet werden. Leg außerdem fest, welche Daten der Assistent überhaupt erfragen soll. Was er nicht erhebt, muss niemand schützen, speichern oder löschen. Ob in deinem Fall weitere Schritte nötig sind, etwa eine Datenschutz-Folgenabschätzung, klärst du mit einer Fachperson für Datenschutz.
Ein Beispiel
Eine Hausarztpraxis möchte Terminanfragen von einem Assistenten annehmen lassen. Die Inhaberin prüft vor Vertragsschluss, welche Dienstleister der Anbieter einsetzt und wo diese die Daten verarbeiten. Sie entscheidet, dass der Assistent nur Name, Geburtsdatum, Rückrufnummer und Terminwunsch aufnimmt und nicht nach Beschwerden oder Diagnosen fragt. Schildert ein Patient trotzdem Symptome, verweist der Assistent auf das Praxisteam. So bleibt der Umfang der sensiblen Daten klein, bevor überhaupt ein Gespräch stattfindet.
Häufiges Missverständnis
Ein unterschriebener AV-Vertrag wird oft als Beleg verstanden, dass damit alles erledigt ist. Er regelt aber nur das Verhältnis zwischen dir und dem Dienstleister. Deine eigenen Pflichten bleiben: informieren, die Rechtsgrundlage klären, Löschfristen einhalten, Auskunftsanfragen beantworten. Der zweite Irrtum: Ein Serverstandort in der EU beantworte alle Fragen. Zu prüfen ist die gesamte Kette, also auch Sprachmodell, Telefonie und weitere Unterauftragnehmer.
Bei Call0
Der Anbieter von Call0 ist die Call0 Inc. in den USA. Die Datenschutzerklärung nennt alle Dienstleister mit Verarbeitungsorten; die Datenschutzbedingungen für die Auftragsverarbeitung werden laut AGB vor Beginn elektronisch vereinbart.
Quelle: Verordnung (EU) 2016/679 (DSGVO), Art. 28
Dieser Eintrag erklärt den Grundsatz und ist keine Rechtsberatung. Für deinen Fall gilt der Gesetzestext und der Rat einer Fachperson.
Verwandte Begriffe:
Weiterlesen:
Zum Thema:
Stand: 12. Oktober 2026