Stellen Sie sich einen ganz gewöhnlichen Dienstagmorgen vor.
Ein Kunde ruft in Ihrem Betrieb an. Er nennt seinen Namen, seine Telefonnummer, die Adresse der Baustelle, und weil er sich ärgert, erzählt er nebenbei, dass die Sache dringend ist, weil er nächste Woche ins Krankenhaus muss. Ihr System schreibt mit. Vielleicht ist es nur ein Transkriptionsdienst, der Ihnen hinterher eine saubere Zusammenfassung in die Mailbox legt. Vielleicht ist es ein vollwertiger KI-Agent, der das Gespräch selbst führt und den Termin gleich in den Kalender einträgt.
Vier Wochen später kommt ein Brief. Der Kunde möchte wissen, welche Daten Sie über ihn gespeichert haben, auf welcher Rechtsgrundlage Sie das tun und wie lange Sie das noch vorhaben. Er hat einen Monat Zeit erwartet, und den haben Sie auch: Art. 12 Abs. 3 DSGVO gibt Ihnen genau diese Frist.
Die Frage ist nicht, ob Sie den Brief beantworten können. Die Frage ist, ob Sie in diesem Monat noch anfangen müssen nachzudenken - oder ob die Antwort längst in einer Schublade liegt.
Der eine Satz, um den sich alles dreht
Es gibt in der DSGVO sechs Gründe, aus denen Sie personenbezogene Daten verarbeiten dürfen. Sie stehen in Art. 6 Abs. 1. Fünf davon passen auf einen KI-Assistenten am Telefon nicht besonders gut. Der sechste passt fast immer - aber er hat einen Preis.
Dieser sechste Grund ist Buchstabe f, das sogenannte berechtigte Interesse. Er erlaubt Ihnen die Verarbeitung, wenn sie
zur Wahrung Ihrer berechtigten Interessen erforderlich ist, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen.
Lesen Sie den zweiten Halbsatz noch einmal. Dort steht eine Bedingung. Und eine Bedingung, die niemand geprüft hat, ist keine erfüllte Bedingung.
Die Prüfung dieser Bedingung heißt Interessenabwägung, auf Englisch Legitimate Interest Assessment, kurz LIA. Sie ist kein Formular, das eine Behörde von Ihnen verlangt. Sie ist der Nachweis, dass Sie das Recht, auf das Sie sich berufen, überhaupt haben.
Zwölf Gründe, warum Sie diese Abwägung brauchen
01
Auch reine Transkription ist eine Verarbeitung personenbezogener Daten
Viele Betriebe denken, das Datenschutzthema beginne erst beim sprechenden Bot. Das ist ein Irrtum. Sobald ein Gespräch in Text verwandelt wird, entsteht ein Datensatz, der einer identifizierbaren Person zugeordnet werden kann - über die Rufnummer, den genannten Namen, den Auftragsbezug. Die Stimme selbst ist ein personenbezogenes Datum, der Inhalt des Gesprächs ebenfalls. Ob am Ende eine Maschine antwortet oder nur mitschreibt, ändert daran nichts.
02
Der Anrufer hat Ihnen nichts erlaubt
Wer bei Ihnen anruft, will einen Termin, ein Angebot oder eine Auskunft. Er hat keine Datenschutzerklärung gelesen und kein Häkchen gesetzt. Eine Einwilligung im Sinne von Art. 4 Nr. 11 DSGVO muss freiwillig, informiert und eindeutig sein - eine Bandansage, nach der man auflegen kann oder eben nicht, erfüllt das nur in engen Grenzen. Und jede Einwilligung ist jederzeit widerrufbar, womit Ihre gesamte Rechtsgrundlage von der Laune eines Einzelnen abhängt.
03
Deshalb landen Sie fast zwangsläufig beim berechtigten Interesse
Vertragserfüllung nach Buchstabe b trägt nur, solange der Anrufer schon Kunde ist und die Verarbeitung für genau diesen Vertrag nötig ist - beim Erstanruf eines Interessenten greift sie nicht. Eine gesetzliche Pflicht zur Gesprächsaufzeichnung haben Sie in der Regel nicht. Damit bleibt in der Praxis Art. 6 Abs. 1 lit. f DSGVO übrig, und mit ihm die Pflicht zur Abwägung. Sie wählen sich diesen Weg nicht aus, er ist der einzige, der offen steht.
04
Buchstabe f ist kein Freibrief, sondern eine Prüfung in drei Schritten
Zuerst müssen Sie sagen, welches Interesse Sie überhaupt verfolgen - "Effizienz" genügt nicht, "lückenlose Erfassung von Kundenanliegen außerhalb der Geschäftszeiten, um Aufträge nicht zu verlieren" schon eher. Dann müssen Sie zeigen, dass es kein milderes Mittel gibt, das genauso wirkt. Und schließlich müssen Sie die Interessen des Anrufers dagegenhalten, insbesondere das, was er vernünftigerweise erwarten durfte, als er zum Hörer griff. Erwägungsgrund 47 der DSGVO macht diese Erwartung ausdrücklich zum Maßstab.
05
Was Sie nicht nachweisen können, haben Sie rechtlich nicht getan
Das ist der Punkt, an dem die meisten Betriebe hängen bleiben. Art. 5 Abs. 2 DSGVO enthält die Rechenschaftspflicht: Sie müssen die Einhaltung der Datenschutzgrundsätze nachweisen können. Eine Abwägung, die Sie im Kopf vorgenommen haben, ist kein Nachweis. Aus Sicht einer Aufsichtsbehörde sieht eine nicht dokumentierte Abwägung genauso aus wie eine, die nie stattgefunden hat.
06
Beim ersten Widerspruch haben Sie vier Wochen und keine Sekunde mehr
Nach Art. 21 Abs. 1 DSGVO kann jeder Anrufer der Verarbeitung widersprechen. Dann müssen Sie zwingende schutzwürdige Gründe darlegen, die seine Interessen überwiegen - und zwar innerhalb der Monatsfrist. Wer erst in diesem Moment mit der Abwägung beginnt, arbeitet unter Zeitdruck an einem Dokument, das rückwirkend gelten soll. Das merkt man ihm an.
07
Ihre Datenschutzinformation ist ohne Abwägung eine Lücke mit Text drumherum
Art. 13 Abs. 1 lit. d DSGVO verlangt, dass Sie die berechtigten Interessen konkret benennen, wenn Sie sich auf Buchstabe f stützen. Sie können dort nicht "berechtigte Interessen des Verantwortlichen" hinschreiben und hoffen, dass niemand nachfragt. Der Satz, der in Ihre Datenschutzhinweise gehört, ist ein Ergebnis der Abwägung - ohne sie erfinden Sie ihn.
08
Der Vertrag mit Ihrem KI-Anbieter ersetzt die Abwägung nicht
Das ist das häufigste Missverständnis überhaupt. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt, was Ihr Dienstleister mit den Daten tun darf, die Sie ihm anvertrauen. Er beantwortet die Frage, ob Sie diese Daten überhaupt erheben durften, mit keinem Wort. Beides sind getrennte Baustellen, und die zweite ist Ihre.
09
"Der Anbieter ist DSGVO-konform" schützt Sie nicht
Ihr Anbieter kann noch so viele Zertifikate auf der Website haben - verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO sind Sie, weil Sie über Zweck und Mittel der Verarbeitung entscheiden. Der Anrufer hat mit Ihrem Betrieb telefoniert, nicht mit dem Softwarehaus. Die Beschwerde bei der Aufsichtsbehörde und der Brief mit dem Auskunftsersuchen landen bei Ihnen.
10
Sitzt der Anbieter außerhalb der EU, kommt eine zweite Prüfung dazu
Viele der leistungsfähigsten Sprachmodelle laufen auf Servern in den USA. Dann brauchen Sie zusätzlich eine Grundlage für den Drittlandtransfer nach Art. 44 ff. DSGVO - etwa eine Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Das ist eine eigene Frage, aber sie gehört in dieselbe Akte, weil sie dieselbe Verarbeitung betrifft.
11
Beim sprechenden Bot kommen Transparenzpflichten obendrauf
Wenn die KI das Gespräch selbst führt, muss Ihr Anrufer erfahren, dass er mit einer Maschine spricht - Art. 50 der KI-Verordnung verlangt das, und die Transparenzpflichten gelten seit August 2026. Trifft der Bot außerdem Entscheidungen mit rechtlicher Wirkung, etwa eine automatische Ablehnung, rührt das an Art. 22 DSGVO. Der Unterschied zwischen Mitschrift und Bot ist also kein Unterschied im Ob der Abwägung, sondern im Umfang dessen, was hineingehört.
12
Neben der DSGVO steht ein Strafgesetz, das oft übersehen wird
§ 201 StGB stellt die Aufnahme des nichtöffentlich gesprochenen Wortes unter Strafe. Eine noch so sorgfältige Interessenabwägung heilt das nicht - für einen echten Audiomitschnitt brauchen Sie die Einwilligung des Anrufers, üblicherweise über eine Ansage zu Gesprächsbeginn. Genau deshalb verzichten viele Systeme bewusst auf die Speicherung der Tonspur und behalten nur den Text. Welche Variante bei Ihnen läuft, wissen Sie oft erst, wenn Sie einmal systematisch hinschauen - und das tun Sie bei der Abwägung.
