VoiceBot und Datenschutz: KI-Telefonie DSGVO-konform umsetzen

KI-Telefonie boomt, aber wo bleiben die Daten?

Aktualisiert am 9. September 2026 nach Betreiberbestätigung: Ältere Fassungen dieses Beitrags ordneten die gesamte Sprachverarbeitung Telnyx zu und stellten europäische Sprachtechnologie als noch nicht echtzeitfähig dar. Diese Aussagen sind überholt. Bei Nexoria stellt Telnyx den Telefonanschluss in Frankfurt bereit. Spracherkennung und Sprachsynthese laufen über Voxtral von Mistral AI in Frankreich; auch die KI-Antworten erzeugt Mistral AI in Frankreich. Der STT/TTS-Dienst speichert die Sprachdaten dabei nicht. Standort und Datenkontrollen sind Betreiberangaben, keine externe Vertragsprüfung.

KI-Telefonassistenten nehmen Anrufe entgegen, beantworten Fragen und können Termine oder Aufgaben aus einem Gespräch anlegen. Für die Bewertung einer solchen Lösung hilft es, vier Schritte getrennt zu betrachten: Telefonanschluss, Spracherkennung, KI-Antwortgenerierung und Sprachsynthese. Anbieter und Verarbeitungsort können sich zwischen diesen Schritten unterscheiden.

Bei Nexoria ist diese Aufteilung konkret benannt: Telefonanschluss in Frankfurt über Telnyx; Spracherkennung, Sprachsynthese und KI-Antwortgenerierung über Mistral AI in Frankreich. Die Wissensbasis liegt auf dedizierten Servern in Deutschland. Dieser Beitrag beschreibt die beteiligten Dienste sowie die Regeln für Einwilligung und Aufbewahrung beim optionalen VoiceBot.

Voxtral für Spracherkennung und Sprachsynthese

Voxtral von Mistral AI übernimmt bei Nexoria sowohl Speech-to-Text (STT) als auch Text-to-Speech (TTS). Bei STT wird die Sprache des Anrufers für die weitere Verarbeitung in Text umgewandelt. TTS macht aus der formulierten Antwort wieder gesprochene Sprache.

Mistral dokumentiert beide Funktionen in seiner [Audio-Dokumentation](https://docs.mistral.ai/studio/audio/overview), einschließlich Voxtral für Spracherkennung und Voxtral TTS für Sprachsynthese. Die Dokumentation beschreibt die verfügbaren Modellfunktionen. Die hier genannte Verarbeitung in Frankreich und der Verzicht auf Speicherung durch den STT/TTS-Dienst beruhen auf der Betreiberbestätigung zur Nexoria-Konfiguration vom 9. September 2026.

Für flüssige Telefongespräche zählt die Reaktionszeit der gesamten Kette. Prüfen Sie in einer Demonstration, wie schnell der VoiceBot auf typische Fragen reagiert und wie er mit Pausen oder Unterbrechungen umgeht.

So ist die Verarbeitung bei Nexoria aufgeteilt

• Telefonanschluss: Telnyx stellt den Anschluss in Frankfurt bereit. Telnyx ist ein US-amerikanisches Unternehmen mit EU-Niederlassung in Irland. Für Telnyx gelten die im Auftragsverarbeitungsvertrag und Verzeichnis nach Art. 30 genannten Standardvertragsklauseln.
• Spracherkennung und Sprachsynthese: STT und TTS erfolgen über Voxtral von Mistral AI in Frankreich. Dabei werden die Sprachdaten vom STT/TTS-Dienst nicht gespeichert.
• KI-Antwortgenerierung: Mistral AI verarbeitet die für die Antwort benötigten Inhalte in Frankreich. Die von Nexoria übermittelten Daten werden nicht für Modelltraining verwendet; dies ist im individuellen Auftragsverarbeitungsvertrag zwischen Nexoria und Mistral AI vereinbart.
• Wissensbasis: Dateien und Wissensindex liegen auf dedizierten Servern in deutschen Rechenzentren. Für die Antwort können relevante Kontextausschnitte an Mistral AI übermittelt werden.

Die Aussage zur fehlenden Speicherung beim STT/TTS-Dienst ist von der Aufbewahrung in Nexoria zu unterscheiden: Die Datenschutzerklärung regelt separat, welche Anrufdaten und bei aktiver Einwilligung welche Gesprächsinhalte im Nexoria-Workspace entstehen. Die Einzelheiten stehen im [Auftragsverarbeitungsvertrag](/legal/avv), in der [Datenschutzerklärung](/legal/datenschutz) und im [Verzeichnis der Verarbeitungstätigkeiten](/legal/verzeichnis).

Reine Opt-In-Lösung: Was der VoiceBot mit Ihrer Plattform zu tun hat

Ein Punkt, der uns besonders wichtig ist: Der Nexoria VoiceBot wird niemals automatisch aktiviert. Er ist ein eigenständiges Zusatzprodukt, das Sie bewusst und separat buchen. Kein Unternehmen, das die Nexoria-Plattform nutzt, hat plötzlich einen VoiceBot laufen, ohne dies aktiv entschieden zu haben. Das ist ein fundamentaler Designgrundsatz, keine nachträgliche Datenschutzmaßnahme.

Bleibt die Frage nach der Trennung von der Plattform. Belegt ist dazu Folgendes:

• Der Auftragsverarbeitungsvertrag hält in § 7 Absatz (3a) fest, dass die Kernplattform vom VoiceBot vollständig getrennt ist und Dateien und Wissensindex auf deutschen Servern liegen
• Das Verzeichnis nach Art. 30 nennt als Zweck dieser Verarbeitung Anrufentgegennahme, Terminbuchung, Aufgabenerstellung und Weiterleitung, als betroffene Personen führt es die Anrufer
• Die Datenschutzerklärung führt auf, was aus einem Anruf entsteht: Telefonnummer, Name und Anliegen des Anrufers, Anrufdauer, Zeitstempel und Consent-Status, das Transkript nur bei aktiver Zustimmung, dazu erstellte Aufgaben und Kalendereinträge auf Basis des Gesprächs
• Ohne abgeschlossenes VoiceBot-Abonnement werden keine Daten an Telnyx übermittelt. Die KI-Antwortgenerierung der Kernplattform über Mistral AI ist davon unabhängig

„Vollständig getrennt“ heißt an dieser Stelle getrennte Systeme mit einer definierten Übergabe, nicht ein technisch ausgeschlossener Zugriff. Derselbe Absatz des Vertrags beschreibt selbst einen Weg, auf dem Inhalte in das Gespräch gelangen: Für die Antwortgenerierung verarbeitet Mistral AI relevante Kontextausschnitte innerhalb der EU. Und aus einem Anruf entstehen Termine und Aufgaben, es gibt also eine Verbindung in Ihren Mandanten. Wie weit sie reicht, welche Operationen sie also freigibt und welche nicht, steht weder im Auftragsverarbeitungsvertrag noch in der Datenschutzerklärung noch im Verzeichnis nach Art. 30. Solange das so ist, sichern wir es an dieser Stelle nicht zu.

Für den Nexoria KI-Assistenten, die Wissensbasis, DocStudio, Aufgaben und Kalender bleiben die Datenwege der Kernplattform getrennt vom optionalen Telefonanschluss zu betrachten: Dateien, Wissensindex und semantische Suche liegen auf Servern in Deutschland. Die KI-Antwortgenerierung erfolgt durch Mistral AI in Frankreich. Weitere Dienste, darunter die technische Fehlerüberwachung über Sentry, und aktivierte Integrationen sind unter [Sicherheit](/security) einzeln beschrieben. Daraus folgt keine pauschale Aussage über die gesamte Verarbeitung aller zusätzlich genutzten Funktionen.

DSGVO-Consent per Tastendruck: So funktioniert es

Wenn ein Anrufer den VoiceBot erreicht, greift ein mehrstufiges Einwilligungsverfahren, das auf dem DTMF-Consent-Verfahren basiert (Dual-Tone Multi-Frequency, die Tonsignale beim Drücken einer Telefontaste). Dieses Verfahren erfüllt die Anforderungen des Art. 6 Abs. 1 lit. a in Verbindung mit Art. 7 DSGVO sowie die EDPB Guidelines 05/2020 on Consent (Rn. 77-82).

Der Ablauf im Detail:

• Der Anrufer hört zu Beginn: „Dieses Gespräch wird von einer künstlichen Intelligenz geführt. Möchten Sie, dass das Gespräch zum Zweck der Qualitätssicherung aufgezeichnet wird? Drücken Sie die 1 für Ja oder die 2 für Nein.“
• Der Tastendruck wird als aktive, unmissverständliche Handlung gewertet und erfüllt damit das Erfordernis einer eindeutigen bestätigenden Handlung nach Art. 7 DSGVO
• Bei „Nein“ (Taste 2) wird das Gespräch trotzdem geführt, aber ohne jegliche Aufzeichnung oder Transkription
• Reagiert der Anrufer gar nicht, gilt der Zustand als „nicht entschieden“, auch dann wird nicht aufgezeichnet

Technisch setzen wir ein 3-State-Consent-Modell ein:

• NULL: Keine Entscheidung getroffen (Default: keine Aufzeichnung)
• false: Explizit abgelehnt (keine Aufzeichnung, Entscheidung wird respektiert und dokumentiert)
• true: Explizit zugestimmt (Transkription startet, Einwilligung wird mit Zeitstempel, Sitzungs-ID und SHA256-Hash der Anrufernummer nachvollziehbar protokolliert)

Dieses Modell unterscheidet sich grundlegend vom „Opt-Out“-Ansatz vieler Anbieter, bei dem die Aufzeichnung standardmäßig läuft und der Anrufer aktiv widersprechen muss. Der EDPB hat wiederholt klargestellt, dass voreingestellte Zustimmungen keine gültige Einwilligung darstellen (EDPB Guidelines 05/2020, Rn. 81). Unser Ansatz stellt sicher, dass ohne aktives Einverständnis niemals personenbezogene Gesprächsdaten gespeichert werden. Die Einwilligung ist jederzeit widerrufbar (Art. 7 Abs. 3 DSGVO), auch während des laufenden Gesprächs.

EU AI Act: Transparenzpflicht für VoiceBots

Seit dem 2. Februar 2025 gelten die ersten Bestimmungen der EU-Verordnung über künstliche Intelligenz (Verordnung (EU) 2024/1689), besser bekannt als EU AI Act. Für VoiceBots ist Art. 50 Abs. 1 zentral: KI-Systeme, die direkt mit natürlichen Personen interagieren, müssen so gestaltet sein, dass die betroffene Person darüber informiert wird, dass sie mit einem KI-System interagiert. Der Gesetzgeber geht davon aus, dass Menschen ihr Kommunikationsverhalten ändern, wenn sie wissen, dass ihr Gegenüber eine Maschine ist.

Bei Nexoria setzen wir diese Pflicht wie folgt um:

• Sofortige Offenlegung: Noch bevor das eigentliche Gespräch beginnt, hört der Anrufer unmissverständlich, dass er mit einer KI spricht, nicht versteckt am Ende einer langen Ansage, sondern als erstes Statement
• Klare Sprache: Die Formulierung ist einfach und verständlich: „Sie sprechen mit einem KI-Telefonassistenten.“ Kein Juristendeutsch, kein Kleingedrucktes
• Kein Umgehen: Die Ansage ist technisch fest im IVR-Flow verankert und kann vom Unternehmen, das den VoiceBot einsetzt, nicht deaktiviert oder übersprungen werden
• Weiterleitung an Menschen: Der Anrufer hat jederzeit die Möglichkeit, zu einem menschlichen Mitarbeiter weitergeleitet zu werden (sofern vom Unternehmen konfiguriert)

Verstöße gegen Art. 50 können mit Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden (Art. 99 Abs. 4 EU AI Act). Da moderne VoiceBots mit hochwertiger Sprachsynthese immer natürlicher klingen, wird die Kennzeichnungspflicht in Zukunft eher strenger als lockerer ausgelegt werden. Eine Ausnahme sieht Art. 50 Abs. 1 für „offensichtlich“ erkennbare KI-Systeme vor. Diese greift bei modernen VoiceBots allerdings nicht, da sie gerade darauf ausgelegt sind, natürlich zu klingen.

Wir sehen die Transparenzpflicht nicht als Belastung, sondern als Qualitätsmerkmal. Kunden, die wissen, dass sie mit einer KI sprechen, formulieren präziser, haben realistischere Erwartungen und bewerten das Ergebnis fairer.

Aufbewahrungsfristen und automatische Löschung

Art. 5 Abs. 1 lit. e DSGVO formuliert den Grundsatz der Speicherbegrenzung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Für VoiceBot-Daten haben wir klare, automatisiert durchgesetzte Fristen definiert.

Unsere Aufbewahrungsrichtlinie:

• Audio-Rohdaten: Werden niemals dauerhaft gespeichert. Die Sprachverarbeitung erfolgt als Echtzeit-Stream: Audio wird in Text umgewandelt und das Audiosignal sofort verworfen. Es existiert zu keinem Zeitpunkt eine Audiodatei des Gesprächs auf unseren Servern.
• Transkripte (nur mit Consent): Maximal 90 Tage Aufbewahrung. Wurde keine Einwilligung erteilt, wird kein Transkript erstellt. Nach Ablauf der 90 Tage erfolgt die Löschung automatisch und unwiderruflich.
• Anrufernummern: Nach 90 Tagen automatische Trunkierung auf den Vorwahlbereich (z.B. +49 228 statt +49 228 1234567). So bleiben anonymisierte statistische Auswertungen möglich, ohne dass eine Identifizierung des Anrufers möglich ist. Diese Maßnahme entspricht dem Prinzip der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.
• Consent-Protokolle: Werden mindestens so lange aufbewahrt wie die zugehörigen Gesprächsdaten, zuzüglich einer Frist von 3 Jahren für mögliche Beschwerden (§ 195 BGB Verjährungsfrist). So kann die Einwilligung im Streitfall nachgewiesen werden (Art. 7 Abs. 1 DSGVO).

Die Löschung erfolgt vollständig automatisiert durch einen täglichen Hintergrundprozess (Cronjob), der abgelaufene Datensätze identifiziert und unwiderruflich entfernt. Es gibt keine manuelle Komponente, die vergessen oder umgangen werden könnte. Der Löschmechanismus ist in unserem Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert und wird regelmäßig auditiert.

Mehrere Datenschutzaufsichtsbehörden, darunter das BayLDA (Bayerisches Landesamt für Datenschutzaufsicht), haben in Stellungnahmen bestätigt, dass eine 90-Tage-Frist für Gesprächsdaten als angemessener Kompromiss zwischen operativer Notwendigkeit und Datensparsamkeit gilt.