Gesprächsdaten beim KI-Telefonassistenten: Löschkonzept & Aufbewahrung nach DSGVO

Kurzfassung: Ein KI-Telefonassistent erzeugt bei jedem Anruf Gesprächsdaten – Audioaufnahme, Transkript, Metadaten und daraus extrahierte Inhaltsdaten. Diese Daten dürfen nicht unbegrenzt gespeichert werden: Die DSGVO verlangt Speicherbegrenzung (Art. 5 Abs. 1 lit. e), ein „Recht auf Vergessenwerden“ (Art. 17) und die fristgerechte Beantwortung von Betroffenenanfragen (Art. 15–21). Wer Gesprächsdaten beim KI-Telefonassistenten rechtssicher betreiben will, braucht drei Dinge: klare Aufbewahrungs- und Löschfristen je Datenart, ein dokumentiertes Löschkonzept und einen definierten Prozess für Auskunfts-, Lösch- und Widerspruchsanträge. Dieser Leitfaden liefert die Rechtslage, eine Entscheidungsmatrix, ein Löschkonzept nach DIN 66398 und einen 30/60/90-Tage-Plan – ohne Preisversprechen und ohne juristisches Fachchinesisch.

Einleitung: Datenspeicherung ist die unsichtbare Hälfte des KI-Telefonassistenten

Die meisten Betriebe evaluieren einen KI-Telefonassistenten danach, wie gut er Anrufe annimmt. Die datenschutzrechtlich entscheidende Frage stellt sich aber erst danach: Was passiert mit den Gesprächsdaten beim KI-Telefonassistenten, nachdem der Anruf beendet ist? Denn jeder angenommene Anruf hinterlässt eine Datenspur – und diese Spur unterliegt der Datenschutz-Grundverordnung (DSGVO). Wer diese Daten zu lange aufbewahrt, verstößt gegen den Grundsatz der Speicherbegrenzung. Wer sie ungeordnet speichert, kann eine Auskunfts- oder Löschanfrage nicht sauber beantworten. Und wer keinen dokumentierten Löschprozess hat, steht bei einer Aufsichtsprüfung ohne Nachweis da. Dieser Artikel ist der operative Deep-Dive zum Datenlebenszyklus: Er erklärt, welche Daten anfallen, wie lange sie gespeichert werden dürfen, wann gelöscht werden muss und wie ein Betrieb Betroffenenrechte in der Praxis abwickelt. Er ersetzt keine Rechtsberatung, gibt DACH-KMU aber eine belastbare Struktur.

Das Wichtigste auf einen Blick

• Gesprächsdaten eines KI-Telefonassistenten umfassen vier Kategorien: Audioaufnahme, Transkript, technische Metadaten (Rufnummer, Zeitstempel, Dauer) und strukturiert extrahierte Inhaltsdaten (Name, Anliegen, Termin) – jede Kategorie braucht eine eigene Löschregel.
• Die DSGVO verlangt, personenbezogene Daten nur so lange zu speichern, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e); danach sind sie zu löschen oder zu anonymisieren.
• Rohe Audioaufnahmen unterliegen in der Regel keiner gesetzlichen Aufbewahrungspflicht und sollten so früh wie möglich gelöscht werden – gesetzliche Fristen betreffen nur die Belege des Geschäftsvorfalls, nicht die Sprachaufnahme selbst.
• Handels- und steuerrechtliche Aufbewahrungsfristen gelten für Belege, nicht für Anrufmitschnitte: Buchungsbelege sind seit dem 1. Januar 2025 nur noch acht statt zehn Jahre aufzubewahren (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB).
• Auf einen Auskunfts-, Lösch- oder Widerspruchsantrag (Art. 15–21 DSGVO) müssen Betriebe grundsätzlich innerhalb eines Monats reagieren (Art. 12 Abs. 3 DSGVO).

Was sind Gesprächsdaten beim KI-Telefonassistenten? Begriffsklärung

Antwort vorweg: Gesprächsdaten sind alle personenbezogenen Daten, die im Zusammenhang mit einem Anruf beim KI-Telefonassistenten anfallen. Sie zerfallen in vier klar unterscheidbare Kategorien – und diese Trennung ist die Grundlage jedes Löschkonzepts.

• Audioaufnahme: Der Mitschnitt des gesprochenen Wortes. Rechtlich am sensibelsten, weil er Stimme, Wortwahl und Nebengeräusche enthält – und weil die Aufzeichnung des nicht-öffentlich gesprochenen Wortes ohne Kenntnis der Beteiligten problematisch ist.
• Transkript: Die verschriftlichte Fassung des Gesprächs. Enthält denselben Inhalt wie die Audioaufnahme, ist aber leichter zu durchsuchen und zu filtern.
• Metadaten: Rufnummer, Datum, Uhrzeit, Gesprächsdauer, ggf. Warteschleifen- und Weiterleitungsinformationen. Auch eine Rufnummer allein ist ein personenbezogenes Datum.
• Extrahierte Inhaltsdaten: Die strukturierten Ergebnisse, die der Assistent aus dem Gespräch gewinnt – Name, Terminwunsch, Rückrufnummer, Anliegenkategorie. Diese Daten fließen in Kalender, CRM oder Reservierungssystem.

Beispiel: Ruft ein Gast an, um einen Tisch zu reservieren, entstehen aus einem 90-Sekunden-Gespräch eine Audiodatei, ein Transkript, ein Metadatensatz und ein strukturierter Reservierungseintrag. Einordnung: Diese vier Artefakte haben unterschiedliche Zwecke und damit unterschiedliche Löschfristen. Der Reservierungseintrag wird bis nach dem Besuch gebraucht, die Audiodatei dagegen meist gar nicht.

Aufbewahren oder löschen? Die Rechtslage in klarer Reihenfolge

Antwort vorweg: Die DSGVO kehrt die intuitive Logik um. Der Normalzustand ist Löschen, nicht Speichern. Gespeichert werden darf nur, solange ein konkreter Zweck oder eine gesetzliche Pflicht die Aufbewahrung trägt.

Grundsatz 1: Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO)

Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist. Ist der Zweck erfüllt – die Reservierung wahrgenommen, der Rückruf erledigt – entfällt die Rechtsgrundlage, und die Daten werden löschfällig. Das ist kein Ermessen, sondern ein Grundprinzip.

Grundsatz 2: Recht auf Löschung (Art. 17 DSGVO)

Zusätzlich zur turnusmäßigen Löschung besteht das „Recht auf Vergessenwerden“: Daten sind unter anderem dann zu löschen, wenn sie für den Zweck nicht mehr notwendig sind, eine Einwilligung widerrufen wurde oder ein berechtigter Widerspruch vorliegt. Die Löschpflicht greift also sowohl automatisch (nach Fristablauf) als auch auf Antrag.

Grundsatz 3: Aufbewahrungspflichten betreffen Belege, nicht Mitschnitte

Hier entsteht das häufigste Missverständnis. Handels- und steuerrechtliche Aufbewahrungsfristen gelten für Geschäftsunterlagen – nicht für die Audioaufnahme eines Anrufs. Konkret wurde durch das Vierte Bürokratieentlastungsgesetz (BEG IV) die Aufbewahrungsfrist für Buchungsbelege wie Rechnungen zum 1. Januar 2025 von zehn auf acht Jahre verkürzt (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB); für Jahresabschlüsse und Inventare bleibt es bei zehn, für Handels- und Geschäftsbriefe bei sechs Jahren. Für einen Betrieb heißt das: Führt ein Anruf zu einer Rechnung, wird die Rechnung nach diesen Fristen aufbewahrt – die zugrunde liegende Sprachaufnahme aber muss deshalb nicht Jahre lang gespeichert werden. Sie erfüllt keinen fortdauernden Zweck und ist regelmäßig früh zu löschen.

Faustregel: Trennen Sie die Datenspur des Gesprächs von den Belegen des Geschäftsvorfalls. Die Belege folgen gesetzlichen Fristen, die Gesprächsdaten folgen dem Grundsatz der Datenminimierung.

Entscheidungsmatrix: Welche Gesprächsdaten wie lange – und wann es riskant wird

Die folgende Matrix ordnet die vier Datenkategorien nach empfohlener Aufbewahrung und macht sichtbar, wo eine Speicherpraxis geeignet, nur bedingt geeignet oder riskant ist. Die konkreten Fristen legt jeder Betrieb im eigenen Löschkonzept fest; die Matrix zeigt die Richtung.

Besondere Vorsicht gilt, sobald ein Gespräch Gesundheits- oder andere sensible Daten nach Art. 9 DSGVO berührt – typisch in Praxen, Pflege oder Apotheken. Wie ein datenschutzsensibler Gesundheitskontext konkret aussieht, zeigt der Beitrag KI-Telefonassistent für Zahnarztpraxen. In solchen Fällen ist die sicherste Löschregel, sensible Inhalte gar nicht erst dauerhaft zu speichern.

Das Löschkonzept nach DIN 66398: Struktur statt Bauchgefühl

Antwort vorweg: Ein Löschkonzept ist die dokumentierte Antwort auf die Frage „Welche Datenart wird nach welcher Frist ab welchem Startzeitpunkt gelöscht?“. Als praktischer Rahmen hat sich die DIN 66398 etabliert.

Die DIN 66398 trägt den Titel „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten“ und wurde im Mai 2016 veröffentlicht. Sie zerlegt das Problem in wenige Bausteine: Der Datenbestand wird in Datenarten gegliedert; Datenarten mit gleicher Frist und gleichem Startzeitpunkt werden zu Löschklassen zusammengefasst; für jede Löschklasse gilt eine Löschregel aus Löschfrist und Startzeitpunkt; und Umsetzungsvorgaben beschreiben, wie in einzelnen Systemen technisch gelöscht wird. Wichtig: Konkrete Fristen gibt die Norm nicht vor – die verantwortliche Stelle bleibt in der Pflicht, sie aus Zweck und Recht abzuleiten.

Ein aktueller Hinweis zur Einordnung: Die DIN 66398 wurde im September 2025 formal zurückgezogen und durch die DIN EN ISO/IEC 27555 ersetzt, die dieselbe Vorgehensweise beschreibt. Die Methode bleibt damit inhaltlich gültig und übertragbar.

So sieht eine Löschregel für Gesprächsdaten in der Praxis aus

• Datenart „Audioaufnahme Anruf“: Löschfrist kurz, Startzeitpunkt „Ende des Gesprächs“. Umsetzung: automatische Löschung im Sprachsystem.
• Datenart „Transkript“: Löschfrist nach Erledigung des Anliegens, Startzeitpunkt „Abschluss des Vorgangs“. Umsetzung: automatischer Job im Assistenz-Backend.
• Datenart „Rückrufnotiz/Anliegen“: Löschfrist nach Rückruf bzw. Terminwahrnehmung, Startzeitpunkt „Zweckerfüllung“. Umsetzung: Löschung im CRM oder Überführung in den regulären Kundendatensatz.

Entscheidend ist, dass auch Backups und Kopien mitgedacht werden: Daten gelten erst dann als gelöscht, wenn sie nicht über Sicherungskopien wieder auftauchen. Das Löschkonzept ist Teil der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und sollte im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) verankert sein.

Betroffenenrechte: Auskunft, Berichtigung, Löschung, Widerspruch (Art. 15–21)

Antwort vorweg: Anrufende können verlangen zu erfahren, welche Gesprächsdaten über sie gespeichert sind, und deren Berichtigung, Löschung oder Einschränkung fordern. Der Betrieb – nicht der Voice-AI-Anbieter – ist als Verantwortlicher zur Beantwortung verpflichtet und hat dafür grundsätzlich einen Monat Zeit (Art. 12 Abs. 3 DSGVO). Die Frist ist bei Komplexität um bis zu zwei weitere Monate verlängerbar.

Die relevanten Rechte im Überblick

• Art. 15 – Auskunft: Die betroffene Person kann eine Kopie ihrer gespeicherten Daten und Angaben zu Zwecken, Empfängern und Speicherdauer verlangen. Für Gesprächsdaten heißt das: Transkript, Metadaten und extrahierte Inhaltsdaten müssen auffindbar sein.
• Art. 16 – Berichtigung: Falsch erfasste Daten (etwa eine falsch verstandene Telefonnummer) sind zu korrigieren.
• Art. 17 – Löschung: Sind die Daten nicht mehr erforderlich oder wurde eine Einwilligung widerrufen, ist zu löschen – sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Art. 18 – Einschränkung: Statt Löschung kann die Verarbeitung eingeschränkt („gesperrt“) werden, etwa während eine Richtigkeit geprüft wird.
• Art. 20 – Datenübertragbarkeit: In bestimmten Fällen können Daten in einem strukturierten Format herausverlangt werden.
• Art. 21 – Widerspruch: Gegen eine auf berechtigtem Interesse gestützte Verarbeitung kann widersprochen werden.

Praktische Konsequenz: Ohne durchsuchbare, nach Rufnummer oder Name auffindbare Ablage lässt sich ein Auskunftsersuchen nicht in einem Monat erfüllen. Genau hier zahlt sich das Löschkonzept doppelt aus: Wer weniger und geordnet speichert, beantwortet Anfragen schneller und übersieht keine Altbestände.

Human-Handover-Regeln für Datenschutzanfragen am Telefon

Antwort vorweg: Der KI-Telefonassistent beantwortet Datenschutzanfragen nicht selbst. Er erkennt sie, protokolliert sie strukturiert und übergibt an die zuständige Stelle. Das ist zugleich Rechtspflicht und Qualitätssicherung.

• Auskunfts-, Lösch- oder Widerspruchsanträge (Art. 15–21): Sobald ein Anrufender erkennbar Betroffenenrechte geltend macht, nimmt der Assistent Name, Rückrufweg und Anliegen auf und leitet an die datenschutzverantwortliche Person weiter – er entscheidet nicht eigenständig über Löschung.
• Gesundheits- oder Sonderdaten (Art. 9): Werden sensible Daten thematisiert, wechselt der Assistent in einen Rückruf- oder Weiterleitungsmodus, statt sie breit zu transkribieren und zu speichern.
• Widerruf einer Einwilligung: Der Wunsch, eine erteilte Einwilligung zurückzuziehen, wird dokumentiert und an die zuständige Stelle gegeben – mit klarem Zeitstempel für die Fristwahrung.
• Identitätszweifel: Vor einer Auskunft oder Löschung muss die Identität geprüft werden. Diese Prüfung gehört zu einem menschlichen Prozess, nicht in den automatisierten Dialog.

Die grundlegenden Prinzipien von Human-Handover und die vier Datenschutz-Bausteine für den Betrieb behandelt der Überblicksbeitrag Voice AI datenschutzkonform betreiben ausführlich.

30/60/90-Tage-Plan: Löschkonzept und Betroffenenrechte einführen

Phase 1 – Bestandsaufnahme und Verträge (Tage 1–30)

• Datenarten erfassen: Welche Gesprächsdaten entstehen (Audio, Transkript, Metadaten, Inhaltsdaten) und in welchen Systemen liegen sie?
• Zwecke je Datenart festhalten und ins Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) aufnehmen.
• Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit dem Anbieter prüfen: Enthält er Löschregeln, Serverstandort und die Behandlung von Unterauftragsverarbeitern?
• Prüfen, ob Audioaufnahmen überhaupt dauerhaft anfallen – oder ob transkriptbasiert und speicherarm gearbeitet werden kann.

Phase 2 – Löschkonzept und Prozesse (Tage 31–60)

• Löschklassen und Löschregeln je Datenart nach DIN 66398 / DIN EN ISO/IEC 27555 definieren – inklusive Startzeitpunkt.
• Umsetzungsvorgaben festlegen: automatische Löschjobs im Sprachsystem, im CRM und in Backups.
• Prozess für Betroffenenanfragen aufsetzen: Wer nimmt an, wer prüft die Identität, wer antwortet innerhalb der Monatsfrist (Art. 12 Abs. 3 DSGVO)?
• Human-Handover-Regeln für Datenschutzanfragen schriftlich fixieren und mit Testanrufen prüfen.

Phase 3 – Kontrolle und Nachweis (Tage 61–90)

• Löschprotokolle einführen: dokumentieren, dass Löschungen tatsächlich und fristgerecht erfolgen.
• Stichprobe: Ein simuliertes Auskunftsersuchen durchspielen – werden alle Datenarten gefunden und innerhalb eines Monats zusammengestellt?
• Backups gegenprüfen: Tauchen gelöschte Gesprächsdaten in Sicherungskopien wieder auf?
• Quartals-Review festlegen: Löschregeln, Fristen und Anbieter-AVV mindestens vierteljährlich prüfen.

Eine erste, unverbindliche Konfiguration inklusive der relevanten Datenschutzeinstellungen lässt sich über den Konfigurator zusammenstellen; offene Punkte klärt der Abschnitt häufige Fragen.

Häufige Fragen (FAQ)

Wie lange dürfen Gesprächsdaten eines KI-Telefonassistenten gespeichert werden?

Nur so lange, wie es der Zweck erfordert (Art. 5 Abs. 1 lit. e DSGVO). Für eine Terminaufnahme ist das oft nur bis zur Wahrnehmung des Termins. Eine feste gesetzliche Frist für Anrufmitschnitte gibt es nicht – gesetzliche Aufbewahrungsfristen betreffen Belege wie Rechnungen, nicht die Audioaufnahme. Die konkrete Frist legt der Betrieb je Datenart im Löschkonzept fest.

Muss ich Audioaufnahmen von Anrufen überhaupt speichern?

In der Regel nicht dauerhaft. Für die Erfüllung des Anliegens genügen meist Transkript und extrahierte Inhaltsdaten. Eine Audioaufnahme erfüllt selten einen fortdauernden Zweck und sollte deshalb frühestmöglich gelöscht oder gar nicht erst dauerhaft gespeichert werden – das reduziert Risiko und Aufwand bei Betroffenenanfragen.

Wer muss eine Löschanfrage beantworten – mein Betrieb oder der Anbieter?

Ihr Betrieb. Als Verantwortlicher im Sinne der DSGVO müssen Sie Auskunfts-, Lösch- und Widerspruchsanträge beantworten – grundsätzlich innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Der Voice-AI-Anbieter ist Auftragsverarbeiter und muss Sie dabei nach dem Auftragsverarbeitungsvertrag (Art. 28 DSGVO) unterstützen, etwa durch technische Löschfunktionen.

Was ist ein Löschkonzept und brauche ich es wirklich?

Ein Löschkonzept legt systematisch fest, welche Datenart nach welcher Frist ab welchem Startzeitpunkt gelöscht wird. Es ist die praktische Umsetzung der Speicherbegrenzung und wird bei einer Aufsichtsprüfung herangezogen. Als Rahmen hat sich die DIN 66398 etabliert, die seit September 2025 durch die inhaltsgleiche DIN EN ISO/IEC 27555 abgelöst wurde. Ohne dokumentierte Löschregeln lässt sich weder löschen noch nachweisen.

Gelten die handels- und steuerrechtlichen Aufbewahrungsfristen auch für Anrufdaten?

Nein, nicht für die Gesprächsdaten selbst. Die Fristen nach § 147 AO und § 257 HGB gelten für Buchungsbelege und andere Geschäftsunterlagen. Diese wurden für Buchungsbelege seit dem 1. Januar 2025 von zehn auf acht Jahre verkürzt. Führt ein Anruf zu einem solchen Beleg, gilt die Frist für den Beleg – die Audioaufnahme oder das Transkript des Gesprächs müssen deshalb nicht über Jahre aufbewahrt werden.

Wie beantworte ich ein Auskunftsersuchen zu Gesprächsdaten fristgerecht?

Voraussetzung ist eine geordnete, nach Rufnummer oder Name auffindbare Ablage. Erfassen Sie den Antrag mit Zeitstempel, prüfen Sie die Identität, stellen Sie alle Datenarten (Transkript, Metadaten, Inhaltsdaten) zusammen und antworten Sie innerhalb eines Monats. Datenminimierung hilft doppelt: Weniger und geordnet gespeicherte Daten lassen sich schneller und vollständiger beauskunften.

Fazit: Wer löscht, gewinnt Kontrolle

Der datenschutzrechtliche Reifegrad eines KI-Telefonassistenten zeigt sich nicht bei der Anrufannahme, sondern danach – im Umgang mit den Gesprächsdaten. Betriebe, die je Datenart eine klare Löschregel definieren, rohe Audioaufnahmen früh entfernen und einen sauberen Prozess für Betroffenenanfragen haben, erfüllen nicht nur die DSGVO. Sie sind auch schneller auskunftsfähig, reduzieren Angriffsfläche und behalten die Kontrolle über ihre Datenbestände. Die Reihenfolge ist einfach: erst Datenarten und Zwecke klären, dann Löschregeln festlegen, dann automatisiert umsetzen und dokumentieren.

Sie möchten sehen, wie ein datensparsam konfigurierter KI-Telefonassistent im Gespräch klingt? KI selber ausprobieren. Den branchenübergreifenden Rahmen liefert der Beitrag Voice AI datenschutzkonform betreiben; weitere Artikel finden Sie im hey-listen.ai Wissenshub.

Quellen

• Verordnung (EU) 2016/679 (DSGVO): Art. 5 Abs. 1 lit. e (Speicherbegrenzung), Art. 12 Abs. 3 (Fristen für Betroffenenanträge, grundsätzlich ein Monat), Art. 15–21 (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), Art. 28 (Auftragsverarbeitung), Art. 30 (Verzeichnis), Art. 32 (Sicherheit der Verarbeitung). Verwendete Aussagen: Speicherbegrenzung, Monatsfrist, Betroffenenrechte, Rolle des Verantwortlichen. URL: eur-lex.europa.eu, abgerufen 04.08.2026.
• DIN 66398:2016-05 „Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten“: Veröffentlichung Mai 2016; Bausteine Datenarten, Löschklassen, Löschregeln, Umsetzungsvorgaben; keine festen Fristen. Verwendete Aussage: Aufbau und Methode eines Löschkonzepts. URL: din-66398.de, abgerufen 04.08.2026.
• Rückzug DIN 66398 / Ablösung durch DIN EN ISO/IEC 27555: Im September 2025 wurde die DIN 66398 formal zurückgezogen und durch die inhaltsgleiche DIN EN ISO/IEC 27555 ersetzt; die Methode bleibt gültig. Verwendete Aussage: DIN 66398 seit 09/2025 abgelöst, inhaltlich weiter gültig. URL: din-66398.de, abgerufen 04.08.2026.
• Viertes Bürokratieentlastungsgesetz (BEG IV) – Aufbewahrungsfristen: Verkürzung der Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre zum 1. Januar 2025 (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB); zehn Jahre weiterhin u. a. für Jahresabschlüsse und Inventare, sechs Jahre für Handels-/Geschäftsbriefe. Verwendete Aussage: 8-Jahres-Frist für Buchungsbelege seit 2025. URL: ihk-muenchen.de, abgerufen 04.08.2026.