VoiceBots rechtssicher einsetzen: Datenschutz, KI und Urheberrecht

Voicebots werden zunehmend in unternehmerischen Abläufen eingesetzt, insbesondere im Kundenservice, Vertrieb und Support. Sie ermöglichen eine automatisierte Bearbeitung standardisierter Anfragen, gewährleisten eine ständige Erreichbarkeit und führen zu Effizienzgewinnen durch verkürzte Reaktionszeiten, geringere Betriebskosten und 24/7-Erreichbarkeit. Auch in Hochlastphasen – etwa während saisonaler Spitzen oder bei grossen Informationskampagnen – erlaubt ihre Skalierbarkeit eine zuverlässige Bearbeitung hoher Kommunikationsvolumina.

Mit der zunehmenden Nutzung solcher Systeme treten rechtliche Fragestellungen verstärkt in den Vordergrund. Zentral sind datenschutzrechtliche Aspekte der Sprachdatenverarbeitung, Transparenzpflichten gegenüber den Nutzerinnen und Nutzern sowie die Einhaltung der Vorgaben für werbliche Telefonkontakte. Von besonderer Relevanz sind hierbei die Bestimmungen des DSG und des Fernmeldegesetztes in der Schweiz und der DSGVO, der ePrivacy-Richtlinie und des AI Acts in der EU.

Darüber hinaus stellen sich haftungsrechtliche Fragen im Zusammenhang mit Fehlfunktionen oder unzutreffenden Auskünften automatisierter Systeme. Ebenso ist zu prüfen, inwieweit eine Delegation an Voicebots bei rechtlich sensiblen oder komplexen Vorgängen zulässig bleibt.

Der Einsatz von Voicebots verdeutlicht damit das Spannungsfeld zwischen technologischer Effizienz und regulatorischer Verantwortung. Dieses Spannungsfeld bildet den Ausgangspunkt für die nachfolgenden rechtlichen Ausführungen.

Was sind Voicebots?

Voicebots sind KI-gestützte Sprachagenten, die mittels Spracherkennung, natürlicher Sprachverarbeitung und Sprachausgabe automatisch mit Nutzerinnen und Nutzern telefonieren können. Sie eignen sich insbesondere zur Bearbeitung strukturierter und häufig wiederkehrender Aufgaben im Kundenservice, etwa bei Buchungen, Rechnungsanfragen oder Passwort-Resets. Darüber hinaus kommen sie zunehmend auch in anderen Anwendungsbereichen zum Einsatz – beispielsweise zur automatisierten Terminvereinbarung bei Dienstleistern oder im Rahmen von Akquisetelefonaten im Auftrag von Unternehmen. Durch ihren vielseitigen Einsatz bieten Voicebots eine effiziente Möglichkeit, standardisierte Prozesse zu automatisieren und die Erreichbarkeit zu verbessern.

Im Gegensatz zu klassischen IVR‑Systemen („taste menu“) ermöglichen moderne Voicebots dialogorientierte Interaktionen mit Pause, Unterbrechungen und kontextuellem Verständnis. Auch wenn sie erstaunliche Fortschritte gemacht haben, bleiben Limitationen bestehen – insbesondere bei komplexen, emotionalen oder strategischen Gesprächssituationen.

Welche Datenschutzrechtlichen Themen sind zu berücksichtigen?

Die zuständige Aufsichtsbehörde, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), hat ausdrücklich darauf hingewiesen, dass die bestehenden datenschutzrechtlichen Bestimmungen auch auf KI-gestützte Verarbeitungen – wie sie beim Einsatz von Voicebots vorliegen – uneingeschränkt Anwendung finden. Unternehmen, die solche Systeme einsetzen, müssen sicherstellen, dass die Datenverarbeitung rechtmässig erfolgt, einem klar definierten Zweck dient und auf das erforderliche Mass beschränkt ist.

Zudem sind betroffene Personen transparent darüber zu informieren, dass sie mit einer künstlichen Intelligenz interagieren. Besteht ein erhöhtes Risiko, etwa durch Profiling oder die Verarbeitung besonders schützenswerter Personendaten – was z.B. immer der Fall ist, wenn die Stimme zu Identifikationszwecken genutzt wird –  ist auch eine Einwilligung notwendig sowie die Durchführung einer Datenschutz-Folgenabschätzung (DSFA). Besondere Sorgfalt ist auch bei der sicheren Verarbeitung personenbezogener Daten erforderlich, insbesondere wenn eine Auftragsverarbeitung vorliegt oder Daten ins Ausland übermittelt werden.

Die Unterscheidung zwischen Sprachaufzeichnung und Transkription ist aus datenschutzrechtlicher Sicht von zentraler Bedeutung – sowohl unter schweizerischem Recht als auch im EU-Kontext. Wird eine Stimme im Rahmen eines Voicebot-Systems aufgezeichnet, so handelt es sich um die Verarbeitung personenbezogener Daten. Sind die akustischen Merkmale der Stimme geeignet, eine Person eindeutig zu identifizieren – etwa durch stimmbezogene Mustererkennung oder Wiedererkennung –, kann diese Aufzeichnung unter Umständen sogar als Verarbeitung biometrischer Daten qualifiziert werden. In diesem Fall greifen verschärfte Schutzvorgaben nach dem Datenschutzgesetz (DSG) sowie, auf europäischer Ebene, nach Art. 9 DSGVO, der die Verarbeitung besonderer Kategorien personenbezogener Daten regelt.

Wird die Sprache hingegen lediglich in Text umgewandelt – also transkribiert –, bleiben die darin enthaltenen personenbezogenen Informationen zwar erhalten, allerdings ohne biometrischen Bezug. Dennoch unterliegt auch ein Transkript datenschutzrechtlichen Anforderungen. Idealerweise und datenschutzkonform erfolgt die Transkription in einer sogenannten Blackbox mit nachrangiger sofortiger Löschung des Sprachaufzeichnung.

Kommt es zudem im Zusammenhang mit der Sprachanalyse oder Transkription zu automatisierten Entscheidungsfindungen, ist in der Schweiz Art. 21 DSG einschlägig, der besondere Schutzmassnahmen bei Profiling oder Entscheidungsautomatisierung vorsieht.

Technisch sind sowohl für die Speicherung von Sprachdaten als auch von Transkripten angemessene Sicherheitsmassnahmen erforderlich, um Vertraulichkeit, Integrität und Nachvollziehbarkeit der Verarbeitung zu gewährleisten – insbesondere im Hinblick auf die Anforderungen aus der Datenschutzverordnung (DSV). Dies umfasst u. a. Zugriffsbeschränkungen, Verschlüsselung, Protokollierung und geeignete organisatorische Kontrollmechanismen. Ergänzend verlangt EU AI Act bei Systemen mit Voice-Input eine lückenlose Dokumentation der Daten-Governance – insbesondere, wenn Sprachdaten zum Training von Modellen oder zur Entscheidungsfindung herangezogen werden. Unternehmen, die Voicebots einsetzen, sollten daher frühzeitig analysieren, ob und in welchem Umfang ihre Systeme Sprachdaten in sensibler Weise verarbeiten – und geeignete rechtliche und technische Schutzmassnahmen implementieren.

Was ist Fernmelderechtlich zu beachten?

Beim Einsatz von Voicebots, die über das öffentliche Telefonnetz kommunizieren – sei es durch das Tätigen oder Entgegennehmen von Anrufen – ist die Anzeige der Rufnummer (sog. „Caller ID“) ein rechtlich relevanter Aspekt gemäss dem schweizerischen Fernmeldegesetz (FMG). Dieses regelt in Art. 46 FMG die Anforderungen an die Identifikation der anrufenden Leitung und gibt dem Bundesrat den Auftrag, entsprechende Vorgaben zum Schutz vor unbefugtem Abhören und zur Sicherheit des Fernmeldeverkehrs zu erlassen. Der Begriff der „Adressierungselemente“, zu denen auch Rufnummern zählen, ist in Art. 3 lit. f FMG definiert und stellt klar, dass auch technische Komponenten wie Kennzahlen, Kurznummern oder Telefonnummern unter diesen Schutz fallen. Insbesondere im Rahmen von Werbeanrufen hat die jüngste Revision des FMG – auch im Lichte des Konsumentenschutzes – die Anforderungen an Transparenz und Missbrauchsschutz nochmals verschärft: Es ist unzulässig, Rufnummern zu verschleiern oder fremde Nummern ohne Berechtigung anzuzeigen („Spoofing“).

Für den praktischen Einsatz bedeutet dies: Voicebot-Systeme, die Anrufe initiieren, müssen eine korrekt zugewiesene Rufnummer anzeigen, zu deren Nutzung der Betreiber berechtigt ist – idealerweise eine im öffentlichen Telefonverzeichnis eingetragene Nummer. Damit wird sichergestellt, dass die Kommunikation rechtmässig, nachvollziehbar und für die angerufene Person eindeutig zuordenbar ist. Unternehmen, die Voicebots für automatisierte Kundeninteraktionen oder Marketingzwecke einsetzen, sollten daher technisch und organisatorisch sicherstellen, dass die Caller ID den gesetzlichen Anforderungen entspricht.

Was ist wettbewerbsrechtlich zu beachten?

Wer VoiceBots zu marketingzwecken nutzt, sollte auch Art. 3 lit. o UWG beachten. Wir verweisen dabei auf unseren entsprechenden Beitrag .

Wie sieht es mit der Haftung aus?

Beim Einsatz von Voicebots stellt sich die Frage: Wer haftet, wenn Fehler auftreten – z. B. falsche Auskunft erteilt wird, eine Persönlichkeitsrechtsverletzung begangen wird, eine Datenpanne besteht, fehlerhafte Anrufe getätigt werden etc. Verträge mit Anbietern von Voicebot‑Lösungen sollten klare Zuordnungen von Verantwortung enthalten. Dies gilt insbesondere, wenn der Kunde zusätzliches Trainingsmaterial für die KI bzw. das LLM zur Verfügung stellt.

Welche rechtlichen Aspekte gelten in der EU und Deutschland?

Auch wenn der Schwerpunkt dieses Beitrags auf den rechtlichen Rahmenbedingungen in der Schweiz liegt, ist bei grenzüberschreitenden Dienstleistungen oder wenn Unternehmen in der EU tätig sind, ein Blick auf die einschlägigen europäischen Vorgaben unerlässlich.

Schon 2002 regelte die ePrivacy-Richtlinie – in ihren jeweiligen nationalen Umsetzungen – unter anderem die Zulässigkeit von Telefon- und Sprachnachrichten zu Marketingzwecken, insbesondere im Kontext des sogenannten „Cold Callings“. Auch nationales Wettbewerbsrecht – in Deutschland insbesondere § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG), sieht eine unzumutbare Belästigung vor, wenn Telefonwerbung ohne vorherige ausdrückliche Einwilligung des Verbrauchers erfolgt. Diese Regelungen wurden 2005 durch die UGP-Richtlinie EU-weit harmonisiert.

Daneben entfalten auch die Datenschutz-Grundverordnung (DSGVO) und der EU Artificial Intelligence Act Wirkung auf den Einsatz von KI-basierten Sprachsystemen. Beide Rechtsakte enthalten verbindliche Vorgaben zur Transparenz sowie zum Risikomanagement beim Betrieb von KI-Systemen.

Auch strafrechtlich kann der Einsatz eines Voicebots relevant werden. Je nach Funktionsweise und Verwendung der Voicebots werden im Rahmen des Gesprächs Aufnahmen erstellt. In mehreren Ländern der EU steht die Anfertigung unbefugter Tonaufnahmen unter Strafe, so beispielsweise in Deutschland mit § 201 StGB oder Frankreich mit Art. 226-1 Code pénal.

Für Voicebots bedeutet das konkret: Es ist eine ausdrückliche Einwilligung der betroffenen Person erforderlich, bevor automatisierte Anrufe zu Werbezwecken erfolgen dürfen. Zudem müssen Nutzerinnen und Nutzer darüber informiert werden, dass sie nicht mit einem Menschen, sondern mit einer künstlichen Intelligenz kommunizieren – eine Pflicht, die sich aus den Transparenzanforderungen der KI-Verordnung ableitet.

Handlungsempfehlungen für die Praxis

1. Konzeption mit Datenschutz‑by‑Design: Bereits in der Planungsphase des Voicebot‑Projekts sollten datenschutzrechtliche Fragestellungen berücksichtigt werden (z.  Art der Aufzeichnung, Zugriff, Speicherung).
2. Transparenz gegenüber Betroffenen: Nutzerinnen sollen informiert werden, ob sie mit einem Bot oder Menschen interagieren; welche Daten verarbeitet werden. Im Zweifel sollte deutlich gemacht werden, dass KI zum Einsatz kommt.
3. Einwilligung und Werberecht prüfen: Bei automatisierten Anrufen zu Marketingzwecken ist sicherzustellen, dass die rechtliche Grundlage gegeben ist (z. B. Einwilligung oder gesetzliche Ausnahmeregelung).
4. Datenschutz‑Folgenabschätzung (DSFA) durchführen: Insbesondere, wenn Voicebot‑Systeme Audio‑ biometrische Daten verarbeiten oder eine hohe Risiko‑Lage bestehen könnte.
5. Vertrags‑ und Haftungsfragen klären: Dienstleistungsverträge mit Voicebot‑Anbietern sollten Verantwortlichkeiten, Datenverarbeitung, Sicherheitsanforderungen und Haftung regeln.
6. Pilotbetrieb mit Eskalations‑Mechanismen: Voicebots sollen dort eingesetzt werden, wo standardisierte Abläufe möglich sind. Für komplexe Fälle sollte eine sorgfältige Übergabe an menschliche Mitarbeitende vorgesehen werden.
7. Monitoring und Auditing: Kontinuierliche Überwachung des Betriebs, der Datenflüsse und der Nutzerzufriedenheit sowie Anpassung bei Änderungen in Recht und Technik.
8. Cloud‑ und Auslanddatenverarbeitung prüfen: Werden Dienste im Ausland genutzt oder Daten ausgelagert, ist zu prüfen, ob ein angemessenes Datenschutzniveau vorliegt und eine Auftragsbearbeitungsvereinbarung oder sogenannte Standard Vertragsklauseln vorliegen.

Fazit und Ausblick

Der Einsatz von Voicebots im Kunden‑ und Servicebereich bietet enorme Effizienz‑ und Automatisierungsvorteile – zugleich verlangt er ein sorgfältiges rechtliches Vorgehen. In der Schweiz gelten mit der DSG und den Aussagen des EDÖB bereits heute verbindliche Anforderungen im Bereich Datenschutz, die auch KI‑gestützte Systeme wie Voicebots erfassen. Gleichzeitig ist auf EU‑Recht (z. B. ePrivacy, EU AI Act) abzustellen, falls eine grenzüberschreitende Komponente besteht.

Für Unternehmen bedeutet das: Eine frühzeitige Einbindung der Rechts‑, Datenschutz‑ und IT‑Teams ist essenziell. Ein Voicebot‑Projekt darf nicht bloss als technisches Vorhaben verstanden werden, sondern muss in ein Governance‑, Compliance‑ und Risiko‑Management‑Framework eingebettet werden.

Zukünftig ist zu erwarten, dass speziellere Regulierungsvorgaben auch für Conversational‑KI und Voicebots eingeführt werden – etwa im Bereich „KI‑Agenten“ oder „emotionale Sprachsysteme“. Unternehmen sollten dies im Blick behalten und flexible Implementierungen vorsehen.

Quellen 

• Datenschutz‑Information zum Einsatz des Voicebots – Stadt Zürich
• Mitteilung EDÖB, Geltendes Datenschutzgesetz ist auf KI direkt anwendbar