KI-Voice-Agenten führen inzwischen natürliche Gespräche, buchen Termine und fassen bei Kunden nach. Die Gesetzgeber haben das bemerkt. In der EU muss jeder KI-Agent seit August 2026 sagen, dass er eine KI ist. In Deutschland kann eine Aufzeichnung ohne Einwilligung strafbar sein. Und wer in die USA telefoniert, hat es mit einem Gesetz zu tun, das bis zu 1.500 $ pro Anruf kostet.
Kein Wunder, dass Rechtsfragen in Deutschland zu den größten Bremsen gehören: Unter Unternehmen, die KI nutzen, nennen 66 % Datenschutzanforderungen und 56 % rechtliche Unsicherheit als Hürde (Bitkom). Die gute Nachricht: Die Regeln sind bekannt, und fast alle lassen sich direkt ins Produkt einbauen. Dieser Leitfaden fasst zusammen, was im Oktober 2026 in der EU, in Deutschland und in den USA gilt, und übersetzt es in eine Checkliste für Ihr Team oder Ihren Dienstleister.
Dieser Beitrag ist eine praktische Orientierung, keine Rechtsberatung. Regeln ändern sich, und Details hängen vom Einsatzfall ab. Lassen Sie Einwilligungstexte und Gesprächsleitfäden vor dem Start ausgehender Kampagnen anwaltlich prüfen.
Die Kurzfassung
| Markt | Regel | Was sie für einen KI-Anruf bedeutet |
|---|---|---|
| Europäische Union | KI-Verordnung, Art. 50 Abs. 1 | Spätestens bei der ersten Interaktion sagen, dass eine KI spricht |
| Europäische Union | KI-Verordnung, Art. 5 Abs. 1 lit. f | Keine Emotionserkennung bei Beschäftigten |
| Europäische Union | DSGVO | Rechtsgrundlage und Hinweis für Aufzeichnungen, AV-Verträge, Drittlandtransfer, Löschfristen |
| Deutschland | §201 StGB, §7 UWG | Aufzeichnung ohne Einwilligung strafbar; automatisierte Werbeanrufe nur mit vorheriger ausdrücklicher Einwilligung |
| USA (Bund) | TCPA in Auslegung der FCC-Entscheidung 24-17 | KI-Stimme = künstliche Stimme; Einwilligung vor KI-Anrufen; Identifikation und Abmeldung in jedem Anruf |
| USA (Bundesstaaten) | Texas SB 140, Florida, Kalifornien SB 1001 und AB 489 | Früher KI-Hinweis, Einwilligung mit KI-Nennung, Bot-Offenlegung, Sonderregeln im Gesundheitswesen |
EU: Transparenzpflicht und verbotene Praktiken der KI-Verordnung
Art. 50 Abs. 1 gilt seit dem 2. August 2026: KI-Systeme, die mit Menschen interagieren, müssen so gestaltet sein, dass diese Menschen spätestens bei der ersten Interaktion erfahren, dass sie es mit einer KI zu tun haben, es sei denn, das ist aus dem Kontext offensichtlich (AI Act, Art. 50). Verstöße können mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden; für KMU gilt der niedrigere der beiden Beträge (ActuIA).
Zwei Klarstellungen sind in der Praxis wichtig:
- Der Digital Omnibus hat das nicht verschoben. Die Verordnung 2026/1744 hat die Pflichten für Hochrisiko-Systeme auf Dezember 2027 und August 2028 verlegt, die Transparenzpflichten aus Art. 50 gelten aber weiterhin ab August 2026 (Jones Walker).
- Verlassen Sie sich nicht auf „offensichtlich“. Moderne Voice-Agenten sind darauf ausgelegt, natürlich zu klingen; die Ausnahme passt am Telefon fast nie. Der Hinweis gehört in den ersten Satz.
In Deutschland ist die Bundesnetzagentur als Aufsichtsbehörde benannt; das KI-MIG gilt seit dem 29. Juli 2026 (ActuIA). Den Gesamtüberblick über Fristen bietet unser Leitfaden zur KI-Verordnung für KMU, die Details zur Kennzeichnung die Vertiefung zu Art. 50: Transparenz und Kennzeichnung.
Art. 5 Abs. 1 lit. f verbietet seit dem 2. Februar 2025 die Emotionserkennung am Arbeitsplatz (AI Act, Art. 5). Für Callcenter scheiden damit Werkzeuge aus, die aus der Stimme ableiten, wie gestresst oder engagiert Beschäftigte sind. Qualitätskontrolle bleibt erlaubt, muss aber Verhalten und Ergebnisse bewerten, nicht Gefühle. Für verbotene Praktiken drohen bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes (ActuIA).
Stimmklone. Klonen Sie keine Stimme einer realen Person ohne ausdrückliche Einwilligung. Eine synthetische Standardstimme ist die einfachere und sicherere Wahl.
DSGVO: Aufzeichnung, Transkripte und Dienstleister
Ein KI-Anruf erzeugt bei jedem Schritt personenbezogene Daten: Audio, Transkript, Zusammenfassung, CRM-Felder. Das Wesentliche:
- Rechtsgrundlage. Für die Aufzeichnung brauchen Sie eine Rechtsgrundlage, in der Regel berechtigtes Interesse oder Einwilligung, dokumentiert vor dem Start.
- Hinweis zu Gesprächsbeginn. Wer verarbeitet die Daten, wozu, und wo steht die Datenschutzerklärung?
- Auftragsverarbeitung. Ein Vertrag nach Art. 28 DSGVO mit jedem Dienstleister der Kette (Telefonie, Spracherkennung, Sprachmodell, Voice-Plattform) und eine aktuelle Liste der Unterauftragsverarbeiter. US-Plattformen brauchen einen Transfermechanismus wie Standardvertragsklauseln oder das EU-US Data Privacy Framework.
- Löschfristen. Legen Sie fest, wie lange Aufzeichnungen und Transkripte gespeichert werden, und löschen Sie automatisch.
- Datenschutz-Folgenabschätzung. Gesprächsaufzeichnung und insbesondere Stimmbiometrie erfordern in der Regel eine DSFA.
- Datenstandort. Übermittlungen in die USA minimieren und Hosting in der EU anbieten, wo Kunden es erwarten.
Auftragsverarbeitung, Protokolle und Datenhaltung vertieft unser Leitfaden DSGVO für KI-Chatbots und Assistenten.
Deutschland: der strengste Normalfall
- Aufzeichnung: Wer das nichtöffentlich gesprochene Wort eines anderen ohne Einwilligung aufnimmt, macht sich nach §201 StGB strafbar; es drohen bis zu drei Jahre Freiheitsstrafe (§201 StGB).
- Automatisierte Werbeanrufe: §7 UWG verlangt für Werbung mit automatischen Anrufsystemen eine vorherige ausdrückliche Einwilligung (§7 UWG).
Wer diese beiden Punkte in Deutschland sauber löst, ist damit in der Regel auch für den Rest der EU gut aufgestellt.
USA: die TCPA nach der FCC-Entscheidung von 2024
Für Unternehmen, die Kunden in den USA anrufen, ist die Lage noch strenger. Am 8. Februar 2024 hat die FCC entschieden, dass KI-generierte Stimmen „künstliche oder aufgezeichnete Stimmen“ im Sinne des Telephone Consumer Protection Act sind (FCC 24-17). Alle Regeln für Robocalls gelten damit auch für Voice-Agenten, die selbst anrufen.
| Anrufart | Erforderliche Einwilligung | Hinweise |
|---|---|---|
| Marketing- oder Vertriebsanruf mit KI-Stimme | Vorherige ausdrückliche schriftliche Einwilligung (PEWC) | Sollte Ihr Unternehmen nennen; in Florida ausdrücklich die KI |
| Informationsanruf (Terminerinnerung, Bestellstatus) | Vorherige ausdrückliche Einwilligung; mündlich kann genügen | Dokumentieren, wann und wie eingewilligt wurde |
| Eingehender Anruf, den eine KI annimmt | Die TCPA-Einwilligungsregeln betreffen Anrufe, die Sie tätigen | KI-Hinweis, Aufzeichnungshinweis und Datenschutz gelten trotzdem |
Jeder ausgehende Anruf muss das Unternehmen nennen und eine Abmeldemöglichkeit bieten (Retell TCPA Playbook, CallSphere). Weitere Pflichten:
- Widerruf. Seit April 2025 kann die Einwilligung „auf jede zumutbare Weise“ widerrufen werden; der Widerruf ist binnen 10 Werktagen umzusetzen. Die weitergehende Regel, dass ein Widerruf für alle Nachrichten eines Unternehmens gilt, ist auf den 31. Januar 2027 verschoben.
- Do-Not-Call-Listen sind mindestens alle 31 Tage abzugleichen.
- Anrufzeiten: nur zwischen 8 und 21 Uhr Ortszeit des Angerufenen.
- Bundesstaaten: Texas (SB 140) verlangt den KI-Hinweis in den ersten 30 Sekunden, Florida die ausdrückliche Nennung der KI in der schriftlichen Einwilligung, Kalifornien eine Bot-Offenlegung (SB 1001) und Sonderregeln im Gesundheitswesen (AB 489). Das Bundesberufungsgericht des 5. Bezirks hat im Februar 2026 (Bradford v. Sovereign Pest Control) entschieden, dass in Texas, Louisiana und Mississippi eine mündliche Einwilligung genügen kann; die schriftliche Einwilligung bleibt der sicherere Standard.
- Aufzeichnung: Mehrere Bundesstaaten verlangen die Zustimmung aller Beteiligten; üblich ist ein klarer Hinweis zu Beginn.
Sanktionen: 500 bis 1.500 $ pro Anruf ohne Obergrenze, Sammelklagen sind verbreitet. Bekannte Vergleiche: QuoteWizard 19 Mio. $, Gen Digital 9,95 Mio. $ (Retell TCPA Playbook). Eine bundesweite Pflicht zum KI-Hinweis zu Gesprächsbeginn hat die FCC vorgeschlagen (NPRM 24-84), 2026 aber noch nicht verabschiedet (CallSphere).
Auch Werbeversprechen von Anbietern sind reguliert: Die FTC verklagte Air AI im August 2025 wegen irreführender Aussagen zu Wachstum und Einnahmen; der Vergleich vom März 2026 umfasste ein Urteil über 18 Mio. $, größtenteils ausgesetzt, und ein Vermarktungsverbot (FTC). Wer Ihnen ein „autonomes Vertriebsteam, das sich selbst bezahlt“ verspricht, sollte Belege liefern.
Eingehend oder ausgehend: das Risikoprofil
| Szenario | Risiko | Zentrale Anforderungen |
|---|---|---|
| KI-Telefonassistent für eingehende Anrufe | Niedrig | KI-Hinweis, Aufzeichnungshinweis, Rechtsgrundlage nach DSGVO, AV-Verträge |
| Ausgehende Service-Anrufe (Erinnerungen, Bestätigungen) | Mittel | Vorherige Zustimmung, Identifikation, Abmeldung, Anrufzeiten |
| Ausgehende Werbung oder Reaktivierung von Bestandskunden | Hoch | Ausdrückliche Einwilligung (UWG), schriftliche Einwilligung (USA), Einwilligungsprotokoll |
| Kaltakquise mit KI-Stimme | Sehr hoch | In den meisten Fällen schlicht nicht machen |
| KI-Qualitätskontrolle von Mitarbeitergesprächen | Mittel | Keine Emotionserkennung, Rechtsgrundlage für Aufzeichnung, Transparenz gegenüber dem Team |
Deshalb empfehlen wir meist den Einstieg über eingehende Anrufe, etwa mit einem KI-Telefonassistenten: Der Nutzen ist klar, das rechtliche Risiko gering.
Das Compliance-Kit: eine Checkliste
| Nr. | Baustein | Markt |
|---|---|---|
| 1 | Einwilligungstext, der Ihre Marke nennt und ausdrücklich die KI erwähnt | EU, USA (besonders Florida) |
| 2 | Begrüßung: „Sie sprechen mit dem KI-Assistenten von [Firma]. Das Gespräch wird aufgezeichnet.“ | Alle |
| 3 | Sprachbefehl zur Abmeldung, der sofort eine Sperre im CRM setzt | Alle |
| 4 | Abgleich mit Sperrlisten und Anrufzeiten nach Zeitzone des Kontakts | USA |
| 5 | Einwilligungsprotokoll: wann, wo, welcher Wortlaut, welcher Kanal | EU, USA |
| 6 | Keine Stimmklone realer Personen ohne Einwilligung | Alle |
| 7 | AV-Vertragsvorlage, Liste der Unterauftragsverarbeiter, Hosting in der EU | EU |
| 8 | Löschkonzept mit automatischer Löschung | EU |
| 9 | Weiterleitung an einen Menschen auf Wunsch | Alle |
| 10 | Keine Emotionserkennung bei Beschäftigten in der Qualitätskontrolle | EU |
Einwilligungstexte, die halten
Eine Einwilligung ist nur so stark wie ihr Wortlaut und ihr Nachweis. Für ein Webformular, aus dem KI-Anrufe folgen, ist eine nicht vorangekreuzte Checkbox mit einem Text wie diesem ein guter Ausgangspunkt, den Ihre Anwältin oder Ihr Anwalt anpassen sollte:
„Ich willige ein, dass [Firma] mich unter der angegebenen Nummer zu [Terminen / Angeboten] anruft und mir Nachrichten sendet, auch mit einer KI-generierten Stimme und automatisierter Technik. Ich kann die Einwilligung jederzeit widerrufen, etwa indem ich im Gespräch ‚Stopp‘ sage.“
Speichern Sie zu jedem Kontakt den Nachweis: angezeigter Wortlaut, Seiten-URL, Zeitstempel, Kanal und eingegebene Rufnummer. Wenn Monate später eine Beschwerde kommt, ist dieser Datensatz Ihre Verteidigung. Stimmen Sie das Formular mit Ihrer Datenschutzerklärung ab und formulieren Sie die Einwilligung für Werbeanrufe ausdrücklich und konkret.
KI-Hinweise, die funktionieren
Kurz, freundlich und am Anfang:
- „Guten Tag, Sie sprechen mit dem KI-Assistenten der Zahnarztpraxis Dr. Weber. Das Gespräch wird aufgezeichnet. Wie kann ich helfen?“
- „Hier ist der KI-Assistent von Sanitär Becker mit einer automatischen Erinnerung an Ihren Termin morgen. Wenn Sie keine weiteren Anrufe wünschen, sagen Sie einfach ‚Stopp‘.“
Typische Fehler
- „Es ist eingehend, also gilt nichts.“ Die TCPA-Einwilligung mag entfallen, KI-Hinweis, Aufzeichnungsregeln und DSGVO gelten trotzdem.
- Adressen mit vager Einwilligung einkaufen. Eine Einwilligung, die Ihr Unternehmen nicht nennt, schützt Sie nicht.
- Abmeldungen, die nicht ankommen. Ein „Stopp“ im Gespräch muss CRM, Wählsystem und alle Dienstleister erreichen.
- Erst aufzeichnen, dann informieren. Der Hinweis gehört in die ersten Sekunden des Gesprächs.
- Zeitzonen ignorieren. Wer US-Kontakte nach der Uhr des eigenen Büros anruft, verletzt die Anrufzeiten.
- Sich auf das Siegel des Anbieters verlassen. SOC 2 oder HIPAA einer Plattform decken deren Infrastruktur ab, nicht Ihre Einwilligungsnachweise und Gesprächsleitfäden.
Fazit
KI-Telefonate sind rechtssicher, wenn Einwilligung, KI-Hinweis und Aufzeichnung von Anfang an eingeplant sind, und teuer, wenn sie nachträglich angeflanscht werden. Beginnen Sie mit eingehenden Anrufen, nennen Sie die KI im ersten Satz, geben Sie jedem Anrufenden einen einfachen Ausstieg, dokumentieren Sie Einwilligungen und behandeln Sie AV-Verträge und Löschfristen als Teil des Produkts. So bleiben Sie in der EU und in den USA auf der sicheren Seite, und das Gespräch wirkt für Anrufende vertrauenswürdiger.
Sollen wir Ihr Voice-Setup oder Ihre Gesprächsleitfäden an diesen Regeln messen? Buchen Sie ein kostenloses 15-minütiges KI-Audit. Compliance ist in jedem Voice-Agenten, den wir liefern, eingebaut.