AV-Vertrag für KI-Telefonie prüfen: 18 Fragen, die über die Standardvorlage hinausgehen
Ein unterschriebener AV-Vertrag beantwortet noch nicht, ob Support Audio hören kann, welche Region wirklich genutzt wird oder wie Transkripte beim Anbieterwechsel verschwinden.
Das Wichtigste
- Die tatsächliche Rollenverteilung wird vor der Vertragsprüfung geklärt; nicht jede Anbieterleistung ist automatisch Auftragsverarbeitung.
- Produktoptionen für Speicherung, Training, Support und Regionen müssen mit Vertrag und technischer Konfiguration übereinstimmen.
- Exit, Export und nachweisbare Löschung gehören bereits vor dem Go-live in die Prüfung.
Erst die Rolle, dann die Klausel
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Entscheidet ein Anbieter für eigene Zwecke über Nutzung oder wesentliche Mittel, kann für diesen Teil eine andere Rolle vorliegen. Das EDPB betont die weisungsgebundene Verarbeitung; Artikel 28 DSGVO enthält die Anforderungen an die Auftragsverarbeitung.[1][2]
Die 18 Fragen für Vertrag und Produktkonfiguration
- Welche Datenarten und Kategorien betroffener Personen sind vom Auftrag umfasst?
- Welche Zwecke sind Weisung – und welche eigenen Zwecke beansprucht der Anbieter?
- Wer sind sämtliche Unterauftragnehmer für Telefonie, Modelle, Sprache, Hosting und Support?
- Wie werden neue Unterauftragnehmer angekündigt und wie kann widersprochen werden?
- In welchen Ländern werden Audio, Text, Metadaten, Logs und Backups verarbeitet?
- Welche Übermittlungsinstrumente und ergänzenden Maßnahmen gelten außerhalb des EWR?
- Wird Audio gespeichert, nur gestreamt oder temporär gepuffert?
- Welche Produktoptionen verhindern Training oder Anbieterverbesserung mit Kundendaten?
- Wer kann im Supportfall Inhalte sehen oder anhören und wie wird der Zugriff freigegeben?
- Welche Verschlüsselung und Mandantentrennung gelten im Transport und in Ruhe?
- Wie werden Sicherheitsvorfälle erkannt, bewertet und ohne schuldhaftes Zögern gemeldet?
- Wie unterstützt der Anbieter Auskunft, Berichtigung, Löschung und Einschränkung?
- Welche Fristen gelten je Datenbestand und wie werden Backups berücksichtigt?
- Wie lässt sich eine Löschung nachweisen und wer löscht bei Unterauftragnehmern?
- Welche Auditnachweise, Zertifikate und Prüfberichte sind verfügbar?
- Welche Änderungen am Dienst darf der Anbieter einseitig vornehmen?
- Wie werden Daten vollständig und in nutzbarem Format exportiert?
- Was geschieht mit Daten, Schlüsseln, Rufnummern und Logs nach Vertragsende?
Papier und Schalter müssen denselben Zustand beschreiben
Viele Abweichungen entstehen nicht im Vertrag, sondern im Admin-Panel: Recording ist versehentlich aktiv, eine Supportfreigabe bleibt offen oder die ausgewählte Region betrifft nur einen Teil der Pipeline. Nach der rechtlichen Prüfung folgt deshalb eine technische Abnahme mit Screenshots, Export der Konfiguration und einem Testgespräch.
| Vertragsaussage | Technischer Nachweis |
|---|---|
| kein Training | Kontoschalter, API-Projekt und Anbieterbestätigung |
| kurze Löschfrist | Retention-Regel plus kontrollierter Testdatensatz |
| EU-Region | Datenfluss je Komponente und Unterauftragnehmer |
| begrenzter Supportzugriff | Rollen, Freigabeworkflow und Audit-Log |
Der Exit ist Teil des Datenschutzdesigns
Vor Produktivstart sollte feststehen, wie Rufnummern, Konfiguration, Wissensquellen, Gesprächsmetadaten und Auditnachweise exportiert werden. Ebenso wichtig ist die Reihenfolge der Löschung: erst Betrieb umstellen, offene Betroffenenanfragen sichern, Export prüfen, Zugriff schließen und danach produktive sowie gesicherte Kopien nach vereinbartem Verfahren löschen lassen.
- Dateninventar und Exportformat mit einem Testkonto praktisch prüfen.
- Portierung und Eigentum produktiver Rufnummern separat dokumentieren.
- Löschbestätigung, Restfristen in Backups und Abschluss von Supportzugängen festlegen.
- Für Anbieterinsolvenz oder kurzfristige Sperre einen minimalen Betriebs- und Nachweispfad vorsehen.
Quellen und Prüfstand
Primärquellen der Anbieter, zuletzt geprüft am 19. August 2026.
- [1]Data controller or data processor · European Data Protection Board · abgerufen am 19. August 2026
- [2]Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung · EUR-Lex · abgerufen am 19. August 2026
