Rechtsgrundlagen, Beschäftigtenüberwachung, verbotene Emotionserkennung, DSFA, Auftragsverarbeitungsverträge und internationale Übermittlungen
YARD Law Co. · Rechtsstand geprüft am 31. August 2026
Ein Kundengespräch aufzuzeichnen und diese Aufzeichnung mit KI auszuwerten sind nicht ein und derselbe rechtliche Vorgang. Ein Unternehmen kann einen rechtmäßigen Grund für die Aufzeichnung haben und dennoch eine gesonderte Prüfung dessen benötigen, was geschieht, wenn diese Aufzeichnungen transkribiert, bewertet, zusammengefasst, profiliert oder an einen externen KI-Anbieter übermittelt werden.
Die richtige Compliance-Frage lautet daher nicht „dürfen wir KI auf unsere Gespräche anwenden?“, sondern: Welche Daten verarbeiten wir, zu welchen Zwecken, auf welcher Rechtsgrundlage, über welche Anbieter und mit welchen Folgen für Kunden und Beschäftigte?
Die Termine sind hier entscheidend, denn die Pflichten, die heute für ein Contact Center gelten, sind nicht die, die in den meisten Kommentaren beschrieben werden.
Gilt bereits: die Verbote nach Artikel 5, einschließlich der Emotionserkennung am Arbeitsplatz vorbehaltlich der gesetzlichen Ausnahme aus medizinischen oder Sicherheitsgründen, und die KI-Kompetenzpflicht nach Artikel 4 - beide seit dem 2. Februar 2025. Artikel 4 verlangt in der durch die Verordnung (EU) 2026/1744 geänderten Fassung von Anbietern und Betreibern Maßnahmen, die den Aufbau von KI-Kompetenz bei ihrem Personal und bei anderen Personen, die in ihrem Auftrag mit KI-Systemen umgehen, unterstützen, und verlangt ausdrücklich nicht, ein bestimmtes Kompetenzniveau für eine einzelne Person zu gewährleisten. Die allgemeine Anwendbarkeit der Verordnung und die Sanktionsbefugnis der Kommission laufen ab dem 2. August 2026.
Aufgeschoben: Die Verordnung (EU) 2026/1744 hat die zentralen Pflichten des Kapitels III für Hochrisikosysteme, die nach Artikel 6 Absatz 2 eingestuft und in Anhang III aufgeführt sind, vom 2. August 2026 auf den 2. Dezember 2027 verschoben, nach Maßgabe des geänderten Artikels 113, und für in Produkte nach Anhang I eingebettete Hochrisiko-KI auf den 2. August 2028. Unser Beitrag dazu, was in Kraft trat und was verschoben wurde, enthält die Einzelheiten.
Die praktische Folge: Das Verbot der Emotionserkennung am Arbeitsplatz bindet ein Contact Center bereits jetzt, während das Hochrisikoregime für Systeme zur Beschäftigtenbewertung ein Thema für 2027 ist, für das man heute planen sollte - kein Grund zur Panik im Jahr 2026.
Nein. Die Aufzeichnung eines Telefongesprächs verarbeitet jedoch personenbezogene Daten, sobald sich die Aufzeichnung auf eine identifizierbare Person bezieht. Die Organisation muss eine Rechtsgrundlage nach Artikel 6 DSGVO bestimmen und die Grundsätze der Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung und Sicherheit einhalten.
Der Europäische Datenschutzausschuss behandelt die Gesprächsaufzeichnung zu Qualitätszwecken ausdrücklich und stellt fest, dass Kunden unter anderem über den Zweck der Aufzeichnung, die Empfänger, das Widerspruchsrecht und das Auskunftsrecht informiert werden müssen.
Unternehmen reduzieren dies häufig auf „brauchen wir eine Einwilligung?“. Diese Frage ist zu einfach, um eine belastbare Antwort zu liefern.
Nicht zwangsläufig. Die DSGVO enthält mehrere mögliche Grundlagen, darunter Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und berechtigte Interessen. Welche einschlägig ist, hängt davon ab, warum das Gespräch aufgezeichnet wird und was anschließend mit der Aufzeichnung geschieht.
Stützt man sich auf berechtigte Interessen nach Artikel 6 Abs. 1 lit. f, benötigt der Verantwortliche eine belastbare Prüfung dreier Punkte:
Die Leitlinien des EDSA behandeln dies als strukturierte Prüfung, nicht als Auffangerlaubnis.
Die richtige Grundlage kann sich auch je nach Zweck unterscheiden. Eine Aufzeichnung zum Nachweis eines regulierten Geschäfts verfolgt nicht denselben Zweck wie die Aufzeichnung jedes Verkaufsgesprächs, damit ein KI-System die Überzeugungsfähigkeit eines Beschäftigten bewertet. Beides sollte nicht automatisch als eine einzige Verarbeitungstätigkeit behandelt werden.
Angenommen, ein Unternehmen zeichnet Gespräche bereits rechtmäßig auf und führt dann eine Software ein, die jedes Gespräch transkribiert, zusammenfasst, Themen erkennt, die Stimmung bewertet, den Verkäufer benotet, prognostiziert, ob der Kunde kaufen wird, Compliance-Verstöße erkennt und Coaching-Empfehlungen erzeugt.
Diese Änderung kann Art, Zwecke und Risiken der Verarbeitung wesentlich verändern. Die neue Verarbeitung sollte gesondert erfasst werden, statt anzunehmen, die Erlaubnis zur Aufzeichnung umfasse die Erlaubnis, mit dem Audiomaterial beliebig zu verfahren.
Die Transparenzpflichten der DSGVO verpflichten den Verantwortlichen, den betroffenen Personen die Zwecke, die Rechtsgrundlage und die relevanten Empfänger mitzuteilen. Schafft die KI-Nutzung einen neuen Zweck oder eine wesentlich andere Nutzung der Daten, können die vorhandenen Datenschutzhinweise und die Rechtsgrundlagenprüfung nicht mehr ausreichen.
Ein Contact-Center-Einsatz verarbeitet meist zwei Gruppen zugleich: Kunden, deren Stimmen und Aussagen aufgezeichnet werden, und Agenten, deren Leistung und Gespräche fortlaufend ausgewertet werden. Die zweite Gruppe wird leicht übersehen.
Eine KI-Qualitätsplattform kann Agentenbewertungen, Ranglisten, Verhaltensprofile, Compliance-Warnungen, Schulungsempfehlungen, Anlässe für Disziplinarmaßnahmen und Grundlagen für Beförderung oder Kündigung erzeugen. Ab diesem Punkt wertet das System nicht nur Kunden aus, sondern überwacht Beschäftigte. Damit gewinnen Verhältnismäßigkeit, Transparenz, bulgarisches Arbeitsrecht und die KI-Verordnung an Gewicht.
Das ist 2026 die dringlichste Frage bei der Beschaffung von Contact-Center-KI. Artikel 5 der KI-Verordnung verbietet KI-Systeme, die dazu bestimmt sind, Emotionen natürlicher Personen am Arbeitsplatz abzuleiten, außer wenn das System aus medizinischen oder Sicherheitsgründen eingesetzt wird. Dieses Verbot gilt bereits.
Anbieter sind daher genau zu prüfen, wenn sie Funktionen mit Formulierungen bewerben wie:
Nicht jedes als „Sentimentanalyse“ bezeichnete System fällt zwangsläufig unter die Definition der Emotionserkennung in der KI-Verordnung. Technische Funktion und Zweckbestimmung sind zu prüfen. Der vom Vertrieb verwendete Begriff ist jedoch nicht entscheidend, und ein Unternehmen sollte wissen, was das Modell tatsächlich ableitet und aus welchen Signalen.
Die KI-Verordnung regelt auch bestimmte Systeme in Beschäftigung und Personalmanagement. Anhang III erfasst bestimmte KI-Systeme in der Personalauswahl sowie Systeme, die Entscheidungen mit Auswirkungen auf Arbeitsverhältnisse treffen, Aufgaben anhand persönlicher Merkmale oder Verhaltensweisen zuweisen oder Beschäftigte überwachen oder bewerten.
Die zentralen Pflichten des Kapitels III für Hochrisikosysteme, die nach Artikel 6 Absatz 2 eingestuft und in Anhang III aufgeführt sind, gelten ab dem 2. Dezember 2027, nachdem Artikel 113 durch die Verordnung (EU) 2026/1744 geändert wurde. Eine heute beschaffte Plattform zur Beschäftigtenbewertung sollte gleichwohl daran gemessen und danach ausgestaltet werden, denn ein 2026 ausgewähltes System läuft üblicherweise auch 2027 noch - das vollständige Hochrisiko-Compliance-Regime ist im August 2026 aber nicht anwendbar.
Ob eine bestimmte Gesprächsanalyseplattform in eine Hochrisikokategorie fällt, hängt von ihrer Zweckbestimmung und ihrer Verwendung ab. Ein Transkriptionswerkzeug, das nur durchsuchbare Notizen erzeugt, unterscheidet sich deutlich von einem System, dessen Bewertungen Beförderung, Kündigung, Aufgabenverteilung oder Disziplinarmaßnahmen wesentlich bestimmen. Die Prüfung hat sich am tatsächlichen Einsatz zu orientieren, nicht an der Produktkategorie der Software.
Möglicherweise. Artikel 22 schützt vor Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen, wenn die Entscheidung rechtliche Wirkung entfaltet oder die Person in ähnlicher Weise erheblich beeinträchtigt.
Das bedeutet nicht, dass jede KI-generierte Qualitätsbewertung gegen Artikel 22 verstößt. Sobald automatisierte Bewertungen jedoch ohne substanzielle menschliche Beteiligung wesentliche Entscheidungen über Kunden oder Beschäftigte bestimmen, ist Artikel 22 zu prüfen. Eine Führungskraft, die auf „genehmigen“ klickt, was immer der Algorithmus empfiehlt, ist nicht zwangsläufig eine substanzielle menschliche Entscheidung.
Häufig sollte die Antwort ja lauten - vor dem Einsatz und nicht erst, wenn etwas schiefgeht. Artikel 35 DSGVO verlangt eine DSFA, wenn eine Verarbeitung, insbesondere unter Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Eine großflächige KI-Auswertung aufgezeichneter Gespräche kann mehrere risikoerhöhende Faktoren zugleich aufweisen:
Eine DSFA ist keine Formalie. Eine brauchbare zwingt das Unternehmen zu beantworten, was das System tut, welche Daten hinein- und hinausgehen, welche Ergebnisse entstehen, wer sie sieht, wie lange sie aufbewahrt werden, welche Entscheidungen darauf beruhen, was schiefgehen kann und welche Schutzmaßnahmen dieses Risiko senken.
Das ist besonders wichtig, wenn ein Contact Center Gespräche für mehrere Auftraggeber bearbeitet. Die Rollen lassen sich nicht allein durch Vertragsbezeichnungen festlegen. Ein Unternehmen kann für einen Zweck Verantwortlicher und für einen anderen Auftragsverarbeiter sein.
Ein Auftraggeber kann bestimmen, warum seine Kundengespräche geführt und aufgezeichnet werden, während das Contact Center die Aufzeichnungen weisungsgebunden verarbeitet. Entscheidet das Contact Center jedoch eigenständig, sämtliche Aufzeichnungen aller Auftraggeber zum Training seines eigenen Analysesystems zu verwenden, ist das eine wesentlich andere Rollenbewertung.
Verarbeitet ein KI-Anbieter personenbezogene Daten im Auftrag eines Verantwortlichen, verlangt Artikel 28 DSGVO eine geeignete Auftragsverarbeitungsvereinbarung und verpflichtet Verantwortliche, nur Auftragsverarbeiter einzusetzen, die hinreichende Garantien bieten. Der Anbietervertrag ist deshalb von Bedeutung.
Vor Vertragsschluss sollte das Unternehmen die Antworten auf Folgendes kennen:
Die pauschale Zusicherung, die Plattform sei „DSGVO-konform“, ersetzt diese Antworten nicht.
Viele KI-Anbieter oder deren Unterauftragsverarbeiter arbeiten außerhalb des Europäischen Wirtschaftsraums. Das verbietet die Nutzung des Dienstes nicht. Der Verantwortliche muss jedoch feststellen, ob eine Übermittlung stattfindet, und in diesem Fall das passende Übermittlungsinstrument und die Garantien der DSGVO sicherstellen.
Das sollte vor dem Einsatz erfasst werden, denn ein europäisch wirkender SaaS-Anbieter kann selbst auf Infrastruktur oder Unterauftragsverarbeiter anderswo zurückgreifen.
Es gibt keine allgemeingültige Aufbewahrungsfrist nach der DSGVO. Die Frist muss an den Zweck gebunden sein, und eine unbefristete Aufbewahrung wird sich für einen eng definierten Qualitätssicherungszweck in der Regel kaum rechtfertigen lassen.
Die Prüfung sollte auch zwischen den verschiedenen Artefakten unterscheiden, die ein einzelnes Gespräch heute erzeugt:
Das Audio zu löschen und zugleich ein dauerhaftes Beschäftigtenprofil zu behalten, ist in keinem sinnvollen Compliance-Verständnis eine Löschung der Gesprächsdaten.
Der schwächste Ansatz ist, das KI-Produkt zu kaufen und den Datenschutzhinweis anschließend zu schreiben. Eine bessere Reihenfolge:
| Phase | Was sie umfasst |
|---|---|
| 1. Bestehende Aufzeichnung erfassen | Wer zeichnet auf, warum, auf welcher Grundlage, mit welchen Hinweisen und Aufbewahrungsfristen. |
| 2. KI-System erfassen | Eingaben, Ausgaben, Modellfunktionen, Anbieter, Unterauftragsverarbeiter, Übermittlungen und Entscheidungsnutzung. |
| 3. Grundlagen und Rollen prüfen | Verantwortlicher/Auftragsverarbeiter, Grundlage nach Artikel 6, Beschäftigtenfragen, Artikel 22 und Einordnung nach der KI-Verordnung. |
| 4. DSFA durchführen | Wo erforderlich, bevor die risikoreiche Verarbeitung beginnt. |
| 5. Verträge und Transparenz aktualisieren | Vereinbarungen nach Artikel 28, Datenschutzhinweise, interne Richtlinien, Anbieterbedingungen. |
| 6. Zugriff und Aufbewahrung begrenzen | Festlegen, wer Audio, Transkripte, Bewertungen und Profile sehen darf und wie lange. |
| 7. Die Anwender schulen | Die KI-Kompetenzpflicht nach Artikel 4 gilt seit dem 2. Februar 2025. In der geänderten Fassung verlangt sie Maßnahmen, die den Aufbau von KI-Kompetenz beim Personal und bei anderen Personen unterstützen, die im Auftrag des Unternehmens mit KI-Systemen umgehen - kein garantiertes Niveau für eine einzelne Person. |
Für Unternehmen, die KI im Vertrieb oder Contact Center einführen, kann unsere Prüfung umfassen, ob die bestehende Gesprächsaufzeichnung eine belastbare DSGVO-Grundlage hat; Transparenzhinweise für Kunden und Beschäftigte; die Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter; Verträge mit KI-Anbietern und Unterauftragsverarbeitern; internationale Übermittlungen; Aufbewahrung; Abwägungen zu berechtigten Interessen; DSFA-Pflichten und deren Erstellung; Profiling und automatisierte Entscheidungen; Beschäftigtenüberwachung; Einordnung nach der KI-Verordnung und Prüfung auf verbotene Praktiken; sowie interne KI-Nutzungsrichtlinien.
Ziel ist nicht, dem Unternehmen den Einsatz von KI zu verwehren. Ziel ist zu klären, welche Teile des geplanten Systems normal eingesetzt werden können, welche Schutzmaßnahmen brauchen und welche Funktionen gar nicht erst aktiviert werden sollten.
Siehe auch unseren Beitrag zur KI-Verordnung im August 2026 und unsere Datenschutzpraxis.
Nicht zwangsläufig. Die DSGVO bietet mehrere mögliche Rechtsgrundlagen, und die richtige hängt davon ab, warum das Gespräch aufgezeichnet wird und was anschließend damit geschieht. Unabhängig von der Grundlage müssen Kunden die vorgeschriebenen Informationen über die Verarbeitung erhalten.
Nicht automatisch. Eine KI-Auswertung kann neue Zwecke, neue Empfänger, Profiling, neue Risiken und internationale Übermittlungen mit sich bringen. Diese brauchen eine eigene Prüfung und gelten nicht als von der ursprünglichen Aufzeichnungsentscheidung gedeckt.
Eine DSFA ist nach Artikel 35 DSGVO erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat. Großflächige systematische Auswertung aufgezeichneter Gespräche, Profiling und Beschäftigtenbewertung sind Faktoren, die das wahrscheinlich machen.
Artikel 5 der KI-Verordnung verbietet KI-Systeme, die dazu bestimmt sind, Emotionen natürlicher Personen am Arbeitsplatz abzuleiten, außer aus medizinischen oder Sicherheitsgründen. Dieses Verbot gilt seit dem 2. Februar 2025 und ist von der Verschiebung der Hochrisikoregeln im Jahr 2026 nicht betroffen.
Nicht zwangsläufig. Maßgeblich sind die technische Funktion und die Zweckbestimmung des Systems, nicht die Worte im Marketing des Anbieters. Zu prüfen ist, welche Schlussfolgerung das Modell tatsächlich zieht und aus welchen Signalen.
Möglicherweise, aber Systeme, die Beschäftigte überwachen oder bewerten, können zugleich die DSGVO, das bulgarische Arbeitsrecht und die KI-Verordnung berühren. Entscheidend ist, wie gewichtig die Bewertung ist und welche arbeitsrechtlichen Entscheidungen darauf beruhen.
Grundsätzlich ja, aber die Auftragsverarbeitung nach Artikel 28 DSGVO und jede Übermittlung personenbezogener Daten außerhalb des EWR sind vor dem Einsatz zu prüfen, einschließlich Übermittlungen durch die Unterauftragsverarbeiter des Anbieters.
Nein. Das Unternehmen, das das System einsetzt, bleibt für seine eigenen Zwecke, Rechtsgrundlagen, Transparenz, Rollenverteilung und die Verwendung der Ergebnisse verantwortlich. Ein Anbieter kann nicht stellvertretend für Sie konform sein.
Dieser Beitrag wird zu Informationszwecken auf Deutsch bereitgestellt. Die Mandantenkommunikation und die Rechtsberatung von YARD Law erfolgen auf Englisch und Bulgarisch. Die englische Fassung ist die Quellfassung dieses Beitrags.
Dieser Beitrag ist allgemeine Information mit Stand 31. August 2026 und keine Rechtsberatung im Einzelfall. KI-Systeme unterscheiden sich erheblich in technischer Funktion und Zweckbestimmung, und die rechtliche Einordnung muss dem tatsächlich eingesetzten System folgen. Die Anwendungstermine der KI-Verordnung sind gestaffelt und wurden durch die Verordnung (EU) 2026/1744 geändert; die Rechtslage sollte zum Zeitpunkt des Handelns anhand des geltenden Textes bestätigt werden. Erstellt vom Anwaltsteam von YARD Law Co., einer Kanzlei mit Sitz in Sofia, Bulgarien.
Führen Sie KI in Ihre Gesprächsaufzeichnung ein?
Rechtsgrundlagen, DSFA, Beschäftigtenüberwachung, Prüfung nach der KI-Verordnung und Anbieterverträge.