Voice AI in Deutschland und der DACH-Region: Sprache, Aufzeichnung und Datenresidenz

Hinweis zum Umfang. Dieser Artikel bietet technische Orientierung für die Beschaffung und keine Rechtsberatung. Deutschland, Österreich und die Schweiz haben unterschiedliche Vorschriften in den Bereichen Strafrecht, Datenschutz, Beschäftigung, Telekommunikation und branchenspezifische Regulierung. Prüfen Sie den tatsächlichen Anrufablauf und Anwendungsfall in jedem Land, in dem sich anrufende oder beschäftigte Personen befinden.

Wichtige Erkenntnisse

• Verwenden Sie nicht dasselbe Aufzeichnungsskript für die gesamte DACH-Region. Nach den Leitlinien der deutschen Datenschutzaufsichtsbehörden ist für die Aufzeichnung von Geschäftsgesprächen grundsätzlich eine vorherige aktive Einwilligung erforderlich. Die österreichische Strafvorschrift ist anders formuliert. In der Schweiz ist grundsätzlich die Zustimmung aller Beteiligten nötig; für bestimmte Telefonate gelten jedoch eng begrenzte Ausnahmen.
• Die Verarbeitung von Live-Audio und das Speichern einer wiederverwendbaren Anrufaufzeichnung sind unterschiedliche Verarbeitungstätigkeiten. Dokumentieren Sie beide, auch wenn keine Aufzeichnung gespeichert wird.
• Die DSGVO schreibt keine pauschale Datenresidenz im EWR vor. Die Schweiz ist aus Sicht der DSGVO ein Drittland mit einem Angemessenheitsbeschluss der EU; für Datenübermittlungen aus der Schweiz gelten daneben die eigenständigen Vorgaben des Schweizer DSG.
• Artikel 50 des EU AI Act gilt seit dem 2. August 2026. Der Hinweis auf eine KI-Interaktion, die Kennzeichnung synthetischer Audiodaten und die Offenlegung von Deepfakes sind unterschiedliche Pflichten mit unterschiedlichen Rollen.
• Ein direkter EU-Endpunkt beschreibt die Wahl des Endpunkts, nicht den Standort aller Unterauftragsverarbeiter, Logs, Backups oder Supportzugriffe. Auch beim Self-Hosting müssen ausgehende Datenpfade und Speicherfristen geprüft werden.
• Bewerten Sie Standarddeutsch, österreichisches Deutsch, Schweizer Hochdeutsch und jede konkret benannte Dialektvarietät getrennt. KugelAudio dokumentiert die Unterstützung von Deutsch, aber kein Qualitätsranking für DACH-Dialekte.

Zuletzt aktualisiert am 10. August 2026. Rechtliche Hinweise und verlinkte Produktdokumentation wurden zu diesem Zeitpunkt geprüft.

Was sollten Teams wissen, bevor sie Voice AI in Deutschland einführen?

Genehmigen Sie zunächst den konkreten Kundenprozess und erst danach die Plattform. Erfassen Sie, wer anruft, welche Aktionen der Agent ausführen darf, welche personenbezogenen Daten in die einzelnen Komponenten gelangen, welche Werte sicherheitskritisch sind, wann ein Mensch übernimmt und welche Nachweise nach dem Anruf erhalten bleiben müssen. Eine natürlich klingende Demo-Stimme gleicht weder einen rechtswidrigen Aufzeichnungsablauf noch eine fehlende KI-Offenlegung oder eine falsch verstandene Kontonummer aus.

Die Prüfung sollte vier Artefakte hervorbringen: ein länderspezifisches Anrufskript, ein Datenflussdiagramm auf Komponentenebene, einen Aufbewahrungsplan je Datenklasse und einen Abnahmetest mit realistischem deutschsprachigem Datenverkehr. Begriffe wie „DACH-ready“ oder „DSGVO-konform“ ersetzen diese Unterlagen nicht.

Können Voice-AI-Anrufe in Deutschland aufgezeichnet werden?

Nach § 201 StGB ist in Deutschland die unbefugte Aufzeichnung nicht öffentlich gesprochener Worte einer anderen Person sowie deren bestimmte Verwendung oder Offenlegung strafbar. In ihrem Beschluss zur Aufzeichnung von Telefongesprächen stellt die Datenschutzkonferenz fest, dass eine Aufzeichnung grundsätzlich nur mit Einwilligung der externen Gesprächsperson zulässig ist: Fragen Sie vor Beginn der Aufzeichnung und verlangen Sie ein aktives „Ja“ oder einen Tastendruck. Eine bloße Opt-out-Ankündigung und die Fortsetzung des Gesprächs reichen danach nicht als Einwilligung. Bei Beschäftigten sind zusätzlich arbeitsrechtliche und mitbestimmungsrechtliche Fragen zu prüfen.

Übertragen Sie diese Bewertung nicht unverändert auf Österreich oder die Schweiz:

In der Schweiz bestehen eng begrenzte Ausnahmen für Not- und Sicherheitsdienste sowie bestimmte Anrufe im Massenverkehr, etwa zu Bestellungen, Aufträgen oder Reservierungen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) erläutert, dass die Ausnahme für Geschäftsgespräche der Beweissicherung dient und nicht für allgemeine Analysen, Marketing, Beschwerden oder umfangreiche Verhandlungen gilt; siehe seine Hinweise zur Gesprächsaufzeichnung. Behandeln Sie eine Ausnahme als eng begrenzte rechtliche Entscheidung und nicht als allgemein nutzbare Erlaubnis zur „Qualitätssicherung“.

Eine Aufzeichnung ist nicht dasselbe wie die vorübergehende Verarbeitung von Audio. Ein Live-Agent kann Sprache verarbeiten, ohne eine wiederverwendbare Audiodatei zu speichern. Dennoch kann diese Verarbeitung personenbezogene Daten betreffen und benötigt einen eigenen Zweck, eine Rechtsgrundlage oder sonstige Rechtfertigung, transparente Informationen, angemessene Sicherheit, Bedingungen für Auftragsverarbeiter und ein Löschkonzept. Der Ablauf sollte festlegen, wann eine Aufzeichnung beginnt, wodurch die Einwilligung belegt wird, was bei einer Ablehnung geschieht und ob anschließend Transkripte, Zusammenfassungen, Qualitätsbewertungen oder Trainingsdaten erstellt werden.

In Deutschland und Österreich ist außerdem die EU-ePrivacy-Regulierung relevant. Artikel 5 der ePrivacy-Richtlinie verpflichtet die Mitgliedstaaten zum Schutz der Vertraulichkeit der Kommunikation. Welche nationalen Telekommunikationsvorschriften greifen, hängt vom Dienst, von der Rolle des Akteurs und von der Anrufarchitektur ab. Nehmen Sie diese Frage in die länderspezifische Prüfung auf, statt anzunehmen, eine DSGVO-Rechtsgrundlage decke auch das Abhören oder Aufzeichnen ab.

Bedeutet eine deutsche Telefonnummer, dass die Daten in Deutschland bleiben?

Nein. Eine deutsche Nummer kann Audio an STT, ein LLM, TTS, Analyse-, Aufzeichnungs- und Support-Tools in mehreren Ländern weiterleiten. Notieren Sie für jede Komponente Folgendes:

1. die juristische Person, die als Verantwortlicher, Auftragsverarbeiter oder Unterauftragsverarbeiter fungiert;
2. die Eingabe- und Ausgabedaten, einschließlich Identifikatoren und abgeleiteter Zusammenfassungen;
3. die Verarbeitungsregion, die Speicherregion, die Sicherungsregion und die Fernzugriffsstandorte;
4. der Übertragungsmechanismus und etwaige Weiterübertragungen;
5. die Speicherfrist oder das Löschkriterium für Inhalte, Metadaten, Logs und Backups; und
6. der Vertrag, die Konfiguration und das Testergebnis, die jede Antwort unterstützen.

Die DSGVO enthält keine allgemeine Pflicht zur Datenlokalisierung im EWR. Stattdessen regelt Kapitel V Übermittlungen in Drittländer. Für die Schweiz gilt derzeit ein Angemessenheitsbeschluss der EU; personenbezogene Daten können daher aus der EU beziehungsweise dem EWR dorthin ohne zusätzliche Garantien nach Kapitel V übermittelt werden. Der Angemessenheitsbeschluss hebt andere DSGVO-Pflichten nicht auf und legitimiert keine unzureichend geprüften Weiterübermittlungen. Der EDÖB erläutert sowohl die Angemessenheit für die EU und die Schweiz als auch die Regeln des DSG für Datenübermittlungen aus der Schweiz.

KugelAudio dokumentiert einen direkten EU-Endpunkt, der API-Datenverkehr nach Europa leitet, sowie eine Self-Hosting-Option mit Kubernetes und Helm. Die Dokumentation zum Endpunkt legt weder Speicherfristen noch Supportzugriffe oder Unterauftragsverarbeiter für den gesamten Voice-Agent-Stack fest. Die Self-Hosting-Seite beschreibt die Bereitstellung im Kundencluster, verspricht aber weder Air-Gap-Betrieb noch Zero Retention auf Anwendungsebene. Prüfen Sie ausgehende Verbindungen für Lizenzen, Updates, Telemetrie und Support sowie Logs, Caches und Backups, bevor Sie entsprechende Aussagen treffen. Der Leitfaden zu On-Premise-Infrastruktur und Datenkontrolle enthält eine ausführlichere Nachweischeckliste.

Was muss Voice AI für eine korrekte deutsche Aussprache beherrschen?

Erstellen Sie den Testsatz aus realistischem Produktivverkehr und nicht aus Präsentationstexten. Berücksichtigen Sie:

• Namen, Adressen, zusammengesetzte Wörter, Abkürzungen und deutsch-englische Produktnamen;
• Datums- und Uhrzeitangaben, Währungen, Dezimaltrennzeichen, Ordnungszahlen und Prozentwerte;
• Telefonnummern, IBANs, Postleitzahlen, Produktcodes und Absatzverweise;
• Korrekturen, Unterbrechungen, kurze Bestätigungen und beeinträchtigte Telefonqualität; und
• alle verpflichtenden Hinweise zu Aufzeichnung, Datenschutz und KI genau in der später gesprochenen Form.

Bewerten Sie die allgemeine Verständlichkeit getrennt von der exakten Wiedergabe kritischer Entitäten. Eine einzige falsche IBAN-Ziffer kann einen Anruf scheitern lassen, obwohl sich eine Fehlerrate auf Satzebene kaum verändert. Legen Sie akzeptable Schwellenwerte vorab fest, testen Sie mit dem Zielcodec und verlangen Sie für besonders folgenreiche Felder eine menschliche Prüfung.

KugelAudio führt Deutsch in einem gemeinsamen Modell für 26 Sprachen auf. Die Dokumentation zu Kugel 3 beschreibt Streaming, IPA, Break-Tags und integrierte Normalisierung. Laut Dokumentation zur Textverarbeitung sollte die Sprache ausdrücklich angegeben werden, weil die automatische Erkennung kurze oder ähnliche Texte falsch normalisieren kann. Aussprachewörterbücher können wiederkehrende Namen und Fachbegriffe korrigieren, belegen jedoch keine Dialektauthentizität. Dieser Artikel behauptet kein Ergebnis für DACH-Dialekte. Nutzen Sie das offene deutsche Benchmark-Protokoll, um eine konkret benannte Varietät mit passenden Testpersonen zu bewerten.

Wie unterscheiden sich Deutschland, Österreich und die Schweiz sprachlich?

Geeignet für: Wählen Sie die Zeile anhand der Zielgruppe der Anrufenden. Benennen Sie anschließend die geschriebene und gesprochene Varietät, den Ort sowie das Hörpanel. „DACH-Deutsch“ ist keine aussagekräftige Kategorie für einen Abnahmetest.

Die Schweiz unterliegt nicht allein deshalb der DSGVO oder dem EU AI Act, weil sie zur DACH-Region gehört. Das Schweizer DSG gilt für KI-gestützte Bearbeitungen personenbezogener Daten in seinem Anwendungsbereich. Laut EDÖB sind Transparenz und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung erforderlich; siehe seine Hinweise zu KI und Datenschutz. EU-Vorschriften können aufgrund ihres räumlichen Anwendungsbereichs oder der Verwendung einer Systemausgabe in der EU dennoch relevant sein. Bestimmen Sie den Geltungsbereich anhand von Rechtsträgern, betroffenen Personen, Märkten und Systemnutzung und nicht allein anhand des Gebietsschemas CH.

Gilt der EU AI Act für Voice Agents in der DACH-Region?

Ja für in den Anwendungsbereich fallende EU-Einsätze, und Artikel 50 gilt seit dem 2. August 2026. Er unterscheidet drei relevante Pflichten:

• Anbieter von Systemen, die für die direkte Interaktion mit Menschen bestimmt sind, müssen diese grundsätzlich so gestalten, dass die betroffene Person darüber informiert wird, mit KI zu interagieren, sofern dies aus dem Kontext nicht offensichtlich ist;
• Anbieter von Systemen, die synthetische Audiodaten erzeugen, müssen die Ausgabe vorbehaltlich der in der Vorschrift genannten Ausnahmen und Grenzen der technischen Machbarkeit maschinenlesbar und als künstlich erzeugt oder manipuliert erkennbar machen; und
• Betreiber müssen Audiodaten, die unter die Deepfake-Definition des Gesetzes fallen, deutlich als solche offenlegen. Gewöhnliche synthetische Sprache ist nicht automatisch ein Deepfake. Die Definition betrifft Inhalte, die bestehenden Personen, Objekten, Orten, Einrichtungen oder Ereignissen ähneln und fälschlich authentisch oder wahr erscheinen würden.

Die Kommission weist für bestimmte Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, auf eine begrenzte Übergangsfrist für die Kennzeichnung bis zum 2. Dezember 2026 hin. Lesen Sie Artikel 50 und Artikel 113 sowie die aktuelle Zusammenfassung der Transparenzregeln der Kommission. Dokumentieren Sie anschließend, welches Unternehmen beim zusammengesetzten Agenten Anbieter beziehungsweise Betreiber ist. Ein KI-Hinweis ersetzt weder die Einwilligung zur Aufzeichnung noch die Datenschutzinformationen.

Welche Fragen sollten Käufer in der DACH-Region stellen?

1. Welches Landesrecht und welchen Standort des Anrufers/Mitarbeiters deckt jeder Aufzeichnungsvorgang ab?
2. Kann die Aufnahme ausgeschaltet bleiben, während der Agent Audio verarbeitet, und welche Alternative ohne Aufnahme gibt es?
3. Wo laufen STT, LLM, TTS, Orchestrierung, Protokolle, Aufzeichnungen, Analysen und Backups?
4. Welche juristische Person und welcher Unterauftragsverarbeiter betreibt jede Ebene und von wo aus können die Mitarbeiter darauf zugreifen?
5. Wie lange werden Rohaudio, Transkripte, Zusammenfassungen, Prompts, Modelleingaben, Logs und Backups gespeichert, und wie wird die Löschung getestet?
6. Welcher Übertragungsmechanismus deckt jeden Drittlandpfad und jede Weiterübermittlung ab?
7. Welche Rolle nach Artikel 50 hat jeder Anbieter und jeder Kunde, und wie werden der Hinweis an Anrufende und die Kennzeichnung der Ausgabe geprüft?
8. Welche deutschen Varietäten und kritischen Entitäten wurden anhand von Rohaudio und mit geeigneten muttersprachlichen Testpersonen geprüft?
9. Wie werden benutzerdefinierte Stimmen autorisiert, gesichert, widerrufen und gelöscht?
10. Was passiert, wenn der Agent eine Nummer falsch liest, eine Offenlegung übersieht, einen Anbieter verliert oder nicht an eine Person übertragen kann?

Bitten Sie Anbieter um Architekturdiagramme, Vertragsklauseln, Konfigurationen, unveränderte Beispiele und Ergebnisse von Lösch- oder Failover-Tests. Ein angekreuztes „Ja“ in einem Sicherheitsfragebogen belegt den eingesetzten Datenpfad nicht.

Wie sollte ein Pilotprojekt in der DACH-Region abgenommen werden?

Benennen Sie Verantwortliche und legen Sie für jedes Kriterium „bestanden“ oder „nicht bestanden“ fest. Eine praktikable erste Freigabematrix ist:

Bewahren Sie für die Freigabeentscheidung Skripte, Testeingaben, Rohaudio, Anweisungen für die Testpersonen, Modell- und Stimm-IDs, Softwareversionen, Region, Telefonieanbieter, Codec, Zeitereignisse und Genehmigungsdatum auf. Wiederholen Sie die betroffenen Prüfungen nach Änderungen an Modell, Stimme, Anbieter, Anrufskript, Datenpfad oder Speicherfristen.

Was sind die Einschränkungen dieses Leitfadens?

Dieser Leitfaden bestimmt weder Rechtsgrundlage noch Aufzeichnungsbefugnis, Pflicht zur Datenschutz-Folgenabschätzung, Beteiligung von Beschäftigten, Branchenvorschriften oder Rolle nach dem EU AI Act für einen konkreten Einsatz. Er enthält außerdem keinen abgeschlossenen Dialektvergleich. Stimmen Sie den endgültigen Anrufablauf mit qualifizierter Rechtsberatung, den zuständigen Fachleuten für Beschäftigten- und Branchenfragen, den Anbietern und muttersprachlichen Personen aus der Zielgruppe ab.

FAQ

Ist Voice AI in Deutschland legal?

Es gibt kein allgemeines Verbot oder eine einzelne „Voice AI-Lizenz“, aber jeder Einsatz muss den geltenden Aufzeichnungs-, Datenschutz-, Kommunikations-, Beschäftigungs-, Verbraucher-, Sektor- und KI-Regeln entsprechen. Die Antwort hängt davon ab, was der Agent tut, was er speichert, wer die Daten erhält und wie die Menschen informiert und geschützt werden.

Müssen Anrufer der Aufzeichnung in Deutschland zustimmen?

Bei der Aufzeichnung gewöhnlicher Geschäftsgespräche erwarten die deutschen Datenschutzbehörden grundsätzlich eine vorherige, informierte und aktive Einwilligung des externen Teilnehmers; eine weitere Teilnahme nach einer Opt-out-Ankündigung reicht nicht aus. § 201 StGB verbietet gesondert die unerlaubte Aufzeichnung nichtöffentlicher Rede. Lassen Sie sich den genauen Ablauf und alle geltend gemachten Ausnahmen von Ihrem Anwalt bestätigen.

Benötigt Voice AI in Deutschland EU-Datenresidenz?

Nicht grundsätzlich nach der DSGVO. Kapitel V erlaubt Datenübermittlungen, wenn seine Voraussetzungen erfüllt sind. Verträge, Vorschriften für den öffentlichen Sektor, Branchenanforderungen oder die Risikobewertung einer Organisation können dennoch eine ausschließliche Verarbeitung im EWR oder in einer vom Kunden betriebenen Umgebung verlangen. Erfassen Sie neben dem Serverstandort auch Fernzugriffe und Weiterübermittlungen.

Kann deutsches TTS On-Premise betrieben werden?

Ja. KugelAudio dokumentiert eine Enterprise-Bereitstellung mit Kubernetes und Helm sowie SDKs, die einen Kundenendpunkt ansprechen können. Prüfen Sie für die bestellte Bereitstellung die Speicherung durch die Anwendung, Lizenzierung, Updates, Telemetrie, Supportzugriffe und Anforderungen an den Offline-Betrieb.

Bedeutet On-Premise keine Datenaufbewahrung?

Nein. On-Premise gibt dem Kunden Kontrolle über Infrastrukturgrenzen, Logs und Backups. Die Anwendung kann dennoch Inhalte oder Metadaten speichern und ausgehende Dienste verwenden. Testen Sie Audio, Transkripte, Caches, Telemetrie, geklonte Stimmen, Supportpfade und die Löschung von Backups, bevor Sie von „Zero Retention“ sprechen.

Welcher TTS eignet sich am besten für Schweizerdeutsch oder Bairisch?

Dieser Artikel ermittelt keinen Sieger. Testen Sie die konkret benannte Varietät und den vorgesehenen Ort mit passenden Personen, die sie selbst sprechen. Veröffentlichen Sie Text und Rohaudio und bewerten Sie Verständlichkeit getrennt von regionaler Passung. Eine allgemeine Akzentbezeichnung ist kein Nachweis.

Erfordert das EU-KI-Gesetz, dass sich ein Voice-Bot identifiziert?

Bei einem System im Anwendungsbereich, das für die direkte Interaktion mit Menschen bestimmt ist, verlangt Artikel 50 grundsätzlich, dass der Anbieter es so gestaltet, dass Menschen über die Interaktion mit KI informiert werden, sofern dies aus dem Kontext nicht offensichtlich ist. Die Vorschrift gilt seit dem 2. August 2026 und ist unabhängig von Einwilligung zur Aufzeichnung, Datenschutzinformationen, Kennzeichnung synthetischer Audiodaten und Offenlegung von Deepfakes. Prüfen Sie Rollen und Ausnahmen für das konkrete System.