Ist White-Label-Sprach-KI DSGVO- und KI-Verordnung-konform?

Ja - ein White-Label-KI-Sprachagent kann so gebaut und betrieben werden, dass er sowohl der DSGVO als auch der KI-Verordnung genügt. Aber die ehrliche Einordnung ist wichtig: Compliance ist kein festes Merkmal der zugrunde liegenden Software, das in dem Moment auf Sie übergeht, in dem Sie Ihre Marke darauf kleben. Sie ist eine Eigenschaft davon, wie der gesamte Dienst konfiguriert und betrieben wird - wo die Daten liegen, auf welcher Rechtsgrundlage die Anrufe laufen, ob Anrufende erfahren, dass sie mit einer KI sprechen, und wie Opt-outs und Betroffenenanfragen bearbeitet werden. Dieselbe Plattform kann konform oder nicht konform betrieben werden. Deshalb lautet die nützliche Frage nie „ist dieses Produkt DSGVO-konform?", sondern „ist dieser Einsatz, unter diesen Einstellungen, in diesem Land, konform?"

Zwei Regelwerke greifen zugleich. Die KI-Verordnung regelt die Tatsache, dass eine KI mit einem Menschen spricht: Ihre Transparenzpflicht aus Artikel 50 verlangt, dass Menschen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht bereits offensichtlich ist, und diese Pflicht wird EU-weit am 2. August 2026 anwendbar (KI-Verordnung, Artikel 50; Artikel 113). Die DSGVO regelt die personenbezogenen Daten, die durch jeden Anruf fließen - Namen, Telefonnummern, alles, was ein Anrufer sagt - und weist die Verantwortung einem „Verantwortlichen" und einem „Auftragsverarbeiter" zu (DSGVO Artikel 4). White-Labeling ändert das Branding, nicht diese rechtlichen Rollen.

Im Folgenden nehmen wir jedes Regelwerk der Reihe nach vor, erklären, wer bei einem co-branded Sprachagenten der Verantwortliche und wer der Auftragsverarbeiter ist, und geben Ihnen eine Checkliste, um die Aussagen eines Anbieters zu überprüfen. Für die vollständige Landingpage-Behandlung der KI-Verordnung-Seite siehe unseren Leitfaden zur KI-Verordnung und White-Label-Sprach-KI; für die Frage des Datenstandorts siehe EU-Datenstandort für Sprach-KI.

Ist White-Label-Sprach-KI DSGVO- und KI-Verordnung-konform?

Sie kann es sein, und die Unterscheidung, auf die es ankommt, ist die zwischen der Software und dem Dienst. Eine White-Label-Sprach-KI-Plattform ist ein Werkzeug; ein aktiver Einsatz, der echte Menschen anruft oder für sie erreichbar ist, ist ein Dienst. Die DSGVO und die KI-Verordnung knüpfen am Dienst an - an der tatsächlichen Verarbeitung und den tatsächlichen Gesprächen - nicht am ungenutzten Werkzeug. Ein Anbieter kann also ehrlich sagen, seine Plattform sei „für die DSGVO gebaut", und sie kann dennoch von einem Reseller nicht konform eingesetzt werden, der etwa Aufzeichnungen über einen US-Server leitet oder die KI nie offenlegt.

Deshalb sollte ein pauschales „ja, es ist konform" von irgendeinem Anbieter Sie eher vorsichtig als beruhigt stimmen. Ein sorgfältiger Anbieter wird Ihnen sagen, dass die rechtmäßige Handhabung von Ihrer Konfiguration, Ihren Integrationen und Ihrer Jurisdiktion abhängt - und wird sich weigern, eine situationsunabhängige Garantie zu geben, gerade weil er nicht kontrollieren kann, wie Sie es nutzen. Compliance ist etwas, das Sie und der Anbieter gemeinsam aufbauen und belegen können, kein Zertifikat, das mit dem Login ausgeliefert wird.

Die zwei Dinge, die Compliance in der Praxis am häufigsten brechen, sind einfach: (1) die KI teilt der Person nie klar mit, dass sie eine KI ist, und (2) personenbezogene Daten verlassen die EU oder landen auf Infrastruktur, für die niemand geradestehen kann. Bekommen Sie diese zwei richtig hin, laufen auf einer dokumentierten Rechtsgrundlage und achten Opt-outs und Betroffenenrechte, dann steht ein co-branded KI-Sprachagent auf solidem Grund. Machen Sie sie falsch, rettet Sie kein noch so gutes Branding.

Was verlangt die KI-Verordnung tatsächlich von einem KI-Sprachagenten?

Für einen Sprachagenten ist der tragende Teil der KI-Verordnung die Transparenzpflicht aus Artikel 50. Sie besagt, dass Anbieter sicherstellen müssen, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so gestaltet sind, dass diese Personen darüber informiert werden, dass sie mit einem KI-System interagieren, „es sei denn, dies ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person aufgrund der Umstände und des Kontexts der Nutzung offensichtlich" (KI-Verordnung, Artikel 50). Im Klartext: bei einem Telefonanruf, bei dem es meist nicht offensichtlich ist, dass die Stimme synthetisch ist, sollte der Agent offenlegen, dass er eine KI ist.

Das Timing ist das Detail, das Reseller am häufigsten übersehen. Die KI-Verordnung gilt in Stufen, und ihr allgemeiner Anwendungsbeginn - das Datum, an dem die Transparenzpflichten aus Kapitel IV, einschließlich Artikel 50, in Kraft treten - ist der 2. August 2026 (KI-Verordnung, Artikel 113). Wenn Sie also ein White-Label-Sprachprodukt in die EU bringen, ist die KI-Offenlegungspflicht kein Gedankenspiel für „irgendwann" - sie ist eine kurzfristige betriebliche Anforderung, die Sie von Anfang an einbauen sollten.

Artikel 50 trägt auch Pflichten rund um synthetische und manipulierte Inhalte, aber für einen schlichten eingehenden Empfangsdienst oder einen ausgehenden Anrufagenten ist die Offenlegungspflicht gegenüber der Person diejenige, die Sie zuerst spüren werden. Die praktische Folge für einen White-Label-Einsatz ist, dass die Offenlegungszeile in jedem co-branded Agenten vorhanden sein muss, den Sie aufsetzen, in der Sprache des Anrufers - ein weiterer Grund, warum das obenauf sitzende Branding die zugrunde liegende rechtliche Arbeit nicht ändert. Unsere Seite zur KI-Verordnung und White-Label-Sprach-KI behandelt den reseller-spezifischen Blickwinkel ausführlicher.

Was verlangt die DSGVO, und wer ist der Verantwortliche?

Wo die KI-Verordnung sich darum sorgt, dass ein Mensch mit einer Maschine spricht, sorgt sich die DSGVO um die personenbezogenen Daten, die dieses Gespräch erzeugt - Name und Nummer des Anrufers und alles, was er preisgibt - und weist die Verantwortung über zwei definierte Rollen zu. Nach Artikel 4 der DSGVO ist der Verantwortliche die Partei, die „über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet", und der Auftragsverarbeiter ist die Partei, die „personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet" (DSGVO, Artikel 4). Der Verantwortliche trifft die Entscheidungen über das Warum und Wie; der Auftragsverarbeiter führt sie nach Weisung aus.

Über diese Rollen hinaus verlangt die DSGVO eine Rechtsgrundlage für die Verarbeitung (zum Beispiel berechtigtes Interesse bei ausgehendem B2B mit dokumentierter Abwägung und geachtetem Widerspruchsrecht, oder Einwilligung, wo die Situation es erfordert), dass Sie Betroffenenrechte achten und dass Sie Nachweise führen, die die Grundlage und die Handhabung belegen. Auch wo diese Daten physisch liegen, ist wichtig - Kontaktdaten und Anrufaufzeichnungen in der EU auf rechenschaftspflichtiger Infrastruktur zu halten, statt sie standardmäßig in die USA zu leiten, ist ein großer Teil dessen, was das Bild verteidigbar macht. Das ist die Frage des EU-Datenstandorts.

Für einen White-Label-Reseller ist die praktische Erkenntnis, dass es der DSGVO gleichgültig ist, wessen Logo auf dem Agenten steht. Ihr kommt es darauf an, wer den Zweck der Anrufe festgelegt hat, wer die Parameter gesetzt hat und wohin die Daten gingen. Diese Tatsachen, nicht die Marke, entscheiden, wer die Rollen des Verantwortlichen und des Auftragsverarbeiters trägt - genau die Frage, die der nächste Abschnitt entwirrt.

Wer ist verantwortlich, wenn es White-Label ist?

White-Labeling kann die Verantwortung diffus erscheinen lassen, aber die DSGVO-Rollen schneiden das auf. Die Partei, die entscheidet, warum die Anrufe stattfinden und was der Agent erreichen soll, handelt als Verantwortlicher; die Partei, die lediglich die technische Verarbeitung nach diesen Weisungen ausführt, handelt als Auftragsverarbeiter. Das Branding verschiebt diese Linie nicht - die Entscheidungen tun es.

In einem typischen White-Label-Arrangement handelt der Reseller oder das Endunternehmen - derjenige, der entscheidet, die Kampagne zu fahren, und ihre Ziele setzt - meist als Verantwortlicher für diese Nutzung, während der Plattformanbieter, der die Infrastruktur nach dessen Weisungen betreibt, typischerweise näher an einem Auftragsverarbeiter liegt. Aber „meist" und „typischerweise" leisten in diesem Satz echte Arbeit: die genaue Zuordnung hängt von den Tatsachen ab, wer was entscheidet, und sie sollte in einem Auftragsverarbeitungsvertrag festgehalten und nicht angenommen werden. Der Punkt ist, dass White-Labeling niemanden aus den Rollen entlässt - es macht ihre Klärung unverzichtbar.

Hier unterscheidet sich ein Modell der fertigen White-Label-Sprach-KI für Creator von einer Self-Service-Plattform. In einem fertigen Modell betreibt der Anbieter den Agenten, sodass Sie nie ein Dashboard anfassen, was bedeutet, dass die operative Compliance-Arbeit - Offenlegungszeilen, EU-Hosting, Opt-out-Bearbeitung - von der Partei ausgeführt wird, die sie am besten konsequent leisten kann, während Sie und der Anbieter dennoch Ihre jeweiligen DSGVO-Rollen dokumentieren. Es löscht Ihre Verantwortlichkeiten nicht, aber es legt die alltäglichen Kontrollen in rechenschaftsfähigere Hände.

Wie prüfen Sie, ob eine White-Label-Sprach-KI konform ist?

Weil Compliance im Einsatz statt im Etikett wohnt, überprüfen Sie sie, indem Sie nach dem Einsatz fragen. Die folgenden Fragen trennen einen Anbieter, der die Arbeit gemacht hat, von einem, der nur „DSGVO" auf eine Homepage gedruckt hat. Für keine davon müssen Sie Jurist sein, um sie zu stellen.

• Legt jeder Agent offen, dass er eine KI ist? Bitten Sie darum, es in einem Live-Anruf zu hören, in der Sprache des Anrufers. Das ist die Pflicht aus Artikel 50 in der Praxis, live ab dem 2. August 2026 (KI-Verordnung, Artikel 50).
• Wo liegen die Daten physisch? Kontaktdaten und Anrufaufzeichnungen sollten in der EU auf rechenschaftspflichtiger Infrastruktur bleiben und nicht standardmäßig in die USA geleitet werden. Siehe EU-Datenstandort für Sprach-KI.
• Was ist die Rechtsgrundlage, und ist sie dokumentiert? Für ausgehende Anrufe eine Interessenabwägung mit geachtetem Widerspruchsrecht, oder Einwilligung, wo erforderlich - und die Papiere, um es zu belegen.
• Wer ist Verantwortlicher und wer Auftragsverarbeiter, schriftlich? Es sollte einen Auftragsverarbeitungsvertrag geben, der die Rollen benennt, statt sie einer Annahme zu überlassen.
• Wie werden Opt-outs und Betroffenenanfragen bearbeitet? Es sollte einen konkreten, überprüfbaren Prozess geben, kein Versprechen.
• Weigern sie sich, zu viel zu versprechen? Ein seriöser Anbieter gibt Ihnen allgemeine Informationen und Nachweise, keine absolute, situationsunabhängige Garantie „es ist zu 100 % konform".

Stellen Sie diese sechs Fragen jeder White-Label-Sprach-KI, deren Wiederverkauf Sie erwägen, und Sie werden schnell den Unterschied erkennen zwischen Compliance als Eigenschaft des Betriebs und Compliance als Marketingwort. Wenn Sie die reseller-orientierte Aufschlüsselung wollen, sind unser Leitfaden zur KI-Verordnung und White-Label-Sprach-KI und der Hub für fertige White-Label-Sprach-KI für Creator die nächsten Anlaufstellen.

Häufig gestellte Fragen