DSGVO-konforme KI-Telefonie im Hotel 2026: Die Checkliste

Warum DSGVO bei KI-Telefonie kein Add-on ist, sondern Grundlage

KI-Telefonie verarbeitet personenbezogene Daten ab dem ersten Wort, DSGVO greift sofort.

Der Anrufer nennt seinen Namen, die Buchungsnummer, seinen Anrufgrund. Die KI greift aufs PMS zu, prüft die Verfügbarkeit, protokolliert das Gespräch. Das sind personenbezogene Daten nach Art. 4 DSGVO. Kein Spielraum für "erstmal testen und später klären".

Von 205 echten Hotelanrufen, die HeyMaria in einem 30-Tage-Zeitraum bearbeitet hat, wurden 75,6 % als Routinefälle eigenständig gelöst. Das bedeutet: In drei von vier Gesprächen verarbeitet die KI Gästeinformationen ohne menschliche Kontrolle in Echtzeit. Name, Buchungsstatus, Zimmerpräferenzen, Stornofristen.

Sie können KI-Telefonie nicht "mal eben einschalten" und später über Datenschutz nachdenken. Die Rechtsgrundlage muss stehen, bevor der erste Anruf durchgestellt wird. Sonst riskieren Sie Bußgelder (bis 20 Mio. € oder 4 % des Jahresumsatzes nach Art. 83 DSGVO) und Abmahnungen.

Konkret: Bevor HeyMaria oder ein anderer KI-Telefonassistent ans Telefonnetz geht, brauchen Sie:
- Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO)
- Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter
- Dokumentation der technischen Maßnahmen (EU-Hosting, Verschlüsselung)
- Anpassung Ihrer Datenschutzerklärung

Der Rest dieses Artikels ist Ihre Checkliste.

Die drei DSGVO-Säulen für KI-Telefonie im Hotel

Rechtssichere KI-Telefonie steht auf drei Säulen: Rechtsgrundlage, technische Maßnahmen, Transparenz.

1. Rechtsgrundlage nach Art. 6 DSGVO

Sie brauchen einen rechtlichen Grund, warum Sie Gästeanrufe durch KI verarbeiten lassen. Zwei Wege:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Ihr Hotel hat ein legitimes Interesse, Anrufe entgegenzunehmen und Routinefragen zu beantworten. Gäste erwarten Erreichbarkeit. Sie müssen nachweisen: Das Interesse überwiegt die Datenschutzinteressen des Gastes. Für Routinefragen (Öffnungszeiten, Anfahrt, Verfügbarkeit) meist ausreichend.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Der Gast willigt aktiv ein, dass seine Daten durch KI verarbeitet werden. Praktisch schwer: Wie holen Sie Einwilligung am Telefon, bevor das Gespräch startet? Nur sinnvoll bei vorab bekannten Anrufern (z.B. Stammgast ruft zurück).

Praxisempfehlung: Berechtigtes Interesse für Routinefragen, Einwilligung für sensible Sonderfälle (z.B. Gesundheitsdaten bei Wellnessanfragen). Dokumentieren Sie Ihre Interessenabwägung schriftlich.

2. Technische Maßnahmen (Art. 32 DSGVO)

• EU-Hosting: Alle Sprachdaten, Gesprächsprotokolle und KI-Verarbeitung müssen innerhalb der EU stattfinden. Keine Server in den USA oder anderen Drittländern ohne Angemessenheitsbeschluss.
• Verschlüsselung: Datenübertragung zwischen Telefon und KI-System verschlüsselt (TLS 1.3 oder höher). Gespeicherte Protokolle verschlüsselt (AES-256).
• Zugriffskontrolle: Nur autorisierte Mitarbeiter dürfen auf Gesprächsprotokolle zugreifen. Rollenbasierte Rechte im Dashboard.

3. Transparenz (Art. 13 DSGVO)

Der Anrufer muss wissen, dass er mit einem KI-Telefonassistenten spricht. Zwei Ansätze:

• Ansage vor Gesprächsbeginn: "Sie sprechen mit HeyMaria, dem KI-Telefonassistenten des Hotels."
• Hinweis auf der Website: Datenschutzerklärung erwähnt KI-Telefonie explizit.

Hotelszenario: Ein Gast ruft Freitag 22:30 an, fragt nach Stornierung. HeyMaria begrüßt: "Guten Abend, hier ist HeyMaria vom Hotel Alpenblick. Wie kann ich Ihnen helfen?" Der Gast nennt Buchungsnummer. HeyMaria prüft im PMS, bestätigt Stornofrist, protokolliert das Ergebnis. Alle drei Säulen greifen: Berechtigtes Interesse (Stornierung bearbeiten), EU-Hosting (kein US-Zugriff), Transparenz (Name HeyMaria macht KI-Einsatz klar).

Anrufaufzeichnung vs. Gesprächsprotokoll: Der entscheidende Unterschied

Anrufaufzeichnung speichert Audio und braucht Einwilligung. Gesprächsprotokoll speichert strukturierte Daten und läuft meist über berechtigtes Interesse.

Hier liegt die größte Unsicherheit bei Hoteliers. Die DSGVO unterscheidet nicht explizit zwischen beiden, aber die Rechtsfolgen sind massiv unterschiedlich.

Anrufaufzeichnung (Audio-File):
- Sie speichern die vollständige Sprachaufnahme des Gesprächs als MP3/WAV.
- Das ist eine besonders eingriffsintensive Verarbeitung (Stimme = biometrisches Merkmal).
- Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO zwingend. Der Anrufer muss vorher aktiv zustimmen.
- Pflichten: Ausdrückliche Ansage ("Dieses Gespräch wird zu Qualitätszwecken aufgezeichnet"), Widerrufsrecht, kurze Speicherfrist.

Gesprächsprotokoll (strukturierte Daten):
- Sie speichern: Anrufer-Nummer, Zeitpunkt, Anrufgrund, Ergebnis, übermittelte Fakten (z.B. "Gast fragt nach Stornierung, Frist bestätigt").
- Kein Audio, nur Text.
- Rechtsgrundlage: Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO meist ausreichend. Sie dokumentieren die Geschäftsvorfälle Ihres Hotels (wie bei E-Mails oder Notizen am Empfang).
- Pflichten: Transparenz in Datenschutzerklärung, angemessene Speicherfrist (z.B. 6 Monate für Reservierungsanfragen, 10 Jahre für Buchhaltung-relevante Anfragen).

HeyMaria speichert kein Audio. Das System erstellt strukturierte Gesprächsprotokolle. Sie sehen im Dashboard: "Anruf 14:23 Uhr, Gast Max Müller, Anfrage Zimmerupgrade, Ergebnis: Verfügbarkeit geprüft, Übergabe an Front Office". Keine MP3-Datei.

In unserem eigenen Buchungsportal Hütten Holiday läuft HeyMaria seit zwei Saisons. Von 98 echten Hotelanrufen wurde kein einziger an einen Menschen übergeben. Alle Routinefragen (Verfügbarkeit, Anfahrt, Stornierung) löst die KI eigenständig. Wir speichern dabei kein Audio, nur Protokolle. Das ist DSGVO-konform über berechtigtes Interesse abgedeckt.

Praxistipp: Wenn Sie Audio-Aufzeichnung erwägen (z.B. für Qualitätsmanagement), brauchen Sie aktive Einwilligung. Für normale Hotelbetrieb reichen Protokolle.

EU-Hosting als Non-Negotiable für Hotels

US-Cloud-Telefonie ist für Hotels Rechtsrisiko wegen CLOUD Act und fehlendem Angemessenheitsbeschluss.

Der EuGH hat 2020 das Privacy-Shield-Abkommen gekippt (Schrems-II-Urteil). Die USA gelten nicht mehr als sicheres Drittland für personenbezogene Daten. Das betrifft auch Cloud-Telefonie.

Problem: Viele KI-Telefonassistenten (z.B. US-Anbieter wie Annette, Wynguest, hospitality.ai) laufen auf AWS US-Ost oder Google Cloud US. Selbst wenn der Anbieter "DSGVO-konform" behauptet: Sobald Daten auf US-Servern liegen, kann die US-Regierung nach dem CLOUD Act Zugriff verlangen. Ohne richterliche Anordnung nach EU-Recht.

Für Hotels konkret: Ein Drittel aller Anrufe läuft außerhalb der klassischen Bürozeiten (33,5 % laut HeyMaria-Analyse über 975 Anrufe). Das bedeutet: Nachts, am Wochenende verarbeitet die KI Gästeinformationen, ohne dass jemand vor Ort kontrolliert. Wenn diese Verarbeitung auf US-Servern stattfindet, haben Sie keine Kontrolle über Zugriffe durch Drittstaatsbehörden.

Rechtslage:
- EU-Hosting: Daten bleiben in Deutschland oder EU-Rechenzentren. DSGVO greift vollumfänglich, keine Drittstaaten-Problematik.
- US-Hosting: Sie brauchen Standardvertragsklauseln (SCCs) + zusätzliche Schutzmaßnahmen (Transfer Impact Assessment). Praktisch kaum wasserdicht umsetzbar für Live-Telefonie.

HeyMaria-Positionierung: Alle Sprachdaten, KI-Verarbeitung und Protokolle laufen auf deutschen/EU-Servern. Kein Datenfluss in die USA oder andere Drittstaaten. Keine CLOUD-Act-Problematik.

Praxisempfehlung: Fragen Sie jeden KI-Telefonie-Anbieter:
1. Wo stehen die Server physisch? (Land, Rechenzentrum)
2. Wird Sprachverarbeitung in Echtzeit in der EU durchgeführt?
3. Haben Konzernmütter in den USA Zugriff auf die Daten?

Wenn auch nur eine Antwort "USA" lautet: Rechtlich heikel. Finger weg, außer Sie haben einen Datenschutzbeauftragten, der das Transfer Impact Assessment macht.

PMS-Anbindung und DSGVO: Was Sie vorher klären müssen

KI-Zugriff aufs PMS braucht AVV, definierte Zugriffsrechte und Protokollierung.

Damit HeyMaria Buchungen prüfen, Verfügbarkeit abfragen oder Stornierungen bestätigen kann, muss sie aufs Property Management System (PMS) zugreifen. Das ist Auftragsverarbeitung nach Art. 28 DSGVO.

Szenario: Ein Stammgast ruft an, möchte sein Zimmer für nächste Woche upgraden. HeyMaria greift aufs PMS zu, prüft Verfügbarkeit der Suite, bucht um. Dabei werden Gästename, Buchungsnummer, Zimmerkategorie, Preis verarbeitet.

DSGVO-Anforderungen:

1. Auftragsverarbeitungsvertrag (AVV):
- Zwischen Ihrem Hotel (Verantwortlicher) und dem KI-Anbieter (Auftragsverarbeiter).
- Regelt: Gegenstand der Verarbeitung, Dauer, Art der Daten, technische Maßnahmen.
- HeyMaria liefert AVV-Vorlage, die Sie prüfen und unterschreiben.

2. Zugriffsrechte definieren:
- Welche PMS-Daten darf die KI lesen? (Buchungen, Verfügbarkeit, Gästepräferenzen)
- Welche Daten darf sie schreiben? (Reservierungen anlegen, Stornierungen durchführen)
- Welche Daten sind tabu? (Kreditkartennummern, Gesundheitsdaten, interne Notizen)
- Best Practice: Nur Lesezugriff für Standardanfragen, Schreibzugriff nur nach expliziter Freigabe durch Ihr Team.

3. Protokollierung:
- Jeder PMS-Zugriff wird geloggt: Wann, welche Daten, welcher Zweck.
- Sie müssen nachweisen können: Die KI hat nur auf das zugegriffen, was für die Anrufbearbeitung nötig war (Datenminimierung nach Art. 5 DSGVO).

4. Schnittstellen-Sicherheit:
- PMS-Anbindung läuft über verschlüsselte API (HTTPS, OAuth2).
- Keine Klartext-Passwörter, keine offenen Schnittstellen.

Checkliste für IT-Verantwortliche:
- [ ] AVV mit KI-Anbieter abgeschlossen?
- [ ] PMS-Zugriffsrechte dokumentiert (Lesen/Schreiben)?
- [ ] API-Keys sicher hinterlegt (nicht im Klartext)?
- [ ] Protokollierung aktiviert (Zugriffs-Logs)?
- [ ] Testlauf mit Dummy-Daten durchgeführt?

Wichtig: Die Verantwortung bleibt bei Ihnen. Wenn die KI durch mangelnde Zugriffsrechte-Beschränkung zu viel Daten abgreift, haften Sie als Hotelbetreiber.

Gast fordert Löschung: Wie KI-Telefonie mit Betroffenenrechten umgeht

Löschungsanfragen nach Art. 17 DSGVO muss die KI an einen Menschen übergeben, nicht eigenständig bearbeiten.

Ein Gast ruft nach seinem Aufenthalt an: "Löschen Sie alle meine Daten, ich will nicht mehr in Ihrer Kartei stehen." Das ist ein Antrag auf Löschung nach Art. 17 DSGVO. Wie reagiert die KI?

Falsch: "Ihre Daten wurden gelöscht, vielen Dank für Ihren Anruf."

Richtig: "Ich habe Ihre Anfrage notiert und übergebe sie an unser Team. Sie erhalten innerhalb von 30 Tagen eine Rückmeldung per E-Mail."

Warum? Löschungsanfragen sind komplex:
- Nicht alle Daten dürfen gelöscht werden (z.B. Rechnungsdaten für Buchhaltung 10 Jahre aufbewahrungspflichtig).
- Sie müssen prüfen: Gibt es Ausnahmen nach Art. 17 Abs. 3 DSGVO? (Rechtliche Verpflichtung, berechtigtes Interesse)
- Löschung muss dokumentiert werden (Nachweis gegenüber Aufsichtsbehörde).

Die KI kann das nicht eigenständig entscheiden. Sie muss den Fall mit vollständigem Kontext an einen Menschen übergeben.

Betroffenenrechte, die KI nicht eigenständig bearbeiten darf:
- Auskunft (Art. 15 DSGVO): "Welche Daten haben Sie über mich gespeichert?" → Übergabe an Datenschutzbeauftragten.
- Löschung (Art. 17 DSGVO): "Löschen Sie meine Daten." → Übergabe an Verantwortlichen.
- Widerspruch (Art. 21 DSGVO): "Ich widerspreche der Verarbeitung meiner Daten durch KI." → Übergabe, KI darf diesen Anrufer nicht mehr bearbeiten.
- Berichtigung (Art. 16 DSGVO): "Meine E-Mail-Adresse ist falsch." → KI kann Korrektur vorschlagen, aber Mensch muss freigeben.

Routinefragen, die KI eigenständig bearbeiten darf:
- "Haben Sie noch ein Zimmer frei?" → Ja, Routineanfrage.
- "Wann ist Check-in?" → Ja, Standardinformation.
- "Ich möchte stornieren." → Ja, Geschäftsvorfall, aber: Stornierung muss im PMS protokolliert werden.

Praxistipp: Definieren Sie in der Wissensbasis: Alle Anfragen mit "Datenschutz", "Löschung", "Auskunft", "Widerspruch" → automatische Übergabe an Mensch mit Kontext. HeyMaria macht das standardmäßig.

Fristen: Sie haben 30 Tage Zeit, auf Betroffenenrechte zu reagieren (Art. 12 Abs. 3 DSGVO). Die KI protokolliert den Zeitpunkt der Anfrage, Ihr Team muss die Frist einhalten.

Checkliste: DSGVO-konforme KI-Telefonie in 7 Schritten einführen

Diese 7 Schritte klären Sie ab, bevor der erste KI-Anruf durchgestellt wird.

1. AVV mit Anbieter prüfen und unterschreiben

Fordern Sie den Auftragsverarbeitungsvertrag an. Prüfen Sie: EU-Hosting bestätigt? Technische Maßnahmen dokumentiert? Unterzeichnen Sie vor Produktivstart.

2. EU-Hosting bestätigen

Fragen Sie: Wo stehen die Server physisch? Wird Sprachverarbeitung in Echtzeit in der EU durchgeführt? Lassen Sie sich schriftlich bestätigen: Keine Datenverarbeitung in Drittstaaten.

3. Datenschutzerklärung anpassen

Ergänzen Sie auf Ihrer Website: "Wir setzen KI-Telefonie ein. Anrufe werden durch [Anbietername] bearbeitet. Gesprächsprotokolle werden gespeichert. Rechtsgrundlage: Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO."

4. PMS-Zugriffe definieren

Legen Sie fest: Welche Daten darf die KI lesen/schreiben? Dokumentieren Sie das schriftlich. Richten Sie API-Zugänge mit minimalen Rechten ein (Least-Privilege-Prinzip).

5. Schulung Team

Briefing für Rezeption/Front Office: Wann übernimmt die KI? Wann wird an Mensch übergeben? Wie greifen Sie auf Gesprächsprotokolle zu? Wie reagieren Sie auf Datenschutzanfragen?

6. Gast-Information

Stellen Sie sicher: Anrufer erkennen, dass sie mit KI sprechen. Ansage am Telefon ("Hier ist HeyMaria") oder Hinweis auf Website. Transparenz nach Art. 13 DSGVO.

7. Protokollierung einrichten

Aktivieren Sie im Dashboard: Zugriffs-Logs für PMS-Anbindung, Gesprächsprotokolle mit Zeitstempel, Übergabe-Dokumentation. Das ist Ihr Nachweis gegenüber Aufsichtsbehörden.

Nach 30 Tagen: Überprüfen Sie Gesprächsprotokolle. Werden Datenschutzanfragen korrekt übergeben? Greift die KI nur auf genehmigte PMS-Daten zu? Falls nein: Nachsteuern.

KI-Telefonassistent vs. klassische Hoteltelefonanlage: DSGVO-Perspektive

KI-Telefonie in Zahlen: DSGVO-Relevanz

Quelle: HeyMaria-Plattform-Analyse, 2.721 Hotelanrufe, 2026

So führen Sie DSGVO-konforme KI-Telefonie ein

1. AVV anfordern und prüfen Fordern Sie beim KI-Anbieter den Auftragsverarbeitungsvertrag an. Prüfen Sie: EU-Hosting dokumentiert, technische Maßnahmen beschrieben, Ihre Weisungsrechte festgelegt.
2. EU-Hosting-Nachweis einholen Lassen Sie sich schriftlich bestätigen: Server-Standort innerhalb EU, Sprachverarbeitung in Echtzeit in der EU, keine Datenflüsse in Drittstaaten.
3. Datenschutzerklärung anpassen Ergänzen Sie auf Ihrer Website: Einsatz von KI-Telefonie, Anbieter nennen, Rechtsgrundlage (berechtigtes Interesse), Speicherdauer Gesprächsprotokolle.
4. PMS-Zugriffsrechte definieren Legen Sie fest: Welche Daten darf die KI lesen (z.B. Buchungsstatus), welche schreiben (z.B. Reservierung anlegen), welche sind tabu (z.B. Kreditkartendaten). Dokumentieren Sie schriftlich.
5. Team schulen Briefing für Rezeption: Wie funktioniert KI-Übergabe, wo finden Sie Gesprächsprotokolle, wie reagieren Sie auf Datenschutzanfragen (Löschung, Auskunft).
6. Testlauf mit Dummy-Daten Führen Sie Testanrufe durch mit fiktiven Gästedaten. Prüfen Sie: Werden Protokolle korrekt erstellt, greift PMS-Anbindung nur auf genehmigte Daten zu, werden Datenschutzanfragen übergeben.
7. Produktivstart mit Monitoring Schalten Sie KI-Telefonie scharf. Überprüfen Sie nach 7 und 30 Tagen: Gesprächsprotokolle vollständig, PMS-Zugriffe dokumentiert, Datenschutzanfragen korrekt bearbeitet.

Häufig gestellte Fragen

Muss ich jeden Anrufer informieren, dass er mit KI spricht?

Ja, Transparenz nach Art. 13 DSGVO ist Pflicht. Der Anrufer muss erkennen können, dass er mit einem KI-Telefonassistenten spricht, nicht mit einem Menschen. HeyMaria stellt sich zu Beginn vor: 'Hier ist HeyMaria vom Hotel [Name]'. Das macht den KI-Einsatz klar. Alternativ: Hinweis in Ihrer Datenschutzerklärung auf der Website.

Darf die KI Kreditkartendaten verarbeiten?

Nein, auf keinen Fall. Kreditkartendaten sind hochsensibel und unterliegen PCI-DSS-Standards. KI-Telefonie darf keine Zahlungsinformationen erfragen oder speichern. Wenn ein Gast Kreditkarte nennt, muss HeyMaria das Gespräch sofort an einen Menschen übergeben. Das ist in der Wissensbasis standardmäßig hinterlegt.

Was ist mit Anrufen aus der Schweiz?

Die Schweiz hat ein eigenes Datenschutzgesetz (DSG), das DSGVO-ähnlich ist. Anrufer aus der Schweiz haben die gleichen Rechte (Auskunft, Löschung, Widerspruch). Für Hotels in Deutschland gilt: Wenn Sie Schweizer Gäste bedienen, gilt DSGVO trotzdem (Sie verarbeiten in der EU). EU-Hosting schützt auch Schweizer Gäste vor US-Zugriff.

Wie lange darf ich Gesprächsprotokolle speichern?

Abhängig vom Zweck. Reservierungsanfragen ohne Buchung: 6 Monate reichen. Buchungsbestätigungen: So lange die Buchung läuft plus 6 Monate. Buchhaltung-relevante Anfragen: 10 Jahre Aufbewahrungspflicht nach HGB. Definieren Sie Speicherfristen in Ihrer Datenschutzerklärung und im AVV mit dem KI-Anbieter. HeyMaria löscht Protokolle automatisch nach konfigurierbarer Frist.

Was passiert, wenn ein Gast der KI-Verarbeitung widerspricht?

Der Gast hat ein Widerspruchsrecht nach Art. 21 DSGVO. HeyMaria protokolliert den Widerspruch und übergibt das Gespräch sofort an einen Menschen. Sie müssen dann entscheiden: Wird dieser Anrufer künftig nur von Menschen bearbeitet? Dokumentieren Sie den Widerspruch im CRM oder PMS, damit die KI diesen Gast nicht mehr kontaktiert.

Brauche ich einen Datenschutzbeauftragten für KI-Telefonie?

Abhängig von Ihrer Hotelgröße. Nach Art. 37 DSGVO brauchen Sie einen DSB, wenn mindestens 20 Personen ständig mit personenbezogenen Daten arbeiten. KI-Telefonie allein löst keine DSB-Pflicht aus. Aber: Wenn Sie ohnehin DSB-pflichtig sind (z.B. großes Hotel, umfangreiches CRM), sollte der DSB die KI-Telefonie prüfen und dokumentieren.

HeyMaria ist DSGVO-konform ab Tag 1: EU-Hosting in Deutschland, keine Datenverarbeitung außerhalb der EU, AVV inklusive. Unser Team aus Unterthingau richtet Ihre Wissensbasis ein, definiert PMS-Zugriffsrechte und übernimmt die Dokumentation. Sie testen 30 Tage an einer eigenen Anschlussnummer mit 30-Tage-Geld-zurück-Garantie. Nach 14 Tagen sehen Sie im Dashboard, wie viele Anrufe HeyMaria eigenständig löst. Dann entscheiden Sie, ob Sie verlängern. Jetzt mehr erfahren unter hey-maria.com/branchen/gastronomie