Wo liegen die Daten? EU, USA und was dazwischen tatsächlich passiert

„Alles DSGVO-konform“ steht auf jeder Anbieterseite. Wo genau die Stimme erzeugt wird, steht nirgends. Hier steht es — einschließlich der Stelle, an der bei uns Daten die EU verlassen.

Auf fast jeder Anbieterseite steht ein Satz wie „DSGVO-konform“ oder „Server in Deutschland“. Beides kann stimmen und beides beantwortet die Frage nicht, um die es geht: **Welcher Dienst sieht welchen Teil des Gesprächs, und in welchem Land steht er?**

Wir beantworten sie hier für uns — einzeln, mit Ländern und einschließlich der Stelle, an der bei uns Daten die EU verlassen.

„Alles in der EU“ ist kein Satz über Technik. Es ist ein Satz über die Sorgfalt dessen, der ihn schreibt.

Ein Anruf besteht aus vier Schritten

Eine Telefon-KI ist kein einzelner Dienst, sondern eine Kette. Vier Glieder, und sie können in vier verschiedenen Ländern stehen.

1. **Die Leitung** — der Anruf kommt herein, über einen Telefonanbieter.
2. **Das Verstehen** — aus Gesprochenem wird Text (Spracherkennung).
3. **Das Denken** — aus dem Text wird eine Antwort (Sprachmodell).
4. **Das Sprechen** — aus der Antwort wird wieder Ton (Sprachausgabe).

Wie es bei uns aussieht

Vollständig, ohne Pauschalsatz:

• **Server und Datenbank** — EU: Server in Deutschland, Datenbank in Irland.
• **Telefonie** — deutscher Anbieter für die Rufnummern; für einen Teil der Wege ein internationaler Dienst.
• **Verstehen (Spracherkennung)** — 🔴 **ein spezialisierter Anbieter, der Daten auch in den USA verarbeitet**.
• **Denken (Sprachmodell)** — 🔴 derselbe Weg: Daten auch in den USA.
• **Sprechen (Sprachausgabe)** — 🔴 derselbe Weg: Daten auch in den USA.

Deshalb lautet unser Satz heute **„Ihre Kundendaten speichern wir in der EU. Die Sprachverarbeitung läuft über zertifizierte Anbieter, teils in den USA, den Niederlanden und Singapur; Gesprächsdaten liegen dort 1 Tag, in Sicherungen bis zu 30 Tage (siehe Unterauftragsverarbeiter).“** — und nicht „alles in der EU“. Der Unterschied sind drei Glieder der Kette — genau die, in denen das Gespräch selbst stattfindet.

🔴 Was genau die EU verlässt

Hier wird es konkret, und das ist der eigentliche Grund für diesen Artikel.

**Das Gespräch selbst.** Was der Anrufer sagt, wird verstanden, beantwortet und als Stimme zurückgegeben — für Spracherkennung, Sprachausgabe und Sprachmodell setzen wir spezialisierte Anbieter ein, die Daten auch in den USA verarbeiten. Gespräche werden nicht als Ton aufgenommen.

Welche Angaben dabei mitlaufen, zeigt ein Satz am deutlichsten. Er lautet bei uns wörtlich:

Was die EU verlässt, ist kein Mitschnitt. Es ist das laufende Gespräch — einschließlich des Satzes, in dem die Daten am dichtesten stehen.

**Bei jedem Gespräch mit Kontaktdaten gehen Name, Rufnummer und Ort an einen Anbieter, der Daten auch in den USA verarbeitet.** Nicht als Panne, sondern weil die Rückbestätigung genau dafür da ist: Sie soll verhindern, dass eine verhörte Nummer in eine Notiz gerät.

Warum wir es überhaupt so gebaut haben

Die ehrliche Antwort ist keine technische Notwendigkeit, sondern eine Abwägung: **Die Stimme des US-Dienstes klingt besser und antwortet schneller.** Am Telefon zählt beides — eine halbe Sekunde Verzögerung hört jeder, und eine hölzerne Stimme lässt Anrufer auflegen.

Für Störungen der Sprachplattform steht ein Rückfallweg bereit und übernimmt, wenn der erste ausfällt; welche Anbieter er nutzt, steht unter sayvio.de/unterauftragsverarbeiter.

**Ob diese Abwägung richtig ist, kann man verschieden sehen.** Was nicht verhandelbar ist: sie muss dastehen. Ein Betrieb, der uns einsetzt, soll seinen Kunden gegenüber auskunftsfähig sein — und dafür braucht er diesen Absatz, nicht ein Siegel.

Was „Server in Deutschland“ wert ist

Es ist die häufigste Aussage in dieser Branche und die am leichtesten zu erfüllende: Ein Server steht dort, wo man ihn mietet, und das kostet dieselben zwanzig Euro in Frankfurt wie in Virginia.

**Sie sagt nichts über die Dienste, die auf ihm laufen.** Ein Server in Deutschland, der bei jedem Anruf drei US-Dienste aufruft, ist ein Server in Deutschland — und die Daten sind trotzdem drüben.

Der Standort des Servers ist die Angabe, die am leichtesten zu machen und am wenigsten wert ist.

Die Frage, die etwas trennt, lautet nicht „wo steht der Server“, sondern **„welche Dienste ruft er auf, und wo stehen die“**. Deshalb steht oben eine Liste mit vier Zeilen und nicht ein Satz.

Wie lange die Daten bleiben

Ein zweiter Punkt, der in Datenschutzerklärungen gern als „gesetzlich vorgeschrieben“ abgetan wird, obwohl er eine Entscheidung ist.

• **Der Gesprächstext** wird nach einer festen Frist gelöscht — er ist die Arbeitsgrundlage für die Notiz, nicht deren Archiv.
• **Die Notiz** bleibt beim Betrieb, so lange er sie braucht. Sie ist sein Kundenkontakt, nicht unserer.
• **Personenbezogene Angaben im Text** werden zusätzlich geschwärzt, bevor der Text lange liegt.
• **Bei einem Widerspruch** entfällt beides sofort.

Was NICHT passiert

• **Keine Audioaufnahme.** Es gibt keinen Mitschnitt des Gesprächs. Was verarbeitet wird, ist der Text, der beim Verstehen entsteht.
• **Kein Training mit Ihren Daten.** Die Dienste, die wir einsetzen, werden nicht mit den Gesprächen unserer Kunden trainiert.
• **Keine Weitergabe an Dritte** außer den genannten Dienstleistern — und die stehen oben, einzeln.
• **Kein Weiterreden bei Widerspruch.** Wer sagt, er wolle das nicht, beendet damit das Gespräch; das Notierte wird gelöscht.

Der AV-Vertrag — und warum er offen liegt

**Ein AV-Vertrag nach Art. 28 DSGVO ist im Vertrag enthalten.** Sie können ihn vorab unter sayvio.de/avv lesen; die Liste aller Dienstleister steht unter sayvio.de/unterauftragsverarbeiter. „AVV inklusive“ ist ein Satz, den viele schreiben und den man sich zeigen lassen sollte — deshalb liegt unserer offen.

🔴 **Wir zeigen den Vertrag, kein Siegel.** Wer stattdessen ein Siegel möchte, ist bei uns falsch.

Was ein Betrieb seinen Kunden sagen kann

Der praktische Teil: Ein Handwerksbetrieb, der einen Telefonassistenten einsetzt, wird irgendwann gefragt — von einem Kunden, von einem Auftraggeber, in einer Ausschreibung. Drei Sätze genügen, und sie müssen stimmen.

• **„Gespräche werden nicht als Ton aufgenommen.“** Kein Mitschnitt, nur der Text, der beim Verstehen entsteht.
• **„Ihre Kundendaten speichern wir in der EU. Die Sprachverarbeitung läuft über zertifizierte Anbieter, teils in den USA, den Niederlanden und Singapur; Gesprächsdaten liegen dort 1 Tag, in Sicherungen bis zu 30 Tage (siehe Unterauftragsverarbeiter).“** Genau so, ohne Abrundung.
• **„Wer nicht möchte, sagt es — dann ist das Gespräch beendet und das Notierte gelöscht.“** Das ist der Satz, der die meisten Bedenken erledigt.

**Der zweite ist der, den man am liebsten weglassen würde**, und genau er macht die anderen beiden glaubwürdig. Ein Betrieb, der ihn von sich aus sagt, wird selten weitergefragt.

Vier Fragen an jeden Anbieter

1. **Nennen Sie mir die vier Glieder einzeln** — Leitung, Verstehen, Denken, Sprechen — **mit Dienst und Land.** Wer das nicht in einer Mail beantworten kann, hat nie hingesehen.
2. **Wird das Gespräch aufgezeichnet?** „Zur Qualitätssicherung“ ist die Antwort, nach der man weiterfragt.
3. **Was passiert bei einem Widerspruch mitten im Gespräch?** Die richtige Antwort ist: beenden und löschen. Alles andere ist eine Diskussion mit dem Anrufer.
4. **Zeigen Sie mir den AVV.** Nicht: gibt es einen. Sondern: zeigen.

Wer diese vier Antworten hat, kann zwei Anbieter tatsächlich vergleichen — und merkt schnell, dass der Preis dabei die einfachste der Fragen ist.

Und eine fünfte, die nichts mit Technik zu tun hat: **Wie schnell antwortet der Anbieter auf diese Fragen?** Wer drei Tage braucht, um vier Dienstnamen zu nennen, hat sie nachgeschlagen. Wer sie aus dem Kopf beantwortet, hat die Kette gebaut.

Was der Assistent überhaupt über Ihre Kunden wissen darf: Ihre Kundenliste und der Assistent.

Und warum er sich im ersten Satz zu erkennen gibt: „Ich bin eine digitale Assistentin“.