In fast jedem Meeting sitzt mittlerweile ein KI-Assistent. MS Teams schreibt mit und anschließend fasst Copilot das Gespräch zusammen. Dies ist ein echter Produktivitätsgewinn, allerdings ergeben sich dadurch auch rechtliche Risiken. Denn wer annimmt, das keine Daten gespeichert werden, irrt sich hier.
Warum jede Transkription eine Verarbeitung ist
Aus technischer Sicht muss jedes Audiosignal wenn auch nur für eine kurze Zeitspanne zwischen gespeichert werden. Somit liegt eine Verarbeitung personenbezogener Daten vor. Das deutsche Gesetzt geht sogar einen Schritt weiter, denn das nicht öffentlich gesprochenen Wort ist strafrechtlich geschützt (§ 201 StGB). Somit stellt eine heimliche Aufzeichnung keine Ordnungswidrigkeit dar, sondern eine Straftat, die einer Person zurechenbar ist, nämlich derjenigen, der die Aufzeichnung startet.
Was gerade passiert
In den USA läuft aktuell eine Sammelklage gegen Otter.ai. Der Vorwurf lautet, dass der Transkriptionsdienst online Meetings ohne ausreichende Einwilligung aller Teilnehmer aufzeichnet und anschließend unerlaubt für das Training eigener KI-Modelle nutzt.
Fünf kritischen Punkte
1. Die Rechtsgrundlage
Die Einwilligung im Beschäftigtenverhältnis ist wegen des Abhängigkeitsverhältnisses keine geeignete Rechtsgrundlage. Eine entsprechende Betriebsvereinbarung stellt einen stabileren Weg dar. Für externe Teilnehmer wird zu Beginn des Meetings ein aktiver Hinweis benötigt, der eine echte Wahlmöglichkeit bietet. Das Gespräch muss auch ohne Einwilligung fortgesetzt werden.
2. Die Biometrie-Falle
Eine aktive Spracherkennung fällt unter das Verarbeitungsverbot. Dabei wird die Stimme zu einem nach Art. 9 DS-GVO biometrischen Datum, wodurch eine Person identifiziert werden kann.
3. Mitbestimmung
Der Betriebsrat muss nach § 87 Abs. 1 Nr. 6 BetrVG der Transkriptionsfunktion zustimmen, da sie sich für Verhaltens- und Leistungskontrollen eignet.
4. Anbieter und Datenwege
Drittanbieter-Bots sind deutlich schwieriger korrekt zu handhaben, als Lösungen im eignen Tenant. Entscheidend sind: AV-Verträge, Standorte der Server und Verarbeitung, sowie die Frage ob mit den mitgeschnittenen Gesprächen KI-Systeme trainiert werden.
5. Richtigkeit und Löschung
Die generierten Protokolle sind Interpretationen von KI-Systemen, sie müssen immer auf ihre Richtigkeit überprüft werden. Ebenso sollte das Protokoll nach einer festgelegten Frist gelöscht werden, um ein durchsuchbares Gedächtnis des Unternehmens zu vermeiden.
Tipps für die Praxis
- Bestandsaufnahme
Welche Tools sind im Unternehmen bereits im Umlauf. Nutzen diese ggf. inoffizielle oder private Accounts? - Standardeinstellung – Transkription aus
Die Transkription muss bewusst eingeschaltet werden. - Sichtbarer Hinweis
Zu Beginn jedes Gesprächs muss der Hinweis über die Transkription mit eindeutiger Widerspruchsmöglichkeit vorliegen. - DFSA durchführen
Vor der Einführung des KI-Dienstes muss eine Datenschutzfolgeabschätzung (Art. 35 DS-GVO) durchgeführt werden. - Löschkonzept technisch erzwingen
Löschfristen und Aufbewahrungsrichtlinien festlegen und technisch automatisiert umsetzten.
Fazit: KI-Transkription ist dann kein Datenschutzproblem, wenn man sie als Projekt behandelt – mit Zweck, Rechtsgrundlage, Betriebsrat, Löschfristen und einer klaren Ansage an alle Beteiligten. Zum Problem wird sie, wenn sie einfach passiert.
Quellen
https://www.baden-wuerttemberg.datenschutz.de/leitfaden-ki-transkription-von-gemeinderatssitzungen/
https://www.lda.bayern.de/media/baylda_report_15.pdf
https://www.gdd.de/wp-content/uploads/2026/01/GDD-Kurzpapier-4-Gespraechstranskription.pdf