In dem Moment, in dem du ein KI Tool ein Meeting aufzeichnen lässt, beginnst du, personenbezogene Daten über alle im Raum zu verarbeiten. Nach der DSGVO kommen damit Pflichten: ein Grund, warum du das darfst, Transparenz gegenüber den Aufgezeichneten, ein Vertrag mit deinem Anbieter und Kontrolle darüber, wo die Daten landen. Nichts davon ist exotisch, aber es zu überspringen ist der Weg, auf dem aus einem hilfreichen Tool ein Datenschutzproblem wird.
Dieser Leitfaden geht in klarer Sprache durch, was tatsächlich gilt, und endet mit einer Checkliste, die du gegen jedes Tool prüfen kannst. Es ist praktische Orientierung, keine Rechtsberatung; für den Einzelfall sprich mit deinem Datenschutzbeauftragten oder einem Anwalt.
Aufzeichnung, Transkript und Zusammenfassung sind alle personenbezogene Daten
Die Stimme einer Person identifiziert sie, und ebenso das, was sie wann gesagt hat. Deshalb zählt nicht nur das Audio als personenbezogenes Datum. Das Transkript und die KI Zusammenfassung tun es auch, denn sie verknüpfen Aussagen weiterhin mit identifizierbaren Personen. Dein Meeting Tool verarbeitet alle drei in deinem Auftrag, und genau deshalb zählt die Beziehung zum Anbieter.
Du brauchst eine Rechtsgrundlage, bevor du auf Aufnahme drückst
Die DSGVO verbietet Aufzeichnung nicht. Sie verlangt eine Rechtsgrundlage dafür. Bei Meetings kommen zwei am häufigsten vor:
- Einwilligung. Teilnehmer stimmen der Aufzeichnung zu. Die Einwilligung muss freiwillig, konkret und leicht widerrufbar sein. Sie passt zu externen Calls und Situationen, in denen Menschen wirklich Nein sagen können.
- Berechtigtes Interesse. Du hast einen echten geschäftlichen Grund (etwa korrekte Protokolle), der nicht von den Rechten der Teilnehmer überwogen wird. Das braucht eine kurze dokumentierte Abwägung und ist bei internen Meetings üblich.
Worauf auch immer du dich stützt, sag es den Leuten klar. Eine Zeile in der Einladung, ein gesprochener Hinweis zu Beginn und die sichtbare Aufnahmeanzeige helfen alle. Heimliche Aufzeichnung ist der schnellste Weg, Vertrauen zu verlieren und zugleich die Transparenzpflicht zu verletzen.
Schließe einen Auftragsverarbeitungsvertrag mit dem Anbieter
Weil das Tool personenbezogene Daten für dich verarbeitet, ist es Auftragsverarbeiter und du bist Verantwortlicher. Diese Beziehung erfordert einen Auftragsverarbeitungsvertrag, kurz AVV. Ein brauchbarer AVV sollte Aufzeichnungen, Transkripte und Zusammenfassungen abdecken und Folgendes festhalten:
- Was der Anbieter mit den Daten darf und was nicht.
- Welche Unterauftragsverarbeiter er nutzt und wo diese sitzen.
- Sicherheitsmaßnahmen, Meldung von Verstößen und Löschung bei Vertragsende.
- Ob deine Daten zum Training der Modelle des Anbieters genutzt werden. Für viele Teams muss die Antwort Nein lauten.
Wenn ein Anbieter keinen AVV vorlegen kann, reicht das allein meist, um ihn von der Liste zu nehmen.
Warum EU Datenresidenz zählt
Wo Aufzeichnungen gespeichert und verarbeitet werden, ist zentral für die Konformität. EU Datenresidenz bedeutet, dass die Daten auf Servern in der Europäischen Union bleiben, was die schwierigeren Fragen zu internationalen Übermittlungen umgeht und vielen europäischen Organisationen die Sicherheit gibt, die ihre eigenen Richtlinien verlangen. Es ist streng genommen nicht die einzige rechtmäßige Option, aber die am einfachsten zu verteidigende, und für öffentlichen Sektor, Gesundheit und Finanzen ist sie oft Pflicht. Unsere Vergleichstabelle markiert, welche Tools EU Hosting bieten.
Bot oder kein Bot
Tools erfassen Meetings auf zwei Arten, und der Unterschied betrifft die Sichtbarkeit, nicht die Rechtmäßigkeit. In beiden Fällen brauchst du weiterhin eine Rechtsgrundlage und Transparenz.
Ein Aufnahme Bot tritt dem Call als benannter Teilnehmer bei, sodass alle sehen, dass aufgezeichnet wird. Diese Sichtbarkeit hilft der Transparenz, auch wenn manche Gäste sie aufdringlich finden. Die Erfassung auf dem Gerät nimmt ohne Bot auf, was leichter wirkt, für andere aber weniger offensichtlich ist, sodass die Pflicht zur Ankündigung bei dir liegt. Keine der Methoden ersetzt Einwilligung oder berechtigtes Interesse; sie ändern nur, wie deutlich sich die Aufzeichnung selbst ankündigt.
Rechte der Teilnehmer und Aufbewahrung achten
Menschen, die in deinen Meetings aufgezeichnet werden, behalten ihre DSGVO Rechte. Sie können fragen, was du gespeichert hast, eine Kopie verlangen und in vielen Fällen die Löschung fordern. Das ist weit leichter einzuhalten, wenn du vorab festlegst, wie lange Aufzeichnungen leben, und sie planmäßig löschst. Jedes Transkript für immer „nur für alle Fälle" zu behalten, ist zugleich ein Datenschutz und ein Sicherheitsrisiko. Setze eine Aufbewahrungsfrist, automatisiere die Löschung, wo das Tool es erlaubt, und sorge dafür, dass jemand den Prozess verantwortet.
Deine DSGVO Checkliste für Meeting Tools
- Eine Rechtsgrundlage gewählt (Einwilligung oder berechtigtes Interesse) und dokumentiert.
- Teilnehmer klar informiert, bevor die Aufzeichnung startet.
- Einen AVV geschlossen, der Aufzeichnungen, Transkripte und Zusammenfassungen abdeckt.
- EU Datenresidenz bestätigt, oder eine verteidigbare Alternative, für Speicherung und Verarbeitung.
- Geprüft, ob deine Daten die Modelle des Anbieters trainieren, und das bei Bedarf abgestellt.
- Eine Aufbewahrungsfrist und einen Weg zur Löschung auf Anfrage gesetzt.
- Bot oder kein Bot entschieden und die Aufzeichnung in beiden Fällen sichtbar gemacht.
Arbeite diese Liste ab, und ein KI Meeting Tool wird ein unkomplizierter, konformer Teil deines Workflows statt eines Risikos. Um zu sehen, welche Tools die Haken bei EU Hosting und DSGVO setzen, nutze unsere Vergleichstabelle, und wenn du noch entscheidest, rückt unser Leitfaden wie du ein KI Meeting Tool auswählst den Datenschutz ins größere Bild.
