KI-Transkription von Meetings: Einwilligung, Betriebsrat und DSGVO

Eine KI-Transkription von Meetings spart Protokollarbeit: Das Gespräch wird in Text umgewandelt, eine KI fasst es zusammen und schlägt Aufgaben vor. Rechtlich ist das aber mehr als eine Komfortfunktion. Aufgezeichnet und ausgewertet werden die Worte aller Teilnehmenden – Kolleginnen, Kunden, Gäste. Dieser Beitrag zeigt, welche Regeln dabei gelten und wie Sie die Einführung strukturiert angehen.

Was bei einer KI-Transkription technisch passiert

Hinter dem Begriff stecken in der Regel drei Verarbeitungsschritte, die Sie getrennt betrachten sollten:

1. Tonaufnahme: Die Audiospuren der Sprechenden werden aufgezeichnet – zumindest kurz, bis die Erkennung abgeschlossen ist.
2. Spracherkennung: Ein Sprachmodell wandelt die Aufnahme in Text um, meist mit Zeitstempeln und Namen der Sprechenden.
3. Auswertung: Optional erstellt ein KI-Modell aus dem Text eine Zusammenfassung, Beschlüsse und Aufgabenvorschläge.

Jeder Schritt ist eine Verarbeitung personenbezogener Daten im Sinne der DSGVO. Für jeden Schritt sollten Sie wissen, wer verarbeitet, wo das geschieht und wie lange die Daten bleiben.

Rechtsgrundlage: Einwilligung, Vertrag oder berechtigtes Interesse

Art. 6 Abs. 1 DSGVO zählt die möglichen Rechtsgrundlagen abschließend auf. Für Meeting-Transkripte kommen vor allem drei in Betracht:

• Einwilligung (Art. 6 Abs. 1 lit. a): Sie muss freiwillig, informiert und eindeutig sein und lässt sich jederzeit widerrufen – der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3).
• Vertragserfüllung (lit. b): denkbar, wenn das Protokoll Teil einer vereinbarten Leistung ist, etwa bei einem Workshop, den Sie für einen Kunden dokumentieren.
• Berechtigtes Interesse (lit. f): erfordert eine dokumentierte Abwägung mit den Interessen der Betroffenen, die widersprechen können (Art. 21).

Die Datenschutzkonferenz (DSK) hält in ihrer Orientierungshilfe Videokonferenzsysteme fest: Für Aufzeichnungen ist die Rechtsgrundlage gesondert zu prüfen; ohne besonderes Dokumentationserfordernis ist regelmäßig eine Einwilligung nötig. Eine Aufzeichnungsfunktion muss in der Voreinstellung deaktiviert sein, nur privilegierte Personen wie Moderatoren sollen sie aktivieren können, und die Teilnehmenden müssen deutlich darauf hingewiesen werden.

Beschäftigte sind ein Sonderfall. Wegen der Abhängigkeit im Arbeitsverhältnis ist die Freiwilligkeit einer Einwilligung besonders zu prüfen (§ 26 Abs. 2 BDSG). Die Generalklausel in § 26 Abs. 1 BDSG steht seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) in Frage: Nationale Regeln zum Beschäftigtendatenschutz, die nur die DSGVO wiederholen, sind keine „spezifischeren Vorschriften“ nach Art. 88 DSGVO und bleiben unangewendet. Das Urteil betraf eine fast wortgleiche hessische Vorschrift; in der Fachliteratur wird daraus verbreitet abgeleitet, dass sich Arbeitgeber direkt auf Art. 6 DSGVO stützen müssen (CMS).

Hinzu kommt das Strafrecht: Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt auf einen Tonträger aufnimmt, riskiert nach § 201 StGB Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Heimliche Mitschnitte scheiden damit aus; offene Ankündigung und Zustimmung der Beteiligten sind der sichere Weg.

Betriebsrat: Mitbestimmung bei der KI-Transkription

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Das Bundesarbeitsgericht legt das weit aus: Es genügt, dass die Einrichtung objektiv dazu geeignet ist – auf eine Überwachungsabsicht des Arbeitgebers kommt es nicht an (BAG, Beschluss vom 13.12.2016 – 1 ABR 7/15).

Ein Transkript hält fest, wer wann was gesagt hat. Es ist daher naheliegend, dass eine Transkriptionsfunktion mitbestimmungspflichtig ist. Einigen sich Arbeitgeber und Betriebsrat nicht, entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG).

Eine Betriebsvereinbarung kann zugleich als datenschutzrechtliche Grundlage dienen (§ 26 Abs. 4 BDSG, Art. 88 DSGVO). Sie muss dann geeignete und besondere Schutzmaßnahmen nach Art. 88 Abs. 2 DSGVO enthalten. Sinnvolle Regelungspunkte sind etwa:

• für welche Besprechungen Transkription erlaubt ist und wer sie starten darf,
• dass Transkripte nicht zur Leistungs- oder Verhaltenskontrolle genutzt werden,
• wer Zugriff hat, wie lange gespeichert wird und wann gelöscht wird,
• ob und welche KI-Auswertung zulässig ist.

Speicherdauer, Zugriff und Löschung

Art. 5 Abs. 1 DSGVO verlangt Datenminimierung (lit. c) und Speicherbegrenzung (lit. e). Für die Praxis heißt das:

• Audio so kurz wie möglich: Rohaufnahmen werden nach der Erkennung nicht mehr gebraucht. Die DSK hält eine Speicherung über die Konferenz hinaus regelmäßig für nicht erforderlich.
• Feste Löschfrist für Transkripte: Legen Sie fest, wie lange Transkripte aufbewahrt werden, und lassen Sie sie automatisch löschen.
• Kopien mitdenken: Wird ein Transkript als Datei abgelegt oder per E-Mail weitergegeben, gilt die Löschfrist dafür nicht automatisch.
• Zugriff begrenzen: Nicht jede Person im Unternehmen braucht jedes Transkript.

Über all das müssen Sie die Teilnehmenden vorab informieren (Art. 13 DSGVO). Bei hohem Risiko – etwa bei systematischer Transkription vieler Besprechungen – prüfen Sie, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.

Wo die Verarbeitung stattfindet

Ob die Spracherkennung auf eigenen Servern, bei einem europäischen Anbieter oder über eine Cloud-Schnittstelle außerhalb der EU läuft, macht einen Unterschied. Mit jedem Dienstleister, der in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO); bei Übermittlungen in Drittländer gelten zusätzlich die Regeln der Art. 44 ff. DSGVO. Wie lokale Spracherkennung funktioniert, erklärt der Beitrag „Lokale Spracherkennung statt US-Cloud: wie Whisper & Co. funktionieren“ (erscheint am 13. Januar 2027).

Achten Sie besonders auf die KI-Auswertung: Zusammenfassung und Aufgabenvorschläge entstehen oft bei einem anderen Dienst als die Spracherkennung. Klären Sie für beide Schritte getrennt, wohin die Daten gehen.

Checkliste für die Einführung

1. Zweck festlegen: Wofür brauchen Sie Transkripte, wofür ausdrücklich nicht?
2. Rechtsgrundlage je Personengruppe bestimmen: Beschäftigte, Kunden, Gäste.
3. Betriebsrat frühzeitig einbinden und eine Betriebsvereinbarung abschließen.
4. Funktion standardmäßig ausschalten; Start nur durch Moderatoren.
5. Hinweis und Zustimmung jeder Person vor Beginn der Aufzeichnung sicherstellen.
6. Verarbeitungsorte und Dienstleister dokumentieren, Auftragsverarbeitungsverträge abschließen („AVV-Checkliste: Auftragsverarbeitung bei Cloud-Tools prüfen“ (erscheint am 2. Dezember 2026)).
7. Löschfristen für Audio und Transkripte festlegen und technisch umsetzen.
8. Informationen nach Art. 13 DSGVO bereitstellen, Verzeichnis der Verarbeitungstätigkeiten ergänzen.
9. Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen.

Wie nest54 die Transkription umsetzt

In nest54 ist die Transkription von Videokonferenzen eine Funktion, die Organisationen bewusst freischalten. Workspaces können sie zusätzlich ausschließen. Die wichtigsten Punkte:

• Start durch Moderatoren: Moderatoren und Co-Moderatoren starten, pausieren und beenden die Transkription. Ist kein Moderator mehr im Raum, pausiert sie automatisch.
• Hinweis und Zustimmung je Person: Alle Teilnehmenden, auch Gäste, sehen einen Hinweis und müssen ihn bestätigen. Erst danach wird ihre Audiospur aufgezeichnet; andere Spuren werden gar nicht empfangen. Eine Ablehnung im laufenden Meeting ist nicht vorgesehen – wer nicht transkribiert werden möchte, verlässt den Call. Ob diese Bestätigung in Ihrem Fall als freiwillige Einwilligung trägt, bewerten Sie als Verantwortliche.
• Regeln anderer Organisationen: Erlaubt die Organisation eines externen Teilnehmers die Transkription ihrer Konten nicht, wird dessen Ton nicht aufgezeichnet.
• Lokale Erkennung: Die Spracherkennung läuft mit faster-whisper auf den eigenen Servern in Deutschland. Die Audiodaten werden sofort nach der Erkennung gelöscht.
• Zugriff und Löschung: Das Transkript erhalten nur die internen Teilnehmenden; teilen lässt es sich nur innerhalb der Organisation. Die Aufbewahrungsfrist legt die Organisation fest (Voreinstellung 90 Tage), danach wird automatisch gelöscht – außer bei einem Legal Hold.
• KI-Auswertung nur auf Wunsch: Zusammenfassung und Aufgabenvorschläge schaltet jede Organisation selbst frei, und sie starten nur auf ausdrückliche Anforderung. Dafür wird der Transkripttext an einen angebundenen externen KI-Dienst übermittelt – diesen Schritt sollten Sie in Ihre Bewertung einbeziehen. Aufgaben entstehen erst nach Freigabe, wie im Beitrag „Vom Meeting zur Aufgabe: Besprechungsergebnisse verbindlich festhalten“ (erscheint am 18. November 2026) beschrieben.

Die Funktion nimmt Ihnen die rechtliche Bewertung nicht ab, setzt aber die technischen Empfehlungen der DSK um. Einen Überblick über alle Bausteine finden Sie unter Funktionen, Details zum Betrieb unter Sicherheit.