KI-Protokolle und Transkription von Besprechungen: Datenschutz, § 201 StGB und Hinweistexte

Darf ein Meeting mit KI protokolliert oder transkribiert werden?

Nur mit Rechtsgrundlage und Transparenz gegenüber allen, die mitsprechen. Gesprochene Worte können personenbezogene Daten sein: Personenbezogen ist jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht (Art. 4 Nr. 1 DSGVO).^[3] Eine Aufnahme enthält Stimme und Inhalt, ein Transkript enthält den Inhalt, und eine KI-Zusammenfassung enthält Aussagen, die einzelnen Personen zugeordnet werden können. Für jeden Verarbeitungsschritt mit personenbezogenen Daten in einer KI-Anwendung braucht es nach der Orientierungshilfe der Datenschutzkonferenz eine Rechtsgrundlage.^[7] Bei Aufnahmen kommt das Strafrecht hinzu (§ 201 StGB).

Stand: 13. November 2026. Allgemeine Information, keine Rechtsberatung. Zur Auslegung von § 201 StGB durch Gerichte macht dieser Text keine Aussagen; klären Sie Grenzfälle mit Ihrer Rechtsberatung.

Was stellt § 201 StGB unter Strafe?

Nach dem Gesetzestext wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt (Abs. 1 Nr. 1) oder eine so hergestellte Aufnahme gebraucht oder einem Dritten zugänglich macht (Abs. 1 Nr. 2). Ebenso wird bestraft, wer unbefugt das nicht zu seiner Kenntnis bestimmte nichtöffentlich gesprochene Wort eines anderen mit einem Abhörgerät abhört oder ein so aufgenommenes oder abgehörtes Wort öffentlich mitteilt (Abs. 2; die öffentliche Mitteilung ist nur strafbar, wenn sie geeignet ist, berechtigte Interessen eines anderen zu beeinträchtigen). Der Versuch ist strafbar (Abs. 4).^[1]

Zwei Merkmale sind für die Praxis wichtig: „nichtöffentlich“ und „unbefugt“. Ein Meeting im Team, mit Kundschaft oder mit Bewerbenden ist in der Regel nicht für die Öffentlichkeit bestimmt; ob ein bestimmtes Gespräch im Rechtssinn nichtöffentlich ist, ist eine Frage des Einzelfalls. „Unbefugt“ setzt voraus, dass keine Rechtfertigung vorliegt; ob und wann etwa die Zustimmung der Sprechenden eine solche ist, bewertet dieser Text nicht, sie gilt aber als vorsichtige Route. Die Vorschrift nennt „auf einen Tonträger aufnehmen“; ob und wie weit eine reine Live-Transkription ohne Speicherung der Audiodatei darunterfällt, ist hier nicht bewertet. Wer vorsichtig sein will, behandelt Aufnahme und Transkription gleich und holt vorher die Zustimmung aller Teilnehmenden ein.

Welche Rechtsgrundlage kommt für KI-Protokolle in Frage?

Das ist im Einzelfall zu prüfen. Art. 6 Abs. 1 DSGVO nennt sechs Grundlagen, darunter Einwilligung (Buchst. a), Vertrag (b), rechtliche Verpflichtung (c) und berechtigte Interessen (f).^[4] Für ein Protokoll, das interne Beschlüsse festhält, kann ein berechtigtes Interesse in Betracht kommen; es erfordert eine Abwägung mit den Interessen der Sprechenden und die Erforderlichkeit der Verarbeitung. Für Beschäftigte kommt § 26 BDSG hinzu, dessen Eignung als alleinige Grundlage nach dem EuGH-Urteil C-34/21 zweifelhaft ist (siehe KI in der Personalabteilung).

Für die Frage, ob eine Aufnahme befugt erfolgt, bleibt die Einwilligung die vorsichtige Route. Sie sollte vorher, informiert und freiwillig eingeholt werden; das Teilnehmende nur zu informieren, genügt für diese Route nicht. Wer nicht zustimmt, sollte nicht benachteiligt werden, und es sollte eine Alternative geben, etwa ein handschriftliches Protokoll. Ob und wie weit eine andere Grundlage trägt, entscheiden Datenschutzbeauftragte oder Rechtsberatung.

Welche Informationspflichten gelten?

Wer Daten direkt bei den Betroffenen erhebt, muss ihnen nach Art. 13 DSGVO zum Zeitpunkt der Erhebung unter anderem mitteilen: Namen und Kontaktdaten des Verantwortlichen, Zwecke und Rechtsgrundlage, Empfänger oder Kategorien von Empfängern, gegebenenfalls Übermittlungen in Drittländer sowie die Speicherdauer oder die Kriterien dafür.^[2] Beim KI-Protokoll kann der Anbieter des Werkzeugs ein solcher Empfänger sein; Empfänger ist nach Art. 4 Nr. 9 DSGVO auch, wer Daten im Auftrag erhält.^[3] Die Information gehört in den Termin (Ansage, Einladung) und in die allgemeine Datenschutzinformation für Beschäftigte, Kundschaft und Bewerbende.

Was gilt für externe Teilnehmende?

Externe Gäste, Kundschaft und Bewerbende haben mit Ihrer Datenschutzinformation für Beschäftigte nichts zu tun; sie erfahren vom KI-Protokoll nur, wenn Sie es ihnen sagen. Art. 13 DSGVO knüpft die Information an den Zeitpunkt der Erhebung, also an den Moment, in dem ihre Stimme verarbeitet wird.^[2] Praktisch heißt das: Schon die Einladung sollte das Werkzeug und den Zweck nennen, und zu Beginn des Termins sollte eine kurze Ansage folgen. Wer externe Teilnehmende nicht erreichen kann, bevor das Gespräch beginnt, sollte auf eine Aufnahme verzichten und von Hand protokollieren.

Prüfen Sie außerdem, ob das Gespräch vertrauliche Inhalte Dritter betrifft, etwa Mandatsgeheimnisse oder Geschäftsgeheimnisse der Gegenseite. Für Berufsgeheimnisse nach § 203 StGB können strengere Regeln gelten als nach der DSGVO; die Vorschrift stellt die unbefugte Offenbarung eines fremden Geheimnisses durch bestimmte Berufsgruppen unter Strafe.^[13] Hinweise dazu stehen im Ratgeber KI in der Kanzlei und Berufsgeheimnis. Mitschriften, die Sie später in ein KI-Tool kopieren, behandeln Sie wie jede andere Eingabe mit Personenbezug.

Was gilt je nach Situation?

Die Tabelle ist eine Orientierung und kein Urteil über Ihren Einzelfall.

Besondere Kategorien nach Art. 9 Abs. 1 DSGVO sind unter anderem Gesundheitsdaten, Gewerkschaftszugehörigkeit sowie Angaben zu politischen Meinungen oder religiösen Überzeugungen; ihre Verarbeitung ist untersagt, solange keine Ausnahme nach Art. 9 Abs. 2 greift.^[5] Sie können auch ungeplant im Gespräch auftauchen. Legen Sie vorab fest, was dann geschieht, etwa dass die Aufnahme angehalten wird.

Wo findet die Verarbeitung statt, und welcher Tarif ist nötig?

Das hängt vom Anbieter und Tarif ab. Wenn ein Anbieter Aufnahmen oder Transkripte in Ihrem Auftrag verarbeitet, braucht es nach Art. 28 DSGVO einen Vertrag, der unter anderem die Verarbeitung nur auf dokumentierte Weisung regelt.^[6] OpenAI nennt einen Auftragsverarbeitungsvertrag für ChatGPT Business, Enterprise und die API, für die Verbrauchertarife nicht.^[9] Bei Anthropic gilt der Auftragsverarbeitungsvertrag für die kommerziellen Produkte, nicht für Verbraucherprodukte.^[10] Ein Transkript aus einem privaten Konto in ein Firmenprotokoll zu übernehmen, ist daher heikel.

Für Microsoft 365 Copilot beschreibt Microsoft, dass die Verarbeitung den Zusagen für Geschäftskunden einschließlich DSGVO und EU Data Boundary entspricht und dass Eingaben und Antworten nicht zum Training von Basismodellen verwendet werden; Modelle von Anthropic als Unterauftragsverarbeiter sind derzeit von der EU Data Boundary ausgenommen.^[8] Wie sich einzelne Teams-Funktionen wie Aufzeichnung und Transkription konfigurieren lassen, steht in der Dokumentation von Microsoft; prüfen Sie sie für Ihren Mandanten. Mehr zum Produkt steht im Ratgeber Microsoft Copilot und Datenschutz.

Wichtig für die Bewertung: Nach dem Absenden eines Transkripts sehen Sie nicht, wo der Anbieter es verarbeitet, kopiert oder speichert; Sie haben die Dokumentation und den Vertrag, und deren Zusagen haben dokumentierte Ausnahmen, wie die Ausnahme der Anthropic-Modelle von der EU Data Boundary zeigt. Ein Auftragsverarbeiter darf nach Art. 28 Abs. 2 und 4 DSGVO weitere einsetzen; Sie haben es mit einer Kette zu tun.^[6] Was gesendet wurde, lässt sich nicht zurückholen, und im Transkript stehen die Worte aller Teilnehmenden. Mit eigenen Mitteln steuern Sie nur, was Ihr Gerät verlässt: Namen und Kennungen weglassen oder ersetzen, wo das Protokoll sie nicht braucht (Datenminimierung).^[14] Das ersetzt weder Rechtsgrundlage noch Vertrag noch die menschliche Prüfung, und automatische Erkennung findet nicht alles. Ainym ist ein Beispiel dafür: eine Browser-Erweiterung in geschlossener Beta, die erkannte personenbezogene Angaben auf dem eigenen Gerät anzeigt, vor dem Absenden von den Nutzenden bestätigen lässt und durch Pseudonyme ersetzt. Mehr dazu im Beitrag Wo landen Ihre Daten bei KI-Anbietern?

Speichern Sie Transkripte nur so lange, wie der Zweck es erfordert, und nennen Sie die Dauer in Ihrer Information nach Art. 13 Abs. 2 Buchst. a DSGVO.^[2] Legen Sie fest, wer Zugriff hat und wann gelöscht wird. Wenn Sie Inhalte aus Protokollen später in ein KI-Tool geben, gilt das Gleiche wie für jede andere Eingabe; siehe Kundendaten in ChatGPT eingeben.

Was gilt für den Betriebsrat?

Der Arbeitgeber muss den Betriebsrat über die Planung des Einsatzes von Künstlicher Intelligenz rechtzeitig unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG).^[12] Ein Werkzeug, das Aussagen einzelner Beschäftigter festhält und auswertbar macht, kann außerdem in den Bereich der Mitbestimmung bei technischen Einrichtungen fallen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG).^[11] Ob das der Fall ist, hängt vom Einsatz ab. Einzelheiten stehen im Ratgeber KI und Betriebsrat.

Wie kündigen Sie ein KI-Protokoll an?

Die Texte sind Muster zum Anpassen, kein fertiger Rechtstext. Prüfen Sie sie mit Ihrer Datenschutzbeauftragten und passen Sie sie an Ihr Werkzeug an.

Checkliste vor dem ersten KI-Protokoll

Beginnen Sie mit der Ansage und dem Einladungstext oben und mit einem einzigen Pilotteam, bevor Sie das Werkzeug firmenweit freigeben.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.