KI-gestützte Aufnahmegeräte versprechen, Besprechungen automatisch zu dokumentieren, Gespräche zu transkribieren und Zusammenfassungen zu erstellen. Produkte wie Plaud machen diese Technik inzwischen besonders einfach zugänglich. Doch welche rechtlichen Anforderungen müssen Unternehmen beachten, bevor sie solche Geräte einsetzen? Entscheidend sind nicht nur die Sicherheitsstandards des Anbieters, sondern vor allem die Zulässigkeit der Aufnahme und der anschließenden Verarbeitung.

In a Nutshell

  • Die DSGVO-Konformität eines Anbieters bedeutet nicht automatisch, dass jede Nutzung seines Produkts datenschutzrechtlich zulässig ist.
  • Vor einer Gesprächsaufzeichnung müssen die rechtlichen Voraussetzungen geprüft werden. Insbesondere kann § 201 StGB relevant sein.
  • Aufnahme, Transkription, KI-Zusammenfassung und Speicherung sind unterschiedliche Verarbeitungsschritte, die jeweils rechtlich abgedeckt sein müssen.
  • Unternehmen benötigen geeignete Verträge, transparente Informationen, Löschregeln und gegebenenfalls eine Prüfung internationaler Datenübermittlungen.
  • Für Mitarbeitergespräche gelten besondere Anforderungen. Eine Einwilligung ist wegen des Abhängigkeitsverhältnisses nicht ohne Weiteres freiwillig.

1. Was macht ein KI-Notizgerät?

Eine Vielzahl von Anbietern bietet kleine Aufnahmegeräte an, mit denen Gespräche, Besprechungen und andere Sprachinhalte aufgezeichnet werden können. Über die zugehörige Software lassen sich die Aufnahmen transkribieren und mithilfe künstlicher Intelligenz zusammenfassen.

Das kann im Unternehmensalltag nützlich sein: Besprechungsprotokolle müssen nicht mehr vollständig von Hand erstellt werden, Aufgaben lassen sich aus Gesprächen ableiten und Informationen können leichter dokumentiert werden.

Die Anbieter bewerben ihre Produkte mit verschiedenen Sicherheits- und Datenschutzstandards, darunter ISO 27001, ISO 27701 und DSGVO-Konformität.

Das ist grundsätzlich positiv. Allerdings betrifft die technische Absicherung der Daten nur einen Teil der rechtlichen Anforderungen. Die entscheidende Frage lautet nicht nur, wie sicher eine Aufnahme gespeichert wird, sondern zunächst, ob sie überhaupt angefertigt und anschließend ausgewertet werden darf.

2. Darf ein Unternehmen Gespräche einfach aufzeichnen?

Nicht ohne Weiteres. Wer ein Gespräch aufzeichnen möchte, muss zunächst sicherstellen, dass die Aufnahme rechtlich zulässig ist. Dabei spielt es keine Rolle, ob die Aufzeichnung lediglich dazu dienen soll, später ein Besprechungsprotokoll zu erstellen.

Besonders wichtig ist dabei § 201 StGB. Die Vorschrift schützt das nichtöffentlich gesprochene Wort und kann bereits die Aufnahme eines Gesprächs ohne entsprechende Befugnis unter Strafe stellen.Die Vorschrift stellt denjenigen unter Strafe, der unbefugt
„das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt“.
Ein internes Meeting, ein Kundengespräch oder ein Mitarbeitergespräch können unter diesen Schutz fallen.
Deshalb sollten Unternehmen vor Beginn einer Aufnahme das Einverständnis sämtlicher Gesprächsteilnehmer einholen.

Eine bloße Information, dass ein Aufnahmegerät auf dem Tisch liegt, ist hierfür keine verlässliche Grundlage. 

Entscheidend ist, dass die Beteiligten wissen, dass aufgezeichnet werden soll, und damit einverstanden sind.

Wichtig: Die strafrechtliche Frage und die datenschutzrechtliche Zulässigkeit sind getrennt zu prüfen. Eine strafrechtlich befugte Aufnahme ist nicht automatisch auch nach der DSGVO rechtmäßig.

3. Welche Rechtsgrundlagen bietet die DSGVO?

Sobald Stimmen, Gesprächsinhalte oder andere Informationen einer identifizierten oder identifizierbaren Person verarbeitet werden, ist die DSGVO grundsätzlich anwendbar.

Nach Art. 6 Abs. 1 DSGVO benötigt jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Bei KI-gestützten Gesprächsaufzeichnungen kommen insbesondere eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder unter engen Voraussetzungen berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. 

Welche Grundlage geeignet ist, hängt vom konkreten Zweck, den Beteiligten und der Erforderlichkeit der Verarbeitung ab.

Einwilligung: Oft der praktikabelste Weg

Für die vollständige Aufnahme eines Gesprächs einschließlich anschließender Transkription und KI-Auswertung ist eine informierte Einwilligung häufig der rechtlich klarste Ansatz. Die Beteiligten müssen wissen, was mit ihren Aussagen geschieht. Dazu gehört insbesondere, ob nur eine Aufnahme erstellt wird oder ob zusätzlich eine automatische Transkription und KI-Zusammenfassung erfolgt.

Auch die Empfänger der Daten und die vorgesehene Speicherdauer müssen transparent sein. Nach Art. 7 Abs. 3 DSGVO gilt:
„Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen.“
Unternehmen müssen deshalb bereits vor Einführung des Geräts überlegen, wie sie mit einem Widerruf umgehen.

Berechtigtes Interesse: Keine pauschale Alternative

Unternehmen können sich nicht allein deshalb auf berechtigte Interessen berufen, weil eine automatische Protokollerstellung Arbeitszeit spart. Art. 6 Abs. 1 lit. f DSGVO verlangt eine konkrete Interessenabwägung. Außerdem muss die Verarbeitung für den verfolgten Zweck erforderlich sein.

Bei einer vollständigen Tonaufzeichnung ist zu prüfen, ob weniger eingriffsintensive Mittel ausreichen, beispielsweise eine manuelle Mitschrift. Hinzu kommt: Selbst wenn eine Verarbeitung datenschutzrechtlich auf berechtigte Interessen gestützt werden könnte, wäre damit die Frage der Befugnis zur Aufnahme nach § 201 StGB noch nicht erledigt.

4. Besondere Vorsicht bei Mitarbeitergesprächen

Die Aufzeichnung von Gesprächen mit Beschäftigten ist besonders sensibel. Das gilt beispielsweise für Personalgespräche, Leistungsbeurteilungen, Konfliktgespräche oder Besprechungen über gesundheitliche Einschränkungen.

Eine Einwilligung im Beschäftigungsverhältnis ist problematisch, weil Beschäftigte sich möglicherweise unter Druck gesetzt fühlen, der Aufzeichnung zuzustimmen.

Art. 7 Abs. 4 DSGVO verlangt, bei der Beurteilung der Freiwilligkeit insbesondere zu berücksichtigen, ob die Erbringung einer Leistung von einer hierfür nicht erforderlichen Einwilligung abhängig gemacht wird. Hinzu kommen die Anforderungen des Beschäftigtendatenschutzes. Unternehmen sollten deshalb nicht pauschal sämtliche internen Meetings aufzeichnen lassen. Sinnvoller ist es, zunächst festzulegen, welche Gesprächsarten überhaupt für eine KI-gestützte Dokumentation geeignet sind.

Besteht ein Betriebsrat, sind außerdem mögliche Mitbestimmungsrechte zu prüfen. Bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind, kommt insbesondere § 87 Abs. 1 Nr. 6 BetrVG in Betracht.

5. Aufnahme und KI-Auswertung sind nicht dasselbe

Ein Punkt wird bei KI-Notizgeräten leicht übersehen: Die Datenverarbeitung endet nicht mit dem Drücken der Aufnahmetaste.

Typischerweise können mehrere Schritte stattfinden:
  1. Das Gespräch wird als Audiodatei aufgezeichnet.
  2. Die Aufnahme wird an eine App oder einen Dienst übertragen.
  3. Die Audiodatei wird automatisch in Text umgewandelt.
  4. Ein KI-Modell erstellt eine Zusammenfassung oder wertet Inhalte aus.
  5. Ergebnisse werden gespeichert, geteilt oder exportiert.

Jeder einzelne dieser Schritte muss in die datenschutzrechtliche Bewertung einbezogen werden. Insbesondere die automatische Zusammenfassung kann neue Informationen erzeugen, beispielsweise Einschätzungen zu Gesprächsergebnissen, Aufgaben oder einzelnen Personen.

Unternehmen sollten daher prüfen, ob sämtliche Funktionen für den vorgesehenen Zweck erforderlich sind.

6. Welche Daten werden verarbeitet und welche Dienstleister sind beteiligt?

Bei KI-gestützten Aufnahme- und Transkriptionsgeräten hängt der Umfang der Datenverarbeitung vom jeweiligen Produkt und den aktivierten Funktionen ab. Einige Geräte speichern Aufnahmen zunächst lokal. Andere übertragen die Audiodaten unmittelbar oder nachträglich an einen Cloud-Dienst. Häufig können Nutzer zusätzlich eine automatische Transkription oder KI-gestützte Zusammenfassung anfordern.

Dabei können verschiedene Verarbeitungsschritte stattfinden: 

  • die Speicherung der Audiodatei, 
  • die Umwandlung gesprochener Sprache in Text, 
  • die Erstellung einer Zusammenfassung und gegebenenfalls 
  • die weitere Analyse der Gesprächsinhalte.
Nicht immer werden sämtliche Verarbeitungsschritte vom Hersteller selbst durchgeführt. Viele Anbieter binden externe Dienstleister ein, beispielsweise für die Spracherkennung, den Betrieb von KI-Modellen oder die Speicherung der Daten.

Für Unternehmen ist deshalb entscheidend, den tatsächlichen Datenfluss nachzuvollziehen:

  • Welche personenbezogenen Daten werden verarbeitet?
  • Erfolgt die Verarbeitung lokal auf dem Gerät oder in der Cloud?
  • Welche externen Dienstleister erhalten Zugriff auf die Daten?
  • In welchen Ländern werden die Daten gespeichert und verarbeitet?
  • Werden Aufnahmen oder Transkripte für das Training von KI-Modellen verwendet?
  • Welche Löschfristen und vertraglichen Schutzmaßnahmen gelten?

Manche Anbieter schließen eine Verwendung der Kundendaten für KI-Trainingszwecke ausdrücklich aus. Andere bieten entsprechende Einstellungen oder unterschiedliche Vertragsmodelle an. Solche Zusagen sind wichtige Datenschutzmaßnahmen. Unternehmen sollten allerdings prüfen, ob sie für das konkret eingesetzte Produkt und den gewählten Tarif tatsächlich gelten.

Auch die Speicherung in einem europäischen Rechenzentrum bedeutet nicht automatisch, dass sämtliche Verarbeitungsschritte ausschließlich innerhalb der EU stattfinden. Entscheidend sind die tatsächlichen Datenflüsse und Zugriffsmöglichkeiten.

7. Auftragsverarbeitung und Drittlandübermittlung prüfen

Wer KI-gestützte Aufnahme- und Transkriptionslösungen geschäftlich einsetzt, muss zunächst klären, welche datenschutzrechtlichen Rollen die beteiligten Unternehmen übernehmen. Soweit ein Anbieter personenbezogene Daten im Auftrag des nutzenden Unternehmens verarbeitet, ist grundsätzlich ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich.

Viele Anbieter stellen entsprechende Vertragsunterlagen bereit. Unternehmen sollten jedoch prüfen, ob diese für das konkrete Produkt, den gewählten Tarif und sämtliche relevanten Verarbeitungsschritte gelten. Besondere Aufmerksamkeit verdienen die eingesetzten Unterauftragsverarbeiter. Dazu können beispielsweise Cloud-Anbieter, Spracherkennungsdienste und Betreiber von KI-Modellen gehören.

Werden personenbezogene Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt, sind außerdem die Anforderungen der Art. 44 ff. DSGVO zu beachten. Je nach Empfänger und Drittstaat kann eine Übermittlung beispielsweise auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder auf Standardvertragsklauseln nach Art. 46 DSGVO gestützt werden. Bei Standardvertragsklauseln muss gegebenenfalls zusätzlich geprüft werden, ob die vereinbarten Garantien unter den konkreten Umständen wirksam sind und ergänzende Schutzmaßnahmen benötigt werden.

Die bloße Angabe eines europäischen Serverstandorts ersetzt diese Prüfung nicht. Für Unternehmen bedeutet das: Nicht nur das Aufnahmegerät selbst, sondern auch die dahinterstehende technische und vertragliche Infrastruktur muss in die datenschutzrechtliche Bewertung einbezogen werden.

8. Was gilt bei Gesundheitsdaten und anderen sensiblen Informationen?

Gesprächsaufzeichnungen können besonders schutzwürdige personenbezogene Daten enthalten. Dazu gehören beispielsweise Angaben zur Gesundheit, zur religiösen oder weltanschaulichen Überzeugung, zur Gewerkschaftszugehörigkeit oder zum Sexualleben.

Solche Informationen unterliegen als besondere Kategorien personenbezogener Daten dem Schutz des Art. 9 DSGVO.

Für ihre Verarbeitung ist neben einer Rechtsgrundlage nach Art. 6 DSGVO zusätzlich eine Ausnahme vom Verarbeitungsverbot nach Art. 9 Abs. 2 DSGVO erforderlich.

Gerade in Beratungsstellen, Gesundheitseinrichtungen, sozialen Einrichtungen oder Personalabteilungen können entsprechende Informationen Bestandteil eines Gesprächs sein, ohne dass dies vorher absehbar ist. Unternehmen sollten deshalb sorgfältig festlegen, für welche Gesprächsarten KI-gestützte Aufzeichnungen überhaupt zulässig und geeignet sind.

Besondere Vorsicht ist geboten, wenn Gesprächsinhalte sensible Informationen über Dritte enthalten, die selbst nicht an dem Gespräch teilnehmen. Auch deren personenbezogene Daten können von der Verarbeitung betroffen sein.
Es sollte nicht darauf vertraut werden, dass ein KI-System besonders sensible Informationen automatisch erkennt und von der Verarbeitung ausschließt.

9. Informationspflichten, Löschung und interne Regeln

Vor dem Einsatz KI-gestützter Aufnahme- und Transkriptionslösungen müssen Unternehmen festlegen, wie die Gesprächsteilnehmer über die Datenverarbeitung informiert werden. Dabei sind insbesondere der Zweck der Verarbeitung, die eingesetzten Dienstleister, mögliche Datenübermittlungen und die vorgesehenen Speicherfristen zu berücksichtigen.

Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten grundsätzlich nur so lange zu speichern, wie dies für die Zwecke der Verarbeitung erforderlich ist. Wird eine Aufnahme beispielsweise ausschließlich zur Erstellung eines Besprechungsprotokolls benötigt, kann die Audiodatei häufig gelöscht werden, sobald das Transkript überprüft und das Protokoll fertiggestellt wurde.

Für das fertige Protokoll können dagegen andere Aufbewahrungsanforderungen gelten. Unternehmen sollten deshalb zwischen der Speicherung der ursprünglichen Aufnahme, des Transkripts und der daraus erstellten Zusammenfassung unterscheiden.

Außerdem empfiehlt es sich, verbindliche interne Nutzungsregeln festzulegen. Darin sollte insbesondere geregelt werden,
  • wer Gesprächsaufzeichnungen durchführen darf,
  • welche Gesprächsarten aufgezeichnet werden dürfen und welche ausgeschlossen sind,
  • wie das Einverständnis der Gesprächsteilnehmer eingeholt wird,
  • wer Zugriff auf Aufnahmen, Transkripte und Zusammenfassungen erhält,
  • wann die jeweiligen Daten gelöscht werden und
  • unter welchen Voraussetzungen Ergebnisse an Dritte weitergegeben werden dürfen.

Schließlich muss auch die Qualität der KI-generierten Ergebnisse berücksichtigt werden. Automatische Transkriptionen können Aussagen falsch wiedergeben. KI-Zusammenfassungen können wichtige Informationen auslassen, Zusammenhänge verkürzen oder Inhalte unzutreffend interpretieren.

Deshalb sollten KI-generierte Gesprächsprotokolle vor ihrer weiteren Verwendung durch eine verantwortliche Person überprüft werden. Das gilt insbesondere dann, wenn sie als Grundlage für geschäftliche Entscheidungen oder zur Dokumentation rechtlich relevanter Vorgänge dienen.

10. Checkliste: Was Unternehmen vor dem Einsatz klären sollten

Vor dem Einsatz eines KI-Notizgeräts sollten mindestens folgende Fragen beantwortet sein:
  • Für welche konkreten Gesprächsarten soll das Gerät verwendet werden?
  • Wie wird das Einverständnis aller Gesprächsteilnehmer zur Aufnahme eingeholt?
  • Welche datenschutzrechtliche Rechtsgrundlage besteht für Aufnahme und weitere Verarbeitung?
  • Werden Beschäftigtendaten oder besondere Kategorien personenbezogener Daten verarbeitet?
  • Welche Cloud- und KI-Dienstleister sind beteiligt?
  • Ist ein passender Auftragsverarbeitungsvertrag abgeschlossen?
  • Sind mögliche Drittlandübermittlungen rechtlich abgesichert?
  • Wie werden Betroffene informiert und ihre Rechte umgesetzt?
  • Wann werden Audiodateien und Transkripte gelöscht?
  • Wer kontrolliert die Richtigkeit der KI-generierten Ergebnisse?
Je nach Einsatz können außerdem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und eine Beteiligung des Betriebsrats erforderlich sein.

11. Fazit: Erst den Einsatz prüfen, dann aufnehmen

KI-Notizgeräte  können Unternehmen bei der Dokumentation von Besprechungen erheblich entlasten. Die vom Hersteller beschriebenen Sicherheitsmaßnahmen und vertraglichen Schutzvorkehrungen sind dabei durchaus relevant.

Sie beantworten aber nicht die Frage, ob eine konkrete Gesprächsaufzeichnung zulässig ist.

Diese Verantwortung bleibt beim einsetzenden Unternehmen. Wer Plaud geschäftlich verwenden möchte, sollte deshalb nicht mit der Anschaffung des Geräts beginnen, sondern mit einem klaren Nutzungskonzept.

Ein rechtssicherer Einsatz setzt immer voraus, dass Aufnahme, KI-Auswertung, Empfänger, Rechtsgrundlagen und Löschung zusammen betrachtet werden.