KI-Meetingprotokolle: DSGVO-konform aufzeichnen und Aufgaben nachhalten

Ein KI-Protokoll nimmt dir das Mitschreiben ab. Von allein spart es kaum mehr als das. Teuer wird ein Meeting erst danach, wenn eine Entscheidung keinen Verantwortlichen hat, eine Zusage an einen Kunden in einem Dokument steht, das niemand mehr öffnet, und dieselbe Frage im nächsten Termin wieder auf dem Tisch liegt. Lohnend wird die Technik deshalb erst, wenn aus dem Gespräch direkt Aufgaben mit Namen und Termin werden, die ein Mensch oder ein KI-Agent übernimmt.

Rechtlich lässt sich eine KI-Mitschrift in Deutschland gut einsetzen, aber nicht nebenbei. Sie berührt das Strafrecht, die DSGVO, die Mitbestimmung des Betriebsrats und deinen Vertrag mit dem Anbieter. Viel davon klärt eine einzige Entscheidung, die du vor jedem Termin triffst: Wird er immer aufgezeichnet, nur nach Rückfrage oder nie? Wenn du das pro Termin festlegst und die Verarbeitung in der EU hältst, bekommst du den rechtlichen Teil in den Griff. Dazu kommt ein günstiger Zusammenhang. Die Folgearbeit braucht nur Entscheidungen und Aufgaben und keine Tonspur, also zeigen Datensparsamkeit und Nutzen in dieselbe Richtung.

Warum ein Protokoll allein wenig spart

Ein Protokoll ist ein Dokument, und ein Dokument erledigt nichts. Damit aus einem Meeting Arbeit wird, muss jemand das Protokoll lesen, die Aufgaben herausziehen, sie im Aufgabensystem anlegen, Verantwortliche und Fristen festlegen und die Beteiligten informieren. Genau dieser Schritt bleibt oft liegen, weil er nach dem Termin niemandem gehört und alle direkt in den nächsten Termin gehen. Eine KI-Zusammenfassung macht das Dokument lesbarer. Wer die Aufgaben überträgt, bleibt aber genauso offen wie vorher.

Ein vollständiges Transkript verschärft das Problem sogar. Drei Entscheidungen stecken dann in vierzig Minuten Diskussion, und wer sie finden will, muss suchen. Viele Werkzeuge hängen deshalb eine Liste mit Aufgaben an. Solange diese Liste nur am Ende des Protokolls steht, bleibt sie eine Notiz, die niemand abarbeiten muss.

Eine grobe Rechnung zeigt die Größenordnung. Nimm als Annahme ein Team mit zehn festen Terminen pro Woche, für die jemand jeweils 20 Minuten am Protokoll sitzt. Das sind gut drei Stunden Schreibarbeit pro Woche, die eine KI-Mitschrift weitgehend übernimmt. Das merkt man, aber allein dafür lohnt sich der Aufwand mit Betriebsrat, Verträgen und Einwilligungen kaum. Mehr bringen die Aufgaben, die in diesen zehn Terminen entstehen und von denen heute ein Teil liegen bleibt.

Was § 201 StGB mit deinem Meeting zu tun hat

§ 201 StGB bestraft, wer „unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt“. Darauf stehen bis zu drei Jahre Freiheitsstrafe, und schon der Versuch ist strafbar. Nichtöffentlich ist praktisch jedes Firmenmeeting, weil es für einen bestimmten Kreis von Teilnehmern gedacht ist, vom Jour fixe bis zum Kundentermin. Öffentlich wäre etwa ein Vortrag, an dem jeder über einen offenen Link teilnehmen kann.

Ob eine KI-Mitschrift eine Aufnahme ist, hängt an der Technik. Wenn das Gesprochene nur live verschriftlicht und kein Audio gespeichert wird, liegt nach einer Einordnung auf unternehmensstrafrecht.de keine Aufnahme vor. Die meisten marktüblichen Werkzeuge puffern das Audio aber länger oder speichern es sogar für einige Tage, und dann ist der Tatbestand regelmäßig erfüllt. Andere Fachautoren halten schon eine kurze Zwischenspeicherung für ausreichend. Geh deshalb davon aus, dass dein Werkzeug aufnimmt.

Entscheidend ist dann das Wort „unbefugt“. Die strafrechtliche Einwilligung stellt weniger Anforderungen als die datenschutzrechtliche und kann auch stillschweigend erklärt werden. Wer vorab konkret erfährt, dass aufgezeichnet wird, wozu, wie lange und mit welchem Werkzeug, und dann teilnimmt, willigt nach dieser Auffassung durch seine Teilnahme ein. Ein pauschaler Satz wie „Das Gespräch wird zur Qualitätssicherung aufgezeichnet“ reicht dafür nicht. Dr. Datenschutz weist darauf hin, dass die Frage höchstrichterlich noch nicht geklärt ist. Für dich folgt daraus etwas Praktisches. Informier vor dem Termin konkret und gib jedem eine echte Möglichkeit, ohne Aufzeichnung teilzunehmen.

Das betrifft dich als Geschäftsführer persönlich. Der Beitrag auf unternehmensstrafrecht.de spielt mehrere Irrtumsfälle durch, und einer passt genau zum pauschalen Hinweis. Wer glaubt, der Satz zur Qualitätssicherung genüge, irrt sich über die rechtlichen Voraussetzungen und macht sich trotzdem strafbar, wenn er den Irrtum hätte vermeiden können, etwa durch Rechtsberatung vorab.

Welche Rechtsgrundlage nach der DSGVO trägt

Ein Transkript enthält personenbezogene Daten, also brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Am naheliegendsten wirkt die Einwilligung. Im Arbeitsverhältnis trägt sie aber schlecht, weil eine Einwilligung freiwillig sein muss und ein Mitarbeiter gegenüber seinem Arbeitgeber selten frei entscheidet. Außerdem sind die Zustimmungsdialoge der Werkzeuge meist standardisiert und decken deine eigenen Informationspflichten nicht ab.

In der Fachdiskussion steht deshalb meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO im Mittelpunkt. Es trägt nur mit einer dokumentierten Abwägung. Du benennst ein konkretes Interesse, zum Beispiel nachvollziehbare Entscheidungen in Projekten, und prüfst, ob ein milderes Mittel genügt, etwa gemeinsame Notizen statt eines Wortprotokolls. Danach wägst du gegen die Erwartungen der Teilnehmer und die Sensibilität der Inhalte ab. Für einen Projekt-Jour-fixe fällt diese Abwägung anders aus als für ein Gespräch über eine Abmahnung, und deshalb lässt sich eine einheitliche Regel für alle Termine kaum begründen.

Unabhängig von der Rechtsgrundlage musst du drei Dinge regeln. Die Teilnehmer erfahren vorab, dass transkribiert wird, wer die Daten bekommt, wie lange sie gespeichert werden und welches Werkzeug läuft, am besten in der Einladung und noch einmal zu Beginn. Wenn jemand widerspricht, verwendest du seine Inhalte nicht weiter. Und du brauchst feste Löschfristen. Dr. Datenschutz empfiehlt, Rohaudio und Transkript getrennt zu behandeln, weil die Tonspur ihren Zweck meist verliert, sobald das Protokoll fertig ist.

Immer, nachfragen, nie: die Regel pro Termin

Strafrecht und DSGVO führen zur selben praktischen Konsequenz. Ob eine Aufzeichnung zulässig ist, hängt am Termin, an den Teilnehmern und am Inhalt. Die Einstellung „alle Meetings werden transkribiert“ passt deshalb fast nie, und wenn du gar nichts aufzeichnest, verschenkst du den Nutzen. Brauchbar ist eine Regel, die jeder Termin und jede Terminserie im Voraus bekommt.

Der Wert dieser Regel liegt darin, dass die Entscheidung vor dem Termin fällt. Mitten im Kundengespräch fragt ungern jemand, ob die KI mitlaufen darf, und dann läuft sie entweder ungefragt oder gar nicht. Wenn die Serie „Kunden-Jour-fixe“ einmal auf „nachfragen“ steht, ist die Frage für alle künftigen Termine beantwortet.

Zwei Details machen die Regel belastbar. Ein neuer Termin ohne Regel sollte automatisch auf „nachfragen“ stehen und nie auf „immer“, weil ein Fehler in diese Richtung niemandem schadet. Und auch in einem Termin der Kategorie „immer“ muss sich die Aufzeichnung pausieren lassen, sobald jemand sagt, dass ein Punkt nicht ins Protokoll gehört.

Der Betriebsrat redet mit, sobald es einen gibt

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei technischen Einrichtungen mit, „die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Das klingt nach Stechuhr und Kamera, reicht aber viel weiter. Das Bundesarbeitsgericht hat in seinem Beschluss zu Microsoft 365 bekräftigt, dass eine Einrichtung schon dann dazu „bestimmt“ ist, wenn sie objektiv geeignet ist, Verhaltens- oder Leistungsinformationen zu erheben, und dass es auf die Absicht des Arbeitgebers nicht ankommt. Ein Werkzeug, das mitschreibt, wer wann was gesagt hat, liefert genau solche Informationen.

Wenn du einen Betriebsrat hast, führst du die KI-Mitschrift also nicht ohne ihn ein. Hast du mehrere Betriebe und eine zentrale Administration, ist nach demselben Beschluss in der Regel der Gesamtbetriebsrat zuständig.

Die Betriebsvereinbarung ist dabei mehr als eine Hürde, weil sie der natürliche Ort für die Regeln aus dem vorigen Abschnitt ist. Hinein gehören die drei Terminkategorien, die Löschfristen, wer Transkripte lesen darf und ein ausdrücklicher Ausschluss von Leistungsauswertungen, etwa Redeanteilen pro Person. Wenn diese Punkte schriftlich stehen, fällt den Mitarbeitern die Zustimmung leichter, weil sie wissen, wofür das Transkript nicht verwendet wird.

Ohne Betriebsrat gibt es keine Mitbestimmung. Die Informationspflichten gegenüber deinen Mitarbeitern nach der DSGVO gelten trotzdem.

Auftragsverarbeitung und Verarbeitung in der EU

Der Anbieter eines Transkriptionsdienstes verarbeitet Daten in deinem Auftrag, also brauchst du einen Vertrag nach Art. 28 DSGVO. Darin steht unter anderem, dass er Daten nur auf deine dokumentierte Weisung verarbeitet, ausdrücklich auch bei Übermittlungen in Drittländer, dass er weitere Auftragsverarbeiter nur mit deiner Genehmigung einsetzt und dich über Änderungen so informiert, dass du widersprechen kannst, und dass er nach Vertragsende die Daten löscht oder zurückgibt.

Wo die Daten tatsächlich hingehen, siehst du in der Liste der Unterauftragsverarbeiter. Eine KI-Mitschrift besteht meist aus mehreren Schritten. Ein Modell erkennt die Sprache, ein anderes schreibt die Zusammenfassung, und das Ergebnis liegt in einem Speicher. Jeder dieser Schritte kann bei einem anderen Dienstleister in einem anderen Land laufen. Die Angabe „Server in Frankfurt“ sagt deshalb noch nichts darüber, wo das Modell arbeitet, das deine Kundengespräche zusammenfasst.

Prüf beim Anbieter, wo Audio, Transkript und Modelle verarbeitet werden, ob er deine Daten zum Training verwendet und ob du Löschfristen getrennt für Audio und Text einstellen kannst. Wenn alle Schritte in der EU oder im EWR laufen, stellt sich die Frage nach einer Übermittlung in ein Drittland gar nicht erst, und deine Information an die Teilnehmer wird kürzer und verständlicher. Bei externen Gesprächspartnern hilft das spürbar, weil sie nach genau diesen Punkten fragen.

Was Teams dir abnimmt und was nicht

Viele Mittelständler arbeiten mit Microsoft Teams, und Teams bringt eine Einstellung mit, die das „Nachfragen“ technisch umsetzt. Laut Microsofts Dokumentation kann der Administrator in der Besprechungsrichtlinie festlegen, dass Teilnehmer der Aufzeichnung und Transkription ausdrücklich zustimmen müssen. Ist das aktiv, werden beim Start der Aufzeichnung alle anderen stummgeschaltet und ihre Kameras ausgeschaltet. Wer sprechen will, muss vorher mit Ja zustimmen, und wer Nein sagt, kann nur noch zuschauen. Die Entscheidung jedes Teilnehmers landet im Anwesenheitsbericht und im Audit-Log.

Drei Grenzen solltest du kennen. Die Einstellung ist standardmäßig aus, und ohne sie sehen Teilnehmer nur einen Hinweis. Sie hängt am Organisator und nicht am einzelnen Termin, also gilt sie für alle Besprechungen eines Organisators mit dieser Richtlinie. Und Besprechungsraumsysteme wie Teams Rooms gelten automatisch als zustimmend, sodass die Leute im Konferenzraum nicht einzeln gefragt werden. Für hybride Runden musst du das organisatorisch lösen, etwa mit einer Ansage zu Beginn.

Dazu kommt, wo die Aufzeichnung landet. Teams speichert sie im OneDrive des Organisators oder bei Kanalbesprechungen in SharePoint. Eingeladene Personen dürfen sie ansehen, und die Microsoft-365-Suche indiziert sie. Eine Löschfrist, die nur in der Betriebsvereinbarung steht, greift dort nicht von selbst.

Vom Protokoll zur Arbeit: was ein KI-Agent nach dem Termin erledigt

Ein KI-Agent ist ein KI-System, das innerhalb festgelegter Rechte selbst Aktionen in deinen Werkzeugen ausführt, statt nur Text zu liefern. Nach einem Meeting liest er das Transkript, zieht Entscheidungen und Aufgaben heraus und legt jede Aufgabe mit Verantwortlichem und Frist dort an, wo dein Team ohnehin arbeitet. Welche Systeme er nutzen und welche Aktionen er ausführen darf, legst du fest.

Nimm einen Kundentermin, in dem der Kunde ein überarbeitetes Angebot mit einem späteren Liefertermin bis Freitag möchte und dein Vertriebsleiter zusagt, das zu prüfen. Der Agent legt für den Vertrieb eine Aufgabe mit Frist Donnerstag an, erstellt aus dem bestehenden Angebot einen Entwurf mit dem neuen Termin, trägt den nächsten Schritt im CRM ein und schickt den internen Teilnehmern die Zusammenfassung. Das sind Routineaktionen, und er erledigt sie ohne Rückfrage. Die verbindliche Bestätigung des Liefertermins an den Kunden ist eine Zusage mit echten Folgen, und die gibt ein Mensch frei.

Im internen Jour fixe sieht das ähnlich aus. Wird der Projektstart um zwei Wochen verschoben, passt der Agent die Fristen der abhängigen Aufgaben an, informiert die betroffenen Kollegen und setzt eine Wiedervorlage für den neuen Start. Hat das Meeting für eine Aufgabe keinen Verantwortlichen benannt, fragt er die Leitung des Termins, statt zu raten. Eine Aufgabe ohne Verantwortlichen ist genau die, die sonst liegen bleibt. Vor dem nächsten Termin legt er die offenen Punkte vom letzten Mal vor, damit niemand eine erledigte Frage noch einmal diskutiert.

Hier schließt sich der Kreis zum Datenschutz. Sobald Entscheidungen und Aufgaben als eigene Arbeitsobjekte existieren, braucht niemand mehr die Tonspur, und du kannst sie früh löschen. Auch Termine der Kategorie „nie“ fallen dann nicht aus dem System. Wenn jemand nach einem Personalgespräch zwei Zeilen Ergebnis notiert, kann der Agent die vereinbarte Weiterbildung genauso als Aufgabe anlegen und nachhalten wie alles andere.

Wie du anfängst

Der Einstieg dauert weniger lange als die Debatte darüber, wenn du die Schritte in dieser Reihenfolge gehst:

1. Bring deinen Datenschutzbeauftragten und, falls vorhanden, den Betriebsrat an den Tisch, bevor ein Werkzeug läuft.
2. Sortier eure wiederkehrenden Termine in „immer“, „nachfragen“ und „nie“ und setz „nachfragen“ als Standard für alles Neue.
3. Prüf den Anbieter auf Vertrag nach Art. 28, Unterauftragsverarbeiter, Verarbeitungsort, Training und Löschfristen.
4. Schreib einen konkreten Hinweistext für Einladungen, der Zweck, Werkzeug, Empfänger und Speicherdauer nennt.
5. Leg fest, wohin Aufgaben fließen und welche Aktionen der Agent selbst ausführen darf.

Miss danach nicht, wie viele Protokolle entstanden sind. Zähl, wie viele Aufgaben aus Meetings nach vier Wochen erledigt sind und wie oft ein Thema ein zweites Mal auf der Tagesordnung stand. An diesen beiden Zahlen siehst du, ob sich die KI-Mitschrift lohnt.