Meetings und Videokonferenzen aufzeichnen oder transkribieren: Was die DSGVO verlangt

Zwei Rechtsgebiete, eine Aufnahme

Wer eine Besprechung oder Videokonferenz aufzeichnet oder von einem KI-Tool mitschreiben lässt, bewegt sich in zwei Rechtsgebieten zugleich. Das Strafrecht fragt, ob die Aufnahme überhaupt zulässig ist: § 201 StGB verbietet es, das nichtöffentlich gesprochene Wort eines anderen ohne dessen Einverständnis aufzunehmen; die Grundlagen stehen auf der Seite Darf ich ein Gespräch aufnehmen?. Das Datenschutzrecht fragt darüber hinaus, auf welcher Grundlage du die Daten verarbeitest, wen du worüber informierst und was mit der Aufnahme danach geschieht.

Dass die Datenschutz-Grundverordnung überhaupt gilt, folgt aus Art. 4 Nr. 1 und 2 DSGVO. Personenbezogene Daten sind „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person … beziehen“, und Verarbeitung ist jeder Vorgang „wie das Erheben, das Erfassen, … die Speicherung, … die Offenlegung durch Übermittlung“. Eine Aufnahme, auf der Stimme, Name und Wortbeitrag einer Person zu hören sind, ist eine solche Information; Aufzeichnen, Hochladen und Transkribieren sind solche Vorgänge (Einordnung).

Was die Datenschutzkonferenz wörtlich verlangt

Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden von Bund und Ländern, hat in ihrer Orientierungshilfe Videokonferenzsysteme vom 23.10.2020 einen eigenen Abschnitt zu Aufzeichnungen verfasst. Er ist bis heute der konkreteste behördliche Text zu dieser Frage.

Vier Regeln lassen sich daraus ablesen. Erstens: Die Zustimmung zur Teilnahme an der Konferenz deckt die Aufzeichnung nicht ab; sie braucht eine eigene Grundlage. Zweitens: Ohne besonderes Dokumentationserfordernis ist diese Grundlage regelmäßig eine Einwilligung. Drittens: Die Aufzeichnung ist in der Voreinstellung aus und wird erst nach Ankündigung und Freischaltung aktiv. Viertens: Wer die Konferenz verantwortet, soll das heimliche Mitschneiden durch Teilnehmende technisch unterbinden, soweit er darauf Einfluss hat.

Die Rechtsgrundlage: Einwilligung, Vertrag oder berechtigtes Interesse

Art. 6 Abs. 1 DSGVO zählt die Rechtsgrundlagen auf, von denen eine vorliegen muss. Drei kommen für Meeting-Aufzeichnungen in Betracht.

Tabelle seitlich scrollen, um alle Spalten zu sehen

Spalte 3 ist redaktionelle Einordnung. Welche Grundlage im konkreten Betrieb trägt, klärt die Datenschutzbeauftragte oder ein Rechtsanwalt.

Für Beschäftigte tritt § 26 BDSG als Rechtsgrundlage hinzu; dazu weiter unten. Im Ergebnis ist für die meisten internen Besprechungen und alle Gespräche mit Externen die Einwilligung jeder beteiligten Person der Weg, den die Aufsichtsbehörden vorzeichnen. Sie deckt sich mit dem, was ohnehin § 201 StGB verlangt.

Informieren, bevor die Aufnahme beginnt

Unabhängig von der Rechtsgrundlage verpflichtet Art. 13 Abs. 1 DSGVO dazu, die betroffenen Personen „zum Zeitpunkt der Erhebung dieser Daten“ zu informieren. Dazu gehören nach lit. c „die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung“, nach lit. e „gegebenenfalls die Empfänger oder Kategorien von Empfängern“ und nach lit. f die Absicht, Daten „an ein Drittland … zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission“.

Für ein Meeting mit KI-Protokoll heißt das (Einordnung): Vor dem Start erfahren alle Teilnehmenden, dass aufgezeichnet wird, wozu das Protokoll dient, auf welcher Rechtsgrundlage das geschieht, welcher Dienst die Aufnahme verarbeitet und ob dessen Server außerhalb der EU stehen. Die DSK-Orientierungshilfe zu KI und Datenschutz formuliert dieselbe Pflicht für KI-Anwendungen: „Handelt es sich bei den Eingabedaten um personenbezogene Daten, sind betroffene Personen über die Verwendung ihrer Daten transparent zu informieren.“ Eine Einladung mit diesen Angaben und ein kurzer Hinweis zu Beginn erfüllen beides zugleich.

Was KI-Protokoll-Tools zusätzlich auslösen

Ein Tool, das die Konferenz nicht nur aufzeichnet, sondern transkribiert, Sprecher zuordnet und zusammenfasst, erweitert die Verarbeitung in mehrere Richtungen. Jede davon hat eine eigene Rechtsfrage.

• Cloud-Verarbeitung. Läuft die Transkription auf fremden Servern, handelt der Anbieter als Auftragsverarbeiter. Nach Art. 28 Abs. 3 DSGVO braucht es einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt. Was der Vertrag enthalten muss und was bei Anbietern in den USA gilt, steht auf der Seite Cloud-Transkription und Datenschutz.
• Training mit den Aufnahmen. Die DSK hält Anwendungen für „datenschutzrechtlich vorzugswürdig“, „die die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden“. Ob ein Dienst Meeting-Audio zum Training nutzt, muss vor der Einführung geklärt sein.
• Sprecherzuordnung. Die bloße Trennung in „Sprecher 1“ und „Sprecher 2“ identifiziert niemanden. Ein gespeichertes Stimmprofil, das Personen eindeutig wiedererkennt, ist dagegen ein biometrisches Datum nach Art. 4 Nr. 14 DSGVO und fällt unter Art. 9. Die technischen Hintergründe erklärt die Seite Sprechererkennung.
• Stimmungs- oder Emotionsanalyse. Funktionen, die aus der Stimme Emotionen ableiten, sind am Arbeitsplatz und in Bildungseinrichtungen nach Art. 5 Abs. 1 lit. f der KI-Verordnung seit dem 02.02.2025 verboten; Näheres unter KI-Verordnung und Transkription.
• Zusammenfassungen. Eine KI-Zusammenfassung ist ein weiteres Dokument über die Teilnehmenden und unterliegt denselben Regeln wie Aufnahme und Transkript. Wie sich solche Werkzeuge im Alltag unterscheiden, zeigt die Seite Meeting-Protokolle mit KI.

Checkliste für Organisatorinnen und Organisatoren

Die folgenden Schritte fassen die Vorgaben der DSGVO und der Datenschutzkonferenz in der Reihenfolge zusammen, in der sie im Alltag anfallen. Sie sind eine redaktionelle Arbeitshilfe, keine abschließende Prüfung.

1. Zweck und Rechtsgrundlage festlegen. Wozu dient die Aufzeichnung, und auf welche Grundlage nach Art. 6 Abs. 1 DSGVO stützt sie sich? Ohne besonderes Dokumentationserfordernis: Einwilligung.
2. Anbieter prüfen und Vertrag schließen. Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO, Serverstandort, Trainingsausschluss, Löschfristen.
3. In der Einladung informieren. Zweck, Rechtsgrundlage, Empfänger und ein etwaiger Drittlandtransfer nach Art. 13 Abs. 1 DSGVO.
4. Voreinstellung aus. Aufzeichnung und KI-Protokoll sind beim Start der Konferenz deaktiviert.
5. Vor Beginn ankündigen und Einwilligungen einholen. Jede Person stimmt ausdrücklich zu; die Zustimmung wird festgehalten. Wer nicht zustimmt, wird nicht aufgezeichnet.
6. Erst dann freischalten. Die Funktion wird nach der Ankündigung aktiviert, nicht davor.
7. Heimliches Mitschneiden unterbinden. Teilnehmerseitige Aufzeichnung technisch sperren, soweit das System es erlaubt, und auf die Strafbarkeit hinweisen.
8. Zweckgebunden verwenden und löschen. Aufnahme, Transkript und Zusammenfassung nur für den angekündigten Zweck nutzen, Zugriff begrenzen, nach Zweckerreichung löschen.

Beschäftigte: § 26 BDSG und Mitbestimmung

Für Aufzeichnungen im Arbeitsverhältnis nennt die DSK-Orientierungshilfe § 26 BDSG als Rechtsgrundlage. Danach dürfen Beschäftigtendaten verarbeitet werden, wenn dies „für dessen Durchführung oder Beendigung … erforderlich ist“. Eine Einwilligung von Beschäftigten ist möglich, aber das Gesetz verlangt, „die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person“ bei der Freiwilligkeit zu berücksichtigen; sie „hat schriftlich oder elektronisch zu erfolgen“. Ein mündliches Ja im Meeting reicht bei Beschäftigten also nicht ohne Weiteres (Einordnung).

Gibt es einen Betriebsrat, kommt § 87 Abs. 1 Nr. 6 BetrVG ins Spiel: Technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen, unterliegen der Mitbestimmung. Ob und wie weit das für KI-Protokoll-Tools gilt und welche Eckpunkte eine Betriebsvereinbarung regeln sollte, behandelt die Seite Betriebsrat und KI-Transkription.