Für Unternehmen
KI-Meeting-Tools und die DSGVO: Welche kannst du in Deutschland guten Gewissens nutzen?
KI-Protokolle sparen in jedem Meeting die Person, die mittippt — aber kaum eine Software verarbeitet so sensible Daten wie ein Meeting-Tool: Stimmen, Namen, interne Entscheidungen, manchmal Kundendaten, alles in einem Audiostream. Entsprechend oft landet die Frage bei Datenschutzbeauftragten: Welche KI-Meeting-Tools sind in Deutschland überhaupt DSGVO-konform einsetzbar? Die ehrliche Antwort: Es hängt weniger vom Namen des Tools ab als von ein paar überprüfbaren Kriterien und von deinem eigenen Prozess.
Warum Meeting-KI datenschutzrechtlich ein Sonderfall ist
Ein Meeting-Mitschnitt enthält fast immer personenbezogene Daten mehrerer Personen gleichzeitig, und zwar nicht nur der eigenen Mitarbeiter, sondern oft auch von Kunden oder Bewerbern. Dazu kommt das Strafrecht: § 201 StGB schützt die Vertraulichkeit des gesprochenen Wortes. Aufzeichnen ohne Einwilligung aller Beteiligten ist keine Datenschutz-Ordnungswidrigkeit, sondern eine Straftat. Das wichtigste vorweg: Kein noch so konformes Tool ersetzt die informierte Zustimmung der Teilnehmer. Ein sauberer Prozess (Ankündigung in der Einladung, kurze Nachfrage zu Beginn) gehört zu jeder der folgenden Varianten dazu.
Die Prüfkriterien: Daran erkennst du ein DSGVO-konformes KI-Tool
Statt Marketing-Versprechen („DSGVO-ready!") zu glauben, prüf diese Punkte in den AGB und der Datenschutzerklärung des Anbieters:
- Wo wird verarbeitet? EU-Server sind die Basis. Liegt der Anbieter oder sein Mutterkonzern in einem Drittland (v. a. USA), brauchst du eine gültige Übermittlungsgrundlage und trägst das Risiko, wenn sie kippt.
- AV-Vertrag (Art. 28 DSGVO): Ohne Auftragsverarbeitungsvertrag ist jede Cloud-Verarbeitung von Meeting-Inhalten tabu. Seriöse Anbieter stellen ihn standardmäßig bereit.
- Modell-Training ausgeschlossen? Viele KI-Dienste behalten sich vor, Inhalte zum Training zu nutzen. Für Meeting-Daten ist das ein K.-o.-Kriterium: es muss vertraglich ausgeschlossen sein, nicht nur per Opt-out versteckt.
- Speicherdauer und Löschung: Wie lange liegen Aufnahme und Transkript beim Anbieter? Kannst du sie vollständig löschen?
- Datenminimierung: Schickt das Tool einen sichtbaren Bot ins Meeting? Zeichnet es alles auf oder nur, was du startest? Je weniger erfasst wird, desto kleiner das Problem.
Drei Kategorien von Meeting-KI — und was sie für den Datenschutz bedeuten
US-Cloud-Dienste (viele der bekannten Namen wie Otter.ai oder Fireflies): funktional oft stark, aber die Verarbeitung läuft auf Servern außerhalb der EU. Einsatz ist nicht per se unzulässig, verlangt aber Drittland-Prüfung, AV-Vertrag und laufende Kontrolle und bleibt vom Bestand der jeweiligen Übermittlungsgrundlage abhängig. Prüf den aktuellen Stand direkt beim Anbieter.
EU-Cloud-Dienste (etwa deutsche Anbieter wie tucan.ai oder tl;dv mit EU-Hosting): Datenstandort und Vertragslage sind hier deutlich einfacher. Es bleibt der klassische Cloud-Deal: Deine Meeting-Inhalte liegen bei einem Dienstleister, mit AV-Vertrag, Speicher- und Löschkonzept: machbar, aber mit Prüf- und Pflegeaufwand.
On-device-Tools: Transkription und Protokoll entstehen direkt auf dem Gerät, die Aufnahme verlässt es nie. Damit entfällt der Kern des Problems kein Drittland, kein AV-Vertrag, kein Anbieter, der trainieren könnte. Voxvaria gehört in diese Kategorie: Aufnahme, Transkription und das fertige, strukturierte Protokoll (Entscheidungen, Action Items, offene Punkte) entstehen zu 100 % lokal, ohne Konto und ohne Bot im Call. Der Lackmustest, der für jedes Tool dieser Kategorie gelten sollte: Es muss auch im Flugmodus funktionieren.
Wie dokumentiere ich Meetings DSGVO-konform mit KI?
Unabhängig vom Tool sieht ein sauberer Prozess so aus: Kündige die KI-Dokumentation in der Meeting-Einladung an und hol zu Beginn die Zustimmung aller Teilnehmer ein. Erfasse nur, was gebraucht wird — das Protokoll, nicht zwingend die Dauer-Aufzeichnung. Kläre vorab per Kriterienliste (oben), wo die Daten landen, und dokumentiere die Tool-Entscheidung kurz im Verzeichnis der Verarbeitungstätigkeiten. Bei On-device-Verarbeitung ist der letzte Teil erfreulich kurz: Die Daten bleiben im Haus.
Brauche ich für jedes KI-Meeting-Tool einen AV-Vertrag?
Für jedes Tool, das Meeting-Inhalte auf Servern des Anbieters verarbeitet: ja, zwingend (Art. 28 DSGVO). Nur bei vollständiger On-device-Verarbeitung gibt es keinen Auftragsverarbeiter — und damit keinen Vertrag, der fehlen könnte.
Muss ich die Meeting-Teilnehmer informieren?
Ja, immer. Die Aufzeichnung des gesprochenen Worts ohne Einwilligung aller Beteiligten ist nach § 201 StGB strafbar, und die DSGVO verlangt zusätzlich transparente Information (Art. 13). Ein Satz in der Einladung plus kurze Bestätigung im Termin sind der Standard.
Sind US-Anbieter automatisch DSGVO-widrig?
Nein — mit einer gültigen Übermittlungsgrundlage (z. B. einer aktuellen Angemessenheitsentscheidung) und sauberem AV-Vertrag kann der Einsatz zulässig sein. Du trägst aber die Prüflast und das Risiko, dass sich die Rechtslage ändert; genau deshalb weichen viele Unternehmen auf EU- oder On-device-Lösungen aus.
Was unterscheidet On-device-Transkription von Cloud-Transkription?
Bei Cloud-Transkription wird die Aufnahme zum Anbieter hochgeladen und dort verarbeitet; bei On-device-Verarbeitung läuft das KI-Modell direkt auf deinem Gerät und nichts verlässt es. Erkennbar ist der Unterschied daran, ob das Tool offline funktioniert.
Voxvaria macht aus Meetings strukturierte Protokolle — 100 % on-device, ohne Cloud, ohne Konto, ohne Bot im Call. Sichere dir frühen Zugang zur Beta.
Früher Zugang sichern