Meetings aufzeichnen und transkribieren: Datenschutz beginnt vor dem Klick auf „Starten“

Online-Meetings sind längst nicht mehr nur Ersatz für den Besprechungsraum. Sie sind Arbeitsort, Entscheidungsplattform, Schulungsraum und oft auch Grundlage späterer Aufgabenverteilungen. Mit Funktionen zur Aufzeichnung und automatischen Transkription wird daraus ein mächtiges Werkzeug: Niemand muss mehr mitschreiben, Entscheidungen lassen sich nachvollziehen, Protokolle entstehen schneller. Gerade in Organisationen mit vielen digitalen Abstimmungen klingt das nach einer naheliegenden Effizienzmaßnahme.

Rechtlich ist die Transkription jedoch kein bloßes Komfortfeature. Sobald Sprache, Bild, Chat, geteilte Inhalte, Metadaten oder ein daraus erzeugtes Transkript verarbeitet werden, geht es um personenbezogene Daten. Sprache ist unmittelbar einer Person zuordenbar. Hinzu kommt: In nicht öffentlichen Meetings ist auch das Strafrecht berührt, weil § 201 StGB das nicht öffentlich gesprochene Wort schützt. Wer Meetingtranskripte einführt, braucht deshalb nicht nur eine technische Freischaltung, sondern einen klaren rechtlichen und organisatorischen Rahmen.

Bei der Transkription wird das gesprochene Wort technisch erfasst, zwischengespeichert und per Spracherkennung in Text umgewandelt. Auch wenn am Ende „nur“ ein Textdokument vorliegt, ist bereits die Erfassung oder Zwischenspeicherung des Audiosignals eine Verarbeitung personenbezogener Daten. Wird zusätzlich aufgezeichnet, kommen regelmäßig Audio- und Videodaten, Präsentationsinhalte, Chatnachrichten und Nutzungs- beziehungsweise Meetingmetadaten hinzu.

Für die Praxis ist wichtig, drei Ebenen zu trennen: erstens die Aufzeichnung oder technische Erfassung des gesprochenen Wortes, zweitens die automatische Umwandlung in Text und drittens die spätere Nutzung des Transkripts, etwa zur Erstellung eines Ergebnisprotokolls. Jede dieser Ebenen braucht Zweckbindung, Berechtigung, Löschregeln und Transparenz. Ein Transkript darf deshalb nicht nachträglich zum allgemeinen Nachweis-, Kontroll- oder Wissensspeicher werden, nur weil es technisch vorhanden ist.

Der zentrale Fehler in der Praxis ist, die Zustimmung im Tool mit der datenschutzrechtlichen Rechtsgrundlage gleichzusetzen. Ein Popup in Microsoft Teams kann technisch sicherstellen, dass Teilnehmende vor Aktivierung von Mikrofon, Kamera oder Bildschirmfreigabe eine Zustimmung erteilen. Diese technische Zustimmung ist aber nicht automatisch eine DSGVO-Einwilligung. Die Organisation muss vorab entscheiden und dokumentieren, auf welcher Rechtsgrundlage die Verarbeitung beruht.

Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist der naheliegende und besonders sichere Weg, wenn sie freiwillig, informiert, eindeutig und widerruflich erfolgt. Sie passt insbesondere bei externen Meetings, optionalen Webinaren oder Situationen, in denen die Teilnahme auch ohne eigene Wort-, Bild- oder Chatbeiträge möglich bleibt. Für die Aufzeichnung des nicht öffentlich gesprochenen Wortes ist eine Zustimmung aller aktiv Betroffenen praktisch ohnehin der wichtigste Rechtfertigungsgrund. Allerdings genügt Stillschweigen nicht. Ebenso wenig reichen voreingestellte Optionen oder eine versteckte Klausel in der Einladung. Die betroffene Person muss vorher wissen, worin sie einwilligt, und aktiv zustimmen können. Die Einwilligung ist vielfach der rechtssicherste Weg, insbesondere außerhalb von Beschäftigungsverhältnissen.

Im Beschäftigungskontext ist die Einwilligung schwieriger. Wegen des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten kann zweifelhaft sein, ob die Entscheidung wirklich freiwillig ist. Deshalb sollte hier nicht vorschnell allein auf Einwilligungen gesetzt werden. Je nach Organisation kommen Beschäftigtendatenschutz, Art. 88 DSGVO in Verbindung mit § 26 BDSG, eine Betriebsvereinbarung oder - im kirchlichen Bereich - die einschlägigen Vorschriften des DSG-EKD, etwa § 49 DSG-EKD, in Betracht. Bestehen Betriebsrat oder Mitarbeitervertretung, sind deren Beteiligungs- und Mitbestimmungsrechte mitzudenken.

Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO kann bei internen Besprechungen, Ergebnisdokumentation, Qualitätssicherung von Protokollen oder effizienter Zusammenarbeit eine tragfähige Grundlage sein. Es ist aber kein Freifahrtschein. Erforderlich ist eine nachvollziehbare Interessenabwägung: Gibt es einen legitimen Zweck? Ist die Transkription dafür wirklich erforderlich? Gibt es mildere Mittel, zum Beispiel ein manuelles Ergebnisprotokoll? Welche Risiken entstehen für Betroffene, etwa durch Vertraulichkeitsverlust, Fehltranskriptionen oder Leistungs- und Verhaltenskontrolle? Überwiegt das Organisationsinteresse nur unter strengen Schutzmaßnahmen, müssen diese Schutzmaßnahmen verbindlich geregelt sein.

Art. 6 Abs. 1 lit. b DSGVO, also Vertragserfüllung, kommt nur ausnahmsweise in Betracht. Dafür müsste die Transkription zur Erfüllung eines konkreten Vertrags wirklich erforderlich sein, etwa wenn eine Leistung ausdrücklich in transkribierter Form geschuldet ist. Eine bloße Erleichterung der Nachbereitung reicht nicht. Art. 6 Abs. 1 lit. c DSGVO, also eine gesetzliche Pflicht, ist in der normalen Unternehmenspraxis ebenfalls selten einschlägig. Allgemeine Aufbewahrungs- oder Dokumentationspflichten bedeuten nicht automatisch eine Pflicht zur Transkription von Gesprächen.

Zusätzlich gilt: Meetings, in denen Daten besonderer Kategorien nach Art. 9 DSGVO verarbeitet werden, sollten grundsätzlich nicht transkribiert werden, sofern hierfür keine gesonderte und tragfähige Rechtsgrundlage besteht.

Dazu zählen insbesondere Gesundheitsdaten, Angaben zur Religionszugehörigkeit, ethnischen Herkunft oder vergleichbar sensible Informationen. Für Personalgespräche, Bewerbungsgespräche, Gespräche über Erkrankungen oder Klientenakten sollte die Transkriptionsfunktion deshalb regelmäßig gesperrt oder ausdrücklich ausgeschlossen sein. Tauchen solche Inhalte zufällig auf, ist eine frühzeitige Löschung und gegebenenfalls die Einbindung des Datenschutzbeauftragten erforderlich.

Informationspflichten sind bei Meetingtranskripten nicht nur ein Datenschutztext im Intranet. Sie müssen so organisiert sein, dass Teilnehmende vor der Verarbeitung tatsächlich verstehen können, was geschieht. Maßstab sind Art. 13 und 14 DSGVO beziehungsweise im kirchlichen Bereich die entsprechenden Informationspflichten nach DSG-EKD. Die Information muss rechtzeitig, verständlich, leicht zugänglich und konkret genug sein. Ein allgemeiner Hinweis „Das Meeting kann aufgezeichnet werden“ reicht nicht.

Inhaltlich sollten die Informationen mindestens folgende Punkte abdecken: verantwortliche Stelle und Datenschutzkontakt, konkrete Zwecke der Aufzeichnung und Transkription, Rechtsgrundlage, verarbeitete Datenkategorien, Empfänger und Berechtigte, eingesetztes System, Auftragsverarbeitung mit dem Anbieter, mögliche Drittlandbezüge, Speicherdauer, Löschfristen, Betroffenenrechte, Widerrufs- oder Widerspruchsmöglichkeiten sowie die Folgen einer Ablehnung. Bei einem berechtigten Interesse muss zum einen offengelegt werden, welche konkreten berechtigten Interessen von dem Verantwortlichen oder einem Dritten verfolgt werden und zum anderen muss zusätzlich auf das Widerspruchsrecht hingewiesen werden. Bei einer Einwilligung ist der Hinweis auf die jederzeitige Widerruflichkeit zwingend.

Praktisch sollte Transparenz auf mehreren Ebenen stattfinden. Erstens gehört ein Hinweis bereits in die Einladung: dass eine Transkription geplant ist, zu welchem Zweck, wo die Datenschutzhinweise abrufbar sind und welche Alternativen bestehen. Zweitens sollte der Link auf die Datenschutzhinweise im Meetingtool selbst hinterlegt sein. Drittens braucht es vor dem Start eine kurze mündliche Ankündigung. Viertens sollte ein technischer Consent-Mechanismus aktiviert sein, der Kamera und Mikrofon zunächst sperrt und eine aktive Zustimmung verlangt. Fällt dieser Mechanismus aus, darf die Transkription nur starten oder fortgesetzt werden, wenn alle aktiv beitragenden Personen vorher ausdrücklich informiert wurden und dokumentierbar zustimmen.

Besonders wichtig ist die Information über Ablehnung und Widerspruch. Wird die Aufzeichnung oder Transkription auf eine Einwilligung gestützt, dürfen Teilnehmende aus einer Verweigerung der Einwilligung grundsätzlich keine unangemessenen Nachteile erleiden. Soweit möglich, sollten alternative Teilnahmemöglichkeiten angeboten werden. Hierfür bietet sich die Chatfunktion an, mit Hilfe derer stille Teilnehmende kommunizieren können. Beim Aufgreifen einer Beteiligung aus dem Chat ist darauf zu achten, dass der der Name nicht genannt wird. Erfolgt im laufenden Meeting ein Widerruf der Einwilligung/Ablehnung, darf die Verarbeitung personenbezogener Daten dieses Teilnehmers ab diesem Zeitpunkt nicht mehr erfolgen. Hierfür können technische oder organisatorische Maßnahmen erforderlich sein, wie z.B. die Deaktivierung von Mikrofon, Kamera oder Bildschirmfreigabe für die weitere Aufzeichnung bzw. Transkription.
Die datenschutzrechtlichen Folgen eines Widerrufs der Einwilligung oder eines Widerspruchs bei einer auf berechtigte Interessen gestützten Verarbeitung sind dann im Einzelfall zu prüfen. Insbesondere ist die Verarbeitung im Falle einer widerrufenen Einwilligung zu beenden. Im Falle eines Widerspruchs ist zu prüfen, ob die Voraussetzungen für eine weitere Verarbeitung weiterhin vorliegen. Zudem ist über die Löschung personenbezogener Daten oder eine Einschränkung der Verarbeitung zu entscheiden.

Neben der DSGVO steht § 201 StGB. Die Norm stellt die unbefugte Aufnahme des nicht öffentlich gesprochenen Wortes unter Strafe. Interne Teammeetings, Personalgespräche, Projektabstimmungen oder Kundencalls sind regelmäßig nicht öffentlich. Wenn ein Tool das Audiosignal zur Transkription zwischenspeichert, liegt technisch häufig eine Aufnahme oder aufnahmeähnliche Erfassung vor. Ohne Befugnis ist das riskant.

Für die Praxis bedeutet das: Datenschutzrechtliche Rechtsgrundlage und strafrechtliche Befugnis müssen zusammen gedacht werden. Eine wirksame DSGVO-Einwilligung kann beide Anforderungen abdecken. Wird datenschutzrechtlich dagegen auf berechtigte Interessen gestützt, bleibt die strafrechtliche Frage der Befugnis trotzdem relevant. Deshalb sollte organisatorisch immer sichergestellt sein, dass niemand heimlich oder überraschend aufgezeichnet wird und alle aktiv Beitragenden vorher zustimmen. Wird datenschutzrechtlich zudem auf das berechtigte Interessen abgestellt, bleibt die Frage der strafrechtlichen Befugnis nach § 201 StGB gesondert zu prüfen.

Bei Microsoft Teams ist zu unterscheiden zwischen der reinen Speech-to-Text-Transkription, einer klassischen Aufzeichnung, einer KI-Zusammenfassung und weitergehenden Copilot-Funktionen. Die reine Umwandlung von Sprache in Text ist nicht automatisch generative KI und nicht automatisch Copilot. Sobald aber KI-gestützte Zusammenfassungen, Analysen oder Bewertungen hinzukommen, ändern sich Risiko und Prüfbedarf. Emotionserkennung oder Stimmungsanalyse wären besonders kritisch und können nach der KI-Verordnung unzulässig oder jedenfalls als Hochrisiko-KI hoch reguliert sein.

Auch der Anbieter- und Cloud-Kontext gehört zur Bewertung. Erforderlich sind ein Auftragsverarbeitungsvertrag, klare Speicherorte, Berechtigungskonzepte und eine Prüfung etwaiger Drittlandbezüge. Selbst wenn eine EU-Datengrenze zugesichert ist, sollte dokumentiert sein, welche Daten wo verarbeitet werden und welche Garantien greifen. Ändern sich Funktionalität, Rechtslage, Speicherort oder Schutzmaßnahmen, ist die Bewertung zu aktualisieren; je nach Konstellation kann auch eine Datenschutz-Folgenabschätzung neu zu prüfen sein.

Organisationen sollten die Transkriptionsfunktion nicht pauschal für alle freischalten. Sinnvoll ist ein Freigabeprozess: kurze Schulung, Kenntnisnahme der Richtlinie, klare Verantwortlichkeit der einladenden Person und technische Aktivierung von Explicit Consent. Für jedes Meeting ist vorab zu klären, ob eine Transkription wirklich erforderlich ist oder ein manuelles Ergebnisprotokoll genügt.

Meetingtranskription kann die Zusammenarbeit deutlich erleichtern. Sie macht Ergebnisse nachvollziehbarer, entlastet bei der Protokollerstellung und hilft, Aufgaben sauber zu verteilen. Zulässig ist sie aber nur, wenn der Zweck eng gefasst, die Rechtsgrundlage tragfähig, die strafrechtliche Befugnis geklärt und die Information der Teilnehmenden wirklich transparent ist.

Der wichtigste Praxissatz lautet daher: Nicht das Tool entscheidet über die Rechtmäßigkeit, sondern der Prozess. Wer vor der Freischaltung Rechtsgrundlage, Informationspflichten, Zustimmung, Widerspruch, Berechtigungen und Löschung sauber regelt, kann Transkription verantwortungsvoll nutzen. Wer nur auf „Starten“ klickt, schafft dagegen vermeidbare Datenschutz-, Strafrechts- und Vertrauensrisiken.

CTA: Vor der Einführung oder Erweiterung von Meetingtranskripten lohnt sich ein kurzer Datenschutz-Check. Prüfen Sie Rechtsgrundlage, Informationspflichten, Tool-Einstellungen, Löschfristen und Ausschluss sensibler Inhalte, bevor die Funktion im Alltag zur Selbstverständlichkeit wird.