Zoom- und Teams-Meetings DSGVO-konform transkribieren

Jedes Unternehmen im deutschsprachigen Raum hält seine Besprechungen in Zoom oder Microsoft Teams ab. Und praktisch jedes will durchsuchbare Mitschriften davon: für die Projektübergabe, für das Vertriebscoaching, für Barrierefreiheit, oft einfach als Gedächtnis der Organisation.

Was der Markt dafür anbietet, sind Otter, Fireflies, Read.ai und ein Dutzend ähnlicher KI-Assistenten. Sie treten der Besprechung als Teilnehmer bei, transkribieren in Echtzeit und schreiben eine Zusammenfassung. Sie funktionieren gut. Sie sind aber fast ohne Ausnahme US-Unternehmen auf US-Infrastruktur, und damit für europäische Kunden ein Datenschutzproblem, das sich seit Schrems II nicht mehr wegargumentieren lässt.

Dieser Artikel erklärt, warum das Muster "KI-Notizbot" schwerer konform zu bekommen ist, als es aussieht, und wie Sie zum gleichen Ergebnis kommen, ohne Ihre Gespräche über den Atlantik zu schicken.

Warum das 2026 schwerer wiegt als 2022

Drei Dinge haben sich seit den Anfängen der KI-Meetingassistenten verändert.

Schrems II ist sechs Jahre alt und wirkt. Das Urteil des EuGH vom 16. Juli 2020 (C-311/18) hat das EU-US-Privacy-Shield für unwirksam erklärt. Der Nachfolger, das EU-US Data Protection Framework von 2023, steht unter denselben Vorbehalten, und die Aufsichtsbehörden prüfen internationale Übermittlungen inzwischen aktiv statt nur auf Beschwerde.

Das Training auf Kundendaten ist dokumentiert, nicht vermutet. Mehrere Anbieter von Meetingassistenten sind dabei aufgefallen, Kundenaudio zur Modellverbesserung zu verwenden. Auch wer "wir trainieren nicht auf Ihren Daten" sagt, erlaubt es sich in den Nutzungsbedingungen häufig doch, mit einem Opt-out tief im Administrationsbereich.

Zoom und Microsoft haben die Bot-Politik verschärft. Beide steuern inzwischen, welche Drittanbieter-Bots einer Besprechung beitreten dürfen. Das ist eine Reaktion auf Compliance-Druck aus dem Großkundengeschäft, und es bedeutet: ein Setup, das 2022 lief, ist heute ein Prüfpunkt im Audit.

Was das Recht tatsächlich verlangt

Audio ist personenbezogen, oft besonders geschützt

Nach Art. 4 Nr. 1 DSGVO ist jede Information über eine identifizierte oder identifizierbare natürliche Person ein personenbezogenes Datum. Eine Sprachaufnahme erfüllt das fast immer: die Stimme selbst ist ein biometrisches Merkmal, und selbst ohne Stimmerkennung benennt der Inhalt einer Besprechung die Sprechenden über Namen, Rolle oder Kontext.

Art. 9 DSGVO hebt die Anforderungen weiter an. Sobald in einer Besprechung Gesundheit, ethnische Herkunft, Religion, politische Meinung, Gewerkschaftszugehörigkeit, sexuelle Orientierung oder biometrische Daten zur Sprache kommen, greift die besondere Kategorie mit ihrem engeren Erlaubnisrahmen. Ein Standup im Gesundheitsbereich, ein Personalgespräch, eine Verhandlung mit der Gewerkschaft: alle drei fallen regelmäßig darunter.

Art. 44 DSGVO, die Übermittlung in die USA

Ein Mitschnitt an einen US-Transkriptionsanbieter ist eine Übermittlung in ein Drittland. Nach Schrems II braucht sie Standardvertragsklauseln und zusätzliche Maßnahmen, die das Schutzniveau ausgleichen.

Für Audio ist diese Hürde besonders hoch. Der Europäische Datenschutzausschuss nennt in seinen Empfehlungen 01/2020 starke Verschlüsselung mit ausschließlich in der EU gehaltenen Schlüsseln als eine der wenigen Maßnahmen, die das Risiko wirklich senken. Genau das kann ein US-Transkriptionsdienst nicht anbieten: er braucht das Audio im Klartext, sonst kann er es nicht transkribieren.

Art. 28 DSGVO, der Auftragsverarbeitungsvertrag

Auch mit passendem Übermittlungsinstrument bleibt der AVV Pflicht: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen, Pflichten des Verantwortlichen. Viele Anbieter von Notizbots halten einen AVV nur für Enterprise-Tarife bereit. Die Self-Service-Tarife, mit denen Abteilungen solche Werkzeuge tatsächlich einführen, haben keinen.

Der CLOUD Act

Der US CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, unabhängig davon, wo diese physisch liegen. Ein Besprechungsprotokoll, das ein US-Anbieter auf AWS-Servern in Frankfurt speichert, ist damit für US-Behörden erreichbar, ohne europäischen Gerichtsbeschluss und ohne Benachrichtigung der Betroffenen.

Bei Besprechungen über Geschäftsgeheimnisse, Zukäufe, Prozessstrategie oder Wettbewerb ist das kein theoretisches Risiko.

Der Punkt, den die internationale Diskussion übersieht: Mitbestimmung

Im deutschen Betrieb kommt eine Hürde hinzu, die mit Datenschutz nichts zu tun hat und trotzdem regelmäßig die eigentliche Bremse ist.

Der Betriebsrat hat hier ein echtes Mitbestimmungsrecht, kein Anhörungsrecht. Und die Rechtsprechung legt "dazu bestimmt" weit aus: es genügt, dass die Einrichtung zur Überwachung geeignet ist, eine Überwachungsabsicht muss niemand nachweisen. Ein System, das jede Besprechung wortgenau mitschreibt und durchsuchbar macht, ist dafür ein Musterbeispiel.

Praktisch heißt das: vor dem Rollout eine Betriebsvereinbarung. Sie regelt sinnvollerweise, welche Besprechungsarten transkribiert werden, wer auf die Transkripte zugreift, wie lange sie liegen und dass sie für Leistungs- und Verhaltenskontrolle nicht verwendet werden. Das ist Aufwand, aber es ist auch der Moment, in dem eine EU-Lösung deutlich leichter zu verhandeln ist als ein US-Bot: der Betriebsrat fragt zuerst, wohin die Daten gehen.

Für Beschäftigtendaten gilt daneben § 26 BDSG, und mit ihm der Grundsatz, dass die Verarbeitung für das Beschäftigungsverhältnis erforderlich sein muss. Eine Mitschrift zur Protokollierung ist begründbar. Eine dauerhafte, durchsuchbare Sammlung aller Äußerungen aller Beschäftigten über Jahre ist es nicht.

Warum die üblichen Notizbots im Audit durchfallen

Konkret, weil Unbestimmtheit hier niemandem hilft:

• Ein Bot sitzt in der Besprechung. Er erhält den Audiostrom aller Teilnehmenden, auch der externen, die der Aufzeichnung nie zugestimmt haben.
• Die Verarbeitung läuft in den USA. Selbst wo ein europäischer Endpunkt angeboten wird, läuft die Modellinferenz oft in US-Regionen. Der AVV erlaubt das mit einem Halbsatz über "globale Infrastruktur".
• Das Opt-out für KI-Training ist standardmäßig aus. Typische Klausel: "Wir können anonymisierte Inhalte zur Verbesserung unserer Dienste verwenden." Eine belastbare Definition von Anonymisierung für Rohaudio gibt es nicht.
• Die Aufbewahrung ist unbegrenzt. Kostenlose und oft auch bezahlte Tarife behalten Transkripte dauerhaft. Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung.
• Betroffenenrechte laufen zäh. Ein Löschverlangen, das auch Backups und abgeleitete Modelle umfasst, wird in Wochen beantwortet, nicht in Tagen.

Keines dieser Probleme ist prinzipiell unlösbar. Sie sind nur in den Produkten ungelöst, die den Markt beherrschen.

Der konforme Weg für Zoom und Teams

Variante 1: Zoom nativ aufzeichnen, dann transkribieren

1. Zoom-eigene Aufzeichnung nutzen, lokal oder in der Cloud. Die Cloud-Aufzeichnung auf die EU-Region festlegen (Zoom bietet EU-Datenhaltung für Business- und Enterprise-Tarife). AVV mit Zoom vorhanden.
2. Nach der Besprechung die MP4-Datei herunterladen, oder mit API-Zugang automatisch über die Zoom Recording API abholen.
3. Datei per API an den EU-Transkriptionsanbieter geben.
4. Transkript mit Wort-Zeitstempeln, Sprechertrennung und Suche zurückerhalten.
5. Die Originalaufzeichnung nach Plan löschen, etwa nach 30 Tagen.

Das Muster hält das Audio in der eigenen Kontrolle. Sie schließen einen AVV mit Zoom und einen mit dem Transkriptionsdienst. Kein dritter Teilnehmer sitzt in der Besprechung, und die Einwilligungsfrage bleibt einfach.

Variante 2: Teams nativ aufzeichnen, dann transkribieren

Dasselbe Muster funktioniert mit Microsoft Teams. Teams-Aufzeichnungen liegen in OneDrive beziehungsweise SharePoint, in der Region Ihres Microsoft-365-Tenants; die EU lässt sich dort als Region festlegen. Die Datei holen Sie über die Microsoft Graph API ab und geben sie an den Transkriptionsdienst.

Teams bringt eine eigene Transkription mit. Für Deutsch ist ihre Qualität brauchbar, für Schweizerdeutsch und stark dialektale Aufnahmen nicht, und die Datenflüsse zu Microsoft sind nicht in jedem Detail transparent. Viele Compliance-Abteilungen schalten die Teams-Transkription deshalb ab und setzen einen dedizierten EU-Dienst dahinter.

Variante 3: lokal aufzeichnen bei besonders sensiblen Gesprächen

Für Aufsichtsratssitzungen, Prozessstrategie oder arbeitsrechtliche Untersuchungen: lokal auf dem Gerät der moderierenden Person aufzeichnen, verschlüsselt ablegen, per API über TLS zur Transkription geben. Damit ist die Zahl der Beteiligten so klein wie möglich.

Hinweis und Einwilligung

Unabhängig vom technischen Weg:

• Ein kurzer Hinweis am Anfang jeder Besprechung ("Diese Besprechung wird aufgezeichnet und zur Protokollierung transkribiert.").
• Ein schriftlicher Hinweis in der Kalendereinladung, wie die Aufzeichnung gespeichert wird und wie lange.
• Widerspruch respektieren: wenn jemand widerspricht, wird nicht aufgezeichnet. Die Besprechung findet trotzdem statt, es wird eben mitgeschrieben wie früher.
• Bei externen Teilnehmenden lieber ausdrückliche Zustimmung einholen als konkludente annehmen. Art. 7 Abs. 2 DSGVO verlangt, dass eine Einwilligung von anderen Sachverhalten klar unterscheidbar ist.
• Bei Beschäftigten die Betriebsvereinbarung als Grundlage nutzen, nicht die Einwilligung. Eine Einwilligung im Arbeitsverhältnis ist wegen des Abhängigkeitsverhältnisses angreifbar.

Was ein EU-Transkriptionsdienst mitbringen muss

• Verarbeitung vollständig in der EU. Nicht nur die Speicherung, sondern die Berechnung, also auch die Modellinferenz. Die zielführende Frage lautet: wo steht die GPU, die mein Audio verarbeitet?
• Keine US-Unterauftragsverarbeiter für Audio. Ein europäisches Frontend, das Audio an die Whisper-API in den USA weitergibt, ist nicht konform.
• Ein echter AVV, nach Art. 28 DSGVO, unterschrieben vor der ersten Verarbeitung, mit vollständiger Liste der Unterauftragsverarbeiter.
• Kein Training auf Kundendaten, verbindlich vereinbart und nicht nur beworben.
• Konfigurierbare Aufbewahrung. Sie setzen die Frist, der Anbieter führt die Löschung automatisch aus.
• Wort-Zeitstempel und Sprechertrennung. Ohne sie lässt sich ein Transkript nicht gegen das Original prüfen, und genau das verlangt eine Betriebsvereinbarung meist.
• Export- und Lösch-API, damit Betroffenenrechte auch bei tausend Transkripten in Tagen erfüllt werden können.

Wo DeepScript hineinpasst

Wir haben DeepScript für genau dieses Szenario gebaut:

• Server in Deutschland, bei Hetzner, ISO 27001 zertifiziert. Nicht "EU-Region eines US-Hyperscalers", sondern deutsches Unternehmen, deutsche Hardware.
• Keine Fremd-KI. Die Spracherkennung läuft auf unserer eigenen Infrastruktur. Keine Whisper-API von OpenAI, kein Google Speech-to-Text, kein AWS Transcribe.
• AVV inklusive, nach Art. 28 DSGVO, mit Liste der Unterauftragsverarbeiter, ausschließlich EU.
• Konfigurierbare Aufbewahrung. Voreinstellung 30 Tage, sofortige Löschung möglich.
• Sprechertrennung und Custom Vocabulary in jedem Tarif, nicht als Aufpreis. Für die Betriebsvereinbarung ist das relevant, weil Nachvollziehbarkeit dort meist zugesagt wird.
• REST-API und MCP-Zugriff. Sie bauen die Pipeline programmatisch oder öffnen die Transkripte für KI-Agenten, ohne das Audio dafür aus der EU zu geben.

Was es gegenüber den US-Assistenten kostet

Ein häufiger Einwand: "Otter ist doch so günstig." Rechnen wir es durch.

• Otter Pro: rund 17 US-Dollar pro Nutzer und Monat, Transkription im Rahmen der Fair-Use-Grenzen, Daten in den USA.
• DeepScript Standard: 0,18 € pro Audiostunde, Abrechnung nach Verbrauch.

Ein Team von 20 Personen mit je 10 Besprechungsstunden im Monat kostet bei Otter 340 US-Dollar. Bei DeepScript sind es 20 × 10 × 0,18 € = 36 € für den Transkriptionsanteil. Die eine Zahl skaliert mit der Nutzung, die andere mit der Zahl der Lizenzen, und in einem Unternehmen wachsen Lizenzen schneller als Besprechungsstunden.

Das ehrliche Fazit

DSGVO-konforme Transkription von Besprechungen ist nicht schwer. Sie ist nur anders als der Standard. Der Standard heißt "ein KI-Bot tritt der Besprechung bei". Die konforme Variante heißt "nativ aufzeichnen, über einen EU-Anbieter transkribieren, nach Plan löschen".

Das ist alles. Zwei zusätzliche Schritte, keine US-Cloud, keine Schrems-II-Frage, kein Training auf Ihren Gesprächen. Was in Deutschland dazukommt, ist die Betriebsvereinbarung, und die brauchen Sie für den US-Bot ohnehin auch.

Wenn Sie den Ablauf konkret nachbauen wollen, mit Beispielen für Zoom und für Teams, finden Sie die Verdrahtung samt API-Aufrufen auf unserer Seite zur Zoom-Transkription.