Dieser Beitrag ist eine Orientierung und keine Rechtsberatung. Einzelne Punkte sind rechtlich noch nicht abschließend geklärt, und die Regeln greifen im Einzelfall unterschiedlich. Stimmen Sie das Ergebnis mit Ihrer oder Ihrem Datenschutzbeauftragten und im Zweifel mit anwaltlicher Begleitung ab, bevor Sie Aufzeichnung oder Transkription in Ihrem Betrieb einführen. Stand: 5. September 2026.
Ein KI-Notetaker zeichnet Meetings auf, transkribiert sie und ordnet Aussagen einzelnen Sprechern zu. Bevor der erste Mitschnitt läuft, steht fast immer eine Frage im Raum: Braucht das eine Datenschutz-Folgenabschätzung, kurz DSFA? Dieser Beitrag zeigt, wie die Schwellwertanalyse nach Art. 35 DSGVO funktioniert, welche acht Kriterien die Aufsichtsbehörden bei Meeting-Transkription anlegen, was in eine fertige DSFA gehört und wann darüber hinaus die Aufsichtsbehörde nach Art. 36 zu beteiligen ist. Am Ende verweisen wir auf einen kostenlosen Erforderlichkeits-Check, der aus acht Fragen eine begründete Einschätzung und eine vorbefüllte Vorlage erzeugt.
Wann eine DSFA Pflicht wird: die Schwellwertanalyse
Nach Art. 35 Abs. 1 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Verarbeitung, insbesondere bei Einsatz neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ob das der Fall ist, prüft man in einer Schwellwertanalyse. Die deutsche Datenschutzkonferenz und die frühere Artikel-29-Gruppe (Leitlinien WP248) nennen dafür neun Kriterien. Acht davon sind für Meeting-Transkription relevant.
Die Faustregel der Aufsichtsbehörden ist einfach: Werden zwei oder mehr dieser Kriterien erfüllt, ist eine DSFA regelmäßig erforderlich. Bei einer KI-Meeting-Transkription mit Sprecherzuordnung sind fast immer mehrere Kriterien gleichzeitig erfüllt. Deshalb lautet die Antwort für die meisten Käufer: ja, eine DSFA ist nötig. Eine systematische und umfassende Bewertung von Beschäftigten nach Art. 35 Abs. 3 lit. a kann die Pflicht sogar für sich genommen auslösen.
Die acht Kriterien bei Meeting-Transkription
So schlagen die neun WP248-Kriterien auf einen KI-Notetaker durch. Prüfen Sie jede Zeile ehrlich für Ihren konkreten Einsatzfall.
| Kriterium | Bedeutung bei KI-Meeting-Transkription |
|---|---|
| Systematische Bewertung | Redeanteile, Sentiment, Coaching- oder Gesprächs-Scores bewerten Personen. Nach Art. 35 Abs. 3 lit. a kann eine systematische und umfassende Bewertung für sich genommen eine DSFA auslösen. |
| Automatisierte Entscheidung | Fließen Scores automatisiert in Leistungsbewertung oder Ranking ein, verstärkt das das Risiko erheblich. |
| Systematische Überwachung | Ein Assistent, der jedem Meeting beitritt, überwacht Beschäftigte fortlaufend. |
| Besondere Datenkategorien | Gespräche enthalten unvermeidbar Art.-9-Daten wie Gesundheit, Gewerkschaft oder Religion. Stimmbiometrie kann als biometrisches Datum hinzukommen. |
| Großer Umfang | Viele Meetings, viele Personen, dauerhaft: das ist Verarbeitung in großem Umfang. |
| Zusammenführen von Daten | Verknüpfung mit CRM, HR oder Kalender erweitert den Personenbezug. |
| Schutzbedürftige Personen | Beschäftigte stehen im Abhängigkeitsverhältnis und gelten als schutzbedürftig. |
| Innovative Technologie | KI-Transkription, Sprecher-Diarisierung und LLM-Auswertung sind neue Technologien im Sinne des Art. 35. |
Ein 40-köpfiges Vertriebsteam, das Kundengespräche und interne Meetings transkribieren, zusammenfassen und Redeanteile fürs Coaching auswerten lässt, erfüllt sechs dieser Kriterien auf einmal: systematische Bewertung, systematische Überwachung, besondere Kategorien, großer Umfang, schutzbedürftige Personen und innovative Technologie. Sechs von acht liegen weit über der Schwelle von zwei. Der Check meldet: DSFA erforderlich.
Warum Meeting-Transkription als hohes Risiko gilt
Ein Transkript mit Sprecherzuordnung ordnet jeden Satz einer bestimmten Person zu. Damit wird aus einem flüchtigen Gespräch ein dauerhaft auswertbarer Datensatz über Verhalten, Wortwahl und Beiträge einzelner Menschen, oft im Beschäftigtenkontext und über viele Termine hinweg. Genau diese Merkmale nennen die Aufsichtsbehörden als Indikatoren für ein hohes Risiko.
Zwei öffentlich dokumentierte Vorgänge unterstreichen das. Eine von der niederländischen Regierung (SLM Rijk) beauftragte Datenschutz-Folgenabschätzung zu Microsoft 365 Copilot, das unter anderem Teams-Gespräche zusammenfasst, stufte mehrere Risiken als hoch ein und riet vom Einsatz ab, bis diese behoben sind. Wenn eine so ausgestattete staatliche Stelle die Transkriptions- und Zusammenfassungsfunktion als hochriskant bewertet, gilt das für den durchschnittlichen Käufer erst recht. Berichten zufolge wurde 2025 zudem ein deutsches Unternehmen mit einem Bußgeld belegt, das Copilot mit Transkription ohne DSFA und ohne Beteiligung des Betriebsrats eingeführt hatte. Der Verstoß lag nicht in der Technik, sondern im fehlenden Prozess.
Was in eine DSFA gehört: die vier Pflichtbestandteile
Art. 35 Abs. 7 DSGVO gibt den Aufbau einer DSFA vor. Vier Bestandteile sind Pflicht:
- Systematische Beschreibung der Verarbeitung (lit. a). Zweck, betroffene Personen, Datenkategorien, Empfänger, Auftragsverarbeitung nach Art. 28, Speicherdauer und Löschung.
- Notwendigkeit und Verhältnismäßigkeit (lit. b). Rechtsgrundlage, Datenminimierung, Zweckbindung und Transparenz. Für die Audio-Aufzeichnung ist zusätzlich § 201 StGB zu beachten, im Beschäftigtenkontext die Betriebsvereinbarung.
- Bewertung der Risiken (lit. c). Für jedes Risiko Eintrittswahrscheinlichkeit mal Schwere, bezogen auf die Rechte und Freiheiten der betroffenen Personen.
- Abhilfemaßnahmen (lit. d). Die geplanten Garantien und Sicherheitsvorkehrungen, mit denen das Risiko gesenkt wird.
Zusätzlich holt der Verantwortliche nach Art. 35 Abs. 2 den Rat der oder des Datenschutzbeauftragten ein, und die Ansichten der betroffenen Personen sind nach Art. 35 Abs. 9 zu berücksichtigen. Im Beschäftigtenkontext geschieht das über die Beteiligung des Betriebsrats.
Der DSFA-Quick-Check für KI-Meeting-Transkription führt in zwei Schritten durch genau diese Struktur: acht Ja-Nein-Fragen liefern eine begründete Einschätzung nach Art. 35, dann setzt das Tool eine vorbefüllte DSFA nach Art. 35 Abs. 7 zusammen, die Sie übernehmen, kopieren oder als Word-Datei herunterladen. Ohne Anmeldung, alles im Browser, nichts wird hochgeladen. Es ist ein Muster, keine Rechtsberatung.
Die drei typischen Risiken der Meeting-Transkription
Bei nahezu jeder KI-Meeting-Transkription treten dieselben drei Risiken auf. Eine belastbare DSFA benennt sie und stellt ihnen konkrete Abhilfemaßnahmen gegenüber.
R1: Profilbildung über Redebeiträge
Aus vielen Transkripten lässt sich ein Profil einzelner Personen bilden: wie viel jemand spricht, welche Begriffe verwendet werden, wie sich das Verhalten über die Zeit entwickelt. Das ist eine Bewertung im Sinne des Art. 35 und berührt die informationelle Selbstbestimmung. Abhilfe: Auswertungen auf den vereinbarten Zweck begrenzen, keine verdeckten Scores, ein Auswertungsverbot für nicht vereinbarte Zwecke in der Betriebsvereinbarung.
R2: Zweckentfremdung zur Leistungsüberwachung
Ein zunächst für Protokolle eingeführtes Tool kann schleichend zur Leistungskontrolle werden, etwa wenn Redeanteile oder Scores in Bewertungen einfließen. Diese Zweckänderung widerspricht der Zweckbindung nach Art. 5 und ist ein Kernanliegen des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Abhilfe: strikte Zweckbindung, Trennung von Coaching und Leistungsbewertung, technische Sperren gegen Reporting auf Personenebene.
R3: Unbefugter Zugriff auf Transkripte
Transkripte enthalten sensible Gesprächsinhalte. Werden sie zu weit geteilt, unzureichend zugriffsbeschränkt oder außerhalb der EU verarbeitet, steigt das Risiko eines unbefugten Zugriffs, auch durch Sub-Prozessoren oder ausländische Behörden. Abhilfe: Zugriff nach Rollen (need-to-know), Verschlüsselung, Verarbeitung in der EU, Prüfung der Sub-Prozessoren, kurze Aufbewahrung mit automatischer Löschung und Protokollierung der Zugriffe.
Restrisiko und Vorabkonsultation nach Art. 36
Die DSFA endet nicht mit der Risikoliste, sondern mit einem Ergebnis. Senken die Abhilfemaßnahmen das Risiko auf ein tragbares Maß, wird die DSFA dokumentiert und bei wesentlichen Änderungen, mindestens aber jährlich, überprüft. Bleibt dagegen trotz der Maßnahmen ein hohes Restrisiko, greift Art. 36 DSGVO: Der Verantwortliche muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren. Die Vorabkonsultation ist also kein Regelfall, sondern die Ausnahme für den Fall, dass sich das hohe Risiko nicht ausreichend beherrschen lässt. Sauber gewählte technische und organisatorische Maßnahmen entscheiden darüber, ob Sie in diese Ausnahme fallen.
Wo die DSFA an den Anbieter grenzt
Zwei der drei typischen Risiken hängen unmittelbar an der Wahl des Anbieters. Ein US-Notetaker, der Daten über den Atlantik überträgt und sich das Recht vorbehält, mit Ihren Inhalten eigene Modelle zu verbessern, macht die Abhilfemaßnahmen zu R3 schwerer haltbar. Und der Ort des Rechenzentrums allein reicht nicht: Ein Anbieter mit US-Mutter bleibt über den CLOUD Act erreichbar, unabhängig davon, wo die Server stehen. Souveränität ist eine Frage der Kontrolle, nicht nur des Standorts. Wir zeichnen das in unserem Beitrag zur Sovereignty-Washing-Checkliste nach.
Ein souveräner EU-Meetingassistent ist um diese Anforderungen herum gebaut. Numi hält Aufzeichnung, Transkription, Speicherung und Analyse in EU-Jurisdiktion, mit Auftragsverarbeitungsvertrag nach Art. 28, ohne Training auf Ihren Daten und mit einwilligungsbasierten Kontrollen. Das senkt das Restrisiko in Ihrer DSFA, es ersetzt sie aber nicht: Die Bewertung bleibt Aufgabe des Verantwortlichen, und die Beteiligung von Datenschutzbeauftragten und Betriebsrat bleibt Ihre Pflicht.
Kurz-Checkliste vor dem Rollout
- Schwellwertanalyse dokumentieren, bevor der erste Mitschnitt läuft, nicht danach.
- Bei zwei oder mehr erfüllten Kriterien eine DSFA nach Art. 35 Abs. 7 erstellen.
- Rat der oder des Datenschutzbeauftragten nach Art. 35 Abs. 2 einholen und dokumentieren.
- Die drei typischen Risiken (Profilbildung, Zweckentfremdung, unbefugter Zugriff) bewerten und mit Maßnahmen belegen.
- Bei hohem Restrisiko die Aufsichtsbehörde nach Art. 36 vorab konsultieren.
- DSFA, Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG und § 201-Einwilligung als drei getrennte Pflichten behandeln. Zur BV siehe unseren Beitrag zur Muster-Betriebsvereinbarung für KI-Notetaker.
- DSFA bei wesentlichen Änderungen, mindestens jährlich, überprüfen.
Nochmals: Dies ist eine Orientierung, keine Rechtsberatung. Art. 35 und Art. 36 DSGVO, § 201 StGB, das BDSG und § 87 BetrVG greifen im Einzelfall unterschiedlich, und einige Fragen sind noch offen. Holen Sie sich qualifizierten Rat, bevor Sie einführen.