Dieser Beitrag ist eine Orientierung und keine Rechtsberatung. Einzelne Punkte sind rechtlich noch nicht abschließend geklärt, und die Regeln greifen im Einzelfall unterschiedlich. Stimmen Sie das Ergebnis mit Ihrer oder Ihrem Datenschutzbeauftragten und im Zweifel mit anwaltlicher Begleitung ab, bevor Sie Aufzeichnung oder Transkription in Ihrem Betrieb einführen. Stand: 5. September 2026.
Ein KI-Notetaker ordnet jeden Satz einem Sprecher zu, und sobald echte Namen daneben stehen, kommt im Datenschutzgespräch fast reflexartig die Frage: Verarbeiten wir damit biometrische Daten nach Art. 9 DSGVO? Die Antwort ist wichtig, denn Art. 9 gehört zu den schärfsten Regeln der Verordnung. Sie ist aber auch differenzierter, als die Kurzform "die Stimme ist biometrisch" nahelegt. Dieser Beitrag zeigt, wann die Stimme wirklich ein biometrisches Datum ist, warum die Sprecher-Diarisierung in aller Regel nicht darunter fällt, und wie sich Sprechernamen technisch vergeben lassen, ohne einen Stimmabdruck zu bilden.
Was biometrische Daten nach Art. 4 Nr. 14 DSGVO sind
Die DSGVO definiert biometrische Daten eng. Nicht jede Aufnahme eines Körpermerkmals ist gemeint, sondern nur die Verarbeitung, die auf eindeutige Identifizierung zielt.
Biometrische Daten sind "mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten".
Zwei Wörter tragen die ganze Last: eindeutige Identifizierung. Erwägungsgrund 51 stellt denselben Gedanken für Fotos klar: Ein Bild wird nicht schon dadurch zum biometrischen Datum, dass ein Gesicht darauf zu sehen ist, sondern erst, wenn es mit speziellen technischen Verfahren so verarbeitet wird, dass eine Person eindeutig identifiziert werden kann. Für die Stimme gilt dasselbe. Die Aufnahme eines gesprochenen Satzes ist zunächst eine Sprachaufnahme. Zum biometrischen Datum im Sinne der besonderen Kategorien wird sie erst, wenn ein Verfahren die Stimme in ein Erkennungsmuster überführt, um eine Person eindeutig zu bestimmen oder zu bestätigen.
Diarisierung, Verifizierung, Identifizierung: drei verschiedene Dinge
Die Verwirrung entsteht, weil drei technisch unterschiedliche Verfahren im Alltag alle "Spracherkennung" genannt werden. Datenschutzrechtlich liegen sie weit auseinander.
| Verfahren | Was es tut | Biometrisch nach Art. 9? |
|---|---|---|
| Diarisierung (Sprechertrennung) | Trennt die Redebeiträge innerhalb einer Aufnahme in Sprecher A, B, C, ohne zu bestimmen, wer diese Personen sind. Die Bezeichnungen gelten nur für diese eine Aufnahme. | In der Regel nein: keine eindeutige Identifizierung, kein dauerhaftes Erkennungsmuster. |
| Verifizierung (1:1) | Prüft, ob eine Stimme zu einer behaupteten Identität passt, etwa beim Voice-Login ("Bin ich es wirklich?"). | Ja: verarbeitet einen Stimmabdruck, um eine Identität zu bestätigen. |
| Identifizierung (1:N) | Gleicht eine Stimme gegen eine Datenbank hinterlegter Stimmabdrücke ab, um zu bestimmen, wer spricht ("Wer von allen ist das?"). | Ja: der Kernfall des Art. 9. |
Der Unterschied ist nicht juristische Haarspalterei, sondern folgt direkt aus dem Wortlaut. Verifizierung und Identifizierung bilden und speichern einen Stimmabdruck, ein mathematisches Muster der Stimme, und nutzen ihn, um eine Person eindeutig zu bestimmen oder zu bestätigen. Genau das verlangt Art. 4 Nr. 14. Die Diarisierung tut das nicht: Sie ordnet Redebeiträge auseinander, damit im Transkript steht, wer wann etwas gesagt hat, aber sie legt kein wiedererkennbares Stimmmuster an und erkennt dieselbe Stimme in einer anderen Aufnahme nicht wieder.
Wann die Stimme unter Art. 9 fällt
Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung biometrischer Daten "zur eindeutigen Identifizierung einer natürlichen Person" grundsätzlich, sofern keiner der Ausnahmetatbestände des Abs. 2 greift, im Beschäftigten- und Meeting-Kontext praktisch die ausdrückliche Einwilligung nach Abs. 2 lit. a. Der Europäische Datenschutzausschuss hat das in seinen Leitlinien 02/2021 zu virtuellen Sprachassistenten bestätigt: Nur die Verarbeitung im Identifizierungsszenario, also der Abgleich einer Stimme zur Bestimmung einer Person, fällt unter Art. 9. Das reine Erkennen gesprochener Worte tut es nicht.
Für einen KI-Notetaker heißt das: Wer Stimmabdrücke der Teilnehmer anlegt, sie speichert und neue Aufnahmen dagegen abgleicht, um Sprecher automatisch wiederzuerkennen, verarbeitet biometrische Daten nach Art. 9 und braucht dafür eine tragfähige Rechtsgrundlage aus Abs. 2. Wer dagegen nur trennt und die Namen aus dem Kontext des Termins bezieht, löst diesen Tatbestand nicht aus. Der Zweck entscheidet, nicht die Tatsache, dass eine Stimme im Spiel ist.
Ehrlich bleibt anzumerken: Ob das bei der Diarisierung verwendete kurzlebige Stimm-Embedding für sich genommen schon ein biometrisches Datum ist, wird juristisch nicht einheitlich beantwortet. Der belastbare Punkt ist aber der Zweck. Solange kein dauerhaftes Erkennungsmuster gespeichert und keine Person darüber eindeutig identifiziert wird, fehlt der Auslöser des Art. 9. Das ist der konservative und zugleich der von Wortlaut und Erwägungsgrund 51 getragene Standpunkt.
Wie Numi Sprecher benennt, ohne einen Stimmabdruck zu bilden
Wir beschreiben unser eigenes Vorgehen offen, weil es genau der Punkt ist, an dem viele Anbieter unklar bleiben. Numi geht in zwei getrennten Schritten vor:
- Trennen, nicht identifizieren. Die Diarisierung teilt eine einzelne Aufnahme akustisch in Sprecher 1 bis N auf. Das Ergebnis gilt nur für diese Aufnahme; es entsteht kein Stimmabdruck, der gespeichert oder in einem anderen Meeting wiederverwendet würde.
- Benennen aus dem Kontext, nicht aus der Stimme. Die echten Namen kommen aus Metadaten des Termins: aus der Teilnehmerliste des Kalendereintrags, aus dem vom Meeting-Tool selbst angezeigten aktiven Sprecher, oder durch manuelle Zuordnung durch die Nutzerin. Es findet kein Abgleich der Stimme gegen eine Namensdatenbank statt.
Aus dieser Architektur folgt der belastbare Satz: Die Namensvergabe stützt sich auf Kontextdaten, nicht auf Stimmbiometrie. Es wird kein Stimmabdruck als Vergleichsmuster hinterlegt, keine Stimme gegen einen Bestand abgeglichen und keine Stimme über verschiedene Meetings hinweg wiedererkannt. Damit verarbeitet die Namensfunktion selbst keine biometrischen Daten zum Zweck der eindeutigen Identifizierung im Sinne des Art. 9. Was ein Anbieter kann, sagt aber nichts darüber, was er tut. Deshalb gehört diese Frage in jede Anbieterprüfung, mit der Bitte um eine schriftliche Zusage.
Zwei Fragen, die man nicht vermischen darf
Die Stimmbiometrie-Frage wird oft mit einer anderen verwechselt, und beide brauchen eine eigene Antwort.
Die erste Frage lautet: Arbeitet die Sprecherkennung biometrisch? Das ist die Frage nach Art. 9 über den Verarbeitungszweck, wie oben beschrieben. Die zweite Frage lautet: Enthält das Transkript besondere Datenkategorien? Diese ist unabhängig davon zu beantworten. In Gesprächen fallen unvermeidbar Gesundheit, Gewerkschaftszugehörigkeit oder Religion, und diese Inhalte sind besondere Kategorien nach Art. 9, ganz gleich, ob die Sprecherkennung biometrisch arbeitet oder nicht. Ein Notetaker ohne jede Stimmbiometrie kann also trotzdem in großem Umfang Art.-9-Inhalte verarbeiten. Genau deshalb ist für KI-Meeting-Transkription in der Regel eine Datenschutz-Folgenabschätzung erforderlich; die Frage der Stimmbiometrie ist darin nur ein Prüfpunkt unter mehreren.
Und der AI Act?
Neben der DSGVO regelt seit 2026 der AI Act biometrische Anwendungen. Zwei Begriffe grenzen das Feld ab. Die biometrische Identifizierung aus der Ferne und die biometrische Kategorisierung, mit der aus biometrischen Merkmalen auf sensible Eigenschaften geschlossen wird, sind eng reguliert und zum Teil verboten. Eine kontextbasierte Sprecherbenennung ist beides nicht: Sie schließt aus der Stimme weder auf Herkunft noch auf Gesinnung und identifiziert niemanden aus der Ferne. Getrennt davon steht das seit Februar 2025 geltende Verbot der Emotionserkennung am Arbeitsplatz nach Art. 5 Abs. 1 lit. f AI Act, das jede Ableitung von Gefühlszuständen aus der Stimme betrifft, nicht die bloße Zuordnung von Sätzen zu Sprechern. Diese Linie zeichnen wir im Beitrag zur Sentiment-Analyse und dem Verbot der Emotionserkennung nach.
Kurz-Checkliste für die Anbieterprüfung
- Fragen Sie schriftlich: Legt der Anbieter Stimmabdrücke der Teilnehmer an und speichert er sie?
- Wird eine Stimme gegen einen Bestand abgeglichen, um Sprecher automatisch zu identifizieren (1:N)?
- Wird dieselbe Stimme über verschiedene Meetings hinweg wiedererkannt, oder gilt die Sprechertrennung nur je Aufnahme?
- Kommen die Namen aus dem Kontext (Kalender, aktiver Sprecher, manuelle Zuordnung) oder aus einem Stimm-Abgleich?
- Falls biometrisch gearbeitet wird: Auf welche Ausnahme nach Art. 9 Abs. 2 wird gestützt, und liegt eine ausdrückliche Einwilligung vor?
- Behandeln Sie die Art.-9-Inhalte des Transkripts als eigene Frage, unabhängig von der Stimmbiometrie, und decken Sie sie in der DSFA ab.
Nochmals: Dies ist eine Orientierung, keine Rechtsberatung. Art. 4 Nr. 14 und Art. 9 DSGVO, das BDSG und die Vorschriften des AI Act greifen im Einzelfall unterschiedlich, und einige Fragen sind noch offen. Holen Sie sich qualifizierten Rat, bevor Sie einführen.