Ja, europäische Vertriebsteams dürfen einen KI-Meeting-Assistenten rechtmäßig einsetzen, aber nur dann, wenn das Tool sowohl für die Speicherung als auch für die Verarbeitung eine EU-Datenhaltung bietet und dokumentierte Einwilligungs-Workflows, die Artikel 6 DSGVO erfüllen. Die meisten als „DSGVO-freundlich" beworbenen Tools scheitern an mindestens einer dieser Anforderungen. Nachfolgend finden Sie einen direkten Vergleich der führenden KI-Meeting-Assistenten für B2B-Vertriebsteams in Europa, bewertet anhand der fünf Kriterien, die tatsächlich über die Konformität entscheiden: Datenhaltung, Transkription auf dem Gerät, AVV-Bedingungen nach Artikel 28, Transfer Impact Assessments und Verpflichtungen der Subauftragsverarbeiter, keine Modelle mit Ihren Daten zu trainieren. Fireflies.ai, Otter.ai und Gong, die drei am weitesten verbreiteten Optionen, scheitern jeweils an mindestens einem Punkt, und zwar auf eine Weise, die für EU-Unternehmen ein reales rechtliches Risiko schafft.
Der 5-Punkte-Rahmen zur DSGVO-Konformität von KI-Meeting-Tools
Die DSGVO enthält keinen einzelnen Artikel, der KI-Meeting-Tools speziell regelt, doch fünf eigenständige Anforderungen treffen auf jedes Tool zu, das Gespräche zwischen natürlichen Personen in der EU aufzeichnet und verarbeitet. Alle fünf zu erfüllen ist die Grundlage echter Konformität, keine Marketingaussage. Den vollständigen rechtlichen Rahmen für Aufzeichnungen in Europa (Einwilligung, Rechtsgrundlage, länderspezifische Regeln und Aufbewahrung) finden Sie im vollständigen Leitfaden zur DSGVO-konformen Gesprächs- und Meeting-Aufzeichnung in Europa 2026.
1. EU-Datenhaltung für Speicherung und Verarbeitung. Nach Artikel 44 und dem Schrems-II-Urteil ist die Übermittlung personenbezogener Daten in ein Drittland ohne angemessene Garantien unrechtmäßig. Speicherung in der EU ist notwendig, aber nicht ausreichend: Wird Audio zur Transkription oder Analyse an ein US-basiertes KI-Modell gesendet, stellt dieser Verarbeitungsschritt einen Datentransfer dar. Die Transfergarantie (Standardvertragsklauseln plus ein Transfer Impact Assessment) muss die Verarbeitung abdecken, nicht nur den Speicherort.
2. Transkription auf dem Gerät (Audio verlässt das Gerät nie). Der sauberste Weg, das Transferproblem vollständig zu beseitigen, besteht darin, die Umwandlung von Sprache in Text lokal auf dem Gerät der Nutzerin oder des Nutzers durchzuführen, sodass Rohaudio überhaupt kein Netzwerk durchläuft. Nur der resultierende Text, der ein deutlich geringeres biometrisches Risiko trägt als Audio, wird anschließend zur weiteren Verarbeitung übermittelt. Diese architektonische Entscheidung ist von der DSGVO nicht vorgeschrieben, doch sie ist der einzige Ansatz, der das Risiko der Audioübermittlung beseitigt, ohne sich auf SCCs und TIAs zu stützen, die rechtlich angefochten werden können.
3. Auftragsverarbeitungsvertrag nach Artikel 28 mit EU-Standardvertragsklauseln. Jeder externe Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein Auftragsverarbeiter nach Artikel 28. Ein AVV ist rechtlich verpflichtend, nicht optional und nichts, das man erst nach dem Pilotprojekt verhandelt. Der AVV muss Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen festlegen. Entscheidend ist zudem, dass er dem Anbieter ausdrücklich untersagt, Ihre Daten zum Training von KI-Modellen zu verwenden. Fehlt dieses Verbot im AVV, fallen die Trainingsaktivitäten des Anbieters rechtlich in Ihre Verantwortung.
4. Dokumentation des Transfer Impact Assessment. Selbst mit vorhandenen SCCs verlangt Artikel 46, dass Sie prüfen, ob der Rechtsrahmen des Ziellandes die Schutzwirkung untergräbt, die die SCCs bieten sollen. Für US-Verarbeiter bedeutet das ein dokumentiertes TIA, das das US-Überwachungsrecht (FISA 702, EO 12333) im Hinblick auf die konkret übermittelten Daten bewertet. Die meisten Unternehmen, die US-basierte KI-Tools einsetzen, haben SCCs unterzeichnet, aber nie ein TIA abgeschlossen, was bedeutet, dass ihre Transfergarantie rechtlich unvollständig ist.
5. Verbindliche Trainingsverbote mit allen KI-Subauftragsverarbeitern. Ihr AVV mit dem Hauptanbieter reicht nicht aus, wenn dieser Anbieter Ihre Daten über Subauftragsverarbeiter leitet, etwa Transkriptions-APIs, KI-Inferenz-Engines oder Cloud-Speicherschichten, die eigene Richtlinien zum Modelltraining haben. Artikel 28 Absatz 4 verlangt, dass Subauftragsverarbeiter mindestens dieselben Datenschutzgarantien bieten wie der Hauptverarbeiter. Das bedeutet, dass Ihr Trainingsverbot durch die gesamte Kette weitergegeben werden muss und Sie über jeden Wechsel eines Subauftragsverarbeiters vorab informiert werden müssen.
Ein DSGVO-konformes KI-Meeting-Tool ist eines, das (1) Daten ausschließlich auf EU-Infrastruktur verarbeitet und speichert oder eine vollständige, dokumentierte Transfergarantie für Speicherung und Verarbeitung bereitstellt; (2) einen unterzeichneten AVV nach Artikel 28 hält, der KI-Training mit Meeting-Daten ausdrücklich untersagt; (3) ein abgeschlossenes Transfer Impact Assessment für jede grenzüberschreitende Verarbeitung vorlegt; (4) eine Transkription auf dem Gerät oder EU-gehostet unterstützt, sodass Rohaudio niemals an Drittland-Infrastruktur übermittelt wird; und (5) mit jedem KI-Subauftragsverarbeiter in seinem Stack ein verbindliches Trainingsverbot unterhält. Tools, die einige, aber nicht alle dieser Kriterien erfüllen, sind nicht DSGVO-konform, sondern teilweise konform, was eine andere rechtliche Position darstellt.
Fireflies.ai: in der EU gespeichert, in den USA verarbeitet, die Lücke, die die meisten Käufer übersehen
Fireflies.ai ist die am häufigsten genannte „DSGVO-freundliche" Option unter EU-Vertriebsteams, vor allem weil es einen Tarif mit EU Private Storage anbietet. Die Darstellung lautet fast immer: „Wir halten Ihre Daten in Europa." Was das in der Praxis bedeutet, ist begrenzter, als das Marketing suggeriert, und die Lücke ist für Compliance-Zwecke entscheidend.
In der Konfiguration EU Private Storage werden Meeting-Aufzeichnungen und Transkripte auf Servern innerhalb der EU gespeichert. Das erfüllt die Anforderung an die Datenhaltung für die Speicherung. Wird ein Meeting jedoch aufgezeichnet, muss das Audio transkribiert und analysiert werden, bevor es als durchsuchbares Transkript mit KI-Zusammenfassungen gespeichert werden kann. Dieser Schritt der Transkription und KI-Analyse (die Verarbeitung) erfolgt auf der US-basierten Infrastruktur von Fireflies. Das Rohaudio, oder zumindest der zur Transkription verarbeitete Audiostream, überquert den Atlantik.
Genau hier entsteht die Compliance-Lücke, die die meisten Käufer übersehen. EU-Datenhaltung für die Speicherung ist sichtbar und leicht zu kommunizieren. EU-Datenhaltung für die Verarbeitung ist eine architektonische Einschränkung, die entweder einen separaten EU-basierten Transkriptions-Stack oder eine Verarbeitung auf dem Gerät erfordert. Fireflies hat bis Mitte 2026 keine EU-basierte KI-Inferenz für seine Transkriptionspipeline öffentlich dokumentiert. Der AVV des Unternehmens deckt den Speicherort ab, äußert sich aber nicht dazu, wo das Transkriptionsmodell läuft.
Für eine Datenschutzbeauftragte, die eine Anbieterbewertung durchführt, bedeutet das: Der EU-Private-Storage-Tarif von Fireflies erfüllt Artikel 44 für gespeicherte Daten, aber nicht für verarbeitete Daten. Sie bräuchten weiterhin SCCs und ein abgeschlossenes TIA, das den Verarbeitungsschritt abdeckt. Ob Fireflies ein nutzbares TIA bereitstellt, ist eine Frage, die es sich lohnt, vor Vertragsabschluss direkt zu stellen. Die meisten EU-Unternehmenskäufer haben sie nicht gestellt.
Die praktische Konsequenz: Fireflies ist eine gangbare Option für EU-Unternehmen, die bereit sind, SCCs und ein TIA für den Verarbeitungstransfer abzuschließen, und deren Rechtsgrundlage für die Aufzeichnung dokumentiert ist. Es ist kein Tool, das Sie einsetzen und ohne diese zusätzliche Dokumentation als konform erklären können. Das Label EU Private Storage adressiert eine der fünf Compliance-Anforderungen, nicht alle fünf.
| Anforderung | Fireflies.ai | Otter.ai | Gong |
|---|---|---|---|
| EU-Speicherung | Teilweise EU-Private-Storage-Tarif | Nicht erfüllt nur USA | Nicht erfüllt nur USA |
| EU-Verarbeitung | Nicht erfüllt US-Transkriptionspipeline | Nicht erfüllt nur USA | Nicht erfüllt nur USA |
| Art. 28 AVV + Trainingsverbot | Teilweise AVV verfügbar, Trainingsklausel unklar | Nicht erfüllt trainiert standardmäßig mit Daten | Teilweise AVV verfügbar, Subauftragskette ungeprüft |
| Transfer Impact Assessment | Nicht erfüllt nicht öffentlich verfügbar | Nicht erfüllt nicht anwendbar (keine SCCs für EU) | Teilweise stützt sich auf DPF + SCCs |
| Transkription auf dem Gerät | Nicht erfüllt | Nicht erfüllt | Nicht erfüllt |
Otter.ai: in den USA gehostet, trainiert standardmäßig mit Ihren Meetings
Otter.ai zeigt von den dreien das klarste Compliance-Bild, denn es ist im aktuellen Rechtsrahmen eindeutig nicht konform für EU-Unternehmen, ohne architektonische Option, dies zu beheben. Otter.ai ist ein in den USA gehosteter Dienst. Alle Audiodaten, Transkripte und abgeleiteten Analysen werden auf US-Infrastruktur verarbeitet und gespeichert. Es gibt keine Option zur EU-Datenhaltung, keine EU-Regionsbereitstellung und keinen Transkriptionsmodus auf dem Gerät.
Das Trainingsproblem verschärft das Transferproblem. Die Nutzungsbedingungen von Otter.ai erlauben dem Unternehmen, de-identifizierte Audioaufzeichnungen zum Training und zur Verbesserung seiner proprietären KI-Modelle zu verwenden. De-Identifizierung ist nach DSGVO keine Anonymisierung: Kann eine natürliche Person aus den de-identifizierten Daten durch Kombination mit anderen Informationen weiterhin identifiziert werden, bleiben die Daten personenbezogen. In Meeting-Aufzeichnungen ist die Stimme ein biometrisches Identifikationsmerkmal. Sprechmuster, Wortschatz und Gesprächskontext machen eine Re-Identifizierung selbst aus „de-identifiziertem" Audio plausibel. Die Artikel-29-Datenschutzgruppe und ihr Nachfolger, der EDSA, haben durchgängig festgestellt, dass De-Identifizierung bei biometrischen Daten nicht mit Anonymisierung gleichzusetzen ist.
Das bedeutet: Ein EU-Unternehmen, das Otter.ai nutzt, übermittelt nicht nur personenbezogene Daten ohne angemessene Garantie in die USA, sondern lässt diese personenbezogenen Daten möglicherweise auch zum Training von KI-Modellen verwenden, ohne eine Rechtsgrundlage für diese Verarbeitungstätigkeit. Der AVV, den es mit Otter.ai unterzeichnen müsste, müsste das Modelltraining mit Meeting-Daten untersagen. Die Standardbedingungen von Otter.ai enthalten dieses Verbot nicht.
Für EU-Unternehmen ist Otter.ai unter den aktuellen DSGVO-Anforderungen keine konforme Option, unabhängig davon, welche SCCs oder AVVs vorliegen. Das Fehlen einer EU-Infrastruktur bedeutet, dass selbst ein perfekter rechtlicher Transferrahmen das grundlegende Problem der Verarbeitungsarchitektur nicht lösen kann. EU-Käufer, die Otter.ai auf Basis eines vom Anbieter bereitgestellten AVV eingeführt haben, sollten dies umgehend ihrer oder ihrem Datenschutzbeauftragten melden.
Gong: alle Daten in den Vereinigten Staaten, ISO-27001-Status unsicher
Gong nimmt eine andere Position im Markt ein. Es ist nicht primär ein Meeting-Notetaker, sondern eine Revenue-Intelligence-Plattform, die Meeting-Aufzeichnungen als Input für Pipeline-Analysen, Deal-Prognosen und Coaching von Mitarbeitenden nutzt. Das macht sein Compliance-Profil komplexer, doch die grundlegenden Fakten zum Datentransfer sind eindeutig: Gong speichert sämtliche Kundendaten in den Vereinigten Staaten, unabhängig vom Standort des Kunden.
Gongs DSGVO-Compliance-Haltung stützt sich auf zwei Mechanismen. Erstens hält es eine Zertifizierung nach dem Data Privacy Framework, die eine Rechtsgrundlage für EU-US-Datentransfers nach Artikel 45 (Angemessenheitsbeschluss) bietet. Das DPF ist der Nachfolgemechanismus des Privacy Shield, der in Schrems II für ungültig erklärt wurde. Das DPF selbst steht vor laufenden rechtlichen Herausforderungen; seine langfristige Beständigkeit als Transfermechanismus ist nicht garantiert. Zweitens ergänzt Gong das DPF durch Standardvertragsklauseln in seinem Enterprise-AVV. SCCs als Absicherung zum DPF sind gute Praxis, doch SCCs erfordern ein Transfer Impact Assessment, um rechtlich wirksam zu sein, und Gong stellt seinen Kunden keine öffentlich verfügbare TIA-Vorlage bereit.
Die ISO-27001-Frage fügt der Compliance-Frage eine Beschaffungsrisiko-Ebene hinzu. Gongs ISO-27001-Zertifizierung, eine gängige Anforderung in Sicherheits-Fragebögen für Unternehmen, lief Berichten zufolge im Oktober 2025 aus. ISO-27001-Zertifizierungen erfordern jährliche Überwachungsaudits und alle drei Jahre eine vollständige Rezertifizierung. Falls die Rezertifizierung ausgeblieben ist, sollte Gongs Zertifizierungsangabe in einem Beschaffungsprozess 2026 anhand aktueller Gong-Unterlagen überprüft und nicht angenommen werden.
Für EU-Unternehmen ist Gong nur mit einem vollständig abgeschlossenen AVV, einem von Ihrem eigenen Rechtsteam durchgeführten TIA (nicht allein auf Gongs Unterlagen gestützt) und einem bestätigten aktuellen ISO-27001-Zertifikat eine vertretbare Option. Die Daten verlassen die USA nie, und das ist die architektonische Einschränkung, die Ihre oder Ihr Datenschutzbeauftragter ausdrücklich abzeichnen muss, nicht implizit über ein Anbieter-Häkchen.
Wie ein wirklich konformes EU-Meeting-Tool aussieht
Der 5-Punkte-Rahmen ist ein nützlicher Filter, gerade weil er erreichbar ist, doch ihn zu erfüllen erfordert architektonische Entscheidungen, die die meisten in den USA ansässigen Tools nicht getroffen haben, weil ihr Hauptmarkt sie nicht verlangt. Ein wirklich konformes EU-Meeting-Tool sieht von innen heraus anders aus, nicht nur auf der Seite der Compliance-Dokumentation.
Auf Infrastrukturebene müssen sowohl die Speicherung als auch die KI-Verarbeitung innerhalb europäischer Infrastruktur erfolgen. Das ist nicht bloß die Wahl einer AWS-Region eu-west für eine Datenbank; es bedeutet, dass das Transkriptionsmodell, die KI-Analysepipeline und die abgeleiteten Analysen allesamt auf EU-gehosteter Rechenleistung laufen müssen. Für Tools, die große Sprachmodelle zur Zusammenfassung und Erkenntnisgewinnung nutzen, erfordert das entweder eine europäische Modellbereitstellung oder ein Modell, das vollständig auf dem Gerät laufen kann.
Die Transkription auf dem Gerät, also die Umwandlung von Sprache in Text lokal auf dem Gerät der Nutzerin oder des Nutzers, bevor Daten es verlassen, ist die datenschutzfreundlichste Architektur für den ersten Aufzeichnungsschritt. Sie bedeutet, dass Rohaudio, das die höchste biometrische Sensibilität trägt, niemals ein Netzwerk durchläuft. Nur das Texttranskript, das weiterhin personenbezogen ist, aber die Stimmbiometrie nicht enthält, wird zur weiteren Verarbeitung übermittelt. Auf dieser Architektur aufgebaute Tools können stichhaltige, dokumentierte Belege liefern, dass sie die Datenminimierung nach Artikel 5 Absatz 1 Buchstabe c erfüllen: Sie erheben das Minimum an Daten, das für den Zweck erforderlich ist.
Hedy AI führte in Version 2.15 zur Anmeldung eine EU/US-Speicherwahl ein, und für Nutzer in der EU-Region erfolgen sowohl Speicherung als auch KI-Verarbeitung über europäische Infrastruktur. Das ist eine bedeutende architektonische Verbesserung gegenüber den Modellen mit nur teilweiser EU-Speicherung. Es ist jedoch anzumerken, dass Hedy weiterhin US-basierte Infrastruktur für die Kontoauthentifizierung, die Abrechnung von Abonnements und das Fehlermonitoring vorhält. Diese Funktionen verarbeiten Metadaten wie Zugangsdaten, Zahlungsinformationen oder Ereignisprotokolle, die personenbezogene Daten enthalten können. Eine vollständige Compliance-Prüfung sollte diese ergänzenden US-gehosteten Funktionen neben der zentralen Aufzeichnungs- und Transkriptionspipeline bewerten.
Der AVV ist nicht nur ein zu unterzeichnendes Dokument, sondern eine Reihe operativer Zusagen. Ein AVV für ein KI-Meeting-Tool sollte die zulässigen Verarbeitungszwecke ausdrücklich benennen (Transkription, Analyse, Coaching, aber kein Modelltraining), alle Subauftragsverarbeiter mit ihren Standorten und Verarbeitungsrollen auflisten, mindestens 30 Tage Vorlauf bei Wechseln von Subauftragsverarbeitern mit Widerspruchsrecht vorsehen und Löschfristen enthalten, die zu Ihrer Aufbewahrungsrichtlinie passen. Sehen Sie, wie Numis Ansatz für EU-native Gesprächsanalyse diese Anforderungen von Grund auf erfüllt, nicht erst durch Dokumentation.
Die Subauftragskette ist der Punkt, an dem die meisten Anbieter-AVVs in der Praxis auseinanderfallen. Der Hauptanbieter mag über robuste EU-Infrastruktur verfügen, doch wenn er die Transkription über eine US-basierte Speech-to-Text-API leitet, ist die Kette unterbrochen. Verlangen Sie eine vollständige Liste der Subauftragsverarbeiter mit Verarbeitungsstandorten und prüfen Sie, dass jeder Subauftragsverarbeiter einen eigenen AVV mit dem Hauptanbieter hat, der das Trainingsverbot enthält.
Das Einwilligungsproblem, das die meisten Vertriebsteams ignorieren
Die Anforderungen an Infrastruktur und Dokumentation werden in DSGVO-Compliance-Leitfäden für KI-Meeting-Tools am häufigsten diskutiert. Die Einwilligungsanforderung ist die in der Praxis am häufigsten verletzte und diejenige, die am ehesten ein Durchsetzungsrisiko schafft.
Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt Datenminimierung: Personenbezogene Daten müssen „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sein. Alle Meetings standardmäßig aufzuzeichnen verletzt diesen Grundsatz unmittelbar. Die Standardeinstellung eines KI-Meeting-Tools muss Aufzeichnung-AUS sein. Die Aufzeichnung sollte eine aktive Entscheidung durch jemanden mit entsprechender Befugnis erfordern, kein Opt-out, das die meisten Teilnehmenden nie finden.
Einwilligung nach Artikel 7 setzt voraus, dass sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wird. Im Kontext eines aufgezeichneten Meetings bedeutet das, dass jede teilnehmende Person vor Beginn der Aufzeichnung eine vorherige ausdrückliche Einwilligung geben muss, und zwar kein „Dieses Meeting wird aufgezeichnet"-Banner, das erscheint, nachdem sie bereits beigetreten sind, und keine in einem Anbietervertrag vergrabene Klausel, die die teilnehmende Person nie gesehen hat. Das Banner, das die meisten KI-Meeting-Tools Kalendereinladungen hinzufügen oder zu Beginn eines Meetings anzeigen, erfüllt die Einwilligungsanforderungen der DSGVO nicht. Es ist eine Benachrichtigung, keine Einwilligung.
Die Unterscheidung ist praktisch bedeutsam. Beginnt eine Vertriebsmitarbeiterin ein aufgezeichnetes Gespräch mit einem Interessenten, der eine betroffene Person in der EU ist, und war der einzige Hinweis an den Interessenten eine „Aufzeichnung läuft"-Meldung in der Videooberfläche, dann hat diese Aufzeichnung keine gültige Rechtsgrundlage. Berechtigtes Interesse, die häufigste Alternative zur Einwilligung bei B2B-Aufzeichnungen, erfordert eine dokumentierte Abwägung des berechtigten Interesses, die zeigt, dass die Aufzeichnung für den angegebenen Zweck erforderlich ist und die Interessen der betroffenen Person das berechtigte Interesse nicht überwiegen. Wurde diese Abwägung nicht abgeschlossen, greift auch das berechtigte Interesse nicht.
Der EU AI Act fügt eine weitere Ebene hinzu, die speziell für KI-Meeting-Tools gilt. Artikel 26 Absatz 11 verlangt, dass Betreiber von KI-Systemen mit hohem Risiko natürliche Personen darüber informieren, dass sie einer automatisierten Verarbeitung unterliegen. KI-Meeting-Tools, die aus Meeting-Aufzeichnungen Verhaltensbewertungen, Coaching-Analysen oder Leistungskennzahlen erzeugen, erreichen die Schwelle für Hochrisiko-KI nach der Einstufung von Anhang III des AI Act zu Systemen der biometrischen Kategorisierung. Teilnehmende darüber zu informieren, dass ihre Daten von einem Hochrisiko-KI-System verarbeitet werden, ist nicht dasselbe wie ein Aufzeichnungshinweis, denn es erfordert die Erläuterung, dass KI zur Analyse ihres Verhaltens eingesetzt wird.
Eine Datenschutz-Folgenabschätzung nach Artikel 35 ist vor dem groß angelegten Einsatz eines KI-Meeting-Tools verpflichtend. Die Datenschutzkonferenz (DSK) hat diese Position ausdrücklich bestätigt. Eine DSFA muss die Verarbeitungsrisiken benennen, ihre Schwere bewerten und die zur Minderung getroffenen Maßnahmen dokumentieren. Es ist keine einmalige Übung: Sie muss überprüft werden, sobald sich die Verarbeitung wesentlich ändert, etwa wenn das Tool eine neue KI-Analysefunktion hinzufügt oder seinen Stack an Subauftragsverarbeitern ändert. Unternehmen, die KI-Meeting-Tools vor Inkrafttreten des EU AI Act eingeführt und keine DSFA durchgeführt haben, verstoßen gegen Artikel 35, unabhängig davon, ob ihr Tool ansonsten konform ist.
Die praktische Checkliste für Sales-Operations-Teams, die ein KI-Meeting-Tool in der EU einführen:
- Schließen Sie vor dem Go-Live eine DSFA nach Artikel 35 ab. Beziehen Sie Ihre oder Ihren Datenschutzbeauftragten ein.
- Setzen Sie den Standardstatus der Aufzeichnung auf AUS. Verlangen Sie eine aktive Aktivierung pro Meeting.
- Dokumentieren Sie Ihre Rechtsgrundlage. Berechtigtes Interesse erfordert eine schriftliche Abwägung; Einwilligung erfordert einen ausdrücklichen Opt-in-Mechanismus, der die Anforderungen von Artikel 7 erfüllt.
- Unterzeichnen Sie einen AVV nach Artikel 28, der KI-Training mit Ihren Meeting-Daten ausdrücklich untersagt.
- Bestätigen Sie, wo die Verarbeitung erfolgt, nicht nur, wo die Daten gespeichert werden. Beschaffen Sie ein abgeschlossenes TIA für jede US-basierte Verarbeitung.
- Verlangen Sie vor Beginn der Aufzeichnung eine vorherige ausdrückliche Einwilligung aller Teilnehmenden. Ein Banner ist keine Einwilligung.
- Legen Sie einen definierten Aufbewahrungszeitplan fest und testen Sie die automatisierte Löschung.
- Prüfen Sie die Liste der Subauftragsverarbeiter. Bestätigen Sie, dass Trainingsverbote an alle Subauftragsverarbeiter weitergegeben werden.
- Legen Sie die KI-Verarbeitung gegenüber den Teilnehmenden nach Artikel 26 Absatz 11 EU AI Act offen, wenn das Tool Verhaltensanalysen auf Einzelpersonenebene erzeugt.
Die Lücke zwischen „Wir haben einen AVV unterzeichnet" und „Wir sind DSGVO-konform" ist der Ort, an dem sich die meisten EU-Unternehmen derzeit befinden. Für RevOps- und Sales-Ops-Teams ist die Compliance-Arbeit kein optionaler Zusatzaufwand, sondern die Bedingung, unter der das Tool rechtmäßig einsetzbar ist. Das Durchsetzungsrisiko durch Aufsichtsbehörden und durch Datenschutzbehörden, die die Rechte betroffener Personen durchsetzen, beschleunigt sich seit 2023. Dies vor einer Prüfung richtig zu machen ist deutlich günstiger, als es nach einer Prüfung richtig zu machen.