DSFA KI-Meeting-Transkription: Muster nach Art. 35 DSGVO

Muster nach Artikel 35 DSGVO für den Einsatz eines KI-Systems zur Meeting-Transkription und -Zusammenfassung

Dieses Muster zeigt den häufigsten Fall: KI-Meeting-Transkription mit Sprecherzuordnung im Beschäftigtenkontext. Platzhalter sind farbig markiert. Für eine an Ihre Angaben angepasste Fassung und die vorgeschaltete Erforderlichkeitsprüfung nutzen Sie den DSFA-Quick-Check.

Kopf

Gegenstand: Einsatz eines KI-Systems zur Meeting-Transkription und -Zusammenfassung Verantwortlicher: [Verantwortlicher / Unternehmen] Datenschutzbeauftragte / Kontakt: [DSB-Kontakt] Auftragsverarbeiter (Tool und Anbieter): [Tool und Anbieter] Datum der Bewertung: [Datum] · Version 1.0

1. Systematische Beschreibung der Verarbeitung (Art. 35 Abs. 7 lit. a)

Zweck: Automatische Transkription und Zusammenfassung von Meetings und Gesprächen zur Erstellung von Protokollen sowie, sofern aktiviert, zur Auswertung von Redeanteilen für Coaching. Betroffene Personen: Beschäftigte des Verantwortlichen sowie externe Gesprächsteilnehmer. Datenkategorien: Audio bzw. Transkripttext mit Sprecherzuordnung, Metadaten (Zeit, Teilnehmer), abgeleitete Auswertungen. Gesprächsinhalte können besondere Kategorien nach Art. 9 enthalten. Empfänger: berechtigte interne Nutzer; Auftragsverarbeiter [Tool und Anbieter]. Auftragsverarbeitung: Vertrag nach Art. 28 DSGVO; Verarbeitung in der EU; Sub-Prozessoren dokumentiert. Aufbewahrungsdauer: [Aufbewahrung], danach automatische Löschung.

2. Notwendigkeit und Verhältnismäßigkeit (Art. 35 Abs. 7 lit. b)

Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a bei externen Teilnehmern; im Beschäftigtenkontext Betriebsvereinbarung in Verbindung mit Paragraph 26 BDSG. Für die Audio-Aufzeichnung ist zusätzlich Paragraph 201 StGB zu beachten. Datenminimierung: Transkription nur der zweckrelevanten Meetings; keine dauerhafte Audio-Speicherung, sofern nicht erforderlich. Zweckbindung: ausschließlich Protokoll und, falls vereinbart, Coaching. Keine Nutzung zur Leistungskontrolle ohne gesonderte Rechtsgrundlage und Beteiligung des Betriebsrats. Transparenz: Ankündigung im Meeting und in der Einladung; Betroffenenrechte werden gewahrt.

3. Bewertung der Risiken (Art. 35 Abs. 7 lit. c)

R1 Profilbildung über Redebeiträge: Eintritt mittel, Schwere hoch. Aus Transkripten lassen sich Profile einzelner Personen bilden. R2 Zweckentfremdung zur Leistungsüberwachung: Eintritt mittel, Schwere hoch. Ein Protokoll-Tool kann schleichend zur Leistungskontrolle werden. R3 Unbefugter Zugriff auf Transkripte: Eintritt mittel, Schwere hoch. Transkripte enthalten sensible Inhalte; Risiko durch zu weite Freigabe, Sub-Prozessoren oder Verarbeitung ausserhalb der EU.

4. Abhilfemaßnahmen (Art. 35 Abs. 7 lit. d)

Zu R1: Auswertungen auf den vereinbarten Zweck begrenzen; keine verdeckten Scores; Auswertungsverbot für nicht vereinbarte Zwecke in der Betriebsvereinbarung. Zu R2: strikte Zweckbindung; Trennung von Coaching und Leistungsbewertung; Mitbestimmung des Betriebsrats nach Paragraph 87 Abs. 1 Nr. 6 BetrVG; technische Sperren gegen Reporting auf Personenebene. Zu R3: Zugriff nach Rollen (need-to-know); Verschlüsselung; Verarbeitung in der EU; Prüfung der Sub-Prozessoren (AVV-Check); kurze Aufbewahrung und automatische Löschung; Protokollierung der Zugriffe.

5. Ergebnis und weiteres Vorgehen

Restrisiko nach Maßnahmen: tragbar, sofern die Maßnahmen umgesetzt und in einer Betriebsvereinbarung abgesichert sind. Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO: nur erforderlich, wenn nach den Maßnahmen ein hohes Restrisiko verbleibt. Beteiligung: Rat der oder des Datenschutzbeauftragten nach Art. 35 Abs. 2 eingeholt; Betriebsrat beteiligt. Überprüfung: bei wesentlichen Änderungen der Verarbeitung, mindestens jährlich.

Muster, keine Rechtsberatung. Dieses Muster orientiert sich an Artikel 35 DSGVO, an der Schwellwertanalyse der Datenschutzkonferenz und an den Kriterien der fruheren Artikel-29-Gruppe (WP248). Es ersetzt keine individuelle Prüfung und nicht die Beteiligung der oder des Datenschutzbeauftragten nach Art. 35 Abs. 2 DSGVO. Besteht ein Betriebsrat, ist die Einführung nach Paragraph 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Stimmen Sie das Ergebnis mit Ihrer oder Ihrem Datenschutzbeauftragten und im Zweifel mit anwaltlicher Begleitung ab.