Deutsch · English version
Kostenloses Tool · Compliant Rollout Kit 4 von 4
Zwei Schritte in einem Werkzeug. Zuerst beantworten Sie acht Fragen, und der Erforderlichkeits-Check sagt Ihnen begründet, ob eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO nötig ist. Danach setzt das Tool eine vorbefüllte DSFA für KI-Meeting-Transkription zusammen, die Sie direkt übernehmen, kopieren oder als Word-Datei herunterladen können. Alles läuft im Browser, nichts wird hochgeladen oder gespeichert.
Stand: 30. Juli 2026 · Muster, keine Rechtsberatung
Muster, keine Rechtsberatung. Der Check und die Vorlage orientieren sich an Artikel 35 DSGVO, an der Schwellwertanalyse der Datenschutzkonferenz und an den Kriterien der fruheren Artikel-29-Gruppe (WP248). Sie ersetzen keine individuelle Prüfung und nicht die Beteiligung der oder des Datenschutzbeauftragten. Stimmen Sie das Ergebnis mit Ihrer oder Ihrem Datenschutzbeauftragten und im Zweifel mit anwaltlicher Begleitung ab. Erstellt mit numigtm.com.
Nach Artikel 35 Absatz 1 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Verarbeitung, insbesondere bei Einsatz neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ob das der Fall ist, wird in einer Schwellwertanalyse geprüft. Die deutsche Datenschutzkonferenz und die frühere Artikel-29-Gruppe (Leitlinien WP248) nennen dafür neun Kriterien. Der Quick-Check oben bildet acht davon ab, die für Meeting-Transkription relevant sind.
| Kriterium | Bedeutung bei KI-Meeting-Transkription |
|---|---|
| Systematische Bewertung | Redeanteile, Sentiment, Coaching- oder Gesprächs-Scores bewerten Personen. Nach Art. 35 Abs. 3 lit. a kann eine systematische und umfassende Bewertung für sich genommen eine DSFA auslösen. |
| Automatisierte Entscheidung | Fließen Scores automatisiert in Leistungsbewertung oder Ranking ein, verstärkt das das Risiko erheblich. |
| Systematische Überwachung | Ein Assistent, der jedem Meeting beitritt, überwacht Beschäftigte fortlaufend. |
| Besondere Datenkategorien | Gespräche enthalten unvermeidbar Art.-9-Daten (Gesundheit, Gewerkschaft, Religion). Stimmbiometrie kann als biometrisches Datum hinzukommen. |
| Großer Umfang | Viele Meetings, viele Personen, dauerhaft: das ist Verarbeitung in großem Umfang. |
| Zusammenführen von Daten | Verknüpfung mit CRM, HR oder Kalender erweitert den Personenbezug. |
| Schutzbedürftige Personen | Beschäftigte stehen im Abhängigkeitsverhältnis und gelten als schutzbedürftig. |
| Innovative Technologie | KI-Transkription, Sprecher-Diarisierung und LLM-Auswertung sind neue Technologien im Sinne des Artikel 35. |
Die Faustregel der Aufsichtsbehörden. Werden zwei oder mehr dieser Kriterien erfüllt, ist eine DSFA regelmäßig erforderlich. Bei KI-Meeting-Transkription mit Sprecherzuordnung sind fast immer mehrere Kriterien gleichzeitig erfüllt. Deshalb lautet die Antwort für die meisten Käufer: ja, eine DSFA ist nötig.
Ein Transkript mit Sprecherzuordnung ordnet jeden Satz einer bestimmten Person zu. Damit wird aus einem Gespräch ein dauerhaft auswertbarer Datensatz über das Verhalten, die Wortwahl und die Beiträge einzelner Menschen, oft im Beschäftigtenkontext und über viele Termine hinweg. Genau diese Merkmale nennen die Aufsichtsbehörden als Indikatoren für ein hohes Risiko.
Zwei öffentlich dokumentierte Vorgänge unterstreichen das:
Die praktische Konsequenz: Wer eine KI-Meeting-Transkription einführt, sollte die Schwellwertanalyse dokumentieren und in aller Regel eine DSFA erstellen, bevor der erste Mitschnitt läuft.
Die vorbefüllte Vorlage bewertet drei Risiken, die bei nahezu jeder KI-Meeting-Transkription auftreten. Für jedes benennt sie konkrete Abhilfemaßnahmen.
Aus vielen Transkripten lässt sich ein Profil einzelner Personen bilden: wie viel jemand spricht, welche Begriffe verwendet werden, wie das Verhalten über die Zeit aussieht. Das ist eine Bewertung im Sinne des Artikel 35 und berührt die informationelle Selbstbestimmung.
Ein zunächst für Protokolle eingeführtes Tool kann schleichend zur Leistungskontrolle werden, etwa wenn Redeanteile oder Scores in Bewertungen einfließen. Diese Zweckänderung widerspricht der Zweckbindung nach Artikel 5 und ist ein Kernanliegen des Betriebsrats nach Paragraph 87 Absatz 1 Nummer 6 BetrVG.
Transkripte enthalten sensible Gesprächsinhalte. Werden sie zu weit geteilt, unzureichend zugriffsbeschränkt oder ausserhalb der EU verarbeitet, steigt das Risiko eines unbefugten Zugriffs, auch durch Sub-Prozessoren oder ausländische Behörden.
Ein 40-köpfiges Vertriebsteam führt einen KI-Assistenten ein, der Kundengespräche und interne Meetings transkribiert, Zusammenfassungen erstellt und Redeanteile für das Coaching auswertet. So fällt der Erforderlichkeits-Check aus:
Sechs Kriterien sind erfüllt, weit über der Schwelle von zwei. Der Check meldet DSFA erforderlich: ja. Das Team übernimmt die vorbefüllte Vorlage, ergänzt die Unternehmensangaben, holt den Rat der oder des Datenschutzbeauftragten ein und legt die DSFA dem Betriebsrat als Grundlage der Betriebsvereinbarung vor.
Das Tool setzt genau diese Vorlage aus Ihren Angaben zusammen. Der folgende Volltext zeigt sie für den häufigsten Fall (KI-Meeting-Transkription mit Sprecherzuordnung im Beschäftigtenkontext) und lässt sich direkt übernehmen. Platzhalter sind farbig markiert. Sie können die Vorlage auch als eigenständiges Dokument öffnen, drucken und als PDF speichern. Sie folgt der Struktur des Artikel 35 Absatz 7 DSGVO.
In den allermeisten Fällen ja. Nach Artikel 35 DSGVO ist eine DSFA erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten mit sich bringt. KI-Meeting-Transkription mit Sprecherzuordnung erfüllt in der Regel gleich mehrere der Kriterien, die die Datenschutzkonferenz und die Leitlinien WP248 nennen: systematische Bewertung, innovative Technologie, Beschäftigtenkontext und großer Umfang. Werden zwei oder mehr Kriterien erfüllt, ist eine DSFA regelmäßig verpflichtend. Der Quick-Check oben nennt am Ende eine begründete Einschätzung.
Der Check orientiert sich an der Schwellwertanalyse der Datenschutzkonferenz und an den neun Kriterien der Leitlinien WP248. Sie beantworten acht Ja-Nein-Fragen zu Bewertung, automatisierten Entscheidungen, systematischer Überwachung, besonderen Datenkategorien, Umfang, Zusammenführung von Datenquellen, schutzbedürftigen Personen und innovativer Technologie. Als Faustregel gilt: zwei oder mehr erfüllte Kriterien lösen eine DSFA regelmäßig aus. Eine systematische und umfassende Bewertung von Beschäftigten nach Artikel 35 Abs. 3 lit. a kann bereits für sich genommen die Pflicht auslösen. Das Ergebnis ist eine Einschätzung, keine verbindliche Feststellung.
Artikel 35 Abs. 7 verlangt vier Bestandteile: eine systematische Beschreibung der Verarbeitungsvorgänge und Zwecke; eine Bewertung der Notwendigkeit und Verhältnismäßigkeit; eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen; und die geplanten Abhilfemaßnahmen einschließlich Garantien und Sicherheitsvorkehrungen. Die Vorlage auf dieser Seite deckt alle vier ab und benennt die drei typischen Risiken der Meeting-Transkription: Profilbildung über Redebeiträge, Zweckentfremdung zur Leistungsüberwachung und unbefugter Zugriff auf Transkripte.
Ein Transkript mit Sprecherzuordnung ordnet jeden Satz einer Person zu und macht Redeanteile, Wortwahl und Verhalten über viele Meetings auswertbar, oft im Beschäftigtenkontext und in großem Umfang. Diese Merkmale nennen die Aufsichtsbehörden als Indikatoren für ein hohes Risiko. Eine von der niederländischen Regierung beauftragte Folgenabschätzung zu Microsoft 365 Copilot, das auch Teams-Gespräche zusammenfasst, kam zu mehreren hohen Risiken und riet vom Einsatz ab, bis diese behoben sind. Berichten zufolge wurde 2025 zudem ein deutsches Unternehmen mit einem Bussgeld belegt, das Copilot mit Transkription ohne DSFA und ohne Beteiligung des Betriebsrats eingeführt hatte.
Nein. Nach Artikel 35 Abs. 2 DSGVO holt der Verantwortliche bei der Durchführung einer DSFA den Rat der oder des Datenschutzbeauftragten ein. Besteht ein Betriebsrat, ist die Einführung zudem nach Paragraph 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Die Vorlage ist ein Muster und eine Bildungshilfe, die den Prozess strukturiert und beschleunigt; sie ersetzt weder die Beteiligung der oder des Datenschutzbeauftragten noch, im Zweifel, anwaltliche Begleitung.
Ja. Der Quick-Check und die Vorlage sind kostenlos und ohne Registrierung nutzbar. Der vollständige Vorlagentext steht direkt auf der Seite, und das Muster lässt sich ohne E-Mail-Angabe als Word-Datei herunterladen oder als PDF drucken. Alles läuft im Browser; es werden keine Angaben hochgeladen oder gespeichert.
Vier rechtlich verpflichtende Artefakte gehören zu jedem deutschen KI-Notetaker-Rollout. Dies ist das vierte. Die weiteren sind über die Rollout-Kit-Übersicht erreichbar.