Der Bot hört mit: Was Unternehmen bei KI-Meeting-Protokollen beachten müssen

Teams, Zoom und andere Plattformen schreiben Meetings auf Knopfdruck mit. Dazu kommen externe Notetaker wie Fireflies, Otter oder Read.ai. Ein Klick genügt, und schon läuft die Transkription. Rechtlich ist die Sache aber deutlich komplizierter, als der schnelle Klick vermuten lässt.

Was technisch passiert

Auch bei einer „Live“-Transkription wird das Audio zumindest kurz zwischengespeichert oder verarbeitet, selbst wenn am Ende keine Audiodatei übrigbleibt. Das Transkript selbst enthält personenbezogene Daten, da zu sehen ist, wer was gesagt hat. Ordnet die Software Aussagen automatisch einzelnen Sprecherinnen und Sprechern zu, kommen unter Umständen sogar Stimmmerkmale ins Spiel. Der Einwand „Wir speichern doch nur Text, keine Aufnahme“ hilft deshalb nicht weiter. Datenschutz gilt auch für Transkripte.

Ohne Rechtsgrundlage geht es nicht

Für die Transkription braucht ein Unternehmen eine tragfähige Rechtsgrundlage. In der Praxis kommen dafür meist die beiden folgenden infrage:

• Einwilligung: Sie muss freiwillig und informiert sein, und man kann sie jederzeit widerrufen. Im Arbeitsverhältnis ist gerade die Freiwilligkeit oft ein Problem, weil sich Mitarbeitende zum Zustimmen gedrängt fühlen können. Ein Hinweisfenster oder das bloße Im-Meeting-Bleiben reicht nach strenger Auffassung nicht als Einwilligung aus. Manche Stimmen in der Fachwelt halten bei guter Vorabinformation und echter Ausweichmöglichkeit auch eine stillschweigende Zustimmung für denkbar, verlassen sollte man sich darauf aber nicht. 

• Berechtigtes Interesse: Bei gewöhnlichen Projektbesprechungen kann das Interesse an einer sauberen Dokumentation ausreichen. Das Unternehmen muss dieses Interesse allerdings belegen und prüfen, ob die Transkription wirklich erforderlich ist, und die Interessen der Teilnehmenden dagegen abwägen. Reine Bequemlichkeit genügt nicht, wenn es mildere Mittel wie zum Beispiel ein kurzes Protokoll von Hand oder gemeinsame Notizen gibt.

Bei Personalgesprächen, Bewerbungsgesprächen und anderen sensiblen Themen wird es besonders problematisch. Auch bei externen Gästen wie Kunden, Dienstleistern oder Bewerbenden sollte man genauer hinschauen. Für sie gelten die Besonderheiten des Arbeitsverhältnisses nicht, das GDD-Praxiskonzept empfiehlt für Externe deshalb eine vorherige Information und eine dokumentierte, aktive Zustimmung.

Mehr als Datenschutz: Betriebsrat und Strafrecht

Zwei Punkte gehen in der Praxis oft unter. Der erste ist die Mitbestimmung. Technische Systeme, mit denen sich Verhalten oder Leistung von Beschäftigten erfassen lassen, sind in der Regel mitbestimmungspflichtig. Wenn es einen Betriebsrat gibt, sollte dieser deswegen früh mit ins Boot geholt werden.

Der zweite Punkt ist das Strafrecht. Wer das nichtöffentlich gesprochene Wort ohne Erlaubnis aufzeichnet, kann sich strafbar machen. Ein berechtigtes Interesse allein ist dafür keine sichere Grundlage. Am verlässlichsten ist die informierte Zustimmung aller Beteiligten.

Und noch eine Faustregel: Transkripte sind für die Dokumentation da. Als Mittel zur Leistungs- oder Verhaltenskontrolle sollten sie nicht dienen. Für Beschäftigte kann hier schnell ein Gefühl der Unsicherheit entstehen: Wenn jedes Wort mitgeschrieben wird, stellt sich auch die Frage, wer später Zugriff auf das Protokoll hat und ob einzelne Aussagen in Mitarbeitergesprächen oder Beurteilungen möglicherweise gegen sie verwendet werden könnten. Deshalb sollte vorab klar geregelt und offen kommuniziert sein, dass Transkripte ausschließlich dazu dienen, Ergebnisse festzuhalten, nicht etwa dazu, Redeanteile, Wortbeiträge oder das Verhalten einzelner Personen auszuwerten. 

Besondere Vorsicht bei externen KI-Bots

Die eingebauten Funktionen von Teams oder Zoom laufen in der Regel im Rahmen der Verträge, die das Unternehmen ohnehin mit dem Plattformanbieter hat. Externe Bots sind dagegen Drittanbieter. Oft bringt sie eine einzelne Person mit oder sie treten über die Kalenderanbindung automatisch bei, ohne dass das Unternehmen oder die übrigen Teilnehmenden davon wissen. So können Gesprächsdaten samt vertraulicher Geschäftsinformationen beim Anbieter landen, womöglich in einem Drittland oder im Trainingsmaterial für dessen KI.

Praktisch empfehlen wir deshalb: Lobby aktivieren, Teilnehmerlisten im Blick behalten und unbekannte Bots rauswerfen. Wenn Notetaker erlaubt sind, sollten es geprüfte Tools mit Auftragsverarbeitungsvertrag sein. Genau hinsehen sollte man außerdem bei der Nutzung der Daten für KI-Training, bei Datenübermittlungen in Drittländer und bei den Löschfristen.

Stimmprofile und Emotionserkennung

Eine normale Sprecherzuordnung ist nicht automatisch eine Verarbeitung besonders geschützter biometrischer Daten. Anders sieht es aus, wenn Stimmmerkmale genutzt werden, um Menschen eindeutig zu identifizieren. Stimmprofile sollten deshalb ausgeschaltet bleiben.

Davon unabhängig verbietet die KI-Verordnung Emotionserkennung am Arbeitsplatz grundsätzlich, Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen. Funktionen, die aus Stimme oder Tonfall Stimmungen ableiten wollen, gehören daher abgeschaltet.

Unsere Handlungsempfehlungen

• Rechtsgrundlage und Interessenabwägung dokumentieren, Informationspflichten erfüllen, Ihren Datenschutzbeauftragten einbinden und prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.
• Den Betriebsrat früh einbeziehen und klare interne Regeln aufstellen.
• Die Transkription nur bewusst durch die Gastgeberin oder den Gastgeber starten lassen, schon in der Einladung und noch einmal zu Beginn darauf hinweisen, Widerspruch und Pausieren ermöglichen und sensible Gespräche ausnehmen.
• Transkripte nicht für Leistungs- oder Verhaltenskontrolle verwenden.
• Speicher- und Löschfristen festlegen, KI-Protokolle vor der Weitergabe von Menschen prüfen lassen und unbekannte Bots aus Meetings entfernen.

KI-Transkription ist nicht pauschal verboten, aber auch kein Selbstläufer. Wer Rechtsgrundlage, Transparenz, technische Einstellungen und klare Grenzen früh festlegt, kann die Vorteile nutzen und gleichzeitig das rechtliche Risiko senken.