Ein KI-Meeting-Protokoll klingt nach der einfachsten Automatisierung überhaupt: Die Software hört mit, transkribiert, liefert am Ende eine fertige Zusammenfassung mit Aufgabenliste. In Teams, Zoom und Google Meet ist die Funktion inzwischen eingebaut — ein Klick, fertig. Genau dieser eine Klick ist das Problem.
Denn anders als bei den meisten KI-Tools ist die Meeting-Aufzeichnung in Deutschland nicht nur eine Datenschutzfrage, sondern zuerst eine strafrechtliche. Und seit April 2026 hat Microsoft an einer Stellschraube gedreht, die viele Datenschutzkonzepte im Mittelstand still veraltet hat. In diesem Artikel bekommst du die drei Rechtsebenen, die parallel passen müssen, den aktuellen Stand bei Microsoft 365 Copilot — und eine Checkliste, die du vor dem ersten Einsatz abhaken kannst.
Zuletzt aktualisiert: 2026-09-02
Warum die Frage gerade jetzt auf den Tisch kommt
Die Zurückhaltung im Mittelstand ist vorbei. Laut der Bitkom-Befragung vom 11. März 2026 setzen 41 Prozent der Unternehmen ab 20 Beschäftigten KI bereits ein, weitere 48 Prozent planen oder diskutieren den Einsatz. Ein Jahr zuvor lag der Anteil der aktiven Nutzer noch bei 17 Prozent.
Das Meeting-Protokoll ist dabei oft der erste produktive Anwendungsfall — weil der Nutzen sofort spürbar ist und niemand ein Projekt dafür aufsetzen muss. Genau das macht es riskant: Die Funktion wird nicht eingeführt, sie wird eingeschaltet. Meist von einer einzelnen Führungskraft, ohne Datenschutzprüfung, ohne Betriebsrat, ohne dass jemand die Frage stellt, wo die Aufnahme eigentlich landet. Bei anderen KI-Themen wie Workflow-Automatisierung oder einem KI-Telefonassistenten ist die Hürde höher — da ist von vornherein klar, dass es ein Projekt braucht. Beim Protokoll fehlt dieser natürliche Stopp.
Der Punkt, den fast alle übersehen: Es geht nicht zuerst um die DSGVO
Die meisten Ratgeber steigen beim Datenschutz ein. Das ist die zweite Ebene, nicht die erste. Wer ein Gespräch aufzeichnet, bewegt sich zunächst im Strafrecht.
§ 201 StGB stellt die Verletzung der Vertraulichkeit des Wortes unter Strafe. Wer das nicht öffentlich gesprochene Wort eines anderen ohne dessen Einwilligung auf einen Tonträger aufnimmt, macht sich strafbar — und zwar unabhängig davon, ob er selbst am Gespräch teilnimmt. Der Strafrahmen liegt bei Geldstrafe oder Freiheitsstrafe bis zu drei Jahren. Ein internes Projektmeeting ist ein nicht öffentliches Gespräch. Eine automatische Transkription ist eine Aufnahme.
Der praktische Unterschied zur DSGVO ist erheblich: Ein Datenschutzverstoß trifft das Unternehmen als Bußgeld. § 201 StGB trifft die handelnde Person persönlich. Es gibt hier auch kein “berechtigtes Interesse”, mit dem sich das abwägen ließe — zulässig ist die Aufnahme nur mit Einwilligung aller Beteiligten. Das ist der Grund, warum ich Kunden von der Rechtsgrundlage “berechtigtes Interesse” bei Meeting-Aufzeichnungen konsequent abrate, obwohl sie datenschutzrechtlich konstruierbar wäre. Sie löst die strafrechtliche Ebene schlicht nicht.
Die drei Ebenen, die gleichzeitig passen müssen
Ein KI-Meeting-Protokoll ist erst dann sauber, wenn alle drei Ebenen gleichzeitig geklärt sind. Eine reicht nicht.
| Ebene | Rechtsgrundlage | Was konkret zu tun ist | Wen es trifft |
|---|---|---|---|
| Strafrecht | § 201 StGB | Einwilligung aller Teilnehmer vor Aufnahmebeginn | Die aufzeichnende Person persönlich |
| Datenschutz | DSGVO Art. 6, AVV mit dem Anbieter | Rechtsgrundlage, Zweckbindung, Löschfrist, Speicherort | Das Unternehmen (Bußgeld) |
| Mitbestimmung | § 87 Abs. 1 Nr. 6 BetrVG | Betriebsvereinbarung vor dem Rollout | Rollout ist ohne Zustimmung unwirksam |
Die dritte Zeile wird am häufigsten unterschätzt. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein echtes Mitbestimmungsrecht bei technischen Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. “Geeignet” heißt: Es kommt nicht darauf an, ob du das vorhast. Ein System, das mitschreibt, wer was gesagt hat, ist objektiv dazu geeignet — damit greift die Mitbestimmung, auch wenn die Absicht rein organisatorisch ist.
Der praktische Vorteil einer Betriebsvereinbarung: Sie kann bestimmte Meeting-Typen — etwa Projekt-Dailies — unter klaren Bedingungen generell freigeben. Sind diese Bedingungen erfüllt, brauchst du nicht vor jedem Termin einzeln Zustimmung einzuholen. Die Betriebsvereinbarung ist also kein Hindernis, sondern der Weg, der die Sache im Alltag überhaupt praktikabel macht.
Teams Transkription und Datenschutz: Was sich 2026 geändert hat
Hier liegt der Punkt, der die meisten bestehenden Datenschutzkonzepte veraltet hat. Die Frage nach Teams Transkription und Datenschutz galt seit Februar 2025 als weitgehend entschärft: Microsoft hatte die EU Data Boundary abgeschlossen, Microsoft 365 Copilot war als EU-Data-Boundary-Dienst eingestuft, die Verarbeitung fand in der EU statt. Viele Unternehmen haben genau das in ihre Verzeichnisse von Verarbeitungstätigkeiten geschrieben.
Seit dem 17. April 2026 rollt Microsoft eine Funktion namens Flex Routing aus. Sie erlaubt, dass die eigentliche KI-Verarbeitung — das Inferencing — bei hoher Auslastung außerhalb der EU stattfindet, konkret auf Servern in den USA, Kanada oder Australien. Laut Microsofts eigener Dokumentation ist die Funktion für berechtigte Tenants standardmäßig aktiv; für Tenants, die nach dem 25. März 2026 erstellt wurden, ist sie per Voreinstellung eingeschaltet.
Was dabei in der EU bleibt und was nicht, lohnt die genaue Unterscheidung: Die ruhenden Daten bleiben innerhalb der EU Data Boundary, und alles ist bei Übertragung und Speicherung verschlüsselt. Was die EU verlassen kann, ist das Paket aus Prompt und Kontext im Moment der Verarbeitung — bei einem Meeting-Protokoll also die Transkription des Gesprächs selbst. Für die meisten internen Abstimmungen ist das vertretbar. Bei Personalgesprächen, Aufsichtsratssitzungen oder Mandantenterminen ist es das nicht.
Die gute Nachricht: Flex Routing lässt sich im Microsoft 365 Admin Center abschalten. Die schlechte: Wenn es niemand aktiv prüft, bleibt es an. Wenn dein Datenschutzkonzept aus 2025 stammt und “Verarbeitung ausschließlich in der EU” behauptet, stimmt dieser Satz seit April 2026 möglicherweise nicht mehr. Das ist ein konkreter Punkt, den du diese Woche prüfen kannst — er kostet zehn Minuten im Admin Center.
Externe Teilnehmer: der Fall, der am häufigsten schiefgeht
Bei internen Meetings trägt eine Betriebsvereinbarung. Bei Kunden-, Lieferanten- oder Bewerbergesprächen greift sie nicht — externe Personen unterliegen deiner internen Regelung nicht. Hier brauchst du die Einwilligung jedes einzelnen Teilnehmers, und zwar bevor die Aufnahme startet.
In der Praxis heißt das: ein aktiver Hinweis zu Beginn des Termins, eine ausdrückliche Bestätigung, und — entscheidend — die echte Möglichkeit, das Gespräch ohne Aufzeichnung fortzusetzen. Wer die Wahl nur formal anbietet, aber faktisch keine Alternative lässt, hat keine freiwillige Einwilligung. Ein Hinweis in der Kalendereinladung reicht ausdrücklich nicht: Schweigen ist keine Einwilligung. Dokumentiere die Zustimmung im Protokoll selbst, dann hast du den Nachweis dort, wo er im Zweifel gebraucht wird.
Besonders heikel sind Bewerbungsgespräche. Hier kommt zur Einwilligungsfrage hinzu, dass Bewerber sich in einer Drucksituation befinden — die Freiwilligkeit der Einwilligung ist dort regelmäßig angreifbar. Mein Rat: Bewerbungsgespräche grundsätzlich von der KI-Protokollierung ausnehmen und in der Richtlinie explizit als Ausschluss benennen.
Besprechungsprotokoll mit KI: die Qualitätsfrage
Ist das Rechtliche geklärt, entscheidet die Konfiguration über den Nutzen. Ein Besprechungsprotokoll per KI ist nur so gut wie das Audio, das hineingeht. Bei sauberem Ton und einem Sprecher nach dem anderen sind die Ergebnisse heute sehr brauchbar. Bei mehreren gleichzeitig Sprechenden, starkem Dialekt oder schlechten Konferenzmikrofonen sinkt die Erkennungsqualität deutlich — und was die KI danach zusammenfasst, ist nur so gut wie das, was sie verstanden hat.
Der kritischere Fehlerfall ist nicht die falsche Transkription, sondern die falsche Zuordnung. Wenn die Zusammenfassung eine Zusage der falschen Person zuschreibt, entsteht ein Dokument, das im Zweifel gegen dich verwendet wird. Deshalb gehört ein kurzer Review durch die verantwortliche Person vor der Verteilung zum Pflichtprogramm, nicht zur Kür. Das kostet fünf Minuten und ist die einzige Stelle im Prozess, an der ein Mensch zwingend draufschauen muss.
Und dann die Frage, an der die meisten Einführungen praktisch scheitern: Wo landet das Protokoll? Wenn KI-Zusammenfassungen unstrukturiert in Chatverläufen und Postfächern versickern, findet sie nach drei Wochen niemand mehr — der Zeitgewinn aus der Nachbereitung verpufft in der Suche. Sinnvoll ist die Anbindung an das System, in dem ohnehin gearbeitet wird: CRM, Projektmanagement oder Wissensdatenbank. Genau an dieser Stelle wird aus einer eingeschalteten Funktion ein echter Prozess.
Checkliste: vor dem ersten Einsatz abhaken
- Einwilligung aller Teilnehmer geklärt — schriftlich oder per Betriebsvereinbarung, nicht per Kalenderhinweis
- Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG geschlossen oder bestehende IT-Vereinbarung erweitert
- AVV mit dem Anbieter vorhanden und auf den aktuellen Stand geprüft
- Flex Routing im Microsoft 365 Admin Center bewusst entschieden — an oder aus, aber geprüft
- Löschfrist festgelegt und technisch umgesetzt, nicht nur im Konzept notiert
- Zugriffsrechte dokumentiert: Wer darf Protokolle einsehen, wer verteilen, wer löschen
- Review-Prozess vor der Verteilung etabliert und einer Rolle zugewiesen
- Ausschlussliste definiert: Bewerbungs-, Personal- und Gremiengespräche ohne KI-Protokoll
- Externe Teilnehmer mit aktivem Hinweis und dokumentierter Zustimmung
Neun Punkte. Realistisch ein Nachmittag Arbeit, wenn ein Datenschutzbeauftragter eingebunden ist — und deutlich weniger Aufwand als die Aufarbeitung eines Vorfalls.
Was danach kommt
Das Meeting-Protokoll ist selten das Ziel, sondern meistens der Einstieg. Die Erfahrung aus Automatisierungsprojekten ist ziemlich einheitlich: Sobald Protokolle strukturiert vorliegen, entstehen die nächsten Fragen von selbst — Aufgaben automatisch ins Projekttool, Kundeninformationen ins CRM, wiederkehrende Anfragen an einen Web-Assistenten übergeben. Der Wert liegt nicht im einzelnen Protokoll, sondern darin, dass Gesprächsinhalte überhaupt erst maschinenlesbar werden.
Wenn du wissen willst, wo dein Unternehmen bei Datenschutz, Auffindbarkeit und Automatisierungsgrad aktuell steht, ist ein kostenloser Website- und Digital-Audit der pragmatische Einstieg — er zeigt die Lücken, bevor sie teuer werden. Wie das in der Praxis aussieht, zeigen die Referenzen. Und wenn du die drei Rechtsebenen lieber einmal gemeinsam durchgehen willst, statt sie allein zu sortieren: Melde dich einfach.
FAQ
Ist die Aufzeichnung eines Meetings mit KI in Deutschland erlaubt?
Ja, aber nur mit Einwilligung aller Teilnehmer. § 201 StGB stellt die Aufnahme des nicht öffentlich gesprochenen Wortes ohne Einwilligung unter Strafe — mit Geldstrafe oder Freiheitsstrafe bis zu drei Jahren, und zwar für die handelnde Person persönlich, auch wenn sie selbst am Gespräch teilnimmt. Eine Abwägung über ein berechtigtes Interesse wie im Datenschutzrecht gibt es auf dieser Ebene nicht.
Reicht ein Hinweis in der Kalendereinladung als Einwilligung?
Nein. Schweigen oder bloßes Teilnehmen gilt nicht als Einwilligung. Nötig ist ein aktiver Hinweis zu Beginn des Termins, eine ausdrückliche Bestätigung und die echte Möglichkeit, das Gespräch ohne Aufzeichnung fortzusetzen. Bei internen Meetings kann eine Betriebsvereinbarung die Einzelzustimmung ersetzen, bei externen Teilnehmern nicht.
Muss der Betriebsrat bei KI-Meeting-Protokollen zustimmen?
Ja, wenn ein Betriebsrat existiert. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht Mitbestimmung bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Entscheidend ist die objektive Eignung, nicht die Absicht — ein System, das festhält, wer was gesagt hat, erfüllt das. Eine Betriebsvereinbarung kann bestimmte Meeting-Typen dann pauschal freigeben.
Ist Microsoft 365 Copilot für Meeting-Protokolle DSGVO-konform?
Copilot ist als EU-Data-Boundary-Dienst eingestuft, ruhende Daten bleiben in der EU. Seit dem 17. April 2026 kann die KI-Verarbeitung selbst aber über Flex Routing bei hoher Auslastung in den USA, Kanada oder Australien stattfinden — bei berechtigten Tenants standardmäßig. Wer ausschließliche EU-Verarbeitung zusichern muss, sollte Flex Routing im Microsoft 365 Admin Center abschalten und das dokumentieren.
Wie lange darf ich KI-Meeting-Protokolle speichern?
Eine feste gesetzliche Frist gibt es nicht — es gilt die Zweckbindung der DSGVO: Sobald der Zweck erfüllt ist, sind die Daten zu löschen. In der Praxis bewährt sich, das Roh-Transkript und die Audioaufnahme kurz nach der Freigabe des Protokolls zu löschen und nur die geprüfte Zusammenfassung aufzubewahren. Die Frist gehört in die Betriebsvereinbarung und muss technisch umgesetzt sein, nicht nur im Konzept stehen.
Für welche Gespräche sollte ich KI-Protokolle grundsätzlich ausschließen?
Für Bewerbungsgespräche, Personalgespräche und Gremiensitzungen. Bei Bewerbern ist die Freiwilligkeit der Einwilligung wegen der Drucksituation regelmäßig angreifbar, bei Personalgesprächen kommen besondere Schutzinteressen hinzu. Diese Ausnahmen gehören ausdrücklich in die interne Richtlinie, damit im Zweifel niemand selbst entscheiden muss.
