DSGVO-konforme Meeting-Aufzeichnung 2026: Checkliste für Deutschland

Kurze Antwort: Ja, Meetings aufzuzeichnen kann DSGVO-konform sein, wenn Sie eine Rechtsgrundlage haben (meist Einwilligung oder berechtigtes Interesse), die Teilnehmenden informieren, bevor Sie auf „Aufnehmen“ klicken, die Aufnahme nur für den genannten Zweck nutzen und sie löschen, sobald sie nicht mehr gebraucht wird. Eine Meeting-Aufnahme ist ein personenbezogenes Datum, weil Stimmen identifizierbar sind; die DSGVO gilt also vollständig. In Deutschland kommt mit § 201 StGB eine strafrechtliche Ebene hinzu, die es in vielen anderen EU-Ländern so nicht gibt.

Wo die meisten Teams scheitern, ist nicht die Aufnahme selbst, sondern das Werkzeug: Cloud-Recorder, die Audio auf Server außerhalb der EU schicken, bringen Auftragsverarbeitungsverträge, Transfer-Folgenabschätzungen und die Frage nach KI-Training mit sich. Lokale Verarbeitung auf dem eigenen Gerät vermeidet das vollständig.

Dieser Artikel erklärt, was die DSGVO bei Meeting-Aufzeichnungen tatsächlich verlangt, die 5-Schritte-Checkliste, warum Cloud-Tools Compliance-Aufwand erzeugen, und wie lokale Verarbeitung den Knoten durchschlägt. Er ist keine Rechtsberatung; bei konkreten Fragen sind Ihre Datenschutzbeauftragte oder eine Kanzlei die richtige Adresse. (Die technische Anleitung zum Aufnehmen ohne Bot finden Sie im Artikel Zoom, Meet und Teams auf dem Mac aufnehmen ohne Bot.)

Was die DSGVO bei Meeting-Aufzeichnungen verlangt

Warum eine Meeting-Aufnahme personenbezogene Daten enthält

Personenbezogen ist nach Art. 4 Nr. 1 DSGVO jede Information, die sich auf eine identifizierbare natürliche Person bezieht. Stimmen sind eindeutig identifizierbar. Dazu kommen Namen, Funktionen, vertrauliche Geschäftsinhalte und gelegentlich besondere Kategorien (Gesundheit, Gewerkschaftszugehörigkeit), die in Personalgesprächen fallen können. Jede Aufnahme unterliegt damit den vollen Anforderungen der DSGVO.

Die Grundsätze aus Art. 5 DSGVO

Alle Grundsätze der Verarbeitung gelten auch für Meeting-Aufnahmen:

1. Rechtmäßigkeit, Treu und Glauben, Transparenz: Sie brauchen eine Rechtsgrundlage und müssen offenlegen, was Sie tun.
2. Zweckbindung: Aufnahme nur für festgelegte, eindeutige Zwecke, nicht für vage „spätere Verwendung“.
3. Datenminimierung: Nicht mehr erheben als nötig. Ein Transkript reicht meist; Roh-Audio unbegrenzt aufzubewahren oft nicht.
4. Richtigkeit: Transkripte sollten wiedergeben, was tatsächlich gesagt wurde.
5. Speicherbegrenzung: Nicht länger aufbewahren als erforderlich.
6. Integrität und Vertraulichkeit: Angemessene technische und organisatorische Maßnahmen.

Dazu kommt die Rechenschaftspflicht (Art. 5 Abs. 2): Sie müssen die Einhaltung nachweisen können, etwa über das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30.

Welche Rechtsgrundlage?

Art. 6 DSGVO nennt sechs Rechtsgrundlagen. Für Meeting-Aufzeichnungen sind zwei relevant:

• Einwilligung (Art. 6 Abs. 1 lit. a): Alle Teilnehmenden stimmen der Aufnahme ausdrücklich zu. Klar, aber im Beschäftigungsverhältnis wegen des Machtgefälles nicht immer „freiwillig“ im Sinne der DSGVO.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Ihr Interesse an einer Dokumentation überwiegt die Interessen der Betroffenen. Das verlangt eine schriftliche Abwägung, vorherige Information und eine echte Widerspruchsmöglichkeit.

Und hier ist der deutsche Sonderfall: § 201 StGB stellt das unbefugte Aufnehmen des nicht öffentlich gesprochenen Wortes unter Strafe, unabhängig von der DSGVO. „Befugt“ ist die Aufnahme im Normalfall nur mit Zustimmung aller Sprechenden. Selbst wenn Sie datenschutzrechtlich auf das berechtigte Interesse setzen, brauchen Sie also faktisch die Zustimmung der Teilnehmenden, zumindest konkludent durch Weiterreden nach klarer Ankündigung. In der Praxis führt beides zum selben Ablauf: ankündigen, Widerspruch ermöglichen, dokumentieren.

Die 5-Schritte-Checkliste für jede aufgezeichnete Besprechung

Wenn Sie sich nur eines aus diesem Artikel merken, dann diese fünf Schritte:

1. Rechtsgrundlage wählen und dokumentieren. Berechtigtes Interesse für Routine-Meetings mit kurzer schriftlicher Abwägung; ausdrückliche Einwilligung für sensible oder externe Gespräche. In Deutschland in beiden Fällen: Zustimmung zur Tonaufnahme einholen (§ 201 StGB).
2. Vor der Aufnahme informieren. Ein Satz in der Kalendereinladung plus die mündliche Ankündigung zu Beginn („Ich zeichne das Gespräch für die Notizen auf, ist das für alle in Ordnung?“) erfüllt die Transparenzpflicht in den meisten Fällen.
3. Zweck begrenzen. Nutzen Sie die Aufnahme nur für das, was Sie angekündigt haben: Notizen, Aufgaben, Protokoll. Nicht für Leistungsbeurteilungen, nicht als Trainingsdaten.
4. Löschfrist festlegen. Audio löschen, sobald die Notizen stehen, oder nach einer festen Frist (30 bis 90 Tage sind üblich). Transkript oder Zusammenfassung nur so lange behalten, wie Sie sie brauchen.
5. Daten unter Kontrolle halten. Speichern Sie Aufnahmen dort, wo Sie sie finden, schützen und löschen können. Bevorzugen Sie Tools, die Audio auf Ihrem Gerät verarbeiten, damit kein Auftragsverarbeiter und kein Drittlandtransfer ins Spiel kommt.

Der Rest dieses Leitfadens erklärt die Gründe hinter jedem Schritt und warum Cloud-Recorder die Schritte 3 bis 5 schwerer machen als nötig.

Das Cloud-Problem: Warum die meisten Meeting-Recorder Aufwand erzeugen

Die populären Meeting-Recorder verarbeiten alles in der Cloud. Bei Otter.ai, Fireflies.ai und ähnlichen Diensten sieht der Ablauf so aus:

1. Ihr Meeting-Ton wird auf Ihrem Gerät oder durch einen Bot erfasst
2. Das Audio wird auf die Server des Anbieters hochgeladen (typischerweise in den USA)
3. Die KI-Verarbeitung findet auf diesen Servern statt
4. Das Transkript kommt zurück zu Ihnen

Diese Pipeline erzeugt mehrere DSGVO-Baustellen.

Auftragsverarbeitung (Art. 28 DSGVO)

Sobald ein Anbieter Ihr Audio verarbeitet, ist er Auftragsverarbeiter, und Sie sind Verantwortlicher. Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) mit den Pflichtinhalten aus Art. 28 Abs. 3, müssen die Subunternehmer des Anbieters kennen, seine technischen und organisatorischen Maßnahmen bewerten und haften gegenüber den Betroffenen, wenn beim Anbieter etwas schiefgeht. Ein Klick auf „AGB akzeptieren“ ersetzt den AVV nicht; die meisten Anbieter stellen ihn bereit, aber Sie müssen ihn prüfen und ablegen.

Drittlandtransfer und Data Privacy Framework (Art. 44 ff. DSGVO)

Verlassen die Daten die EU, brauchen Sie ein Transferinstrument. Für US-Anbieter ist das seit Juli 2023 häufig das EU-US Data Privacy Framework (DPF), sofern der Anbieter dort zertifiziert ist. Der Haken: Die beiden Vorgänger (Safe Harbor, Privacy Shield) wurden vom Europäischen Gerichtshof gekippt, und auch das DPF wird juristisch angegriffen. Wer heute auf das DPF setzt, sollte einen Plan B haben (Standardvertragsklauseln plus Transfer-Folgenabschätzung) und die Entwicklung beobachten. Jede Übermittlung ist zudem im Verzeichnis von Verarbeitungstätigkeiten zu dokumentieren.

Unabhängig vom Instrument bleibt ein Restrisiko: US-Behörden können unter bestimmten Voraussetzungen auf Daten bei US-Anbietern zugreifen, auch wenn die Server in Europa stehen. Für vertrauliche Kundengespräche ist das ein Punkt, den Datenschutzbeauftragte regelmäßig anmerken.

Nutzung für KI-Training

Manche Cloud-KI-Anbieter nutzen Kundendaten zur Verbesserung ihrer Modelle, teils per Voreinstellung mit Opt-out. Ihre vertraulichen Besprechungen würden dann in Systeme fließen, die anderen Kunden dienen. Das kollidiert mit der Zweckbindung: Sie haben für Notizen aufgezeichnet, nicht für Modelltraining. Prüfen Sie die Datenschutzerklärung und den AVV Ihres Anbieters auf genau diesen Punkt.

Speicherdauer außerhalb Ihrer Kontrolle

Cloud-Dienste legen eigene Aufbewahrungsregeln fest. Löschen Sie ein Transkript in der App, heißt das nicht zwingend, dass Backups und Kopien beim Anbieter ebenfalls verschwinden. Ihre Löschfrist aus Schritt 4 müssen Sie dann beim Anbieter durchsetzen, nicht nur bei sich.

Wie lokale Verarbeitung diese Probleme löst

Lokale KI-Verarbeitung kehrt das Modell um. Statt Daten in die Cloud zu schicken, passiert alles auf Ihrem Gerät. MeetMemo nutzt NVIDIA Parakeet für die Transkription auf der Apple Neural Engine. Zusammenfassungen entstehen ebenfalls zu 100 % auf dem Gerät über Apple MLX (Standardmodell Qwen 3 4B). Audio, Transkript und Zusammenfassung verlassen Ihren Mac nie. Wie das im Detail funktioniert, zeigt So funktioniert MeetMemo.

Kein Auftragsverarbeiter, kein AVV

Mit MeetMemo gibt es keinen Dritten, der Ihre Meeting-Inhalte verarbeitet. Sie sind Verantwortlicher, und die Verarbeitung findet auf Ihrer eigenen Hardware statt. Kein AVV für Audio oder Transkripte, keine Subunternehmerliste, keine Haftung für fremde Sicherheitslücken. Das ist „Datenschutz durch Technikgestaltung“ im Sinne von Art. 25 DSGVO, nicht als Marketingbegriff, sondern als Architektur.

Kein Drittlandtransfer

Daten, die Ihren Mac nicht verlassen, werden nicht übermittelt. Das Data Privacy Framework, Standardvertragsklauseln und Transfer-Folgenabschätzungen sind für die Aufnahme und Transkription schlicht nicht relevant.

Kein KI-Training mit Ihren Daten

Weil die Daten das Gerät nicht verlassen, können sie nicht für Modelltraining verwendet werden. MeetMemo trainiert nicht mit Ihren Inhalten und speichert Ihre Meetings auf keinem Server, den wir betreiben.

Speicherdauer in Ihrer Hand

Aufnahme, Transkript und Notizen liegen in einem Ordner auf Ihrem Mac, den Sie wählen. Löschen heißt löschen. Ihre Löschfrist setzen Sie mit Bordmitteln um, ohne Ticket beim Support.

Was trotzdem bleibt

Ehrlicherweise: Lokale Verarbeitung löst den Werkzeug-Teil der Compliance, nicht den Menschen-Teil. Die Ankündigung, die Zustimmung nach § 201 StGB, die Dokumentation der Rechtsgrundlage und die Information der Teilnehmenden bleiben Ihre Aufgabe. Und wenn Sie Notizen mit Apple Notizen über iCloud synchronisieren, gilt dafür Ihr Verhältnis zu Apple, das Sie ohnehin schon haben.

Besonderheiten in Deutschland

§ 201 StGB und Beweisverwertung

Heimliche Aufnahmen sind nicht nur ein DSGVO-Problem, sondern in Deutschland eine Straftat (Freiheitsstrafe bis zu drei Jahren oder Geldstrafe). Dazu kommt: Unrechtmäßig erlangte Aufnahmen sind vor Gericht in aller Regel nicht verwertbar. Die Idee, ein Meeting „zur Sicherheit“ heimlich mitzuschneiden, geht also doppelt nach hinten los.

Beschäftigtendatenschutz und Betriebsrat

Im Arbeitsverhältnis sind die Anforderungen an die Freiwilligkeit einer Einwilligung hoch. Führen Sie ein Aufzeichnungs- oder Transkriptions-Tool unternehmensweit ein, ist in Betrieben mit Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG in der Regel dessen Mitbestimmung erforderlich, weil solche Tools objektiv zur Verhaltens- und Leistungskontrolle geeignet sind. Üblich ist eine Betriebsvereinbarung, die Zweck, Zugriff, Löschfristen und ein Verbot der Leistungskontrolle festschreibt. Ein lokal arbeitendes Tool erleichtert diese Verhandlung, weil keine zentrale Datenbank aller Mitschnitte entsteht; es ersetzt sie nicht.

Datenschutz-Folgenabschätzung?

Eine DSFA nach Art. 35 DSGVO ist bei Meeting-Aufzeichnungen nicht automatisch nötig, kann aber bei systematischer Aufzeichnung von Beschäftigtengesprächen oder beim Einsatz von KI-Auswertung in großem Umfang angezeigt sein. Die Listen der deutschen Aufsichtsbehörden geben Anhaltspunkte. Im Zweifel kurz mit der Datenschutzbeauftragten abstimmen.

Best Practices für die tägliche Praxis

• Aufzeichnungsrichtlinie erstellen: wann aufgezeichnet wird, wie informiert wird, wo gespeichert, wer Zugriff hat, wie gelöscht wird.
• Ankündigung standardisieren: ein fester Satz in jeder Einladung und zu Beginn jedes Meetings. Wer widerspricht, wird nicht aufgenommen.
• Audio zuerst löschen: Transkript und Zusammenfassung enthalten das, was Sie brauchen; das Roh-Audio ist die sensibelste Form.
• Zugriff begrenzen: Notizen nur mit denen teilen, die sie brauchen; keine Ordner für „alle“.
• Betroffenenrechte vorbereiten: Wer eine Auskunft oder Löschung verlangt, sollte sie ohne Suche in fünf Cloud-Konten bekommen.
• Verzeichnis pflegen: Meeting-Aufzeichnung als Verarbeitungstätigkeit in Ihr Verzeichnis nach Art. 30 aufnehmen, inklusive Löschfrist und Rechtsgrundlage.

Was das für Ihre Tool-Wahl bedeutet

Die Frage „Ist dieses Tool DSGVO-konform?“ ist eigentlich die Frage „Wie viel Arbeit macht mir dieses Tool, um DSGVO-konform zu bleiben?“. Bei einem Cloud-Recorder lautet die Antwort: AVV prüfen, Transfer dokumentieren, KI-Training ausschließen, Löschfristen beim Anbieter durchsetzen, Subunternehmer überwachen. Bei lokaler Verarbeitung: Teilnehmende informieren, Zustimmung einholen, Löschfrist einhalten. Der Rest ist weg, weil er technisch nicht stattfindet.

Einen Vergleich der gängigen Tools mit der Spalte „Daten bleiben auf dem Mac?“ finden Sie im Überblick KI-Meeting-Notizen auf dem Mac. Und falls Sie vor allem Webinare statt Meetings aufzeichnen wollen, gelten teils andere Regeln, dazu der Artikel Webinar auf dem Mac aufnehmen.

Häufige Fragen zu DSGVO und Meeting-Aufzeichnung

Ist das Aufzeichnen von Meetings DSGVO-konform?

Ja, wenn Sie eine Rechtsgrundlage haben, die Teilnehmenden vor der Aufnahme informieren, die Daten nur für den genannten Zweck verarbeiten und sie löschen, sobald sie nicht mehr gebraucht werden. In Deutschland kommt die Zustimmung nach § 201 StGB hinzu.

Brauche ich eine Einwilligung?

Datenschutzrechtlich ist auch das berechtigte Interesse eine mögliche Rechtsgrundlage, mit dokumentierter Abwägung und Widerspruchsrecht. Wegen § 201 StGB brauchen Sie in Deutschland für die Tonaufnahme aber in jedem Fall die Zustimmung der Sprechenden, zumindest konkludent nach klarer Ankündigung. Praktisch also: immer ankündigen, immer Widerspruch ermöglichen.

Worüber muss ich informieren?

Nach Art. 13 DSGVO: Verantwortlicher und Kontakt, Zweck und Rechtsgrundlage, Empfänger, Speicherdauer, Betroffenenrechte. Ein Hinweis in der Einladung plus die mündliche Ankündigung decken das im Alltag meist ab; für wiederkehrende Formate lohnt ein kurzer Datenschutzhinweis, auf den Sie verweisen.

Brauche ich einen AVV für Cloud-Recorder?

Ja. Der Anbieter verarbeitet personenbezogene Daten in Ihrem Auftrag und ist Auftragsverarbeiter nach Art. 28 DSGVO. Bei US-Anbietern kommt der Drittlandtransfer hinzu. Bei lokaler Verarbeitung auf Ihrem Mac gibt es keinen Auftragsverarbeiter für Audio und Transkript.

Wie lange darf ich Aufnahmen speichern?

So lange, wie es für den Zweck erforderlich ist. Üblich: Audio nach Fertigstellung der Notizen löschen, Transkripte nach 30 bis 90 Tagen oder mit Projektende. Frist schriftlich festlegen und einhalten.

Welche Bußgelder drohen?

Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 DSGVO). Daneben Unterlassungs- und Schadensersatzansprüche, und bei heimlichen Aufnahmen die Strafbarkeit nach § 201 StGB.

Was ist mit Österreich und der Schweiz?

Die DSGVO gilt in Österreich direkt; strafrechtlich ist § 120 StGB relevant, der insbesondere das Weitergeben und Veröffentlichen von Aufnahmen nicht öffentlicher Äußerungen ohne Einverständnis erfasst. In der Schweiz gelten das revidierte DSG und Art. 179ter StGB, der das Aufnehmen nicht öffentlicher Gespräche ohne Einwilligung der Beteiligten verbietet. Die Checkliste oben funktioniert in allen drei Ländern.

Fazit

DSGVO-konforme Meeting-Aufzeichnung ist kein Hexenwerk. Die Kernerkenntnis: Cloud-Recorder erzeugen Compliance-Aufwand, lokale Verarbeitung vermeidet ihn. Wer alles auf dem eigenen Gerät behält, umgeht Drittlandtransfer, Auftragsverarbeiterhaftung, KI-Trainingsrisiken und AVV-Verwaltung mit einer einzigen Architekturentscheidung.

Was bleibt, ist der menschliche Teil: ankündigen, Zustimmung einholen, Frist einhalten. Das ist in Deutschland wegen § 201 StGB ohnehin Pflicht, und es kostet einen Satz pro Meeting.

MeetMemo ist Meeting-Aufzeichnung, die durch Technik konform ist, nicht durch Papierkram. Wenn Ihre Organisation die DSGVO ernst nimmt, lohnt ein Blick: MeetMemo kostenlos testen, drei Meetings inklusive; die Tarife finden Sie auf der Preisseite.