KI-Meeting-Assistenten im Vergleich: Tools, Datenschutz (§ 201 StGB, DSGVO) und automatisierte Workflows

Hinweis: Ich bin AI Engineer, kein Rechtsanwalt. Dieser Artikel ordnet die rechtlichen Fragen aus technischer Sicht ein und stützt sich auf Gesetzestexte und Fachbeiträge von Datenschutzpraktikern und Kanzleien. Er ersetzt keine Rechtsberatung. Vor der Einführung eines Meeting-Assistenten sollten Datenschutzbeauftragte, Rechtsabteilung und gegebenenfalls Betriebsrat eingebunden werden.

KI-Meeting-Assistenten haben sich im Arbeitsalltag schnell verbreitet. Statt mitzuschreiben, lassen Teams einen Notetaker mitlaufen, der das Gespräch transkribiert und Minuten später Zusammenfassung und Aufgabenliste liefert. In der Praxis entstehen dabei zwei Probleme: Rechtliche Fragen werden beim Einschalten oft übersprungen, und die Ergebnisse versanden in einem weiteren Tool, das niemand öffnet.

Dieser Artikel behandelt beides. Er vergleicht die drei technischen Ansätze und gängige Tools, fasst zusammen, was Gesetz und Fachliteratur zur Aufzeichnung sagen, und zeigt einen Workflow, der aus Transkripten Tickets, Team-Updates und Leistungsnachweise macht.

Das Dilemma moderner Videocalls: Transkript-Flut statt Entlastung

Viele Organisationen führen KI-Notetaker ungeplant ein. Einzelne Mitarbeitende verbinden ein SaaS-Tool mit ihrem Kalender, und plötzlich sitzt in jedem Zoom-, Teams- oder Meet-Termin ein Bot. Das Ergebnis sind Hunderte Seiten Volltranskript, die im Dashboard des Anbieters liegen und selten wieder gelesen werden.

Ein gutes Protokoll ist kein Wortprotokoll. Es hält Entscheidungen fest und weist Aufgaben mit Frist einer Person zu. Bleibt diese Information im Notetaker hängen, entsteht ein Medienbruch: Das manuelle Übertragen nach Jira, Asana oder ins CRM kostet am Ende oft mehr Zeit als das Mitschreiben selbst.

Die drei Tool-Architekturen: Bot, bot-frei oder Plattform-Funktion

Am Markt haben sich drei technische Ansätze durchgesetzt. Sie unterscheiden sich in Bedienung, Zuverlässigkeit und Datenfluss:

• Cloud-Meeting-Bots (z. B. Fireflies.ai, tl;dv, Fathom): Der Dienst schickt einen virtuellen Teilnehmer in den Call, der Audio und oft auch Video aufnimmt und in der Cloud verarbeitet. Vorteil: Ein Account funktioniert für Zoom, Teams und Meet. Nachteil: Der Bot ist für alle sichtbar, kann in Kundengesprächen irritieren und wird in restriktiven Unternehmensumgebungen häufig ausgesperrt.
• Bot-freie Desktop-Assistenten (z. B. Granola, Jamie): Die App läuft lokal auf macOS oder Windows und greift System-Audio und Mikrofon direkt ab. Es erscheint kein zusätzlicher Teilnehmer. Das Audio wird anschließend zur Transkription und Zusammenfassung an Cloud-Dienste übertragen. Wichtig: Dass kein Bot sichtbar ist, ändert nichts an der Pflicht, die Teilnehmenden zu informieren.
• Plattform-native Assistenten (z. B. Microsoft Copilot in Teams, Gemini in Google Meet): Die KI ist Teil der Konferenzplattform. Transkripte und Auswertungen bleiben im Tenant des Unternehmens. Die Grenze: Die Funktionen wirken nur im eigenen Ökosystem, also nicht, wenn ein Kunde zu seinem Zoom-Termin einlädt.

Der rechtliche Rahmen in Deutschland: § 201 StGB, DSGVO und Betriebsrat

Bei KI-Notetakern greifen drei Rechtsbereiche gleichzeitig: das Strafrecht, der Datenschutz und das Betriebsverfassungsrecht. Die folgende Übersicht fasst zusammen, was die Gesetzestexte sagen und wie Fachbeiträge sie auslegen.

§ 201 StGB: Vertraulichkeit des Wortes

Nach § 201 Abs. 1 StGB macht sich strafbar, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder eine solche Aufnahme gebraucht oder Dritten zugänglich macht. Der Strafrahmen reicht bis zu drei Jahren Freiheitsstrafe oder Geldstrafe, der Versuch ist strafbar. Verfolgt wird die Tat nach § 205 StGB grundsätzlich nur auf Antrag.

Eine Videokonferenz im Team oder mit Kunden ist in aller Regel nichtöffentlich. Entscheidend ist deshalb, ob die Aufnahme befugt ist, also mit Einverständnis der Beteiligten erfolgt. Zur Form dieses Einverständnisses gibt es in der Fachliteratur verschiedene Ansätze:

• Die Kanzlei Heuking hält ein konkludentes Einverständnis für möglich, wenn jemand einem klar als aufgezeichnet gekennzeichneten Meeting beitritt. Voraussetzung sei eine klare, transparente Information vor Beginn der Aufnahme.
• Ein Konzept von Datenschutzpraktikern aus GDD-Erfahrungsaustauschkreisen (Stand Juni 2026) setzt für interne Teilnehmende ebenfalls auf konkludentes Einverständnis: Hinweis in der Einladung, Anzeige oder Ansage beim Start, und wer danach bleibt und spricht, gilt als einverstanden. Für externe Teilnehmende empfiehlt dasselbe Konzept ein aktives Opt-in.

Ob eine reine Live-Transkription ohne gespeicherte Audiodatei überhaupt eine Aufnahme auf einen Tonträger ist, ist nicht abschließend geklärt. Heuking weist darauf hin, dass automatisierte Transkription in der Praxis typischerweise zumindest eine Audioaufnahme beinhaltet. Wer auf der sicheren Seite bleiben will, behandelt jeden Notetaker wie eine Aufnahme.

Daraus folgt für die Praxis: Je klarer und früher alle Beteiligten informiert werden und je einfacher sie widersprechen können, desto geringer das Risiko. Bei externen Gesprächen ist eine ausdrückliche Zustimmung zu Beginn der sicherste Weg.

DSGVO: Rechtsgrundlage, Auftragsverarbeitung und Drittland

Stimme und Inhalt eines Gesprächs sind personenbezogene Daten. Für ihre Verarbeitung braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. Die Fachbeiträge nennen zwei Wege:

• Interne Beschäftigte: berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, idealerweise konkretisiert durch eine Betriebsvereinbarung. Heuking verweist auf das Bayerische Landesamt für Datenschutzaufsicht, nach dessen Einschätzung eine Einwilligung im Arbeitsverhältnis oft keine tragfähige Grundlage ist, weil sie nicht wirklich freiwillig ist.
• Externe Teilnehmende: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Stimmdaten sind nicht automatisch biometrische Daten. Nach Art. 4 Nr. 14 DSGVO wird es erst dann biometrisch, wenn Daten mit speziellen technischen Verfahren gewonnen werden, um eine Person eindeutig zu identifizieren. Relevant wird das bei Funktionen wie Sprechererkennung über Stimmprofile. Dann greift Art. 9 DSGVO mit deutlich höheren Anforderungen. Das GDD-Konzept empfiehlt deshalb, Sprecher nur über Metadaten wie Nutzerkonto oder Mikrofonkanal zuzuordnen.

Dazu kommen die Pflichten, die bei jedem Cloud-Dienst gelten:

• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, inklusive Regelung, dass die Daten nicht zum Training von KI-Modellen genutzt werden.
• Drittlandtransfer: Verarbeitet der Anbieter oder einer seiner Unterauftragsverarbeiter Daten in den USA, braucht es eine Grundlage wie das EU-US Data Privacy Framework oder Standardvertragsklauseln. Das Gericht der EU hat das Data Privacy Framework im September 2025 bestätigt, gegen das Urteil wurde Rechtsmittel beim EuGH eingelegt.
• Informationspflichten nach Art. 13 DSGVO: Teilnehmende müssen früh erfahren, welches Tool zu welchem Zweck läuft und was gespeichert wird.
• Je nach Umfang und Einsatz kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig sein. Das sollte mit dem Datenschutzbeauftragten geklärt werden.

Hinweise zum Einsatz von Sprachmodellen mit Firmendaten gibt auch der Leitfaden Claude DSGVO-konform einsetzen.

Betriebsrat: § 87 Abs. 1 Nr. 6 BetrVG

Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts reicht es, wenn eine Einrichtung dazu objektiv geeignet ist. Transkripte, die festhalten, wer was gesagt hat, erfüllen das in aller Regel. In Betrieben mit Betriebsrat führt deshalb meist kein Weg an einer Betriebsvereinbarung vorbei.

EU AI Act

Reine Speech-to-Text-Tools gelten nach Einschätzung von Heuking in der Regel nicht als Hochrisiko-KI. Das kann sich ändern, wenn Transkripte zur Bewertung von Beschäftigten oder zur Leistungsanalyse genutzt werden. Unabhängig davon sollten Unternehmen ihre KI-Anwendungen erfassen und intern regeln. Zu den Kennzeichnungspflichten für KI-Inhalte siehe Art. 50 AI Act für Entwickler.

KI-Meeting-Assistenten im Vergleich: Fireflies, tl;dv, Granola, Jamie und Copilot

Welches Tool passt, hängt davon ab, ob Integration, diskrete Bedienung oder Kontrolle über die Daten im Vordergrund steht. Die Angaben zu Hosting und Datenschutz beruhen auf Herstellerangaben und sollten vor dem Einsatz im aktuellen AVV und in der Liste der Unterauftragsverarbeiter geprüft werden.

Das Beispiel Jamie zeigt, warum der Blick in die Unterauftragsverarbeiter wichtig ist: Audio und Transkript liegen laut Dokumentation in Frankfurt, die Zusammenfassungen entstehen aber über die APIs von Anthropic oder OpenAI. Ein europäischer Serverstandort allein sagt also noch nicht alles über den Datenfluss.

Für Unternehmen, die vollständig auf Microsoft 365 arbeiten, ist der native Copilot für interne Meetings oft der einfachste Weg, weil keine zusätzliche Plattform hinzukommt. Externe Zoom-Termine deckt er allerdings nicht ab.

Der End-to-End-Workflow: Vom gesprochenen Wort zum Ticket und Leistungsnachweis

Der eigentliche Nutzen entsteht nicht beim Lesen einer Zusammenfassung, sondern bei der automatischen Weiterverarbeitung. Eine isolierte Notiz verlangt Copy-and-paste, eine angebundene Pipeline verteilt die Aufgaben direkt in die Zielsysteme.

In der Praxis hat sich eine vierstufige Architektur bewährt, wie sie im Projekt Conversational AI Meeting Assistant umgesetzt ist:

[Videokonferenz: Zoom / Teams / Meet]
         │
         ▼
[Audio-Erfassung & Transkription: Whisper / Anbieter-API]
         │
         ▼
[LLM-Strukturierung via n8n: Action Items & Metadaten]
         │
         ├──► Task-Management (Jira / Linear / ClickUp)
         ├──► Team-Kanal (Slack / MS Teams)
         └──► Zeiterfassung & Abrechnung (Toggl / Leistungsnachweis)

1. Strukturierte Extraktion mit festem Schema

Transkripte enthalten Füllwörter, Wiederholungen und Abschweifungen. Ein nachgelagerter n8n-Workflow lässt das Sprachmodell deshalb gegen ein festes JSON-Schema antworten (Structured Output). So kommen Aufgaben immer im gleichen Format an:

{
  "meeting_title": "Sprint Planning Q4",
  "date": "2026-10-26",
  "participants": ["Anna", "Markus", "Ozan"],
  "decisions": [
    "Die Migration auf die neue API-Version startet am Montag."
  ],
  "action_items": [
    {
      "task": "OpenAPI-Spezifikation aktualisieren",
      "assignee": "Markus",
      "due_date": "2026-10-30",
      "priority": "high"
    }
  ],
  "billable_hours": 0.75
}

2. Freigabe vor der Verteilung

Sprachmodelle können Aufgaben falsch zuordnen oder Beschlüsse erfinden (KI-Halluzination). Bevor Tickets entstehen oder Zeiten abgerechnet werden, sollte deshalb ein Mensch kurz prüfen (Human in the Loop). Das GDD-Konzept empfiehlt ausdrücklich, Transkripte nur als Entwurf zu behandeln.

3. Idempotente Verteilung in die Zielsysteme

Nach der Freigabe verteilt n8n die Daten: Der Projektkanal in Slack oder Teams bekommt eine kurze Zusammenfassung, die Aufgaben landen über API-Knoten als Tickets in Jira oder Linear. Idempotent heißt: Läuft der Workflow zweimal, entstehen keine doppelten Tickets.

Für Dienstleister lässt sich die Besprechungsdauer gleichzeitig an die Abrechnung übergeben, wie im Projekt Leistungsnachweis Automation: Dauer und Beschlüsse fließen in den monatlichen Leistungsnachweis, ohne dass Zeiten nachgetragen werden müssen. Wann sich für solche Logik ein Workflow und wann ein Agent eignet, beschreibt der Vergleich n8n Agents vs. AI-Agent-Node.

Checkliste vor der Einführung

Bevor ein Meeting-Assistent im Team ausgerollt wird, sollten diese Punkte geklärt sein:

1. Datenschutzbeauftragten und Betriebsrat einbinden. Rechtsgrundlage, Betriebsvereinbarung und gegebenenfalls Datenschutz-Folgenabschätzung gehören vor den Rollout, nicht danach.
2. Information und Einverständnis regeln. Hinweis in der Einladung, sichtbare Anzeige oder Ansage beim Start, einfache Möglichkeit zum Widerspruch. Bei externen Teilnehmenden aktiv zu Beginn fragen und ohne KI weitermachen, wenn jemand ablehnt.
3. Tabu-Zonen festlegen. Das GDD-Konzept nennt etwa Betriebsratssitzungen, Personalgespräche und Gespräche zum betrieblichen Eingliederungsmanagement oder zur Gesundheit.
4. Anbieter prüfen. AVV nach Art. 28 DSGVO, Liste der Unterauftragsverarbeiter, Speicherort, Ausschluss von KI-Training, Löschfristen für Audio und Transkripte.
5. Bot oder Desktop abwägen. Sichtbare Bots eher in internen Runden, bot-freie Tools für 1:1-Gespräche. Die Informationspflicht gilt in beiden Fällen.
6. Automatisierung mitdenken. Ohne Anbindung an Projektmanagement oder Abrechnung bleibt der Notetaker ein weiteres Archiv.

Was bleibt

KI-Meeting-Assistenten sparen Zeit, wenn zwei Dinge stimmen: ein sauber geregelter Rahmen aus Information, Einverständnis und Vertrag, und ein Workflow, der Ergebnisse dorthin bringt, wo gearbeitet wird. Wer beides vor dem Rollout klärt, vermeidet die typischen Probleme. Wie sich Meeting-Ergebnisse anschließend in einem gemeinsamen Arbeitsbereich weiterbearbeiten lassen, zeigt der Vergleich von Claude Projects, ChatGPT Canvas und Copilot Pages.