KI-Protokoll mit Gästen: Wenn Copilot im Kundentermin mitschreibt
KI-Assistenten in Videokonferenzen sind in vielen Unternehmen still und leise zum Standard geworden. Intern fällt das kaum auf. Heikel wird es, sobald Personen am Tisch sitzen, die nicht zum eigenen Unternehmen gehören.
Die Ausgangslage
Ein mittelständisches Dienstleistungsunternehmen hatte Copilot in Microsoft Teams für den Vertrieb freigeschaltet. Die Mitarbeitenden waren begeistert: Nach jedem Kundentermin lagen Zusammenfassung, Aufgabenliste und Transkript automatisch vor.
Dann meldete sich ein Geschäftspartner. Er hatte während eines Termins den Hinweis auf die laufende Transkription bemerkt, war vorher nicht gefragt worden und verlangte Auskunft, was mit seinen Äußerungen geschieht, sowie deren Löschung. Kurz darauf fragte auch der Betriebsrat nach, ob die KI-Zusammenfassungen zur Leistungsbewertung genutzt würden.
Aus einer Komfortfunktion war innerhalb einer Woche ein Datenschutzvorgang mit drei Beteiligten geworden.
Warum das Thema heikler ist, als es aussieht
KI-Transkription berührt gleich mehrere Rechtsgebiete, die in der Praxis selten zusammen gedacht werden.
- Strafrecht: § 201 StGB schützt das nichtöffentlich gesprochene Wort. Ob eine Live-Transkription ohne gespeicherte Tonspur bereits eine „Aufnahme“ ist, ist nicht abschließend geklärt. Wer hier auf eine günstige Auslegung setzt, trägt das Risiko selbst.
- Rechtsgrundlage: Für Externe kommt im Kern nur eine Einwilligung oder ein sauber begründetes berechtigtes Interesse in Betracht (Art. 6 Abs. 1 lit. a bzw. f DSGVO). Ein Hinweisbanner im Meeting ersetzt keines von beidem.
- Informationspflichten: Geschäftspartner müssen nach Art. 13 DSGVO vor der Verarbeitung wissen, was mit ihren Äußerungen passiert, wo sie gespeichert werden und wie lange.
- Richtigkeit: Eine KI-Zusammenfassung ist eine Interpretation. Ordnet sie Aussagen falsch zu oder verkürzt sie sinnentstellend, entstehen unrichtige personenbezogene Daten (Art. 5 Abs. 1 lit. d DSGVO), die weitergegeben und archiviert werden.
- Beschäftigtendatenschutz: Zusammenfassungen machen sichtbar, wer wie viel gesprochen und was zugesagt hat. Damit ist die Funktion objektiv zur Leistungs- und Verhaltenskontrolle geeignet, und der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen.
- Besondere Kategorien: In Bewerbungs-, Personal- oder Beratungsgesprächen fallen schnell Gesundheits- oder andere sensible Angaben an (Art. 9 DSGVO). Diese landen dann ungefiltert im Transkript.
Hinzu kommt die Frage, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Bei systematischer Auswertung von Gesprächen mit KI spricht vieles dafür.
Unsere Herangehensweise
Wir haben die Funktion nicht verboten, sondern gemeinsam mit dem Mandanten einen geordneten Rahmen geschaffen. Das Vorgehen lief in vier Schritten.
- Akute Anfrage sauber abarbeiten. Zuerst haben wir das Auskunfts- und Löschersuchen des Geschäftspartners fristgerecht beantwortet. Dazu mussten wir klären, wo Transkript, Aufzeichnung und KI-Zusammenfassung technisch abgelegt waren und wer darauf Zugriff hatte. Das war aufwändiger als erwartet, weil die Artefakte an mehreren Stellen im Tenant lagen.
- Bestandsaufnahme im Tenant. Anschließend haben wir die tatsächliche Konfiguration geprüft: Welche Richtlinien gelten für wen, welche Funktionen sind aktiv, wer darf Externe einladen, wie lange bleiben Inhalte gespeichert. Die Realität wich deutlich von der Annahme der Geschäftsführung ab.
- Gespräche nach Risiko einordnen. Statt einer Einheitsregel haben wir Meeting-Kategorien gebildet, vom internen Abstimmungstermin bis zum Personal- oder Bewerbungsgespräch. Für jede Kategorie wurde festgelegt, ob KI-Unterstützung zulässig ist, in welcher Form und unter welchen Voraussetzungen. Die technische Umsetzung folgte dieser Einordnung, nicht umgekehrt.
- Organisation und Mitbestimmung nachziehen. Parallel entstanden ein angepasster Eintrag im Verzeichnis von Verarbeitungstätigkeiten, Datenschutzhinweise für externe Gesprächspartner, eine schlanke Nutzungsrichtlinie und die Grundlage für eine Betriebsvereinbarung. Ein kurzes Training für den Vertrieb deckte zugleich die KI-Kompetenzpflicht aus Art. 4 KI-Verordnung ab.
Entscheidend war die Reihenfolge: erst die rechtliche Bewertung je Gesprächstyp, dann die Konfiguration. Wer mit den Schaltern im Admin-Center beginnt, baut die Unsicherheit nur in die Technik ein.
Ergebnis und Lessons Learned
Der Mandant nutzt Copilot weiterhin, inzwischen aber kontrolliert. Der Geschäftspartner erhielt eine vollständige Antwort und hat die Zusammenarbeit fortgesetzt. Mit dem Betriebsrat wurde eine tragfähige Regelung gefunden.
Drei Erkenntnisse lassen sich verallgemeinern:
- Standardeinstellungen sind keine Datenschutzentscheidung. Was der Hersteller voreinstellt, ist auf Komfort ausgelegt, nicht auf die Rechtslage in Deutschland.
- Externe sind der blinde Fleck. Intern ist vieles über Richtlinien und Mitbestimmung regelbar. Geschäftspartner, Bewerber und Kunden müssen dagegen vorab und aktiv einbezogen werden.
- Die KI-Zusammenfassung ist das eigentliche Risiko. Sie wird geteilt, weitergeleitet und archiviert. Fehler darin wirken länger und weiter als ein Transkript, das niemand liest.
Fazit
KI-Assistenten in Meetings sind nützlich und lassen sich datenschutzkonform einsetzen. Voraussetzung ist, dass jemand die Schnittstelle zwischen Recht, Mitbestimmung und Tenant-Konfiguration im Blick behält. Genau dort entstehen die Probleme, und genau dort lassen sie sich mit vertretbarem Aufwand lösen.
Sie setzen Copilot oder vergleichbare Funktionen bereits ein oder planen die Einführung? Sprechen Sie uns an. Wir prüfen Ihre Konfiguration und entwickeln mit Ihnen einen Rahmen, der zu Ihren Gesprächssituationen passt.