KI-Sprachrekorder in der Firma: Was die DSGVO verlangt und wie Sie Gespräche rechtssicher aufnehmen

KI-Sprachrekorder schreiben Kundentermine, Baustellenbesprechungen und Übergaben mit und liefern Minuten später eine Zusammenfassung. Für Betriebe ist das eine echte Entlastung, rechtlich treffen dabei aber gleich mehrere Regelwerke zusammen: das Strafgesetzbuch, die DSGVO, das Betriebsverfassungsgesetz und seit 2025 die KI-Verordnung. Dieser Ratgeber ordnet sie der Reihe nach, zeigt, worauf Sie bei Herstellern mit eigener Cloud achten, und endet mit einer Checkliste für den Kauf.

Stand 14.11.2026. Gesetzestexte von gesetze-im-internet.de und EUR-Lex, Herstellerangaben aus dem jeweiligen Trust Center. Das ist eine Einordnung, keine Rechtsberatung.

• § 201 StGB: Erst das Ja, dann die Aufnahme
• Welche Rechtsgrundlage die DSGVO verlangt
• Der Vertrag zur Auftragsverarbeitung
• Hersteller-Cloud und Drittlandtransfer
• Beschäftigte und Betriebsrat
• Was die KI-Verordnung dazu sagt
• Die Datenschutz-Folgenabschätzung
• Checkliste vor dem Kauf: zehn Fragen

§ 201 StGB: Erst das Ja, dann die Aufnahme

Die erste Hürde steht nicht in der DSGVO, sondern im Strafgesetzbuch. § 201 Absatz 1 bestraft mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe, wer unbefugt das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder eine so hergestellte Aufnahme gebraucht oder einem Dritten zugänglich macht. Ein KI-Rekorder ist ein Tonträger im Sinne dieser Vorschrift, die Abschrift auf dem Server ist ein Gebrauch der Aufnahme.

Nichtöffentlich ist praktisch alles, was im Betriebsalltag gesprochen wird: das Gespräch mit der Kundin am Küchentisch, die Besprechung im Bauwagen, die Übergabe auf der Station, das Gespräch mit dem Lieferanten am Handy. Öffentlich wäre etwa eine Rede vor beliebigem Publikum. Der Zweck spielt keine Rolle, auch eine Aufnahme nur für die eigenen Notizen braucht die Befugnis.

Befugt sind Sie im Betrieb in aller Regel nur durch die Einwilligung aller Beteiligten. Daraus folgen drei Regeln für die Praxis:

• Vor Ort: Fragen Sie zu Beginn, bevor die Aufnahme läuft. Kommt jemand später dazu, fragen Sie erneut. Ein sichtbares Signal am Gerät, etwa eine Leuchte, hilft allen, den Überblick zu behalten.
• Am Handy: Sagen Sie zu Beginn an, dass Sie das Gespräch für ein Protokoll aufnehmen möchten, wie lange Sie es speichern und wofür. Warten Sie ein deutliches Ja ab. Schweigen ist keine Zustimmung.
• Widerspruch: Sagt jemand nein oder zieht die Zustimmung zurück, endet die Aufnahme. Bereits Aufgenommenes sollten Sie dann löschen können, am besten mit einem Knopf und einem Protokoll darüber.

Ihr eigenes Diktat fällt übrigens nicht unter § 201 StGB, denn die Vorschrift schützt das Wort eines anderen. Sobald Sie im Diktat aber über Kunden, Patienten oder Beschäftigte sprechen, gilt die DSGVO.

Welche Rechtsgrundlage die DSGVO verlangt

Eine Sprachaufnahme ist ein personenbezogenes Datum, und zwar gleich doppelt: Die Stimme gehört zu einer erkennbaren Person, und der Inhalt handelt fast immer von Menschen. Nach Art. 6 Abs. 1 DSGVO braucht jede Verarbeitung eine Rechtsgrundlage. Für Aufnahmen im Betrieb kommen drei in Frage:

Wichtig ist die Reihenfolge im Kopf: Das Strafrecht verlangt das Ja der Beteiligten ohnehin. In vielen Fällen ist die Einwilligung deshalb auch datenschutzrechtlich die naheliegende Grundlage. Dann gelten aber deren Regeln: Sie müssen sie nachweisen können, und ein Widerruf wirkt für die Zukunft.

Zwei Punkte werden oft übersehen. Erstens die Informationspflicht nach Art. 13 DSGVO: Die Beteiligten müssen erfahren, wer verantwortlich ist, wofür die Aufnahme dient, wer sie verarbeitet und wie lange sie gespeichert bleibt. Ein kurzer Satz im Gespräch plus ein Hinweis auf Ihre Datenschutzerklärung genügt meist. Zweitens die besonderen Kategorien nach Art. 9 DSGVO: In der Pflege oder bei Gesprächen über Krankmeldungen enthalten Aufnahmen schnell Gesundheitsdaten. Dafür gelten strengere Voraussetzungen.

Auch die Stimme selbst kann ein besonderes Datum werden. Erstellt ein System Stimmprofile, um Sprecher wiederzuerkennen, verarbeitet es biometrische Daten im Sinne von Art. 4 Nr. 14 DSGVO zur eindeutigen Identifizierung, und damit greift Art. 9. Eine reine Sprechertrennung, die nur „Sprecher 1“ und „Sprecher 2“ unterscheidet, ohne jemanden wiederzuerkennen, vermeidet dieses Problem.

Der Vertrag zur Auftragsverarbeitung

Fast jeder KI-Rekorder schickt die Aufnahmen zur Abschrift auf einen Server. Wer dort für Sie verarbeitet, ist Auftragsverarbeiter nach Art. 28 DSGVO. Sie bleiben Verantwortlicher und müssen nach Absatz 1 einen Anbieter wählen, der hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet.

Absatz 3 legt fest, was im Vertrag stehen muss. Für einen Sprachrekorder sind diese Punkte die wichtigsten:

• Verarbeitung nur auf Ihre dokumentierte Weisung, also nur für Abschrift und Zusammenfassung, nicht für eigene Zwecke des Anbieters
• Vertraulichkeit aller Personen, die Zugriff haben
• Sicherheitsmaßnahmen nach Art. 32, etwa Verschlüsselung und Zugriffsprotokolle
• Unterauftragsverarbeiter nur mit Ihrer Genehmigung; bei allgemeiner Genehmigung müssen Sie über Änderungen informiert werden und widersprechen können (Absatz 2)
• Unterstützung bei Auskunft, Löschung und Datenschutz-Folgenabschätzung
• Löschung oder Rückgabe aller Daten nach Vertragsende
• Nachweise und Kontrollrechte für Sie

Lassen Sie sich die Liste der Unterauftragsverarbeiter mit Sitz und Ort der Verarbeitung zeigen. Bei KI-Rekordern stehen dort typischerweise Hosting, Spracherkennung, Sprachmodell und E-Mail-Versand. Erst diese Liste zeigt, wo Ihre Aufnahmen wirklich landen.

Hersteller-Cloud und Drittlandtransfer

Viele bekannte Rekorder verarbeiten Aufnahmen in der Cloud des Herstellers und nutzen dort Sprachmodelle großer Anbieter. Verlassen Daten dabei die EU, gelten die Art. 44 ff. DSGVO. Für die USA gibt es seit dem 10.07.2023 einen Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Das Gericht der EU hat die Klage dagegen am 03.09.2025 abgewiesen (Rechtssache T-553/23), das Rechtsmittel beim Gerichtshof ist unter C-703/25 P anhängig. Die beiden Vorgänger, Safe Harbor und Privacy Shield, hat der Gerichtshof 2015 und 2020 gekippt.

Für Ihren Betrieb heißt das: Eine Übermittlung in die USA ist heute möglich, wenn der Empfänger zertifiziert ist oder Standardvertragsklauseln greifen. Sie hängt aber an einem Beschluss, über den noch gestritten wird. Wer auf Planbarkeit Wert legt, fragt deshalb gezielt nach Verarbeitung in der EU.

Ein Beispiel, wie Hersteller das darstellen: Plaud nennt in seinem Trust Center (gelesen am 14.11.2026) Rechenzentren in den USA, in Europa (Frankfurt), Singapur und Japan. Für Nutzer in Europa nennt Plaud EU-gehostete Unterauftragsverarbeiter, als Sprachmodelle GPT, Claude und Gemini. Der Vertrag zur Auftragsverarbeitung mit Standardvertragsklauseln ist in die Nutzungsbedingungen eingebunden. Training mit Nutzerdaten erfolgt laut Plaud nur nach ausdrücklichem Opt-in, die Übertragung läuft mit TLS 1.2 oder höher, gespeicherte Daten sind mit AES-256 verschlüsselt. Eine ausdrückliche Zusage, dass Daten europäischer Nutzer ausschließlich in Frankfurt verarbeitet werden, haben wir auf der Seite nicht gefunden. Das ist kein Vorwurf, sondern genau die Frage, die Sie jedem Anbieter stellen sollten.

Prüfen Sie bei jedem Anbieter drei Dinge: den Ort der Speicherung, den Ort der Verarbeitung durch Spracherkennung und Sprachmodell, und den Sitz der Mutterkonzerne aller Unterauftragsverarbeiter. Ein Rechenzentrum in der EU ist ein guter Anfang, beantwortet aber nicht alle drei Fragen.

Beschäftigte und Betriebsrat

Tragen Beschäftigte den Rekorder oder werden sie aufgenommen, kommt der Beschäftigtendatenschutz dazu. Lange galt § 26 Abs. 1 Satz 1 BDSG als zentrale Grundlage. Der Gerichtshof der EU hat am 30.03.2023 in der Rechtssache C-34/21 zu einer gleichlautenden hessischen Vorschrift entschieden, dass nationale Regeln nur dann als spezifischere Vorschriften nach Art. 88 DSGVO gelten, wenn sie die Vorgaben aus Art. 88 Abs. 2 erfüllen. Viele Fachleute halten § 26 Abs. 1 Satz 1 BDSG seither für keine tragfähige eigenständige Grundlage mehr.

In der Praxis stützen Betriebe die Verarbeitung deshalb direkt auf Art. 6 Abs. 1 DSGVO oder auf eine Betriebsvereinbarung, die selbst als Kollektivvereinbarung nach Art. 88 DSGVO gelten kann. Die Einwilligung von Beschäftigten ist wegen des Abhängigkeitsverhältnisses heikel, weil sie freiwillig sein muss.

Unabhängig davon hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Das Bundesarbeitsgericht legt das weit aus: Schon das Erheben von Informationen, die sich einzelnen Beschäftigten zuordnen lassen, kann genügen (Beschluss vom 13.12.2016, 1 ABR 7/15). Ein Gerät, das Gespräche aufnimmt und den Personen zuordnet, die es tragen, fällt in aller Regel darunter.

Eine gute Betriebsvereinbarung für KI-Rekorder regelt mindestens:

• den Zweck, etwa Kundenprotokolle und Baustellenberichte, und den Ausschluss von Leistungs- und Verhaltenskontrolle
• wer welche Aufnahmen und Berichte sehen darf
• Löschfristen für Ton, Abschrift und Bericht
• den Ausschluss von Auswertungen wie Redeanteilen oder Stimmungsanalysen
• wie Beschäftigte Kunden informieren und was bei einem Nein gilt

Auch in Betrieben ohne Betriebsrat lohnt sich eine schriftliche Regelung. Sie ist die Grundlage für die Information der Beschäftigten nach Art. 13 DSGVO und für die Abwägung beim berechtigten Interesse.

Was die KI-Verordnung dazu sagt

Die KI-Verordnung (EU) 2024/1689 stuft Systeme nach ihrem Risiko ein. Abschrift und Zusammenfassung von Gesprächen gelten im Normalfall nicht als Hochrisiko. Drei Punkte betreffen KI-Rekorder im Betrieb trotzdem direkt:

1. Verbot der Emotionserkennung am Arbeitsbereich. Art. 5 Abs. 1 Buchstabe f verbietet seit dem 02.02.2025 KI-Systeme, die Emotionen natürlicher Personen am Arbeitsbereich und in Bildungseinrichtungen ableiten. Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen. Einige Spracherkennungsdienste bieten Stimmungs- oder Sentiment-Analyse als Zusatz an. Im Betrieb gehört diese Funktion abgeschaltet.
2. Transparenz. Die Pflichten aus Art. 50 gelten seit dem 02.08.2026. Sie betreffen unter anderem die Kennzeichnung KI-erzeugter Inhalte. Ob eine KI-Zusammenfassung eines Gesprächs darunter fällt, ist juristisch noch nicht abschließend geklärt. Kennzeichnen Sie Zusammenfassungen vorsorglich als KI-erstellt, das schafft auch intern Klarheit, welcher Text geprüft werden muss.
3. Hochrisiko bei Personalentscheidungen. Nutzen Sie Aufnahmen, um Beschäftigte zu bewerten, zu befördern oder zu kündigen, kann das System nach Anhang III Nr. 4 als Hochrisiko gelten. Die Pflichten dafür greifen nach der Änderung durch die Verordnung (EU) 2026/1744 ab dem 02.12.2027. Wer KI-Rekorder nur für Protokolle einsetzt und das in der Betriebsvereinbarung festhält, bleibt davon weg.

Die Datenschutz-Folgenabschätzung

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, besonders bei Verwendung neuer Technologien. Die Datenschutzkonferenz hat dazu eine Muss-Liste für den nicht-öffentlichen Bereich veröffentlicht (Version 1.1 vom 17.10.2018). Für KI-Rekorder sind drei Einträge einschlägig:

• Nr. 8: umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit eingesetzt werden kann
• Nr. 11: Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte
• Nr. 13: automatisierte Auswertung von Audioaufnahmen zur Bewertung der Persönlichkeit

Nicht jeder Rekorder erfüllt diese Einträge automatisch. Wer aber regelmäßig Gespräche mit Kunden oder Beschäftigten aufnimmt und per KI zusammenfasst, landet schnell in der Nähe. Die Folgenabschätzung muss nach Art. 35 Abs. 7 mindestens enthalten: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Betroffenen und die geplanten Abhilfemaßnahmen. Ein Anbieter, der dafür eine Vorlage mit allen technischen Angaben liefert, spart Ihnen viel Arbeit.

Checkliste vor dem Kauf: zehn Fragen an jeden Anbieter

1. Wo wird gespeichert, wo verarbeitet? Lassen Sie sich Land und Rechenzentrum für Speicherung, Spracherkennung und Sprachmodell getrennt nennen.
2. Gibt es einen Vertrag nach Art. 28? Mit allen Pflichtinhalten aus Absatz 3, nicht nur ein Verweis in den Nutzungsbedingungen.
3. Wer sind die Unterauftragsverarbeiter? Liste mit Sitz, Ort der Verarbeitung und Ankündigung bei Änderungen.
4. Werden Aufnahmen zum Training genutzt? Die Antwort sollte schriftlich im Vertrag stehen, auch für die Sprachmodell-Anbieter.
5. Wie läuft die Einwilligung? Gibt es einen Schritt in der App, wird er protokolliert, gibt es eine Ansage für Gespräche am Handy?
6. Zeigt das Gerät jede Aufnahme an? Eine Leuchte, die sich nicht abschalten lässt, schützt Sie vor dem Vorwurf heimlicher Aufnahmen.
7. Wie lange bleibt was gespeichert? Löschfristen für Ton, Abschrift und Bericht getrennt einstellbar, Löschen per Knopf, Löschprotokoll.
8. Werden Stimmprofile angelegt? Reine Sprechertrennung reicht für Protokolle und vermeidet biometrische Daten.
9. Lässt sich Stimmungsanalyse abschalten? Am Arbeitsbereich ist sie verboten, sie sollte im Firmenkonto gar nicht erst verfügbar sein.
10. Welche Unterlagen liefert der Anbieter? Vorlage für die Datenschutz-Folgenabschätzung, Muster-Betriebsvereinbarung und eine Beschreibung der technischen und organisatorischen Maßnahmen.

Kann ein Anbieter auf mehrere dieser Fragen nur ausweichend antworten, fehlt Ihnen am Ende genau das Papier, das Ihr Datenschutzbeauftragter oder die Aufsichtsbehörde sehen will.

Quellen

• Strafgesetzbuch, § 201 Verletzung der Vertraulichkeit des Wortes, www.gesetze-im-internet.de
• DSGVO, Art. 6, 7, 9, 13, 28, 35, 44 ff. und 88, eur-lex.europa.eu
• Betriebsverfassungsgesetz, § 87 Mitbestimmungsrechte, www.gesetze-im-internet.de
• EuGH, Urteil vom 30.03.2023, C-34/21, Hauptpersonalrat der Lehrerinnen und Lehrer, Handreichung des Hessischen Beauftragten für Datenschutz, datenschutz.hessen.de
• Bundesarbeitsgericht, Beschluss vom 13.12.2016, 1 ABR 7/15, Besprechung bei www.lto.de
• KI-Verordnung (EU) 2024/1689, Art. 5 Verbotene Praktiken, artificialintelligenceact.eu
• KI-Verordnung (EU) 2024/1689, Art. 50 Transparenzpflichten, artificialintelligenceact.eu
• Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI), Übersicht der geänderten Fristen, www.whitecase.com
• Gericht der EU, Urteil vom 03.09.2025, T-553/23, Latombe gegen Kommission, Besprechung bei www.lewissilkin.com
• Rechtsmittel C-703/25 P, Bekanntmachung im Amtsblatt, eur-lex.europa.eu
• Datenschutzkonferenz, Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1 vom 17.10.2018, datenschutz-hamburg.de
• Plaud Trust Center, eu.plaud.ai

Alle Quellen gelesen am 14.11.2026.

Erstellt von der Redaktion Die Netzhandwerker mit KI-Unterstützung. Gesetzestexte, Urteile und Herstellerangaben haben wir am 14.11.2026 bei den genannten Quellen nachgelesen. Das ist eine Einordnung, keine Rechtsberatung. Das gezeigte Gerät ist ein Entwurf.