1. § 201 StGB: verboten ist die Aufnahme, nicht das Zuhören
§ 201 Abs. 1 Nr. 1 StGB stellt unter Strafe, wer „das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt". Der Tatbestand knüpft an die Aufnahme an. Wer einem Gespräch nur zuhört und sich Notizen macht, macht sich nicht strafbar. Das ist der Grund, warum ein Protokollant im Raum sitzen darf, ein verstecktes Diktiergerät aber nicht.
Eine Live-Transkription ohne dauerhafte Tonspeicherung liegt näher am Stenografen als am Diktiergerät. Damit ist sie nicht automatisch von § 201 StGB erfasst. Verlassen sollte man sich darauf nicht blind: Die Abgrenzung ist für KI-Systeme nicht abschließend höchstrichterlich geklärt, und sobald eine Aufzeichnung entsteht, sei es als Audiodatei oder als dauerhaft gespeichertes Transkript, ist die Einwilligung aller Beteiligten der einzige sichere Weg.
Praktisch heißt das: Wer aufzeichnen will, holt die Zustimmung ein. Wer nur live unterstützt werden will, hat den strafrechtlichen Teil weitgehend im Griff, muss aber weiterlesen.
2. DSGVO: die Informationspflicht hängt nicht an der Speicherung
Hier liegt der Denkfehler, den wir am häufigsten hören: „Wir speichern ja nichts, also ist es egal." Das trifft nicht zu.
Art. 4 Nr. 2 DSGVO definiert Verarbeitung als „jeden Vorgang im Zusammenhang mit personenbezogenen Daten", ausdrücklich einschließlich Erheben, Erfassen, Auslesen und Verwenden. Die Stimme einer identifizierbaren Person zu transkribieren und auszuwerten ist eine Verarbeitung, auch wenn das Ergebnis Sekunden später verworfen wird. Daraus folgen zwei Pflichten, die unabhängig von jeder Speicherung bestehen:
- Rechtsgrundlage nach Art. 6 DSGVO. Im B2B-Vertrieb kommt regelmäßig das berechtigte Interesse (Art. 6 Abs. 1 lit. f) in Betracht. Das setzt eine dokumentierte Abwägung voraus, keine Behauptung.
- Information nach Art. 13 DSGVO. Die betroffene Person muss wissen, dass und wozu verarbeitet wird. Ein Satz zu Gesprächsbeginn genügt in der Praxis meist.
Ein speicherfreier Betrieb ist trotzdem sinnvoll, denn er verkleinert die Datenmenge, verkürzt Löschfristen und entschärft die Abwägung erheblich. Er ersetzt die Information aber nicht.
Die Konsequenz, die viele Anbieter nicht aussprechen: Eine verdeckte Transkription des Kunden lässt sich nicht DSGVO-konform gestalten. Wer ein Produkt damit bewirbt, dass der Gesprächspartner nichts mitbekommt, verkauft ein rechtliches Risiko mit.
3. Was mit dem Ton bei uns tatsächlich passiert
Spracherkennung in Echtzeit läuft nicht auf dem Endgerät. Der Ton wird an einen spezialisierten Dienst gestreamt. Formulierungen wie „nur Text verlässt Ihren Rechner" sind bei cloudbasierter Erkennung schlicht falsch, und wir sagen das lieber selbst, als dass es der Datenschutzbeauftragte deines Kunden herausfindet.
Unsere Kette, wie sie auch im Auftragsverarbeitungsvertrag steht:
| Wer | Wofür | Wo | Grundlage |
|---|---|---|---|
| AssemblyAI, Inc. | Sprache zu Text, verarbeitet die Gesprächsinhalte | EU-Streaming-Endpunkt, Anbieter USA | SCC / DPF |
| Anthropic PBC | KI-Analyse der Inhalte (Coaching, Auswertung) | USA | SCC |
| Supabase | Datenbank und Authentifizierung | EU (Frankfurt) | EU-Verarbeitung |
| Cloudflare | Hosting, CDN, Sicherheit | EU, US-Anbieter | SCC / DPF |
Zwei Dinge daran sind ehrlich zu benennen. Erstens: Die KI-Analyse findet in den USA statt, abgesichert über Standardvertragsklauseln. Zweitens: Auch ein EU-Endpunkt ändert nichts daran, dass der Anbieter dahinter ein US-Unternehmen ist und damit grundsätzlich dem CLOUD Act unterliegt. Das ist kein Sonderproblem von uns, sondern der Normalzustand bei praktisch jedem KI-Werkzeug am Markt. Der Unterschied liegt darin, ob ein Anbieter das transparent macht und vertraglich absichert oder ob er es verschweigt.
Was wir zusätzlich festlegen: Gespräche werden nicht zum Training von KI-Modellen verwendet, die Übertragung ist verschlüsselt, und ob überhaupt etwas gespeichert wird, entscheidet der Kunde in der Konfiguration.
4. Der Betriebsrat redet mit
Sobald eigene Beschäftigte die Software nutzen, greift § 87 Abs. 1 Nr. 6 BetrVG: Der Betriebsrat hat mitzubestimmen bei der Einführung technischer Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Auf die Absicht kommt es ausdrücklich nicht an, die objektive Eignung genügt. Eine Software, die Gespräche transkribiert und Abschlussquoten je Mitarbeiter auswertet, erfüllt das ohne Weiteres.
Das ist kein Hindernis, sondern ein Terminplanungsthema. In der Praxis bewährt sich eine Betriebsvereinbarung, die drei Fragen beantwortet: Welche Daten entstehen, wer sieht welche Auswertung, und wie lange wird aufbewahrt. Wer die Auswertung bewusst auf Team-Ebene statt auf Einzelpersonen zuschneidet, nimmt der Diskussion viel Schärfe.
Plane dafür Zeit ein. Genau dieser Schritt ist der Grund, warum ein Rollout im deutschen Mittelstand realistisch sechs bis zehn Wochen dauert und nicht zwei.
5. Die praktische Checkliste
- Hinweissatz zu Gesprächsbeginn. „Ich nutze einen digitalen Assistenten, der mir während des Gesprächs Stichpunkte einblendet. Aufgezeichnet wird nichts." Ein Satz, der die Informationspflicht in der Praxis trägt und meist völlig unaufgeregt aufgenommen wird.
- Aufzeichnung nur mit Zustimmung. Wenn Mitschnitte gewünscht sind, ausdrücklich fragen und die Antwort dokumentieren.
- AVV abschließen. Bei uns liegt er fertig vor, siehe AVV.
- Betriebsrat früh einbinden, nicht nach dem Pilotstart.
- Speicherumfang bewusst wählen. Im Zweifel speicherfrei starten und erst erweitern, wenn der Nutzen den Aufwand rechtfertigt.