DSGVO-konforme KI-Vertrieb-Tools richtig vergleichen

KI Dieser Artikel wurde mit Hilfe von KI erstellt.

Wichtige Erkenntnisse

• Ein pauschales Datenschutz-Label ersetzt keine echte Prüfung von Rechtsgrundlagen und Auftragsverarbeitungsverträgen.
• Tools mit Audioaufzeichnung fordern wegen der Vertraulichkeit des Wortes zwingend eine aktive Einwilligung.
• Aufnahmefreie Echtzeit-Transkription lässt sich rechtssicher auf ein berechtigtes Interesse stützen.
• Eine Datenschutz-Folgenabschätzung ist vor dem Rollout nötig, wenn ein voraussichtlich hohes Risiko besteht.

Was bedeutet DSGVO-konform bei Meeting-Tools?

Ein Tag, den du kennst: Der Termin war gut, die Notizen sind ein Zettelchaos, und abends am Küchentisch tippst du CRM-Updates zusammen. Ein KI-Meeting-Tool verspricht Abhilfe - und auf der Website prangt das Label 'DSGVO-konform'. Das klingt beruhigend, ist aber kein Prüfzertifikat. DSGVO-Konformität ist keine Eigenschaft, die ein Hersteller einem Tool anheften kann. Sie entsteht erst durch die Art, wie dein Unternehmen das Tool konkret einsetzt.

Der Grund liegt in den Rollen: Sobald du ein KI-Meeting-Tool zur Dokumentation von Kundengesprächen nutzt, bist dein Unternehmen der Verantwortliche. Du bestimmst Zweck und Mittel der Verarbeitung - also was transkribiert wird, wofür die Notizen dienen und wie lange sie bleiben. Der Tool-Anbieter arbeitet auf deine Weisung hin und ist damit Auftragsverarbeiter^[1]. Das Label auf der Marketingseite ändert daran nichts: Die Verantwortung für die rechtmäßige Verarbeitung bleibt bei dir.

Deshalb lautet die praktische Regel: Zerlege jede Verarbeitung in Einzelschritte und prüfe jeden Schritt für sich. Erst wenn du weißt, welche Daten wann wo verarbeitet werden, kannst du die Schreibtischarbeit im Vertriebsalltag rechtssicher reduzieren - statt blind auf Marketingversprechen zu vertrauen.

• Verarbeitungszweck: Was soll das Tool leisten - Live-Notizen, Zusammenfassungen, CRM-Updates?
• Datenkategorien: Welche personenbezogenen Daten fließen - Stimme, Namen, Gesprächsinhalte, Metadaten?
• Beteiligte: Wer ist Verantwortlicher, wer Auftragsverarbeiter, wer Unterauftragsverarbeiter?
• Rechtsgrundlage: Worauf stützt sich jede einzelne Verarbeitung?
• Datenfluss: Wo werden Daten verarbeitet, wo gespeichert, wie lange aufbewahrt?
• Betroffene: Wer muss informiert werden - Mitarbeitende, Kunden, Meeting-Gäste?

Diese sechs Fragen sind dein Prüfgerüst. Die folgenden Abschnitte gehen sie der Reihe nach durch - so vergleichst du KI-Meeting-Tools anhand belastbarer Kriterien statt anhand von Badges.

Welche Rechtsgrundlage trägt die Verarbeitung?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage - und die Einwilligung ist nur eine von mehreren Möglichkeiten^[2]. Für KI-Meeting-Tools kommen im Vertriebsalltag vor allem drei in Frage. Welche passt, entscheidet sich am Einzelfall: am Gesprächskontext, an der Datenkategorie und daran, was mit dem Ergebnis passiert.

• Einwilligung: Sie muss freiwillig, informiert, zweckbezogen und eindeutig sein - und jederzeit widerrufbar^[2]. Genau hier liegt das Praxisproblem: Im Kundentermin fehlt oft die Zeit für eine dokumentierte, widerrufbare Einwilligung, und Mitarbeitende können gegenüber dem Arbeitgeber gar nicht freiwillig einwilligen.

Vertrag oder berechtigtes Interesse: Lässt sich die Transkription auf die Vertragserfüllung stützen, etwa wenn der Kunde eine dokumentierte Beratung ausdrücklich erwartet? Oder trägt ein berechtigtes Interesse, etwa die Effizienz der Dokumentation? Das berechtigte Interesse verlangt eine Abwägung: Ist die Verarbeitung erforderlich, oder gibt es ein milderes Mittel? Diese Prüfung kannst du nicht an den Hersteller delegieren - sie ist deine Aufgabe als Verantwortlicher.

Wichtig ist die Konsequenz: Ein Hersteller, der nur schreibt 'DSGVO-konform', sagt damit nicht, welche Rechtsgrundlage deine konkrete Nutzung trägt. Fordere die Stellungnahme ein, prüfe sie gegen deinen Anwendungsfall - und dokumentiere deine Entscheidung. Genau diese Dokumentation ist es, die eine Datenschutzprüfung besteht und eine Marketingbehauptung überlebt.

Welche Rollen und Verträge sind zu prüfen?

Der Tool-Anbieter verarbeitet personenbezogene Daten nicht für sich, sondern auf deine Weisung: Er ist Auftragsverarbeiter^[1]. Diese Rolle ist vertraglich zu fixieren - mit einem schriftlichen Auftragsverarbeitungsvertrag, dem AVV. Ohne ihn ist der Einsatz im Außendienst nicht rechtskonform, so gut die Technik auch sein mag.

Der AVV ist aber nur die erste Ebene. In der Praxis arbeitet kein KI-Anbieter allein: Cloud-Hoster, Transkriptionsdienste und KI-Modell-Anbieter kommen als Unterauftragsverarbeiter hinzu. Jeder dieser Unterauftragsverarbeiter braucht deine vorherige, schriftliche Autorisierung, und die Vertragskette muss denselben Schutz vorsehen wie der Vertrag mit dem Hauptanbieter^[1]. Eine lückenhafte Kette - etwa weil der Hersteller seine Transkriptionsdienste nicht offenlegt - ist ein echtes Warnsignal.

• AVV vorhanden und aktuell? Verlangt den Vertrag schriftlich, nicht nur eine Verweis auf allgemeine Geschäftsbedingungen.
• Unterauftragsverarbeiter-Liste vollständig? Hoster, Transkriptionsdienst, KI-Modell-Anbieter - jeder muss namentlich dokumentiert sein.
• Weisungsgebundenheit geregelt? Der Anbieter darf nur verarbeiten, was du anweist - inklusive Löschung und Rückgabe nach Vertragsende.
• Sicherheitsmaßnahmen benannt? Technische und organisatorische Maßnahmen müssen im Vertrag stehen.
• Audit- und Informationsrechte vereinbart? Du musst nachweisen können, dass der Anbieter die DSGVO-Anforderungen erfüllt.

Praktischer Tipp: Lege die AVV-Kette neben die Verarbeitungsbeschreibung aus Abschnitt 1. Passt jede vertragliche Regelung zu einem realen Verarbeitungsschritt? Fehlt eine Vertragspartei für einen Schritt, hast du eine Lücke gefunden - und einen Vergleichspunkt, an dem sich Anbieter messen lassen.

Wo liegen Daten und wie lange?

Der dritte Prüfblock ist der Datenfluss: Wo entstehen Daten, wo werden sie übertragen, wo gespeichert, wann gelöscht? Für europäische Unternehmen ist der Speicherort kein Detail, sondern ein Kernkriterium. Serverstandorte innerhalb der EU vereinfachen die Rechtslage deutlich; Datentransfers in Drittländer - etwa in die USA - brauchen zusätzliche Garantien, die im Einzelfall schwer zu rechtfertigen sind.

Verlange vom Anbieter eine dokumentierte Antwort auf drei Fragen: Wo läuft die Verarbeitung? Wo liegen die Speicherorte? Welche Löschfristen gelten - und wann werden Daten automatisiert gelöscht? Ein Anbieter, der diese Kette nicht offenlegen kann oder will, lässt dich als Verantwortlichen mit dem Risiko allein.

• Verarbeitungsort: In welchem Land - und auf welcher Infrastruktur - werden Audio- und Textdaten verarbeitet?
• Speicherort: Wo liegen Transkripte und Notizen dauerhaft? EU-Hosting oder Drittland?
• Drittländer-Transfers: Finden Übermittlungen außerhalb des EWR statt? Wenn ja, mit welchen Garantien?
• Aufbewahrung: Wie lange werden Transkripte, Zusammenfassungen und Metadaten vorgehalten?
• Löschung: Wann und wie werden Daten automatisiert gelöscht - und was passiert bei Vertragsende?

Ein Sonderfall verdient eigene Aufmerksamkeit: die Audiodaten selbst. Manche Tools speichern die Audioaufnahme des Gesprächs dauerhaft, andere verarbeiten das Signal nur flüchtig und löschen es fortlaufend nach der Transkription. Dieser Unterschied prägt nicht nur die Löschfrage, sondern auch die Rechtsgrundlage - dazu gleich mehr.

Wann braucht es eine Folgenabschätzung?

Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist erforderlich, bevor eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen birgt^[3]. Sie ist kein Papierkram, sondern ein Werkzeug: Sie zwingt dich, Risiken vor dem Rollout zu identifizieren und Maßnahmen dagegen zu planen - statt nachträglich zu reagieren.

Bei KI-Meeting-Tools sprechen mehrere Faktoren für eine DSFA-Pflicht: Der Einsatz neuartiger KI-Technologie, die Verarbeitung von Sprachdaten aus Gesprächen mit Kunden und Dritten, und je nach Ausgestaltung eine systematische Auswertung von Gesprächsinhalten. Bleiben nach den geplanten Maßnahmen hohe Risiken bestehen, musst du vor dem Start die Datenschutzaufsichtsbehörde konsultieren^[3].

• Neuartige Technologie: Setzt das Tool generative KI oder Sprachmodelle ein, die neu für deine Organisation sind?
• Umfang der Daten: Werden Gespräche mit Kunden und externen Gesprächspartnern verarbeitet?
• Systematik: Erfolgt die Verarbeitung flächendeckend und regelmäßig, nicht nur punktuell?
• Betroffenenkreise: Sind Mitarbeitende, Kunden oder auch schutzbedürftige Personen betroffen?
• Verbleibendes Risiko: Bleibt nach geplanten Maßnahmen ein hohes Risiko, ist die Behörde einzubinden.

Zwei praktische Konsequenzen: Erstens gehört die DSFA-Entscheidung vor den Rollout, nicht danach. Zweitens ist der Betriebsrat früh einzubinden - bei der Einführung von KI-Tools im Vertrieb ohnehin ein natürlicher Partner. Wer die DSFA-Prüfung und die Betriebsratsgespräche parallel aufsetzt, gewinnt Zeit und Akzeptanz. Ein strukturierter Bewertungsrahmen für Legal, IT und Betriebsrat hilft, diesen Prozess ohne Reibung zu durchlaufen.

Was ändert eine aufnahmefreie Architektur?

KI-Meeting-Tools lassen sich in zwei technischen Familien einteilen: Recording-Bots, die das Gespräch als Audio- oder Videodatei aufzeichnen, und aufnahmefreie Lösungen, die das Audiosignal in Echtzeit transkribieren, ohne es dauerhaft zu speichern. Der Unterschied ist rechtlich nicht kosmetisch - er verändert die Risikolage grundlegend.

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in seinem 15. Tätigkeitsbericht 2025 die Live-Transkription von Videokonferenzen ohne dauerhafte Audiospeicherung bewertet: Eine solche Verarbeitung kann grundsätzlich auf ein berechtigtes Interesse gestützt werden, wobei die Erforderlichkeit im Einzelfall zu prüfen ist. Für den Vertriebsalltag heißt das: Statt für jeden Termin eine Einwilligung einzusammeln, kann eine sorgfältig dokumentierte Interessenabwägung tragen - wenn die Technik tatsächlich aufnahmefrei arbeitet.

Der Kontrast: Tools, die das Audiosignal zwischenspeichern oder aufnehmen, greifen in den Anwendungsbereich des Strafrechts zum Schutz der Vertraulichkeit des gesprochenen Wortes, § 201 StGB. Hier ist eine Einwilligung der Gesprächspartner erforderlich - und in der Praxis oft schwer rechtssicher einzuholen.

‍

Ein Punkt zur Einordnung: Aufnahmefreiheit reduziert einen Verarbeitungsschritt - die dauerhafte Audiospeicherung - und damit ein Risiko. Sie ersetzt aber weder die Rechtsgrundlage noch die Transparenz gegenüber Gesprächspartnern, den AVV oder die Prüfung der Mitbestimmung. Auch ein aufnahmefreies Tool braucht eine saubere Dokumentation von Zweck, Datenfluss und Löschung. Die Architektur verkleinert die Hürden, sie hebt sie nicht auf.

Wie prüfst du den Bliro Note Taker?

Du kennst jetzt die Prüfblöcke: Verarbeitungsschritte, Rechtsgrundlage, AVV-Kette, Datenfluss, DSFA und Betriebsrat. Überführe sie in einen strukturierten Pilot mit dem Bliro Notetaker - und prüfe den Anbieter an denselben Kriterien wie jeden anderen.

Der technische Ansatz: Bliro arbeitet mit aufnahmefreier Echtzeit-Transkription. Laut Help Center werden die für die Transkription verarbeiteten Audioströme weder dauerhaft auf eigenen Servern noch auf denen eines Providers gespeichert. Das Audio wird verschlüsselt und in Echtzeit an den Transkriptionsdienst übertragen, dort live transkribiert und das Transkript an dich zurückgegeben. Für deine Rechtsgrundlagenprüfung heißt das: Der Verarbeitungsschritt 'dauerhafte Audiospeicherung' entfällt, und die Stützung auf ein berechtigtes Interesse wird - wie im vorigen Abschnitt beschrieben - rechtlich greifbar.

• Verarbeitungsbeschreibung anfordern: Welche Daten werden in welchen Schritten verarbeitet - vom Audiosignal bis zum Transkript?
• AVV und Unterauftragsverarbeiter-Liste einholen: Vertragskette vollständig und aktuell?
• Datenfluss dokumentieren: Serverstandorte, Löschfristen, Verhalten bei Vertragsende.
• Rechtsgrundlage festlegen: Berechtigtes Interesse für die Live-Transkription prüfen und die Abwägung dokumentieren.
• DSFA-Entscheidung treffen und Betriebsrat einbinden: Vor dem Rollout, nicht danach.
• Pilot definieren: Konkreter Nutzerkreis, konkrete Gesprächstypen, konkrete Löschfristen - dann auswerten.

Genau dafür ist der Bliro Notetaker gebaut: ein DSGVO-konformer Meeting-Assistent, der ohne Bot im Meeting und ohne Audio- oder Videoaufnahme auskommt und sowohl Online-Meetings als auch Vor-Ort-Termine abdeckt. Datenfluss, AVV und die aufnahmefreie Transkription kannst du direkt in einer eigenen Datenschutzprüfung bewerten - am besten auf der Seite zum.

Quellen

1. https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_en
2. https://www.edpb.europa.eu/sme/be-compliant/process-personal-data-lawfully_en
3. https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en