GDPR-konforme Meeting-Transkription
für europäische Teams

Für europäische Teams läuft GDPR-konforme Transkription auf eine architektonische Frage hinaus: Wohin gehen die Audiodaten Ihres Meetings, nachdem sie das Mikrofon verlassen haben? Tools, die Meeting-Audio oder Transkripte serverseitig speichern, erfordern einen Data Processing Agreement und, wenn EU-Personendaten die EU/den EWR verlassen, einen gültigen Übermittlungsmechanismus gemäß GDPR Kapitel V. Dieser Mechanismus kann ein Angemessenheitsbeschluss, die Teilnahme am EU-US Data Privacy Framework für zertifizierte US-Anbieter, Standardvertragsklauseln, Binding Corporate Rules oder eine andere genehmigte Schutzmaßnahme sein. Tools, die Audio in Echtzeit verarbeiten, ohne es aufzubewahren, haben einen kleineren dauerhaften Daten-Fußabdruck. Der Unterschied ist keine Kleinigkeit -- Verstöße gegen AI meeting privacy unter GDPR Artikel 83 können bis zu €20 Millionen oder 4 % des weltweiten Jahresumsatzes kosten.

Betrachten Sie ein typisches DPO-Szenario: Eine Abteilungsleitung erwähnt beiläufig, dass das Vertriebsteam seit Monaten einen AI meeting assistant nutzt. Kundengespräche -- einschließlich Gesprächen mit EU-basierten Käufern, die nie informiert wurden -- wurden aufgezeichnet und auf eine Anbieterplattform hochgeladen. Es gab keinen Data Processing Agreement. Weder eine Prüfung der Rechtsgrundlage noch eine Teilnehmerinformation war dokumentiert. Die Nachbesserung beginnt erst, nachdem die Meetings bereits stattgefunden haben.

GDPR-Compliance für AI-Transkriptionstools bedeutet nicht, ein Tool mit dem richtigen Siegel zu finden. Es geht darum zu verstehen, was dieses Tool mit Audiodaten macht, wo es Transkripte speichert und ob ein Bot als de facto zweite Partei an Ihrem Meeting teilnimmt. Dieser Leitfaden gibt Ihnen einen Rahmen, um jedes Tool zu bewerten -- und wendet ihn auf sieben Tools an, die europäische Teams 2026 tatsächlich nutzen.

Was GDPR für Meeting-Transkription tatsächlich verlangt

Ist ein Meeting-Transkript personenbezogene Daten nach GDPR?

Ja. GDPR Artikel 4 Absatz 1 definiert personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Ein Meeting-Transkript nennt Teilnehmer, hält ihre Meinungen fest und kann Gesundheits-, Finanz- oder politische Informationen erfassen. Audio kann ein zusätzliches Risiko darstellen: Sprachdaten werden nach Artikel 9 zu biometrischen Daten, wenn sie zur Identifizierung einer Person verarbeitet werden, und der Inhalt eines Meetings kann besondere Kategorien von Informationen enthalten, etwa zu Gesundheit, Politik oder Gewerkschaftszugehörigkeit.

Welche GDPR-Artikel gelten für Meeting-Transkription?

Die vier GDPR-Risikostufen für Transkriptionstools

Jedes AI-Transkriptionstool fällt in eines von vier architektonischen Mustern. Das Muster bestimmt Ihr grundlegendes GDPR-Risiko -- unabhängig davon, ob der Anbieter Compliance behauptet.

Brauchen Sie eine Einwilligung, um ein Meeting in der EU zu transkribieren?

Nach GDPR Artikel 6 brauchen Sie eine Rechtsgrundlage, um personenbezogene Daten zu verarbeiten. Für Meeting-Transkription sind die am häufigsten genutzten Grundlagen berechtigte Interessen (Artikel 6 Absatz 1 Buchstabe f) für interne Meetings und informierte Offenlegung für externe Anrufe. Eine ausdrückliche Einwilligung nach Artikel 6 Absatz 1 Buchstabe a ist nicht immer erforderlich -- Transparenz nach Artikel 13 und 14 ist jedoch immer erforderlich. Sie müssen die Teilnehmer vor Beginn des Meetings darüber informieren, welche Daten erhoben werden, zu welchem Zweck und wo sie gespeichert werden.

Rechtsgrundlagen nach GDPR Artikel 6

Berechtigte Interessen decken in den meisten Fällen interne Meetings ab, sofern Ihre Datenschutzerklärung oder Ihr Mitarbeiterhandbuch offenlegt, dass Meetings transkribiert werden können, und erklärt, warum. Das berechtigte Interesse muss gegen die Datenschutzrechte der Teilnehmer abgewogen werden -- bei routinemäßigen internen Stand-ups ist das meist unkompliziert; bei sensiblen HR-Gesprächen nicht.

Einwilligung ist angemessen, wenn Sie Anrufe mit externen Parteien (Kunden, Interessenten, Auftragnehmern) transkribieren, die im Vorfeld nicht über eine vertragliche Beziehung informiert wurden. Die Einwilligung muss freiwillig, spezifisch und so leicht widerrufbar sein, wie sie erteilt werden kann.

Hinweis: EDPB-Leitlinien und die Gesetze einzelner Mitgliedstaaten (Deutschlands BDSG, Frankreichs loi Informatique et Libertés, Italiens Codice Privacy) fügen dem im Beschäftigungskontext weitere Ebenen hinzu. Prüfen Sie dies mit einem lokalen Rechtsberater, wenn Ihr Team in mehreren EU-Jurisdiktionen tätig ist.

Ein praktischer Einwilligungs-Workflow für externe Anrufe

1. Meeting-Einladung: Fügen Sie Ihrer Standard-Einladung einen Satz hinzu: „Dieser Anruf wird zu [Zweck] transkribiert. Ein Transkript wird [wo] gespeichert und für [Zeitraum] aufbewahrt.“
2. Zu Beginn des Anrufs: Bestätigen Sie mündlich: „Nur zur Information: Wir erfassen gerade ein Live-Transkript für unsere Unterlagen -- sagen Sie mir bitte Bescheid, falls Sie das nicht möchten.“
3. Bei Einwand: Stoppen Sie die Transkription sofort. Dokumentieren Sie, dass Sie gestoppt haben.
4. Aufbewahrung: Legen Sie einen Löschplan fest (z. B. 90 Tage) und setzen Sie ihn durch. GDPR Artikel 17 gibt Teilnehmern das Recht, die Löschung zu verlangen.

Worauf Sie bei einem GDPR-konformen Transkriptionstool achten sollten

Nutzen Sie diese Checkliste, wenn Sie ein Transkriptionstool für europäische Teams bewerten. Ein Tool, das alle sieben Punkte erfüllt, ist nicht automatisch „konform“ -- auch Ihre eigenen Prozesse sind wichtig -- aber es beseitigt die größten Risiken auf Anbieterseite.

• Data Processing Agreement (DPA) verfügbar und unterzeichnet vor der Nutzung -- nach Artikel 28 für jeden Auftragsverarbeiter erforderlich
• Liste der Unterauftragsverarbeiter veröffentlicht -- Sie müssen jede Partei kennen, die mit Ihren Daten in Berührung kommt, einschließlich Transkriptions-APIs, KI-Modelle und Cloud-Hosts
• Audio nicht serverseitig gespeichert -- oder nur vorübergehend während der Echtzeitverarbeitung aufbewahrt
• Option für EU-Datenresidenz -- oder überhaupt keine dauerhafte Serverspeicherung, was den Übermittlungs-Fußabdruck für gespeicherte Daten reduziert
• Workflow für das Recht auf Löschung -- können Teilnehmer die Löschung verlangen? Können Sie diese Anfrage innerhalb von 30 Tagen erfüllen?
• SLA für Benachrichtigung bei Datenschutzverletzungen -- Artikel 33 verlangt, dass Sie Ihre DPA innerhalb von 72 Stunden nach einer Verletzung benachrichtigen
• Gültiger Übermittlungsmechanismus für Unterauftragsverarbeiter außerhalb der EU/des EWR -- ein DPA allein reicht nicht aus, wenn personenbezogene Daten außerhalb der EU/des EWR übertragen oder gespeichert werden

GDPR-Transkriptionstools im Vergleich (2026)

Die folgende Tabelle bewertet sieben Tools, die von europäischen Teams häufig genutzt werden, anhand der obigen Checkliste. Architektur ist wichtiger als Zertifizierung -- ein Tool mit veröffentlichtem DPA, aber serverseitiger Audiospeicherung trägt ein höheres strukturelles Risiko als eines ohne jegliches serverseitiges Audio.

Hinweis: Preise und Verfügbarkeit von DPAs ändern sich. Prüfen Sie vor Beschaffungsentscheidungen die aktuellen Angaben auf der Website des jeweiligen Anbieters. Die angegebenen Preise sind ungefähr und beziehen sich auf Mitte 2026.

Für Teams, deren Daten die EU-Infrastruktur überhaupt nicht verlassen dürfen, sollten Anbieter priorisiert werden, die sich vertraglich zu EU-Datenresidenz verpflichten und aktuelle DPA- sowie Unterauftragsverarbeiter-Bedingungen veröffentlichen. Der Kompromiss liegt oft im Workflow: Viele in der EU gehostete Transkriptionsprodukte verarbeiten Audio erst nach dem Anruf statt live während des Meetings zu übersetzen. Siehe unseren Leitfaden zur mehrsprachigen Transkription für eine detaillierte Gegenüberstellung von Post-Call- und Echtzeit-Tools für mehrsprachige Teams.

Für Teams, die Live-Übersetzung zwischen Sprachen während des Meetings benötigen und ihren serverseitigen Audio-Fußabdruck minimieren wollen, ist MirrorCaption das einzige Tool in dieser Tabelle, das beides kombiniert -- kein Bot, keine Audiospeicherung und Echtzeit-Transkription mit Übersetzung in über 50 auswählbare Sprachen. Sehen Sie wie MirrorCaption im Vergleich zu Fireflies abschneidet, wenn Ihr Team dieses Tool derzeit evaluiert.

Wie MirrorCaption GDPR handhabt

Wir werden hier konkret -- nicht, weil wir eine Compliance-Marketingaussage machen wollen, sondern weil sich die Architektur tatsächlich von den meisten Tools in dieser Kategorie unterscheidet und europäische Teams eine verständliche Erklärung verdienen, was mit ihren Daten tatsächlich passiert.

Keine serverseitige Audiospeicherung

MirrorCaption bewahrt Ihr Meeting-Audio nicht auf. Das Audio Ihres Mikrofons oder Meeting-Tabs wird von der Live-Transkriptions-Engine von MirrorCaption in Echtzeit verarbeitet: Audiopakete werden Segment für Segment in Text umgewandelt und unmittelbar nach der Transkription verworfen. Auf den Servern von MirrorCaption sammelt sich nichts an, außer dem, was für die Abrechnung benötigt wird (Nutzungsminuten, nicht Inhalte). Das entspricht direkt dem Grundsatz der Datenminimierung in GDPR Artikel 5 Absatz 1 Buchstabe c: nur das erheben, was Sie brauchen.

Transkripte bleiben in Ihrem Browser

Wenn MirrorCaption einen Transkriptabschnitt schreibt, wird er in den lokalen Speicher Ihres Browsers (IndexedDB) geschrieben -- nicht auf einen MirrorCaption-Server. Im Managed Mode läuft Live-Audio zwar weiterhin durch Transkriptions- und Übersetzungs-Unterauftragsverarbeiter während der Echtzeitverarbeitung, aber die Infrastruktur von MirrorCaption sammelt keine serverseitige Transkriptbibliothek an. Sie bleiben für die Nutzung, Aufbewahrung und Teilnehmerinformationen Ihrer Transkripte selbst verantwortlich.

Kein Meeting-Bot

MirrorCaption nimmt niemals als Teilnehmer an Ihrem Meeting teil. Es gibt keinen Bot, keinen ungebetenen Gast, keine durch einen Bot-Teilnehmer ausgelöste Aufzeichnungsbenachrichtigung. Dadurch entfällt das bot-spezifische Datenflussproblem, das viele europäische IT- und Datenschutzteams genau prüfen. Ihre Meeting-Teilnehmer wissen, wer im Raum ist -- weil MirrorCaption nicht im Raum ist.

Das ist auch praktisch wichtig für Remote-Teams mit strengen IT-Sicherheitsrichtlinien: Da MirrorCaption Audio über den Browser-Tab erfasst -- nicht über einen installierten Client oder eine Bot-Einladung -- löst es in der Regel keine Bot-Blockierungsrichtlinien aus und erfordert keine IT-Freigabe, um einen neuen Meeting-Teilnehmer hinzuzufügen.

BYOK-Modus für Enterprise-Kontrolle

MirrorCaption unterstützt den Bring Your Own Key (BYOK)-Modus: Enterprise-Nutzer können ihre eigenen API-Zugangsdaten für die Live-Transkription und die AI-Übersetzungsschichten bereitstellen. Im BYOK-Modus hat Ihre Organisation eine direkte vertragliche Beziehung zu diesen Dienstanbietern und reduziert die Abhängigkeit von den von MirrorCaption verwalteten Verarbeitungsanbietern. Das gibt compliance-bewussten Teams eine klarere Anbieter-Kette, die sie prüfen können.

Was vor dem Enterprise-Rollout zu prüfen ist

Wir möchten ehrlich sein, was der BYOK-Modus und die No-Audio-Storage-Architektur nicht vollständig lösen. Im Managed Mode (ohne BYOK) wird Audio in Echtzeit von der Transkriptions-Engine und der AI-Übersetzungsschicht von MirrorCaption verarbeitet -- beides externe Dienste. Audio wird nicht aufbewahrt, aber es durchläuft diese Dienste. Europäische Teams mit strengen Anforderungen an die Datenresidenz sollten vor einem großflächigen Einsatz von MirrorCaption Folgendes tun:

• Fordern Sie das aktuelle Data Processing Agreement von MirrorCaption per E-Mail an info@mirrorcaption.com an und prüfen Sie die Liste der Unterauftragsverarbeiter auf aktuelle Anbieter, Rollen, Regionen und Übermittlungsbedingungen
• Prüfen Sie die Liste der Unterauftragsverarbeiter, um zu verstehen, welche Drittanbieterdienste während der Verarbeitung mit dem Audio in Berührung kommen
• Ziehen Sie den BYOK-Modus in Betracht, wenn Ihre Organisation direkte DPAs mit jeder Partei benötigt, die Ihr Audio verarbeitet

Für Teams, bei denen null Audio-Übertragung außerhalb der EU-Infrastruktur eine harte Anforderung ist, passt eine vollständig lokale oder EU-basierte Lösung (wie Amberscript mit EU-Rechenzentren) in dieser spezifischen Dimension besser -- auch wenn dafür auf Echtzeitübersetzung verzichtet werden muss.

Häufig gestellte Fragen

Ist AI-Meeting-Transkription GDPR-konform?

AI-Meeting-Transkription kann GDPR-konform sein, wenn das Tool eine Rechtsgrundlage für die Verarbeitung hat (Artikel 6), die Teilnehmer informiert (Artikel 13-14), mit den relevanten Auftragsverarbeitern ein Data Processing Agreement abschließt (Artikel 28) und einen gültigen Übermittlungsmechanismus verwendet, wenn personenbezogene Daten die EU/den EWR verlassen. Dieser Mechanismus kann ein Angemessenheitsbeschluss, die Teilnahme am EU-US Data Privacy Framework für zertifizierte US-Anbieter, Standardvertragsklauseln, Binding Corporate Rules oder eine andere von GDPR genehmigte Schutzmaßnahme sein. Die Compliance hängt von Architektur und Prozess ab, nicht von Marketing-Badges. Ein Tool, das ein „GDPR compliant“-Label anzeigt, ohne seine Liste der Unterauftragsverarbeiter oder DPA-Bedingungen zu veröffentlichen, weist Compliance nicht nach -- es behauptet sie nur.

Braucht man eine Einwilligung, um ein Meeting in der EU zu transkribieren?

Sie brauchen eine Rechtsgrundlage nach GDPR Artikel 6. Für interne Meetings greifen häufig berechtigte Interessen (Artikel 6 Absatz 1 Buchstabe f), wenn dies in Ihrer Datenschutzerklärung offengelegt ist. Bei Anrufen mit externen Parteien informieren Sie die Teilnehmer vor Beginn des Meetings und geben ihnen die Möglichkeit, zu widersprechen. Eine ausdrückliche Einwilligung ist nicht immer erforderlich, Transparenz aber immer. Die Mindestanforderung in fast jedem Szenario ist eine mündliche oder schriftliche Mitteilung, bevor die Transkription beginnt.

Kann ich US-Transkriptionstools wie Otter.ai in Europa nutzen?

Ja, aber unter Bedingungen. Prüfen Sie, ob der Anbieter ein DPA unterzeichnet, Unterauftragsverarbeiter aufführt und den Übermittlungsmechanismus für EU-Personendaten benennt. Da der EU-US Data Privacy Framework-Angemessenheitsbeschluss nur für teilnehmende zertifizierte US-Unternehmen gilt, benötigen andere US-Übermittlungen in der Regel SCCs, Binding Corporate Rules oder einen anderen gültigen Mechanismus nach GDPR Kapitel V.

Gilt GDPR für interne Meetings?

Ja. GDPR gilt für personenbezogene Daten aller Personen mit Sitz in der EU, einschließlich Beschäftigter. Interne Meeting-Transkripte enthalten personenbezogene Daten (Namen, Meinungen, manchmal Gesundheits- oder Finanzdetails) und müssen auf Grundlage einer Rechtsgrundlage mit angemessenen Aufbewahrungsfristen und Sicherheitsmaßnahmen behandelt werden. Die Tatsache, dass ein Meeting „intern“ ist, verringert Ihre Pflichten nicht; sie bedeutet meist nur, dass berechtigte Interessen als Rechtsgrundlage statt Einwilligung anwendbar sind.

Welches GDPR-Risiko hat ein Meeting-Bot?

Meeting-Bots schaffen einen zusätzlichen Teilnehmer- und Verarbeitungsfluss: Der SaaS-Anbieter zeichnet Audio in Ihrem Namen auf und speichert es oft auf seinen Servern. Dadurch kommen zu Ihren eigenen Pflichten zusätzliche Artikel-28-Verpflichtungen (ein DPA mit dem Anbieter), Anforderungen an die Übermittlungsprüfung, wenn Server außerhalb der EU/des EWR stehen, sowie Transparenzpflichten gegenüber Teilnehmern hinzu. Wenn ein Bot einem Meeting beitritt, handelt er nicht als passives lokales Tool -- er ist ein aktiver Auftragsverarbeiter mit einer eigenen rechtlichen Beziehung zu Ihren Meeting-Daten. Viele europäische IT-Abteilungen blockieren Bots genau aus diesem Grund.

Wie reduziert keine serverseitige Audiospeicherung das GDPR-Risiko?

Nach GDPR Artikel 5 Absatz 1 Buchstabe c sollten Sie nur das erheben, was notwendig ist (Datenminimierung). Wenn Audio in Echtzeit verarbeitet und nicht aufbewahrt wird, gibt es kein dauerhaftes Audioarchiv, das gesichert, durchsucht oder gelöscht werden muss. Der verbleibende Fußabdruck verlagert sich auf Transkripte und vorübergehende Verarbeitungsmetadaten -- und wenn Transkripte im Browser des Nutzers bleiben, schrumpft Ihre dauerhafte serverseitige Exposition weiter. Das ist keine vollständige Compliance-Antwort: Sie brauchen weiterhin eine Rechtsgrundlage, Transparenz gegenüber Teilnehmern, eine Prüfung der Unterauftragsverarbeiter und gegebenenfalls einen gültigen Übermittlungsmechanismus.

Das Fazit

Stellen Sie sich eine Compliance-Leitung bei einem Fintech in Barcelona vor, deren Rechtsteam in einem früheren Transkriptionstool Risiken durch Audioaufbewahrung festgestellt hat. Bei der Anbieterauswahl fällt MirrorCaption auf, weil es Echtzeit-Mehrsprachenabdeckung mit keiner serverseitigen Audioaufbewahrung und browserlokalen Transkripten kombiniert. Diese Architektur kann die Datenschutzprüfung erleichtern, ersetzt aber nicht die Sorgfalt bei der Beschaffung: Der nächste Schritt ist weiterhin, das DPA, die Unterauftragsverarbeiter und die Übermittlungsbedingungen für den Enterprise-Einsatz zu bestätigen.

Kein Tool ist isoliert „vollständig GDPR-konform“ -- Compliance ist eine Kombination aus Tool-Architektur, Ihren eigenen Einwilligungsprozessen und Ihrer internen Daten-Governance. Aber die Tool-Architektur ist der richtige Ausgangspunkt. Ein Tool, das niemals Audio speichert, birgt weniger Risiko als eines, das dies tut, unabhängig davon, was die Marketingseite des jeweiligen Anbieters sagt. Nutzen Sie das vierstufige Risikorahmenwerk in diesem Artikel, um Ihre Shortlist zu filtern, und prüfen Sie dann DPAs, Unterauftragsverarbeiter, Aufbewahrungsbedingungen und Übermittlungsmechanismen, bevor Sie unterschreiben.

Für einen tieferen Blick auf Datenschutzaspekte bei AI meeting tools sehen Sie sich unsere Analyse zu AI meeting summary privacy an -- mit dem, was verschiedene Tools nach dem Ende des Anrufs mit Ihren Meeting-Inhalten machen.