Es ist Dienstagvormittag, Kick-off-Call mit einem neuen Kunden. Kaum ist der Zoom-Raum offen, taucht ein weiterer „Teilnehmer" auf: der KI-Notetaker, den ihr vor Wochen ausprobiert habt und der sich seitdem automatisch in jedes Meeting einklinkt. Er zeichnet auf, transkribiert und schickt hinterher brav eine Zusammenfassung. Praktisch – bis der Kunde stutzt und fragt: „Läuft hier eine Aufnahme?" In diesem Moment entscheidet sich, ob ihr ein nützliches Werkzeug einsetzt oder gerade eine Straftat begeht.
KI-Notetaker wie Otter, Fireflies, tl;dv oder der in Teams und Zoom integrierte Copilot sind 2026 in Agenturen Alltag. Sie sparen echte Zeit. Aber ein KI-Notetaker im Kundengespräch verarbeitet das Gesprochene aller Beteiligten – und damit greifen gleich mehrere Regeln auf einmal. Dieser Beitrag zeigt, worauf es ankommt, damit aus dem Zeitspar-Tool kein Haftungsfall wird. Es ist eine fachliche Einordnung, keine Rechtsberatung; für konkrete Konstellationen gehört der Datenschutzbeauftragte oder ein Anwalt dazu.
KI-Notetaker im Kundengespräch: warum das Mitschreiben heikel ist
Der Reiz liegt auf der Hand: kein hektisches Mitkritzeln mehr, saubere Protokolle, durchsuchbare Gesprächsarchive. Das Problem ist, dass ein KI-Notetaker technisch nichts anderes tut als eine heimliche Aufnahme mit anschließender Verarbeitung – wenn niemand zugestimmt hat. Und daran hängen drei getrennte Rechtsebenen: das Strafrecht, das Datenschutzrecht und, bei internen Meetings, das Arbeitsrecht. Jede für sich kann den Einsatz kippen.
Der Denkfehler, der in Agenturen am häufigsten passiert: Man behandelt das Transkript wie eine private Notiz. Tatsächlich ist es eine Verarbeitung personenbezogener Daten über andere Menschen – deine Kunden, ihre Mitarbeiter, dein eigenes Team – oft ausgelagert an einen Cloud-Dienst in den USA.
Erst die Strafnorm: § 201 StGB und das gesprochene Wort
Bevor die DSGVO überhaupt ins Spiel kommt, steht eine Strafnorm im Weg. § 201 StGB schützt die Vertraulichkeit des Wortes. Wer das nicht öffentlich gesprochene Wort eines anderen ohne dessen Einwilligung auf einen Tonträger aufnimmt, macht sich strafbar – mit Freiheits- oder Geldstrafe. Ein vertrauliches Kundengespräch fällt genau darunter.
Der Knackpunkt ist die Heimlichkeit. Zeichnet der Notetaker mit, ohne dass alle Beteiligten es wissen und billigen, ist die Grenze überschritten. Es genügt nicht, dass der Agenturchef zugestimmt hat – gemeint ist jeder, dessen Stimme erfasst wird. Anders als bei der DSGVO gibt es hier keine „berechtigten Interessen", mit denen sich das Fehlen der Zustimmung ausgleichen ließe. Ohne Einwilligung aller: keine Aufzeichnung. Das ist die härteste und zugleich einfachste Regel des ganzen Themas.
Die richtige Rechtsgrundlage nach Art. 6 DSGVO
Ist die Aufzeichnung offengelegt und akzeptiert, beginnt die datenschutzrechtliche Prüfung. Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO – und welche das ist, hängt vom Gesprächstyp ab.
Bei externen Gesprächen mit Kunden, Interessenten oder Dienstleistern ist der saubere Weg die Einwilligung. Das bedeutet: aktiv fragen, bevor der Bot mitläuft, den Zweck nennen und die Möglichkeit geben, Nein zu sagen, ohne dass das Meeting deshalb platzt. Ein bloßes „ist schon an" reicht nicht. Und die Einwilligung ist widerruflich – jemand kann mitten im Gespräch entscheiden, dass jetzt Schluss mit Aufnahme ist.
Bei internen Meetings liegt der Fall anders und oft komplizierter. Sobald du Beschäftigte betreffen, kommt das Arbeitsrecht dazu. Eine KI-Transkription ermöglicht technisch die Verhaltens- und Leistungskontrolle von Mitarbeitern und fällt damit unter die Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Wo es einen Betriebsrat gibt, brauchst du eine Betriebsvereinbarung, bevor das Tool ausgerollt wird – sonst drohen Unterlassung und ein komplettes Einsatzverbot. Personalgespräche und Betriebsratssitzungen sind ohnehin tabu. In kleinen Agenturen ohne Betriebsrat entfällt dieser Schritt, doch die datenschutzrechtliche Pflicht zur sauberen Information und Interessenabwägung bleibt.
Der AVV mit dem Anbieter – und das US-Cloud-Problem
Läuft die Transkription über einen Cloud-Dienst, verarbeitet dieser die Daten in deinem Auftrag. Damit brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter. Fehlt der, ist die Verarbeitung schon aus formalen Gründen rechtswidrig – unabhängig davon, wie gut die Einwilligung war. Dass auch kleine Agenturen diese Verträge brauchen, sobald sie KI-Tools einsetzen, vertieft der Beitrag zum AVV für KI-Tools.
Dazu kommt die Herkunftsfrage. Viele populäre Notetaker sind US-Dienste und verarbeiten die Gesprächsinhalte auf US-Servern. Damit landest du beim Drittlandtransfer nach Art. 44 ff. DSGVO, der eine tragfähige Grundlage wie das EU-US Data Privacy Framework oder Standardvertragsklauseln voraussetzt – ein Fundament, das derzeit alles andere als stabil ist. Warum das für Agenturen zum Risiko wird, ordnet der Beitrag zum Risiko US-Cloud und DSGVO ein. Für sensible Kundengespräche lohnt der Blick auf europäische Anbieter oder auf Tools, die lokal transkribieren, ohne die Audiodaten in eine fremde Cloud zu schieben.
Transkript ist kein Protokoll: Fehlerquote und Beweiswert
Ein Missverständnis, das teuer werden kann: dem KI-Transkript blind zu vertrauen. Übliche Transkriptionsmodelle liegen je nach Audioqualität, Dialekt und Fachjargon bei einer Fehlerquote von grob drei bis acht Prozent. Bei Fachbegriffen, Namen und Zahlen – also genau dort, wo es im Agenturalltag zählt – wird geraten. Ein Transkript, das „15.000 Euro Budget" statt „50.000" festhält, ist kein Detail, sondern ein Konflikt in der Zukunft.
Deshalb: Ein KI-Transkript ist ein Rohentwurf, kein verbindliches Protokoll. Wo es auf den Wortlaut ankommt – Freigaben, Budgets, Zusagen – gehört ein menschlicher Blick darüber, idealerweise im Vier-Augen-Prinzip. Als Beweismittel vor Gericht taugt ein unkontrolliertes KI-Transkript wenig; erst ein nachvollziehbar geprüftes Dokument hat Gewicht. Verkaufe dem Kunden das automatische Protokoll also nicht als Wahrheit, sondern als Vorlage, die noch redigiert wird.
Löschen, informieren, kennzeichnen: die Pflichtroutine
Drei Pflichten runden das Bild ab. Erstens die Transparenz: Nach Art. 13 DSGVO müssen die Betroffenen wissen, dass und wozu transkribiert wird, wie lange das Ergebnis gespeichert bleibt und wer Zugriff hat. Zweitens das Löschen. Gesprächsmitschriften sammeln sich rasend schnell an; ohne festes Löschkonzept hast du in einem Jahr ein durchsuchbares Archiv sämtlicher Kundengespräche – ein Datenschatz, der bei einem Angriff zum Albtraum wird. Lege fest, wann Audiodateien und Transkripte gelöscht werden, und halte dich daran. Wie ein solches Konzept aussieht, zeigt der Beitrag zum Löschkonzept nach DSGVO.
Drittens die KI-Kompetenz. Seit Februar 2025 verlangt Art. 4 des EU AI Act, dass Beschäftigte, die KI-Systeme einsetzen, ausreichend geschult sind – und ein Notetaker ist ein KI-System. Was diese Pflicht konkret bedeutet, erklärt der Beitrag zur KI-Kompetenzpflicht aus Art. 4 AI Act. Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu vier Prozent des Jahresumsatzes – für eine kleine Agentur existenzgefährdend.
Der Vollständigkeit halber: Ein KI-Notetaker, der ein ganzes Gespräch stillschweigend aufsaugt, ist datenschutzrechtlich etwas völlig anderes als ein System, das nur mit klar freigegebenen, dokumentierten Inhalten arbeitet und nachvollziehbar belegt, woher eine Aussage stammt. Wer diesen Unterschied verstanden hat, trifft auch bei anderen KI-Werkzeugen die richtige Entscheidung.
Wann der Notetaker besser ausbleibt
Es gibt Gespräche, bei denen die Antwort schlicht „aus lassen" heißt – unabhängig davon, wie sauber deine Einwilligung formuliert ist. Immer dann, wenn besonders sensible Daten fallen, steigt das Risiko überproportional. Redet ihr mit dem Kunden über einen Krankheitsfall in seinem Team, über eine Kündigung, über einen laufenden Rechtsstreit oder über Betriebsinterna eines Dritten, hat ein automatisch mitlaufendes Transkript in einer fremden Cloud nichts verloren. Das Gleiche gilt für erste Akquisegespräche, in denen der Gegenüber noch gar keine Vertrauensbasis zu dir hat: Die Frage „Stört es Sie, wenn eine KI mitschreibt?" kann ein zartes Erstgespräch schneller kippen, als dir lieb ist.
Ein zweiter Reflex, der sich lohnt: die Voreinstellung umdrehen. Viele Notetaker klinken sich standardmäßig in jedes Meeting ein, das im Kalender steht. Genau diese Automatik ist die Hauptquelle für Pannen, weil der Bot mitläuft, bevor irgendjemand nachgedacht hat. Stell das Tool so ein, dass es nur auf bewusste Aktivierung startet – dann triffst du die Entscheidung pro Gespräch und nicht der Kalender für dich.
Deine Sechs-Punkte-Checkliste fürs nächste Meeting
Damit das Thema im Alltag nicht jedes Mal neu diskutiert wird, hilft eine feste Routine. Erstens: Vor jedem externen Call aktiv um Einwilligung bitten – und Nein akzeptieren. Zweitens: Für interne Nutzung eine klare Regel oder Betriebsvereinbarung schaffen. Drittens: Für jedes eingesetzte Tool einen AVV abschließen und den Serverstandort prüfen. Viertens: Transkripte grundsätzlich als Entwurf behandeln und Wichtiges gegenlesen. Fünftens: Eine feste Löschfrist definieren und automatisieren. Sechstens: Das Team einmal schulen, damit jeder die Regeln kennt.
Das klingt nach viel für ein simples Notiz-Tool. Aber der Aufwand fällt einmal an – und schützt dich davor, dass aus einem netten Zeitgewinn ein Gespräch mit dem Anwalt wird. Genau diese Sorgfalt ist übrigens ein Verkaufsargument: Eine Agentur, die den Umgang mit KI-Tools sauber geregelt hat, wirkt auf Kunden souveräner als eine, bei der ungefragt ein Bot mitschreibt.
- Ein KI-Notetaker zeichnet das gesprochene Wort auf – ohne Einwilligung aller Beteiligten kann das nach § 201 StGB strafbar sein; hier hilft keine Interessenabwägung.
- Bei externen Kundengesprächen ist die Einwilligung die saubere Rechtsgrundlage nach Art. 6 DSGVO – aktiv einholen, Zweck nennen, Widerruf ermöglichen.
- Interne Nutzung berührt die Mitbestimmung: KI-Transkription fällt unter § 87 Abs. 1 Nr. 6 BetrVG und braucht wo vorhanden eine Betriebsvereinbarung.
- Läuft die Transkription über einen (oft US-)Cloud-Dienst, sind ein AVV nach Art. 28 DSGVO und eine tragfähige Grundlage für den Drittlandtransfer Pflicht.
- Ein KI-Transkript ist bei 3–8 % Fehlerquote ein Entwurf, kein Protokoll – Wichtiges gegenlesen, Löschfristen setzen, Team nach Art. 4 EU AI Act schulen; Bußgelder reichen bis 4 % des Jahresumsatzes.