In der Datenschutzerklärung von tl;dv steht eine Tabelle. Für Video- und Audioaufnahmen sowie Transkriptionen nennt sie zwei Aufbewahrungszeiten: „Free user: 3 months” und „Paying user: until account deletion”. Die zweite Zeile ist der Normalfall im Unternehmen. Wer bezahlt, dessen Transkripte bleiben liegen, bis jemand das Konto löscht. Das ist kein Versehen, das steht so in der Richtlinie.
Fireflies.ai beschreibt seinen Standard-Aufnahmemodus in der eigenen Dokumentation mit dem Satz „This is the standard recording mode in Fireflies. It keeps everything from your meeting”. Eine Ablauffrist nennt die Seite dafür nicht. Otter.ai behandelt eine eigene Aufbewahrungsregel als Sonderwunsch: „Contact your Otter account manager to set up a custom Data Retention policy”. Etwas, das ein Administrator aktiv anfordern muss, statt es vorzufinden. Nur Microsoft setzt von sich aus eine Frist: Aufzeichnungen und Transkripte in Teams laufen nach 120 Tagen ab, ein gemeinsamer Wert für beides, den ein Administrator per PowerShell auf „läuft nie ab” stellen kann.
Warum das mehr ist als eine Frage nach Speicherplatz: Der EuGH hat am 4. Mai 2023 in der Rechtssache C-487/21 (Österreichische Datenschutzbehörde gegen CRIF GmbH) entschieden, dass der Anspruch auf eine „Kopie” der personenbezogenen Daten nach Art. 15 Abs. 3 DSGVO nicht auf eine Zusammenfassung beschränkt ist. Er kann in ein Recht auf Reproduktion ganzer Dokumente oder von Teilen daraus umschlagen, sofern das unerlässlich ist, damit die betroffene Person ihre Rechte wirksam ausüben kann. Übersetzt auf dein Meeting-Tool: Das Dokument, um das es geht, ist nicht die geglättete KI-Zusammenfassung. Es ist das Rohtranskript darunter.
Wir haben den Use Case für automatisierte Meeting-Protokolle ausgearbeitet und beraten Unternehmen dazu. Wir empfehlen diese Werkzeuge weiterhin, der Nutzen ist hier so schnell sichtbar wie in kaum einer anderen Kategorie. Dieser Text handelt von der einen Einstellung, die im Onboarding nie zur Sprache kommt.
Ein Protokoll ist eine Auswahl, ein Transkript ist eine Aufzeichnung
Das handgeschriebene Protokoll galt immer als Schwachstelle. Jemand sitzt im Meeting und notiert, was er für wichtig hält. Der Rest ist weg. Genau darin lag aber auch ein Filter. Der Halbsatz „ehrlich gesagt hätten wir das Ding nie verkaufen dürfen” landet in keinem handgeschriebenen Protokoll. Der Wutausbruch über den Kunden landet nicht darin. Die halbgare Idee, die zwei Minuten später verworfen wurde, ebenfalls nicht. Niemand hat diese Auswahl je als Schutzfunktion beschrieben. Sie war unsichtbar, und sie geschah zufällig.
Das KI-Transkript hat diesen Filter nicht. Es hält den Wortlaut fest. Es ordnet jeden Satz einer Person zu und setzt einen Zeitstempel darunter. Danach ist der gesamte Bestand im Volltext durchsuchbar. Das ist keine bessere Version des Protokolls. Das ist eine andere Sorte Dokument.
Was so ein System kostet und welches Tool zu welcher Meetingkultur passt, steht in unserem Use Case zu automatisierten Meeting-Protokollen. Hier geht es um einen einzigen Punkt, der dort nur eine Zeile bekommt.
Die Zusammenfassung ist nicht das Dokument, um das es geht
Was du nach dem Meeting siehst, ist die Zusammenfassung. Entscheidungen, Aufgaben, offene Punkte, sauber sortiert. Das ist das Produkt, dafür zahlst du. Das Transkript darunter ist aus Sicht des Werkzeugs nur der Rohstoff, deshalb schaut es sich niemand an. Es bleibt trotzdem liegen.
Und darauf zielt ein Auskunftsersuchen. Wer nach Art. 15 DSGVO Auskunft verlangt, fragt nicht nach der redaktionellen Fassung, die deine KI erzeugt hat. Ob im Einzelfall wirklich ein ganzes Transkript herausgegeben werden muss, hängt vom konkreten Fall ab. Die Rechte der übrigen Teilnehmenden spielen mit hinein, und das ist eine Frage für deinen Datenschutzbeauftragten, nicht für einen Blogtext. Die Richtung aus Luxemburg ist trotzdem eindeutig: Zusammenfassen reicht als Antwort nicht automatisch.
Dass der Streit um das Rohmaterial geführt wird und nicht um die schöne Fassung, zeigt gerade ein Verfahren in den USA. In der konsolidierten Sammelklage „In re Otter.AI Privacy Litigation” (Az. 5:25-cv-06911, U.S. District Court for the Northern District of California, eingereicht am 15. August 2025) lautet der Vorwurf, Otters Notetaker-Bots seien Meetings auf Zoom, Teams oder Google Meet beigetreten, hätten dort auch Teilnehmende ohne eigenes Otter-Konto ohne deren Einwilligung aufgezeichnet und das Material zum Training der eigenen Spracherkennung verwendet. Das ist amerikanisches Recht mit eigenen Regeln zur Einwilligung in Aufzeichnungen, nicht auf Deutschland übertragbar, und es sind bisher Vorwürfe in einem laufenden Verfahren. Als Illustration taugt es trotzdem: Streitgegenstand ist die Aufzeichnung, nicht das Protokoll.
Nutzen und Risiko haben hier dieselbe Ursache
Der Use Case rechnet vor, warum sich so ein Tool lohnt, und ein Teil dieser Rechnung ist das durchsuchbare Archiv. Entscheidungen von vor acht Monaten wiederfinden, ohne drei Leute anzurufen. Genau das ist der Grund, warum wir die ROI-Sicherheit dieser Kategorie hoch bewerten, und daran ändert dieser Text nichts.
Nur ist dieses Archiv auch das Risiko, und zwar dasselbe Ding. Ein Bestand, der die Entscheidung von vor acht Monaten wiederfindet, findet auch den Satz von vor acht Monaten wieder. Je vollständiger er wird, desto nützlicher ist er. Und desto größer wird die Angriffsfläche. Das lässt sich nicht getrennt optimieren, weil es dieselbe Eigenschaft ist. Diese Frage stellt in bezahlten Kundenprojekten fast nie jemand beim Rollout, sondern erst, wenn das Archiv längst gewachsen ist.
Deshalb ist die Aufbewahrungsdauer keine Fußnote am Rand des Rollouts. Sie entscheidet, welches der beiden Dinge du betreibst.
„Bei uns fragt doch nie jemand danach”
Der beste Einwand gegen diesen Text ist ein juristischer, und er ist berechtigt. Deutschland kennt keine US-amerikanische Pretrial Discovery. Der Hebel, mit dem eine Gegenseite an gespeicherte Dokumente kommt, ist hier deutlich schwächer. Eine gerichtliche Vorlageanordnung nach § 142 ZPO setzt einen hinreichend bestimmten Antrag voraus, der bloße Ausforschungsbeweis ist unzulässig, und Gerichte prüfen die Zumutbarkeit im Einzelfall. Wer befürchtet, ein Prozessgegner könne einfach „alle Meeting-Transkripte des Jahres 2025” anfordern, überschätzt die deutsche Rechtslage deutlich.
Unendlich hoch ist die Schwelle aber nicht, und die zwei Hebel, die am wenigsten beachtet werden, brauchen sie gar nicht.
Der erste: Das Auskunftsersuchen nach Art. 15 DSGVO braucht überhaupt kein Gericht. Es ist ein formloser Antrag, gestellt von einer Person, die in dem Meeting saß oder über die dort gesprochen wurde. Ein gekündigter Mitarbeiter zum Beispiel. Kosten für den Antragsteller: eine E-Mail.
Der zweite: Die Annahme, ein datenschutzrechtlich angreifbar erhobenes Archiv sei vor Gericht wertlos, trägt nicht automatisch. Das Bundesarbeitsgericht hat am 29. Juni 2023 (Az. 2 AZR 296/22) entschieden: „In einem Kündigungsschutzprozess besteht grundsätzlich kein Verwertungsverbot in Bezug auf solche Aufzeichnungen aus einer offenen Videoüberwachung, die vorsätzlich vertragswidriges Verhalten des Arbeitnehmers belegen sollen.” Das gilt nach dem Gericht auch dann, wenn die Überwachung nicht vollständig den Vorgaben des Datenschutzrechts entsprach. Wichtig, damit hier nichts verrutscht: Das war eine offene Videoüberwachung am Werkstor einer Gießerei. Kein Transkriptionsfall, keine KI. Es ist eine Analogie, kein entschiedener Fall zu Meeting-Transkripten. Aber die Erwartung „das dürfen die ja gar nicht verwenden” ist als Sicherheitsnetz zu dünn.
Wenn du Berufsgeheimnisträger bist, gilt ohnehin eine härtere Stufe, dazu haben wir separat geschrieben: KI für Coaches und Therapeuten. Dieser Text richtet sich an das normale Unternehmen ohne Schweigepflicht. Dort greift kein § 203 StGB, und genau deshalb sieht niemand hin.
Die Aufsicht knüpft die Rechtsgrundlage an genau diese Einstellung
Die deutschen Aufsichtsbehörden machen die Zulässigkeit an Bedingungen fest. Das Bayerische Landesamt für Datenschutzaufsicht behandelt die Live-Transkription von Videokonferenzen in seinem 15. Tätigkeitsbericht 2025 (S. 56 f.) und hält es für möglich, sie auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO zu stützen. Diese Einschätzung hängt allerdings an einer Bedingung: dass das Transkript selbst nicht gespeichert wird, sondern lediglich eine anonymisierte Zusammenfassung. Für die Aufzeichnung des gesprochenen Worts ist die Linie älter und deutlich schärfer. Sie stammt allerdings aus dem Nachbarfeld. Der Sächsische Datenschutzbeauftragte schreibt in seinem Tätigkeitsbericht 2022 (S. 99 f.) zur Aufzeichnung von Telefongesprächen: „Festzustellen ist zunächst, dass eine solche Gesprächsaufzeichnung keinesfalls auf Art. 6 Abs. 1 Buchst. f DSGVO gestützt werden kann.” Die Datenschutzkonferenz hatte 2018 in einem Beschluss bereits festgehalten, dass die Aufzeichnung von Telefongesprächen in aller Regel nur mit Einwilligung zulässig ist. Alle Fundstellen zitiert nach einer Auswertung durch die dsn group.
Beides betrifft das Telefonat, nicht das Meeting-Transkript. Dass für ein wortgetreues Transkript dieselben Grundsätze gelten müssten, weil das gesprochene Wort dort 1:1 verschriftlicht wird, ist die Auffassung der Datenschutzpraktiker, die diese Fundstellen zusammengetragen haben. Ein entschiedener Fall ist es nicht.
Lies die bayerische Bedingung noch einmal. Die Rechtsgrundlage, auf die sich das BayLDA stützt, hält nur, solange das Transkript nicht liegen bleibt. Sie hängt an genau der Einstellung, die im Setup niemand vornimmt.
Das ist heute kein Prüfmaßstab, gegen den irgendjemand gemessen wird. Die Bausteine liegen aber schon vor, sie stammen nur aus verschiedenen Jahren und von verschiedenen Behörden: ein DSK-Beschluss von 2018, ein sächsischer Tätigkeitsbericht von 2022, eine bayerische Prüfung von 2025. Sie zeigen alle in dieselbe Richtung. Wer sich fragt, wer diese Frist im Unternehmen eigentlich mitentscheidet, findet die Antwort im Text zur Mitbestimmung bei der KI-Einführung. Ab August 2026 kommt zusätzlich die Transparenzpflicht aus Artikel 50 der KI-Verordnung hinzu, die eine andere Frage regelt, nämlich die Kennzeichnung, aber dieselben Werkzeuge betrifft.
Was der Anbieter löscht, und was er nicht löscht
Jamie, ein deutscher Anbieter, dessen Transkripte auf einem Server in Frankfurt liegen, macht in der eigenen Dokumentation eine sehr präzise Zusage: „Once the processing is done and your transcript is ready, we delete all audio files permanently.” Das ist klar. Das ist prüfbar. Das ist mehr, als viele Anbieter schriftlich zusagen.
An derselben Stelle steht nichts darüber, wie lange das Transkript selbst liegen bleibt. Der Ort ist dokumentiert. Die Dauer nicht. Das ist kein Vorwurf an einen einzelnen Anbieter, sondern das Muster der ganzen Kategorie: Anbieter kommunizieren die Löschung des Artefakts mit dem geringeren Beweiswert. Audio ist unhandlich, niemand hört sich 90 Minuten an. Text ist zitierfähig und durchsuchbar, er lässt sich in einen Schriftsatz kopieren. Gelöscht wird zuerst das, was am wenigsten wehtut.
Das ist übrigens ein anderes Thema als die Frage, ob deine Inhalte in einem Modell landen, dazu haben wir an anderer Stelle geschrieben. Hier wird nichts trainiert und nichts memorisiert. Hier liegt ein schlichtes Dokument auf einem Server, und es ist lesbar.
30 Tage ergeben ein Protokolltool. Drei Jahre ergeben ein Archiv.
Beides sind vertretbare Entscheidungen. Nur sind es verschiedene Produkte, und das zweite muss man entsprechend führen: mit Zugriffsrechten und mit jemandem, der dafür zuständig ist.
Kein Anbieter stellt diese Frage im Setup. Im Pilotbetrieb fällt sie auch nicht auf, weil jeder Pilot kürzer ist als jede sinnvolle Aufbewahrungsfrist. Drei Wochen Test gegen 120 Tage Standardfrist: Der Fall tritt erst ein, wenn das Projekt längst abgehakt ist und niemand mehr hinsieht.
Drei Schritte, keiner davon groß.
Erstens: Sieh nach, was heute gilt. Nicht in der Vertriebspräsentation, sondern in den Einstellungen deines Kontos und in der Datenschutzerklärung des Anbieters. Wenn du dort keine Frist findest, hast du deine Antwort bereits.
Zweitens: Trenne zwei Fristen. Die Zusammenfassung mit den Aufgaben ist das Arbeitsergebnis, sie darf bleiben. Das Rohtranskript ist ein Zwischenprodukt. Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten nur so lange in identifizierbarer Form zu speichern, wie es für den Zweck erforderlich ist. Wenn der genannte Zweck die Aufgabenliste war, dann ist die ehrliche Frage, wie viele Wochen nach dem Meeting dieser Zweck erledigt ist. Für die meisten Teams ist die Antwort deutlich kürzer als die Frist, die heute eingestellt ist.
Drittens: Lass das die Richtigen entscheiden. Die Frist ist eine Leitungsentscheidung, abgestimmt mit Datenschutzbeauftragtem und Betriebsrat. Sie ist kein Häkchen, das ein Administrator beim Ausrollen nebenbei setzt, auch wenn sie technisch genauso aussieht.
Der Rest ist eine Frage von fünf Minuten. Frag im nächsten Jour fixe, wie lange das Wortprotokoll von letztem Donnerstag noch abrufbar ist. Wenn niemand am Tisch die Antwort kennt, steht sie in der Dokumentation deines Anbieters. Bei dreien der vier Anbieter, mit denen dieser Text anfängt, steht dort für ein Bezahlkonto keine Frist, die von selbst greift.