Teams Transkription Datenschutz: DSGVO-konform nutzen ohne Abmahnung

Pexon Consulting | 8 Min. Lesezeit | 23.03.2026

TL;DR

Die Teams-Transkription verarbeitet personenbezogene Daten im Sinne der DSGVO — von der Spracherkennung bis zur Speicherung im Tenant. Ohne Einwilligung, Betriebsvereinbarung und Datenschutzfolgenabschätzung (DSFA) riskieren Unternehmen Bußgelder und Strafbarkeit nach § 201 StGB. Pexon Consulting unterstützt Unternehmen mit 300 bis 3.000 Mitarbeitenden bei der DSGVO-konformen Konfiguration von Microsoft Teams und Copilot.

Das Problem: Transkription ist kein Feature — es ist eine Datenverarbeitung

Seit Microsoft die Transkription in Teams standardmäßig verfügbar gemacht hat, schalten immer mehr Mitarbeitende die Funktion einfach ein. Was viele IT-Abteilungen übersehen: Jeder einzelne Schritt — die Spracherkennung, die Zwischenspeicherung, die Erstellung des Transkripts und die Ablage in OneDrive — ist eine eigenständige Verarbeitung personenbezogener Daten nach Art. 4 Nr. 2 DSGVO.

Das ist keine theoretische Frage. Ein deutsches Fertigungsunternehmen musste 2025 ein Bußgeld zahlen, weil es Copilot mit Transkription ausgerollt hatte, ohne eine Datenschutzfolgenabschätzung durchzuführen. Der Betriebsrat hatte nicht zugestimmt. Die Aufsichtsbehörde sah einen klaren Verstoß gegen Art. 35 DSGVO.

Wir sehen bei unseren Kunden regelmäßig drei Fehler:

1. IT aktiviert Transkription global, ohne die Rechtsabteilung einzubinden
2. Die Teams-Benachrichtigung („Transkription wurde gestartet“) wird als ausreichende Einwilligung betrachtet — ist sie nicht
3. Niemand hat definiert, wie lange Transkripte gespeichert werden und wer darauf zugreifen darf

Warum die Standard-Benachrichtigung nicht reicht

Microsoft zeigt seit Ende 2025 eine Benachrichtigung an, wenn jemand die Transkription startet. IT-Admins können diese Nachricht sogar anpassen — bis zu 200 Zeichen, mit expliziter oder impliziter Zustimmung.

Das klingt nach einer Lösung. Ist es aber nicht.

Die DSGVO verlangt eine informierte, freiwillige und spezifische Einwilligung. Eine Pop-up-Benachrichtigung in einem laufenden Meeting erfüllt keines dieser Kriterien vollständig. Der Teilnehmer kann zwar das Meeting verlassen, aber in den meisten Arbeitskontexten ist das keine echte freie Wahl. Wer ein Meeting mit seinem Vorgesetzten verlässt, weil er der Transkription nicht zustimmt, hat in der Praxis ein Problem.

Deshalb empfehlen Datenschutzexperten und auch wir bei Pexon Consulting einen zweistufigen Ansatz:

Stufe 1 — Vorabinformation: Die Einladung zum Meeting enthält einen Hinweis, dass transkribiert wird. Teilnehmer können vorab widersprechen.

Stufe 2 — Dokumentierte Einwilligung: Zu Beginn des Meetings fragt der Moderator explizit, ob alle Teilnehmer einverstanden sind. Der Widerspruch einer einzelnen Person muss die Transkription stoppen. Diese Einwilligung wird im Transkript selbst dokumentiert.

Betriebsrat: Ohne Betriebsvereinbarung kein Go

Hier wird es für viele Unternehmen richtig unangenehm. Die Einführung der Teams-Transkription unterliegt der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG — sie ist ein technisches System, das zur Überwachung von Arbeitnehmern geeignet ist. Ob Sie das beabsichtigen oder nicht, spielt keine Rolle.

Microsoft 365 kann — so formuliert es der Bund-Verlag — „zu einem äußerst mächtigen Instrument der Kontrolle von Beschäftigten werden“. Transkripte enthalten Redeanteile, Sprachmuster und inhaltliche Beiträge, die Rückschlüsse auf Leistung und Verhalten einzelner Mitarbeitender zulassen.

Eine Betriebsvereinbarung für die Teams-Transkription sollte mindestens regeln:

• Zweckbindung: Transkripte dürfen nur für Protokollzwecke verwendet werden, nicht für Leistungsbewertung
• Speicherdauer: Automatische Löschung nach 30, 60 oder 90 Tagen
• Zugriffsrechte: Wer darf Transkripte lesen? Nur Teilnehmer? Auch Vorgesetzte?
• Opt-out-Recht: Jeder Teilnehmer kann jederzeit widersprechen
• Externe Teilnehmer: Separate Einwilligung für Personen außerhalb des Unternehmens
• Copilot-Nutzung: Gelten die gleichen Regeln für Copilot-Zusammenfassungen?

Unser Tipp: Verhandeln Sie die Betriebsvereinbarung nicht isoliert für Transkription, sondern als Teil einer übergreifenden Microsoft-365-Betriebsvereinbarung. Das spart Ihnen die nächste Runde, wenn Copilot-Features hinzukommen.

DSFA: Wann sie Pflicht ist und was reingehört

Art. 35 DSGVO schreibt eine Datenschutzfolgenabschätzung vor, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ mit sich bringt. Bei KI-gestützter Transkription ist das gegeben — die niederländische Datenschutzbehörde hat 2022 eine umfassende DSFA für Microsoft 365 veröffentlicht und dabei Teams-Transkription als Hochrisiko-Verarbeitung eingestuft.

Eine DSFA für Teams-Transkription enthält typischerweise:

DSFA-Gliederung: Teams Transkription
======================================
1. Beschreibung der Verarbeitung
   - Zweck: Meeting-Protokollierung
   - Kategorien betroffener Personen
   - Datenarten: Stimme, Name, Gesprächsinhalte

2. Bewertung der Notwendigkeit
   - Rechtsgrundlage (Art. 6 Abs. 1 DSGVO)
   - Verhältnismäßigkeit

3. Risikobewertung
   - Profiling-Risiko durch Redeanteil-Analyse
   - Risiko unbefugten Zugriffs auf Transkripte
   - Risiko der Zweckänderung (Leistungskontrolle)

4. Abhilfemaßnahmen
   - Verschlüsselung, Zugriffsbeschränkung
   - Löschfristen, Audit-Logging
   - Schulung der Moderatoren

Wir raten davon ab, die DSFA intern „irgendwie“ durchzuführen. In der Praxis fehlt den meisten IT-Abteilungen die juristische Expertise, um die Risikobewertung korrekt einzuordnen. Gleichzeitig ist eine externe Kanzlei oft zu weit weg von der technischen Realität in Ihrem Tenant. Bei Pexon kombinieren wir beides — unsere Teams kennen sowohl die Microsoft-Admin-Oberfläche als auch die DSGVO-Anforderungen.

Copilot verschärft das Problem

Seit Copilot in Teams verfügbar ist, geht die Transkription einen Schritt weiter. Copilot erstellt nicht nur Transkripte, sondern auch Zusammenfassungen, Action Items und Follow-up-Vorschläge. Microsoft betont, dass diese Daten nicht zum Training der Modelle verwendet werden und innerhalb des EU Data Boundary bleiben.

Das stimmt technisch. Aber datenschutzrechtlich ändert sich etwas Entscheidendes: Copilot interpretiert Gesprächsinhalte. Es entscheidet, welche Aussagen wichtig sind, wer welche Aufgabe übernommen hat und was der nächste Schritt sein sollte. Das ist eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO — mit potenziellen Auswirkungen auf die betroffenen Personen.

Unsere klare Empfehlung: Wer Copilot in Teams nutzen will, muss die bestehende Betriebsvereinbarung um Copilot-spezifische Regelungen erweitern. Die Transkriptions-BV allein reicht nicht. Und eine separate DSFA für Copilot ist in den meisten Fällen erforderlich.

Technische Konfiguration: Was IT-Admins jetzt tun sollten

Statt alles global zu aktivieren oder zu blockieren, empfehlen wir eine differenzierte Konfiguration über das Teams Admin Center:

# Teams Meeting Policy: Transkription nur für bestimmte Gruppen
New-CsTeamsMeetingPolicy -Identity "Transkription-Erlaubt" `
    -AllowTranscription $true `
    -AllowCartCaptionsScheduling Disabled `
    -LiveCaptionsEnabledType DisabledUserOverride

# Policy nur der Compliance-Gruppe zuweisen
Grant-CsTeamsMeetingPolicy -Identity "user@contoso.com" `
    -PolicyName "Transkription-Erlaubt"

# Retention Policy: Transkripte nach 90 Tagen löschen
# → Microsoft Purview Compliance Center
# → Retention Policies → Teams Meeting Recordings

Zusätzlich sollten Sie in Microsoft Purview eine Aufbewahrungsrichtlinie konfigurieren. Transkripte werden standardmäßig in OneDrive gespeichert und unterliegen den Aufbewahrungsregeln des Tenants. Ohne explizite Policy bleiben sie unbegrenzt — ein Alptraum für jeden Datenschutzbeauftragten.

Drei Konfigurationsschritte, die wir bei jedem Kunden als Erstes umsetzen:

1. Transkription per Default deaktivieren und nur per Policy für geschulte Gruppen freigeben
2. Retention Policy in Purview auf 90 Tage setzen — passt für die meisten Branchen
3. Sensitivity Labels auf Transkript-Dateien anwenden, um unberechtigten Zugriff über SharePoint-Suche zu verhindern

Checkliste: Teams Transkription DSGVO-konform einführen

Für IT-Leiter, die das Thema strukturiert angehen wollen:

• [ ] Transkription im Teams Admin Center global deaktiviert
• [ ] Meeting Policy erstellt, die Transkription nur für definierte Gruppen erlaubt
• [ ] Betriebsrat informiert und Betriebsvereinbarung verhandelt
• [ ] DSFA durchgeführt und dokumentiert
• [ ] Einwilligungsprozess definiert (Vorabinfo in Einladung + mündliche Bestätigung)
• [ ] Retention Policy in Microsoft Purview konfiguriert (30/60/90 Tage)
• [ ] Sensitivity Labels auf Transkript-Ordner angewendet
• [ ] Moderatoren-Schulung durchgeführt (Einwilligung einholen, Widerspruch respektieren)
• [ ] Verarbeitungsverzeichnis aktualisiert (Art. 30 DSGVO)
• [ ] Externe Teilnehmer: separate Datenschutzhinweise vorbereitet

Häufig gestellte Fragen

Ist die Teams Transkription automatisch DSGVO-konform?

Nein. Microsoft stellt die technische Infrastruktur bereit, aber die datenschutzrechtliche Verantwortung liegt beim Unternehmen als Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Sie müssen selbst sicherstellen, dass eine Rechtsgrundlage vorliegt, eine DSFA durchgeführt wurde und der Betriebsrat zugestimmt hat. Die Standardeinstellungen von Microsoft genügen nicht den Anforderungen der deutschen Aufsichtsbehörden.

Was kostet die DSGVO-konforme Einführung der Teams Transkription?

Bei Pexon Consulting rechnen wir mit 8.000 bis 15.000 € für ein mittelständisches Unternehmen. Das umfasst die technische Konfiguration im Teams Admin Center und Purview, die DSFA-Erstellung, den Entwurf einer Betriebsvereinbarung und die Moderatoren-Schulung. Unternehmen, die bereits eine Microsoft-365-Betriebsvereinbarung haben, kommen günstiger weg — dann geht es primär um die Erweiterung und technische Konfiguration.

Brauche ich eine Betriebsvereinbarung für Teams Transkription?

Ja, wenn Sie einen Betriebsrat haben. Die Transkription fällt unter § 87 Abs. 1 Nr. 6 BetrVG als technische Einrichtung, die zur Überwachung geeignet ist. Ohne Zustimmung des Betriebsrats dürfen Sie die Funktion nicht einführen. Wir empfehlen eine übergreifende Microsoft-365-Betriebsvereinbarung, die auch Copilot, Viva Insights und andere KI-Features abdeckt.

Teams Transkription vs. externe Transkriptionstools — was ist sicherer?

Die integrierte Teams-Transkription hat den Vorteil, dass die Daten im Microsoft-Tenant bleiben und dem EU Data Boundary unterliegen. Externe Tools wie Otter.ai oder Fireflies.io übertragen Audiodaten an Drittserver — oft in den USA. Datenschutzrechtlich ist die native Teams-Lösung deutlich einfacher zu handhaben, sofern Sie die Konfiguration korrekt vornehmen. Der Nachteil: Sie benötigen Teams Premium oder Copilot-Lizenzen für die volle Funktionalität.

Was passiert, wenn ein Teilnehmer der Transkription widerspricht?

Der Moderator muss die Transkription sofort stoppen. Das ergibt sich aus der Freiwilligkeit der Einwilligung nach Art. 7 DSGVO und — bei Meetings unter Kollegen — aus § 201 StGB, der die Aufnahme des nicht öffentlich gesprochenen Wortes ohne Einwilligung unter Strafe stellt. Technisch kann der Moderator die Transkription über die Meeting-Steuerung beenden. Wir empfehlen, den Widerspruch im Protokoll zu dokumentieren.

Nächster Schritt

Verwandte Themen