DSGVO & Meeting-Aufzeichnungen: Compliance-Leitfaden für europäische SaaS-Unternehmen

Europäische SaaS-Teams können Vertriebsgespräche unter der DSGVO aufzeichnen, sofern sie eine Rechtsgrundlage etablieren (in der Regel Einwilligung oder berechtigtes Interesse), beide Parteien vor Beginn der Aufzeichnung informieren, eine Aufbewahrungsfrist definieren und die Verarbeitung in einer Datenschutz-Folgenabschätzung dokumentieren. Die Aufzeichnung muss in der EU gespeichert, zugriffsbeschränkt und auf Anfrage löschbar sein. Alles Weitere — Betriebsratsgenehmigung, Prüfung durch die Datenschutzbeauftragte, Transkriptionsanbieter, KI-Training — ergibt sich aus diesen fünf Anforderungen.

Das ist die kurze Antwort. Die meisten SaaS-Führungskräfte scheitern an der längeren Antwort, denn die DSGVO greift mit der ePrivacy-Richtlinie, nationalem Arbeitsrecht (Betriebsräte in Deutschland, Frankreich und Österreich) sowie dem EU-KI-Gesetz ineinander. Dieser Leitfaden behandelt, worauf es für ein SaaS-Vertriebsteam mit 100 bis 5.000 Mitarbeitenden ankommt, das 2026 in Europa Meetings aufzeichnet.

Warum die DSGVO-Durchsetzung bei Meeting-Aufzeichnungen zunimmt

Meeting-Aufzeichnungen sind kein stilles Compliance-Thema mehr. Für ein europäisches SaaS-Team stoppen vier Fragen den Rollout: die Rechtsgrundlage, was Sie der anderen Partei vor dem Start der Aufzeichnung sagen, wie lange Sie die Datei behalten, und ob der Betriebsrat zugestimmt hat.

Zwei Entwicklungen treiben dies voran. Erstens haben KI-Notetaker die Aufzeichnung zum Standard gemacht. Jedes SaaS-Vertriebsteam zeichnet heute auf — häufig ohne eine formale Richtlinie. Zweitens sind Datenschutzbehörden von der Beratung zur Durchsetzung übergegangen, insbesondere in Deutschland, Frankreich und den Niederlanden. Für eine VP of Sales, die 2026 eine Konversationsintelligenz-Plattform einführt, lautet die Frage nicht mehr: „Dürfen wir aufzeichnen?“ Sondern: „Können wir nachweisen, dass wir rechtmäßig aufzeichnen — und können wir dies verteidigen, wenn der Betriebsrat fragt?“

Die fünf DSGVO-Anforderungen für Meeting-Aufzeichnungen

1. Rechtsgrundlage etablieren

Die DSGVO verlangt eine von sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Für die Aufzeichnung von Vertriebsgesprächen kommen in der Praxis drei in Betracht:

• Einwilligung (Art. 6 Abs. 1 lit. a): Die anrufende Person stimmt ausdrücklich zu, bevor die Aufzeichnung beginnt. Die Einwilligung muss freiwillig, spezifisch, informiert und widerrufbar sein. Am sichersten für externe Gespräche.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Der Verantwortliche hat ein berechtigtes Geschäftsinteresse (Coaching, Qualitätssicherung, Streitbeilegung), das die Rechte der betroffenen Person überwiegt. Erfordert einen dokumentierten Abwägungstest (Legitimate Interest Assessment).
• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Aufzeichnung ist zur Erfüllung eines Vertrags erforderlich. Bei Vertriebsgesprächen selten relevant; eher zutreffend für Support und stark regulierte Branchen (Finanzsektor unter MiFID II).

Die meisten europäischen SaaS-Teams nutzen das berechtigte Interesse für internes Coaching und die Einwilligung für die externe Teilnehmerin oder den externen Teilnehmer. Beide Rechtsgrundlagen gelten gleichzeitig, da zwei unterschiedliche Zwecke vorliegen.

2. Beide Parteien vor Beginn der Aufzeichnung informieren

Gemäß DSGVO und ePrivacy-Richtlinie müssen Sie der anrufenden Person den Zweck der Aufzeichnung, die Empfänger, ihr Widerspruchsrecht und ihr Recht auf Zugang zu den Aufzeichnungen mitteilen. Dies geschieht vor Beginn der Aufzeichnung — nicht versteckt in einer Datenschutzerklärung.

In der Praxis bedeutet das:

• Ein mündlicher Hinweis zu Beginn des Gesprächs („Dieses Gespräch wird zu Zwecken des Vertriebscoachings aufgezeichnet. Sie können jederzeit widersprechen.“)
• Eine sichtbare Benachrichtigung in der Benutzeroberfläche des Video-Meetings
• Ein Link zur vollständigen Datenschutzerklärung in der Meeting-Einladung

Bei KI-Notetakern, die als sichtbarer Bot teilnehmen (wie der Demodesk Notetaker), dient die Anwesenheit des Bots als visuelles Signal — ersetzt jedoch nicht den mündlichen oder schriftlichen Hinweis. Bei bot-freien Tools, die lokal aufzeichnen, liegt die gesamte Informationspflicht beim Nutzer. Die meisten Teams unterschätzen diese Compliance-Lücke erheblich.

3. Aufbewahrungsfrist festlegen

Die DSGVO verlangt, dass personenbezogene Daten nicht länger als nötig gespeichert werden. Bei Aufzeichnungen von Vertriebsgesprächen hängt die richtige Frist vom jeweiligen Zweck ab:

• Nur Coaching: 30–90 Tage sind üblich und vertretbar.
• Referenz während eines aktiven Vertriebszyklus: Aufbewahrung bis zum Abschluss oder Verlust des Deals, zuzüglich 30 Tage.
• Rechtliche Absicherung oder Streitbeilegung: bis zur Verjährungsfrist (je nach Land unterschiedlich, in der Regel 3–6 Jahre).
• Finanzsektor oder MiFID II: 5–7 Jahre, gesetzlich vorgeschrieben.

Das konforme Muster lautet: standardmäßig löschen, selektiv für Coaching aufbewahren. Setzen Sie eine kurze Standardfrist (30 oder 60 Tage), ermöglichen Sie Nutzern, Aufzeichnungen für Coaching oder Deal-Referenzen zu markieren, und löschen Sie alles andere automatisch. Betriebsräte und Datenschutzbeauftragte sind weitaus komfortabler mit „Die meisten Daten sind nach 60 Tagen gelöscht“ als mit einer unbegrenzten Aufbewahrung.

4. Verarbeitung dokumentieren (DSFA + VVT)

Für Meeting-Aufzeichnungen in großem Umfang — die die DSGVO in Kombination mit KI-Analyse als risikoreiche Aktivität einstuft — benötigen Sie zwei Dokumente:

• Verzeichnis von Verarbeitungstätigkeiten (VVT, Art. 30): ein formaler Eintrag, der die Verarbeitung, die Rechtsgrundlage, die Datenkategorien, die Empfänger, die Aufbewahrung und die Sicherheitsmaßnahmen beschreibt.
• Datenschutz-Folgenabschätzung (DSFA, Art. 35): erforderlich bei systematischer Überwachung, umfangreicher Verarbeitung personenbezogener Daten oder dem Einsatz neuer Technologien (KI). Meeting-Aufzeichnungen in Kombination mit KI-Coaching lösen fast immer DSFA-Anforderungen aus.

Die meisten SaaS-Anbieter können eine DSFA-Vorlage oder ein vorausgefülltes Modul für ihr Produkt bereitstellen. Wenn ein Anbieter dies nicht kann, ist das ein Warnsignal — es bedeutet, dass er die Compliance-Implikationen seines eigenen Tools nicht durchdacht hat.

5. In der EU speichern, Zugang kontrollieren, Betroffenenrechte wahren

Die Datenspeicherung ist der Punkt, an dem viele US-amerikanische Tools für europäische Käufer scheitern. Aufzeichnungen und Transkriptionen müssen auf Infrastruktur gespeichert werden, die keine Bedenken gemäß Kapitel V auslöst. In der Praxis bedeutet das: EU-basierte Cloud-Infrastruktur (Azure Frankfurt, AWS Frankfurt/Irland, OVH) ohne transatlantischen Datentransfer in der Verarbeitungskette. Das Schrems-II-Urteil und die Ungültigkeitserklärung des Privacy Shield bedeuten, dass „US-Unternehmen mit EU-Servern“ oft nicht ausreicht, wenn US-amerikanisches Recht den Zugriff erzwingen kann.

Über die Datenspeicherung hinaus gilt:

• Zugriffsrechte müssen rollenbasiert sein (wer sieht welche Aufzeichnung)
• Betroffene Personen können Auskunft, Löschung oder Datenübertragbarkeit verlangen (Art. 15, 17, 20) — Sie müssen in der Lage sein, die Aufzeichnungen einer bestimmten Person innerhalb von 30 Tagen zu finden und zu löschen
• Die KI oder das Transkriptions-Tool darf Ihre Kundengespräche nicht ohne ausdrückliche Zustimmung für das Training verwenden

Die Betriebsratsdimension (DACH-spezifisch)

In Deutschland, Österreich und Frankreich löst die Aufzeichnung von Meetings zur Überwachung der Mitarbeitendenleistung Mitbestimmungsrechte des Betriebsrats aus. Der Betriebsrat muss nicht nur informiert werden — er muss einer Betriebsvereinbarung formell zustimmen, die Folgendes regelt:

• Was wann aufgezeichnet wird
• Wer unter welchen Umständen auf Aufzeichnungen zugreifen kann
• Aufbewahrungsfristen und Löschrichtlinien
• Ob KI-Bewertungsbögen oder Coaching-Ergebnisse in Leistungsbeurteilungen einfließen dürfen (in der Regel nein, oder nur mit strengen Auflagen)
• Wie Mitarbeitende widersprechen oder bestimmte Gespräche ausschließen können

Hier stocken viele SaaS-Tools im DACH-Raum. Eine VP of Sales kauft das Produkt in Q1, und die Betriebsratsverhandlung zieht sich bis Q3 hin. Wer am schnellsten vorankommt, bringt zum ersten Gespräch ein betriebsratsgerechtes Dokumentationspaket mit — und behandelt Compliance nicht als Nachgedanken.

Wie Demodesk DSGVO-konforme Meeting-Aufzeichnungen umsetzt

Demodesk wurde von Anfang an in München für europäische Compliance entwickelt. Die relevanten Aspekte:

EU-Datenspeicherung. Alle Aufzeichnungen, Transkriptionen und abgeleiteten Daten werden auf Azure Frankfurt gespeichert. Kein transatlantischer Transfer in der Verarbeitungskette.

Konfigurierbare Aufbewahrung. Legen Sie die Aufbewahrungsdauer für Aufzeichnungen pro Unternehmen fest: 12 Stunden, 15, 30, 60, 90, 150 Tage oder 1 Jahr. Markierte Aufzeichnungen sind von der automatischen Löschung ausgenommen — das ermöglicht das Delete-by-default-Muster, das Betriebsräte und Datenschutzbeauftragte überzeugt.

Einwilligungs-Workflows. Mündlicher und visueller Hinweis zu Beginn jedes Meetings. Der sichtbare Notetaker-Bot nimmt am Gespräch teil, sodass keine teilnehmende Person uninformiert bleibt.

Rollenbasierter Zugang. Granulare Berechtigungen nach Team, Rolle und Aufzeichnungstyp. Vertriebsmitarbeitende sehen ihre eigenen Gespräche; Führungskräfte sehen die ihres Teams; Exekutivebene sieht Rollups.

Kein Training mit Kundendaten. Ihre Kundengespräche fließen niemals in das Training der KI-Modelle von Demodesk ein. Dies ist vertraglich geregelt — nicht nur eine Richtlinie.

Zertifizierungen und Dokumentation. ISO 27001:2022, DSGVO-native Architektur, DSFA-Vorlage, vorausgefüllter Auftragsverarbeitungsvertrag und Betriebsrats-Dokumentationspaket sind für jeden Kunden verfügbar.

Jeder Kanal, eine Richtlinie. Video, Telefon, Dialer, Vor-Ort und Field (mobile App) — alles wird unter einer Richtlinie, einem Aufbewahrungsplan und einem Zugriffsmodell erfasst. Viele Compliance-Programme fragmentieren, wenn Vertriebsmitarbeitende ein Tool für Zoom-Calls, ein anderes für Dialer-Gespräche und nichts für Feldgespräche nutzen. Eine Aufzeichnung, eine Richtlinie — das ist sowohl konform als auch operativ einfacher.

Die Compliance-Positionierung ist kein Add-on. Sie ist der Grund, warum europäische SaaS-Führungskräfte Demodesk gegenüber Gong oder Chorus bevorzugen. Der Compliance-Einwand wird beseitigt — nicht umgangen.

Was Ihre Aufzeichnungsrichtlinie enthalten sollte

Eine vertretbare Richtlinie umfasst:

1. Geltungsbereich — welche Teams, welche Gesprächstypen, welche Kanäle
2. Rechtsgrundlage — Einwilligung (extern) plus berechtigtes Interesse (internes Coaching), mit beigefügtem Legitimate Interest Assessment
3. Benachrichtigung — wie beide Parteien informiert werden, mit Beispielformulierungen und UI-Screenshots
4. Aufbewahrung — Standardfrist, Ausnahme für markierte Aufzeichnungen, Löschplan
5. Zugang — rollenbasierte Berechtigungsmatrix
6. Betroffenenrechte — Prozess für Auskunfts-, Löschungs- und Portabilitätsanfragen
7. KI-Verarbeitung — was die KI mit der Aufzeichnung macht (Transkription, Zusammenfassung, Bewertung), wo die KI läuft, ob sie mit den Daten trainiert wird
8. Anbieter — Name, Referenz zum Auftragsverarbeitungsvertrag, Datenspeicherort, Zertifizierungen
9. Betriebsvereinbarung — Verweis auf die unterzeichnete Betriebsvereinbarung (nur DACH)
10. Überprüfungsturnus — jährliche Überprüfung, Auslöseereignisse (neuer Anbieter, neues KI-Feature, neue Jurisdiktion)

Die meisten SaaS-Anbieter können Entwürfe für die Abschnitte 2, 3, 7 und 8 liefern. Die Abschnitte 1, 4, 5 und 9 liegen in Ihrer Verantwortung.

Für ein europäisches Team ist das Teil der Konversationsintelligenz und keine Einstellung, die jeder Vertriebsmitarbeiter selbst erfindet.