AEPD-Leitfaden April 2026 für Unternehmen, die Meetings aufzeichnen: was sich geändert hat und was du tun musst

Was sich geändert hat

Am 20. April 2026 hat die spanische Datenschutzbehörde (AEPD) einen eigenen Leitfaden zur DSGVO-Konformität automatisierter KI-Tools zur Sprachtranskription veröffentlicht. Es ist der zweite in vier Monaten (der erste kam im Januar 2026), und beide zusammen ziehen eine klare Linie für jedes Unternehmen und jede Fachperson, die KI nutzt, um Meetings, Anrufe oder anderes Audio mit personenbezogenen Daten zu transkribieren.

Wenn du Meetings mit Kunden, Patienten, Beratern, Bewerbern oder Mitarbeitenden aufzeichnest, betrifft dich dieser Leitfaden. Er ist nicht optional.

Warum jetzt

Der Einsatz von KI-Tools für Transkription und Notizen ist in den letzten 18 Monaten stark gewachsen. Die AEPD sieht zwei parallele Probleme:

1. Unkritische Einführung. Die meisten Fachleute und Unternehmen, die diese Tools nutzen, haben nicht geprüft, wo Daten verarbeitet werden, was damit trainiert wird oder wie die Rechte der übrigen Teilnehmenden der Aufnahme gewahrt werden.
2. In den USA für den US-Markt entworfene Produkte. Die großen Anbieter sind für Rechtsordnungen mit Einwilligung nur einer Partei ausgelegt (Kalifornien ist die Ausnahme). Das Modell „Bot tritt automatisch bei, Abmeldung per E-Mail eine Stunde vorher" erfüllt die europäischen Maßstäbe einer spezifischen und informierten Einwilligung nicht.

Der Leitfaden verbietet diese Tools nicht. Er stellt klar, was das Unternehmen oder die Fachperson, die sie einsetzt, tun muss, um einen Verstoß zu vermeiden.

Die vier Anforderungen, erklärt

1. Einwilligung pro Sitzung

Was die AEPD sagt: Die Einwilligung muss sich auf jede einzelne Aufnahmesitzung beziehen. Ein allgemeiner Hinweis beim Beitritt zum Dienst („Mit der Nutzung dieses Produkts akzeptierst du, dass deine Meetings aufgezeichnet werden") ist keine wirksame Einwilligung. Jede Aufnahme ist ein eigener Verarbeitungsvorgang.

In der Praxis: - Es reicht nicht, dass du als Gastgeber die Nutzungsbedingungen des Dienstes akzeptiert hast. Du musst bestätigen, dass jede teilnehmende Person bei jedem Meeting damit einverstanden ist, dass genau dieses Meeting aufgezeichnet wird. - Die Einwilligung muss vor der Aufnahme vorliegen, nicht danach. Der Hinweis „Dieses Gespräch wird aufgezeichnet" nach 30 Sekunden ist problematisch. - Die Einwilligung muss dokumentiert sein. Wenn man dich auffordert: „Beweise, dass Kunde X am 11. März um 16:00 Uhr der Aufnahme zugestimmt hat", musst du den Nachweis zeigen können.

So erfüllst du sie: - Dokumentiertes Verfahren vor jedem Meeting. Ein konkreter Satz, nicht sinngemäß: „Dieses Meeting wird mit AudioMap aufgezeichnet und transkribiert. Bist du einverstanden?". Halte die Antwort fest. - Wenn du einen Bot nutzt, der automatisch beitritt: Prüfe, dass der Abmeldeweg per E-Mail funktioniert, nicht nur von der E-Mail abhängt (was, wenn die Person sie nicht öffnet?) und zusätzlich zu Beginn der Sitzung angezeigt wird. - Wenn du bewusst aufnimmst (du lädst das Audio hoch): Hole vor dem Start eine ausdrückliche Einwilligung ein. AudioMap protokolliert das in einem unveränderlichen Audit-Log (IP + User-Agent + Version + Zeitstempel), jedes Mal, wenn du den Dialog bestätigst.

2. Auskunftsrecht auch bei Aufnahmen mit mehreren Sprechern

Was die AEPD sagt: Das Auskunftsrecht nach Art. 15 DSGVO gilt auch dann, wenn die Aufnahme mehrere Sprecher enthält. Du kannst einer Person die Auskunft nicht mit dem Argument verweigern, die personenbezogenen Daten der übrigen Teilnehmenden zu schützen.

In der Praxis: - Wenn eine Person aus einem Meeting Auskunft über „ihre Daten" verlangt und die Aufnahme weitere Stimmen enthält, kannst du dich nicht auf den Schutz der Privatsphäre der anderen berufen. - Du musst mindestens den Teil der Transkription liefern, der ihr gehört, oder dokumentieren, warum das technisch nicht möglich ist. - Das gilt auch für Übertragbarkeit (Art. 20), Berichtigung (Art. 16), Löschung (Art. 17) und Widerspruch (Art. 21).

So erfüllst du sie: - Dein Transkriptionstool muss eine einigermaßen gute Sprechertrennung (Diarisierung) unterstützen. Ohne Diarisierung ist die Einhaltung fast unmöglich. - Klares internes Verfahren: Wenn du einen Auskunftsantrag erhältst, liefere innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) den Teil der betroffenen Person. - Wenn du Meetings mit Dritten aufzeichnest, die nicht deine Nutzer sind (Kunden, Bewerber, Patienten), brauchst du einen Kanal, über den SIE direkt bei dir Auskunft verlangen können, ohne über das Tool zu gehen. AudioMap baut diesen öffentlichen Endpunkt.

3. Prüfung des Anbieters

Was die AEPD sagt: Der Verantwortliche (das Unternehmen oder die Fachperson, die aufzeichnet) muss die Sorgfalt bei der Auswahl des Transkriptionsanbieters dokumentieren. Dazu gehören: tatsächliche Jurisdiktion der Verarbeitung, Unterauftragsverarbeiter, Aufbewahrungsrichtlinie, Richtlinie zum Modelltraining.

In der Praxis: - „Sie haben einen Auftragsverarbeitungsvertrag" ist keine ausreichende Antwort. Du musst erklären können, was darin steht, welche Unterauftragsverarbeiter sie nutzen und was in jeder Phase mit deinem Audio passiert. - „Sie sind im EU-US Data Privacy Framework" ist ebenfalls keine ausreichende Antwort. Das Framework ist heute gültig, aber NOYB klagt auf seine Ungültigerklärung (es ist der dritte Anlauf: die beiden vorherigen sind gefallen). Die eigene Compliance darauf zu bauen heißt, auf Sand zu bauen. - Du brauchst ein Transfer Impact Assessment (TIA) für jeden Unterauftragsverarbeiter in den USA. Die AEPD hat Unternehmen sanktioniert, die zwar unterzeichnete SCC hatten, aber kein dokumentiertes TIA.

So erfüllst du sie: - Frag den Anbieter nach der öffentlichen Liste der Unterauftragsverarbeiter. Wenn er keine hat oder sie nicht herausgeben will, hast du deine Antwort. - Frag schriftlich nach der Aufbewahrungsrichtlinie. „30 Tage" ist nicht dasselbe wie „unbegrenzt für Backup/Rechtliches". - Frag nach der Trainingsrichtlinie. „Wir trainieren nicht mit deinen Inhalten" muss vertraglich im Auftragsverarbeitungsvertrag stehen, nicht nur im Marketing. - Ziehe europäische Anbieter in Betracht. AudioMap verarbeitet zu 100 % auf EU-Gebiet (Hetzner DE + AssemblyAI EU + Vertex EU + R2 EU) und veröffentlicht alles: /legal/subprocessors, /legal/data-residency, /legal/aepd-compliance.

4. Transkription ≠ technische Funktion

Was die AEPD sagt: Transkription ist kein technisches Hilfsmittel mit geringem Risiko. Sie ist eine Verarbeitung personenbezogener Daten mit laufender Governance, klarer Transparenz und proaktiven Schutzmaßnahmen.

In der Praxis: - Du brauchst eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO), wenn die Verarbeitung ein hohes Risiko birgt. Das Aufzeichnen von Meetings mit Kunden oder Patienten tut das: mehrere Sprecher, potenziell sensible Daten, automatisierte KI-Verarbeitung. - Du brauchst ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), das die KI-Transkription als dokumentierte Tätigkeit enthält. - Du brauchst eine schriftliche und angewandte Aufbewahrungsrichtlinie (nicht „wir bewahren auf, was der Anbieter will"). - Du brauchst einen Ablauf für die Meldung von Datenpannen (Art. 33 DSGVO, 72 Stunden), der das Szenario „Leck beim Transkriptionsanbieter" einschließt.

So erfüllst du sie: - DSFA: Wenn du nicht weißt, wie man sie erstellt, beauftrage einen externen Datenschutzbeauftragten. Sie beginnen bei 80 Euro pro Stunde. Eine gut gemachte DSFA zur KI-Transkription passt auf 4 bis 6 Seiten. - Tätigkeitsverzeichnis: Ergänze einen konkreten Eintrag „Automatisierte Transkription von Kundenmeetings" mit Rechtsgrundlage, Zweck, Datenkategorien und Aufbewahrungsfristen. - Aufbewahrungsrichtlinie: Dokumentiere, wie lange du aufbewahrst und wie lange der Anbieter. AudioMap bewahrt 30 Tage nach Kontoschließung auf und veröffentlicht diese Zusage unter /privacy.

Was sich NICHT ändert

Der Leitfaden der AEPD verbietet KI-Transkription nicht. Er verlangt nicht, europäische Tools zu nutzen. Er macht bereits unterzeichnete Auftragsverarbeitungsverträge nicht ungültig. Was er tut, ist, die Messlatte dafür anzuheben, was in Spanien als „konforme Nutzung" gilt.

Unternehmen, die bereits ein ausgereiftes Compliance-Programm hatten (dokumentierte Einwilligung, DSFA, geregelte Betroffenenanfragen, Anbietermanagement), sind gut aufgestellt, so weiterzumachen. Wer davon ausging, ein Auftragsverarbeitungsvertrag genüge, hat Arbeit vor sich.

Mögliche Sanktionen

Die AEPD kann Verstöße mit Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro ahnden, je nachdem, was höher ist (Art. 83 DSGVO). In der Praxis liegen die Sanktionen gegen mittelgroße spanische Unternehmen bei Themen rund um Transkription und Aufzeichnung zwischen 5.000 und 200.000 Euro, je nach Schwere und Kooperation mit der Prüferin bzw. dem Prüfer.

Relevanter als das mögliche Bußgeld sind die Reputationskosten und die Störung des Betriebs durch eine Prüfung der AEPD. Wenn dein Geschäft vom Vertrauen der Kunden abhängt (Steuerberatung, Kanzlei, Klinik), ist eine eröffnete Prüfung schon vor jeder Entscheidung ein Problem.

Wie AudioMap es erfüllt

AudioMap bildet die vier Anforderungen Punkt für Punkt ab. Die Seite /legal/aepd-compliance schlüsselt es technisch auf. Kurz gesagt:

1. Spezifische Einwilligung: Einwilligung pro Notiz + unveränderliches Audit-Log + getrennte Arten (Art. 7 und Art. 9 DSGVO).
2. Auskunft bei mehreren Sprechern: Nutzer-Dashboard + öffentlicher Endpunkt für Dritte im Aufbau + Diarisierung auf Sprecherebene.
3. Prüfung des Anbieters: 100 % Verarbeitung in der EU, öffentliche Unterauftragsverarbeiter, lokaler Whisper-Fallback, um die Cloud-Abhängigkeit zu beseitigen.
4. Laufende Governance: DSFA im Aufbau, 30 Tage Aufbewahrung, Ablauf für Datenpannenmeldung in 72 Stunden, Unterauftragsverarbeiter mit vorheriger Mitteilung bei Änderungen.

Nächster Schritt

Wenn du in Spanien eine Steuerberatung, Kanzlei, Klinik oder Beratung führst und deine KI-Transkription noch nicht anhand dieses Leitfadens geprüft hast, empfehle ich:

1. Schnelles Audit (2 Stunden): Liste der KI-Tools, die du nutzt, wo sie verarbeiten, welche Einwilligung du einholst.
2. Schnelle Erfolge (1 Woche): Einwilligungsprotokoll pro Meeting, schriftliche Richtlinie im Intranet, Liste der unterzeichneten Auftragsverarbeitungsverträge.
3. Grundlagenarbeit (1 Monat): DSFA, TIA, Verfahren für Betroffenenanfragen.
4. Anbieterwechsel, falls nötig (in den nächsten 3 Monaten): Wenn dein aktuelles Tool in den USA verarbeitet und du mit sensiblen Daten arbeitest, prüfe eine europäische Alternative.

Wenn AudioMap zu deinem Fall passt, probier es kostenlos aus oder sprich mit uns. Auftragsverarbeitungsverträge nach Art. 28 DSGVO unterzeichnen wir noch am selben Tag.

---

Quellen: - AEPD-Leitfaden zur automatisierten Sprachtranskription, 20. April 2026. - Datenschutz-Grundverordnung (DSGVO), Art. 6, 7, 9, 12-22, 28, 30, 33-34, 35, 83. - Schrems-II-Urteil, EuGH C-311/18, 16. Juli 2020. - AEPD-Entscheidung PS-00121/2023.