Datenschutz: Sind Aircall und Plaud legal?

Juni 2026 | Datenschutz

Darf man Gespräche mit Aircall oder Plaud transkribieren? Ist das legal und datenschutzkonform? Dieser Praxisbeitrag von Rechtsanwalt Dr. Marc Maisch ordnet wichtige Fragen aus seiner Beratungspraxis zu KI-Software ein, die bei Vertriebsgesprächen, in Arztpraxen oder zuhause permanent zuhört.

Der deutsche Gesetzgeber hat heimliche Mitschnitte verboten: Das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes ohne Zustimmung aller Beteiligten ist nach § 201 StGB strafbar und mit Geldstrafe oder Freiheitsstrafe bis zu drei Jahren bedroht. Auch reine KI-Transkriptionstools nehmen das Gespräch technisch auf, selbst wenn es am Ende nicht (abrufbar) gespeichert wird; der Straftatbestand entfällt nicht, weil am Ende nur ein Text gespeichert wird.

Jede Aufzeichnung braucht zusätzlich eine Rechtsgrundlage nach der DSGVO, meist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, einen Auftragsverarbeitungsvertrag nach Art. 28 und – bei Stimmerkennung – die Beachtung von Art. 9 DSGVO. Ab dem 2. August 2026 greifen die Transparenzpflichten des Art. 50 KI-VO: Nutzer müssen wissen, dass sie mit einer KI sprechen, und KI-Inhalte sind zu kennzeichnen. Humanoide Roboter sind keine Sonderkategorie, sondern unterliegen der Maschinen- und Produkthaftungsregulierung, dem EU AI Act und der DSGVO, weshalb Privacy by Design Pflicht ist.

Eine neue Gerätegeneration hört permanent zu

Eine wachsende Zahl von Produkten verfolgt dasselbe Versprechen: Sie zeichnen den Alltag oder das Arbeitsumfeld kontinuierlich auf, transkribieren das Gesprochene und lassen daraus von Künstlicher Intelligenz Zusammenfassungen, Aufgabenlisten und durchsuchbare Gedächtnisprotokolle erstellen. Die Technik ist 2026 im Massenmarkt angekommen – und mit ihr eine Reihe rechtlicher Fragen, die viele Unternehmen unterschätzen.

Tragbare Always-on-Aufnahmegeräte wie der Bee, der inzwischen von Amazon übernommen wurde, das Limitless-Pendant, das Ende 2025 von Meta gekauft und für den Neuverkauf eingestellt wurde, oder der Plaud NotePin hören mit und fassen den Tag zusammen. KI-Notiz-Assistenten wie Otter, Fireflies oder Microsoft Copilot protokollieren Meetings. KI-Brillen wie die Ray-Ban Meta kombinieren Mikrofon und Kamera. Und humanoide Roboter von Anbietern wie Figure oder Dreame, die auf der CES 2026 vorgestellt wurden, nehmen ihre Umgebung über Kameras, Mikrofone und Sensoren wahr, um eigenständig Aufgaben zu erledigen.

Beobachter weisen seit dem Aufkauf der Wearable-Start-ups durch große Tech-Konzerne offen auf das Grundproblem hin: Ein Mikrofon, das in Hörweite alles aufnimmt, erfasst auch Unbeteiligte, die der Aufnahme nie zugestimmt haben. Genau hier setzt das deutsche Recht an.

§ 201 StGB: Die strafrechtliche Grenze für Aircall und Plaude

Das deutsche Recht schützt die Vertraulichkeit des gesprochenen Wortes besonders streng. Nach § 201 StGB ist das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes grundsätzlich strafbar – unabhängig davon, ob es privat oder beruflich geschieht und unabhängig vom Verwendungszweck. Erforderlich ist die ausdrückliche Zustimmung aller Gesprächsteilnehmer vor Beginn der Aufzeichnung. Ohne sie drohen Geldstrafe oder Freiheitsstrafe bis zu drei Jahren.

Wichtig für jede KI-Lösung ist dabei: Transkription ist Aufzeichnung. Da praktisch alle KI-Apps das Gespräch zunächst aufnehmen, um es verarbeiten zu können, ist die strafrechtliche Relevanz oft höher als die datenschutzrechtliche. Entscheidend ist nicht, ob eine Audiodatei oder nur ein Transkript entsteht, sondern dass das Wort technisch fixiert wird. Auch ein internes Einverständnis, etwa nur unter Mitarbeitenden, genügt nicht: Externe Gesprächspartner müssen aktiv und eindeutig zustimmen.

Hinzu kommt das Beweisverwertungsverbot. Heimlich erstellte Mitschnitte sind im Zivilprozess regelmäßig nicht verwertbar. Wer also aufzeichnet, um im Streitfall etwas in der Hand zu haben, erreicht häufig das Gegenteil – und macht sich zusätzlich strafbar.

DSGVO: Ohne Rechtsgrundlage geht nichts

Die Aufzeichnung eines Gesprächs ist eine Verarbeitung personenbezogener Daten und benötigt eine Rechtsgrundlage. Im typischen Kundengespräch kommt nach Art. 6 DSGVO praktisch nur die informierte Einwilligung in Betracht. Ein berechtigtes Interesse trägt eine dauerhafte, systematische Aufzeichnung regelmäßig nicht, zumal die Qualitätssicherung meist auch ohne Vollmitschnitt erreichbar ist.

Verarbeitet der KI-Anbieter Daten im Auftrag, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend, einschließlich einer Prüfung der technischen und organisatorischen Maßnahmen. Die Stimme ist zudem ein biometrisches Datum: Ordnet die KI Stimmen einzelnen Profilen zu, also bei Sprechererkennung oder Diarization, kann der besondere Schutz für Daten besonderer Kategorien nach Art. 9 DSGVO greifen. Trifft ein KI-Agent Entscheidungen mit rechtlicher oder erheblicher Wirkung, ist nach Art. 22 DSGVO eine menschliche Aufsicht zu gewährleisten.

Viele Tools verarbeiten Inhalte in US-Clouds und nutzen sie teils zum Modelltraining. Erforderlich sind daher ein Transfer Impact Assessment, Standardvertragsklauseln, eine EU-Datenspeicherung und die Deaktivierung des Trainings mit eigenen Eingaben. Betroffene sind nach Art. 13 und 14 DSGVO zu informieren, Löschfristen für Aufnahmen und Transkripte sind festzulegen, und ein einfacher Widerruf ist vorzusehen.

Besteht ein Betriebsrat, hat dieser ein Mitbestimmungsrecht; ohne seine Zustimmung ist der Einsatz im Unternehmen nicht zulässig. Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden.

EU AI Act: Transparenzpflicht ab dem 2. August 2026

Mit der KI-Verordnung, dem EU AI Act, tritt zum 2. August 2026 unter anderem Art. 50 in Kraft. Wer KI einsetzt, die mit Menschen interagiert oder menschliche Sprache nachahmt, muss dies offenlegen: Nutzer müssen deutlich erkennen können, dass sie mit einer KI kommunizieren. KI-generierte oder -manipulierte Inhalte sind zu kennzeichnen.

Für aufzeichnende und sprechende Systeme heißt das eine dreifache Pflicht. Strafrechtlich ist die Einwilligung nach § 201 StGB erforderlich, datenschutzrechtlich die Rechtsgrundlage und Information nach DSGVO und KI-rechtlich die Transparenz nach Art. 50 KI-VO. Die Offenlegung kann entfallen, wenn der KI-Einsatz offensichtlich ist, etwa wenn ein humanoider Roboter mit deutlich synthetischer Stimme spricht.

KI-Agenten: Wer haftet, wenn die KI selbst handelt?

KI-Agenten gehen über klassische Assistenten hinaus: Sie verfolgen eigenständig Ziele, treffen Entscheidungen und stoßen Aktionen an, etwa wenn sie Gesprächsmitschnitte auswerten, Aufgaben anlegen, Mails verfassen oder Termine koordinieren. Genau diese Autonomie verschärft die Rechtslage.

Datenschutzrechtlich bleibt der Verantwortliche in der Pflicht, auch für nachgelagerte Verarbeiter. Bei mehrstufigen, orchestrierten Agentenketten wird die Nachvollziehbarkeit, also der Transparenzgrundsatz nach Art. 5 DSGVO, zur zentralen Herausforderung. In sensiblen Bereichen dürfen Agenten nicht vollständig autonom entscheiden; hier greifen Art. 22 DSGVO und die Pflicht zur menschlichen Aufsicht bei Hochrisiko-KI. Erforderlich sind außerdem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, eine Dokumentation im Verarbeitungsverzeichnis, klare Verantwortlichkeiten, Logging, Zugriffskontrollen sowie Schutz vor Manipulationsangriffen auf die erweiterte Angriffsfläche agentischer Systeme.

Humanoide Roboter und Physical AI: kein rechtsfreier Raum

Wenn KI nicht nur digital agiert, sondern physisch handelt, entsteht eine neue regulatorische Komplexität. Ein Grundsatz vorab: Es gibt keine eigene Roboter-Rechtspersönlichkeit. Humanoide Roboter werden funktional eingeordnet, nicht nach ihrem Aussehen.

Roboter sind zunächst Maschinen. Die Maschinenrichtlinie 2006/42/EU wird ab Januar 2027 durch die EU-Maschinenverordnung (EU) 2023/1230 abgelöst; erforderlich sind Risikobeurteilung, Konformitätsbewertung und CE-Kennzeichnung. Die neue EU-Produkthaftungsrichtlinie (EU) 2024/2853 erstreckt die Haftung ausdrücklich auf Software und KI-Systeme und ist national bis zum 9. Dezember 2026 umzusetzen; fehlerhaftes Verhalten der KI kann eine Haftung entlang der gesamten Lieferkette auslösen, weshalb Dokumentation und Logging erheblich an Bedeutung gewinnen. Ob der EU AI Act greift, hängt vom konkreten Einsatzkontext ab, nicht vom Robotertyp.

Datenschutzrechtlich ist Privacy by Design zwingend. Roboter mit Kameras, Mikrofonen und Sensoren sammeln kontinuierlich Daten über Haushalt, Bewohner und Gewohnheiten. Fachleute warnen davor, sich unbemerkt einen Spion ins Haus zu holen. Zu klären ist auch, ob Hersteller oder Dritte, etwa über Teleoperation, Zugriff auf diese Daten erhalten.

Praxis: Ist der Einsatz von KI legal, die Gespräche transkribiert?

Viele Anbieter aufzeichnender Software, etwa Cloud-Telefonanlagen wie Aircall, stellen die Technik bereit, verweisen aber ausdrücklich darauf, dass vor der Aktivierung zu prüfen ist, ob die Aufzeichnung im jeweiligen Land zulässig ist. Nicht ohne Grund! Es mag ja sein, dass Aircall -nach eigenen Angaben- viel Wert auf Datensicherheit legt. Datenschutz wird jedoch nicht so groß geschrieben.

Empfohlen wird ein Hinweis in der Begrüßungs- oder Warteschleifenansage. Die rechtliche Verantwortung bleibt beim Verantwortlichen.

Wann ist der Einsatz von KI zur Gesprächsaufzeichnung zulässig?

Zulässig ist eine klare Ansage zu Beginn, etwa: Dieses Gespräch wird zur Qualitätssicherung aufgezeichnet. Wenn Sie damit nicht einverstanden sind, teilen Sie uns dies bitte mit. Das Gespräch wird nur fortgeführt, wenn nicht widersprochen wird; im Zweifel ist eine aktive Einwilligung besser, etwa ein Ja oder ein Tastendruck, die dokumentiert wird, also Opt-in statt Opt-out. Datensparend gestaltet ist der Einsatz, wenn auf eine dauerhafte Audio-Speicherung verzichtet, das Gespräch on-device verarbeitet und die Sprechererkennung abgeschaltet wird.

Unzulässige KI

Unzulässig ist die Aufzeichnung ohne jeden Hinweis oder gegen erkennbaren Widerspruch. Ebenso unzulässig sind heimliche Mitschnitte einschließlich ihrer späteren Verwendung als Beweis im Zivilverfahren sowie der Einsatz ohne Auftragsverarbeitungsvertrag, ohne Rechtsgrundlage oder ohne Beteiligung des Betriebsrats.

Zehn-Punkte-Checkliste für den rechtssicheren Einsatz

Erstens, Zweck und Rechtsgrundlage je Anwendungsfall festlegen und dokumentieren. Zweitens, die Einwilligung aller Beteiligten einholen, also Opt-in, samt Ansage und Dokumentation. Drittens, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen und die technischen und organisatorischen Maßnahmen prüfen. Viertens, die EU-Datenspeicherung sicherstellen und das Modelltraining mit eigenen Daten deaktivieren. Fünftens, den Drittlandtransfer prüfen, also Transfer Impact Assessment und Standardvertragsklauseln. Sechstens, bei hohem Risiko eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen. Siebtens, ein Lösch- und Aufbewahrungskonzept für Aufnahmen und Transkripte einrichten. Achtens, die Transparenz nach Art. 50 KI-VO ab August 2026 umsetzen, also die KI-Kennzeichnung. Neuntens, für KI-Agenten die menschliche Aufsicht nach Art. 22 DSGVO sicherstellen. Zehntens, den Betriebsrat beteiligen und die Datenschutzhinweise für Telefonie, VoIP und Robotik anpassen.

Zweck und Rechtsgrundlage je Anwendungsfall festlegen und dokumentieren.
Einwilligung aller Beteiligten einholen (Opt-in), samt Ansage und Dokumentation.
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen und die technischen und organisatorischen Maßnahmen prüfen.
EU-Datenspeicherung sicherstellen und das Modelltraining mit eigenen Daten deaktivieren.
Aircall und Plaude verarbeiten personenbezogene Daten in Drittländern wie aus der Liste der Unterauftragnehmer hervorgeht. Drittlandtransfer prüfen: Transfer Impact Assessment und Standardvertragsklauseln.
Bei hohem Risiko eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen.
Lösch- und Aufbewahrungskonzept für Aufnahmen und Transkripte einrichten.
Transparenz nach Art. 50 KI-VO ab August 2026 umsetzen (KI-Kennzeichnung).
Für KI-Agenten die menschliche Aufsicht nach Art. 22 DSGVO sicherstellen.
Betriebsrat beteiligen und die Datenschutzhinweise für Telefonie, VoIP und Robotik anpassen.

Ihr Ansprechpartner: Dr. Marc Maisch

Dr. Marc Maisch ist Rechtsanwalt und Fachanwalt für IT-Recht und gehört zu den renommiertesten Experten für IT-Recht, Datenschutz, KI-Recht und Cybercrime in Deutschland. In seiner Münchner Kanzlei Maisch.law Rechtsanwälte berät er Unternehmen und Start-ups mit einem interdisziplinären Team aus Anwälten, IT-Forensikern und Sicherheitsspezialisten.

Sie planen den Einsatz aufzeichnender KI, von KI-Agenten oder Robotik? Maisch.law Rechtsanwälte unterstützt bei Rechtsgrundlage, Einwilligungsprozess, Auftragsverarbeitungsvertrag, Datenschutz-Folgenabschätzung, AI-Act-Compliance und der rechtssicheren Vertragsgestaltung. Maisch.law Rechtsanwälte, München, Telefon +49 89 260 53 12, www.maisch.law.

Fazit: Aircall und Plaude im Unternehmen

KI, die jedes Gespräch aufzeichnet, ist technisch faszinierend und im Arbeitsalltag oft nützlich, rechtlich aber ein Hochrisikofeld. In Deutschland zieht § 201 StGB eine harte Grenze: Ohne vorherige Information und Einwilligung aller Beteiligten ist die Aufzeichnung strafbar. Die DSGVO verlangt zusätzlich eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und Transparenz, der EU AI Act ab August 2026 die Kennzeichnung. Für KI-Agenten und humanoide Roboter kommen Haftungs-, Produktsicherheits- und Aufsichtspflichten hinzu. Wer diese Anforderungen früh in Prozesse und Verträge einbaut, kann die Chancen der Technik nutzen, ohne strafrechtliche, aufsichtsrechtliche oder zivilrechtliche Risiken einzugehen.

Haben Sie Fragen? Unternehmer erhalten gerne eine kostenlose erste Einschätzung von uns.

Häufig gestellte Fragen

Darf ich KI einsetzen, die jedes Gespräch aufzeichnet?

Ja, aber! In Deutschland nur mit vorheriger Information und im Regelfall ausdrücklicher Einwilligung aller Gesprächsteilnehmer. Das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar und mit Geldstrafe oder Freiheitsstrafe bis zu drei Jahren bedroht. Zusätzlich braucht jede Verarbeitung eine Rechtsgrundlage nach der DSGVO.

Macht es einen Unterschied, ob nur transkribiert statt aufgezeichnet wird?

Praktisch kaum. Die meisten KI-Tools nehmen das Gespräch zunächst auf, um es verarbeiten zu können; damit liegt eine Aufzeichnung im Sinne des § 201 StGB vor. Entscheidend ist nicht, ob am Ende eine Audiodatei oder nur ein Transkript gespeichert wird, sondern dass das gesprochene Wort technisch fixiert wird.

Reicht das berechtigte Interesse als Rechtsgrundlage für die Aufzeichnung?

Für eine dauerhafte, systematische Aufzeichnung regelmäßig nicht. Im typischen Kundengespräch kommt praktisch nur eine informierte Einwilligung in Betracht. Hinzu kommt: Die Stimme ist ein biometrisches Datum; werden Sprecher KI-gestützt erkannt, kann Art. 9 DSGVO mit strengeren Anforderungen einschlägig sein.

Was ändert sich durch den EU AI Act ab August 2026?

Ab dem 2. August 2026 greifen die Transparenzpflichten des Art. 50 KI-VO: Menschen müssen erkennen können, dass sie mit einer KI kommunizieren, und KI-generierte Inhalte sind zu kennzeichnen. Spricht etwa ein humanoider Roboter mit deutlich synthetischer Stimme, kann die Offenlegung entfallen, weil der KI-Einsatz offensichtlich ist.

Wer haftet, wenn ein autonomer KI-Agent einen Datenschutzverstoß auslöst?

Datenschutzrechtlich bleibt der Verantwortliche, also das einsetzende Unternehmen, in der Pflicht, auch für nachgelagerte Verarbeiter. Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen. Bei vollautomatisierten Entscheidungen mit erheblicher Wirkung ist zudem Art. 22 DSGVO und eine menschliche Aufsicht zu beachten.

Gelten für humanoide Roboter eigene Gesetze?

Es gibt keine eigene Roboter-Rechtspersönlichkeit. Roboter werden funktional eingeordnet: Sie sind zunächst Maschinen, künftig nach der EU-Maschinenverordnung 2023/1230 ab Januar 2027, mit CE-Pflicht, unterliegen dem EU AI Act je nach Einsatzkontext, der DSGVO bei Kamera- und Mikrofonfunktionen und der neuen Produkthaftungsrichtlinie (EU) 2024/2853.

Wie formuliere ich eine rechtssichere Ansage zur Gesprächsaufzeichnung?

Bewährt ist eine klare Ansage zu Beginn, etwa: Dieses Gespräch wird zur Qualitätssicherung aufgezeichnet. Wenn Sie damit nicht einverstanden sind, teilen Sie uns dies bitte mit. Im Zweifel sollte eine aktive Einwilligung, etwa ein Ja oder ein Tastendruck, vorgesehen und dokumentiert werden.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Der Text wurde von einem Menschen überarbeitet. Die Abbildungen sind mittels einer KI erstellt worden.