Inhaltsverzeichnis
Das Wichtigste in Kürze
- Fireflies.ai verarbeitet Daten primär auf US-Servern — das ist für viele deutsche KMU rechtlich riskant.
- Ein DSGVO-konformer AVV nach Art. 28 ist Pflicht — auch bei kostenlosen Tool-Tarifen.
- tl;dv und Microsoft Teams Transkription sind 2025 die stärksten Ausgangspunkte für KMU.
- §87 BetrVG gilt auch bei freiwilligen Transkriptions-Tools, wenn ein Betriebsrat vorhanden ist.
- Lizenzkosten sind nur ein Teil der TCO — Datenschutz-Setup und Schulung kosten real Zeit und Geld.
Ihr Datenschutzbeauftragter stellt die Frage, oder ein Kunde fragt nach dem Serverstandort — und plötzlich steht das bislang reibungslos laufende Fireflies-Abo auf dem Prüfstand. Dieser Artikel beantwortet konkret, welche DSGVO-konformen Alternativen für Unternehmen unter 50 Mitarbeiter in Frage kommen, was ein rechtssicherer AVV enthalten muss und wie die reale Einführung aussieht. Keine Panikmache, kein Affiliate-Bingo — nur entscheidungsreife Information.
Warum Fireflies.ai für deutsche KMU ein Datenschutzproblem sein kann
Fireflies.ai ist ein US-amerikanischer Dienst, dessen Kerndatenverarbeitung nach eigener Datenschutzerklärung auf AWS-Infrastruktur in den USA läuft (primär us-east-1). Audio-Aufnahmen, Transkripte und Metadaten werden dort gespeichert und verarbeitet. Das allein macht das Tool nicht automatisch illegal — aber es schafft rechtliche Reibung, die für viele KMU unterschätzt wird.
Das EU-US-Data-Privacy-Framework (DPF), das seit Juli 2023 gilt und Transfers in zertifizierte US-Unternehmen erleichtert, löst das Problem nicht vollständig. Nach dem Schrems-II-Urteil bleibt das Grundspannungsfeld bestehen: US-Geheimdienstgesetze wie FISA Section 702 ermöglichen Zugriffe auf Daten bei US-Anbietern, die mit dem europäischen Grundrechtsniveau schwer vereinbar sind. Das DPF wird von Datenschutzorganisationen bereits wieder gerichtlich angegriffen.
Für ein KMU, das Kundengespräche aufzeichnet — etwa Beratungsgespräche, Erstgespräche, Projektkickoffs — ist das kein theoretisches Risiko. Es ist ein konkretes Haftungsthema. Fireflies kann für interne Meetings ohne Kundendaten in manchen Szenarien noch vertretbar sein. Sobald aber personenbezogene Daten Dritter ins Spiel kommen, wird es eng.
Was ein DSGVO-konformer AVV für Meeting-Tools konkret enthalten muss
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 DSGVO ist keine Formalität — er ist die rechtliche Grundlage dafür, dass ein Drittanbieter überhaupt personenbezogene Daten für Sie verarbeiten darf. Für Meeting-Transkriptions-Tools bedeutet das konkret:
- Gegenstand und Dauer der Verarbeitung klar definiert
- Art der Daten und Kategorie der betroffenen Personen benannt (Achtung: Audiodaten können biometrische Daten nach Art. 9 DSGVO darstellen, wenn Stimmmerkmale zur Identifikation genutzt werden)
- Pflichten und Rechte des Verantwortlichen (also Ihres Unternehmens) festgelegt
- Technische und organisatorische Maßnahmen (TOMs) dokumentiert
- Subauftragnehmer-Regelung mit vollständiger Liste der Sub-Processor und Genehmigungspflicht bei Änderungen
- Löschpflichten nach Ende der Verarbeitung geregelt
- Unterstützungspflichten bei Betroffenenrechten und Behördenanfragen
- Auditrechte des Verantwortlichen verankert
Bei Fireflies ist ein Data Processing Agreement (DPA) vorhanden — allerdings nach aktuellem Stand primär für Business- und Enterprise-Tarife vollständig zugänglich und auf Anfrage. Im kostenlosen oder Starter-Tier ist die Situation unklar. Das ist ein Problem, denn kostenlose Nutzung bedeutet nicht automatisch datenschutzfreie Nutzung.
Tipp: Fordern Sie den AVV immer vor Vertragsabschluss schriftlich an und lassen Sie ihn von Ihrem Datenschutzbeauftragten prüfen. Wer keinen internen DSB hat, sollte zumindest eine externe Kurzprüfung einholen.
Betriebsrat und Mitbestimmung — was KMU bei Meeting-Recording-Tools beachten müssen
§87 Abs. 1 Nr. 6 des Betriebsverfassungsgesetzes (BetrVG) regelt die Mitbestimmung des Betriebsrats bei „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen.“ Das klingt nach Fabrik-Kontrolle — gilt aber nach herrschender Rechtsprechung auch für Softwarelösungen, die objektiv zur Leistungsmessung genutzt werden könnten. Und ein Transkriptions-Tool, das automatisch festhält, wer in Meetings wie viel spricht, fällt grundsätzlich darunter.
Das bedeutet: Wer einen Betriebsrat hat und ein Meeting-Recording-Tool einführen möchte, braucht in der Regel eine Betriebsvereinbarung — oder zumindest die nachgewiesene Zustimmung des Betriebsrats. Ohne diese Grundlage riskieren Sie, dass die gesamte Nutzung des Tools anfechtbar wird.
Für Unternehmen ohne Betriebsrat gilt §87 BetrVG formal nicht. Aber: Die DSGVO-Informationspflichten gegenüber den betroffenen Personen — also Ihren Mitarbeiterinnen und Mitarbeitern — bleiben bestehen. Sie müssen über Art, Zweck und Umfang der Datenverarbeitung informiert werden, bevor das Tool eingesetzt wird.
Praxishinweis: Selbst ohne formellen Betriebsrat lohnt es sich, eine interne Richtlinie zur Meeting-Aufzeichnung zu erstellen. Das schützt vor arbeitsrechtlichen Konflikten und schafft Vertrauen. Eine solche Richtlinie sollte regeln, wer Meetings aufzeichnen darf, wie lange Aufzeichnungen gespeichert werden und wer Zugang zu Transkripten hat.
Die 5 besten DSGVO-konformen Fireflies-Alternativen für KMU
Bewertet nach EU-Serverstandort, AVV-Qualität, Preis-Leistungs-Verhältnis für KMU-Größen von 5–50 Mitarbeitern, deutscher Sprachunterstützung und Integrationstiefe.
MeetGeek (EU-Server, AVV vorhanden)
MeetGeek ist ein Meeting-Intelligence-Tool mit Transkription, automatischen Zusammenfassungen und CRM-Integrationen. Für DSGVO-zwecke relevant: MeetGeek gibt an, Daten auf EU-Infrastruktur (AWS eu-central-1, Frankfurt) zu verarbeiten und stellt einen AVV bereit — nach aktuellem Stand ab dem Pro-Tarif vollständig zugänglich.
Stärken: Solide Transkriptionsqualität auch auf Deutsch, gute Kalenderintegration, übersichtliches Dashboard, AVV verfügbar.
Schwächen: Kostenloser Tier hat eingeschränkte DSGVO-Dokumentation; die deutsche Transkriptionsqualität liegt noch etwas hinter dem Englischen.
Preis: Ab ca. 15 €/Nutzer/Monat (Pro). Für ein 10-Personen-Team ca. 150 €/Monat.
Für wen geeignet: KMU mit regelmäßigen externen Calls (Vertrieb, Beratung), die eine solide Gesamtlösung suchen und keinen Microsoft-Lock-in möchten.
Notta.ai (Enterprise-Option mit EU-Datenhaltung)
Notta.ai bietet starke Transkriptionsqualität in vielen Sprachen inklusive Deutsch und hat eine Enterprise-Option mit EU-Datenhaltung. Im Standard-Tarif werden Daten auf Servern in Japan/USA verarbeitet — das ist für den DACH-Markt ohne weiteres nicht DSGVO-konform.
Stärken: Sehr gute Transkriptionsqualität, Multi-Sprachen-Unterstützung, Exportfunktionen.
Schwächen: EU-Datenhaltung nur im Enterprise-Tier, was die Kosten deutlich erhöht; für kleine KMU unter 10 Personen kaum wirtschaftlich.
Preis: Enterprise ab ca. 40–60 €/Nutzer/Monat (variiert je nach Verhandlung).
Für wen geeignet: Mittelgroße KMU (20–50 Mitarbeiter) mit konkretem Budget für Datenschutz-Compliance, die höchste Transkriptionsqualität benötigen.
tl;dv (europäisches Startup, DSGVO-first)
tl;dv (Too Long; Didn’t View) ist ein deutsches Startup mit Sitz in Köln — und damit einer der interessantesten Kandidaten für datenschutzbewusste KMU im DACH-Raum. Die Verarbeitung erfolgt nach eigenen Angaben auf EU-Servern, ein AVV ist standardmäßig im Business-Tarif enthalten und das Team kommuniziert transparent zu Datenschutzthemen.
Stärken: Europäische Herkunft und Datenschutz als Kernversprechen, gute Integrationsmöglichkeiten (Notion, HubSpot, Slack), solide deutsche Transkriptionsqualität, klare Sub-Processor-Liste.
Schwächen: Kleineres Unternehmen bedeutet potenziell weniger Ressourcen für Support und Weiterentwicklung als bei großen US-Anbietern; Enterprise-Features noch im Aufbau.
Preis: Kostenloser Tier mit Einschränkungen; Business ab ca. 20 €/Nutzer/Monat.
Für wen geeignet: KMU, die Datenschutz priorisieren und bereit sind, ein wachsendes Produkt zu unterstützen. Besonders geeignet für Beratungen, Kanzleien und Agenturen mit sensiblen Kundengesprächen.
Tactiq (Browser-Extension, lokale Verarbeitung möglich)
Tactiq funktioniert als Browser-Extension für Chrome und verarbeitet Transkriptionen direkt im Browser — ohne zwingenden Server-Upload der Audio-Rohdaten. Das ist datenschutztechnisch ein interessanter Ansatz, weil personenbezogene Daten das Gerät des Nutzers theoretisch nicht verlassen müssen.
Stärken: Geringerer Daten-Exposure durch lokale Verarbeitung, einfache Installation, unterstützt Google Meet, Zoom und Teams, KI-Zusammenfassungen on-demand.
Schwächen: Funktionalität hängt stark vom Browser und der Netzwerkstabilität ab; keine zentrale Meeting-Datenbank für Teams; für Zusammenfassungen und KI-Features werden Daten an Server übertragen — AVV dann ebenfalls nötig.
Preis: Kostenloser Tier vorhanden; Pro ab ca. 8–12 €/Nutzer/Monat.
Für wen geeignet: Einzelpersonen oder sehr kleine Teams (2–5 Personen), die eine unkomplizierte Lösung für gelegentliche Transkription suchen und keine zentrale Team-Lösung benötigen.
Microsoft Teams Transkription (für M365-KMU)
Wer bereits Microsoft 365 einsetzt, hat eine integrierte Meeting-Transkription an Bord — und das ist aus Datenschutzperspektive ein erheblicher Vorteil. Microsoft hat mit seiner EU Data Boundary Initiative seit 2023 schrittweise sichergestellt, dass EU-Kundendaten innerhalb der EU verbleiben. Für M365 Business- und Enterprise-Kunden gilt das bereits weitgehend.
Stärken: Kein Drittanbieter nötig, Daten bleiben im M365-Ökosystem, AVV im Rahmen des Microsoft Customer Agreement enthalten, Compliance-Dokumentation ausgereift, gute deutsche Sprachunterstützung.
Schwächen: Nur für Teams-Meetings nutzbar (kein Zoom, Google Meet); erweiterte KI-Features (automatische Zusammenfassungen, intelligente Kapitel) erfordern Copilot-Lizenz.
Preis: Transkription im M365 Business Standard enthalten (ab ca. 12,50 €/Nutzer/Monat); Copilot-Funktionen kosten ca. 30 €/Nutzer/Monat zusätzlich.
Für wen geeignet: KMU, die bereits vollständig auf Microsoft 365 setzen und keine weitere Tool-Komplexität einführen möchten. Wer diesen Weg geht und später den nächsten Schritt Richtung KI-Assistenz erwägt, findet praktische Orientierung in der Copilot-Checkliste, die Microsoft nicht mitliefert.
DSGVO-Checkliste: So wählen Sie das richtige Meeting-Tool für Ihr KMU
Bevor Sie ein Tool einführen, sollten Sie diese acht Punkte abhaken können:
- Serverstandort ausschließlich EU/EWR bestätigt? — Nicht nur behauptet, sondern dokumentiert (Trust Center, Datenschutzerklärung, AVV).
- AVV nach Art. 28 DSGVO vorhanden und unterzeichnet? — Im genutzten Tarif enthalten, nicht nur auf Anfrage verfügbar.
- Sub-Processor-Liste einsehbar und EU-konform? — Alle Unterauftragnehmer gelistet, Änderungsbenachrichtigung geregelt.
- Löschfristen für Audio- und Transkriptionsdaten definiert? — Im AVV oder in der Produktdokumentation festgelegt.
- Opt-in/Opt-out für Meeting-Teilnehmer technisch umsetzbar? — Teilnehmer können der Aufzeichnung widersprechen, ohne aus dem Meeting ausgeschlossen zu werden.
- Datenschutzbeauftragter wurde einbezogen? — Interne oder externe Prüfung vor Produktivstart.
- Betriebsrat informiert oder Betriebsvereinbarung abgeschlossen? — Falls ein Betriebsrat vorhanden ist: §87 Abs. 1 Nr. 6 BetrVG prüfen.
- Datenschutz-Folgenabschätzung (DSFA) geprüft? — Bei systematischer Aufzeichnung von Kundengesprächen oder besonders sensiblen Daten kann eine DSFA nach Art. 35 DSGVO erforderlich sein.
Einen weiterführenden Überblick, wie KI-Tools generell DSGVO-konform im Unternehmen eingesetzt werden können, bietet der Leitfaden KI DSGVO-konform einsetzen.
Total Cost of Ownership — was Meeting-Transkription ein KMU wirklich kostet
Die Lizenzkosten sind das, was auf der Pricing-Seite steht. Die tatsächlichen Kosten sehen anders aus.
Beispielrechnung: KMU mit 10 Mitarbeitern, je 5 Meetings/Woche
| Kostenart | Einmalig | Monatlich |
|---|---|---|
| Tool-Lizenz (z.B. tl;dv Business, 10 User) | — | ca. 200 € |
| AVV-Prüfung durch externen DSB | 300–500 € | — |
| Mitarbeiter-Onboarding (3h × 10 Personen × 50 €/h) | 1.500 € | — |
| Interne Richtlinie / Betriebsvereinbarung | 500–1.000 € | — |
| Laufende DSB-Betreuung (anteilig) | — | ca. 30–50 € |
| Gesamt Jahr 1 | ca. 4.700–6.200 € |
Ein Tool, das monatlich 200 € kostet, kostet im ersten Jahr real das Dreifache — wenn es ordentlich eingeführt wird. Das ist kein Argument gegen die Einführung, sondern ein Argument für eine fundierte Entscheidung.
Kostenloser Tier: Finger weg für den Produktivbetrieb. Fast alle kostenlosen Tarifen beinhalten keinen vollständigen AVV. Wer personenbezogene Daten in einem kostenlosen Tool verarbeitet, handelt nach aktuellem Rechtsstand ohne ausreichende Rechtsgrundlage — unabhängig davon, was in den AGBs steht.
Ein kurzer Vergleich der Kostenklassen:
- Kostenlos ohne AVV: Nicht empfohlen für produktiven Einsatz mit personenbezogenen Daten
- Paid Basic (ca. 10–20 €/Nutzer/Monat): Oft mit AVV, EU-Server nicht immer garantiert — genau prüfen
- Business/Pro (ca. 20–40 €/Nutzer/Monat): In der Regel vollständige DSGVO-Dokumentation, empfehlenswert für KMU
- Enterprise (40+ €/Nutzer/Monat): Für KMU meist überdimensioniert, aber bei sehr sensiblen Daten vertretbar
Praxisbeispiel — So hat ein Beratungsunternehmen aus Stuttgart die Umstellung umgesetzt
Eine Unternehmensberatung mit 12 Mitarbeitern hatte Fireflies seit etwa einem Jahr im Einsatz — primär für Kundengespräche und interne Projektmeetings. Der Antrieb zur Überprüfung kam von außen: Ein größerer Kunde fragte im Rahmen seiner eigenen DSGVO-Compliance-Prüfung nach dem Datenverarbeitungsort und bat um eine Kopie des abgeschlossenen AVV mit dem Tool-Anbieter.
Der externe Datenschutzbeauftragte des Unternehmens stellte fest: Der Fireflies-AVV war zwar vorhanden, aber auf den Enterprise-Tarif beschränkt — das Unternehmen nutzte lediglich den Business-Plan. Zudem fehlte ein schriftlicher Nachweis über die EU-Datenhaltung.
Die Entscheidung fiel auf tl;dv. Gründe: europäische Herkunft, transparent kommunizierte Serverstandorte, AVV im Business-Tarif inklusive und eine klare Sub-Processor-Liste.
Der Umstieg dauerte zwei Wochen — nicht wegen technischer Schwierigkeiten, sondern wegen des Exports bestehender Transkripte aus Fireflies (möglich, aber manuell aufwändig), der internen Schulung (zwei Sessions à einer Stunde) und der Aktualisierung des Verarbeitungsverzeichnisses.
Ergebnis: Der Kunde wurde mit einem vollständigen Datenschutz-Nachweis zufriedengestellt. Die Transkriptionsqualität auf Deutsch ist vergleichbar. Die monatlichen Lizenzkosten stiegen leicht — der einmalige Aufwand für den Wechsel betrug intern rund 15 Arbeitsstunden.
Ehrliche Einschränkung: Wer viele historische Meetings in Fireflies gespeichert hat, sollte den Export-Aufwand nicht unterschätzen. Und tl;dv ist noch kein „fertiges“ Produkt im Sinne von Salesforce — es wird aktiv entwickelt, was Vor- und Nachteil zugleich ist.
Praxis-Tipp: KI-Meeting-Tools sind nur ein Baustein — so integrieren Sie sie sinnvoll
Ein Transkript ist wertlos, wenn es im Tool vor sich hin liegt und niemand es liest. Die eigentliche Frage ist: Was passiert mit dem, was aufgezeichnet wurde?
Sinnvolle Workflows sehen zum Beispiel so aus: Automatischer Export von Zusammenfassungen in ein Projektmanagement-Tool, Übernahme von Action Items in ein Aufgabensystem, Ablage relevanter Erkenntnisse in einer unternehmensweiten Wissensbasis. Ohne diesen zweiten Schritt bleibt Meeting-Transkription ein Feature, das man nach drei Monaten wieder vergisst.
Das führt direkt zu einem strukturellen Problem, das viele KMU erst beim Evaluieren von Meeting-Tools entdecken: Wissen entsteht im Unternehmen täglich — in Meetings, in E-Mails, in Gesprächen am Telefon — aber es wird nirgendwo systematisch gespeichert. Was das konkret kostet, beleuchtet der Artikel Wissen im Kopf statt im System.
Für die Aufbereitung von Transkripten mit KI-Assistenten — etwa um aus einem rohen Gesprächsprotokoll eine strukturierte Zusammenfassung oder ein kundenreifes Dokument zu machen — sind allgemeine KI-Tools wie ChatGPT oder Claude nützlich. Was die Unterschiede in der Praxis bedeuten, zeigt der KMU-Praxistest Claude vs. ChatGPT.
Wer Meeting-Transkription einführt, evaluiert im Grunde zum ersten Mal systematisch, wo KI im eigenen Arbeitsalltag eingreifen könnte. Das ist ein guter Moment, um nicht nur das eine Tool zu entscheiden, sondern die KI-Nutzung insgesamt auf eine Grundlage zu stellen.
FAQ
Ist Fireflies.ai in Deutschland legal nutzbar?
Nicht pauschal illegal — aber ohne geprüften AVV und bei US-Serverstandort datenschutzrechtlich riskant, insbesondere wenn Kundengespräche mit personenbezogenen Daten aufgezeichnet werden. Nach aktueller Rechtslage brauchen Sie eine dokumentierte Rechtsgrundlage für die Datenübermittlung in die USA.
Welches Meeting-Transkriptionstool ist in Deutschland am DSGVO-sichersten?
Tools mit EU-Serverstandort, vollständigem AVV nach Art. 28 und transparenter Sub-Processor-Liste. tl;dv (europäisches Startup, EU-Server) und die integrierte Microsoft-Teams-Lösung im Rahmen der EU Data Boundary sind 2025 gute Ausgangspunkte für KMU.
Brauche ich für Meeting-Recording eine Einwilligung aller Teilnehmer?
Ja. In Deutschland ist die Aufzeichnung von Gesprächen ohne Einwilligung aller Beteiligten nach §201 StGB strafbar. Das gilt für Audio- und Videoaufzeichnungen. Auch bei rein textlicher Transkription ohne Speicherung der Tonaufnahme besteht nach DSGVO eine Informationspflicht gegenüber den Betroffenen.
Was kostet ein DSGVO-konformes Meeting-Tool für ein KMU mit 10 Mitarbeitern?
Je nach Anbieter zwischen 100 und 400 € pro Monat für das Team — zzgl. einmaligem Setup-Aufwand für Datenschutz-Dokumentation, der realistisch bei 2.000–3.500 € liegt, wenn externe Beratung hinzukommt. Kostenlose Tarife ohne AVV sind für den produktiven Einsatz mit personenbezogenen Daten nicht empfohlen.
Muss der Betriebsrat zustimmen, bevor ich ein Meeting-Transkriptionstool einführe?
Wenn ein Betriebsrat vorhanden ist: in der Regel ja, §87 Abs. 1 Nr. 6 BetrVG greift bei technischen Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung genutzt werden könnten. Ohne Betriebsrat gibt es keine formelle Zustimmungspflicht — aber eine transparente Mitarbeiterinformation ist arbeitsrechtlich und kulturell empfehlenswert.
Nächste Schritte
Die Wahl des richtigen Meeting-Tools hängt von Ihrer konkreten Infrastruktur ab, vom Stand Ihrer Datenschutz-Dokumentation und davon, welche Workflows danach eigentlich folgen sollen. Eine Checkliste hilft beim Filtern — aber sie ersetzt keine Einschätzung, die Ihr spezifisches Umfeld kennt.
Genau das ist der Ausgangspunkt des KI-Audits: eine strukturierte 90-Minuten-Analyse Ihres Unternehmens, die zeigt, wo KI-Tools — darunter auch Meeting-Transkription — sinnvoll und DSGVO-konform eingesetzt werden können, und wo der Aufwand den Nutzen nicht rechtfertigt. Das Ergebnis ist ein schriftlicher Report, keine Verkaufspräsentation. Wer nach dem Lesen dieses Artikels merkt, dass die Meeting-Tool-Frage nur die Spitze eines größeren Evaluierungsbedarfs ist, findet dort einen strukturierten Einstieg.