KI-Notetaker in Besprechungen: Was Luxemburger Recht erlaubt

Mehr zur KI-Implementierung in Luxemburg, und was die DSGVO beim Einsatz von KI-Werkzeugen sonst noch verlangt, in unserem Leitfaden zu DSGVO-konformer KI für Luxemburger KMU.

Besprechungsassistenten sind in den meisten Luxemburger Unternehmen ohne Projekt angekommen. Jemand hat die Transkription in Teams eingeschaltet, ein Vertriebsleiter hat eine App mit seinem Kalender verbunden, die Protokollführung im Verwaltungsrat hat angefangen aufzuzeichnen, um schneller zu protokollieren. Die Werkzeuge sind nützlich: Eine gute Zusammenfassung mit Aufgaben spart echte Zeit. Sie setzen aber auf einer der am stärksten geregelten Tätigkeiten im Luxemburger Arbeitsrecht auf: aufzuzeichnen, was Beschäftigte sagen.

Ich helfe Luxemburger Unternehmen bei 20 More, KI in die tägliche Arbeit zu bringen, und diese Frage höre ich inzwischen bei fast jeder Einführung: Dürfen wir es nutzen lassen, und unter welchen Bedingungen? Hier sind der rechtliche Rahmen, eine Tabelle Funktion für Funktion und die Konfiguration, die ich empfehle. Das ist praktische Orientierung, keine Rechtsberatung; ziehen Sie in heiklen Fällen Ihren Datenschutzbeauftragten oder Ihre Anwälte hinzu.

Welche Regeln gelten für einen KI-Notetaker?

Vier Regelwerke überlagern sich, und sie betreffen unterschiedliche Funktionen desselben Werkzeugs:

Der Fehler ist, das Werkzeug als Ganzes zu betrachten. Ein Transkript, aus dem ein Protokoll entsteht, und dasselbe Transkript, mit dem die Gespräche eines Vertriebsmitarbeiters bewertet werden, sind nach allen vier Regelwerken unterschiedliche Verarbeitungen.

Wann gilt Artikel L.261-1?

Artikel L.261-1 regelt die Verarbeitung personenbezogener Daten „zu Überwachungszwecken“ am Arbeitsplatz. Er verbietet Überwachung nicht, er knüpft ein Verfahren daran. Nach Guichet.lu und der CNPD:

• Rechtsgrundlage. Die Verarbeitung braucht eine der Grundlagen aus Artikel 6 Absatz 1 Buchstaben a bis f DSGVO.
• Vorherige kollektive Information. Bevor das System startet, informiert der Arbeitgeber die Personaldelegation oder, wenn es keine gibt, die ITM, mit einer genauen Beschreibung des Zwecks, der Ausgestaltung des Systems, der Speicherdauer und der Zusage, die Daten nicht für andere Zwecke zu verwenden. Guichet.lu empfiehlt ein Einschreiben, damit das Datum nachweisbar ist.
• Individuelle Information. Jeder Beschäftigte erhält die Informationen nach Artikel 13 DSGVO.
• Frist von 15 Tagen. Innerhalb von 15 Tagen nach dieser Information können die Personaldelegation oder die betroffenen Beschäftigten bei der CNPD eine vorherige Stellungnahme zur Rechtmäßigkeit der Verarbeitung beantragen. Der Antrag setzt das Projekt aus, und die CNPD muss innerhalb eines Monats antworten.
• Mitentscheidung. Dient die Überwachung Gesundheit und Sicherheit, der Kontrolle von Produktion oder Leistung, wenn nur so die genaue Vergütung bestimmt werden kann, oder einem System gleitender Arbeitszeit, entscheidet die Personaldelegation mit (Artikel L.211-8 und L.414-9).
• Keine Genehmigung. Seit dem 25. Mai 2018 genehmigt die CNPD Überwachung nicht mehr vorab. Die Verantwortung für die Einhaltung trägt allein der Arbeitgeber (Guichet.lu).

Eine Personaldelegation ist in Unternehmen mit mindestens 15 Beschäftigten Pflicht (Guichet.lu); darunter geht die Information an die ITM. Ein Verstoß gegen Artikel L.261-1 ist eine Straftat, die mit acht Tagen bis einem Jahr Freiheitsstrafe und/oder einer Geldstrafe von 251 bis 125.000 Euro geahndet wird (CNPD), und eine Beschwerde von Beschäftigten bei der CNPD ist kein Kündigungsgrund.

Ist ein Notetaker „Überwachung“? Das Gesetz nennt Besprechungsassistenten nicht, und mir ist keine Luxemburger Entscheidung dazu bekannt. Der praktische Test, den ich verwende: Könnten die Aufzeichnungen, Transkripte oder Auswertungen dazu dienen, zu beobachten oder zu beurteilen, was einzelne Beschäftigte tun oder sagen? Wenn ja, und das trifft auf die meisten Werkzeuge mit Sprecherzuordnung, Redezeitstatistik oder durchsuchbarem Archiv zu, folgen Sie dem Verfahren nach L.261-1. Es kostet einen Brief und fünfzehn Tage. Wer es überspringt, macht jede spätere Nutzung der Daten zum Streitfall.

Was sagt die CNPD zur Aufzeichnung von Besprechungen?

Die CNPD hat eine eigene Seite zur Tonaufzeichnung von Besprechungen. Drei Punkte sind für KI-Notetaker wichtig:

1. Die Einwilligung ist brüchig. Sie ist theoretisch möglich, zwischen Arbeitgeber und Beschäftigten aber schwer wirksam einzuholen, weil sie freiwillig sein muss: Wer teilnimmt, muss ohne Nachteile ablehnen können. Die CNPD nennt als Beispiele, die Aufzeichnung anzuhalten, wenn diese Person spricht, oder gar nicht aufzuzeichnen.
2. Die Information kommt zuerst. Die Teilnehmenden müssen vor Beginn der Aufzeichnung erfahren, wer aufzeichnet, warum, wie lange und welche Rechte sie haben (Artikel 13 DSGVO). Ein Hinweisbanner, das erst nach Beginn der Besprechung erscheint, reicht dafür allein nicht aus.
3. Die Speicherdauer folgt dem Zweck. Ist der Zweck das Protokoll, darf die Aufnahme nur so lange aufbewahrt werden, wie das Schreiben und Genehmigen des Protokolls dauert.

Die gemeinsame Broschüre von CNPD und Arbeitnehmerkammer (Chambre des salariés) zur Überwachung am Arbeitsplatz sagt dasselbe für Telefongespräche: Jede Partei eines aufgezeichneten Gesprächs muss informiert werden (Broschüre CNPD / CSL).

Für die meisten Unternehmen ist das berechtigte Interesse (Artikel 6 Absatz 1 Buchstabe f DSGVO) für einen klar begrenzten Zweck wie das Protokoll, mit dokumentierter Interessenabwägung, die bessere Grundlage als eine zu Beginn jedes Gesprächs eingeholte Einwilligung.

Das Gesetz von 1982 zum Schutz des Privatlebens ist ein eigenes Risiko

Das Gesetz vom 11. August 1982 zum Schutz des Privatlebens stellt es unter Strafe, die privat gesprochenen Worte einer Person ohne ihre Einwilligung aufzuzeichnen und eine solche Aufzeichnung aufzubewahren, weiterzugeben oder zu verwenden (Legilux). Wie weit es in geschäftliche Besprechungen hineinreicht, ist nicht geklärt, aber es ist der Grund, warum ein Bot, der externen Gesprächen still aus dem Kalender eines Kollegen beitritt, die erste Konfiguration ist, die ich abschalten würde.

Wo kommt die EU-KI-Verordnung ins Spiel?

Zwei Bestimmungen sind für Besprechungswerkzeuge wichtig:

• Emotionserkennung ist am Arbeitsplatz verboten. Seit dem 2. Februar 2025 verbietet Artikel 5 Absatz 1 Buchstabe f der KI-Verordnung KI-Systeme, die Emotionen von Personen am Arbeitsplatz ableiten, außer aus medizinischen oder Sicherheitsgründen (AI Act Service Desk). Die Leitlinien der Kommission erläutern, dass das Verbot Emotionserkennung auf Grundlage biometrischer Daten erfasst, etwa Stimmlage oder Gesichtsausdruck (Leitlinien der Kommission). Ein „Engagement“-, „Sentiment“- oder „Stimmungs“-Wert, der aus Stimme oder Video der Teilnehmenden berechnet wird, hat in einem internen Besprechungswerkzeug daher nichts zu suchen. Die Stimmungsanalyse reinen Textes fällt nicht unter dieses Verbot, braucht aber weiterhin eine Rechtsgrundlage nach der DSGVO und, auf Beschäftigte angewandt, das Verfahren nach L.261-1.
• Beschäftigte zu bewerten ist Hochrisiko. KI, die Leistung und Verhalten von Arbeitnehmern überwacht und bewertet, ist ein Hochrisiko-Einsatz nach Anhang III; die Pflichten der Betreiber gelten nach dem Digital-Omnibus ab dem 2. Dezember 2027 (Kommission). Ein Notetaker für Protokolle ist das nicht. Dasselbe Werkzeug, das ein Dashboard zur Gesprächsbewertung für Mitarbeitergespräche füttert, kann es werden.

Die Transparenzpflichten aus Artikel 50 machen aus einer internen Besprechungszusammenfassung keinen kennzeichnungspflichtigen öffentlichen Inhalt: Die Kennzeichnungspflicht für Texte in Artikel 50 Absatz 4 betrifft KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit zu informieren (FAQ der Kommission). Die Beschäftigten müssen trotzdem nach der Informationspflicht der DSGVO erfahren, dass die Zusammenfassung von einer KI stammt, und alle, die das Werkzeug nutzen, fallen unter Ihre Pflicht zur KI-Kompetenz nach Artikel 4.

Welche Funktionen sind unproblematisch, welche brauchen Vorsicht?

Diese Tabelle verwende ich mit Kunden. Sie geht von internen Besprechungen und einem vom Unternehmen lizenzierten Werkzeug aus, nicht von der privaten App eines Beschäftigten.

Die Liste der CNPD der Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, umfasst die systematische Überwachung der Tätigkeiten von Beschäftigten. Jede Konfiguration ab „Sprecherzuordnung“ abwärts in der Tabelle sollte eine haben.

Eine sichere Einführung in sechs Schritten

1. Ein Werkzeug wählen, die übrigen sperren. Private Notetaker-Apps, die mit dienstlichen Kalendern verbunden sind, sind das größte unkontrollierte Risiko. Erlauben Sie das Werkzeug, für das Sie einen Vertrag und einen Auftragsverarbeitungsvertrag (Artikel 28 DSGVO) haben, und sperren Sie den Kalenderzugriff für alle anderen.
2. Einrichten, bevor Sie es ankündigen. Untertitel an; Aufzeichnung und Transkription standardmäßig aus und nur manuell durch die einladende Person gestartet; kein automatischer Beitritt zu externen Besprechungen; Redezeitauswertungen und Stimmungsfunktionen aus; Speicherdauer der Aufnahmen auf die kürzeste Option, mit der sich das Protokoll noch schreiben lässt.
3. Den Zweck aufschreiben. Ein Absatz: Protokolle und Aufgaben, sonst nichts, keine Verwendung in Mitarbeitergesprächen oder Disziplinarverfahren. Das ist die Zusage, die L.261-1 erwartet, und sie macht das berechtigte Interesse vertretbar.
4. Personaldelegation oder ITM informieren, schriftlich, mit Zweck, Einrichtung, Speicherdauer und dieser Zusage. Dann die 15 Tage abwarten, bevor es losgeht.
5. Die Einzelnen informieren. Ein kurzer Hinweis im Intranet und in den Einladungen: wer aufzeichnet, warum, wie lange, wie man widerspricht und dass Teilnehmende verlangen können, die Aufzeichnung anzuhalten.
6. Schulen und überprüfen. Zehn Minuten dazu, was das Werkzeug kann und was nicht, und nach drei Monaten eine Prüfung, was tatsächlich aufgezeichnet und gespeichert wird.

Unternehmen, die auch die Arbeitszeit erfassen, können beide Verarbeitungen im selben Schreiben an die Personaldelegation abdecken; siehe unseren Leitfaden zum Arbeitszeitregister nach Artikel L.211-29.

Häufige Fragen

Darf ein Luxemburger Arbeitgeber Besprechungen mit einem KI-Notetaker aufzeichnen?

Ja, unter Bedingungen. Die Aufzeichnung braucht eine Rechtsgrundlage nach der DSGVO und die vorherige Information der Teilnehmenden. Können die Aufzeichnungen oder Transkripte dazu dienen, Beschäftigte zu beobachten oder zu beurteilen, verlangt Artikel L.261-1 des Code du travail zusätzlich die vorherige Information der Personaldelegation oder der ITM; damit beginnt eine Frist von 15 Tagen, in der die Belegschaft eine Stellungnahme der CNPD beantragen kann.

Reicht die Einwilligung der Beschäftigten, um Besprechungen aufzuzeichnen?

Selten. Die CNPD weist darauf hin, dass eine Einwilligung zwischen Arbeitgeber und Beschäftigten schwer wirksam einzuholen ist, weil sie freiwillig und ohne Nachteile verweigerbar sein muss, etwa indem die Aufzeichnung angehalten wird, wenn jemand widerspricht. Für wiederkehrende interne Nutzung ist ein begrenzter Zweck auf Grundlage des berechtigten Interesses mit dokumentierter Abwägung meist die solidere Grundlage.

Sind Stimmungs- oder Engagement-Werte in Besprechungen erlaubt?

Nicht, wenn sie aus Stimme oder Gesichtsausdruck abgeleitet werden. Seit dem 2. Februar 2025 verbietet Artikel 5 Absatz 1 Buchstabe f der EU-KI-Verordnung Emotionserkennung am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Eine reine Textanalyse fällt nicht unter dieses Verbot, braucht aber, auf Beschäftigte angewandt, weiterhin eine Rechtsgrundlage nach der DSGVO und das Verfahren nach L.261-1.

Brauchen wir eine Datenschutz-Folgenabschätzung für einen KI-Besprechungsassistenten?

Für Untertitel oder Protokolle mit kurzer Speicherdauer oft nicht. Sobald das Werkzeug Äußerungen über Besprechungen hinweg namentlich zuordnet, ein durchsuchbares Archiv führt oder Beteiligungsstatistiken erstellt, ähnelt es der systematischen Überwachung von Beschäftigten, die auf der Liste der CNPD steht, und Sie sollten eine durchführen.

Was ist mit Beschäftigten, die eigene Notetaker-Apps nutzen?

Das ist das Erste, was Sie beheben sollten. Eine private App, die mit einem dienstlichen Kalender verbunden ist, zeichnet Kollegen und Kunden zu Bedingungen auf, denen das Unternehmen nie zugestimmt hat und die es nicht prüfen kann. Stellen Sie ein genehmigtes Werkzeug bereit, sperren Sie die übrigen und halten Sie das in der internen KI-Richtlinie fest.

Wenn Sie einen zweiten Blick auf Ihre aktuelle Einrichtung möchten, beschreiben Sie uns das Werkzeug und seine Einstellungen, und wir sagen Ihnen, was Sie zuerst ändern sollten. Die Arbeit ist oft in Luxemburg förderfähig; der Förder-Check dauert zwei Minuten.