Du sitzt im Discovery-Call, der Prospect erzählt gerade die Goldader-Story — den konkreten Pain, das interne Workaround, den verlorenen Kunden letztes Quartal. Genau das Zeug, das du nach dem Call vergessen wirst, wenn du nicht aufnimmst.
Aber: darfst du das überhaupt?
Kurzantwort steht oben. Ausführliche Antwort hier — mit den drei Sachen, die niemand sonst sauber zusammenfasst: was die DSGVO verlangt, was § 201 StGB strafrechtlich tut, und welche Recording-Tools überhaupt AVV-fähig sind.
Disclaimer: Ich bin kein Anwalt. Das hier ist keine Rechtsberatung. Bei konkretem Setup mit Enterprise-Kunden, gesundheitsbezogenen Daten oder regulierten Branchen (Banken, Versicherungen, Pharma): Datenschutzbeauftragter oder Anwalt fragen. Für 99% der B2B-SaaS-Discovery-Calls reicht das Pattern unten.
Die zwei Gesetze, die hier greifen
Es gibt nicht ein Gesetz für Call-Recording in DE, sondern zwei parallele Regime — und beide müssen passen.
1. DSGVO (zivilrechtlich / Bußgeld bis 20 Mio. €)
Aufzeichnung ist eine Datenverarbeitung. Stimme + Name + Inhalt = personenbezogene Daten. Du brauchst eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. In der Praxis kommen drei in Frage:
- lit. a — Einwilligung (die saubere Lösung für Discovery-Calls)
- lit. b — Vertragserfüllung (greift nur bei laufenden Kundenverträgen, NICHT bei Cold Discovery)
- lit. f — berechtigtes Interesse (theoretisch denkbar, in der Praxis wackelig bei Audio-Recordings — die Aufsichtsbehörden sehen das eng)
→ Für Discovery-Calls: Einwilligung. Immer.
2. § 201 StGB (strafrechtlich, bis 3 Jahre Freiheitsstrafe)
Der zweite Hebel, den viele übersehen: § 201 StGB schützt das „nichtöffentlich gesprochene Wort”. Ein 1:1-Call ist nichtöffentlich. Aufzeichnen ohne Einwilligung ist eine Straftat — unabhängig von der DSGVO, unabhängig vom Personenbezug, unabhängig davon, ob das Recording je veröffentlicht wird.
Das ist der Grund, warum „der ist im Geschäftskontext, ich habe berechtigtes Interesse” hier nicht funktioniert: § 201 StGB kennt diese Abwägung nicht. Einwilligung oder keine Aufnahme.
**Rechtswidrig:** Du startest die Aufnahme zu Call-Beginn, ohne zu fragen. „Der Bot ist sichtbar in Zoom, das reicht doch." → § 201 StGB-relevant, plus DSGVO-Verstoß.
**Konform:** Erste 30 Sekunden des Calls: „Ich nehme den Call gerne auf, damit ich nichts vergesse. Audio bleibt bei mir, wird nicht geteilt. Ist das für dich okay?" → Einwilligung erteilt, im Audio dokumentiert.
Die 5 Bausteine eines konformen Recording-Setups
Mehr als eine Checkliste — eine Mindest-Konstruktion. Wenn eines davon fehlt, hast du eine Lücke.
Setup-Reife
- 1
Aktive Einwilligung zu Call-Beginn (im Audio dokumentiert)
- 2
AVV (DPA) mit dem Recording-Tool unterschrieben
- 3
EU-Datenresidenz oder Standardvertragsklauseln + TIA
- 4
Klare Speicherfrist + Löschprozess (z.B. 90 Tage)
- 5
Informationspflichten nach Art. 13 DSGVO erfüllt
Risiko
Baustein 1 — Einwilligung, die wirklich eine ist
Eine DSGVO-konforme Einwilligung ist freiwillig, spezifisch, informiert, aktiv (Art. 4 Nr. 11). Im Call-Kontext heißt das:
- Freiwillig: der Prospect darf Nein sagen, ohne dass der Call dann nicht stattfindet
- Spezifisch: für diese Aufnahme, nicht generisch („wir nehmen alle Calls auf”)
- Informiert: Zweck, Speicherort, Speicherdauer kurz benannt
- Aktiv: mündliches Ja oder Klick — kein „wer schweigt, stimmt zu”
Baustein 2 — AVV mit dem Recording-Tool
Sobald du ein externes Tool (Otter, Fireflies, tldv, Loom) nutzt, ist der Tool-Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Du brauchst einen schriftlichen Vertrag, der u.a. regelt: Weisungsbindung, technisch-organisatorische Maßnahmen, Subunternehmer-Liste, Löschung bei Vertragsende.
Praktisch: bei den meisten Tools im Account-Settings als „DPA” abrufbar — oft erst ab Business-/Pro-Plan. Im Free-Plan ohne DPA: streng genommen nicht produktiv einsetzbar für identifizierbare Gespräche.
Baustein 3 — Server-Standort
US-Server bedeutet Drittlandsübermittlung nach Kapitel V DSGVO. Seit Schrems II + EU-US Data Privacy Framework geht das wieder, ist aber mit Aufwand verbunden (SCC, ggf. Transfer Impact Assessment). EU-Region ist immer einfacher.
Baustein 4 — Speicherfrist + Löschprozess
„Speichern, solange der Zweck es erfordert” (Art. 5 Abs. 1 lit. e). Für Discovery-Insights: 90 Tage reichen meistens. Setze eine Auto-Löschung, sonst sammelt sich Datenmüll, der dich bei einer Beschwerde teuer wird.
Baustein 5 — Informationspflichten (Art. 13)
Du musst den Betroffenen über Zwecke, Rechtsgrundlage, Speicherdauer, Rechte (Auskunft, Löschung, Beschwerde bei Aufsichtsbehörde) informieren. Im Call-Kontext: Link zur Datenschutzerklärung im Kalender-Invite reicht in der Praxis, wenn dort die Recording-Verarbeitung beschrieben ist.
Tool-Vergleich: Server-Standort × AVV × DACH-Tauglichkeit
Eigene Recherche-Tabelle, Stand Mai 2026. Disclaimer: Tools ändern Pricing und Features regelmäßig — vor Vertragsabschluss selbst prüfen.
| Tool | EU-Server | AVV / DPA | DACH-Tauglichkeit |
|---|---|---|---|
| tldv | Ja | Ja öffentlich verlinkt | Hoch deutscher Support |
| Fireflies | Ja | Ja ab Pro-Plan | Mittel Free: US, kein DPA |
| Otter.ai | Nein | Ja ab Business | Niedrig No-Go ohne SCC+TIA |
| Loom | Ja | Ja Standard-DPA | Mittel eher Async-Video |
| Zoom | Ja | Ja | Hoch native Consent-Prompt |
| Granola | Teilweise | Ja ab Business | Mittel Server-Standort prüfen |
Pragmatischer Default für DACH-Solo-Founder: tldv (Pro) oder Zoom-Built-in-Recording + manueller Export. Beides hat EU-Hosting + DPA out of the box.
Copy-Paste: Consent-Script für den Call-Start
Das hier ist das Script, das ich in 40+ Discovery-Calls Q1 2026 getestet habe. Null Ablehnungen im DACH-Sample — weil es kurz, sachlich und ehrlich ist.
„Bevor wir loslegen — ich nehme den Call gerne auf, damit ich später nochmal nachhören kann und nichts wichtiges vergesse. Das Audio bleibt bei mir, wird nicht geteilt, nach 90 Tagen gelöscht. Ist das für dich okay?”
Variante mit KI-Notetaker:
„Ich habe einen KI-Notetaker dabei, der Transkript und Zusammenfassung macht — das spart mir nach dem Call Tippzeit. Daten liegen auf EU-Server, ich lösche nach 90 Tagen. Okay für dich?”
Bei Ablehnung — auch das einüben:
„Kein Thema, dann mache ich Notizen per Hand. Vielleicht eine Minute langsamer, aber kein Problem.”
Damit ist die Einwilligung im Recording dokumentiert (Nachweis), spezifisch (für diesen Call), informiert (Zweck + Speicherdauer + Speicherort) und freiwillig (Nein-Option ist real).
Im Mom-Test-Kontext
Saubere Recording-Praxis ist nicht nur Compliance — sie ist Mom-Test-relevant. Wer beim Recording-Consent rumeiert („wir machen das standardmäßig immer so”) signalisiert dem Prospect Unsicherheit. Sauber gefragt = professionell wahrgenommen = ehrlichere Antworten.
Wer die 3 Mom-Test-Regeln noch nicht im Kopf hat (Past Tense, keine Pitches in der Frage, 70/30-Redeanteil) — die Methodik samt deutscher Cultural-Adaption steht im ausführlichen Mom-Test-Guide (/blog/sales/mom-test-deutsch).
Praktisch hilft dir das Recording auch beim Selbst-Audit: nach dem Call das eigene Verhalten reviewen — wo hast du Höflichkeit für Validation gehalten? Wo hast du Future-Tense gefragt? Ohne Recording machst du diesen Audit aus dem Gedächtnis, also schlecht.
→ Wenn du parallel deine Fragen-Liste durchchecken willst: Mom-Test-Fragen-Prüfer öffnen
Die häufigsten Setup-Fehler (aus eigener Praxis)
- „DPA mache ich, wenn der erste Kunde danach fragt.” — Bis dahin hast du 30 Calls aufgenommen ohne Rechtsgrundlage. Schließe den DPA, bevor du das Tool produktiv nutzt.
- Free-Plan + identifizierbare Gespräche. — Otter/Fireflies/tldv Free haben oft keinen DPA. Wenn du Discovery-Calls dort speicherst, fehlt der vertragliche Sockel.
- „US-Server ist okay, ich habe ja SCC.” — SCC alleine reicht seit Schrems II nicht. Du brauchst zusätzlich ein TIA (Transfer Impact Assessment). Aufwand > Nutzen für Solo-Founder. Nimm EU-Region.
- Consent in der Kalender-Beschreibung versteckt. — Nicht spezifisch, nicht aktiv. Frag verbal zu Call-Beginn.
- Recording-Archiv ohne Lösch-Cron. — Nach 12 Monaten hast du 200 Gespräche gespeichert, die du nie wieder anhörst. Im Beschwerdefall: teuer.
FAQ
Reicht eine mündliche Einwilligung zur Aufzeichnung eines Discovery-Calls?
Was passiert, wenn nur ein Gesprächsteilnehmer einwilligt?
Brauche ich einen AVV mit Otter, Fireflies oder tldv?
Darf ich Discovery-Calls in den USA aufzeichnen, wenn der Gesprächspartner in DE sitzt?
Muss ich das Recording-Transkript löschen, wenn der Gesprächspartner das verlangt?
Was ist mit KI-Notetakern, die automatisch in den Call joinen?
Reicht es, in den AGB / Datenschutzhinweisen auf Aufzeichnung hinzuweisen?
Wenn der Gesprächspartner ein Unternehmen vertritt — gilt da auch DSGVO?
Fazit
Discovery-Call-Recording in DACH ist legal — aber die Rechtsgrundlage ist Einwilligung, nicht „berechtigtes Interesse”. Ohne aktive Zustimmung greift § 201 StGB, also nicht-DSGVO-Bußgeld, sondern Strafrecht. Mit dem 5-Bausteine-Setup oben + Tool-Tabelle + Copy-Paste-Consent bist du für 99% der B2B-Discovery-Calls sauber aufgestellt.
Bei regulierten Branchen oder Enterprise-Kunden: Datenschutzbeauftragter / Anwalt drüberschauen lassen. Das hier ist Founder-Pragmatik, kein Anwaltsersatz.
Nächste Schritte:
- 5 Min: Consent-Script oben in dein Discovery-Skript einbauen
- 15 Min: DPA bei deinem Recording-Tool prüfen + ggf. nachholen
- 30 Min: Tool-Wechsel zu EU-Region, falls du noch auf US-Server bist
- 1 Stunde: Datenschutzerklärung um Recording-Hinweis ergänzen (Art. 13)