DSGVO-konforme Transkriptionssoftware: 7 Prüfkriterien
Prüfe Transkriptionssoftware auf AVV, EU-Standort, Subprozessoren, Speicherfristen, KI-Training und lokale Verarbeitung – mit konkreter Checkliste.
Ein Interview für die Forschung, ein aufgezeichnetes Kundengespräch, ein Sprachmemo mit Projektnotizen: KI-Transkription macht aus Stunden Tipparbeit Minuten Rechenzeit. Genau deshalb laden gerade unzählige Teams ihre Aufnahmen bei irgendeinem Transkriptionsdienst hoch, ohne sich zu fragen, wo dieses Audio eigentlich landet.
Die unbequeme Wahrheit: In fast jeder Aufnahme stecken personenbezogene Daten, manchmal auch besondere Kategorien personenbezogener Daten. Wer sie an einen Cloud-Dienst außerhalb des Europäischen Wirtschaftsraums übermittelt, muss zusätzlich zur Rechtsgrundlage der Verarbeitung auch den Drittlandtransfer prüfen und absichern. Dieser Artikel zeigt, worauf es bei datenschutzgerechter Transkriptionssoftware ankommt, welche Fragen du jedem Anbieter stellen solltest und warum lokale KI-Transkription die Prüfung vereinfachen kann.
Vorab zur Einordnung: Das ist eine allgemeine Übersicht, keine Rechtsberatung. Die konkrete Bewertung hängt von deinem Einsatzszenario ab. Geht es dir nicht um die Transkription von Aufnahmen, sondern um Live-Diktat, findest du die rechtliche Einordnung dazu in unserem Artikel über DSGVO-konforme Diktiersoftware.
Warum Transkription ein größeres Datenschutzthema ist als Diktat
Beim Diktieren verarbeitest du deine eigene Stimme und deine eigenen Gedanken. Bei der Transkription von Aufnahmen kommt eine entscheidende Dimension dazu: die Daten anderer Personen. Ein Interview enthält die Stimme und die Aussagen deiner Gesprächspartnerin. Ein aufgezeichnetes Meeting enthält Äußerungen aller Teilnehmenden. Solche Sprachaufnahmen sind regelmäßig personenbezogene Daten. Als besondere Kategorie biometrischer Daten nach Art. 9 DSGVO gelten sie jedoch erst, wenn sie mit speziellen technischen Mitteln zur eindeutigen Identifizierung einer Person verarbeitet werden.
Inhaltlich wird es schnell heikel. In qualitativen Interviews geht es oft um Gesundheit, politische Einstellungen oder die Lebensgeschichte der Befragten, also um besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. In Kundengesprächen stecken Vertragsdetails, in Teamrunden Interna und Personalthemen. Wer solche Aufnahmen verarbeitet, trägt Verantwortung für Daten, die ihm andere anvertraut haben.
Dazu kommt eine Pflicht, die schon vor der Transkription greift: Die Aufnahme selbst braucht eine Rechtsgrundlage und darf nicht gegen § 201 StGB verstoßen. Bei nicht öffentlich gesprochenen Worten ist eine Aufnahme ohne Befugnis in Deutschland strafrechtlich riskant. Eine ausdrückliche Einwilligung ist in vielen typischen Interview- und Gesprächssituationen der sicherste Weg; welche Rechtsgrundlage tatsächlich trägt, hängt aber vom konkreten Kontext ab.
Das Problem mit Cloud-Transkriptionsdiensten
Symbolbild, KI-generiert
Die bekanntesten Transkriptionsdienste arbeiten cloudbasiert, viele davon mit Servern in den USA. Damit handelst du dir gleich mehrere Baustellen ein.
Sobald ein Anbieter Audio in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Findet die Verarbeitung außerhalb des EWR statt, kommt der Drittlandtransfer hinzu, der bei US-Anbietern geeignete Garantien und eine Transferprüfung erfordert. Gegenüber den aufgenommenen Personen bestehen grundsätzlich Informationspflichten nach Art. 13 und 14 DSGVO, soweit keine gesetzliche Ausnahme greift. Wenn du dich auf eine Einwilligung stützt, muss ihr Umfang auch die vorgesehene Weitergabe und Verarbeitung abdecken.
Ein Punkt wird dabei gern übersehen: das Training von KI-Modellen. Manche Dienste behalten sich vor, hochgeladene Audiodaten oder Transkripte zur Verbesserung ihrer Modelle zu nutzen. Für vertrauliche Aufnahmen ist das ein Ausschlusskriterium, und zwar unabhängig davon, wo der Server steht. Ein Anbieter, der nicht klar und vertraglich zusichert, deine Inhalte nicht für Training zu verwenden, kommt für sensible Aufnahmen nicht infrage.
Für Berufsgeheimnisträger verschärft sich das alles noch einmal. Wer als Ärztin, Anwalt oder Therapeutin unbefugt Mandanten- oder Patientengeheimnisse offenbart, riskiert eine Strafbarkeit nach § 203 StGB. Ein Interview mit einer Patientin oder die Aufzeichnung einer Mandantenbesprechung gehört schlicht nicht auf den Server eines Anbieters, den du nicht vertraglich im Griff hast.
Lokale KI-Transkription: das Problem an der Wurzel lösen
Die gute Nachricht: Die Technik hat sich grundlegend geändert. Moderne Spracherkennungsmodelle wie Whisper laufen heute direkt auf normalen Laptops, ohne Serverkontakt und in einer Qualität, die mit Cloud-Diensten mithält. Mehr zur Technik dahinter findest du in unserem Guide zu Offline-Diktiersoftware für Mac und Windows.
Für den Datenschutz ändert das alles. Wenn die Transkription lokal auf deinem Gerät läuft, verlässt die Aufnahme dein Gerät nicht. Es gibt keinen Empfänger, also keinen Auftragsverarbeitungsvertrag für diesen Schritt, keinen Drittlandtransfer, keine Schrems-II-Frage und keine Sorge um fremdes Modelltraining. Deine Informationspflichten gegenüber den aufgenommenen Personen werden einfacher, weil du wahrheitsgemäß sagen kannst: Die Aufnahme bleibt auf diesem Rechner.
Gerade in der qualitativen Forschung ist das praktisch relevant. Ethikkommissionen und Datenschutzbeauftragte fragen bei Interviewstudien regelmäßig, wohin die Aufnahmen fließen. „Die Transkription läuft lokal auf dem Studienrechner" kann die datenschutzrechtliche Prüfung vereinfachen. Dasselbe gilt für Redaktionen, die Quellen schützen, und für alle Berufe mit Schweigepflicht.
Ehrlich bleibt die Einordnung trotzdem: Lokal löst die Übermittlungsfrage, nicht alle Pflichten. Die Rechtsgrundlage für die Aufnahme brauchst du weiterhin, ebenso angemessene Endpunktsicherheit, also Festplattenverschlüsselung, Zugriffskontrolle und ein sauberes Löschkonzept für Aufnahmen, die du nicht mehr brauchst.
Wenn doch Cloud: dann europäisch und abschaltbar
Symbolbild, KI-generiert
Es gibt Fälle, in denen Cloud-Leistung praktisch ist, etwa sehr lange Aufnahmen auf älterer Hardware. Dann lautet die Frage nicht „Cloud ja oder nein", sondern welche. Ein vollständig innerhalb des Europäischen Wirtschaftsraums betriebener Cloud-Pfad kann die Prüfung vereinfachen, ersetzt aber weder die Rechtsgrundlage noch die übrigen Pflichten. Wichtig sind insbesondere ein Auftragsverarbeitungsvertrag, transparente Subprozessoren, dokumentierte Speicher- und Löschfristen, angemessene Sicherheitsmaßnahmen und ein vertraglicher Ausschluss der Nutzung für fremde Zwecke wie Modelltraining. Wenn der Anbieter Zero Data Retention zusagt, sollte außerdem klar dokumentiert sein, was davon umfasst ist. Und du selbst solltest steuern können, ob überhaupt etwas in die Cloud geht: standardmäßig lokal, Cloud nur als bewusste Entscheidung pro Funktion.
Checkliste: 7 Prüfkriterien für Transkriptionssoftware
Bevor du eine Aufnahme hochlädst oder eine Software einsetzt, sollten sich sieben Fragen sauber beantworten lassen.
1. Läuft die Transkription standardmäßig lokal? Prüfe, ob Audio auf deinem Gerät verarbeitet wird oder bei jeder Nutzung automatisch in die Cloud geht.
2. Wo stehen die Server? Sobald eine Cloud beteiligt ist, muss klar sein, in welchem Land die Verarbeitung stattfindet und ob ein Drittlandtransfer entsteht.
3. Wer sind die Subprozessoren? Eine bloße Aussage wie „EU-Hosting" reicht nicht. Der Anbieter sollte alle beteiligten Unternehmen und ihre Aufgaben transparent benennen.
4. Gibt es einen Auftragsverarbeitungsvertrag? Wenn ein Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen AVV nach Art. 28 DSGVO.
5. Wie lange werden Audio und Transkripte gespeichert? Idealerweise gilt Zero Data Retention. Speicherfristen und Löschprozesse müssen konkret dokumentiert sein.
6. Werden Inhalte für KI-Training verwendet? Für sensible Aufnahmen sollte der Anbieter vertraglich ausschließen, Audio oder Transkripte für eigene Modelle zu nutzen.
7. Welche Rechtsgrundlage gilt, und wurden die Betroffenen ordnungsgemäß informiert? Technische Kontrolle ersetzt die rechtliche Prüfung nicht. Je nach Einsatz kann die Verarbeitung auf einer Einwilligung oder einer anderen Rechtsgrundlage beruhen. Informationspflichten nach Art. 13 und 14 DSGVO sind zu erfüllen, soweit im konkreten Fall keine gesetzliche Ausnahme greift.
Allgemeine Marketingformeln beantworten diese Fragen nicht. Entscheidend sind klare, nachprüfbare und – wo erforderlich – vertraglich verbindliche Angaben zur tatsächlichen Verarbeitung.
Häufige Fragen zu DSGVO und Transkriptionssoftware
Darf ich Interviews mit einem US-Cloud-Dienst transkribieren?
Das kann zulässig sein, erfordert aber eine Prüfung des konkreten Dienstes und Einsatzes. Typischerweise brauchst du einen Auftragsverarbeitungsvertrag, eine Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber den Betroffenen und einen tragfähigen Mechanismus für den Drittlandtransfer, etwa Standardvertragsklauseln mit der erforderlichen Transferprüfung. Lokale Verarbeitung oder eine vollständig im EWR bleibende Verarbeitung kann den Drittlandtransfer vermeiden.
Brauche ich die Einwilligung der aufgenommenen Personen?
Eine ausdrückliche Einwilligung ist für viele Interviews und aufgezeichnete Gespräche der sicherste Weg, aber nicht die einzige denkbare Rechtsgrundlage. Entscheidend sind Zweck, Kontext, Datenkategorien und die einschlägigen gesetzlichen Regelungen. Unbefugte heimliche Aufnahmen nicht öffentlich gesprochener Worte können nach § 201 StGB strafbar sein. Wenn du dich auf eine Einwilligung stützt, sollte sie auch die geplante Weiterverarbeitung abdecken.
Ist lokale KI-Transkription schlechter als Cloud-Transkription?
Nicht zwangsläufig. Moderne lokale Modelle wie Whisper können für Interviews, Memos und Besprechungen eine gut nutzbare Qualität liefern. Das Ergebnis hängt von Sprache, Aufnahmequalität, Hardware und Modell ab; am zuverlässigsten ist ein Test mit eigenem Material. Auf älterer Hardware kann ein passend abgesicherter Cloud-Dienst ein sinnvoller Kompromiss sein.
Was bedeutet Zero Data Retention?
Dass der Anbieter die von der Zusage erfassten Audiodaten und Transkripte nach der Verarbeitung nicht dauerhaft speichert. Ob Inhalte außerdem nicht für Modelltraining oder andere eigene Zwecke verwendet werden, sollte separat und ausdrücklich geregelt sein. Für vertrauliche Aufnahmen sollten Umfang und Ausnahmen vertraglich dokumentiert sein.
Reicht ein EU-Serverstandort für DSGVO-Konformität?
Nein. Ein Serverstandort im EWR kann den Drittlandtransfer nur vermeiden, wenn auch die übrige Verarbeitungskette und relevante Zugriffe im EWR bleiben. Du brauchst weiterhin eine Rechtsgrundlage, gegebenenfalls einen Auftragsverarbeitungsvertrag, Transparenz über Subprozessoren, angemessene Sicherheitsmaßnahmen und klare Regeln zu Speicherung und Modelltraining.
Was gilt für Ärzte, Anwälte und andere Berufsgeheimnisträger?
Für sie ist die Hürde am höchsten: Unbefugtes Offenbaren von Geheimnissen ist nach § 203 StGB strafbar. Aufnahmen mit Patienten- oder Mandantenbezug sollten ein Gerät im eigenen Verantwortungsbereich möglichst gar nicht verlassen. Lokale Transkription ist hier oft der einzige saubere Weg.
Fazit: Lokale Verarbeitung vermeidet eine zusätzliche Übermittlung
Datenschutzgerechte Transkription beginnt vor dem ersten Upload: mit einer tragfähigen Rechtsgrundlage, den erforderlichen Informationen für Betroffene und der Frage, ob die Aufnahme das eigene Gerät überhaupt verlassen muss. Wenn die KI-Transkription lokal läuft, entfallen für diesen Verarbeitungsschritt die Pflichten rund um einen externen Auftragsverarbeiter und einen möglichen Drittlandtransfer. Brauchst du Cloud-Leistung, solltest du Verarbeitungskette, Verträge, Speicherfristen, Sicherheitsmaßnahmen und eine mögliche Nutzung für Modelltraining konkret prüfen.
Ownvox: lokale KI-Transkription, gebaut in Deutschland
Ownvox folgt genau diesem Prinzip, mit einem klaren Fokus: Live-Transkription. Ownvox verwandelt deine Stimme in Echtzeit in Text, direkt am Cursor in jeder App, und die Spracherkennung läuft standardmäßig lokal auf deinem Mac oder Windows-Rechner. Bei lokaler Transkription werden Stimme und Transkript nicht zur Erkennung an einen externen Dienst übertragen. Optional kannst du für bestimmte Funktionen eine EU-Cloud zuschalten, deren Inferenz in Frankreich bei Scaleway und deren Proxy in Deutschland bei Hetzner läuft. Dieser Pfad ist für Zero Data Retention konfiguriert; die Inhalte werden nicht für Modelltraining verwendet. Ein Datenschutz-Schalter deaktiviert die optionalen Cloud-Funktionen mit einem Klick, ein Auftragsverarbeitungsvertrag ist verfügbar, und entwickelt wird Ownvox in Deutschland.
Wenn du Spracherkennung suchst, deren lokale Grundeinstellung Datenschutzanforderungen technisch unterstützt, lade Ownvox herunter und teste die lokale Transkription auf deinem Rechner.