KI-Transkription und DSGVO: So nutzt du sie datenschutzbewusst

Warum Transkripte personenbezogene Daten sind

Eine Aufnahme enthält Stimmen, ein Transkript enthält Namen, Firmen, Telefonnummern, manchmal Gesundheitsthemen oder Gehaltsfragen. All das sind personenbezogene Daten. Sobald du Gespräche beruflich aufnimmst und von einer KI verschriftlichen lässt, gilt deshalb die Datenschutz-Grundverordnung – egal, ob du Einzelunternehmerin oder Konzern bist.

Verantwortlich im Sinn der DSGVO bist dabei du bzw. dein Unternehmen: Du entscheidest, welches Gespräch aufgenommen wird, wofür und wie lange es gespeichert bleibt. Der Anbieter des Tools ist in der Regel Auftragsverarbeiter – er verarbeitet die Daten nur in deinem Auftrag. Diese Rollenverteilung prägt alles Weitere.

Die passende Rechtsgrundlage

Jede Verarbeitung braucht eine Grundlage aus Art. 6 Abs. 1 DSGVO. Für Meeting-Transkripte kommen vor allem drei infrage:

Unsere Einschätzung: In der Praxis kombinieren viele Unternehmen ein berechtigtes Interesse mit einer klaren Ankündigung und der Möglichkeit, zu widersprechen. Im Arbeitsverhältnis ist die Einwilligung wegen der Abhängigkeit ohnehin heikel; dort spielen Betriebsvereinbarungen eine größere Rolle. Unabhängig davon brauchst du strafrechtlich das Einverständnis der Sprechenden – das ist eine eigene Frage.

Informationspflicht: Was deine Gesprächspartner wissen müssen

Nach Art. 13 DSGVO müssen Betroffene bei der Erhebung erfahren, wer verantwortlich ist, zu welchem Zweck und auf welcher Grundlage verarbeitet wird, wer die Daten erhält, wie lange sie gespeichert werden und welche Rechte sie haben. Für ein Meeting heißt das nicht, dass du zu Beginn eine Datenschutzerklärung vorliest.

Bewährt hat sich eine zweistufige Lösung: Im Call ein kurzer Satz („Ich lasse mitschreiben, damit nichts verloren geht – passt das?“), dazu ein Verweis auf deine Datenschutzinformation – etwa in der Einladung, in der E-Mail-Signatur oder auf deiner Website. Dort ergänzt du einen Abschnitt zu Gesprächsaufzeichnungen mit Zweck, Dienstleistern und Löschfrist.

Ein Beispiel für so einen Abschnitt: „Mit Ihrem Einverständnis zeichnen wir Online-Besprechungen auf, um Protokolle zu erstellen. Die Aufnahme wird von unserem Dienstleister transkribiert und zusammengefasst, das Audio danach gelöscht. Transkripte speichern wir bis zum Abschluss des Projekts. Sie können der Aufzeichnung jederzeit widersprechen.“ Passe die Angaben an deine tatsächlichen Dienstleister und Fristen an.

Der Vertrag mit dem Anbieter: Auftragsverarbeitung

Wenn ein externer Dienst Audio oder Transkripte für dich verarbeitet, verlangt Art. 28 DSGVO einen Vertrag, der unter anderem regelt, dass der Anbieter nur auf deine Weisung handelt, die Daten vertraulich behandelt, angemessen schützt und nach Ende des Auftrags löscht. Außerdem muss offengelegt sein, welche Unterauftragsverarbeiter eingesetzt werden – bei KI-Tools typischerweise ein Speech-to-Text-Dienst, ein Sprachmodell und ein Hosting-Anbieter.

Viele Anbieter stellen den Vertrag als Download bereit oder schicken ihn auf Anfrage. Was drinstehen sollte und wie du ihn prüfst, erklären wir ausführlich in AVV bei KI-Tools.

Serverstandort und Datenübermittlung in Drittländer

Werden Daten außerhalb der EU bzw. des EWR verarbeitet, gelten die Art. 44 ff. DSGVO. Für die USA gibt es seit Juli 2023 einen Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework: Übermittlungen an US-Unternehmen, die sich unter diesem Rahmen verpflichtet haben, sind ohne weitere Garantien möglich. Für andere Empfänger braucht es meist Standardvertragsklauseln und eine Prüfung des Einzelfalls.

Achte dabei nicht nur auf den Speicherort, sondern auf den gesamten Weg der Daten: Wo wird transkribiert? Wo läuft das Sprachmodell, das zusammenfasst? Wo liegen Backups? Ein Anbieter mit Speicherung in Frankfurt kann trotzdem einen US-Dienst für die Zusammenfassung nutzen – das ist nicht automatisch unzulässig, muss aber transparent sein.

Datensparsam arbeiten: weniger speichern, früher löschen

Die DSGVO verlangt, nur die Daten zu verarbeiten, die für den Zweck nötig sind, und sie nicht länger als nötig zu speichern (Art. 5). Für Meeting-Tools heißt das ganz praktisch:

• Audio nicht ewig aufheben. Für ein Protokoll brauchst du das Transkript und die Zusammenfassung, selten die Tonspur.
• Löschfristen festlegen, etwa: Transkripte von Kundencalls nach Projektende, interne Meetings nach zwölf Monaten.
• Zugriffe begrenzen. Nicht jedes Transkript muss für das ganze Team sichtbar sein.
• Sensible Gespräche gesondert behandeln. Gesundheit, Gewerkschaftszugehörigkeit oder Religion sind besondere Kategorien nach Art. 9 – hier lieber gar nicht oder nur mit ausdrücklicher Einwilligung transkribieren.
• Kein Training mit deinen Inhalten, wenn es sich vermeiden lässt. Prüf in den Bedingungen, ob der Anbieter oder seine Dienstleister Inhalte für das Training von KI-Modellen nutzen.

Checkliste: Transkriptionstools datenschutzbewusst auswählen

Mit diesen Fragen vergleichst du Anbieter, bevor du dich festlegst. Die meisten Antworten findest du in der Datenschutzerklärung, im AVV oder in einer Sicherheitsübersicht:

Hilfreich für die Auswahl ist auch die Orientierungshilfe der deutschen Datenschutzkonferenz zu Künstlicher Intelligenz und Datenschutz, die genau solche Kriterien beschreibt. In Österreich ist die Datenschutzbehörde (DSB) Anlaufstelle für Fragen und Beschwerden.

Wenn es sensibel wird: Datenschutz-Folgenabschätzung

Werden regelmäßig Gespräche mit sensiblen Inhalten transkribiert – etwa in Beratung, Personalarbeit oder Gesundheitswesen – kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig sein. Sie dokumentiert, welche Risiken bestehen und wie du sie verringerst. Für eine Agentur, die Projektcalls protokolliert, ist das meist nicht erforderlich; für ein Therapiezentrum, das Sitzungen transkribiert, sehr wahrscheinlich schon.

Wenn du unsicher bist, frag deine Datenschutzbeauftragte oder deinen Datenschutzbeauftragten. Lieber eine Stunde Beratung am Anfang als ein Tool, das du nach einem Jahr wieder abschaffen musst.