DSGVO-konforme Transkription: worauf es ankommt
Meetings, Interviews und Telefonate enthalten personenbezogene Daten. Wer sie mit KI transkribiert, braucht mehr als ein Häkchen im Marketing: eine saubere Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und Klarheit darüber, wo die Daten verarbeitet werden und wer darauf zugreifen kann. Hier ist der Überblick, inklusive Vergleich der gängigen Anbieter.
01
Was DSGVO-konforme Transkription bedeutet
Sobald ein Transkriptionsdienst Aufnahmen mit personenbezogenen Daten verarbeitet, ist er datenschutzrechtlich ein Auftragsverarbeiter. Das heißt konkret: Du brauchst einen Auftragsverarbeitungsvertrag (AVV), und der Anbieter muss geeignete technische und organisatorische Maßnahmen nachweisen.
Sechs Punkte solltest du bei jedem Werkzeug prüfen, bevor du eine echte Aufnahme hochlädst:
- AVV: Bietet der Anbieter einen Auftragsverarbeitungsvertrag an, auch im günstigen Tarif?
- Verarbeitungsort: Wo werden Audio und Transkript verarbeitet und gespeichert?
- Subprozessoren: Welche Drittanbieter sind eingebunden, und wo sitzen sie?
- KI-Training: Werden deine Aufnahmen zum Training von Modellen verwendet?
- Löschung: Kannst du Aufnahmen und Transkripte vollständig löschen, und gibt es Aufbewahrungsfristen?
- Nachweise: Gibt es Zertifizierungen wie ISO 27001 und ein öffentliches Trust Center?
02
Die Frage hinter der Frage: der US CLOUD Act
Viele Anbieter werben mit EU-Serverstandorten. Das ist relevant, beantwortet aber nicht alles: Der US CLOUD Act verpflichtet US-Unternehmen, US-Behörden auf Anordnung Zugriff auf Daten zu geben, unabhängig davon, wo die Server stehen. Ein US-Anbieter mit EU-Rechenzentrum bleibt also ein US-Anbieter.
Deshalb raten deutsche Vergleiche und Datenschutzbeauftragte bei sensiblen Gesprächen regelmäßig zu europäischen Anbietern: Dort greift der CLOUD Act strukturell nicht. Ob das für deine Organisation den Ausschlag gibt, ist eine Abwägung, die dein Datenschutzbeauftragter treffen sollte. Die Fakten dafür stehen unten in der Tabelle.
03
Die gängigen Anbieter im Vergleich
Eine Anmerkung vorab: Klang ist selbst Anbieter in diesem Vergleich. Deshalb beschränken wir uns auf überprüfbare Fakten aus den öffentlichen Unterlagen der Anbieter und bewerten nicht, was wir nicht belegen können. Prüfe die Angaben vor einer Entscheidung immer beim jeweiligen Anbieter.
04
Wenn die Daten das Haus nicht verlassen dürfen: On-Premise
Für Behörden, Kanzleien, Versicherungen und Forschung mit besonders sensiblen Daten reicht auch eine EU-Cloud manchmal nicht. Dann bleiben zwei Wege: eine dedizierte Private Cloud mit eigener Verschlüsselung, oder der Betrieb in der eigenen Infrastruktur, auf Wunsch komplett offline.
Klang bietet beides: eine Private Cloud mit eigenem Schlüsselmanagement (BYOK) und EU-Datenresidenz nach Wahl, oder On-Premise-Betrieb im eigenen Netz, bis hin zu Air-Gapped-Umgebungen ohne Internetzugang. In Skandinavien arbeiten Behörden, Gerichte und Stadtverwaltungen täglich so mit Klang.
Sitz, Verarbeitung und CLOUD-Act-Risiko
Die Kernfakten der meistverglichenen Anbieter, nach deren eigenen öffentlichen Angaben:
| Anbieter | Sitz | CLOUD-Act-Risiko | On-Premise möglich |
|---|---|---|---|
| Klang | Schweden (EU) | Nein: europäischer Anbieter, Verarbeitung in der EU | Ja, inklusive Private Cloud und Air-Gapped-Betrieb |
| Sally | Deutschland | Nein: europäischer Anbieter; wirbt mit Hosting in Deutschland | k. A. |
| tl;dv | Deutschland | Sitz in der EU; eingesetzte Subprozessoren beim Anbieter prüfen | k. A. |
| Otter.ai | USA | Ja: US-Anbieter, unabhängig vom Serverstandort | k. A. |
| Fireflies.ai | USA | Ja: US-Anbieter, unabhängig vom Serverstandort | k. A. |
Stand August 2026, nach öffentlich zugänglichen Angaben der Anbieter, ohne Gewähr. k. A.: keine öffentliche Angabe gefunden. Maßgeblich sind die aktuellen Unterlagen des jeweiligen Anbieters (AVV, Subprozessorenliste, Trust Center). Diese Seite ist keine Rechtsberatung.
Datenschutz als Ausgangspunkt, nicht als Zusatz
So beantwortet Klang die sechs Prüfpunkte
Klang ist eine europäische KI für Transkription und Gesprächsanalyse, gebaut in Schweden für Organisationen mit hohen Anforderungen an Datenschutz und Nachvollziehbarkeit.
- Verarbeitung und Speicherung in Europa, AVV inklusive
- Deine Aufnahmen werden nie zum Training von KI verwendet
- ISO 27001:2022-zertifiziert, verschlüsselte Arbeitsbereiche
- Private Cloud mit eigenem Schlüsselmanagement (BYOK) oder On-Premise-Betrieb möglich
Häufige Fragen
Sind Otter oder Fireflies DSGVO-konform?
Beide sind US-Anbieter und unterliegen damit dem US CLOUD Act, unabhängig vom Serverstandort. Ob das mit den Anforderungen deiner Organisation vereinbar ist, prüft am besten dein Datenschutzbeauftragter anhand von AVV und Subprozessorenliste des Anbieters. Viele deutsche Vergleiche raten bei sensiblen Inhalten zu europäischen Alternativen.
Brauche ich wirklich einen AVV?
Ja. Sobald ein Dienst personenbezogene Daten in deinem Auftrag verarbeitet, verlangt die DSGVO einen Auftragsverarbeitungsvertrag. Das gilt auch für Aufnahmen von Meetings und Interviews. Ein Anbieter, der keinen AVV anbietet, scheidet für den geschäftlichen Einsatz aus.
Reicht ein EU-Serverstandort?
Nicht allein. Der Serverstandort sagt, wo die Daten liegen; der Sitz des Anbieters entscheidet, welches Recht auf ihn anwendbar ist. Ein US-Anbieter mit EU-Servern bleibt dem US CLOUD Act unterworfen. Für die Bewertung zählen beide Ebenen zusammen mit den eingesetzten Subprozessoren.
Ist lokales Whisper nicht die sicherste Lösung?
Lokal ausgeführt verlässt die Aufnahme deinen Rechner nicht, datenschutzfreundlicher geht es kaum. Dafür fehlen Sprechererkennung, Zusammenfassungen und Support, und die Einrichtung ist technisch. Der Vergleich steht auf unserer Seite zur Whisper-Alternative.
Darf ich Meetings überhaupt aufzeichnen?
Informiere alle Teilnehmenden vorab über die Aufnahme und ihren Zweck und hole die nötige Zustimmung ein. Heimliche Aufnahmen sind in Deutschland strafbar. Wie die Einwilligung in deiner Organisation aussehen muss, klärst du mit deinem Datenschutzbeauftragten.