DSGVO-konforme Transkription in Europa (2026): Die beste Software, 8 Tools geprüft

Die Angaben zu den Anbietern wurden am 9. November 2026 anhand der eigenen Seiten jedes Anbieters geprüft. Preise und Richtlinien ändern sich, folgen Sie also vor dem Kauf den Links.

Die Aufnahme eines Interviews, einer Vorlesung oder eines Kundengesprächs zählt zu den personenbezogenen Daten. Laden Sie sie bei einem Transkriptionsdienst hoch, wird dieser Dienst Ihr Auftragsverarbeiter, und Sie als Verantwortlicher müssen ihn sorgfältig auswählen. „DSGVO-konform“-Siegel auf Landingpages sagen über DSGVO-konforme Transkription wenig aus. Die Dokumente dahinter schon.

Kurz gesagt:

• Für das strengste reine EU-Setup mit veröffentlichten Unterlagen: Good Tape (Dänemark) — ausschließlich EU-Unterauftragsverarbeiter, AVV im Konto, ISO 27001.
• Für Untertitel, Übersetzung und Transkription in einem EU-gehosteten Tool mit kleinem Budget: BlaBlaScribe (Polen, Server in Deutschland).
• Für Hochschulen und den öffentlichen Sektor, die ISO-Zertifikate und menschliche Transkription brauchen: Amberscript (Niederlande).
• Für volle Kontrolle, wenn Sie Entwickler haben: selbst gehostetes Whisper.

Offenlegung: BlaBlaScribe ist unser Produkt. Damit dieser Vergleich fair bleibt, haben wir jedes Tool, auch unseres, an denselben neun Prüfpunkten gemessen, jede Aussage mit den eigenen Dokumenten des Anbieters belegt und unsere eigenen Lücken aufgeführt.

Kurzüberblick: Software für DSGVO-konforme Transkription im Vergleich

„Nicht veröffentlicht“ oder „nicht angegeben“ bedeutet, dass wir es auf den öffentlichen Seiten des Anbieters nicht gefunden haben. Es heißt nicht, dass es dem Anbieter fehlt. Fragen Sie vor dem Kauf nach.

Was „DSGVO-konform“ für ein Transkriptionstool wirklich bedeutet

Kein Tool ist von sich aus „DSGVO-konform“. Konformität hängt davon ab, wie Sie es nutzen. Ein Tool kann Ihnen das leicht oder schwer machen. Rechtlich zählt Folgendes.

Sie sind der Verantwortliche, das Tool ist Ihr Auftragsverarbeiter (Art. 28)

Nach Artikel 28 DSGVO dürfen Sie nur mit Auftragsverarbeitern arbeiten, die „hinreichende Garantien“ bieten, und es braucht einen Vertrag, den Auftragsverarbeitungsvertrag (AVV). Er regelt, was der Auftragsverarbeiter mit den Daten tun darf, welche Sicherheitsmaßnahmen er trifft, welche Unterauftragsverarbeiter er einsetzt und wie die Daten am Ende der Leistung gelöscht werden. Die Leitlinien 07/2020 des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ erklären das im Detail.

In der Praxis heißt das: Wenn Sie beruflich die Stimmen anderer Menschen transkribieren (Interviewte, Bewerber, Kunden, Studienteilnehmende), brauchen Sie einen AVV mit Ihrem Transkriptionsanbieter. Am einfachsten sind Anbieter, die ihn veröffentlichen oder ihn im Konto akzeptieren lassen.

Ist EU-Hosting Pflicht? Nein, aber es erspart eine ganze Ebene Arbeit

Die DSGVO verlangt nicht, dass Daten in der EU bleiben. Übermittlungen außerhalb des EWR sind zulässig, wenn ein Angemessenheitsbeschluss vorliegt (das Vereinigte Königreich hat einen, im Dezember 2025 bis 2031 verlängert), eine Zertifizierung nach dem EU-US Data Privacy Framework besteht oder Standardvertragsklauseln (SCCs) samt einer Bewertung der Übermittlungsrisiken genutzt werden.

Das DPF ist in Kraft, doch eine Klage dagegen liegt in der Berufung beim Gerichtshof der EU (Rechtssache C-703/25 P), und mehrere europäische Aufsichtsbehörden haben Unternehmen geraten, einen Ausstiegsplan bereitzuhalten. Ein EU-gehostetes Tool mit ausschließlich EU-Unterauftragsverarbeitern umgeht diese Frage vollständig.

Noch eine Feinheit: „EU-gehostet“ beschreibt, wo Daten liegen, nicht wer zur Herausgabe gezwungen werden kann. Ein Anbieter mit US-Muttergesellschaft kann auch für Daten, die er in Frankfurt speichert, US-Recht unterliegen (etwa dem CLOUD Act). Wenn Ihnen das wichtig ist, prüfen Sie die Konzernstruktur, nicht nur das Rechenzentrum.

Ist eine Sprachaufnahme ein „biometrisches Datum“?

Manche Artikel behaupten, jede Sprachaufnahme sei nach der DSGVO ein biometrisches Datum. Das geht zu weit. Artikel 4 Nr. 14 definiert biometrische Daten als personenbezogene Daten, die mit speziellen technischen Verfahren gewonnen werden und die eindeutige Identifizierung einer Person ermöglichen oder bestätigen, und Artikel 9 schränkt ihre Verarbeitung zur eindeutigen Identifizierung einer Person ein.

Sprache in Text umzuwandeln leistet das nicht. Eine Aufnahme bleibt ein personenbezogenes Datum, und ihr Inhalt kann besondere Kategorien personenbezogener Daten enthalten (Gesundheit, politische Meinungen, Religion). Reine Transkription macht sie aber nicht biometrisch. Anders beim Stimmklonen: Ein aus einer Probe erstelltes Stimmmodell kann eine Person identifizieren, deshalb sollten Tools mit Klonfunktion vorher eine ausdrückliche Einwilligung einholen.

Wo der EU AI Act ins Spiel kommt

Spracherkennung ist nach dem EU AI Act kein Hochrisiko-KI-System. Doch Artikel 5 Abs. 1 Buchst. f verbietet seit dem 2. Februar 2025 das Ableiten von Emotionen am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen. Wenn Ihr Meeting- oder Interviewtool „Sentiment“- oder „Emotions“-Werte zu Bewerbern oder Beschäftigten ausgibt, schalten Sie diese Funktion ab.

So haben wir die Tools bewertet: eine Checkliste mit 9 Punkten

Wir haben nur verwendet, was jeder Anbieter veröffentlicht: Datenschutzerklärung, Sicherheitsseite, AVV, Liste der Unterauftragsverarbeiter und Preise. Vertriebsteams haben wir nicht befragt, denn auch Ihr Datenschutzbeauftragter geht zuerst von öffentlichen Dokumenten aus.

1. Öffentlicher AVV (Art. 28). Können Sie ihn herunterladen oder im Konto akzeptieren, oder müssen Sie danach fragen?
2. Benannter Hosting-Anbieter und Region. „EU-Server“ ist eine Behauptung, „AWS eu-central-1“ lässt sich überprüfen.
3. Veröffentlichte Liste der Unterauftragsverarbeiter. Wer bekommt Ihr Audio oder Ihren Text noch zu sehen?
4. Übermittlungsmechanismus für jeden Auftragsverarbeiter außerhalb der EU: Angemessenheitsbeschluss, DPF oder SCCs.
5. Geht Ihr Audio an einen externen KI-Anbieter? Viele Tools verkaufen das Sprachmodell eines anderen Unternehmens weiter.
6. Kein Training mit Kundendaten, festgehalten in der Datenschutzerklärung oder im AVV, nicht nur auf einer Marketingseite.
7. Standardmäßige Aufbewahrung und Löschung, einschließlich Backups.
8. Unabhängige Zertifizierung (ISO 27001, SOC 2) und ihr Geltungsbereich.
9. Niederlassung in der EU und federführende Aufsichtsbehörde, damit Sie wissen, wo Sie sich beschweren können.

Außerdem nennen wir Preis, Gratisangebot und Zahl der Sprachen. Die Genauigkeit testen Sie am besten mit eigenen Aufnahmen; siehe unseren Ratgeber dazu, wie die Genauigkeit einer Transkription gemessen wird (WER).

Die 8 Tools im Check

Die folgenden Tools sind nicht gerankt. Sie sind danach gruppiert, wofür sie sich am besten eignen.

1. BlaBlaScribe — am besten für Transkription, Untertitel und Übersetzung in einem EU-gehosteten Tool

• Wer dahintersteht: Vindrose sp. z o.o., Wrocław, Polen. Unternehmen mit Sitz in der EU; federführende Aufsichtsbehörde ist die polnische UODO. (Datenschutzerklärung)
• Wohin Ihr Audio geht: Transkription, Untertitelerstellung und die Trennung von Sprache und Musik laufen auf den eigenen Servern von BlaBlaScribe, gehostet von der Hetzner Online GmbH in Deutschland. Audio wird nicht an externe KI-Anbieter gesendet. Zwei optionale Funktionen senden Text: Übersetzung und KI-Zusammenfassungen schicken den Transkripttext an die Google Gemini API, und die KI-Synchronisation schickt das Voice-over-Skript an ElevenLabs (eine Stimmprobe nur dann, wenn Sie mit ausdrücklicher Einwilligung einen Stimmklon erstellen). (Sicherheitsseite)
• DSGVO-Unterlagen: Ein öffentlicher Auftragsverarbeitungsvertrag gilt automatisch, sobald Sie die AGB akzeptieren, eine Unterschrift ist nicht nötig. Eine Liste der Unterauftragsverarbeiter zeigt, was jeder Anbieter erhält und wo; Änderungen werden auf dieser Seite angekündigt. Übermittlungen außerhalb der EU stützen sich auf SCCs oder das DPF. Meldung von Datenschutzverletzungen innerhalb von 48 Stunden; Daten werden gelöscht, wenn Sie Ihr Konto löschen, und Backups werden innerhalb von 30 Tagen überschrieben.
• Verschlüsselung: bei der Übertragung (HTTPS). Dateien liegen auf den eigenen Servern von BlaBlaScribe in Deutschland; die Speicherlaufwerke sind nicht verschlüsselt.
• Kein Training: Dateien werden „nie zum Trainieren von KI verwendet“, weder von BlaBlaScribe noch von seinen Anbietern.
• Aufbewahrung: Transkripte, Untertitel und Übersetzungen bleiben, bis Sie sie löschen. Originalmedien werden im Gratistarif 30 Tage aufbewahrt; in Bezahltarifen, solange das Abo aktiv ist, und danach noch 60 Tage (Creator), 9 Monate (Pro) oder 12 Monate (Business) nach der Kündigung, mit E-Mail-Erinnerungen vor der Löschung. Sie können Dateien jederzeit löschen.
• Zertifizierungen: noch keine.
• Preis: einmalig 30 Gratisminuten, ohne Karte. Creator 14 $/Monat (600 Min.), Pro 43 $/Monat, Business 99 $/Monat; bei jährlicher Zahlung etwa 20 % günstiger. Über 120 Sprachen, Übersetzung in über 50, Synchronisation in 27. (Preise)
• Worauf Sie achten sollten: noch kein ISO 27001 oder SOC 2 und keine Verschlüsselung ruhender Daten. Wenn Sie Übersetzung oder KI-Zusammenfassungen nutzen, geht der Transkripttext an einen Auftragsverarbeiter mit Sitz in den USA (Google); lassen Sie diese Funktionen bei sensiblem Material also ausgeschaltet, wenn Sie einen reinen EU-Weg wollen. Keine öffentliche API.

2. Happy Scribe — am besten für Untertitel-Teams, die auch menschliches Korrekturlesen wollen

• Wer dahintersteht: Happy Scribe Limited, Dublin, Irland. (Datenschutz)
• Wohin Ihr Audio geht: AWS und Heroku, mit dem Rechenzentrum „in der Europäischen Union“; eine Region wird nicht genannt. OpenAI und Anthropic werden in der Datenschutzerklärung für den KI-Assistenten und die Connector-Funktionen genannt. Die eigentliche Transkriptions-Engine wird nicht genannt. (Sicherheit, Datenschutz)
• DSGVO-Unterlagen: Die Datenschutzerklärung verweist auf einen AVV, sagt aber nicht, wie man ihn bekommt; laut Sicherheitsseite soll man das Unternehmen kontaktieren. Die Unterauftragsverarbeiter stehen in einem Trust-Portal mit Benachrichtigung bei Änderungen. Übermittlungen stützen sich auf SCCs, das DPF oder andere Mechanismen nach Art. 45/46.
• Training: Das ist der wichtigste Vorbehalt. Die Datenschutzerklärung beschreibt eine Opt-in-Einwilligung bei der Registrierung; mit Einwilligung dürfen de-identifizierte Inhalte für das Modelltraining an Dritte lizenziert oder weitergegeben werden. Achten Sie darauf, dass dieses Kästchen bei Arbeitskonten leer bleibt.
• Aufbewahrung: Gelöschte Dateien lassen sich 10 Tage lang wiederherstellen und werden dann endgültig gelöscht. Zum Umgang mit Backups keine Angabe.
• Zertifizierungen: SOC 2 Type 2 (Geltungsbereich nicht angegeben). ISO 27001 bezieht sich auf den Rechenzentrumsanbieter, nicht auf Happy Scribe selbst.
• Preis: Gratistarif mit einmalig 10 Minuten. Basic ab 17 $/Monat oder 8,50 $/Monat bei jährlicher Zahlung. Über 150 Sprachen. (Preise)
• Worauf Sie achten sollten: das Trainings-Opt-in und dass sich der AVV nicht selbst abschließen lässt.

3. Amberscript — am besten für Hochschulen und Behörden, die ISO-Zertifikate brauchen

• Wer dahintersteht: Amberscript Global B.V., Amsterdam, mit einer GmbH in Berlin. (Datenschutz)
• Wohin Ihr Audio geht: Google Cloud Platform in Frankfurt; laut Sicherheitsseite werden Daten nie außerhalb Europas gespeichert. Nicht benannte „Dritte“ transkribieren und verarbeiten Audio. (Datensicherheit)
• DSGVO-Unterlagen: AVV auf Anfrage über ein Formular (Sie erhalten ein vorausgefülltes PDF). Keine öffentliche Liste der Unterauftragsverarbeiter. Laut Datenschutzerklärung sitzen einige Partner außerhalb des EWR, ein Übermittlungsmechanismus wird aber nicht genannt, was dem „nie außerhalb Europas gespeichert“ auf der Sicherheitsseite widerspricht. Bitten Sie um Klärung.
• Training: Laut Datenschutzerklärung werden Audio und Transkripte nie zum Training der eingesetzten Sprachmodelle verwendet.
• Aufbewahrung: Dateien werden standardmäßig 6 Monate nach dem Upload automatisch gelöscht (mit Erinnerungen); das lässt sich abschalten. Zu Backups keine Angabe.
• Zertifizierungen: ISO 27001 und ISO 9001 (Geltungsbereich nicht angegeben).
• Preis: kein Gratistarif erwähnt. Starter 19 €/Monat (5 Stunden), nutzungsbasiert 10 €/Stunde, menschliche Transkription ab 1,85 €/Min. Über 90 Sprachen (maschinell), über 18 (menschlich). (Preise)
• Worauf Sie achten sollten: nicht benannte KI-Partner und unklare Angaben zu Übermittlungen außerhalb der EU.

4. Good Tape — am besten für das strengste reine EU-Setup

• Wer dahintersteht: Good Tape ApS, Kopenhagen, Dänemark. (Sicherheit)
• Wohin Ihr Audio geht: eine veröffentlichte Liste ausschließlich EU-basierter Unterauftragsverarbeiter: Google (EU) und Azure (EU, für Lastspitzen) für die Transkription, Scaleway für die Dateispeicherung, Supabase und MongoDB für App-Daten. (Unterauftragsverarbeiter)
• DSGVO-Unterlagen: ein Standard-AVV im Pro-Tarif und ein individueller im Business-Tarif, abrufbar in den Kontoeinstellungen; ein Muster ist öffentlich. (AVV) Alle Dienstleister sitzen in der EU, ein Übermittlungsmechanismus ist also nicht nötig.
• Training: „Wir trainieren niemals mit Daten unserer Nutzer“, so steht es in der Richtlinie und im AVV.
• Aufbewahrung: Löschung einschließlich Backups innerhalb von 12 Stunden. Der Standard wird auf verschiedenen Seiten unterschiedlich beschrieben (Löschung nach der Verarbeitung vs. Aufbewahrung, so lange Sie möchten), prüfen Sie also Ihre Einstellungen.
• Zertifizierungen: ISO/IEC 27001:2022, ausgestellt am 30. Januar 2026, gültig bis Januar 2029 (Geltungsbereich nicht angegeben).
• Preis: kostenlose Testphase mit 1 Stunde Transkription, ohne Karte. Pro 16 €/Monat bei jährlicher Abrechnung (20 Stunden pro Monat); Business auf Anfrage. Über 100 Sprachen. (Preise)
• Worauf Sie achten sollten: Die Sicherheitsseite spricht von „unserer eigenen Infrastruktur“, laut Liste der Unterauftragsverarbeiter läuft die Transkription aber bei Google und Azure (EU-Regionen). Es ist ein reines Transkriptionstool: keine Untertitelgestaltung, keine Übersetzung, keine Synchronisation.

5. Trint — am besten für Redaktionen (Sitz im Vereinigten Königreich, EU-Tenant verfügbar)

• Wer dahintersteht: Trint Limited, London. Übermittlungen aus der EU ins Vereinigte Königreich sind durch den verlängerten Angemessenheitsbeschluss abgedeckt. (Datenschutz)
• Wohin Ihr Audio geht: getrennte EU-Tenants (AWS Frankfurt/Irland, MongoDB Atlas Irland) und US-Tenants. Anthropic ist als Unterauftragsverarbeiter „für den internen Gebrauch“ aufgeführt. Die Transkriptions-Engine wird nicht genannt.
• DSGVO-Unterlagen: Die Unterauftragsverarbeiter sind in der Datenschutzerklärung aufgeführt. Übermittlungen stützen sich auf SCCs und den britischen Angemessenheitsbeschluss. Ein AVV für Kunden wird öffentlich nicht erwähnt.
• Training: Laut Sicherheitsseite werden Aufnahmen nicht zum Training der eigenen Algorithmen genutzt; die Datenschutzerklärung schweigt dazu.
• Aufbewahrung: Inhalte bleiben, bis Sie sie löschen oder das Konto schließen; Datenschutzerklärung und Sicherheitsseite formulieren das unterschiedlich.
• Zertifizierungen: ISO 27001:2022 und Cyber Essentials.
• Preis: kostenlose Testphase, kein Gratistarif. Pro ab 69 € pro Platz und Monat. Über 50 Sprachen. (Tarife)
• Worauf Sie achten sollten: Die Preisseite nennt einen „dedizierten Server in der EU“ nur im individuellen Business-Tarif; klären Sie also, in welchem Tenant Self-Service-Konten landen.

6. Gladia — am besten für Entwickler, die eine Speech-to-Text-API aus der EU brauchen

• Wer dahintersteht: Gladia SAS, Roubaix, Frankreich. Ein verbundenes US-Unternehmen (Gladia Inc.) ist Unterauftragsverarbeiter. (AVV)
• Wohin Ihr Audio geht: standardmäßig OVHcloud in Frankreich; einige AWS-Dienste in der EU und den USA. Der AVV nennt als Datenstandort „Europa, USA“. Verarbeitung in nur einer Region gibt es per schriftlicher Vereinbarung. Zusatzfunktionen nutzen OpenAI Irland, Google Cloud, DeepL und weitere.
• DSGVO-Unterlagen: Der AVV ist eine öffentliche Webseite, die Unterauftragsverarbeiter stehen in einem Anhang. Übermittlungen stützen sich auf SCCs oder das DPF.
• Training: Im Self-serve-Tarif (dem mit 50 € Gratisguthaben) darf Ihr Audio standardmäßig für das Training genutzt werden; das Opt-out ist kostenlos. Bei Enterprise ist das Training abgewählt. (Preise)
• Aufbewahrung: für Self-serve auf der Preisseite nicht angegeben; für Enterprise wird Zero Data Retention genannt.
• Zertifizierungen: SOC 2 Type 1 und Type 2. ISO 27001 steht auf der Sicherheitsseite als „in Arbeit“, obwohl die Startseite es für sich beansprucht.
• Preis: 50 € Gratisguthaben; 0,16 € pro Audiostunde, bei Volumen bis hinunter zu 0,12 €. Über 100 Sprachen mit Solaria-1.
• Worauf Sie achten sollten: Wählen Sie das Training ab, bevor Sie echte Daten senden, und legen Sie die Aufbewahrung selbst fest.

7. Sonix — solide Unterlagen, aber ein US-Unternehmen

• Wer dahintersteht: Sonix, Inc., San Francisco. (Datenschutz)
• Wohin Ihr Audio geht: AWS in den USA. Enterprise-Kunden können mit dem Sonix-Team eine Datenresidenz vereinbaren. Externe KI-Anbieter werden nicht offengelegt. (Sicherheit)
• DSGVO-Unterlagen: AVV auf Anfrage im Konto verfügbar; Übermittlungen über SCCs; keine öffentliche Liste der Unterauftragsverarbeiter; nicht auf der DPF-Liste gefunden.
• Training: Kundeninhalte werden nie zum Training der eigenen Modelle verwendet.
• Aufbewahrung: bis Sie sie löschen; Backups können bis zu 90 Tage bestehen bleiben.
• Zertifizierungen: SOC 2 Type 2; HIPAA über ein BAA.
• Preis: 30 Minuten kostenlos testen; 10 $/Stunde nutzungsbasiert oder 25 $/Monat. Über 54 Sprachen. (Preise)
• Worauf Sie achten sollten: Außerhalb von Enterprise werden Daten in den USA verarbeitet, Sie brauchen also SCCs und eine Bewertung der Übermittlung.

8. Whisper, selbst gehostet — am besten für volle Kontrolle (wenn Sie Entwickler haben)

• Was es ist: das Sprachmodell von OpenAI, als Open Source unter der MIT-Lizenz veröffentlicht. Betreiben Sie es auf eigenen Servern oder in einer EU-Cloud, kommt kein Dritter an Ihr Audio.
• DSGVO-Unterlagen: Sie sind Verantwortlicher und Betreiber der Infrastruktur. Sicherheit, Zugriffskontrolle, Löschung und Dokumentation liegen komplett bei Ihnen.
• Wenn Sie stattdessen die gehostete API von OpenAI nutzen: API-Daten werden standardmäßig nicht zum Training verwendet, der Transkriptions-Endpunkt ist für Zero Data Retention zugelassen, und EU-Datenresidenz gibt es für berechtigte Projekte. OpenAI ist ein US-Unternehmen und stand bei unserer Prüfung nicht auf der DPF-Liste. (OpenAI: Ihre Daten)
• Worauf Sie achten sollten: kein Editor, keine Sprecherzuordnung und kein Untertitel-Export ab Werk, und die Genauigkeit schwankt je nach Sprache und Modellgröße. Den Aufwand im Vergleich zeigt Whisper vs. kostenpflichtige Transkriptionstools.

Und was ist mit Otter.ai, Fireflies und Rev?

Das sind beliebte US-Dienste. Jeder lässt sich unter der DSGVO nutzen, aber mit mehr Papierkram und weniger Kontrolle:

• Ist Otter.ai DSGVO-konform? Otter.ai, Inc. ist nach dem EU-US DPF zertifiziert und veröffentlicht einen AVV (in seinen AGB) sowie eine Liste der Unterauftragsverarbeiter. Laut Datenschutzerklärung trainiert das Unternehmen seine eigene KI mit de-identifizierten Audiodateien und Transkripten, und gehostet wird bei AWS ohne Angabe einer EU-Datenresidenz. Unterstützt 6 Sprachen. (Datenschutz, Unterauftragsverarbeiter)
• Fireflies.ai ist DPF-zertifiziert und hat einen veröffentlichten AVV und eine Liste der Unterauftragsverarbeiter, verarbeitet aber in den USA, und die Transkription übernimmt ein Drittanbieter (AssemblyAI). (AVV)
• Rev veröffentlicht einen selbstwirksamen AVV mit SCCs; verarbeitet wird in den USA, die menschliche Transkription teilweise in Indien. Rev gibt an, keine externen Modelle mit Ihren Inhalten zu trainieren, doch das Hilfecenter beschreibt ein Opt-out vom Training der eigenen Spracherkennungsmodelle von Rev; bitten Sie also den Support, Sie davon auszunehmen. (AVV, Hilfecenter)

Bei Meeting-Aufnahmen prüfen Sie außerdem die Regeln zur Einwilligung: siehe Ist es legal, ein Meeting in der EU und den USA aufzunehmen?.

Welches Tool für DSGVO-konforme Transkription sollten Sie wählen?

• Wissenschaftliche Interviews mit Ethikvotum: Amberscript oder Good Tape, wenn die Ethikkommission ISO 27001 verlangt; BlaBlaScribe, wenn das Budget zählt und Sie die Übersetzung für sensible Daten ausgeschaltet lassen. Siehe Transkription für Forschende.
• Journalismus und Quellenschutz: Good Tape (nur EU, schnelle Löschung) oder selbst gehostetes Whisper für die sensibelsten Quellen. Siehe Transkription für Journalisten.
• HR-Gespräche und Recruiting: jedes EU-gehostete Tool mit AVV; schalten Sie Sentiment- und Emotionsfunktionen ab (AI Act) und informieren Sie Bewerber vorab.
• Kundengespräche in Agenturen oder Beratungen: Good Tape oder BlaBlaScribe für die Verarbeitung in der EU; Trint, wenn Ihr Team im Vereinigten Königreich sitzt.
• Untertitel und Übersetzung für Videos in der EU: BlaBlaScribe (Transkription in Deutschland; bei der Übersetzung wird nur Text gesendet) oder Happy Scribe (lassen Sie das Trainings-Opt-in aus).
• Entwickler, die ein Produkt bauen: Gladia (Training abwählen, Aufbewahrung festlegen) oder die OpenAI API mit EU-Datenresidenz.
• Zero Trust oder Air-Gap: selbst gehostetes Whisper.

DSGVO-Checkliste, bevor Sie die erste Aufnahme hochladen

1. Unterschreiben oder akzeptieren Sie den AVV und speichern Sie eine datierte Kopie der Liste der Unterauftragsverarbeiter.
2. Nehmen Sie die Verarbeitung in Ihr Verzeichnis von Verarbeitungstätigkeiten auf (Art. 30).
3. Entscheiden Sie, ob Sie eine Datenschutz-Folgenabschätzung brauchen (Art. 35): wahrscheinlich, wenn die Aufnahmen Gesundheitsdaten, Kinder, schutzbedürftige Personen oder eine umfangreiche Überwachung betreffen.
4. Informieren Sie die Beteiligten oder holen Sie eine Einwilligung ein, bevor Sie aufnehmen, und sagen Sie ihnen, welcher Dienst die Aufnahme transkribiert. Siehe wie man ein Interview transkribiert.
5. Schalten Sie optionale KI-Funktionen ab, die Daten an weitere Auftragsverarbeiter senden, wenn Sie sie nicht brauchen, und wählen Sie das Training überall ab, wo es einen Schalter dafür gibt.
6. Pseudonymisieren Sie: Ersetzen Sie Namen im Transkript und löschen Sie das Originalaudio, sobald Sie das Transkript geprüft haben.
7. Legen Sie eine Aufbewahrungsfrist fest und löschen Sie Originale planmäßig.
8. Sprechen Sie mit Ihrem Betriebsrat (Deutschland, Niederlande, Frankreich und andere), bevor Sie Beschäftigte aufnehmen.
9. Prüfen Sie den Anbieter jährlich neu: Unterauftragsverarbeiter und Übermittlungsmechanismen ändern sich.

Häufig gestellte Fragen

Ist KI-Transkription DSGVO-konform?

Sie kann es sein. KI-Transkription ist nach der DSGVO rechtmäßig, wenn Sie eine Rechtsgrundlage für die Aufnahme haben, ein Auftragsverarbeitungsvertrag mit dem Anbieter besteht und der Anbieter die Daten schützt und rechtmäßig übermittelt. Das Tool allein macht Sie nicht konform; Ihr Setup tut es.

Brauche ich einen AVV mit meinem Transkriptionsanbieter?

Ja, wenn Sie im Auftrag Ihrer Organisation personenbezogene Daten anderer Menschen transkribieren. Artikel 28 DSGVO verlangt einen schriftlichen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter. Bevorzugen Sie Anbieter, die ihren AVV veröffentlichen oder ihn im Konto akzeptieren lassen.

Verlangt die DSGVO, dass Transkriptionsdaten in der EU gespeichert werden?

Nein. Übermittlungen außerhalb des EWR sind mit einem Angemessenheitsbeschluss, einer Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln zulässig. EU-Hosting mit ausschließlich EU-Unterauftragsverarbeitern erspart Ihnen einfach die zusätzliche Bewertung der Übermittlung und die Rechtsunsicherheit rund um das DPF.

Ist Otter.ai DSGVO-konform?

Otter.ai lässt sich unter der DSGVO nutzen: Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert und bietet einen AVV an. Es verarbeitet Daten jedoch in den USA, und laut Datenschutzerklärung trainiert es seine eigene KI mit de-identifizierten Aufnahmen und Transkripten. Viele Organisationen in der EU bevorzugen deshalb eine EU-gehostete Alternative.

Ist OpenAI Whisper DSGVO-konform?

Selbst gehostetes Whisper ist so konform wie Ihre eigene Infrastruktur, denn kein Dritter erhält das Audio. Die gehostete API von OpenAI trainiert standardmäßig nicht mit API-Daten und bietet Zero Data Retention für Transkription sowie EU-Datenresidenz für berechtigte Projekte, OpenAI bleibt aber ein Auftragsverarbeiter in den USA.

Brauche ich eine Einwilligung, um ein Interview zu transkribieren?

Nicht immer. Die Einwilligung ist eine mögliche Rechtsgrundlage; stattdessen können berechtigtes Interesse, ein Vertrag oder Forschung im öffentlichen Interesse greifen. Sie müssen die Personen immer darüber informieren, dass sie aufgenommen und transkribiert werden, und viele Ethikkommissionen verlangen ohnehin eine schriftliche Einwilligung.

Ist eine Sprachaufnahme nach der DSGVO ein biometrisches Datum?

In der Regel nicht. Eine Stimme wird erst dann zu einem biometrischen Datum, wenn sie mit spezieller Technik verarbeitet wird, um eine Person eindeutig zu identifizieren. Reine Transkription tut das nicht. Stimmklonen oder Sprecheridentifikation können es, deshalb verlangen diese Funktionen besondere Sorgfalt und eine ausdrückliche Einwilligung.

Darf ein Transkriptionsdienst meine Dateien zum Training seiner KI nutzen?

Nur wenn seine Bedingungen es erlauben. Manche Anbieter trainieren nie mit Kundendaten (Good Tape, Sonix, BlaBlaScribe), manche tun es mit de-identifizierten Daten (Otter.ai), und manche bieten Opt-in- oder Opt-out-Schalter (Happy Scribe, Gladia, Rev). Prüfen Sie die Datenschutzerklärung, nicht nur die Marketingseite.

Fazit

Drei Erkenntnisse:

1. Prüfen Sie die Unterlagen, nicht das Siegel. Ein öffentlicher AVV, ein benannter Hoster und eine Liste der Unterauftragsverarbeiter sagen mehr als „DSGVO-konform“ auf einer Landingpage.
2. EU-Hosting macht vieles leichter, ersetzt aber keinen AVV. Und eine US-Muttergesellschaft kann eine Rolle spielen, selbst wenn die Server in Frankfurt stehen.
3. Wissen Sie, wohin Ihr Audio und Ihr Text gehen. Viele Tools halten das Audio in der EU, schicken Transkripte für Zusammenfassungen oder Übersetzungen aber an ein KI-Modell in den USA.

Wenn Sie EU-gehostete Transkription, Untertitel und Übersetzung an einem Ort wollen, testen Sie BlaBlaScribe kostenlos: 30 Minuten, ohne Karte, transkribiert auf unseren eigenen Servern in Deutschland. Lesen Sie genau nach, wie wir mit Ihren Aufnahmen umgehen, bevor Sie etwas hochladen.