Transkription & DSGVO: Checkliste für KI-Transkription

Kurz gesagt: Eine KI-Transkription ist DSGVO-konform möglich, wenn du eine Rechtsgrundlage für die Verarbeitung hast, die Betroffenen informierst, mit dem Anbieter die Auftragsverarbeitung regelst, einen etwaigen Drittlandtransfer absicherst und Aufnahmen wie Transkripte wieder löschst. Ob ein bestimmtes Tool „DSGVO-konform“ ist, entscheidet sich also nicht allein am Anbieter, sondern an deinem Einsatz. Diese Checkliste zeigt dir, was du vor dem ersten Upload klären solltest.

Dieser Artikel ist allgemeine Information und keine Rechtsberatung. Bei Gesundheits-, Mandanten- oder Beschäftigtendaten sprich im Zweifel mit deinem oder deiner Datenschutzbeauftragten.

Warum Transkription überhaupt ein Datenschutzthema ist

Eine Audioaufnahme enthält fast immer personenbezogene Daten: die Stimme selbst, Namen, die im Gespräch fallen, Meinungen, manchmal Gesundheits- oder Finanzinformationen. Sobald du so eine Datei in einen Online-Dienst hochlädst, verarbeitest du diese Daten im Sinne der DSGVO – und der Dienst verarbeitet sie in deinem Auftrag mit.

Dabei entstehen gleich zwei Datenbestände:

Die Aufnahme (Audio oder Video), oft mit mehr Informationen als nötig.
Das Transkript – durchsuchbar, kopierbar, leicht weiterzugeben. Gerade das macht es praktisch, aber auch sensibel.

Für rein private Notizen, etwa eine eigene Sprachmemo mit Einkaufsliste, greift die DSGVO in der Regel nicht (Haushaltsausnahme). Sobald es aber um Kunden, Mitarbeitende, Interviewpartner, Patienten oder Mandanten geht, bist du in der Regel Verantwortlicher und trägst die Pflichten.

Die DSGVO-Checkliste für Transkription

Die folgenden Punkte kannst du vor dem Einsatz eines Transkriptionstools der Reihe nach durchgehen.

1. Rechtsgrundlage klären (Art. 6 DSGVO)

Jede Verarbeitung braucht eine Rechtsgrundlage. Typisch bei Transkription sind:

Situation	Häufige Rechtsgrundlage
Forschungsinterview, Podcast-Gast, Coaching	Einwilligung (Art. 6 Abs. 1 lit. a)
Kundengespräch zur Auftragsabwicklung	Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Internes Team-Meeting fürs Protokoll	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f), ggf. Betriebsvereinbarung
Gesundheits-, Gewerkschafts- oder religiöse Daten	Zusätzlich Ausnahme nach Art. 9 Abs. 2, meist ausdrückliche Einwilligung

Die Einwilligung ist bei Interviews und Aufnahmen mit Externen oft der sauberste Weg – sie muss aber informiert und freiwillig sein und lässt sich jederzeit widerrufen.

2. Aufnahme nur mit Zustimmung (§ 201 StGB)

Unabhängig von der DSGVO gilt in Deutschland: Wer das nichtöffentlich gesprochene Wort ohne Zustimmung aufnimmt, macht sich nach § 201 StGB strafbar. Kündige Aufnahmen deshalb vorab an – in der Meeting-Einladung, im Interview-Leitfaden oder zu Beginn des Gesprächs – und halte die Zustimmung fest. Wer nicht aufgenommen werden will, wird nicht aufgenommen.

3. Betroffene informieren (Art. 13/14 DSGVO)

Die Personen auf der Aufnahme müssen wissen:

wer verantwortlich ist,
wofür aufgenommen und transkribiert wird,
welcher Dienst die Datei verarbeitet (und ob Daten in ein Drittland gehen),
wie lange Aufnahme und Transkript gespeichert werden,
welche Rechte sie haben (Auskunft, Löschung, Widerruf).

Für Interviews bietet sich ein kurzes Informationsblatt zusammen mit der Einwilligungserklärung an.

4. Auftragsverarbeitung regeln (Art. 28 DSGVO)

Ein Transkriptionsdienst verarbeitet die Daten in deinem Auftrag. Dafür braucht es in der Regel einen Auftragsverarbeitungsvertrag (AVV). Prüfe:

Stellt der Anbieter einen AVV bereit – standardmäßig oder auf Anfrage?
Sind die Unterauftragsverarbeiter (Hosting, KI-Modell, Speicher) benannt?
Nutzt der Anbieter deine Dateien für eigene Zwecke, etwa zum Training von KI-Modellen? Das sollte ausgeschlossen sein.

5. Drittlandtransfer prüfen (Art. 44 ff. DSGVO)

Viele Transkriptionsdienste arbeiten mit Cloud- oder KI-Anbietern außerhalb der EU, häufig in den USA. Das ist nicht automatisch unzulässig, braucht aber eine Grundlage. Übliche Mechanismen sind:

das EU-U.S. Data Privacy Framework (für zertifizierte US-Unternehmen),
Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Schau in die Datenschutzerklärung des Anbieters: Welche Dienstleister werden genannt, wo sitzen sie, und auf welcher Grundlage werden Daten übermittelt? Wenn deine internen Vorgaben einen Transfer außerhalb der EU grundsätzlich ausschließen, kommen nur EU-gehostete oder lokale Lösungen infrage.

6. Technische Sicherheit (Art. 32 DSGVO)

Mindestens solltest du erwarten:

verschlüsselte Übertragung (TLS),
Zugriffsschutz auf dein Konto (starkes Passwort, idealerweise Login über einen gesicherten Anbieter),
keine öffentlichen Links, solange du sie nicht bewusst erzeugst.

Und auf deiner Seite: Teile Exporte nicht per unverschlüsselter Mail, wenn sie sensible Inhalte enthalten, und leg Transkripte nicht in offenen Team-Ordnern ab.

7. Datenschutz-Folgenabschätzung bei Bedarf (Art. 35 DSGVO)

Bei systematischer Aufzeichnung von Meetings, bei Gesundheitsdaten oder bei der Auswertung von Beschäftigtengesprächen kann eine Datenschutz-Folgenabschätzung nötig sein. Das betrifft eher Unternehmen, die KI-Transkription flächendeckend einführen, als Einzelne, die ein Interview verschriftlichen.

8. Löschen nicht vergessen (Art. 5 und 17 DSGVO)

Speicherbegrenzung heißt: Nur so lange aufbewahren wie nötig. Leg vorab fest, wann du

die Audiodatei löschst (oft direkt nach der Kontrolle des Transkripts),
das Transkript löschst oder anonymisierst (z. B. nach Abschluss der Arbeit oder des Projekts).

Wichtig: Löschen im Tool und in deinen lokalen Downloads, Cloud-Ordnern und Mail-Anhängen.

Checkliste zum Abhaken

Frage	Erledigt?
Rechtsgrundlage bestimmt (Einwilligung, Vertrag, berechtigtes Interesse)?	☐
Zustimmung zur Aufnahme eingeholt und dokumentiert?	☐
Betroffene über Zweck, Dienst, Speicherdauer informiert?	☐
AV-Vertrag mit dem Anbieter geklärt?	☐
Unterauftragsverarbeiter und Serverstandorte geprüft?	☐
Grundlage für einen Drittlandtransfer vorhanden?	☐
Keine Nutzung deiner Dateien zum KI-Training?	☐
Besondere Kategorien (Art. 9) oder Schweigepflicht berücksichtigt?	☐
Löschfristen für Audio und Transkript festgelegt?	☐

Cloud-Transkription vs. lokale Transkription

Die wichtigste Grundsatzentscheidung: Darf die Datei dein Gerät verlassen oder nicht?

Kriterium	Online-Dienst (Cloud)	Lokale Software (z. B. Whisper offline)
Datenfluss	Datei wird hochgeladen und extern verarbeitet	Datei bleibt auf deinem Rechner
AV-Vertrag nötig	In der Regel ja	Nein, keine externe Verarbeitung
Drittlandtransfer	Möglich, je nach Anbieter	Keiner
Einrichtung	Browser, sofort startklar	Installation, ggf. leistungsstarke Hardware
Geschwindigkeit	Hängt nicht von deinem Rechner ab	Hängt stark von CPU/GPU ab
Komfortfunktionen	Oft Sprechererkennung, Export, KI-Zusammenfassung	Je nach Tool eingeschränkt

Für Gesundheitsdaten, Mandantengeheimnisse oder Forschungsdaten mit strengem Ethikvotum ist eine lokale Lösung oft die einfachere Antwort. Einen fairen Vergleich zwischen Scriptivo und dem lokalen Tool noScribe findest du unter noScribe-Alternative.

Besonders sensible Anwendungsfälle

Ärzte, Therapeuten, Coaches

Patientendaten sind Gesundheitsdaten nach Art. 9 DSGVO und unterliegen zusätzlich der Schweigepflicht (§ 203 StGB). Prüfe vor jedem Upload, ob dein Berufsrecht den Einsatz eines externen Dienstes zulässt, und diktiere wenn möglich pseudonymisiert – also ohne Namen und Geburtsdaten, die du später im Praxissystem ergänzt. Mehr dazu auf den Seiten Arzt-Diktat transkribieren und Therapeuten- und Coaching-Sitzungen transkribieren.

Anwälte und Kanzleien

Mandantendaten fallen unter die anwaltliche Verschwiegenheit. Neben der DSGVO spielen hier § 203 StGB und § 43e BRAO (Inanspruchnahme von Dienstleistungen) eine Rolle. Kläre vorab, welche Anforderungen dein Kammerrecht an externe Dienstleister stellt.

Forschung und Abschlussarbeiten

Bei Interviews für Bachelor-, Master- oder Doktorarbeit geben oft die Einwilligungserklärung und die Vorgaben deiner Hochschule den Rahmen vor. Steht dort „Verarbeitung ausschließlich auf Hochschulservern“, ist ein externer Dienst ausgeschlossen. Wie du Forschungsinterviews sauber verschriftlichst, liest du unter Forschungsinterviews transkribieren.

Meetings im Unternehmen

Wer Team-Meetings automatisch aufzeichnet und transkribiert, sollte das transparent regeln – in größeren Unternehmen oft zusammen mit Betriebsrat und Datenschutz. Praktische Tipps für Aufnahme und Protokoll findest du unter Meeting transkribieren.

Datensparsam transkribieren: 6 praktische Tipps

Nur aufnehmen, was du brauchst. Small Talk vor dem Interview muss nicht mit aufs Band.
Pseudonymisieren. Nenne Personen im Gespräch mit Kürzeln oder ersetze Namen im Transkript direkt nach der Erstellung.
Audio zeitnah löschen. Sobald das Transkript geprüft ist, brauchst du die Aufnahme meist nicht mehr.
Teilen-Links sparsam nutzen. Öffentliche Links nur für unkritische Inhalte, und wieder deaktivieren.
Exporte bewusst ablegen. Lieber im geschützten Projektordner als im Download-Verzeichnis.
KI-Funktionen gezielt einsetzen. Zusammenfassungen oder Übersetzungen schicken den Text an einen weiteren Dienstleister – prüfe, ob das für deinen Fall abgedeckt ist.

Wie Scriptivo mit deinen Daten umgeht

Transparenz gehört dazu, deshalb hier die Fakten aus unserer Datenschutzerklärung:

Betreiber von Scriptivo ist die Lumaris Ventures LLC mit Sitz in den USA. Weil sich der Dienst an Nutzer im EWR richtet, gilt die DSGVO (Art. 3 Abs. 2).
Dienstleister für Hosting, Datenbank und Speicher, die KI-Transkription mit Whisper sowie die KI-Textfunktionen sitzen ebenfalls in den USA. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln bzw. dem EU-U.S. Data Privacy Framework.
Übertragung verschlüsselt per TLS.
Deine Dateien werden zur Erstellung der Transkription verarbeitet und nicht zum Training von KI-Modellen verwendet.
Löschen: Transkripte samt Audio bleiben in deinem Konto, bis du sie löschst – das kannst du jederzeit selbst tun.
Fragen zur Auftragsverarbeitung oder zu besonderen Anforderungen deiner Organisation richtest du an support@scriptivo.de.

Unser ehrlicher Rat: Für Alltagsinhalte, Podcasts, Vorlesungen, Content und viele Interviews ist ein Online-Dienst wie Scriptivo eine gute Wahl. Wenn deine Vorgaben einen US-Transfer ausschließen oder die Datei deinen Rechner gar nicht verlassen darf, nimm ein lokales Tool.

Häufige Fragen

Ist Whisper DSGVO-konform?

Whisper ist ein Sprachmodell, kein Dienst – die Frage stellt sich beim Betrieb. Läuft Whisper lokal auf deinem Rechner, verlassen die Daten dein Gerät nicht. Nutzt du einen Online-Dienst, der Whisper einsetzt, hängt die Bewertung davon ab, wo und von wem das Modell betrieben wird und wie der Dienst die Auftragsverarbeitung regelt.

Brauche ich für jede Transkription eine Einwilligung?

Nicht zwingend. Die Einwilligung ist eine von mehreren Rechtsgrundlagen. Für interne Meetings kann ein berechtigtes Interesse reichen, für Kundengespräche die Vertragserfüllung. Bei Interviews mit Externen und bei Gesundheitsdaten ist eine ausdrückliche Einwilligung aber meist der sicherste Weg. Unabhängig davon brauchst du für die Aufnahme selbst die Zustimmung der Beteiligten (§ 201 StGB).

Darf ich Patientengespräche mit einem Online-Tool transkribieren?

Das hängt von deiner Schweigepflicht, deinem Berufsrecht und den Datenschutzvorgaben für Gesundheitsdaten ab – das musst du vorab selbst oder mit deinem Datenschutzbeauftragten prüfen. Pseudonymisiertes Diktieren reduziert das Risiko deutlich. Wenn Zweifel bleiben, ist eine lokale Lösung die sichere Wahl.

Reicht ein Serverstandort in der EU für DSGVO-Konformität?

Nein. Ein EU-Standort vermeidet einen Drittlandtransfer, ersetzt aber weder Rechtsgrundlage noch Information der Betroffenen, AV-Vertrag oder Löschkonzept. Umgekehrt ist ein US-Anbieter nicht automatisch unzulässig, wenn der Transfer etwa über Standardvertragsklauseln oder das Data Privacy Framework abgesichert ist.

Wie lange darf ich Aufnahmen und Transkripte speichern?

So lange, wie du sie für den festgelegten Zweck brauchst. Bei Forschungsprojekten steht die Frist oft in der Einwilligungserklärung, im Unternehmen im Löschkonzept. Lösch die Audiodatei am besten, sobald das Transkript geprüft ist.

Was ist mit der KI-Zusammenfassung – gilt dafür etwas anderes?

Für die Zusammenfassung wird der Transkript-Text an einen KI-Dienstleister übermittelt. Das ist eine weitere Verarbeitung, die von deiner Rechtsgrundlage und deiner Information an die Betroffenen abgedeckt sein sollte. Bei Scriptivo ist der Dienstleister dafür in der Datenschutzerklärung aufgeführt.