Datenschutz bei KI-Transkription: Wohin geht Ihre Aufnahme?

Die entscheidende Datenschutzfrage bei KI-Transkription lautet nicht, ob eine Website ein Schloss-Symbol zeigt. Entscheidend ist, was mit einer Aufnahme passiert, nachdem sie das Mikrofon verlassen hat. Meetings können Namen, Kundendaten, Produktpläne, Gesundheitsinformationen, Rechtsberatung oder noch unveröffentlichte Finanzentscheidungen enthalten.

Eine belastbare Prüfung folgt deshalb dem gesamten Datenlebenszyklus: Aufnahme, Upload, Spracherkennung, Speicherung, Freigabe, KI-Zusammenfassung, Aufbewahrung und Löschung. Dieser Leitfaden ist ein praktischer Beschaffungsrahmen und keine Rechtsberatung zur DSGVO oder zu branchenspezifischen Pflichten.

Welchen Weg nimmt eine Aufnahme bei KI-Transkription?

Ein Cloud-Dienst erfasst Audio auf dem Gerät, überträgt es über das Netzwerk, verarbeitet es mit Spracherkennung und speichert Audio sowie Transkript. Wird anschließend eine KI-Zusammenfassung oder Chat-Funktion genutzt, kann der Text in einen weiteren Modell-Verarbeitungspfad gelangen.

HTTPS beantwortet daher nur einen Teil der Frage. Nach der Übertragung bleiben Verschlüsselung im Ruhezustand, Speicherregion, Backups, Berechtigungen, Unterauftragnehmer und Löschung. Für Unternehmen ist eine Datenflusskarte oft wertvoller als ein allgemeines Versprechen von „Enterprise Security“.

Welche sechs Datenschutzfragen sind am wichtigsten?

Wo liegen die Daten? Notta erklärt in seiner aktuellen Sicherheitsdokumentation, AWS zu verwenden und Daten in einem Rechenzentrum in Tokio zu speichern. Für die Übertragung wird TLS 1.2, für gespeicherte Daten AES-256 genannt. Damit lassen sich Standort und grundlegende Verschlüsselung konkret beurteilen.

Wie lange bleiben die Daten? Notta erläutert, dass erstellte oder hochgeladene Transkriptionsdaten nicht automatisch gelöscht werden, solange Nutzer nicht die Daten, den Workspace oder das Konto löschen. Dauerhafte Verfügbarkeit ist bequem, kann aber mit einer internen Datenminimierungsrichtlinie kollidieren.

Was bedeutet Löschen? Otter beschreibt in einer im Juli 2026 aktualisierten Hilfe, dass ein gelöschtes Gespräch sofort nicht mehr geteilt wird, 30 Tage in Trash verbleibt und danach dauerhaft von den Servern gelöscht wird. Für Workspaces dokumentiert Otter außerdem individuelle Aufbewahrungsfristen; Löschjobs laufen täglich und entfernen Daten spätestens innerhalb von 48 Stunden nach Ablauf der Frist.

Werden Daten für Modelle verwendet? Otter trennt eigene Modelle und externe KI-Anbieter. Die aktuelle Privacy-&-Security-Seite sagt, Nutzerdaten würden vor dem Training eigener Modelle automatisiert de-identifiziert. Gleichzeitig sollen externe AI Service Provider Kundendaten nicht zum Training ihrer Modelle nutzen. Eine Aussage über Drittanbieter ist also nicht dasselbe wie „nirgendwo findet Training statt“.

Wer kann zugreifen? Freigabelinks, Channels, Workspace-Rollen und Support verändern den tatsächlichen Zugriff. Otter erklärt, Nutzer kontrollierten die Freigabe und Mitarbeiter oder Support benötigten ausdrückliche Zustimmung, bevor sie für Fehlerbehebung auf Audio oder Transkripte zugreifen.

Welche Unterauftragnehmer sind beteiligt? Speicher, Analytics, Anmeldung, generative KI und Support können von verschiedenen Unternehmen erbracht werden. Eine Subprocessor-Liste ist deshalb ein wichtiger Teil der realen Datenflussprüfung.

Was sagen TLS, AES-256 und SOC 2 Type II tatsächlich aus?

TLS schützt vor allem Daten während der Übertragung. AES-256 wird häufig für gespeicherte Daten eingesetzt. Notta veröffentlicht TLS 1.2 und AES-256; Otter nennt serverseitige AES-256-Verschlüsselung in AWS S3. Das sind wichtige Basiskontrollen, sagen aber nichts darüber, wie lange ein Transkript gespeichert wird oder wer es freigeben darf.

SOC 2 Type II untersucht Kontrollen über einen Zeitraum und verspricht keine absolute Ereignisfreiheit. Notta und Otter geben beide SOC 2 Type II an. Für die Beschaffung ist das relevante Evidenz, sollte aber zusammen mit Aufbewahrung, Löschung, Zugriff und Vertrag bewertet werden.

Wie unterscheiden sich Otter und Notta beim Datenschutz?

Otter veröffentlicht vergleichsweise detaillierte Informationen zu Speicherung, Verschlüsselung, Löschung, Training, Behördenanfragen, Mitarbeiterzugriff und Enterprise Retention. Die Hilfe nennt AWS-Speicherung in den USA; die Datenschutzerklärung behandelt internationale Transfers und Schutzmaßnahmen. Diese Transparenz erleichtert die Prüfung, macht aber auch klar, dass Otter eine Cloud-Kollaborationsplattform ist.

Notta dokumentiert AWS, Speicherung in Tokio, TLS 1.2, AES-256 und SOC 2 Type II. Besonders relevant ist die Aufbewahrung: Daten können verfügbar bleiben, bis der Nutzer aktiv löscht. Unternehmen mit kurzen Löschfristen sollten daher administrative Möglichkeiten und interne Routinen prüfen.

Daraus folgt kein pauschales „A ist sicher, B ist unsicher“. Ein öffentliches Interview und eine vertrauliche M&A-Besprechung haben unterschiedliche Risikoprofile. Sensibilität, Tarif, Konfiguration und Vertrag sind entscheidend.

Muss Atter AI dieselbe Prüfung bestehen?

Ja. Atter AI sollte nach denselben Kriterien wie Wettbewerber bewertet werden. Dass es die Marke dieser Website ist, rechtfertigt keine unbestätigten Aussagen über Speicherregionen, Zertifizierungen oder Trainingszusagen. Für sensible Aufnahmen zählen aktuelle Kontrollen, veröffentlichte Richtlinien und Vertragsbedingungen.

Auch ein deutscher oder europäischer Anbieter speichert nicht automatisch alles in Deutschland oder der EU. Spracherkennung, Cloud-Speicher, Analytics und generative KI können internationale Infrastruktur nutzen. Der tatsächliche Datenfluss ist wichtiger als der Firmensitz.

Ist lokale Transkription die beste Datenschutzlösung?

Wenn Roh-Audio das Gerät nicht verlassen darf, bietet lokale Verarbeitung einen echten Architekturvorteil. Der Upload zu einem externen Prozessor entfällt und die Zahl der beteiligten Dritten sinkt. Für Rechtsarbeit, Forschung oder interne Untersuchungen kann das wichtiger sein als zusätzliche Komfortfunktionen.

Lokale Dateien können jedoch automatisch in eine Cloud synchronisiert werden, ein Laptop kann verloren gehen und TXT- oder SRT-Dateien können falsch versendet werden. Lokal reduziert eine Expositionsklasse, beseitigt aber Endpoint-, Backup- und Freigaberisiken nicht.

Wer gezielt nach On-Device-Lösungen sucht, findet weitere Optionen im Leitfaden zu privaten Transkriptions-Apps. Hier geht es dagegen um die Prüfung des Datenlebenszyklus von KI-Diensten.

Löst Einwilligung zur Aufnahme das Datenschutzproblem?

Nein. Zustimmung zur Aufnahme und Kenntnis darüber, dass Audio von einem Drittanbieter verarbeitet, länger gespeichert oder von einer weiteren KI zusammengefasst wird, sind verschiedene Fragen. Die Information der Teilnehmer sollte der tatsächlichen Nutzung entsprechen.

Gesundheit, Beschäftigung, Bildung und regulierte Berufe können zusätzliche Pflichten mitbringen. Bei sensibler Nutzung sollte die zuständige Rechts-, Sicherheits- oder Datenschutzstelle des Unternehmens einbezogen werden.

Wie sollten Unternehmen Aufnahmen klassifizieren?

Eine einfache Einteilung in öffentlich, normal intern und hochvertraulich ist bereits nützlich. Identifizierbare Kundendaten, nicht veröffentlichte Finanzen, Rechtskommunikation, Gesundheitsdaten und Zugangsdaten gehören in eine höhere Schutzklasse.

Die Klasse bestimmt die Mindestkontrollen. Ein normales internes Meeting kann mit einem etablierten Cloud-Dienst vereinbar sein. Hochvertrauliches Material kann eine bestimmte Region, kurze automatische Löschung, SSO, DPA, Trainingsbeschränkungen, eingeschränkte Freigabe oder lokale Verarbeitung erfordern.

Wie prüft man eine Transkriptions-App in 15 Minuten?

1. Datenfluss zeichnenAufnahme, Upload, Erkennung, KI-Zusammenfassung, Speicherung, Freigabe, Export und Löschung notieren.
2. Primärquellen lesenRegion, Verschlüsselung und Zertifizierungen in Herstellerdokumenten prüfen.
3. Retention prüfenKlären, ob Delete sofort wirkt, über Trash läuft oder von Backups abhängt.
4. Training aufteilenEigene Modelle, externe KI, menschliche Annotation und Supportzugriff separat fragen.
5. Risiko abgleichenÖffentliches Interview und vertrauliches Rechtsgespräch nicht gleich behandeln.

Welche Aufnahmen sollten nicht ungeprüft in eine allgemeine Cloud?

Inhalte, deren Offenlegung erhebliche rechtliche, finanzielle, medizinische oder persönliche Schäden verursachen kann, brauchen eine explizite Freigabe. Nicht öffentliche Übernahmen, privilegierte Rechtskommunikation, Patientendaten, Zugangsdaten, Zahlungsinformationen und besonders sensible Daten Minderjähriger sind Beispiele.

Datenminimierung ist praktisch: nicht hochladen, was nicht benötigt wird; nicht behalten, was nicht mehr gebraucht wird; nicht mit Personen teilen, die keinen Zugriff benötigen.

Wie lassen sich Datenschutz und Funktionen abwägen?

Lokale Tools reduzieren externe Datenbewegung. Cloud-Plattformen bieten geräteübergreifende Suche, Zusammenarbeit, Meeting-Bots, automatische Zusammenfassungen und Wissensfunktionen. Es gibt keinen universellen Sieger; die Architektur muss zur Datenklasse passen.

Definieren Sie Mindestanforderungen vor dem Funktionsvergleich: bestimmte Region, automatische Löschung nach 30 Tagen, kein Training mit Kundendaten, SSO-Pflicht, verfügbarer DPA. Danach werden Preis- und Funktionsvergleiche deutlich aussagekräftiger.

Datenschutz-Checkliste für KI-Transkription

• Wo werden Audio und Text verarbeitet und gespeichert?
• Gibt es internationale Datentransfers?
• Wie werden Daten in Transit und im Ruhezustand verschlüsselt?
• Was passiert genau nach Delete?
• Wie lange bleiben Trash, Backups und Logs bestehen?
• Trainiert der Anbieter eigene Modelle mit Kundendaten?
• Trainieren externe KI-Anbieter mit den Inhalten?
• Wann dürfen Mitarbeiter, Support oder Admins zugreifen?
• Welche Unterauftragnehmer erhalten Daten?
• Gibt es 2FA, SSO, Rollen und Retention Policies?
• Kennen Teilnehmer Zweck und Aufbewahrung der Aufnahme?

Häufig gestellte Fragen

Laden KI-Transkriptionsdienste Aufnahmen in die Cloud?

Viele Cloud-Dienste tun das, lokale Lösungen nicht zwingend. Entscheidend ist die tatsächliche Architektur.

Wird eine Aufnahme nach dem Löschen sofort entfernt?

Nicht immer. Otter dokumentiert aktuell 30 Tage Trash für die normale Löschung.

Kann meine Aufnahme zum KI-Training verwendet werden?

Das hängt von Anbieter und KI-Schicht ab. Eigene Modelle und externe Anbieter müssen getrennt geprüft werden.

Bedeutet AES-256 vollständigen Datenschutz?

Nein. Aufbewahrung, Zugriff, Training, Dritte und Kontosicherheit gehören ebenfalls zur Bewertung.

Was sollten Unternehmen vor KI-Transkription prüfen?

Sensibilität, Standort, Aufbewahrung, Löschung, Zugriff, Training, Unterauftragnehmer und Vertrag.

Ist lokale Transkription immer sicherer als Cloud?

Sie reduziert Cloud-Exposition, lässt aber Geräte-, Backup- und Freigaberisiken bestehen.