Meeting-Transkription DSGVO-konform einsetzen

Die 7-Punkte-Prüfliste

1. AV-Vertrag (Art. 28 DSGVO) Gibt es einen Auftragsverarbeitungsvertrag, und ist er in allen Tarifen enthalten? Ein AVV nur im Enterprise-Tarif heißt: Alle anderen Kunden nutzen das Werkzeug ohne vertragliche Grundlage.
2. Subprozessoren Sind alle Dienstleister im Datenpfad namentlich benannt, mit Sitz, Zweck und Vertragsstatus? Entscheidend sind die unscheinbaren: Wer transkribiert, wer betreibt das Sprachmodell, wo liegt der Zwischenspeicher.
3. Hosting und anwendbares Recht Wo liegen Audio und Transkripte physisch, und welchem Recht unterliegt der Betreiber? US-Anbieter unterliegen dem CLOUD Act unabhängig vom Serverstandort, ein Frankfurter Rechenzentrum eines US-Konzerns bleibt US-Recht unterworfen.
4. Training Schließt der Anbieter das Training von KI-Modellen mit Kundendaten ausdrücklich aus, für sich und seine Subprozessoren? Formulierungen wie „nur de-identifizierte Daten" bedeuten: Es wird trainiert.
5. Löschung und Speicherfristen Gibt es definierte Fristen für Audio und Transkripte, und lassen sie sich an die eigenen Aufbewahrungspflichten anpassen? Wird das Audio nach der Transkription gelöscht oder dauerhaft gespeichert?
6. Einwilligung (§ 201 StGB) Unterstützt das Werkzeug den Einwilligungsprozess: Abfrage vor der Aufnahme, Dokumentation, Nachweisbarkeit? Die Aufnahme ohne Einwilligung aller Beteiligten ist strafbar, unabhängig von jeder DSGVO-Frage.
7. Technische und organisatorische Maßnahmen Verschlüsselung im Transport und im Ruhezustand, Mandantentrennung, Zugriffskontrolle, Audit-Log. Bei Berufsgeheimnisträgern zusätzlich: die Verschwiegenheitsverpflichtung nach § 203 StGB, siehe der Leitfaden zu § 203 StGB und KI-Software.

Die vier Tool-Kategorien im Vergleich

Fast jedes Transkriptionswerkzeug am Markt fällt in eine von vier Kategorien. Die Prüfliste liefert je Kategorie ein typisches Ergebnis:

Die Zuordnung einzelner Anbieter mit Quellen zeigen die Einzelvergleiche.

Die zentrale Erkenntnis aus der Tabelle: Botlos und datensouverän sind zwei verschiedene Eigenschaften. Dass kein Bot im Termin sitzt, sagt nichts darüber aus, wohin das Audio anschließend fließt. Wer die Prüfliste ernst nimmt, prüft den Pfad, nicht die Aufnahmemethode.

Wie Vermerk die sieben Punkte beantwortet

Vermerk ist für diese Prüfung gebaut: AV-Vertrag in allen Tarifen, alle Subprozessoren öffentlich einsehbar, keine US-Unterauftragsverarbeiter. Gespeichert wird auf Servern in Deutschland, verschlüsselt mit eigenem Schlüssel je Aufnahme, verarbeitet nur in der EU und ohne Training auf Kundendaten. Die Speicherdauer reicht je nach Tarif von 90 Tagen bis zu zehn Jahren, passend zu den berufsrechtlichen Aufbewahrungspflichten. Vor jeder Aufnahme wird die Einwilligung nach § 201 StGB dokumentiert, und Berufsgeheimnisträgern stellt Vermerk in allen Tarifen die Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB bereit.

Die Prüfung ist die Voraussetzung, der Nutzen liegt im Alltag: Vermerk dokumentiert Mandantengespräche vor Ort, im Videocall und am Telefon über den Rechner, ohne Bot im Termin. Wenige Minuten später liegt der Vermerk mit Themen, Entscheidungen, Aufgaben und Fristen vor, geordnet je Mandant. Jedes Gespräch bleibt durchsuchbar, so finden Sie auch Jahre später, was damals vereinbart wurde. Fragen wie „Was haben wir Familie Sommer damals zur Übergabe zugesagt?“ beantwortet Vermerk je nach Tarif mit Zitat und Zeitmarke aus dem Gespräch.