Data Residency bei der Transkription: Wo Audiodaten gespeichert werden

Sobald Sie auf Hochladen klicken, reist Ihre Audiodatei in der Regel innerhalb von Millisekunden in ein US-Rechenzentrum. Dort läuft das Transkriptionsmodell, dort wird das Transkript geschrieben, und von dort kommt das Ergebnis zu Ihnen zurück. „EU Data Residency“ prangt prominent auf vielen Marketingseiten von Anbietern, doch die Lücke zwischen dieser Behauptung und dem tatsächlichen Datenfluss ist oft erheblich.

Dieser Beitrag zeigt, wohin das Audio bei den wichtigsten Anbietern tatsächlich geht, trennt Residency von Souveränität und erklärt, wann Residency wirklich wichtig ist – und wann sie nur eine übernommene Richtlinienanforderung ist, die Ihr Team nie wieder hinterfragt hat.

Residency, Souveränität und Lokalisierung sind nicht dasselbe

Drei Konzepte werden ständig vermischt:

Data Residency ist der physische Speicherort der Daten – auf welchen Servern in welchem Land sie liegen.

Datensouveränität ist die rechtliche Zuständigkeit über diese Daten – welche Gerichte die Herausgabe erzwingen können. Ein US-Unternehmen, das Daten in Frankfurt speichert, muss dennoch US-CLOUD-Act-Anordnungen Folge leisten. EU-Residency ohne Souveränitätskontrollen adressiert die eine Sorge, nicht die andere.

Datenlokalisierung ist eine gesetzliche Anforderung, wonach bestimmte Datenkategorien in einem bestimmten Land bleiben müssen. Russlands Bundesgesetz 242-FZ und Chinas PIPL enthalten echte Lokalisierungsanforderungen. Die DSGVO nicht – sie regelt Übermittlungen, nicht den Speicherort.

In den meisten Compliance-Diskussionen rund um Transkription ist Residency die operative Frage, Souveränität die schwierigere Rechtsfrage, und Lokalisierung der Grund, warum manche Regierungs- und kritische Infrastruktur-Aufträge für globale Cloud-Anbieter kategorisch tabu sind.

Was die DSGVO tatsächlich verlangt

Die DSGVO schreibt keine rein-EU-Speicherung vor. Sie verlangt, dass jede Übermittlung personenbezogener Daten außerhalb des EWR durch einen rechtmäßigen Übermittlungsmechanismus abgedeckt ist:

• Angemessenheitsbeschlüsse der EU: Die Europäische Kommission hat bestimmte Länder als Länder mit angemessenem Schutzniveau eingestuft. Die Liste umfasst derzeit das Vereinigte Königreich (nach dem Brexit), die Schweiz, Japan, Südkorea, Israel, Neuseeland und einige weitere. Daten dürfen dorthin ohne zusätzlichen Papierkram übermittelt werden.

• EU-US Data Privacy Framework (DPF): Gestartet im Juli 2023, nachdem Schrems II das Privacy Shield gekippt hatte. US-Anbieter können sich nach dem DPF selbst zertifizieren und gelten damit als zugelassenes Zielland. Das Framework hat seine erste gerichtliche Herausforderung überstanden (September 2025), steht aber weiterhin unter Druck; seit Juni 2026 hat NOYB die Europäische Kommission gebeten, es angesichts aktueller Entscheidungen des US Supreme Court zu überprüfen. Über eine separate Klage wird vom EuGH voraussichtlich bis Ende 2026 oder Anfang 2027 entschieden. DPF ist derzeit ein tragfähiger Mechanismus; dauerhaft stabil ist er womöglich nicht.

• Standardvertragsklauseln (SCC): Vorab genehmigte Vertragsvorlagen der EU-Kommission. Die SCC von 2021 sind für jeden neuen Vertrag erforderlich und verlangen zusätzlich zu den Klauseln selbst eine Folgenabschätzung der Übermittlung (Transfer Impact Assessment, TIA).

• Verbindliche interne Datenschutzvorschriften (BCR): Interne verbindliche Regeln für multinational tätige Konzerngruppen, genehmigt von den Datenschutzaufsichtsbehörden. Langwieriges Verfahren, meist von sehr großen Organisationen genutzt.

Viele EU-Organisationen führen interne EU-Residency-Richtlinien ein, die weiter gehen, als die DSGVO verlangt. Das ist eine legitime politische Entscheidung, aber es lohnt sich zu klären, ob Ihre konkrete Anforderung eine rechtliche Verpflichtung oder ein interner Standard ist, bevor sie die Anbieterauswahl bestimmt.

Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Ziehen Sie Ihren Rechtsberater bei Entscheidungen zur DSGVO-Konformität hinzu.

Wo Transkriptionsanbieter Ihr Audio tatsächlich verarbeiten

An der Trennung von Speicherung und Verarbeitung scheitern die meisten „EU Data Residency“-Behauptungen. Ein Anbieter kann Transkripte in einem EU-Rechenzentrum speichern und gleichzeitig die eigentliche Inferenz-Last an US-GPU-Cluster auslagern. Das ist nicht dasselbe.

Die folgende Tabelle listet auf, was ich bis Juli 2026 anhand der Anbieterdokumentation verifizieren konnte. Zellen mit dem Vermerk „laut Anbieterdokumentation“ betreffen Fälle, in denen ich keine spezifische öffentliche Aussage zu einem bestimmten Aspekt gefunden habe.

Die Fireflies-Zeile verdient eine genauere Betrachtung. Das Unternehmen erklärt in seiner Wissensdatenbank ausdrücklich, dass die Daten von Enterprise-Kunden mit Private Storage „in der EU gespeichert, aber in den Vereinigten Staaten verarbeitet“ werden. Das ist EU-Residency ohne EU-Souveränität oder EU-Verarbeitung. Für Organisationen, deren Sorge die Exposition zum Zeitpunkt der Inferenz ist – dass ein Modell das Audio zu sehen bekommt –, löst das das Problem nicht.

Die sieben Fragen, die die echte Praxis offenlegen

Marketingseiten behaupten routinemäßig „EU Data Residency“, ohne zu präzisieren, was tatsächlich in der EU bleibt. Fragen Sie bei der Bewertung eines Anbieters nach schriftlichen Antworten auf folgende Punkte:

1. Wo endet der Upload? Manche Anbieter terminieren Uploads an einem globalen Edge und leiten sie dann an eine zentrale Verarbeitungsregion weiter.

2. Wo wird das Audio verarbeitet? Das KI-Modell kann in einer anderen Region laufen als die Speicherung. Audio, das in EU-Speicherung liegt, aber an ein US-Modell geschickt wird, erfüllt strenge Residency nicht.

3. Wo werden Transkripte gespeichert? Manchmal liegt das Audio in der Region, aber die Transkripte werden mit einem zentralen US-Katalog synchronisiert.

4. Wo liegen Backups? Backups überschreiten häufig Regionen zwecks Disaster Recovery und werden in Residency-Zusagen oft übersehen.

5. Wo liegen Logs und Metadaten? Anwendungs-Logs mit Dateinamen oder Teilen des Inhalts können allein schon Residency-Anforderungen verletzen.

6. Welche Unterauftragsverarbeiter sind einbezogen? Ein Transkriptionsanbieter, der ein US-basiertes KI-Modell als Unterauftragsverarbeiter nutzt, gibt Ihr Audio an dessen Rechtsordnung weiter.

7. Wird Ihr Audio zum Modelltraining verwendet? Falls ja, gehört der Standort der Trainingsinfrastruktur zum Residency-Bild dazu.

Ein Anbieter, der alle sieben Fragen mit konkret benannten Regionen für jeden Schritt beantwortet, macht eine echte Residency-Zusage. Ein Anbieter, der mit „wir unterstützen EU-Residency“ antwortet, ohne dieses Detailniveau, macht eine vage.

Fordern Sie außerdem an: die aktuelle DPA, die Liste der Unterauftragsverarbeiter mit Standorten sowie den Mechanismus, der für jede grenzüberschreitende Übermittlung verwendet wird (DPF-Zertifizierungsnummer, SCC-Bestätigung oder Angemessenheitsgrundlage). Aktualisieren Sie Ihre eigenen Unterlagen, wenn Sie Anbieter neu bewerten – die Mechanismen sind nicht statisch.

Wann Residency tatsächlich wichtig ist

Hoher Residency-Bedarf: Öffentliche Aufträge mit Souveränitätsanforderungen. Gesundheitsdaten in Rechtsräumen mit lokalen Speicherregeln (deutsche Gesundheitsdaten nach dem Krankenhauszukunftsgesetz, französische Gesundheitsdaten nach dem HDS-Framework). Finanzdienstleistungen, die von der EZB oder nationalen Aufsichtsbehörden reguliert werden. Rüstungs- und Staatsauftragnehmer. Betreiber kritischer Infrastruktur.

Mittlerer Residency-Bedarf: EU-B2B-Kunden mit internen Datenrichtlinien, die EU-Speicherung auch ohne gesetzliche Vorgabe verlangen. Multinationale Kunden mit strengen Beschaffungsanforderungen. Branchen mit sektorspezifischen Datenschutzregeln, die über das DSGVO-Minimum hinausgehen.

Geringer Residency-Bedarf: Die meisten B2B-SaaS ohne besonderes Compliance-Regime. Öffentlich zugängliche Inhalte (Podcasts, Konferenzaufzeichnungen). Interne Teamkommunikation ohne sensible Inhalte. Individuelle Sprachnotizen.

Wenn Sie in die niedrige Kategorie fallen, wird Residency häufig als Bedarf dargestellt, obwohl sie tatsächlich eine Präferenz ist. Klären Sie mit Ihrem Rechtsteam, ob es eine harte Anforderung oder eine übernommene Beschaffungsstandardeinstellung ist.

Prüfen Sie bei den Mechanismen für grenzüberschreitende Übermittlungen – ob DPF, SCC oder BCR –, ob Sie für Ihren konkreten Anbieter und Datenfluss eine Transfer Impact Assessment benötigen. Die SCC von 2021 verlangen eine; viele Organisationen überspringen diesen Schritt.

Die Souveränitätslücke

Residency allein adressiert den CLOUD Act nicht. US-Unternehmen, die dem Clarifying Lawful Overseas Use of Data Act unterliegen, können verpflichtet werden, überall gespeicherte Daten herauszugeben – auch aus EU-Rechenzentren. Dasselbe gilt für britische Unternehmen nach dem britischen Crime (Overseas Production Orders) Act.

Für die meisten kommerziellen Transkriptionsanwendungsfälle ist das ein theoretisches Anliegen. Bei Regierungsaufträgen, Verteidigungsarbeiten oder jedem Kontext, in dem der Zugriff staatlicher Akteure ein echtes Bedrohungsmodell ist, reicht Residency ohne Souveränitätskontrollen nicht aus.

Die praktischen Souveränitätsoptionen für Transkription sind begrenzt: selbst gehostete Infrastruktur in Ihrer eigenen Rechtsordnung oder Anbieter, die nur den Gesetzen einer vertrauenswürdigen Rechtsordnung unterliegen und keine konkurrierenden ausländischen Geheimdienstpflichten haben. In der Praxis bedeutet das: Anbieter mit EU-Hauptsitz, rein EU-Infrastruktur und keinem US-Mutterkonzern. Happy Scribe und Verbit (für bestimmte Enterprise-Konfigurationen) passen besser in dieses Profil als US-geführte Cloud-Anbieter mit EU-Endpunkten.

Self-Hosting bei strikten Anforderungen

Bei wirklich nicht verhandelbarer Residency plus Souveränität ist das Self-Hosting von Modellen mit offenen Gewichten der am besten vertretbare Weg. OpenAIs Whisper-Modell (large-v3) ist als offene Gewichte verfügbar und lässt sich auf Ihrer eigenen Hardware in Ihrer eigenen Rechtsordnung betreiben.

Die Kompromisse sind real:

• GPU-Inferenz ist für akzeptable Geschwindigkeit erforderlich. Whisper large-v3 läuft auf einer A100-GPU mit etwa dem 2- bis 3-fachen der Echtzeit.
• Produktionsdeployments erfordern Infrastruktur-Betrieb, Skalierung und Pflege bei Modellupdates.
• Sie bekommen das Modell, nicht die Service-Schicht: Sprecherdiarisierung, Formatierung und Genauigkeit bei fachspezifischem Vokabular erfordern alle zusätzliche Arbeit.
• Die Kosten skalieren mit der Rechenleistung, nicht mit der Nutzung – das begünstigt dauerhafte Workloads mit hohem Volumen gegenüber gelegentlicher Nutzung.

Für Organisationen in der niedrigen bis mittleren Residency-Kategorie ist Self-Hosting meist übertrieben. Für regulierte Organisationen, die große Mengen unter strikten inländischen Beschaffungsvorgaben verarbeiten, ist es oft die einzige auditierbare Option.

Mehrere EU-basierte Managed Services betreiben Whisper auf EU-Infrastruktur und bieten einen Mittelweg zwischen Cloud-Komfort und vollständigem Self-Hosting. Diese gibt es, variieren aber in ihrer Reife; prüfen Sie dieselben sieben Fragen oben anhand ihrer Dokumentation.

Den Audit-Trail pflegen

Führen Sie bei jeder Transkriptionsarbeit, bei der Residency eine Rolle spielt, Aufzeichnungen:

• Den Namen des Anbieters und die konkrete Residency-Zusage in dessen DPA (Version und Datum)
• Den Mechanismus für jede grenzüberschreitende Übermittlung (DPF-Zertifikats-ID, SCC-Bestätigung)
• Die Liste der Unterauftragsverarbeiter mit jedem Standort, datiert
• Ihre Aufbewahrungs- und automatischen Lösch-Einstellungen
• Das Datum, an dem Sie das oben Genannte zuletzt überprüft haben

Wenn ein Compliance-Audit fragt, warum Sie einen bestimmten Anbieter gewählt haben und wie Sie laufende Konformität sicherstellen, ist diese Aufzeichnung die Antwort. Ohne sie wirkt selbst eine technisch korrekte Entscheidung ad hoc.

Kombinieren Sie Residency-Kontrollen mit klarer automatischer Löschung von Transkriptionsdateien und überprüfen Sie Ihre Haltung zu Verschlüsselungs- und Transkriptionstools – Verschlüsselung im Ruhezustand und bei der Übertragung ist eine Grundlage, die Residency nicht ersetzt.

Was ConvertAudioToText bietet – und was nicht

Zur vollständigen Transparenz: ConvertAudioToText läuft derzeit auf global verteilter Infrastruktur (Cloudflare R2 für die Speicherung, die Transkription erfolgt über die Unterauftragsverarbeiter AssemblyAI und Deepgram). Wir bieten derzeit keine zertifizierte Nur-EU-Residency-Option an, bei der Audio und Transkripte garantiert durchgängig innerhalb der EU-Grenzen bleiben.

Wir bieten: TLS-Verschlüsselung bei der Übertragung, serverseitige Verschlüsselung im Ruhezustand, eine No-AI-Training-Richtlinie für Nutzer-Audio, vom Nutzer konfigurierbare automatische Löschung sowie auf Anfrage eine DPA für Geschäftskunden.

Wenn Ihre Anforderung lautet „das Audio darf die EU unter keinen Umständen verlassen“, ist das derzeit nicht die passende Lösung. Für Teams, die schnell ein sauberes Transkript brauchen – ohne Registrierungshürden und mit starker Datenminimierung –, funktioniert ConvertAudioToText gut in Verbindung mit einer klaren Datenverarbeitungsrichtlinie. Weitere Informationen zum umfassenderen Datenschutz finden Sie unter Ist KI-Transkription privat und zur DSGVO-spezifischen Anleitung unter DSGVO-konforme Transkription.

Der praktische Check, bevor Sie sich festlegen

Die meisten Teams definieren Residency-Anforderungen zu weitgehend, ohne die zugrunde liegende Vorschrift zu prüfen. Bevor Sie sich auf einen teureren oder eingeschränkteren Anbieter festlegen, klären Sie:

• Welche Vorschrift verlangt konkret Residency für diese Daten?
• Gilt sie für alle Daten oder nur für bestimmte Kategorien (Gesundheitsdaten, Finanzdaten, besondere Kategorien nach Artikel 9 DSGVO)?
• Ist es eine gesetzliche Anforderung oder eine interne Richtlinie, die aktualisiert werden könnte?
• Sind die verfügbaren Übermittlungsmechanismen (DPF, SCC mit TIA, Angemessenheitsbeschlüsse) für Ihr Risikoprofil ausreichend?

Für manche Teams ist strenge Residency nicht verhandelbar, und die Antwort auf alles oben Genannte ist klar. Für mehr Teams, als man erwarten würde, ist die Anforderung ein interner Standard, der nicht gegen aktuelle regulatorische Vorgaben geprüft wurde und sich ohne rechtliches Risiko lockern lässt.

Der richtige Transkriptionsanbieter hängt von der tatsächlichen Verpflichtung ab, nicht von der übernommenen Vorlage.

FAQ

Verlangt die DSGVO, dass Transkriptionsdaten innerhalb der EU gespeichert werden?

Nein. Die DSGVO schreibt keine pauschale EU-Speicherpflicht vor. Sie verlangt lediglich, dass jede Übermittlung personenbezogener Daten außerhalb des EWR durch einen rechtmäßigen Mechanismus abgedeckt ist: einen Angemessenheitsbeschluss der EU für das Zielland, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder eine Zertifizierung nach dem EU-US Data Privacy Framework. Viele EU-Organisationen haben interne EU-Residency-Richtlinien, die strenger sind als das, was die DSGVO tatsächlich vorschreibt – prüfen Sie, ob Ihre Anforderung eine rechtliche Verpflichtung oder eine interne Richtlinie ist.

Was ist der Unterschied zwischen Data Residency und Datensouveränität?

Residency ist eine Frage des physischen Standorts: wo die Bytes auf der Festplatte liegen. Souveränität ist eine rechtliche Frage: wessen Gerichte den Zugriff auf diese Daten erzwingen können. Ein US-Unternehmen kann Ihre Audiodaten in einem AWS-Rechenzentrum in Frankfurt speichern (EU-Residency) und bleibt dennoch US-CLOUD-Act-Anordnungen unterworfen (US-Souveränität). Der Unterschied ist bei hochsensiblen Workloads relevant; reine EU-Residency ohne Souveränitätskontrollen adressiert die erste Sorge, nicht aber die zweite.

Welche Transkriptionsdienste bieten echte EU-Verarbeitung und nicht nur EU-Speicherung?

Stand Mitte 2026: Deepgram (api.eu.deepgram.com, allgemein verfügbar, alle wichtigen STT-Endpunkte), AssemblyAI (api.eu.assemblyai.com, Audio- und Transkriptdaten bleiben in der EU) und Google Cloud Speech-to-Text V2 (regionale EU-Endpunkte, ruhende und genutzte Daten bleiben in der Region). Happy Scribe ist standardmäßig EU-nativ. Fireflies.ai bietet Enterprise-Kunden EU-Speicherung an, verarbeitet aber weiterhin in den USA. Otter.ai hat keine dokumentierte EU-Option. Trint bietet EU- oder US-Speicherung (Business-Tarif, auf AWS gehostet). AWS Transcribe ist in den EU-Regionen verfügbar (Frankfurt, Irland, London), und die Daten bleiben in der Region, die Sie ansteuern.

Wann ist Self-Hosting von Whisper die richtige Lösung für Residency?

Das Self-Hosting von Whisper mit offenen Gewichten (large-v3) ergibt Sinn, wenn Residency wirklich nicht verhandelbar ist und kein Cloud-Anbieter in Ihrer Rechtsordnung die Anforderung erfüllt – üblich im öffentlichen Sektor, bei Rüstungsunternehmen oder bei Beschaffungsvorgaben, die ausschließlich inländische Lösungen zulassen. Der Kompromiss ist real: GPU-Inferenz, Modellpflege, Skalierung und operativer Mehraufwand. Für gelegentliche sensible Aufnahmen ist es meist übertrieben. Für regulierte Organisationen, die tausende Stunden pro Monat verarbeiten und formale Audit-Trails über den gesamten Stack benötigen, ist Self-Hosting oder ein On-Premise-Deployment des Anbieters (Rev bietet dies für Enterprise-Kunden an) die besser vertretbare Wahl.

Quellen

• Deepgram EU-Endpunkt allgemein verfügbar, verifiziert im Juli 2026
• AssemblyAI-Dokumentation zu EU Data Residency, verifiziert im Juli 2026
• Google Cloud STT regionale Endpunkte, verifiziert im Juli 2026
• AWS Transcribe Endpunkte und Regionen, verifiziert im Juli 2026
• HappyScribe-Sicherheitsseite, verifiziert im Juli 2026
• Fireflies-Wissensdatenbank zu Datenspeicherung und -übertragung, verifiziert im Juli 2026
• Trint Sicherheit und Data Residency, verifiziert im Juli 2026
• Rev.com Dateiverschlüsselung und -speicherung, verifiziert im Juli 2026
• Otter.ai Datenschutz und Sicherheit, verifiziert im Juli 2026
• OpenAI-Ankündigung zu EU Data Residency, abgerufen im Juli 2026
• Status des EU-US Data Privacy Framework und Schrems-III-Klage, IAPP, verifiziert im Juli 2026
• SCC-Leitfaden der Europäischen Kommission, verifiziert im Juli 2026