DSGVO-konforme Transkription: Eine praktische Checkliste (2026)

Der GDPR-Checkliste für Audio

Transkription ist GDPR-konform, wenn du als Verantwortlicher eine Rechtsgrundlage festlegst, einen Auftragsverarbeitungsvertrag (DPA) mit deinem Anbieter abschließt, einen Aufbewahrungszeitplan festsetzt und Löschungsanfragen von Personen erfüllen kannst, deren Stimmen du aufgenommen hast. Kein Tool erhält das Compliance-Siegel von allein. Die folgende Checkliste führt dich durch jeden Schritt.

Dieser Beitrag ist keine Rechtsberatung. Für Entscheidungen mit erheblichen rechtlichen Konsequenzen konsultiere einen qualifizierten Datenschutzbeauftragten.

Die sechs Punkte, die jedes Team, das Audio von EU-Bürgern transkribiert, angehen muss:

1. Bestätige eine Rechtsgrundlage, bevor du auf Aufnahme drückst
2. Informiere Personen darüber, wie ihr Audio verwendet wird (und von wem)
3. Schließe einen Auftragsverarbeitungsvertrag mit deinem Transkriptionsanbieter ab
4. Wisse, welche Unterauftragsverarbeiter das Audio berühren und wohin die Daten fließen
5. Lege eine Aufbewahrungsfrist fest und konfiguriere die Löschung
6. Baue einen Prozess auf, um Anfragen zu Betroffenenrechten zu erfüllen

Jeder Punkt wird unten im Detail behandelt.

Was die GDPR über Sprachaufnahmen sagt

Sprachaufnahmen identifizierbarer Personen sind personenbezogene Daten gemäß Artikel 4 der GDPR. Das löst den gesamten regulatorischen Rahmen aus: Rechtsgrundlage, Transparenzpflichten, Betroffenenrechte, Sicherheitsanforderungen und Meldepflicht bei Verstößen.

Das gilt, ob du der Verantwortliche bist (du entscheidest, warum und wie die Aufnahme gemacht wird) oder der Auftragsverarbeiter (du handelst nach den Anweisungen anderer). Für die meisten Teams, die ein Transkriptionstool nutzen, ist das Team der Verantwortliche und der Transkriptionsanbieter der Auftragsverarbeiter.

Eine Nuance, die man hervorheben sollte: Die Stimme als biometrisches Datum fällt nach Artikel 9 nur dann darunter, wenn Aufnahmen verarbeitet werden, um eine Person eindeutig über eine Stimmabdruckanalyse zu identifizieren. Gewöhnliche Sprach-zu-Text-Umwandlung ist inhaltliche Transkription, keine biometrische Identifizierung. Allerdings kann der Transkriptionsinhalt selbst Daten besonderer Kategorien enthalten: Gesundheitsinformationen aus einer medizinischen Beratung, religiöse Überzeugungen aus einer seelsorgerischen Aufnahme, politische Meinungen aus einem Interview. Ob Artikel 9 greift, hängt davon ab, was das Transkript enthält, nicht von der Tatsache der Transkription selbst.

Bei Nichteinhaltung drohen Strafen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist, gemäß Artikel 83.

Rechtsgrundlage für die Transkription

Artikel 6 der DSGVO verlangt eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten. Drei Grundlagen sind für die meisten Transkriptionsszenarien relevant:

Für die meisten Transkriptionen von verbraucherorientierten Audiodaten ist die ausdrückliche Einwilligung die sicherste Grundlage. Für B2B-Arbeit mit offengelegten Aufnahmerichtlinien funktioniert in der Regel das berechtigte Interesse mit klarer Benachrichtigung. Dokumentieren Sie, was Sie wählen: Die Rechenschaftspflicht nach Artikel 5(2) verlangt, dass Sie die Einhaltung nachweisen, nicht nur behaupten.

Wie eine Einwilligungserklärung aussieht

Ein Skript, das die wichtigsten Benachrichtigungsanforderungen für die meisten DSGVO-relevanten Szenarien erfüllt:

"Dieser Anruf wird aufgezeichnet und das Audio wird mithilfe von KI für [spezifischen Zweck] transkribiert. Wir speichern das Audio [bis die Transkription abgeschlossen ist / für X Tage] und das Transkript [für X Tage / bis Sie die Löschung beantragen]. Sie können die Löschung jederzeit beantragen. Sind Sie damit einverstanden?"

Halten Sie die mündliche Zustimmung in der Aufzeichnung selbst fest. Das schafft einen Beweisnachweis innerhalb der Daten, der die Dokumentationspflicht ohne separates Formular erfüllt.

Betroffenenrechte bei Transkription

EU-Bürger haben acht Rechte gemäß Kapitel III der DSGVO. Für Sprachaufnahmen und Transkripte sind fünf davon operativ relevant:

Recht auf Auskunft (Artikel 15): Sie können eine Kopie der Audioaufnahmen und Transkripte anfordern, die sich auf sie beziehen. Die Antwortfrist beträgt einen Kalendermonat.

Recht auf Löschung (Artikel 17): Sie können die Löschung von Audio und Transkripten verlangen. Dieses Recht ist nicht absolut: Eine gesetzlich vorgeschriebene Verarbeitung oder ein berechtigtes öffentliches Interesse kann es überwiegen, aber routinemäßige Geschäftsaufnahmen erfüllen diese Schwelle in der Regel nicht.

Recht auf Berichtigung (Artikel 16): Sie können die Korrektur unrichtiger Transkriptinhalte verlangen. KI-Transkriptionsfehler sind ein konkretes Beispiel: Wenn ein Sprecher in einem Transkript falsch zitiert wird, hat er das Recht, eine Korrektur zu beantragen.

Recht auf Datenübertragbarkeit (Artikel 20): Sie können Daten in einem strukturierten, maschinenlesbaren Format anfordern. Dies gilt, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht.

Recht auf Widerspruch (Artikel 21): Sie können der Verarbeitung auf Grundlage berechtigten Interesses widersprechen, was Sie dazu verpflichtet, diese zu stoppen, es sei denn, Sie haben zwingende schutzwürdige Gründe.

In der Praxis bedeutet das, dass Sie eine Möglichkeit brauchen, alle Aufnahmen und Transkripte zu finden, die sich auf eine bestimmte Person beziehen, sie zu exportieren, auf Anfrage zu löschen und Transkriptfehler zu korrigieren, wenn sie gemeldet werden. Für kleine Teams reicht eine einfache Ordnerstruktur mit konsistenter Benennung. Für größere Betriebe ist ein Dateninventar mit Suchfunktion erforderlich.

Grenzüberschreitende Übermittlungen

Wenn Ihr Transkriptionsanbieter Daten außerhalb der EU oder des EWR hostet, verlangt Kapitel V der DSGVO einen Übermittlungsmechanismus.

Die drei Mechanismen, die 2026 verfügbar sind:

EU-US-Datenschutzrahmen (DPF): Übermittlungen an DPF-zertifizierte US-Anbieter sind durch den Angemessenheitsbeschluss der Europäischen Kommission vom Juli 2023 erlaubt. Stand Mitte 2026 ist der Rahmen in Kraft, steht aber vor aktiven rechtlichen Herausforderungen: Die Berufung im Fall Latombe (C-703/25 P) ist beim EuGH anhängig, und NOYB hat eine separate Klage mit Verweis auf US-Überwachungsgesetze eingereicht. Der EuGH soll bis Ende 2026 oder Anfang 2027 über die Kernfrage entscheiden. Behandeln Sie den DPF nicht als einzigen Mechanismus, wenn Kontinuität für Sie wichtig ist.

Standardvertragsklauseln (SCCs): Vorab genehmigte Vertragssprache zwischen Verantwortlichem und Nicht-EU-Auftragsverarbeiter, die eine rechtmäßige Übermittlungsgrundlage unabhängig von einem Angemessenheitsbeschluss bietet. Seit dem Schrems-II-Urteil (C-311/18, Juli 2020) erfordern SCCs eine begleitende Übermittlungsfolgenabschätzung, um zu bewerten, ob die Gesetze des Empfängerlands den Schutz untergraben. Das ist kein Dokument, das man einmal erstellt und dann vergisst.

EU-ansässige Infrastruktur: Wenn die Daten physisch in der EU oder im EWR bleiben, ist überhaupt kein Übermittlungsmechanismus nötig. Fragen Sie Anbieter konkret, welche Regionen ihre Speicherinfrastruktur nutzt, und bestätigen Sie das im DPA, nicht nur im Marketingtext.

Wenn ein Anbieter sagt „wir sind DSGVO-konform“, ohne zu nennen, welcher Mechanismus Ihre Übermittlung abdeckt, ist diese Antwort unvollständig. Fragen Sie gezielt nach.

Der Auftragsverarbeitungsvertrag

Artikel 28 verlangt einen schriftlichen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, bevor eine Verarbeitung beginnt. Die Nutzung eines Transkriptionsdienstes ohne AVV ist ein direkter DSGVO-Verstoß, unabhängig davon, wie datenschutzbewusst der Dienst ist.

Ein rechtlich vollständiger AVV nach Artikel 28(3) muss abdecken:

• Verarbeitung nur nach dokumentierten Weisungen des Verantwortlichen
• Vertraulichkeitspflichten für alle Personen mit Zugriff
• Sicherheitsmaßnahmen gemäß Artikel 32
• Genehmigung von Unterauftragsverarbeitern und Benachrichtigung bei Änderungen
• Unterstützung bei Anfragen zur Ausübung von Betroffenenrechten
• Rückgabe oder Löschung der Daten bei Vertragsende
• Prüfrechte für den Verantwortlichen

Die meisten professionellen Transkriptionsdienste stellen auf Anfrage eine DPA bereit. Bei SaaS-Anbietern ist dies in der Regel ein standardisiertes Dokument, das über den Support- oder Beschaffungsprozess verfügbar ist.

Bevor Sie sich auf einen Anbieter verlassen, auch auf CATT, fordern Sie dessen aktuelle DPA an und prüfen Sie, ob die oben genannten Punkte aus Artikel 28 abgedeckt sind, einschließlich des verwendeten Übermittlungsmechanismus und wie schnell Sie über eine Ihre Daten betreffende Verletzung benachrichtigt werden. Lassen Sie sich die aktuelle Liste der Unterauftragsverarbeiter schriftlich geben, da sie sich ändern kann.

Aufbewahrungsfristen

Artikel 5 Absatz 1 Buchstabe e der DSGVO verlangt Speicherbegrenzung: Daten nur so lange aufbewahren, wie es für den Zweck erforderlich ist.

„Erforderlich" ist kontextabhängig:

• Aufnahmen zur Qualitätssicherung im Kundenservice: in der Regel 30 bis 90 Tage
• Aufnahmen für Compliance und Audit: der regulatorische Zeitraum plus Puffer (bei Finanzdienstleistungen oft 5 bis 7 Jahre)
• Quellenmaterial für Journalismus: bis zur Veröffentlichung plus ein vertretbarer Puffer nach der Veröffentlichung
• Forschungsinterviews: bis zur Veröffentlichung plus die einschlägige akademische Aufbewahrungsnorm
• Aufnahmen von Betriebsbesprechungen: in der Regel 90 Tage bis ein Jahr

Welchen Zeitraum Sie auch wählen, dokumentieren Sie die Begründung und automatisieren Sie die Löschung. Unbegrenzte Aufbewahrung ist ein Verstoß gegen die Speicherbegrenzung. Manuelle Löschung, die davon abhängt, dass jemand daran denkt, ist kein vertretbarer Prozess.

Zu CATT im Speziellen: Audiodateien werden nach Abschluss der Transkription automatisch gelöscht, sofern Sie sie nicht bewusst behalten. Transkripte bleiben verfügbar, solange Ihr Konto aktiv ist, und können jederzeit über das Dashboard gelöscht werden. Die Löschung des Kontos entfernt zugehörige Daten innerhalb von 30 Tagen, gemäß der veröffentlichten Datenschutzrichtlinie. Diese automatische Löschung nach der Transkription ist praktisch für Teams, die keine Quell-Audiodateien archivieren müssen.

Weitere Informationen zur Konfiguration der Aufbewahrungsdauer entsprechend Ihrer Richtlinie finden Sie unter Automatische Löschung von Transkriptionsdateien.

Unterauftragsverarbeiter

Wenn Ihr Transkriptionsanbieter andere Anbieter einsetzt, gelten diese als Unterauftragsverarbeiter gemäß Artikel 28. Die DSGVO verlangt:

• Der Verantwortliche genehmigt die Liste der Unterauftragsverarbeiter (in der Regel im Auftragsverarbeitungsvertrag dokumentiert)
• Unterauftragsverarbeiter sind an dieselben Pflichten gebunden wie der Auftragsverarbeiter
• Der Verantwortliche wird über Änderungen informiert, bevor diese wirksam werden

Fragen Sie jeden potenziellen Anbieter schriftlich nach seiner aktuellen Liste der Unterauftragsverarbeiter. Veröffentlichte Seiten zu Unterauftragsverarbeitern können sich ohne Vorankündigung ändern; die Liste im Auftragsverarbeitungsvertrag schafft Verbindlichkeit.

Zur Referenz: Die veröffentlichten Unterauftragsverarbeiter von CATT umfassen Mitte 2026 unter anderem Cloudflare (CDN, Edge-Proxy, R2-Objektspeicher), Deepgram (primäre Spracherkennung, Nova-3), OpenAI (Zusammenfassung, Aktionspunkte, Übersetzung), RunPod (Fallback-Spracherkennung und Diarisierung), Recall.ai (Meeting-Bot) und Hetzner Cloud (Anwendungs- und Datenbankhosting). Die vollständige Liste ist unter convertaudiototext.com/subprocessors veröffentlicht. Wenn eine zertifizierte EU-only-Datenresidenz eine harte Anforderung für Ihren Anwendungsfall ist, verifizieren Sie die aktuellen Infrastrukturoptionen mit jedem Anbieter, bevor Sie sich festlegen.

Besondere Kategorien personenbezogener Daten

Artikel 9 verbietet die Verarbeitung besonderer Datenkategorien, sofern keine spezifische Ausnahme greift. Zu diesen Kategorien zählen Gesundheitsdaten, genetische Daten, biometrische Daten (wenn sie zur Identifizierung genutzt werden), rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit sowie Daten zur Sexualität oder zum Sexualleben.

Aufnahmen können all das als Inhalt enthalten: eine Therapiesitzung, eine ärztliche Konsultation, ein politisches Interview. Wenn Ihre Transkripte Inhalte besonderer Kategorien umfassen, müssen zwei Dinge gleichzeitig zutreffen: eine Rechtsgrundlage nach Artikel 6 und eine spezifische Ausnahme nach Artikel 9(2). Die betrieblich gängigste Ausnahme ist die ausdrückliche Einwilligung (Artikel 9(2)(a)).

Bei Gesundheitsdaten im Besonderen überschneidet sich die DSGVO mit HIPAA in den USA und den NHS-Datenschutzpflichten im Vereinigten Königreich. CATT unterzeichnet keine HIPAA-Business-Associate-Vereinbarungen und ist nicht HIPAA-zertifiziert. Gesundheitsorganisationen, die PHI transkribieren, sollten einen Anbieter wählen, der HIPAA-Konformität nachweisen und eine BAA unterzeichnen kann. Siehe HIPAA-konforme Transkription für eine Einschätzung, wie eine solche Prüfung aussieht.

Meldung von Datenschutzverletzungen

Artikel 33 der DSGVO verlangt die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung birgt voraussichtlich kein Risiko für die Rechte betroffener Personen. Artikel 34 verlangt die Benachrichtigung der betroffenen Personen, wenn die Verletzung ein hohes Risiko darstellt.

Bei der Transkription könnte eine Verletzung Folgendes umfassen: unbefugter Zugriff auf gespeichertes Audio, versehentliche Offenlegung von Transkripten an den falschen Empfänger, Verlust von Aufnahmen oder ein Sicherheitsvorfall bei einem Unterauftragsverarbeiter.

Ihr DPA sollte festlegen, wie der Verarbeiter Sie benachrichtigt, wenn eine Verletzung auftritt, die Ihre Daten betrifft. Die DSGVO besagt, dass Verarbeiter Verantwortliche "unverzüglich" informieren müssen, damit der Verantwortliche Zeit hat, die Lage zu bewerten und die Aufsichtsbehörde innerhalb des 72-Stunden-Fensters zu benachrichtigen. Legen Sie den Benachrichtigungszeitraum im DPA fest, bevor Sie Daten senden.

Verantwortliche müssen zudem alle Verstöße gemäß Artikel 33 Absatz 5 dokumentieren, einschließlich Fakten, Auswirkungen und Abhilfemaßnahmen, damit die Aufsichtsbehörde die Einhaltung überprüfen kann.

Praktischer Compliance-Arbeitsablauf

Für ein kleines Team, das Audio von EU-Bewohnern transkribiert:

1. Dokumentieren Sie Ihre Rechtsgrundlage für jede Art von Aufnahme. Unterschiedliche Aufnahmearten (Kundengespräche, interne Besprechungen, Interviews) können unterschiedliche Grundlagen haben.
2. Aktualisieren Sie die Einwilligungserfassung, um KI-Transkription ausdrücklich zu benennen. Die Einwilligung zur Aufnahme deckt nicht automatisch die Einwilligung zur KI-Verarbeitung ab.
3. Unterzeichnen Sie eine Auftragsverarbeitungsvereinbarung (AVV) mit Ihrem Transkriptionsanbieter, bevor Sie Audio hochladen.
4. Prüfen Sie die Liste der Unterauftragsverarbeiter und bestätigen Sie, dass sie in der AVV oder einer Anlage aufgeführt ist.
5. Legen Sie Aufbewahrungsfristen fest, die dem Zweck entsprechen, und konfigurieren Sie die automatische Löschung im Tool.
6. Erstellen Sie einen Prozess für Auskunfts- und Löschungsanfragen betroffener Personen, mit einer dokumentierten Antwortfrist.
7. Fügen Sie die Transkription in Ihr Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 ein.

Für ein etabliertes Unternehmen, das einen Transkriptionsarbeitsablauf hinzufügt oder prüft:

1. Fügen Sie die Transkription zu Ihrem bestehenden Dateninventar hinzu, mit Zweck, Rechtsgrundlage, Aufbewahrungsfrist und aufgelisteten Unterauftragsverarbeitern
2. Aktualisieren Sie Ihre Datenschutzerklärung, um KI-Transkription als Verarbeitungstätigkeit offenzulegen
3. Führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Personen darstellt (z. B. bei umfangreichen sensiblen Inhalten)
4. Prüfen Sie die AVV-Bedingungen Ihres Anbieters anhand der obigen Artikel-28-Checkliste
5. Schulen Sie Ihr Personal in den Verfahren zur Einwilligungserfassung

Häufige Compliance-Fehler

Aufnahme ohne ordnungsgemäße Benachrichtigung. Selbst in Rechtsgebieten mit Einwilligung nur einer Partei für Abhörzwecke verlangt die DSGVO eine Rechtsgrundlage und Transparenz für jeden EU-Bewohner. Der US-amerikanische Rechtsrahmen für Abhörmaßnahmen und die DSGVO sind separate rechtliche Systeme mit unterschiedlichen Anforderungen.

Gebündelte Einwilligung. „Mit dem Beitritt zu diesem Anruf stimmen Sie der Aufzeichnung zu“ ist keine gültige Einwilligung nach DSGVO. Die Einwilligung zur Aufzeichnung muss separat eingeholt werden und ohne Nachteile widerrufbar sein.

Keine Aufbewahrungsfrist. „Wir speichern Aufzeichnungen, bis wir sie nicht mehr benötigen“ ist keine belastbare Richtlinie. Legen Sie einen konkreten Standardzeitraum fest, der zu Ihrem angegebenen Zweck passt, und dokumentieren Sie die Begründung.

DPA übersprungen. Das Hochladen von Audio an einen Transkriptionsdienst ohne unterzeichneten DPA ist ein Verstoß gegen Artikel 28, unabhängig davon, ob der Dienst ansonsten datenschutzbewusst arbeitet.

Kein Löschprozess. Die Löschrechte aus Artikel 17 verlangen, dass Sie ihnen nachkommen können. Ein einfacher dokumentierter Arbeitsablauf genügt. Kein Arbeitsablauf genügt nicht.

SCCs als dauerhaft behandeln. Standardvertragsklauseln erfordern seit dem Schrems-II-Urteil (C-311/18, 16. Juli 2020) eine begleitende Übermittlungsfolgenabschätzung sowie eine laufende Überwachung des rechtlichen Umfelds im Empfängerland.

Sich allein auf den DPF verlassen. Der EU-US Data Privacy Framework ist ab Mitte 2026 gültig, wird aber aktiv rechtlich angefochten. Schichten Sie Ihre Übermittlungsmechanismen.

Wann CATT passt und wann nicht

CATT passt für die DSGVO-Compliance, wenn:

• Sie der Verantwortliche sind und einen transparenten Auftragsverarbeiter mit veröffentlichter Unterauftragsnehmerliste benötigen
• Ihr Anwendungsfall mit der automatischen Löschung von Audio nach Abschluss der Transkription vereinbar ist (oder Sie aktiv die Aufbewahrung wählen)
• Sie keine formal zertifizierte EU-only-Datenresidenz benötigen
• Sie Cloudflare, Deepgram, OpenAI, RunPod und Hetzner als Unterauftragsnehmer akzeptieren können

CATT passt nicht, wenn:

• Zertifizierte Infrastruktur mit ausschließlichem EU-Standort eine vertragliche oder regulatorische Anforderung ist
• Sie geschützte Gesundheitsdaten (PHI) verarbeiten, die ein unterzeichnetes HIPAA-BAA erfordern
• Ihr Unternehmen SOC-2-Typ-II-Prüfberichte von Auftragsverarbeitern verlangt

Vor der Beauftragung solltest du die aktuelle DPA über den Support-Kanal von CATT anfordern und bestätigen, dass die Bedingungen aus Artikel 28 deinen Anforderungen entsprechen. Jeder Anbieter, auch CATT, sollte anhand der tatsächlichen Dokumentation bewertet werden, nicht anhand der Marketing-Zusammenfassung. Für allgemeine Transkription ohne Compliance-Komplexität bietet Audio zu Text einen sofortigen Start ohne Anmeldung.

Häufig gestellte Fragen

Gilt die DSGVO, wenn ich nur Anrufe mit Einwilligung transkribiere?

Ja. Die Einwilligung ist eine Rechtsgrundlage für die Verarbeitung nach Artikel 6 Absatz 1 Buchstabe a, befreit dich aber nicht von den übrigen Vorgaben der Verordnung. Du brauchst weiterhin eine DPA mit deinem Transkriptionsanbieter, einen Aufbewahrungsplan, eine Möglichkeit zur Erfüllung von Löschungsanträgen und Verfahren zur Meldung von Datenschutzverletzungen. Die Einwilligung beseitigt eine Hürde, schafft aber keine pauschale DSGVO-Konformität.

Ist eine Sprachaufnahme nach Artikel 9 DSGVO als besondere Kategorie von Daten einzustufen?

Eine Sprachaufnahme ist nur dann biometrische Daten im Sinne von Artikel 9, wenn sie zum Zweck der eindeutigen Identifizierung einer Person durch Stimmprofilanalyse verarbeitet wird. Standardmäßige Sprach-zu-Text-Transkription ist Inhaltsverarbeitung, keine biometrische Identifizierung, und löst Artikel 9 nicht automatisch aus. Enthält der transkribierte Inhalt jedoch Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen oder andere besondere Kategorien, gelten die Einschränkungen aus Artikel 9 für diesen Inhalt.

Brauche ich mit jedem Transkriptionsdienst, den ich nutze, eine DPA?

Ja. Artikel 28 verlangt einen schriftlichen Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, bevor die Verarbeitung beginnt. Die Nutzung eines Transkriptionstools ohne DPA, die die acht Anforderungen aus Artikel 28 Absatz 3 abdeckt, ist ein direkter Verstoß gegen die DSGVO, unabhängig davon, wie datenschutzbewusst der Anbieter auftritt. Fordere die DPA an, bevor du Audio hochlädst.

Kann ich mich für US-basierte Transkriptionsanbieter auf den EU-US-Datenschutzrahmen (Data Privacy Framework) verlassen?

Stand Mitte 2026 ist der DPF gültig, und US-Anbieter, die nach ihm zertifiziert sind, dürfen EU-Personendaten auf dieser Grundlage empfangen. Allerdings steht das Rahmenwerk vor aktiven rechtlichen Herausforderungen: Der EuGH soll bis Ende 2026 oder Anfang 2027 über eine zentrale Klage entscheiden. Datenschutzberater empfehlen in der Regel, sich nicht allein auf den DPF als Übermittlungsmechanismus zu verlassen und Standardvertragsklauseln als Fallback beizubehalten.

Was sage ich betroffenen Personen, wenn sie ihre Transkripte anfordern?

Gemäß Artikel 15 müssen Sie eine Kopie aller personenbezogenen Daten bereitstellen, die sie betreffen, einschließlich aller Transkripte, in denen sie als identifizierbare Sprecherin oder identifizierbarer Sprecher auftreten. Die Antwortfrist beträgt einen Kalendermonat, bei komplexen Anfragen mit Benachrichtigung verlängerbar um zwei Monate. Für Löschungsanfragen nach Artikel 17 gilt dieselbe Frist. Ein einfacher Abrufprozess nach Sprechername oder Aufnahmedatum, den Sie vor der ersten Anfrage einrichten, ist weitaus einfacher, als einen unter Zeitdruck zu entwickeln.

Quellen

• GDPR Artikel 33 (gdpr-info.eu): https://gdpr-info.eu/art-33-gdpr/
• GDPR Artikel 28 (gdpr-info.eu): https://gdpr-info.eu/art-28-gdpr/
• EU-Gericht weist Latombe-Klage ab (IAPP, 2025): https://iapp.org/news/a/european-general-court-dismisses-latombe-challenge-upholds-eu-us-data-privacy-framework
• EU-US Data Privacy Framework Status 2026 (GlobalDataShield): https://globaldatashield.com/blog/eu-us-data-privacy-framework-2026
• Datum des Schrems-II-Urteils (IAPP, C-311/18, 16. Juli 2020): https://iapp.org/news/a/cjeus-schrems-ii-decision-slated-for-july-16
• Rechtsgrundlage für Gesprächsaufzeichnungen nach GDPR (GDPR Local): https://gdprlocal.com/gdpr-recording-calls/
• Überblick zu Betroffenenrechten nach GDPR (Recording Law, 2026): https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-data-subject-rights/
• Artikel 9, besondere Kategorien (gdpr-info.eu): https://gdpr-info.eu/art-9-gdpr/
• CATT Datenschutzerklärung (convertaudiototext.com/privacy): https://convertaudiototext.com/privacy
• CATT Unterauftragsverarbeiter-Liste (convertaudiototext.com/subprocessors): https://convertaudiototext.com/subprocessors