Spracherkennung und DSGVO: Wohin gehen Ihre Daten wirklich?

Wenn Sie eine E-Mail, ein Protokoll oder einen juristischen Schriftsatz diktieren, sprechen Sie oft vertrauliche Informationen laut aus: Namen, Beträge, Details aus einer Akte. Die Frage ist nicht nur „Stimmt die Transkription?", sondern „Wohin geht meine Stimme, und wer hat Zugriff darauf?". Genau das regelt die DSGVO. Dieser Leitfaden erklärt, was die Verordnung von einer Diktiersoftware wirklich verlangt, warum der Serverstandort allein nicht genügt und woran Sie eine konforme, souveräne Lösung erkennen.

Ihre Stimme ist ein personenbezogenes Datum

Erster, oft missverstandener Punkt: Eine Sprachaufnahme ist ein personenbezogenes Datum im Sinne der DSGVO, sobald sie es ermöglicht, eine Person direkt oder indirekt zu identifizieren. Die Stimme selbst, ein ausgesprochener Name, eine laut genannte Kundennummer: All das fällt unter die Verordnung. Die DSGVO gilt also für das Sprachdiktat, sobald ein Mensch spricht.

Heißt das, es handelt sich automatisch um „sensible" Daten? Nicht zwangsläufig, und die Unterscheidung ist wichtig. Laut der CNIL wird die Stimme erst dann zu einem biometrischen Datum (besondere Kategorie, geregelt in Artikel 9 DSGVO), wenn ein System sie nutzt, um eine sprechende Person anhand ihrer Stimmmerkmale zu erkennen oder zu authentifizieren. Eine Diktiersoftware tut das nicht: Sie wandelt Sprache in Text um, sie identifiziert niemanden anhand der Stimme. Die praktische Folge:

• Das Audio ist ein personenbezogenes, aber kein biometrisches Datum, denn es findet keine Stimmidentifikation statt.
• Der diktierte Inhalt dagegen ist alles andere als harmlos: eine erwähnte Patientenakte, Bankdaten, der Name einer Mandantin und die Art ihres Rechtsstreits. Genau hier liegt das eigentliche Risiko.

Anders gesagt: Die Gefahr besteht nicht darin, dass Ihre Stimmfarbe zu Ihrer Identifikation dient, sondern darin, dass das, was Sie diktieren, gespeichert, weiterverwendet oder für Dritte zugänglich wird. Deshalb ist es so wichtig, genau zu wissen, was die Software mit Ihrem Audio macht.

Was die DSGVO konkret von einer Diktiersoftware verlangt

Die DSGVO erschöpft sich nicht in einem Einwilligungsbanner. Für einen Dienst, der Ihre Stimme transkribiert, zählen sechs Pflichten wirklich:

• Ein klarer Zweck und eine klare Rechtsgrundlage. Ihre Daten dienen nur dazu, Ihre Transkription zu erstellen, zu nichts anderem.
• Datenminimierung. Die Software darf nur das absolut Notwendige verarbeiten. Die CNIL empfiehlt in ihrem Weißbuch zu Sprachassistenten sogar, nur die unverzichtbaren Daten an die Server zu übertragen.
• Speicherbegrenzung. Die DSGVO verbietet, Daten länger als nötig aufzubewahren. Beim Diktat ist die beste Lösung einfach: keine Speicherung, das Audio wird sofort nach der Transkription gelöscht.
• Keine Weiterverwendung. Ihre Stimme und Ihre Texte dürfen nicht ohne Ihre Zustimmung zum Training von KI-Modellen genutzt werden.
• Ein vertraglich gebundener Auftragsverarbeiter. Der Anbieter muss Ihnen einen Auftragsverarbeitungsvertrag (AVV, Artikel 28 DSGVO) anbieten, der seine Unterauftragsverarbeiter und deren Garantien auflistet.
• Sicherheit und Regelung der Datenübermittlung. Verschlüsselung, ernsthafte technische Maßnahmen und vor allem ein strenger Rahmen, falls Daten die Europäische Union verlassen (Artikel 44 ff.).

Diese Kriterien sind überprüfbar. Ein seriöser Anbieter beantwortet jedes davon schriftlich. Gerade am letzten Punkt, der Übermittlung außerhalb der EU, scheitert es am häufigsten, und er wird am meisten missverstanden.

Eine nützliche Klarstellung, um ein häufiges Missverständnis auszuräumen: Der AI Act, die europäische Verordnung über künstliche Intelligenz, regelt diese Fragen nicht. Er bestimmt, was ein KI-System tun darf, nicht wo Ihre Daten verarbeitet werden oder welcher Rechtsordnung der Anbieter unterliegt. Diese Arbeitsteilung erläutern wir in unserem Beitrag dazu, was der AI Act für Ihre KI-Tools wirklich verlangt.

Der Anbieter ist Ihr Auftragsverarbeiter: Was Artikel 28 enthalten muss

Das ist der Teil, den die meisten Einkäufer überspringen, und es ist der Teil, der die Haftung trägt. Wenn Sie berufliche Inhalte diktieren, sind Sie der Verantwortliche für diese Daten und der Anbieter ist Ihr Auftragsverarbeiter. Artikel 28 DSGVO überlässt dieses Verhältnis nicht dem guten Willen: Er verlangt einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag, und zählt auf, was dieser Vertrag enthalten muss.

Beim Lesen eines AVV zählen in der Praxis diese Klauseln:

• Dokumentierte Weisungen. Der Anbieter darf Ihre Daten nur auf Ihre Weisung und für den von Ihnen festgelegten Zweck verarbeiten. Genau diese eine Klausel verbietet die Weiterverwendung zum Modelltraining.
• Vertraulichkeit des Personals. Jede Person mit Zugang zu den Daten muss zur Vertraulichkeit verpflichtet sein.
• Sicherheitsmaßnahmen nach Artikel 32. Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrolle und eine belastbare Fähigkeit, die Verfügbarkeit nach einem Vorfall wiederherzustellen.
• Namentlich genannte und genehmigte Unterauftragsverarbeiter. Der Anbieter darf ohne Ihre Genehmigung keinen weiteren Dienstleister hinzuziehen und muss Sie vor jeder Änderung informieren. Ein AVV, der die Kette nicht benennt, erfüllt seinen Zweck nicht.
• Unterstützung bei Betroffenenrechten. Verlangt jemand von Ihnen Auskunft oder Löschung, muss der Anbieter Ihnen helfen, fristgerecht zu antworten.
• Löschung oder Rückgabe bei Vertragsende sowie die Nachweise, die Sie zur Überprüfung all dessen benötigen.

Ein Anbieter, der „wir sind DSGVO-konform" antwortet, ohne dieses Dokument vorzulegen, hat nicht geantwortet. Fordern Sie den AVV vor der Unterschrift an, nicht nach einem Vorfall.

Speicherdauer, und was aus Ihren Rechten wird

Die Speicherbegrenzung ist die Pflicht, an der Diktierprogramme am häufigsten scheitern, denn das Aufbewahren des Audios kommt dem Anbieter zupass: Es speist Qualitätskontrolle und Modellverbesserung. Die DSGVO stellt im Gegenzug eine schlichte Frage, wie lange das Audio für den vereinbarten Zweck erforderlich ist, und für eine Transkription lautet die ehrliche Antwort: die wenigen Sekunden, die das Erzeugen des Textes dauert. Alles darüber hinaus ist eine Speicherdauer, die begründet, dokumentiert und offengelegt werden muss.

Die Speicherdauer bestimmt auch, wie praktikabel Ihre Rechte sind. Das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit bezieht sich auf das, was der Anbieter hält. Das hat eine praktische Folge, die man verstanden haben sollte: Bei einer echten Null-Speicherung gibt es auf dem Server nichts, worauf zugegriffen oder was gelöscht werden könnte, weil das Audio nicht mehr existiert und der Text auf Ihrem eigenen Rechner liegt. Führt eine Software dagegen einen Verlauf Ihrer Diktate, wird aus diesen Rechten echte Arbeit, und der Anbieter muss sie binnen eines Monats erfüllen können.

Übermittlung in Drittländer, und die Frage der Rechtsordnung

Die Artikel 44 ff. regeln, was geschieht, wenn Daten die Europäische Union verlassen. In der Praxis stützt sich ein US-Anbieter entweder auf das Data Privacy Framework, den am 10. Juli 2023 angenommenen Angemessenheitsbeschluss, oder auf die Standardvertragsklauseln der Europäischen Kommission. In beiden Fällen wird die Übermittlung rechtmäßig, und das ist tatsächlich nützlich.

Es ist zugleich nur die halbe Analyse. Darunter liegt eine zweite Frage: Welcher Staat kann den Anbieter zwingen, Ihre Daten herauszugeben, sobald er sie hält. Der US-amerikanische Cloud Act erfasst jeden Anbieter, der der US-Jurisdiktion unterliegt, unabhängig vom Serverstandort, und deshalb sind „in Europa gehostet" und „außerhalb der Reichweite US-amerikanischer Behörden" nicht dieselbe Aussage. Das ist ein Thema für sich, das wir vollständig behandeln, mit der Rechtsprechung, dem laufenden Rechtsmittel gegen das DPF und den vier Prüfungen für jeden Anbieter, in unserem Leitfaden warum Hosting in Europa nicht ausreicht.

Was die DSGVO von Ihnen verlangt, nicht nur von der Software

Einen konformen Anbieter zu wählen entbindet Sie nicht von Ihren eigenen Pflichten. Drei davon gelten, sobald Sie berufliche Inhalte diktieren:

• Ihr Verzeichnis von Verarbeitungstätigkeiten (Artikel 30). Wenn Sie Inhalte mit personenbezogenen Daten diktieren, gehört die Software ins Verzeichnis: Zweck, Datenkategorien, der Anbieter als Auftragsverarbeiter, Speicherdauer und jede Übermittlung in ein Drittland. Das ist eine Zeile in einer Tabelle, kein Projekt, aber eine Prüfung wird danach fragen. Artikel 30 Absatz 5 nimmt Organisationen mit weniger als 250 Beschäftigten aus, doch die Ausnahme entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt oder vertrauliche Mandantendaten betrifft, und genau das trifft auf eine Kanzlei zu, die täglich diktiert.
• Eine Datenschutz-Folgenabschätzung (Artikel 35), oder eben nicht. Eine DSFA ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen zur Folge hat. Ein Diktat, das lediglich Ihre eigene Sprache in Text umwandelt, ohne Speicherung und ohne biometrische Identifikation, erreicht diese Schwelle für sich genommen in der Regel nicht. Werden in großem Umfang besondere Kategorien personenbezogener Daten diktiert, etwa Gesundheitsdaten, ändert das die Bewertung, und die Abschätzung liegt dann bei Ihnen, nicht bei Ihrem Anbieter.
• Die Personen, über die Sie sprechen. Wenn Sie die Akte einer Mandantin diktieren, ist auch diese Mandantin eine betroffene Person. Ihre bestehenden Datenschutzhinweise decken das im Regelfall ab, sollten aber die Realität abbilden: Ein Auftragsverarbeiter transkribiert diesen Inhalt. Dasselbe gilt für einen Interessenten, dessen Besuchsbericht Sie diktieren, was wir in unserem Leitfaden Spracherkennung im Vertrieb behandeln.

Berufe mit Verschwiegenheitspflicht: Rechtsanwälte, Notare, Steuerberater

Für Rechtsanwälte, Notare oder Steuerberater kommt zur DSGVO eine noch strengere Pflicht hinzu: das Berufsgeheimnis. Den Namen einer Mandantin und die Art ihrer Akte in eine Software zu diktieren, die zur Herausgabe dieser Daten gezwungen werden könnte, bedeutet, eine durch die Verschwiegenheitspflicht geschützte Information offenzulegen.

In Deutschland ist diese Verschwiegenheit strafrechtlich bewehrt: § 203 StGB stellt die Verletzung von Privatgeheimnissen durch Angehörige dieser Berufe unter Strafe. Der Grundsatz bleibt derselbe: Der Einsatz von KI-Werkzeugen rechtfertigt niemals eine Aufhebung des Berufsgeheimnisses, und durch das Geheimnis geschützte Daten gehören niemals in eine generische Verbraucher-KI. Lösungen, die in der Europäischen Union gehostet werden und Anfragen nicht zum Training ihrer Modelle wiederverwenden, weisen dabei ein deutlich geringeres Risikoprofil auf als Werkzeuge für den breiten Markt.

Genau dieses Kriterium gilt es an eine Diktiersoftware anzulegen: Verarbeitung in der EU, keine Speicherung, keine Weiterverwendung und ein Anbieter, der keiner extraterritorialen Gesetzgebung untersteht. Wir vertiefen diesen Punkt für Kanzleien in unserem Leitfaden zum Sprachdiktat für Anwälte und Juristen.

5 Fragen, die Sie vor der Wahl einer Diktiersoftware stellen sollten

Eine einfache Entscheidungshilfe: Stellen Sie jedem Anbieter diese fünf Fragen. Die Antworten müssen klar und schriftlich sein.

1. Speichern Sie mein Audio und meine Transkriptionen? Die richtige Antwort lautet: nein, sofortige Löschung nach der Transkription.
2. Werden meine Daten zum Training Ihrer Modelle genutzt? Die richtige Antwort lautet: nein.
3. Wo und durch welches Unternehmen werden meine Daten verarbeitet? Achten Sie auf eine Verarbeitung in der EU durch ein europäisches Unternehmen, nicht nur auf ein „Rechenzentrum in Europa".
4. Unterliegen Sie dem Cloud Act oder einem anderen extraterritorialen Gesetz? Ein europäischer Anbieter, der nicht zu einer US-Muttergesellschaft gehört, kann mit Nein antworten. Fällt die Antwort ausweichend aus, zeigt unser Leitfaden zum Cloud Act, wie Sie es selbst prüfen.
5. Bieten Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO an? Für die berufliche Nutzung unverzichtbar.

Die strengste Option: 100 % lokal

Seien wir ehrlich: Wenn Sie die absolute Garantie wollen, dass Ihre Stimme Ihren Computer nie verlässt, ist die schützendste Lösung nicht die Cloud, sondern die 100 % lokale Verarbeitung. Nichts geht online: Weder DSGVO noch Cloud Act kommen überhaupt ins Spiel, da keine Daten an Dritte übermittelt werden. Open-Source-Werkzeuge wie Handy (kostenlos, unter freier Lizenz, für Windows, macOS und Linux) führen die Transkription direkt auf Ihrer Maschine aus, ganz ohne Übertragung an einen Server.

Der Preis dafür ist real, und wir beleuchten ihn in unserem Vergleich lokales vs. Cloud-Sprachdiktat: 100 % lokal beschränkt sich meist auf eine Rohtranskription, ohne KI-Bereinigung und KI-Formatierung, und verlangt eine recht leistungsfähige Maschine. Für viele Berufstätige geht es deshalb darum, den Komfort der Cloud zurückzugewinnen, also sauberen Text in jeder Anwendung und auf jedem Computer, ohne auf Souveränität zu verzichten. Genau das ist das Ziel von Fast Dictate.

Der Ansatz von Fast Dictate

Fast Dictate ist eine europäische Alternative, die auf diese Fragen ohne Umwege antwortet:

• Keine Speicherung der Daten in allen Tarifen. Ihr Audio wird transkribiert und sofort gelöscht und niemals zum Training von Modellen wiederverwendet.
• Pro-Tarif: Verarbeitung ausschließlich in Frankreich, auf ISO/IEC 27001-zertifizierten Servern, außerhalb der Reichweite des US-amerikanischen Cloud Act, mit einem erweiterten DSGVO-Auftragsverarbeitungsvertrag. Konzipiert für Rechtsanwälte, Notare und alle, die vertrauliche Akten bearbeiten.
• Tarife Free und Standard: eine schnelle internationale Infrastruktur, weiterhin ohne Speicherung der Daten.
• Funktioniert überall: Word, Gmail, Notion, Ihr Browser, jedes Textfeld, mit einem einzigen Kürzel auf Windows und Mac.
• Kostenloser Tarif: 2.000 Wörter pro Woche, ohne Kreditkarte.

Häufige Fragen