Ein Mandantengespräch, eine Anamnese, eine Schadensaufnahme: Du sprichst etwas Vertrauliches ein und willst sauberen Text daraus. Bevor du über Software nachdenkst, lohnt eine unbequeme Frage – und zwar nicht nur, ob deine Aufnahme in eine Cloud wandert, sondern wessen Recht darauf zugreifen darf. Genau daran entscheidet sich eine DSGVO-konforme Transkription: weniger am Funktionsumfang, mehr daran, wo deine Audiodaten landen und wer dort mitreden kann.

„DSGVO-konform” ist kein Häkchen

Sobald eine Aufnahme Namen, Stimmen oder Gesundheitsdaten enthält, verarbeitest du personenbezogene Daten, und die DSGVO gilt. Rechtsgrundlage, Zweckbindung, Löschfristen, Schutzmaßnahmen: Das bleibt deine Aufgabe, egal welche App du nimmst. Eine Sache aber verschiebt sich mit der Technik, und sie wiegt schwerer als der Rest: ob die Aufnahme deinen Verantwortungsbereich überhaupt verlässt.

Der eigentliche Knackpunkt: Wessen Recht greift auf deine Aufnahme zu?

Schickst du Audio an einen Cloud-Dienst, der in den USA sitzt oder zu einem US-Konzern gehört, überträgst du Daten in ein Drittland. Zulässig ist das nur unter den Bedingungen von Kapitel V der DSGVO – in der Praxis meist über einen Angemessenheitsbeschluss der EU-Kommission.

Und der ist historisch nervös. 2015 kippte der EuGH das „Safe Harbour”-Abkommen (Schrems I), 2020 den Nachfolger „Privacy Shield” (Schrems II). Seit 2023 gilt das Data Privacy Framework, und auch das steht schon wieder auf der Kippe: Ende Juni 2026 entschied der US Supreme Court, dass die Handelsaufsicht FTC nicht unabhängig vom Präsidenten sein darf. Dumm nur, dass sich der EU-Beschluss genau auf diese Unabhängigkeit stützt, hunderte Male. Schrems’ Organisation noyb kündigte prompt die nächste Klage vor dem EuGH an.

Man muss kein Jurist sein, um das Muster zu erkennen: Jedes dieser Konstrukte hielt ein paar Jahre, dann fiel es. Wer heute vertrauliche Aufnahmen in einer US-Cloud transkribieren lässt, baut auf einer Rechtsgrundlage mit eingebautem Ablaufdatum.

„Aber die Server stehen doch in Europa”

Der häufigste Einwand, und leider kein Ausweg. Der US CLOUD Act verpflichtet US-Unternehmen, Daten an US-Behörden herauszugeben, ganz gleich, wo die Server stehen. Das Gesetz folgt dem Unternehmen, nicht dem Standort. Ein Frankfurter Rechenzentrum, das einem US-Hyperscaler gehört, liegt geografisch in der EU, rechtlich aber eben nicht nur.

Dazu kommt ein Detail, das die DSGVO besonders sauer aufstößt: Bei solchen Zugriffen darf der Anbieter die Betroffenen oft nicht einmal informieren. Transparenz, eigentlich eine Kernpflicht der Verordnung, läuft dann ins Leere. Ein EU-Label auf dem Serverschrank ändert daran wenig.

On-Device: das Problem gar nicht erst haben

Die eleganteste Lösung für ein Transfer-Problem ist, keinen Transfer zu haben. Läuft die Umwandlung von Sprache zu Text direkt auf dem Gerät, verlässt die Aufnahme deinen Verantwortungsbereich nicht. Kein Drittland, kein Angemessenheitsbeschluss, an dem deine Compliance hängt, keine CLOUD-Act-Frage für diesen Schritt. Warum lokale Verarbeitung der sauberere Ausgangspunkt ist, steht ausführlicher unter warum lokal und bei der lokalen Spracherkennung.

So arbeitet Bygmind: Transkription auf dem Gerät, in über 25 Sprachen, ohne Konto. „On-Device” heißt dabei nicht „serverlos um jeden Preis” – ein Sync über Bygmind Cloud oder deinen eigenen Server ist möglich, aber deine Entscheidung. Der Unterschied ist, dass offline der Normalfall ist und nicht die Notlösung.

Aufnehmen bleibt trotzdem erlaubnispflichtig

Ein Missverständnis, das sich hartnäckig hält: „Wenn alles lokal bleibt, darf ich alles.” Nein. Lokal geregelt ist das Wo der Verarbeitung, nicht das Ob der Aufnahme. Das nichtöffentlich gesprochene Wort ist eigens geschützt; wer es ohne Erlaubnis mitschneidet, riskiert eine Strafbarkeit nach § 201 StGB. Für die Aufnahme selbst brauchst du also eine saubere Grundlage, in der Regel eine Einwilligung. Das nimmt dir keine Technik ab.

Für wen das besonders zählt

Am deutlichsten wird der Unterschied bei Berufen mit Schweigepflicht. Wer Berufsgeheimnisse an einen Dritten weitergibt, muss § 203 StGB beachten – und ein Cloud-Anbieter ist ein solcher Dritter. Seit der Reform 2017 erlaubt § 203 das Einbinden externer IT-Dienstleister zwar ausdrücklich, aber nur unter Vertrag und Bedingungen. Lokale Verarbeitung lässt diesen Aufwand gar nicht erst entstehen. In der Arztpraxis bei der Anamnese, in der Anwaltskanzlei beim Mandantengespräch oder bei sensiblen Schadensdaten in der Versicherung ist es schlicht ruhiger, wenn die Aufnahme das Haus nie verlässt.

Checkliste: DSGVO-konforme Transkription in der Praxis

  • Rechtsgrundlage bzw. Einwilligung für die Aufnahme geklärt (§ 201 StGB)?
  • Läuft die Transkription lokal, oder wandert Audio in eine Cloud?
  • Falls Cloud: US-Anbieter oder US-Mutterkonzern? Dann Drittland- und CLOUD-Act-Frage prüfen – der Serverstandort allein reicht nicht.
  • Kein Konto, das im Hintergrund Daten abzieht?
  • Geräteverschlüsselung und Zugriffsschutz aktiv?
  • Löschkonzept und Aufbewahrungsfrist definiert?
  • Besondere Datenkategorien wie Gesundheitsdaten berücksichtigt?

Fazit

Das größte Datenschutzrisiko bei Transkription steckt selten in einer Software-Funktion, sondern in der Frage, wessen Recht deine Aufnahme erreicht. Solange sie in eine US-nahe Cloud fließt, hängst du an Abkommen, die schon zweimal gerissen sind, und an einem Serverstandort, der weniger schützt, als er verspricht. On-Device-Verarbeitung nimmt dir diese Abhängigkeit ab. Den Rest der DSGVO nimmt sie dir nicht ab, aber der wird spürbar übersichtlicher.

Dieser Beitrag ordnet ein und ist keine Rechtsberatung. Für deinen konkreten Fall hilft fachkundiger Rat.