Wer Meetings transkribieren lässt, verarbeitet fremde Stimmen — und braucht dafür einen AVV nach Art. 28 DSGVO. Diese Seite zeigt, welche Angaben darin stehen müssen, und nennt für BonusVoice jeden Unterauftragnehmer mit Zweck, Anschrift und Serverstandort.
In einer Meeting-Aufnahme steckt mehr als der Inhalt: Stimmen sind personenbezogene Daten, und meist sind Menschen zu hören, die den Anbieter nie gewählt haben — Kunden, Bewerber, Kollegen. Wer eine Transkriptions-Software einsetzt, bleibt für diese Daten verantwortlich und braucht deshalb nach Art. 28 DSGVO einen Vertrag mit dem Anbieter. Ohne AVV ist der Einsatz nicht rechtmäßig, unabhängig davon, wie gut das Werkzeug ist.
Art. 28 Abs. 3 DSGVO nennt die Pflichtbestandteile: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der Daten und Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen nach Art. 32, Regeln zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten, Meldepflichten, Löschung oder Rückgabe am Ende sowie Nachweis- und Prüfrechte. Fehlt einer dieser Punkte, ist der Vertrag unvollständig — auch wenn er lang ist.
Erstens: Werden die Unterauftragnehmer namentlich mit Anschrift genannt, oder steht dort nur eine Liste im Kundenportal, die sich jederzeit ändern kann? Zweitens: Wo genau liegen die Audio-Dateien, und wo läuft das KI-Modell? Das sind zwei verschiedene Orte, und viele Anbieter beantworten nur den ersten. Drittens: Werden die übermittelten Inhalte zum Modelltraining verwendet? Diese Frage gehört in den Vertrag, nicht in eine Marketingaussage.
Hetzner Online GmbH, Gunzenhausen — Hosting und Object Storage, Serverstandort Deutschland, hier liegen Audio-Dateien und Transkripte. Mistral AI, Paris — die gesamte KI-Verarbeitung, also Transkription, Zusammenfassung, Übersetzung und Anonymisierung, Serverstandort Frankreich. ALL-INKL.COM, Friedersdorf — E-Mail-Versand, Serverstandort Deutschland. Stripe Payments Europe, Dublin — ausschließlich Zahlungsabwicklung; an Stripe gehen keinerlei Audio-, Transkript- oder Inhaltsdaten. Optional und nur bei aktiver Wahl: Google Ireland für die Google-Anmeldung sowie Expo, Apple und Google für Push-Nachrichten der Mobil-App.
Mistral AI verwendet die übermittelten Audio-Dateien, Transkripte und Zusammenfassungen nicht zum Training, Fine-Tuning oder zur sonstigen Verbesserung der Modelle. Das steht nicht nur in unseren Rechtstexten, sondern ist Bestandteil des mit Mistral AI geschlossenen Auftragsverarbeitungsvertrags. Der Unterschied ist wesentlich: Eine Aussage auf einer Website kann sich ändern, eine Vertragspflicht nicht einseitig.
Inhaltsdaten verlassen die EU nicht. Speicherung und KI-Verarbeitung finden ausschließlich in Deutschland und Frankreich statt. Ausnahmen gibt es außerhalb der Inhalte: Bei der Zahlungsabwicklung können je nach Zahlungsart verbundene Stripe-Gesellschaften eingebunden sein, abgesichert über EU-US Data Privacy Framework und Standardvertragsklauseln. Bei Push-Nachrichten der Mobil-App können technische Zustellungsdaten außerhalb des EWR verarbeitet werden — Inhalte gehen über diesen Kanal nicht. Wir nennen diese Ausnahmen lieber, als sie in einem Pauschalsatz verschwinden zu lassen.
Jede beabsichtigte Hinzuziehung oder Ersetzung wird vorab in Textform mitgeteilt. Innerhalb von 14 Tagen kann aus wichtigem datenschutzrechtlichem Grund Einspruch erhoben werden. Ohne fristgerechten Einspruch gilt die Änderung als genehmigt; bei begründetem Einspruch suchen beide Seiten eine Lösung, andernfalls kann der betroffene Dienstteil gekündigt werden.
AVV, AGB und Datenschutzerklärung liegen auch auf Englisch vor. Das ist relevant, sobald eine Konzernmutter, eine Rechtsabteilung im Ausland oder ein Lieferantenfragebogen die Unterlagen prüft. Beide Fassungen sind ohne Anmeldung abrufbar; im Konto stehen zusätzlich die technischen und organisatorischen Maßnahmen.
Ein unterschriebener AVV ist die Grundlage, nicht der Nachweis. Er sagt nichts darüber, ob im Meeting alle Beteiligten über die Aufnahme informiert wurden, ob es eine Rechtsgrundlage für die Aufnahme gibt, ob ein Betriebsrat zu beteiligen ist und ob die Aufbewahrungsdauer zum eigenen Löschkonzept passt. Diese Punkte bleiben beim Verantwortlichen — also beim einsetzenden Unternehmen.
Ja, in aller Regel schon. Sobald Sie den Dienst geschäftlich nutzen und darin personenbezogene Daten vorkommen, liegt eine Auftragsverarbeitung vor — und das ist schon bei einem Diktat der Fall, in dem Kundennamen oder Vorgänge genannt werden. Ausschließlich private Nutzung fällt nicht unter die DSGVO, geschäftliche Nutzung praktisch immer.
Das sind zwei verschiedene Orte, und beide sind benannt. Audio-Dateien und Transkripte liegen bei Hetzner in Deutschland. Die KI-Verarbeitung — Transkription, Zusammenfassung, Übersetzung und Anonymisierung — läuft bei Mistral AI in Paris. Beides innerhalb der EU, ohne Umweg über eine US-Cloud.
Ja. AVV, AGB und Datenschutzerklärung liegen in deutscher und englischer Fassung vor und sind ohne Anmeldung abrufbar. Das reicht üblicherweise für Lieferantenfragebögen und Prüfungen durch eine ausländische Rechtsabteilung.
Nein. Mistral AI verwendet die übermittelten Audio-Dateien, Transkripte und Zusammenfassungen nicht zum Training, Fine-Tuning oder zur Modellverbesserung. Das ist Bestandteil des Auftragsverarbeitungsvertrags mit Mistral AI, nicht bloß eine Aussage auf einer Website.
Nein. Stripe ist ausschließlich für die Zahlungsabwicklung zuständig und erhält Zahlungsdaten. Audio-Dateien, Transkripte, Zusammenfassungen oder sonstige Inhaltsdaten werden nicht an Stripe übermittelt.
Im laufenden System werden die Daten nach Ablauf der dreitägigen Widerrufsfrist gelöscht. Verschlüsselte Sicherungskopien werden spätestens 30 Tage nach der Kontolöschung automatisch entfernt und in der Zwischenzeit nicht zur Erbringung des Dienstes verwendet. Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben davon unberührt.
Ja, und das bleibt Ihre Aufgabe — kein AVV nimmt sie Ihnen ab. Für die Aufnahme brauchen Sie eine Rechtsgrundlage und müssen die Betroffenen informieren. In vielen Unternehmen kommt eine Beteiligung des Betriebsrats hinzu. Der AVV regelt das Verhältnis zwischen Ihnen und uns, nicht das zwischen Ihnen und den Aufgenommenen.
Beide Dokumente sind ohne Konto abrufbar. Prüfen Sie zuerst, ob die Angaben zu Ihren Anforderungen passen — und legen Sie erst danach ein Konto an.
Kostenlos testen