10. März 2026Aktualisiert am 17. August 202610 Min. Lesezeit

DSGVO und Transkription: Was Unternehmen wissen müssen

Wer Meetings aufzeichnet, Interviews transkribiert oder Diktate verarbeitet, verarbeitet personenbezogene Daten. Stimmen, Namen, Meinungen, manchmal Gesundheitsdaten oder Geschäftsgeheimnisse - all das fällt unter die Datenschutz-Grundverordnung (DSGVO). Trotzdem nutzen viele Unternehmen Transkriptionsdienste, ohne die rechtlichen Anforderungen zu kennen.

Dieser Artikel erklärt, welche Pflichten gelten, wo die häufigsten Fehler liegen und wie Sie Transkription datenschutzkonform einsetzen. Am Ende beantworten wir die Fragen, die zu diesem Thema am häufigsten gestellt werden: Wann darf die Audiodatei gelöscht werden, welche Dokumentation ist Pflicht, und was gilt für Meetings, Arztgespräche und US-Anbieter. Stand: August 2026.

Warum Audio-Aufnahmen besonders sensibel sind

Audio-Aufnahmen enthalten biometrische Merkmale (Stimme), oft Namen und regelmäßig inhaltlich sensible Informationen. In Deutschland ist das nicht-öffentlich gesprochene Wort zusätzlich durch § 201 StGB geschützt, in Österreich durch § 120 StGB. Eine Aufnahme ohne Wissen der Beteiligten kann daher strafbar sein.

Die DSGVO klassifiziert die Verarbeitung von Audio-Daten als Verarbeitung personenbezogener Daten nach Art. 4 Nr. 2. Das bedeutet: Jede Aufzeichnung, Speicherung und Transkription braucht eine Rechtsgrundlage.

Rechtsgrundlagen für die Transkription

Die sicherste Rechtsgrundlage für Transkriptionen ist die ausdrückliche Einwilligung aller Beteiligten nach Art. 6 Abs. 1 lit. a DSGVO. Alternativen wie berechtigtes Interesse oder Vertragserfüllung sind in der Praxis schwer durchsetzbar, da Gerichte manuelle Protokolle als milderes Mittel werten.

Art. 6 Abs. 1 DSGVO nennt mehrere mögliche Rechtsgrundlagen. Für Transkriptionen sind drei relevant:

Einwilligung (Art. 6 Abs. 1 lit. a) - Die sicherste Grundlage. Alle Beteiligten müssen vor der Aufnahme informiert werden und aktiv zustimmen. Die Einwilligung muss freiwillig, informiert und widerrufbar sein.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) - Theoretisch möglich, in der Praxis schwierig. Gerichte und Datenschutzbehörden argumentieren, dass manuelle Protokolle ein milderes Mittel sind.
Vertragserfüllung (Art. 6 Abs. 1 lit. b) - Nur in Ausnahmefällen tragfähig, etwa wenn die Transkription ausdrücklich Vertragsbestandteil ist.

Praxis-Empfehlung: Holen Sie immer eine ausdrückliche Einwilligung ein. Bei Meetings sollte dies schriftlich in der Einladung und mündlich zu Beginn geschehen.

Besondere Kategorien: Gesundheitsdaten und mehr

Enthalten Aufnahmen Gesundheitsdaten (ärztliche Diktate), Gewerkschaftszugehörigkeit oder religiöse Überzeugungen, greift Art. 9 DSGVO. Diese besonderen Kategorien erfordern eine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a) oder einen anderen Erlaubnistatbestand - etwa die Behandlung durch Berufsgeheimnisträger (lit. h). Eine stillschweigende Zustimmung reicht nicht.

Transparenzpflichten: Was Sie mitteilen müssen

Art. 13 und 14 DSGVO verpflichten Unternehmen, Betroffene vor der Aufnahme umfassend zu informieren:

Dass und zu welchem Zweck die Aufnahme und Transkription erfolgt
Wie lange Aufnahmen und Transkripte gespeichert werden
Wer Zugriff auf die Daten erhält (intern und extern)
Ob ein Drittanbieter (Transkriptionsdienst) eingesetzt wird
Welche Rechte die Betroffenen haben (Auskunft, Löschung, Widerspruch)

Das Problem mit Cloud-Transkriptionsdiensten

Viele Transkriptionstools verarbeiten Audio auf Servern außerhalb der EU. Das ist datenschutzrechtlich problematisch:

Drittlandtransfer: Ohne angemessenes Schutzniveau (Angemessenheitsbeschluss, Standardvertragsklauseln) ist die Übermittlung unzulässig.
Auftragsverarbeitung: Der Transkriptionsdienst ist Auftragsverarbeiter nach Art. 28 DSGVO - ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht.
Zugriff durch Anbieter: Bei serverseitiger Verarbeitung hat der Anbieter Zugriff auf den Klartext - ein Risiko, das viele Unternehmen unterschätzen.

Die sicherste Lösung: Clientseitige Verschlüsselung

Clientseitige Verschlüsselung ist die stärkste technische Schutzmaßnahme nach Art. 32 DSGVO. Audio-Dateien werden im Browser verschlüsselt, bevor sie den Server erreichen. Selbst bei einem Datenleck beim Anbieter sind die Daten ohne den Schlüssel des Nutzers wertlos.

Bei clientseitiger Verschlüsselung werden Audio-Dateien bereits im Browser verschlüsselt, bevor sie den Server erreichen. Das Transkript wird ebenfalls verschlüsselt gespeichert - selbst der Anbieter kann die gespeicherten Inhalte nicht lesen.

Für die DSGVO bedeutet das: Selbst bei einem Datenleck beim Anbieter sind die Daten wertlos, weil sie ohne den Schlüssel des Nutzers nicht entschlüsselt werden können. Das ist die stärkste technische Maßnahme nach Art. 32 DSGVO.

Checkliste für datenschutzkonforme Transkription

Einwilligung aller Beteiligten vor der Aufnahme einholen
Zweck und Speicherdauer dokumentieren
Auftragsverarbeitungsvertrag mit dem Anbieter abschließen
Prüfen, wo die Daten verarbeitet und gespeichert werden (EU vs. Drittland)
Verschlüsselung sicherstellen - idealerweise clientseitig
Löschkonzept festlegen: Wann werden Aufnahmen und Transkripte gelöscht?
Betroffenenrechte gewährleisten (Auskunft, Löschung, Widerspruch)
Verarbeitungsverzeichnis nach Art. 30 DSGVO pflegen

Fazit

Transkription ohne Datenschutz ist ein rechtliches Risiko. Die DSGVO stellt klare Anforderungen an Einwilligung, Transparenz und technische Schutzmaßnahmen. Unternehmen, die Audio-Aufnahmen verarbeiten, sollten ihren Transkriptionsdienst sorgfältig prüfen - insbesondere, ob der Anbieter Zugriff auf den Klartext hat und wo die Daten gespeichert werden.

Wer Besprechungen aufzeichnet, findet die konkrete Umsetzung - Protokoll, Aufgaben und Transkript ohne Meeting-Bot, verschlüsselt in Österreich - auf unserer Seite zu KI-Meeting-Protokollen. Alle Pläne starten mit 14 kostenlosen Tagen, Details auf der Preisseite.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Häufige Fragen

Wann kann ich die Audiodatei nach der Transkription löschen?

Sie können die Audiodatei löschen, sobald der Zweck der Aufnahme erfüllt ist - in der Regel also, wenn das Transkript vorliegt und freigegeben wurde. Die DSGVO verlangt Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es der Zweck erfordert. Praktisch heißt das: Legen Sie im Löschkonzept eine feste Frist fest (z. B. 30 Tage nach Freigabe des Transkripts) und löschen Sie die Aufnahme danach automatisch. Länger aufbewahren dürfen Sie nur, wenn ein konkreter Grund besteht - etwa eine gesetzliche Aufbewahrungspflicht oder ein dokumentiertes berechtigtes Interesse wie die Beweissicherung. Das Transkript ist meist das schlankere Dokument: Es enthält die Stimme nicht mehr - eine Aufnahme lässt sich per Stimmerkennung eindeutig einer Person zuordnen und kann so zu biometrischen Daten im Sinne von Art. 9 DSGVO werden - und lässt sich leichter anonymisieren.

Welche Dokumentationspflichten habe ich bei der Transkription?

Vier Dinge sollten dokumentiert sein: (1) Ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO - Zweck, Kategorien der Betroffenen und der Daten, Empfänger (z. B. der Transkriptionsanbieter), Löschfristen und technisch-organisatorische Maßnahmen; die Rechtsgrundlage gehört nicht zum Pflichtinhalt, die Aufsichtsbehörden empfehlen aber, sie mit aufzunehmen. (2) Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter, sofern dieser Zugriff auf die Daten hat oder haben könnte. (3) Der Nachweis, dass die Betroffenen informiert wurden (Art. 13 DSGVO) und - falls die Verarbeitung auf Einwilligung beruht - die Einwilligung selbst (Art. 7 Abs. 1 DSGVO). (4) Bei umfangreicher Verarbeitung sensibler Daten, etwa Gesundheitsdaten in Praxen oder Studien, zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Die Ausnahme vom Verarbeitungsverzeichnis für Unternehmen unter 250 Beschäftigten (Art. 30 Abs. 5) greift bei regelmäßiger Transkription praktisch nie: Sie entfällt, sobald nicht nur gelegentlich verarbeitet wird oder Gesundheitsdaten im Spiel sind.

Meeting aufzeichnen und transkribieren: Was gilt für Einwilligung und Datenschutz?

Für die Aufnahme selbst gilt: in aller Regel brauchen Sie die Zustimmung aller Beteiligten. Das nicht-öffentlich gesprochene Wort ist strafrechtlich geschützt: In Deutschland ist schon die heimliche Aufnahme strafbar (§ 201 StGB) - auch durch einen Gesprächsteilnehmer. In Österreich (§ 120 StGB) ist die Aufnahme eines Gesprächs, an dem man selbst teilnimmt, zwar nicht strafbar, wohl aber die Weitergabe oder Veröffentlichung ohne Einverständnis der Sprechenden - und dazu kann schon das Hochladen zu einem Transkriptionsdienst zählen. Alle Beteiligten müssen deshalb vorher wissen, dass aufgezeichnet wird, und zustimmen können. Datenschutzrechtlich braucht die Verarbeitung zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO: bei externen Gesprächspartnern meist die Einwilligung (Art. 6 Abs. 1 lit. a); bei internen Arbeitsmeetings kommt ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f) in Betracht, ist aber angreifbar - Aufsichtsbehörden verweisen auf das schriftliche Protokoll als milderes Mittel; die Einwilligung bleibt der sichere Weg. Vorsicht bei Einwilligungen von Beschäftigten: Sie sind nur wirksam, wenn sie wirklich freiwillig sind; in Deutschland und Österreich regeln solche Fragen häufig Betriebsvereinbarungen (§ 87 Abs. 1 Nr. 6 BetrVG bzw. § 96 ArbVG). Bewährte Praxis: Aufnahme in der Einladung und zu Beginn ankündigen, Zweck, Speicherdauer und eingesetzten Anbieter nennen, Widerspruch ermöglichen - und nach der Transkription die Aufnahme löschen.

Woran erkenne ich eine DSGVO-konforme Transkriptionssoftware?

An fünf überprüfbaren Merkmalen: Verarbeitung und Speicherung in der EU; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; keine Nutzung Ihrer Aufnahmen zum Training von KI-Modellen; Verschlüsselung bei Übertragung und Speicherung - am stärksten clientseitig, sodass der Anbieter den Klartext nie sieht (Zero-Knowledge); und eine Löschfunktion, die Aufnahmen und Transkripte wirklich entfernt. Dazu kommen Zugriffskontrolle, Protokollierung und Unterstützung bei Ihrer Datenschutz-Folgenabschätzung (Art. 28 Abs. 3 lit. f DSGVO). Ein gesetzlich vorgeschriebenes DSGVO-Gütesiegel für Software gibt es nicht - konform ist die Verarbeitung, nicht das Produkt; freiwillige Zertifizierungen nach Art. 42 DSGVO können ein Indiz sein. Wer die genannten Punkte belegen kann, erfüllt in der Regel die Anforderungen an technische und organisatorische Maßnahmen nach Art. 32 DSGVO - maßgeblich bleibt aber immer das konkrete Risiko Ihrer Verarbeitung.

Sind US-Cloud-Transkriptionsdienste DSGVO-konform nutzbar?

Rechtlich möglich, aber mit Auflagen und Restrisiko. Datenübermittlungen in die USA sind seit Juli 2023 auf Basis des EU-US Data Privacy Framework zulässig, wenn der Anbieter dort zertifiziert ist. Das Framework wurde vom Gericht der EU im September 2025 bestätigt; ein Rechtsmittel beim EuGH ist aber anhängig, und ein US-Supreme-Court-Urteil vom Juni 2026 zur Unabhängigkeit der FTC hat neue Zweifel geweckt (Stand August 2026). Ohne Zertifizierung braucht es Standardvertragsklauseln plus Transfer-Folgenabschätzung. In jedem Fall gilt: Auftragsverarbeitungsvertrag abschließen, prüfen, ob Aufnahmen zu Trainingszwecken genutzt werden, und bedenken, dass der Anbieter den Klartext Ihrer Gespräche verarbeitet. Für sensible Inhalte - Gesundheitsdaten, Mandanteninformationen, Geschäftsgeheimnisse - ist die Verarbeitung in der EU ohne Klartext-Zugriff des Anbieters die deutlich risikoärmere Wahl.

Dürfen Arzt- oder Therapiegespräche transkribiert werden?

Ja, aber unter strengeren Voraussetzungen. Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO; ihre Verarbeitung braucht einen Erlaubnistatbestand nach Art. 9 Abs. 2 - typischerweise die ausdrückliche Einwilligung (lit. a) oder die Behandlung durch Berufsgeheimnisträger (lit. h in Verbindung mit Abs. 3). Dazu kommt die berufliche Schweigepflicht (in Deutschland § 203 StGB, in Österreich § 54 Ärztegesetz bzw. für Psychotherapeutinnen und Psychotherapeuten das Psychotherapiegesetz): Ein externer Transkriptionsanbieter darf nur eingebunden werden, wenn er vertraglich zur Vertraulichkeit verpflichtet ist und der Zugriff auf das Nötige beschränkt bleibt. Technisch minimiert clientseitige Verschlüsselung das Risiko am stärksten, weil der Anbieter die Inhalte gar nicht lesen kann. Für größere Praxen, Kliniken und Forschungseinrichtungen ist außerdem häufig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO angezeigt; bei einer Einzelpraxis ist sie nicht zwingend, beim Einsatz von KI-Tools aber empfehlenswert.

Ist KI-Transkription DSGVO-konform?

Ja, wenn die Verarbeitung die Regeln der DSGVO einhält - die Technik selbst ist weder erlaubt noch verboten. Konkret braucht es eine Rechtsgrundlage für die Sprachaufzeichnung und die Transkription (Art. 6, bei Gesundheitsdaten Art. 9 DSGVO), die Information der Beteiligten (Art. 13), einen Auftragsverarbeitungsvertrag mit dem Anbieter (Art. 28), technische Schutzmaßnahmen wie Verschlüsselung (Art. 32) und ein Löschkonzept (Art. 5 Abs. 1 lit. e). Entscheidend ist außerdem, ob die KI in der EU oder in einem Drittland rechnet und ob der Anbieter Ihre Aufnahmen zum Training seiner Modelle verwendet - beides muss der Anbieter offenlegen. Verantwortlich bleibt dabei immer das Unternehmen, das die Aufnahme veranlasst und über ihren Zweck entscheidet, nicht der Anbieter des Konferenz- oder Transkriptionstools.

Wie lange darf ich Transkripte aufbewahren?

So lange, wie der Zweck es erfordert - und nicht länger als nötig (Art. 5 Abs. 1 lit. e DSGVO). Gesetzliche Aufbewahrungsfristen gelten nur, wenn das Transkript selbst ein aufbewahrungspflichtiges Dokument ist, etwa als Geschäftskorrespondenz oder Buchungsbeleg: in Deutschland sechs Jahre für Geschäftsbriefe, acht Jahre für Buchungsbelege (seit 2025) und zehn Jahre für Bücher und Jahresabschlüsse (§ 257 HGB, § 147 AO), in Österreich sieben Jahre (§ 132 BAO). Ein gewöhnliches Meeting-Protokoll fällt meist nicht darunter; hier bestimmt Ihr Löschkonzept die Frist. Empfehlung: Transkript behalten, solange es als Arbeitsgrundlage dient; personenbezogene Passagen anonymisieren, sobald sie nicht mehr gebraucht werden; die zugrunde liegende Aufnahme früher löschen als das Transkript.