Datenschutz bei Transkription: Was Sie vor dem Hochladen klären sollten

Warum Aufnahmen datenschutzrechtlich heikel sind

Eine Tonaufnahme ist fast immer ein Bündel personenbezogener Daten. Die Stimme selbst kann eine Person identifizierbar machen, dazu kommen Namen, die im Gespräch fallen, Funktionen, Orte und Meinungen. In einem Teammeeting reicht der Satz „Frau Yilmaz ist ja wieder krankgeschrieben“, und schon steht eine Gesundheitsinformation über eine Dritte im Raum, die gar nicht anwesend war.

Die Datenschutz-Grundverordnung behandelt bestimmte Angaben als besonders schützenswert, darunter Gesundheit, religiöse Überzeugungen, politische Meinungen und Gewerkschaftszugehörigkeit. In Interviews für Forschung, Journalismus oder Personalthemen tauchen solche Angaben häufiger auf, als man vor der Aufnahme denkt.

Mit der Transkription vervielfältigen Sie diese Daten: Aus einer Audiodatei werden eine Textdatei, vielleicht eine Untertiteldatei, eine Kopie im Download-Ordner, ein Anhang in einer E-Mail. Jede dieser Kopien gehört zur Verarbeitung dazu.

Die Aufnahme selbst: Wissen alle Beteiligten Bescheid?

Bevor es um das Transkriptionstool geht, steht eine grundlegendere Frage: War die Aufnahme zulässig? In Deutschland stellt § 201 StGB das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes unter Strafe, Österreich und die Schweiz kennen eigene Strafbestimmungen zu Tonaufnahmen von Gesprächen. Heimlich mitgeschnittene Telefonate oder Besprechungen sind also kein Datenschutz-Detail, sondern ein ernsthaftes Problem.

In der Praxis bewährt sich:

• Vor Beginn ankündigen, dass aufgezeichnet wird, wofür und was mit der Aufnahme passiert.
• Bei Interviews eine schriftliche Einwilligung einholen, die auch die Transkription und gegebenenfalls die Nutzung eines externen Dienstes erwähnt.
• Personen, die nicht aufgenommen werden wollen, eine echte Alternative bieten, etwa Kamera und Mikrofon aus und ein schriftliches Protokoll.
• Bei Beschäftigten bedenken, dass Einwilligungen im Arbeitsverhältnis nur eingeschränkt freiwillig sein können.

Die Datenschutz-Grundverordnung verlangt für jede Verarbeitung eine Rechtsgrundlage. Neben der Einwilligung kommen etwa die Erfüllung eines Vertrags oder ein berechtigtes Interesse in Betracht. Welche davon in Ihrem Fall trägt, ist eine Einzelfallfrage, die Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten klären sollten.

Weitergabe an einen Dienst: Stichwort Auftragsverarbeitung

Wer als Unternehmen, Behörde oder Hochschule einen externen Dienst beauftragt, personenbezogene Daten zu verarbeiten, bewegt sich in der Regel im Bereich der Auftragsverarbeitung. Die DSGVO sieht dafür einen Vertrag vor, der festlegt, was der Dienstleister mit den Daten tun darf, wie er sie schützt und wann er sie löscht.

Für Sie heißt das praktisch: Klären Sie vor dem beruflichen Einsatz eines Transkriptionstools, ob ein solcher Vertrag nötig ist und welche Unterlagen der Anbieter bereitstellt. Das gilt für große Plattformen genauso wie für kleine Web-Apps. Wer privat die eigene Sprachnotiz abschreiben lässt, ist in einer anderen Lage als eine Personalabteilung, die Bewerbungsgespräche verschriftlicht.

Eine allgemeine Einführung, wie Sprachverarbeitung in der Cloud abläuft und welche Fragen man stellen sollte, bietet unser englischer Beitrag zu Datenschutz bei Spracherkennung in der Cloud (Englisch).

Speicherorte: Wo liegen Audio und Text eigentlich?

Viele Datenpannen passieren nicht beim Transkriptionsdienst, sondern drumherum. Zeichnen Sie einmal auf, welchen Weg Ihre Aufnahme nimmt:

• Aufnahmegerät: Smartphone, Diktiergerät, Laptop. Synchronisiert das Gerät automatisch in eine Cloud wie iCloud, Google Drive oder OneDrive?
• Transport: Wird die Datei per Mail, Messenger oder USB-Stick weitergegeben?
• Transkriptionsdienst: Wohin wird die Datei übertragen, wie lange bleibt sie dort, wer hat Zugriff?
• Ergebnis: In welchem Ordner liegt das Transkript, wer kann ihn öffnen, wird er mit anderen geteilt?
• Archiv: Gibt es eine Löschfrist, und hält sich jemand daran?

Fragen Sie bei jedem externen Dienst nach Serverstandort, Speicherdauer und eingesetzten Unterauftragnehmern, besonders wenn Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden könnten. Für Forschungsprojekte lohnt ein Datenmanagementplan, wie ihn der Beitrag zum Forschungsdatenmanagement für Aufnahmen (Englisch) beschreibt.

Datenminimierung: Weniger hochladen, früher anonymisieren

Ein Grundsatz der DSGVO lautet, nur so viele Daten zu verarbeiten, wie für den Zweck nötig sind. Bei Transkriptionen lässt sich das ganz handfest umsetzen:

1. Nur das aufnehmen, was Sie wirklich brauchen. Den Smalltalk vor dem offiziellen Start muss niemand verschriftlichen.
2. Vor dem Upload schneiden: Passagen mit privaten Abschweifungen oder Namen Dritter lassen sich im Audioeditor entfernen.
3. Bei Videos genügt oft der Ton. Wer das Bild nicht braucht, sollte es nicht weitergeben.
4. Im fertigen Transkript Namen, Orte und Arbeitgeber durch Kürzel ersetzen, bevor es geteilt wird.
5. Die Originalaufnahme löschen, sobald das geprüfte Transkript vorliegt und kein Grund mehr besteht, sie aufzubewahren.

Original: „Ich habe mit Thomas Brandner von den Stadtwerken Graz gesprochen.“
Pseudonymisiert: „Ich habe mit [Person B] von [Versorger, Stadt in Österreich] gesprochen.“

Beachten Sie, dass Pseudonymisierung die Daten nicht automatisch anonym macht. Solange sich über Kontext oder eine Schlüsselliste rekonstruieren lässt, wer gemeint ist, bleiben es personenbezogene Daten.

KI-Meetingprotokolle im Unternehmen

Automatische Meetingprotokolle sind beliebt, und genauso verbreitet ist die Unsicherheit, wie sich ein KI-Meetingprotokoll mit der DSGVO verträgt. Grundsätzlich gibt es zwei Modelle: Ein Assistent nimmt live an der Videokonferenz teil, oder jemand lädt die Aufzeichnung nachträglich in ein Tool. Beim zweiten Modell behalten Sie mehr Kontrolle, weil Sie vor dem Upload entscheiden, was hineingeht.

Unabhängig vom Modell sollten Sie im Unternehmen einige Punkte ansprechen:

• Teilnehmende vorab informieren, idealerweise schon in der Einladung, und den Zweck nennen.
• Mit dem Betriebsrat sprechen, falls es einen gibt. In Deutschland hat er bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können, ein Mitbestimmungsrecht.
• Vertrauliche Runden wie Personalgespräche oder Betriebsratssitzungen bewusst ausnehmen.
• Festlegen, wer das Protokoll erhält und wann Aufnahme und Transkript gelöscht werden.

Wie aus einer Aufnahme ein brauchbares Protokoll wird, beschreibt der Artikel Meeting-Protokoll aus einer Aufnahme erstellen.

Was mydubly technisch macht und was nicht

mydubly ist so gebaut, dass möglichst wenig Daten den eigenen Rechner verlassen. Die folgenden Punkte sind die überprüfbaren Fakten:

Videodatei

bleibt im Browser; der Browser trennt den Ton ab, nur die Audiospur wird verarbeitet

Übertragung

per HTTPS

Löschung

hochgeladene Audiodateien und Ergebnisse werden innerhalb von 30 Minuten nach Abschluss des Auftrags vom Server gelöscht

Übersetzte Videos

werden im Browser wieder zusammengesetzt

Abbruch

Schließen des Tabs bricht den Auftrag ab

Genauso klar sind die Grenzen: mydubly nimmt nicht an Videokonferenzen teil, hat keine Anbindung an Zoom, Teams oder Meet und anonymisiert nichts automatisch. Wir behaupten weder eine Zertifizierung noch eine Bestätigung, dass der Dienst bestimmte Datenschutzgesetze erfüllt; diese Bewertung liegt bei Ihnen beziehungsweise Ihrer Organisation. Die Audiodaten werden auf einem Server verarbeitet, nicht ausschließlich auf Ihrem Gerät. Mehr zum Aufbau lesen Sie auf der Seite Private Videoübersetzung (Englisch) und im Beitrag über Videoverarbeitung im Browser und Privatsphäre (Englisch).

Checkliste vor dem Upload

1. Haben alle Aufgenommenen von der Aufnahme gewusst und, wo nötig, eingewilligt?
2. Deckt die Einwilligung oder Rechtsgrundlage auch die Transkription durch einen externen Dienst ab?
3. Ist geklärt, ob ein Vertrag zur Auftragsverarbeitung nötig ist?
4. Enthält die Aufnahme besondere Kategorien von Daten, etwa Gesundheit? Dann besonders sorgfältig prüfen.
5. Haben Sie überflüssige Passagen vor dem Upload entfernt?
6. Wissen Sie, wo das Transkript gespeichert wird und wer Zugriff hat?
7. Steht fest, wann Aufnahme und Transkript gelöscht werden?

Wenn Sie bei einem Punkt zögern, ist das der richtige Moment für eine Rückfrage bei der Datenschutzstelle, nicht erst nach der Veröffentlichung. Für Interviews in Abschlussarbeiten finden Sie weitere Hinweise im Artikel Interview transkribieren: Regeln.