Julian KisselEin Auftragsverarbeitungsvertrag ist kein Formular, das man ablegt, damit es abgelegt ist. Er ist die Stelle, an der Sie festschreiben, was ein Dienstleister mit Ihren Aufnahmen tun darf und was nicht. Bei Transkription geht es dabei um Sprachaufnahmen, und damit um eine der aufschlussreichsten Datenarten überhaupt: eine Stimme ist biometrisch identifizierbar, ein Besprechungsmitschnitt enthält Namen, Meinungen und Geschäftsgeheimnisse, ein Arzt-Patienten-Gespräch Gesundheitsdaten nach Art. 9 DSGVO.
Dieser Artikel geht die Pflichtinhalte aus Art. 28 Abs. 3 DSGVO durch, benennt die Stellen, an denen die AVV von Transkriptionsanbietern in der Praxis regelmäßig reißen, und schließt mit einer Prüfliste, die Sie im Anbietervergleich abhaken können.
Wann Sie einen AVV brauchen, und wann Sie schon einen haben müssten
Sie brauchen ihn, sobald ein Dienstleister personenbezogene Daten für Sie und nach Ihren Weisungen verarbeitet. Das ist bei Transkription der Regelfall: Sie entscheiden, welche Aufnahme verarbeitet wird und wozu, der Anbieter führt aus.
Drei Missverständnisse halten sich hartnäckig:
"Wir nutzen nur die kostenlose Version." Der Preis spielt für Art. 28 keine Rolle. Ein kostenloses Tool, in das Sie eine Besprechungsaufnahme hochladen, verarbeitet personenbezogene Daten in Ihrem Auftrag. Ohne AVV ist die Verarbeitung nicht rechtmäßig, und zwar unabhängig davon, ob Geld geflossen ist.
"Es war nur ein Interview." Art. 28 kennt keine Bagatellgrenze. Eine einzelne Aufnahme reicht.
"Der Anbieter ist DSGVO-konform, das steht auf der Website." Eine Selbstauskunft ist kein Vertrag. Die Nachweispflicht liegt nach Art. 5 Abs. 2 DSGVO bei Ihnen als Verantwortlichem, und im Prüffall legen Sie den Vertrag vor, nicht den Screenshot einer Landingpage.
Umgekehrt gibt es einen Fall, in dem ein AVV das falsche Instrument ist: Wenn der Anbieter die Zwecke der Verarbeitung selbst festlegt, etwa weil er Ihre Aufnahmen zum Trainieren eigener Modelle nutzt, handelt er insoweit als eigener Verantwortlicher. Art. 28 Abs. 10 DSGVO ist dafür eindeutig. Ein AVV, der dem Anbieter gleichzeitig Modelltraining erlaubt, beschreibt also nicht mehr die Konstellation, für die er gedacht ist. Genau das steht in mehr Verträgen, als man erwartet, meist in einer Klausel über "Verbesserung der Dienste".
Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegen, dazu die Rechte und Pflichten des Verantwortlichen. Und er muss den Auftragsverarbeiter auf zehn Punkte verpflichten:
| # | Pflicht | Was das bei Transkription konkret heißt |
|---|---|---|
| 1 | Verarbeitung nur auf dokumentierte Weisung (lit. a) | Transkribieren ja, Auswerten für eigene Zwecke nein. Auch eine Übermittlung in ein Drittland nur auf Weisung oder gesetzliche Pflicht |
| 2 | Vertraulichkeit der eingesetzten Personen (lit. b) | Alle Mitarbeitenden mit Zugriff sind zur Vertraulichkeit verpflichtet, auch Administratoren |
| 3 | Sicherheitsmaßnahmen nach Art. 32 (lit. c) | Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle, Protokollierung. Als konkrete Maßnahmenliste, nicht als Absichtserklärung |
| 4 | Sub-Auftragsverarbeiter nur nach Abs. 2 und 4 (lit. d) | Namentliche Liste, Vorabinformation bei Änderung, Widerspruchsrecht |
| 5 | Unterstützung bei Betroffenenrechten (lit. e) | Auskunft, Löschung, Datenübertragbarkeit: der Anbieter muss technisch dazu in der Lage sein, nicht nur bereit |
| 6 | Unterstützung bei Art. 32 bis 36 (lit. f) | Meldung von Datenschutzverletzungen, Beiträge zur Datenschutz-Folgenabschätzung |
| 7 | Löschung oder Rückgabe am Ende (lit. g) | Mit Frist und einschließlich Backups. "Nach Vertragsende" ohne Zahl ist keine Frist |
| 8 | Nachweise und Duldung von Prüfungen (lit. h) | Auditrecht, praktisch meist über Zertifikate und Prüfberichte |
| 9 | Hinweis bei rechtswidriger Weisung (Abs. 3 Satz 3) | Der Anbieter muss Sie warnen, wenn Ihre Weisung gegen Datenschutzrecht verstößt |
| 10 | Schriftform, elektronisch genügt (Abs. 9) | Online-Abschluss ist zulässig. Eine Erwähnung in den AGB ist kein AVV |
… alle personenbezogenen Daten nach Beendigung der Erbringung der Verarbeitungsleistungen löscht oder zurückgibt und die vorhandenen Kopien löscht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
Diese Klausel ist der Prüfstein für einen Transkriptionsdienst, denn hier hängen zwei Dinge zusammen, die Anbieter gern getrennt darstellen: die Audiodatei und das Transkript. Ein Vertrag, der nur die Löschung "der hochgeladenen Dateien" verspricht, lässt das Transkript unberührt, und das Transkript ist der Inhalt, auf den es ankommt.
Woran die AVV von Transkriptionsanbietern in der Praxis reißen
Aus der Durchsicht der Verträge, die in diesem Markt üblich sind, wiederholen sich fünf Muster.
Pauschale Zustimmung zu Sub-Auftragsverarbeitern
Die Klausel lautet dann etwa: "Der Auftragnehmer ist berechtigt, Sub-Auftragsverarbeiter einzusetzen; eine Liste wird auf der Website bereitgestellt und kann jederzeit aktualisiert werden." Das ist die allgemeine Genehmigung nach Art. 28 Abs. 2, und sie ist zulässig, aber nur mit dem, was der Satz danach verlangt: Information über beabsichtigte Änderungen vorab und die Möglichkeit, Einspruch zu erheben. Fehlt beides, unterschreiben Sie eine Kette, deren künftige Glieder Sie nicht kennen.
Modelltraining als "Verbesserung der Dienste"
Formulierungen wie "zur Verbesserung und Weiterentwicklung der Dienste" oder "aggregiert und anonymisiert" verdienen genaues Lesen. Bei Sprachaufnahmen ist Anonymisierung praktisch schwierig: die Stimme selbst ist das Identifikationsmerkmal. Wenn ein Anbieter Ihre Aufnahmen für Training nutzen will, ist das keine Auftragsverarbeitung mehr, sondern eine eigene Verarbeitung mit eigenem Zweck.
Löschung ohne Frist
"Nach Beendigung des Vertrags werden die Daten gelöscht" erfüllt lit. g dem Wortlaut nach, ist aber nicht prüfbar. Brauchbar ist eine Zahl, ein Bezugspunkt und eine Aussage über Backups: nach wie vielen Tagen, gerechnet ab welchem Ereignis, und wann die Sicherungskopien nachziehen.
Technische Maßnahmen als Marketingtext
Anlagen, die "Verschlüsselung nach dem Stand der Technik" und "moderne Sicherheitsarchitektur" aufführen, beschreiben nichts. Art. 32 verlangt Maßnahmen, die zum Risiko passen, und bei Sprachaufnahmen ist das Risiko hoch. Prüfbar wird eine Anlage erst mit Angaben zu Verfahren und Ort: Verschlüsselung bei Übertragung und im Ruhezustand, wer Zugriff hat, wie er protokolliert wird, in welchem Rechenzentrum die Daten liegen.
Der Serverstandort im Vertrag, der Dienstleister in den USA
Der häufigste Fall in dieser Branche: der AVV nennt einen europäischen Serverstandort, und in der Sub-Auftragsverarbeiterliste steht ein US-Konzern. Für die Frage des Drittlandtransfers zählt nicht, wo die Bits liegen, sondern wer Zugriff darauf hat. Mehr dazu unten und ausführlich in Zoom- und Teams-Meetings DSGVO-konform transkribieren.
Sub-Auftragsverarbeiter: die Kette, die Sie mitunterschreiben
Art. 28 Abs. 4 DSGVO legt jedem weiteren Auftragsverarbeiter dieselben Pflichten auf, die Ihr Vertragspartner hat. Nach außen bleibt Ihr Vertragspartner Ihnen gegenüber verantwortlich, nach innen muss er weitergeben, was er zugesagt hat.
Praktisch heißt das: Sie prüfen nicht einen Anbieter, sondern eine Kette. Bei einem Transkriptionsdienst hat sie typischerweise drei Glieder, und beim dritten wird es interessant:
- Hosting für Anwendung, Datenbank und Dateien.
- Zahlungsabwicklung, wenn abgerechnet wird. Für Zahlungsdaten, nicht für Inhalte.
- Die Spracherkennung selbst. Läuft sie auf eigener Infrastruktur oder ruft der Anbieter eine fremde API auf? Genau hier entscheidet sich, ob Ihre Aufnahmen bei einem weiteren Unternehmen landen, und genau hier ist die Liste am häufigsten unvollständig.
Die dritte Frage lässt sich in einer Zeile stellen: "Verarbeitet ein Dritter unsere Audiodaten oder Transkripte, und wenn ja, welcher?" Wer darauf keine namentliche Antwort gibt, hat sie.
Drittlandtransfer: der AVV allein trägt nicht
Ein AVV regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter. Verlässt die Verarbeitung die EU, kommt Kapitel V der DSGVO dazu, und das ist eine zweite, eigenständige Prüfung: Angemessenheitsbeschluss, Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 oder eine andere Garantie, plus eine Beurteilung, ob die Garantie im Zielland praktisch wirkt.
Für Sprachaufnahmen ist der einfachere Weg meist, den Transfer zu vermeiden statt ihn zu rechtfertigen. Das ist keine juristische Vorsicht, sondern Aufwandsrechnung: eine Transfer-Folgenabschätzung ist Arbeit, die bei jeder Änderung der Rechtslage wiederholt werden muss.
Berufsgeheimnisträger: der AVV ist die halbe Pflicht
Für Ärzte, Anwälte, Steuerberater, Psychotherapeuten und die weiteren in § 203 StGB genannten Berufe gilt neben dem Datenschutzrecht das Strafrecht, und das hat seine eigene Logik.
§ 203 Abs. 3 StGB erlaubt seit der Neuregelung von 2017, "mitwirkende Personen" einzubeziehen, ausdrücklich auch IT-Dienstleister. Die Erlaubnis ist aber an Bedingungen gebunden: Sie müssen den Dienstleister zur Geheimhaltung verpflichten und dürfen ihm nur so viel offenbaren, wie die Mitwirkung erfordert (§ 203 Abs. 4 StGB). Eine Verletzung ist strafbar, nicht bußgeldbewehrt.
Für Anwälte kommt § 43e BRAO hinzu: die Inanspruchnahme von Dienstleistern ist dort eigens geregelt, mit Textform, Verpflichtung zur Verschwiegenheit und Sorgfaltspflicht bei der Auswahl.
Die praktische Folge: der AVV Ihres Anbieters, so gut er sein mag, erfüllt diese Pflichten nicht automatisch. Sie brauchen die zusätzliche Verpflichtungserklärung. Details in Transkription für Anwaltskanzleien und Medizinische Diktate und § 203 StGB, branchenspezifisch auch auf Kanzleien und Medizin und Pharma.
Prüfliste für den Anbietervergleich
Zehn Fragen, die sich vor einer Entscheidung beantworten lassen, jede mit einer Antwort, die im Vertrag oder in einem Dokument steht:
- Gibt es einen AVV zum Abschluss, ohne Vertriebsgespräch und vor der ersten Nutzung?
- Nennt er alle zehn Punkte aus Art. 28 Abs. 3?
- Steht eine namentliche Liste der Sub-Auftragsverarbeiter im oder am Vertrag?
- Verpflichtet er zu Vorabinformation und Widerspruchsrecht bei Änderungen dieser Liste?
- Wird die Spracherkennung selbst betrieben, oder läuft sie über eine fremde API?
- Nennt die Löschklausel eine Frist, ein auslösendes Ereignis und die Backups?
- Gilt sie für Audiodateien und Transkripte?
- Schließt der Vertrag Modelltraining mit Ihren Daten ausdrücklich aus?
- Beschreibt die TOM-Anlage Verfahren und Ort, nicht Eigenschaften?
- Verlässt bei bestimmungsgemäßer Nutzung überhaupt etwas die EU?
Frage 5 ist die aufschlussreichste, weil sie sich nicht ausweichend beantworten lässt und über die Fragen 3, 4 und 10 mitentscheidet.
Wie DeepScript das handhabt
Der AVV ist online abschließbar, im Trust Center samt Formular und PDF, ohne vorheriges Gespräch. Die Liste der Sub-Auftragsverarbeiter steht mit Zweck, Standort und Garantien auf einer eigenen Seite, die Verarbeitungstätigkeiten sind unter Datenverarbeitung beschrieben, die technischen Maßnahmen unter Sicherheit.
Zu Frage 5 der Prüfliste: die Spracherkennung läuft auf eigener Infrastruktur in Rechenzentren in Deutschland. Es gibt keinen Drittanbieter, der Audio oder Transkripte verarbeitet, und Kundendaten werden nicht für Modelltraining verwendet. Beides steht so im Vertrag und nicht nur auf dieser Seite.
Zur Löschung: ohne Pro-Abo werden Transkriptionen nach der Standardfrist automatisch gelöscht, einschließlich der Audiodatei; die Frist ist im Konto konfigurierbar und im Trust Center mit Zahl benannt. Mit Pro bleiben sie dauerhaft gespeichert, weil der Zweck dann ein anderer ist: ein durchsuchbares Archiv, auf das auch AI-Agenten zugreifen.
Das ist kein Argument gegen eine eigene Prüfung. Es ist die Aussage, dass die zehn Fragen oben bei uns beantwortbar sind, ohne dass jemand nachfragen muss.