„DSGVO-konform" bezeichnet kein Zertifikat und keine Prüfung. Es ist eine Selbsteinschätzung, die nichts kostet. Wir schreiben sie selbst auf unsere Startseite, also sollten wir auch sagen, woran man sie misst.
Vier Fragen bringen Sie dabei weiter, als das Siegel es tut. Eine vollständige Bewertung sind sie nicht — Rechtsgrundlage, Löschkonzept und Betroffenenrechte gehören genauso dazu. Wir haben sie uns beim Bauen selbst stellen müssen, und bei zweien war unsere erste Antwort unbrauchbar.
Erstens: Wo läuft die Spracherkennung, und wo das Sprachmodell?
Das sind zwei getrennte Dienste, und sie stehen oft an verschiedenen Orten. Die Umwandlung von Ton in Text kann regional gebunden in Deutschland laufen, während die Zusammenfassung an ein Sprachmodell geht, das anderswo Kapazität frei hat.
Bei Azure — dem Anbieter, den wir nutzen — heißen die Betriebsarten „Global", „Data Zone" und regional. Global heißt: Die Anfrage geht dorthin, wo Platz ist, weltweit. Data Zone hält sie im europäischen Wirtschaftsraum. Wir haben uns für Data Zone entschieden, weil sich die Aussage auf unserer Startseite mit Global schlicht nicht belegen ließe.
Wenn ein Anbieter „Server in Deutschland" schreibt, meint er häufig nur seine eigenen: Datenbank und Anwendung. Wohin die Audiodaten zur Erkennung und der Text zur Auswertung weitergereicht werden, steht dann — wenn es gut läuft — in der Datenschutzerklärung. Fragen Sie beides getrennt ab.
Zweitens: Werden die Gespräche zum Training verwendet?
Die brauchbare Fassung dieser Frage lautet: Steht der Ausschluss im Vertrag oder nur in einer FAQ? Eine FAQ lässt sich ohne Information ändern.
Bei den API- und Geschäftskundenangeboten der großen Anbieter ist die Nutzung zum Modelltraining inzwischen üblicherweise ausgeschlossen. „Üblicherweise" ist hier kein Weichmacher, sondern die genaue Angabe: Die Bedingungen unterscheiden sich je nach Produkt, und Missbrauchserkennung, Feedbackfunktionen oder ausdrückliche Zustimmungen können Ausnahmen bilden. Lassen Sie sich die konkrete Klausel zeigen, nicht die Marketingseite.
Drittens: Wer ist beteiligt, und steht das im Vertrag?
Verarbeitet ein Dienst personenbezogene Daten in Ihrem Auftrag, verlangt Artikel 28 DSGVO einen Vertrag oder ein anderes bindendes Rechtsinstrument. Für eine Transkriptionssoftware ist das der Regelfall.
Interessanter als der Vertrag selbst ist seine Anlage mit den Unterauftragsverarbeitern. Dort steht, wer sonst noch an Ihren Daten arbeitet. Auf die Länge dieser Liste kommt es nicht an — auf die Angaben: Name, Tätigkeit, Ort der Verarbeitung, und wie Sie über Änderungen informiert werden. Steht dort „und weitere Dienstleister", wissen Sie nichts.
Viertens: Wie lange liegt die Tonaufnahme?
Nach der Transkription ist der Zweck der Audiodatei für viele Anwendungsfälle erfüllt. Für andere nicht: Wer eine Aussage im Zweifel nachhören will, braucht sie. Beides ist vertretbar — aber der Anbieter muss sagen können, welchen Zweck die Speicherung hat und wie lange sie dauert.
Fragen Sie nach einer Frist in Tagen. Und danach, wer beim Anbieter im Support Inhalte einsehen kann und unter welchen Bedingungen. Wer darauf nur ausweichend antwortet, hat es vermutlich nicht festgelegt.
Unsere eigenen Antworten stehen in der Datenschutzerklärung, mit den Namen der beteiligten Dienste. Eine davon mussten wir uns während der Entwicklung erst verdienen: Die Sprachmodelle liefen anfangs über einen Weg, bei dem wir weder Kosten noch Verarbeitungsort sauber belegen konnten. Wir haben umgestellt, auf eine Betriebsart, die uns mehr kostet.
Und die Antwort auf die vorgelagerte Frage — ob Sie überhaupt aufnehmen dürfen — kann kein Anbieter für Sie geben. Dazu haben wir separat etwas geschrieben.