Diktier-App und Datenschutz: Ist sie DSGVO-konform? 9 Prüffragen

„DSGVO-konform“ ist bei einer Diktier-App kein einzelnes Produkteigenschaftsfeld. Ob ein Unternehmen ein Werkzeug rechtmäßig einsetzen kann, hängt vom konkreten Datenfluss, dem Zweck, den gesprochenen Inhalten, den beteiligten Unternehmen und der eigenen Konfiguration ab.

EU-Server können den Datenfluss vereinfachen. Sie beantworten aber nicht automatisch, wer Audio und Text erhält, ob ein Auftragsverarbeitungsvertrag besteht, welche Unterauftragnehmer beteiligt sind, wie lange Daten gespeichert werden oder ob sie für eigene Zwecke genutzt werden.

Mit den folgenden neun Prüffragen lässt sich eine Diktier-App vor dem Einsatz systematisch bewerten. Der Ratgeber richtet sich an deutsche Unternehmen und ersetzt keine Rechtsberatung für den Einzelfall.

Transparenz: Herausgeber dieses Leitfadens ist Sprachtaste, selbst eine KI-Diktier-App für Windows und macOS in privater Beta. Wir vergeben uns hier kein eigenes Datenschutzsiegel. Die Checkliste gilt für Sprachtaste genauso wie für jeden Wettbewerber.

Schnellprüfung: Welche Nachweise sollten vorliegen?

Eine grüne Marketingseite ist kein Nachweis. Entscheidend ist, ob die Angaben zusammenpassen und sich auf den tatsächlich gebuchten Tarif sowie die aktivierten Funktionen beziehen.

1. Welche Daten verlassen das Gerät?

Beginne nicht beim Serverstandort, sondern beim Mikrofon. Erstelle eine Liste aller Datenarten, die während eines Diktats entstehen können:

• Audioaufnahme oder Audiostream
• Rohtranskript
• KI-redigierter Endtext
• eigene Wörterbuchbegriffe
• markierter Text, der umformuliert werden soll
• App- und Fensterkontext
• Konto-, Geräte- und Nutzungsdaten
• Fehlerberichte und technische Protokolle

Gerade Audio und Transkript können mehr enthalten als beabsichtigt: Kundennamen, interne Projekte, Gesundheitsangaben, Kontodaten oder Aussagen über andere Personen. Die Stimme kann außerdem eine Person erkennbar machen. Ob daraus besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden, richtet sich nach dem Inhalt und der konkreten Verarbeitung – nicht nach der Bezeichnung „Diktat“.

Die Datenschutzgrundsätze in Art. 5 DSGVO verlangen unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung. Praktisch bedeutet das: Eine App sollte nur die Daten erhalten, die für den gewählten Modus tatsächlich erforderlich sind.

Fragen an den Anbieter:

• Wird Audio übertragen oder erfolgt die Erkennung lokal?
• Verlässt bei einer KI-Nachbearbeitung nur Text das Gerät?
• Liest die App markierten Text, Fenstertitel oder Zwischenablage?
• Welche Telemetrie ist standardmäßig aktiv?

2. Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Die Rollen entscheiden über Pflichten und Verträge. Ein Unternehmen, das über Zweck und wesentliche Mittel seiner Verarbeitung entscheidet, bleibt regelmäßig Verantwortlicher. Verarbeitet ein Diktierdienst personenbezogene Daten weisungsgebunden für dieses Unternehmen, kann er Auftragsverarbeiter sein.

Die Begriffe lassen sich nicht allein durch eine Vertragsüberschrift festlegen. Der Europäische Datenschutzausschuss betont in seinen Leitlinien zu Verantwortlichen und Auftragsverarbeitern, dass die tatsächlichen Rollen aus den Aufgaben und Entscheidungen folgen.

Ein Anbieter kann außerdem für einzelne Verarbeitungen eine andere Rolle haben. Die Transkription im Auftrag und eine eigenständige Analyse zu eigenen Produktzwecken dürfen deshalb nicht gedanklich vermischt werden.

Fragen an den Anbieter:

• In welcher Rolle verarbeitet er Diktate und Kontodaten?
• Nutzt er Inhalte für eigene Zwecke?
• Welche Rolle haben STT-, LLM-, Hosting- und Supportanbieter?

3. Gibt es einen vollständigen AVV?

Liegt Auftragsverarbeitung vor, verlangt Art. 28 DSGVO einen Vertrag oder ein anderes Rechtsinstrument mit vorgeschriebenen Inhalten. Eine Datenschutzerklärung erfüllt diese Aufgabe nicht automatisch.

Ein praktisch brauchbarer AVV sollte nicht nur allgemeine Klauseln enthalten. Prüfe auch seine Anlagen:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck
• Kategorien personenbezogener Daten
• Kategorien betroffener Personen
• Weisungen und Vertraulichkeit
• technische und organisatorische Maßnahmen
• Unterstützung bei Betroffenenrechten und Datenschutzvorfällen
• Löschung oder Rückgabe nach Ende des Auftrags
• Regeln für Unterauftragnehmer
• Kontroll- und Nachweismöglichkeiten

Die Europäische Kommission stellt auch Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter im EWR bereit. Diese Art-28-Klauseln sind von den Standardvertragsklauseln für internationale Übermittlungen zu unterscheiden.

Warnsignal: Auf die Frage nach einem AVV kommt lediglich ein Link zur öffentlichen Datenschutzerklärung.

4. Welche Unterauftragnehmer sind beteiligt?

Eine moderne Cloud-Diktier-App besteht selten aus nur einem Anbieter. Typische Stationen sind:

1. Desktop- oder Mobil-App
2. API-Gateway
3. Hosting- und Protokolldienst
4. Speech-to-Text-Modell
5. Sprachmodell zur Textbearbeitung
6. Fehleranalyse, Support oder Abrechnung

Verlange eine aktuelle Unterauftragnehmerliste. Für jeden Eintrag sollten mindestens Unternehmen, Aufgabe und Verarbeitungsort erkennbar sein. Prüfe außerdem, wie über Änderungen informiert wird und welche Widerspruchsmöglichkeiten der Vertrag vorsieht.

„Wir hosten in Deutschland“ sagt noch nicht, ob ein KI-Unterauftragnehmer, Supportteam oder Protokolldienst außerhalb Deutschlands oder des EWR auf Daten zugreifen kann.

Fragen an den Anbieter:

• Ist die Liste öffentlich oder Bestandteil des AVV?
• Gilt sie für den konkreten Tarif?
• Welche Anbieter sehen Audio, welche nur Text oder Metadaten?

5. Gibt es Übermittlungen in Drittländer?

Der Ort des Rechenzentrums ist wichtig, aber nicht die einzige Frage. Relevant sind auch Empfänger, Fernzugriffe und Weiterübermittlungen. Der Europäische Wirtschaftsraum umfasst die EU sowie Island, Liechtenstein und Norwegen.

Für Übermittlungen außerhalb des EWR gelten die besonderen Voraussetzungen des Kapitels V der DSGVO. Die Europäische Kommission erklärt die möglichen Instrumente: Dazu gehören Angemessenheitsbeschlüsse oder – wenn ein solcher Beschluss fehlt – geeignete Garantien wie Standardvertragsklauseln, verbunden mit den weiteren Voraussetzungen des konkreten Transfers.

Standardvertragsklauseln sind daher kein Synonym für „Daten bleiben in der EU“. Sie sind ein mögliches rechtliches Instrument für bestimmte Drittlandübermittlungen. Die Kommission weist darauf hin, dass die Klauseln verbindlich vereinbart und ihre Anhänge für den tatsächlichen Transfer ausgefüllt werden müssen.

Fragen an den Anbieter:

• Welche Daten werden an welchen Empfänger in welchem Land übermittelt?
• Auf welchen Transfermechanismus stützt sich jede Übermittlung?
• Sind zusätzliche technische oder organisatorische Maßnahmen vorgesehen?
• Gibt es Zugriffe aus Drittländern, obwohl der Server im EWR steht?

6. Werden Diktate gespeichert oder für Training verwendet?

„Wir verkaufen deine Daten nicht“ beantwortet weder Speicher- noch Trainingsfragen. Trenne mindestens vier Zwecke:

• unmittelbare Transkription
• optionale Textredaktion
• Missbrauchs- und Sicherheitsprüfung
• Produktverbesserung oder Modelltraining

Frage jeweils nach Audio, Rohtext, Endtext und Metadaten. Ein Anbieter kann Audio nur für die Dauer einer Anfrage verarbeiten, während Protokolle oder Transkripte länger gespeichert werden. Auch „kein Training“ bedeutet nicht automatisch „keine Speicherung“.

Belastbare Antworten nennen eine konkrete Frist oder klare Kriterien für deren Bestimmung. Dazu gehören auch:

• lokale Historie auf dem Gerät
• serverseitige Anfragenprotokolle
• Fehlerberichte
• Supportfälle
• Sicherungskopien
• Frist nach Kontolöschung

Prüfe außerdem, ob eine optionale Einwilligung wirklich freiwillig und standardmäßig ausgeschaltet ist. Eine allgemeine Formulierung wie „Daten können zur Verbesserung unserer Dienste verwendet werden“ verdient eine Rückfrage.

7. Welche technischen und organisatorischen Maßnahmen gelten?

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Eine einzelne Verschlüsselungsbehauptung reicht nicht für die gesamte Bewertung.

Je nach Risiko sind unter anderem relevant:

• Transport- und Speicherverschlüsselung
• Schlüsselverwaltung
• Rollen- und Zugriffskontrollen
• Mehrfaktor-Authentifizierung für Administrationszugänge
• Trennung von Kunden- und Inhaltsdaten
• Protokollierung privilegierter Zugriffe
• Patch- und Schwachstellenmanagement
• Wiederherstellung und Verfügbarkeit
• Löschprozesse einschließlich Sicherungskopien
• Verfahren für Datenschutzverletzungen
• unabhängige Prüfberichte oder Zertifizierungen

Die BfDI beschreibt Verschlüsselung und Backups ausdrücklich als wichtige, aber nicht allein ausreichende Bestandteile eines Datenschutzkonzepts.

Nicht jedes Unternehmen muss interne Sicherheitsdetails vollständig veröffentlichen. Ein Anbieter sollte Geschäftskunden aber genug prüffähige Informationen bereitstellen, um die Auswahl und Kontrolle dokumentieren zu können.

8. Welche Kontrolle bleibt auf dem Gerät?

Lokale Verarbeitung kann Übermittlungen reduzieren, ist aber kein automatischer Freifahrtschein. Prüfe auch bei einer Offline-App:

• Werden Aufnahmen oder Transkripte lokal dauerhaft gespeichert?
• Sind sie auf einem gemeinsam genutzten Gerät geschützt?
• Gelangen sie in unverschlüsselte Backups?
• Kann man Verlauf und Audiodateien getrennt löschen?
• Greift die App auf Zwischenablage oder markierte Texte zu?
• Sendet sie Update-, Lizenz- oder Fehlerdaten?

Bei einer Cloud-App sind sinnvolle lokale Kontrollen ebenfalls wichtig:

• Mikrofonaufnahme nur nach bewusster Aktion
• sichtbarer Aufnahmezustand
• Abbruch ohne Übermittlung, soweit technisch möglich
• konfigurierbare Historie
• verständliche Telemetrie-Einstellungen
• Datenexport und Kontolöschung

Die Entscheidung lautet daher nicht schlicht „lokal gut, Cloud schlecht“. Lokale Systeme reduzieren bestimmte Übermittlungsrisiken; verwaltete Cloud-Systeme können dafür zentrale Updates, Support und dokumentierte Sicherheitsprozesse bieten. Entscheidend ist der nachgewiesene Gesamtprozess.

9. Passt die App zum konkreten Einsatz?

Eine App kann für allgemeine interne Notizen vertretbar sein und für Patientenakten, Mandantengeheimnisse oder umfangreiche Beschäftigtendokumentation eine zusätzliche Prüfung erfordern.

Vor der Freigabe sollte der Verantwortliche mindestens klären:

• Zweck und Rechtsgrundlage
• erlaubte und ausgeschlossene Inhalte
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten
• Informationspflichten gegenüber betroffenen Personen
• Verfahren für Auskunft, Berichtigung und Löschung
• Berechtigungskonzept
• interne Schulung und Nutzungsregeln
• vertragliche oder berufsrechtliche Geheimhaltung
• Risikoanalyse und gegebenenfalls Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Der EDSA stellt klar, dass diese Bewertung vor Beginn der Verarbeitung erfolgen muss. Im April 2026 hat er zudem einen neuen Entwurf für eine europaweit einheitlichere DSFA-Vorlage vorgestellt. Ob eine DSFA erforderlich ist, entscheidet sich am konkreten Einsatz – nicht allein am Wort „KI“.

Eine einfache Evidenzampel

Bewerte jede der neun Fragen nicht mit einem Bauchgefühl, sondern mit der Qualität des Nachweises:

Eine einzige rote Antwort muss nicht automatisch jedes Projekt beenden. Sie zeigt aber, wo vor der Freigabe eine Entscheidung, Schutzmaßnahme oder Alternative nötig ist. Ebenso macht eine vollständig grüne Tabelle keine Rechtsberatung überflüssig, wenn besonders sensible oder regulierte Inhalte betroffen sind.

Vorlage für die Anbieteranfrage

Diese Fragen können Beschaffung oder Datenschutz direkt an einen Anbieter senden:

Bitte stellen Sie für den vorgesehenen Einsatz Ihrer Diktier-App folgende Unterlagen bereit: aktuellen Datenfluss für Audio, Transkript und Metadaten; Rollenbeschreibung; AVV einschließlich TOM-Anlage; Liste der Unterauftragnehmer mit Aufgabe und Verarbeitungsland; Beschreibung aller Drittlandtransfers und Transfermechanismen; Angaben zu Training und eigenen Zwecken; Speicher- und Löschfristen einschließlich Backups und Protokollen; Verfahren für Betroffenenrechte, Kontolöschung und Datenschutzvorfälle. Bitte bestätigen Sie außerdem, für welchen Tarif und welche Produktversion die Angaben gelten.

Eine präzise Antwort spart beiden Seiten Zeit. Erhältst du nur Links auf Marketingseiten, bleiben die betroffenen Prüfpunkte gelb oder rot.

Was bedeutet das für Sprachtaste?

Sprachtaste ist eine verwaltete KI-Diktier-App. Audio und – bei aktivierter Textbearbeitung – Text werden über das in der EU betriebene Sprachtaste-Gateway an die Mistral AI SAS in Paris übermittelt. Mistral hostet API-Daten standardmäßig in der EU. In der Produktionskonfiguration speichert das Gateway keine Audio-, Prompt- oder Transkriptinhalte in seinen Protokollen. Für die Kontingentverwaltung werden nur Nutzungswerte wie Wortzahl und Audiodauer verarbeitet.

Die Nutzung der API-Inhalte für das Modelltraining ist im Mistral-Konto deaktiviert. Das bedeutet jedoch nicht „keine Speicherung“: Nach der Datenschutzerklärung von Mistral AI werden Ein- und Ausgaben der API ohne aktivierte Zero Data Retention noch 30 rollierende Tage zur Missbrauchskontrolle aufbewahrt. Mistral beschreibt Zero Data Retention als gesonderte, antragsgebundene Option für den Scale-Tarif.

Auf dem Gerät ist der Sprachtaste-Verlauf standardmäßig aktiviert. Audio, Rohtranskript und fertiger Text werden lokal für 30 Tage gespeichert. Nutzer können den Verlauf vollständig abschalten, das Aufbewahren der Audiodateien separat deaktivieren, die Frist ändern sowie einzelne oder alle Einträge löschen. Diese Verlaufskopien werden nicht an Sprachtaste übertragen.

Mit Mistral gilt ein Data Processing Addendum, das in die kommerziellen Nutzungsbedingungen einbezogen ist. Für den Einsatz durch Unternehmen ist zusätzlich die vollständige Kette zu dokumentieren: Dazu gehören insbesondere ein AVV zwischen dem Unternehmenskunden und Sprachtaste, die Unterauftragnehmerliste, die tatsächlichen Verarbeitungsorte und technische und organisatorische Maßnahmen für die von Sprachtaste betriebenen Systeme.

Solange diese produktionsbezogenen Nachweise nicht vollständig freigegeben sind, verwenden wir diesen Ratgeber nicht als Beleg dafür, dass Sprachtaste für jeden Einsatz „DSGVO-konform“ sei. Wer die App in der privaten Beta testet, sollte keine Inhalte diktieren, die nach den eigenen Organisationsregeln noch nicht freigegeben sind.

Für die Bedienung der kostenlosen Betriebssystemfunktionen findest du separate, quellenbasierte Anleitungen:

• Windows-Spracheingabe mit Win + H
• Diktieren am Mac mit Apples Diktierfunktion

Wie die Prüffragen bei einem konkreten Anbieter mit US-Verarbeitung aussehen, zeigt der Vergleich von Wispr Flow mit einer deutschen Alternative.

Quellen und Aktualisierung

Die rechtlichen und technischen Grundlagen wurden zuletzt am 28. Juli 2026 gegen folgende Primärquellen geprüft:

• Datenschutz-Grundverordnung – amtlicher Text
• EDSA-Leitlinien zu Verantwortlichen und Auftragsverarbeitern
• Europäische Kommission: Standardvertragsklauseln
• Europäische Kommission: Regeln für Drittlandtransfers
• BfDI: Verschlüsselung und Backups
• EDSA: Datenschutz-Folgenabschätzung
• Mistral AI: Datenschutzerklärung und API-Speicherfristen
• Mistral AI: Data Processing Addendum
• Mistral AI: API-Datenschutzeinstellungen
• Mistral AI: Zero Data Retention

Gesetze, Behördenleitlinien und Produktdatenflüsse ändern sich. Der Quellenstand in diesem Abschnitt zeigt den letzten vollständigen Check.