Descript AVV: DSGVO, Audio- und Videobearbeitung fuer deutsche Unternehmen
Koennen deutsche Unternehmen Descript rechtskonform nutzen?
In bestimmten Einsatzfeldern ja, aber nur nach einer strukturierten DSGVO-Pruefung. Unternehmen sollten den Descript-AVV pruefen, klaeren wie Sprach- und Videodaten behandelt werden, ob KI-Features hochgeladene Inhalte fuer das Modell-Training nutzen und welche Transfermechanismen US-basierte Verarbeitungen absichern.
- Descript bietet einen AVV fuer Unternehmenskunden, aber Prozessorrolle, Subprozessoren, Retention und KI-Feature-Datennutzung muessen konkret geprueft werden.
- Ueber Descript verarbeitete Sprachdaten koennen personenbezogene oder biometrische Daten darstellen — abhaengig von Inhalt und Verwendungszweck.
- Unternehmen sollten vor dem Rollout klaeren, ob geplante Audio- und Videodateien Kunden-, Mitarbeiter- oder besondere Kategorien von Daten enthalten.
Descript AVV ist eine Frage, die Compliance- und Rechtsabteilungen stellen, wenn sie klaeren wollen: Koennen wir Descript fuer Podcast-Bearbeitung, Videoerstellung oder interne Kommunikation nutzen — und wie steht die Verarbeitung von Sprach- und Videodaten auf einem US-amerikanischen SaaS-System zum DSGVO-Recht? Stand 5. April 2026 bietet Descript einen Auftragsverarbeitungsvertrag (AVV), KI-gestuetzte Transkription, eine Voice-Cloning-Funktion namens Overdub sowie Bildschirmaufnahme-Tools. Die rechtliche Bewertung ist dabei nicht trivial: Sprach- und Videodaten begruenden spezifische DSGVO-Risiken, die ein generischer AVV moeglicherweise nicht vollstaendig abdeckt — insbesondere fuer kunden- oder mitarbeiterbezogene Einsaetze.
Kurze Einschaetzung
Descript kann in bestimmten Einsatzfeldern fuer deutsche Unternehmen funktionieren, aber nicht ohne Vorarbeit.
- Geringeres Risiko: Scripted Marketing-Video, interne Tutorials und freigegebene Narration mit synthetischen Stimmen.
- Vertiefte Pruefung noetig: Aufzeichnungen von Kundentelefonaten, Mitarbeiter-Audio, Sales-Content oder Workflows mit identifizierbaren Sprachdaten.
- Regelmaessig nicht ohne Sonderpruefung: Voice Cloning von realen Personen, Massenverarbeitung von Kunden-Audio oder HR-relevante Aufzeichnungen.
Diese Seite ist allgemeine Information und keine rechtliche Beratung fuer einen konkreten Einsatz. Fuer verwandte Tools und Bereiche sind unsere Leitfaeden zu ElevenLabs, Otter.ai und unsere KI-Rechtsexpertise relevant.
Ist Descript in Deutschland DSGVO-konform nutzbar?
Die relevante Frage ist nicht, ob Descript im Abstrakten DSGVO-konform ist. Es geht darum, ob der geplante Descript-Einsatz unter der DSGVO vertretbar ist.
Fuer die meisten Unternehmen sind die rechtlichen Pruefpunkte:
- Welche Arten von Daten werden in Descript hochgeladen: interne Skripte, aufgezeichnete Kundengespraeche, Mitarbeiterschulungs-Sessions oder sensible Meeting-Inhalte?
- Agiert Descript als Auftragsverarbeiter gemaess Art. 28 DSGVO, oder behaelt der Dienst unabhaengige Rechte zur Nutzung von Inhalten?
- Was ist die Rechtsgrundlage nach Art. 6 DSGVO fuer personenbezogene Daten, die in die Plattform gelangen?
- Wie wird die Uebermittlung in die USA nach Kapitel V DSGVO abgesichert — durch SCCs, EU-US-Data Privacy Framework oder andere Mechanismen?
- Welche KI-Features werden genutzt, und begruenden diese Features zusaetzliche Verarbeitungs- oder Retention-Risiken?
Geringere Risiken entstehen typischerweise bei:
- Marketing- oder Produktinhalten aus freigegebener, geskripteter Narration
- Bearbeitung interner Schulungsvideos ohne Kunden- oder Mitarbeiterpersonendaten
- KI-Transkription fuer nicht-sensible interne Meetings mit entsprechendem Hinweis
Hoehere Risiken, die eine tiefergehende Pruefung erfordern, entstehen bei:
- Hochladen aufgezeichneter Kundengespraeche zur Bearbeitung, Transkription oder Verteilung
- Verarbeitung von Sales-Calls oder Support-Sessions, die personenbezogene Daten enthalten
- Nutzung von Overdub oder Voice Cloning mit Aufnahmen realer Personen
- Descript-Integration mit CRM oder Support-Tools, die hochgeladene Inhalte mit Kundendaten anreichern
Hat Descript einen AVV und was sollte rechtlich geprueft werden?
Ja. Descript stellt fuer Unternehmenskunden einen Auftragsverarbeitungsvertrag (AVV) bereit. Aber das Vorhandensein eines AVV ist nicht das Ende der Pruefung.
| Thema | Warum wichtig | Was zu pruefen ist |
|---|---|---|
| Prozessorrolle | Descripts KI-Features koennen dem Dienst Rechte einraeumen, die ueber reine Weisungsausfuehrung hinausgehen | Pruefen, ob der AVV Overdub, KI-Transkription und andere KI-Features abdeckt |
| Trainingsdatennutzung | Audio und Video sind wertvolles Trainingsmaterial | Schriftlich bestaetigen, ob hochgeladene Inhalte vom Modelltraining ausgeschlossen sind |
| Subprozessoren | Cloud-Infrastruktur, KI-Modellanbieter und CDN-Dienste koennen Transferketten begruenden | Subprozessoren-Liste pruefen und Widerspruch bei Hinzufuegungen moeglich machen |
| Transfers | Descript ist ein US-amerikanisches Unternehmen | SCCs und DPF-Verweis pruefen sowie etwaige ergaenzende Massnahmen fuer hochsensible Inhalte |
| Retention | Audiodateien und Transkripte koennen laenger bestehen als erwartet | Loeschablaeufe, Export-Optionen und Backup-Plaene pruefen |
| Biometrisches Risiko | Overdub Voice Cloning kann die Schwelle zu biometrischen Daten tangieren | Pruefen, ob ein Overdub-Einsatz Art. 9 DSGVO-Pflichten ausloest |
Fuer deutsche Unternehmen: Auch pruefen, ob der AVV fuer alle Descript-Produkte und KI-Features einheitlich gilt oder ob Enterprise- und Business-Tarife separate Zusagen enthalten.
Datenspeicherung und Transfer-Risiken
Descript hat seinen Hauptsitz in den USA, und die meiste Infrastruktur ist US-basiert. Fuer deutsche Unternehmen entsteht damit eine Grundsituation nach Kapitel V DSGVO: Eine Drittland-Uebermittlung, die eines der anerkannten Transfermechanismen bedarf.
Der Descript-AVV verweist auf Transfermechanismen einschliesslich Standard-Vertragsklauseln (SCCs) und anderen Adaequanzloesungen. Das gibt eine rechtliche Basis fuer die Uebermittlung, aber Beschaffungsteams sollten zusaetzlich pruefen:
- ob die referenzierten SCCs der 2021 von der Europaeischen Kommission genehmigten Version entsprechen
- ob Subprozessoren fuer Speicherung, Transkriptionsverarbeitung oder KI-Compute ausserhalb des EWR angesiedelt sind
- ob Sicherheits-Incident-Verfahren oder Support-Zugriffe ausserhalb des EWR moeglich sind
- ob fuer hochsensible Audio-Workflows ein ergaenzendes Transfer-Impact-Assessment verfuegbar oder erforderlich ist
Fuer Unternehmen mit strikten Datenlokalisierungsanforderungen — in regulierten Sektoren wie Gesundheit, Finanzen, Recht oder oeffentlichen Einrichtungen — boten Descripts aktuelle Infrastruktur moeglicherweise keinen realistischen EU-only-Verarbeitungsweg. Die bekannten Transfer-Risiken sollten dokumentiert und auf Vertretbarkeit geprueft werden.
Sprach- und Videodaten: Was deutsche Unternehmen beachten muessen
Das ist oft das zentrale Rechtsproblem bei Descript in Deutschland.
Nach der DSGVO gilt:
- Sprachaufnahmen sind personenbezogene Daten, wenn sie sich auf eine identifizierbare Person beziehen.
- Videomaterial ist personenbezogenes Datum, wenn identifizierbare Personen zu erkennen sind.
- Sprachaufnahmen koennen zu biometrischen Daten nach Art. 9 DSGVO werden, wenn sie konkret zur eindeutigen Identifizierung einer Person verarbeitet werden — was die strengen Verbote fuer besondere Kategorien ausloest und in der Regel explizite Einwilligung oder einen anderen Art. 9 Abs. 2-Grund erfordert.
| Einsatz | Risikobewertung | Begruendung |
|---|---|---|
| Freigegebene Voiceover aus Skripten | Geringeres Risiko | Minimale Personendaten, wenn keine echte Stimme genutzt wird |
| Produktdemo-Video mit synthetischer Narration | Geringeres Risiko | Meist mit grundlegender Governance vertretbar |
| Bearbeitung von Kundensupport-Anruf-Aufzeichnungen | Vertiefte Pruefung | Anrufaufzeichnungen enthalten in der Regel Personendaten |
| Podcasts oder Interviews mit namentlich genannten Gaesten | Vertiefte Pruefung | Einwilligungs- und Informationspflichten gegenueber identifizierten Personen |
| Overdub Voice Cloning (echte Person) | Vertiefte Pruefung | Personenbezogene Daten, potenziell biometrische Daten, Persoenlichkeitsrechte |
| Massenupload von Mitarbeiter-Meeting-Aufzeichnungen | Nicht ohne Sonderpruefung | Arbeitsrecht, DSFA-Pflicht und Betriebsratsrechte ausgeloest |
Wenn Descript Overdub oder eine andere Voice-Cloning-Funktion fuer Aufnahmen realer, identifizierbarer Personen genutzt werden soll — Mitarbeitende, Kunden oder Fuehrungskraefte — ist zu pruefen, ob dieser Workflow eine Datenschutz-Folgenabschaetzung (DSFA) nach Art. 35 DSGVO, explizite Einwilligung und eine Rechtsgrundlage erfordert, die ueber berechtigte Interessen hinausgeht.
Deutsches Recht: BDSG und Betriebsrat
BDSG und Beschaeftigtendaten. Wenn Descript fuer die Verarbeitung von Mitarbeiteraufzeichnungen genutzt wird — Schulungs-Sessions, All-Hands-Meetings, Leistungsbeurteilungen oder Call-Monitoring — gilt § 26 BDSG. Die Verarbeitung von Beschaeftigtendaten erfordert eine spezifische Rechtsgrundlage (Kollektivvereinbarung, Erforderlichkeit fuer das Arbeitsverhaeltnis oder Einwilligung), die schwerer zu erfuellen ist als bei kommerziellem Standardeinsatz.
Betriebsratsrechte. Wenn Descript so eingesetzt wird, dass Leistungs- oder Verhaltensauswertung von Mitarbeitenden ermoeglicht wird — etwa durch Transkription und Analyse von Meeting-Beitraegen oder Call-Qualitaet — hat der Betriebsrat Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG. Fruehzeitig einbinden.
DSFA-Schwelle. Die grossangelegte Verarbeitung von Audio- oder Videodaten, Profiling auf Basis von Stimmeigenschaften oder die systematische Ueberwachung von Mitarbeiterkommunikation loesen die Pflicht zur Durchfuehrung einer Datenschutz-Folgenabschaetzung (DSFA) nach Art. 35 DSGVO aus — und zwar vor Beginn der Verarbeitung.
Praktische Compliance-Checkliste
- Inhalte klassifizieren. Vor dem Hochladen interne Skripte, Kunden-Aufzeichnungen, Mitarbeiter-Audio und Inhalte mit besonderen Datenkategorien trennen.
- Descript AVV pruefen. Prozessorrolle, KI-Feature-Abdeckung, Trainingsdaten-Ausschluss, Subprozessoren, Transfermechanismus und Loeschbedingungen pruefe.
- Trainingsdaten-Status bestaetigen. Schriftlich bestaetigen lassen, ob hochgeladene Audio- und Videodaten im aktuellen Tarif und Vertrag vom Modelltraining ausgeschlossen sind.
- Overdub gesondert bewerten. Wenn Voice Cloning geplant ist, pruefen, ob die Zielstimme einer identifizierbaren Person gehoert und welche Rechtsgrundlage gilt.
- Transfer-Risiken dokumentieren. Festhalten, dass Descript in den USA verarbeitet, welcher Transfermechanismus gilt und welche ergaenzenden Kontrollen fuer hochsensible Workflows noetig sind.
- Mitarbeiterbezug pruefen. Wenn hochgeladene Inhalte Mitarbeitende betreffen, BDSG-Pflichten und Betriebsrats-Mitbestimmungsrechte einschaetzen.
- Interne Upload-Regeln setzen. Festlegen, welche Inhaltskategorien in Descript hochgeladen werden duerfen und fuer welche eine gesonderte Freigabe erforderlich ist.
FAQ
Hat Descript einen AVV fuer die DSGVO?
Ja. Descript stellt fuer Unternehmenskunden einen AVV bereit. Deutsche Unternehmen sollten pruefen, ob er KI-Features wie Transkription und Overdub abdeckt, ob Transfermechanismen aktuell sind und ob Trainingsdaten-Ausschluesse fuer den gewaaehlten Tarif gelten.
Ist die Verarbeitung von Kunden-Sprachdaten in Deutschland mit Descript sicher?
Das haengt vom Einsatz ab. Nicht-sensible, geskriptete Inhalte sind in der Regel handhabbar. Aufzeichnungen von Kundengespraechen erfordern eine sorgfaeltige Pruefung von Rechtsgrundlage, Transfer-Risiko, Retention und Informationspflichten. Kein sensibler Kunden-Audio sollte ohne eine abgeschlossene DSGVO- und AVV-Pruefung hochgeladen werden.
Nutzt Descript Audio fuer das KI-Training?
Das haengt von Tarif und Vertrag ab. Unternehmen sollten Descripts Datennutzungsbedingungen sorgfaeltig pruefen und schriftlich bestaetigen lassen, ob hochgeladene Inhalte vom Modelltraining ausgeschlossen sind. Enterprise-Schutzklauseln nicht auf guenstigere Tarife uebertragen.
Benoetigen wir eine DSFA fuer Descript?
Moeglicherweise ja. Wenn grosse Mengen an Audio- oder Videodaten verarbeitet werden, Voice Cloning bei identifizierbaren Personen genutzt wird oder Mitarbeiter-Meetings oder -Calls systematisch transkribiert und analysiert werden, ist eine Datenschutz-Folgenabschaetzung (DSFA) nach Art. 35 DSGVO vor Beginn der Verarbeitung wahrscheinlich erforderlich.
Wenn Ihr Team Descript oder andere KI-gestuetzte Audio- und Videotools vor der Beschaffung bewertet, beraet Compound Law Unternehmen in Deutschland zu DSGVO, KI-Beschaffung, AVV-Pruefung und betrieblicher KI-Governance. Kontakt aufnehmen.
