Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland

Hat ElevenLabs eine AVV?

Ja. ElevenLabs veröffentlicht seinen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Er ist Vertragsbestandteil der ElevenLabs-Bedingungen, enthält EU-Standardvertragsklauseln mit irischem Recht und gilt, wenn ElevenLabs personenbezogene Daten in Ihren Inhalten auf Ihre Weisung verarbeitet.

• Der AVV ist ein öffentliches Dokument unter elevenlabs.io/dpa — kein Login, keine Unterschrift, SCC automatisch einbezogen.
• Deutsche Kunden schließen mit Eleven Labs Inc. (New York) ab; die SCC-Ebene untersteht irischem Recht.
• Enterprise-Inhalte werden 30 Tage nach Vertragsende gelöscht; im Self-Serve-Bereich erst nach 180 Tagen Inaktivität.

Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag an. Die ElevenLabs DPA ist als öffentliche Webseite unter elevenlabs.io/dpa abrufbar (Fassung vom 8. April 2026), ist Vertragsbestandteil der ElevenLabs-Bedingungen und gilt, sobald ElevenLabs personenbezogene Daten in Ihren Inhalten — Audio, Video oder Text — auf Ihre dokumentierte Weisung verarbeitet.

Für den deutschen Markt ist die Einordnung wichtig: ElevenLabs veröffentlicht den Vertrag ausschließlich auf Englisch und nennt ihn Data Processing Addendum (DPA) — funktional ist dieses Dokument der ElevenLabs AVV im Sinne des Art. 28 DSGVO. Diese Seite prüft den Vertrag als Beschaffungsdokument: Was regelt jede Klausel, wo erfüllt er die Pflichtinhalte der DSGVO, und wo deutsches Recht und deutsche Beschaffungspraxis eigene Schritte verlangen. Es handelt sich um allgemeine Informationen, keine Rechtsberatung im Einzelfall. Für den systematischen Anbietervergleich siehe unsere Seite zur DSGVO-KI-Beschaffung; für die allgemeine Werkzeugbewertung unseren ElevenLabs-Test.

Was der ElevenLabs AVV regelt: Klauselindex

ElevenLabs gliedert den AVV in dreizehn nummerierte Abschnitte samt zwei Anhängen. Der Vertrag erfasst die Verarbeitung „Customer Personal Data” — personenbezogener Daten in den hochgeladenen Audio-, Video- und Textinhalten — und regelt Parteien, Transferbeschreibung sowie Sicherheitsmaßnahmen in den Anhängen I und II. Die Tabelle führt durch die aktuelle Klauselstruktur; die Klauseltitel stehen im Original auf Englisch, weil der Vertrag allein in englischer Sprache veröffentlicht wird.

Klausel	Inhalt	Beschaffungshinweis
§1 Definitions	„Applicable Data Protection Laws” umfasst EU-DSGVO und e-Privacy-Richtlinie, britisches und Schweizer Recht, CCPA und Brasiliens LGPD; definiert EEA-SCC, UK Addendum und Brazil SCC	Die EU-DSGVO ist direkt adressiert, nicht nur US-Datenschutzrecht
§2 Scope	Gilt, wenn ElevenLabs Customer Personal Data als Auftragsverarbeiter verarbeitet; der Kunde kann Verantwortlicher oder selbst Auftragsverarbeiter für einen Drittauftraggeber sein	Deckt Agentur-Nutzung ab — Agenturen brauchen die notwendigen Ermächtigungen ihrer Kunden
§3 Instructions	Verarbeitung ausschließlich auf dokumentierte Weisung laut Vertrag; Pflicht, konflikierende Rechtspflichten anzuzeigen	Ihre Vertragsdokumente und die Konto-Konfiguration sind die Weisungslage — präzise dokumentieren
§4 Personnel	Vertraulichkeitspflichten und Need-to-know-Zugriff für Mitarbeitende, Beauftragte und Subunternehmer	Entspricht Art. 28 Abs. 3 lit. b DSGVO
§5 Security	Technische und organisatorische Maßnahmen nach Anhang II, veröffentlicht unter compliance.elevenlabs.io	Die TOM darf durch Veröffentlichung angepasst werden — Trust Center beobachten
§6 Subprocessing	Generelle Ermächtigung; Subprozessorenliste unter compliance.elevenlabs.io; 30 Tage Ankündigung per Listen-Update; Widerspruch innerhalb der Frist; Kündigungsrecht bei uneiniger Lösung	Die Widerspruchsfrist läuft innerhalb des 30-Tage-Zeitraums — vor dem Rollout einen Zuständigen benennen
§7 Data subject rights	Unterstützung bei Auskunft, Berichtigung und Löschung; Betroffenenanfragen werden an Sie weitergeleitet	Entspricht Art. 28 Abs. 3 lit. e DSGVO
§8 Breach	Meldung ohne unangemessene Verzögerung nach Bestätigung eines Security Incidents samt Kooperation bei Ihren Meldepflichten	Auslöser ist die Bestätigung, nicht die bloße Kenntnis — im Incident-Runbook vermerken
§9 Deletion and return	AVV endet mit dem Vertrag; Enterprise-Dienste: Löschung binnen 30 Tagen nach Vertragsende; Self-Serve: optionale Löschung erst nach 180 Tagen Inaktivität; Backup-Vorbehalt	Das Self-Serve-Löschungsrecht ist freiwillig — Ihre Aufbewahrungsposition explizit dokumentieren
§10 Audit	Aktueller branchenüblicher Prüfbericht — etwa SOC 2 Type II — erfüllt die Auditrechte; virtuelle Audits nach Vereinbarung auf Kundenkosten außer bei wesentlicher Pflichtverletzung; DSFA-Unterstützung	Audit-Nachweis ist berichtsbasiert — SOC-2-Bericht vor dem Rollout anfordern
§11 Transfers	Angemessenheitsentscheidungen inkl. EU-US Data Privacy Framework; EEA-SCC (Modul Verantwortlicher-zu-Auftragsverarbeiter oder Auftragsverarbeiter-zu-Auftragsverarbeiter); Clause 17 Option 1: irisches Recht; Clause 18(b): irische Gerichte; UK Addendum und Schweizer FADP-Adaptionen	Die SCC gelten mit Wirksamwerden des AVV als ausgehandelt — keine Unterschrift Ihrerseits nötig
§12 US privacy law	CCPA-Zusagen: kein Verkauf, kein Weitergeben	Relevant für US-gerichtete Deployments
§13 Data residency	Optionale Residenz auf Anfrage nach Ermessen von ElevenLabs; Ausnahmen für Subprozessoren, Supportzugriff und das Moderationsteam	Residenz ist keine EU-only-Garantie — die Ausnahmen genau lesen
Anhänge	Anhang I (Parteien, Transferbeschreibung, Aufsichtsbehörde), Anhang II (TOM)	Anhang I nennt Audio-/Videoaufnahmen und Texteingaben als Datenkategorien; sensible Daten: N/A

Zwei Details verdienen bei der eigenen Lektüre Aufmerksamkeit. Erstens ist die SCC-Modulwahl explizit: Verantwortlicher-zu-Auftragsverarbeiter, oder Auftragsverarbeiter-zu-Auftragsverarbeiter, wenn Sie für eigene Kunden verarbeiten; die Docking-Klausel (Clause 7) ist ausgeschlossen, die Benachrichtigungsfrist nach Clause 9(a) ist an die 30-Tage-Subprozessorenankündigung gekoppelt. Zweitens benennt Anhang I als Aufsichtsbehörde die des EWR-Mitgliedstaats, in dem der Datenexporteur niedergelassen ist — für deutsche Unternehmen regelmäßig eine der Landesdatenschutzaufsichtsbehörden.

Deutsche Rechtslage: Wo der ElevenLabs AVV ansetzt und wo Lücken bleiben

Der ElevenLabs AVV erfüllt die Strukturanforderungen des Art. 28 DSGVO. Für die Beschaffung in Deutschland stellen sich danach fünf praktische Fragen — und sie lauten hier anders als bei Anbietern mit deutschem oder europäischem Vertragsschluss.

Vertragspartei und Vertragsstatut. Deutsche Unternehmen schließen mit Eleven Labs Inc., New York, ab — auch die EEA-Fassung der Nutzungsbedingungen hält die US-Entität als Vertragspartei für europäische Kunden fest, mit New Yorker Recht und ausschließlichem Gerichtsstand in New York City für Unternehmen. Nur die SCC-Ebene des AVV untersteht irischem Recht mit irischen Gerichten. Ein deutscher Gerichtsstand oder deutsches Vertragsrecht ist nicht Teil des Pakets; wer intern ein deutsches Rechtswahl-Konzept fährt, muss das über die DSGVO-Pflichten und die eigene Governance lösen, nicht über das Vertragsstatut.

Deutsche Änderungsklausel in den AGB. Bemerkenswert: Die EEA-Nutzungsbedingungen enthalten eine eigene Änderungsvorbehalt-Regelung für Kunden mit Sitz in Deutschland — mit Anzeige per E-Mail, einer Abstimmungsfrist von mindestens sechs Wochen und dem ausdrücklichen Hinweis auf die Folgen des Schweigens. Das entspricht den Anforderungen, die deutsche Rechtsprechung an B2B-Änderungsklauseln stellt. Die Hauptleistungspflichten sind von Änderungen ausgenommen. Für Ihre Vendor-Akte: Änderungs-E-Mails intern an eine benannte Stelle routing, nicht ins Postfach-Rauschen.

Art.-9-Daten und Stimm­daten. Anhang I des AVV erklärt sensible Daten mit „N/A” — und die EEA-Nutzungsbedingungen gehen weiter und untersagen das Hochladen besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO vollständig. Die Grenzfläche ist die Stimme: Eine Sprachaufnahme ist personenbezogen, und sie wird zur biometrischen Daten, wenn sie zur eindeutigen Identifizierung einer Person verarbeitet wird. Standard-Text-to-Speech- und Voiceover-Workflows bleiben regelmäßig außerhalb des Art. 9; Sprechererkennung oder Stimmverifikation nicht — und die vertragliche Verbotslage trägt solche Use Cases nicht.

KI-Training und Content-Lizenz. Die Nutzungsbedingungen räumen ElevenLabs eine weitreichende, unwiderrufliche Lizenz an Ihren Inhalten ein — einschließlich der Verwendung zur Verbesserung der Modelle. Sie können der Nutzung für Training aber jederzeit über das Menü „Data use” im Konto widersprechen. Die Aufteilung beachten: Der AVV regelt die Verarbeitung personenbezogener Daten, die Trainings-Grenze sitzt in der Lizenz. Opt-out setzen, Konfiguration dokumentieren und nach Kontoänderungen erneut prüfen.

Löschung, Audit und Residenz in der Praxis. Für die Löschung gilt eine Zweiteilung, die deutsche Datenschutz-Akten kennen müssen: Enterprise-Dienste löschen Inhalte binnen 30 Tagen nach Vertragsende, während Self-Serve-Dienste die Löschung erst nach 180 Tagen Inaktivität vorsehen — als Recht ohne Pflicht. Der Auditnachweis ist berichtsbasiert: Ein aktueller SOC-2-Type-II-Bericht erfüllt die Auditrechte, ergänzende virtuelle Audits gibt es nur nach Vereinbarung und auf Ihre Kosten. Und die EU-Datenresidenz nach §13 ist antragsabhängig und mit Ausnahmen für Subprozessoren, Support und Moderation versehen — bei strikten Residenzanforderungen den tatsächlichen Umfang schriftlich bestätigen lassen. Den Zugriffspfad anders vergleicht unsere Analyse des Anthropic-Datenverarbeitungsvertrags.

Art.-28-DSGVO-Checkliste für den ElevenLabs AVV

Arbeiten Sie diese Schritte vor dem Produktiveinsatz ab und halten Sie die Nachweise im Vendor-Management fest:

1. Rollenverteilung dokumentieren. Festhalten, dass ElevenLabs als Auftragsverarbeiter nach dem AVV handelt und Ihr Unternehmen für den definierten Workflow Verantwortlicher bleibt — oder Auftragsverarbeiter gegenüber Ihren eigenen Kunden mit deren Ermächtigungen in der Akte.
2. Pflichtinhalte abgleichen. Jedes Element des Art. 28 Abs. 3 DSGVO gegen den Klauselindex oben prüfen — Weisungen, Vertraulichkeit, Sicherheit, Subprozessoren, Betroffenenrechte, Pannenmeldung, Löschung und Audit sind adressiert.
3. Transfers dokumentieren. SCC-Beiziehung (irisches Recht, irische Gerichte), die Verlässlichkeit auf Angemessenheitsentscheidungen einschließlich EU-US Data Privacy Framework sowie Transferpfade im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO erfassen; bei Bedarf ein Transfer Impact Assessment durchführen.
4. Subprozessoren-Monitoring einrichten. Das 30-Tage-Ankündigungsfenster gegen die Liste unter compliance.elevenlabs.io verkalkern, intern festlegen, wer neue Subprozessoren bewertet, und den Widerspruchsweg dokumentieren.
5. Lücken schließen, die der AVV nicht füllt. Rechtsgrundlage festlegen, DSFA durchführen, sofern erforderlich, bei teamweiten Rollouts mit Nutzungsanalysen den Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG einbinden und die Trainings-Opt-out-Konfiguration dokumentieren.

ElevenLabs AVV abrufen und abschließen

ElevenLabs fährt ein öffentliches, selbstausführendes Modell — ein spürbarer Unterschied zu portalbasierten Anbieter-AVV. Es gibt kein Login, kein Antragsformular und keine Gegenzeichnung: Die Nutzungsbedingungen nehmen den AVV als Supplemental Terms auf, und die Einbindung greift für Firmenkonten mit der Nutzung des Dienstes.

Vier Schritte für Ihre Unterlagen:

1. Aktuelle Fassung öffnen unter elevenlabs.io/dpa und mit Zugriffsdatum im Vendor-Ordner ablegen (Fassung vom 8. April 2026 zur Zeit der Erstellung).
2. Einbindung dokumentieren. Die Supplemental-Terms-Klausel der Nutzungsbedingungen in Ihrer Dokumentation zitieren, damit die Rechtsgrundlage des AVV im Verarbeitungsverzeichnis nachvollziehbar bleibt.
3. Compliance-Paket ziehen. Subprozessorenliste und technische sowie organisatorische Maßnahmen von compliance.elevenlabs.io herunterladen und den aktuellen SOC-2-Type-II-Bericht als Audit-Nachweis anfordern.
4. Eigene Seite aktivieren. Das 30-Tage-Widerspruchsfenster verkalkern, das Trainings-Opt-out im Menü „Data use” setzen und Version sowie Zugriffsdatum im Vendor-Register festhalten.

Ausnahme ist der kostenlose Plan: Er ist nur für nicht-kommerzielle Nutzung lizenziert, sodass jede geschäftliche Verarbeitung personenbezogener Daten auf einen Bezahlplan gehört — dort greift die hier beschriebene AVV-Praxis tatsächlich.

Wann der ElevenLabs AVV nicht ausreicht

Ein vorhandener AVV ist der Eintrittspreis, nicht die Ziellinie. Eine vertiefte Prüfung ist regelmäßig erforderlich, wenn:

• der Workflow Sprechererkennung oder Stimmverifikation umfasst — zur eindeutigen Identifizierung genutzte Stimme ist biometrische Daten nach Art. 9 DSGVO, und die EEA-Bedingungen untersagen deren Hochladen
• Ihre Richtlinie EU-only-Datenresidenz als Zusage verlangt — §13 ist antragsabhängig und für Subprozessoren, Support und Moderation ausgenommen
• Voice Cloning Persönlichkeitsrechte identifizierbarer Sprecher jenseits des Datenschutzes berührt — Consent-Ketten und Lizenzen brauchen eine separate Prüfung
• der Einsatz neben der DSGVO Transparenz- oder Risikopflichten nach dem EU AI Act erfüllen muss
• branchenspezifische Regeln gelten — etwa in Finanzdienstleistungen, Gesundheitsversorgung oder regulierter Beratung

In diesen Szenarien ist der AVV eine Akte unter mehreren: Rechtsgrundlage, Verarbeitungsarchitektur, Transfermechanismus und interne Governance gehören in dieselbe Prüfung.

Compound Law berät Unternehmen, Gründer und In-house-Teams in Deutschland zu DSGVO-Compliance, kommerziellen Verträgen und KI-Beschaffung. Wenn Sie den ElevenLabs AVV oder einen anderen KI-Anbietervertrag vor dem Rollout prüfen lassen möchten, nehmen Sie Kontakt auf.