--- title: "OpenAI Whisper DSGVO: AVV, Sprachdaten und Datenschutz" description: "OpenAI Whisper verarbeitet Sprachdaten. Unternehmen brauchen einen AVV und eine Rechtsgrundlage für Audiodaten nach DSGVO." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/tools/whisper/" language: "de" --- ![OpenAI Whisper DSGVO-Compliance und Auftragsverarbeitungsvertrag für deutsche Unternehmen](https://compound.law/assets/images/tools/tools_3.webp) tools # OpenAI Whisper DSGVO: AVV, Sprachdaten und Datenschutz 6\. April 2026 **OpenAI Whisper verarbeitet Audioaufnahmen und erstellt Transkripte. Deutsche Unternehmen, die Whisper über die OpenAI API nutzen, müssen einen Auftragsverarbeitungsvertrag (AVV) mit OpenAI abschließen und eine Rechtsgrundlage für die Verarbeitung von Sprachdaten nach DSGVO nachweisen.** Da Sprachaufnahmen personenbezogene Daten — und in bestimmten Fällen biometrische Daten — darstellen können, erfordert der Einsatz von Whisper für Meeting-Transkription, Anrufaufzeichnung oder Kundenservice eine sorgfältige Compliance-Vorbereitung. Unternehmen, die Whisper lokal (selbst gehostet) auf ihrer eigenen Infrastruktur betreiben, senden keine Audiodaten an OpenAI, tragen aber als Verantwortliche die vollständige DSGVO-Verantwortung. ## Hat OpenAI Whisper einen Auftragsverarbeitungsvertrag (AVV)? OpenAI stellt ein **Data Processing Addendum (DPA)** bereit, das die Nutzung der OpenAI API — einschließlich der Whisper-Transkriptions-Endpunkte — abdeckt. Der AVV ist für API-Kunden verfügbar und regelt die Verarbeitung personenbezogener Daten durch OpenAI in Ihrem Auftrag, wenn Sie Audiodateien an den Whisper-Endpunkt senden. Wesentliche Inhalte des OpenAI AVV: - **Auftragsverarbeiter-Verhältnis:** OpenAI ist Auftragsverarbeiter, wenn Sie die API nutzen. Sie sind der Verantwortliche (Controller) für die personenbezogenen Daten Ihrer Mitarbeitenden, Kunden oder Gesprächsteilnehmer. - **Standardvertragsklauseln:** Der AVV enthält EU-Standardvertragsklauseln (SCC) für die Übermittlung personenbezogener Daten aus der EU/EWR an die US-amerikanische Infrastruktur von OpenAI. - **Datenspeicherung:** Laut den API-Nutzungsbedingungen von OpenAI werden API-Eingaben und -Ausgaben standardmäßig nicht für das Modelltraining genutzt, und Daten werden nur für den Zeitraum aufbewahrt, der zur Erbringung des Dienstes erforderlich ist. - **Unterauftragsverarbeiterliste:** OpenAI veröffentlicht eine Liste der für die API eingesetzten Unterauftragsverarbeiter, einschließlich Cloud-Infrastrukturanbieter. Der AVV muss abgeschlossen sein, **bevor** Sie über die Whisper API personenbezogene Daten verarbeiten. Das Versenden von Audiodateien mit identifizierbaren Stimmen an die Whisper API ohne gültigen AVV stellt einen Verstoß gegen Art. 28 DSGVO dar. Wenn Sie Whisper als **selbst gehostetes Open-Source-Modell** auf eigenen Servern betreiben, benötigen Sie keinen AVV mit OpenAI — sind aber als Verantwortlicher vollständig für die DSGVO-konforme Verarbeitung zuständig. ## Whisper und Sprachdaten nach DSGVO — Was gilt als personenbezogenes Datum? Sprachdaten sind nahezu immer **personenbezogene Daten** im Sinne von Art. 4 Nr. 1 DSGVO. Eine Sprachaufnahme identifiziert die sprechende Person — oder ermöglicht deren Identifizierung. Dies gilt unabhängig davon, ob Sie aufzeichnen: - **Interne Meetings:** Stimmen von Mitarbeitenden sind personenbezogene Daten. Selbst wenn nur das Transkript gespeichert wird, muss die Audiodatei während der Verarbeitung als personenbezogenes Datum behandelt werden. - **Kundendienst-Gespräche:** Audioaufnahmen von Kundengesprächen sind personenbezogene Daten beider Parteien — des Kunden und des Mitarbeitenden. - **Sprachbefehle oder Diktat:** Einzelsprecheraufnahmen für Diktat oder Sprachsteuerung sind personenbezogene Daten der sprechenden Person. In bestimmten Anwendungsfällen können Sprachaufnahmen als **biometrische Daten** nach Art. 9 DSGVO (besondere Kategorien) eingestuft werden. Biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden — z. B. zur Sprecheridentifikation oder Stimmenauthentifizierung — erfordern eine ausdrückliche Einwilligung oder einen anderen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO mit deutlich höheren Compliance-Anforderungen. Bei Standard-Transkriptionsanwendungen (Sprache-zu-Text ohne Sprecheridentifikation) handelt es sich um personenbezogene Daten nach Art. 4 Nr. 1 DSGVO, nicht aber um besondere Kategorien — vorausgesetzt, das System versucht nicht, Personen anhand ihrer Stimmmerkmale zu identifizieren. ## Whisper lokal betreiben vs. API nutzen — Compliance-Unterschiede Diese Unterscheidung ist entscheidend für Ihre DSGVO-Compliance bei Whisper: | Aspekt | Whisper API (OpenAI-gehostet) | Selbst gehostetes Whisper | | -------------------------------------------- | ---------------------------------------- | ------------------------------- | | AVV mit OpenAI erforderlich | Ja (Art. 28 DSGVO) | Nein | | Daten verlassen eigene Infrastruktur | Ja — Audio wird an US-Server übermittelt | Nein | | EU-US-Datentransfer-Mechanismus erforderlich | Ja — SCC im OpenAI AVV | Nein | | Verantwortlicher | Sie | Sie | | DSGVO-Pflichten | Vollständig — inkl. Drittlandtransfer | Vollständig | | Aufwand | Geringerer Betriebsaufwand | Höherer Infrastrukturaufwand | | KI-Act-Pflichten | Gelten für Ihren Anwendungsfall | Gelten für Ihren Anwendungsfall | **Datenschutzrechtlicher Vorteil des selbst gehosteten Whisper:** Audiodateien verlassen Ihre Infrastruktur nicht. Dies eliminiert das Drittlandtransfer-Risiko, macht einen OpenAI AVV überflüssig und erleichtert die Datenlokalisierung erheblich. Für Organisationen, die besonders sensible Sprachdaten verarbeiten — Patientengespräche, rechtliche Verfahren, HR-Interviews — reduziert das selbst gehostete Whisper das DSGVO-Risiko erheblich. **Compliance-Hinweis für die API-Nutzung:** Jede Audiodatei, die Sie an die Whisper API senden, wird an die US-Server von OpenAI übermittelt. AVV und SCC müssen vorab abgeschlossen und aktuell sein, und Ihre Datenschutzhinweise müssen diese internationale Übermittlung offenlegen. ## AVV für OpenAI Whisper in Deutschland Das OpenAI DPA fungiert als **Auftragsverarbeitungsvertrag (AVV)** nach Art. 28 DSGVO, wenn deutsche Unternehmen die Whisper API nutzen. So richten Sie eine konforme AVV-Beziehung ein: 1. **OpenAI Data Processing Addendum akzeptieren:** Über die API-Kontoeinstellungen oder durch direkte Unterzeichnung mit Ihrem OpenAI-Ansprechpartner bei Enterprise-Verträgen. 2. **SCC verifizieren:** Sicherstellen, dass EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914) in den AVV für die EU-US-Audioübermittlung einbezogen sind. 3. **Verzeichnis der Verarbeitungstätigkeiten aktualisieren:** OpenAI / Whisper API als Auftragsverarbeiter für Sprach- und Transkriptionsdaten im Verzeichnis nach Art. 30 DSGVO eintragen. 4. **Unterauftragsverarbeiterliste prüfen:** Die veröffentlichte Liste von OpenAI prüfen und beurteilen, ob einzelne Unterauftragsverarbeiter zusätzliche Transfer- oder Risikobedenken aufwerfen. 5. **Datenschutzhinweise aktualisieren:** Mitarbeiter- und kundenseitige Datenschutzhinweise müssen offenlegen, dass Audiodaten von OpenAI als Auftragsverarbeiter verarbeitet werden, einschließlich der internationalen Übermittlung. ## Whisper-Anwendungsfälle und DSGVO-Risikoniveaus: Meetings, Anrufe, Kundendienst Verschiedene Whisper-Anwendungsfälle weisen unterschiedliche DSGVO-Risikoprofile auf: **Interne Meeting-Transkription (mittleres Risiko)** Audioaufnahmen interner Meetings enthalten personenbezogene Daten von Mitarbeitenden. Die Rechtsgrundlage ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Arbeitsvertrags) oder Art. 6 Abs. 1 lit. f (berechtigtes Interesse). Mitarbeitende müssen vor Beginn darüber informiert werden, dass Meetings aufgezeichnet und transkribiert werden — ein einfacher Hinweis zu Beginn des Meetings ist in der Regel ausreichend. Transkripte sollten nur so lange gespeichert werden wie nötig, und der Zugriff ist zu beschränken. **Kundendienst-Anruftranskription (hohes Risiko)** Kundengespräche sind personenbezogene Daten des Kunden. Die Rechtsgrundlage erfordert sorgfältige Analyse: Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f gilt häufig, aber Kunden müssen vor Beginn informiert werden („Dieser Anruf wird zur Qualitätssicherung aufgezeichnet und transkribiert.”). Bei ausgehenden Anrufen ist eine vorherige Benachrichtigung erforderlich. Für die systematische Transkription in Call-Centern wird eine Datenschutz-Folgenabschätzung (DSFA) empfohlen. **Mitarbeiterdiktat und Sprache-zu-Text (geringeres Risiko)** Individuelle Diktierfunktionen für die persönliche Produktivität von Mitarbeitenden sind risikoärmer, erfordern aber dennoch eine Rechtsgrundlage und Nennung in den Mitarbeiter-Datenschutzhinweisen. **Sprecheridentifikation oder Stimmanalyse (hohes Risiko — ggf. besondere Datenkategorie)** Jeder Anwendungsfall, der versucht, Personen anhand ihrer Stimme zu identifizieren, emotionale Zustände zu analysieren oder Stimmprofile zu erstellen, fällt unter die Sondervorschriften des Art. 9 DSGVO für besondere Kategorien personenbezogener Daten. Eine ausdrückliche Einwilligung ist in der Regel der einzig tragfähige Erlaubnistatbestand, und eine DSFA ist zwingend vorgeschrieben. ## Betriebsratsanforderungen bei Audioaufzeichnung und Transkription **Die Aufzeichnung und Transkription von Mitarbeitenden löst Mitbestimmungsrechte nach deutschem Arbeitsrecht aus.** Der Betriebsrat hat zwingend Mitbestimmungsrechte nach **§ 87 Abs. 1 Nr. 6 BetrVG** bei jeder technischen Einrichtung, die zur Überwachung des Verhaltens oder der Leistung von Mitarbeitenden geeignet ist — und Transkriptionstools fallen eindeutig darunter. Über das BetrVG hinaus müssen deutsche Arbeitgeber zusätzlich beachten: - **BDSG § 26:** Die Überwachung von Beschäftigten muss verhältnismäßig sein und kann Betriebsratsbeteiligung erfordern. Die systematische Aufzeichnung von Mitarbeiterkommunikation erfordert eine dokumentierte Rechtfertigung. - **Fernmeldegeheimnis:** Die Aufzeichnung von Telefongesprächen in Deutschland unterliegt strengen gesetzlichen Anforderungen. Beide Parteien müssen der Aufzeichnung zustimmen. Heimliche Aufzeichnungen sind nach **§ 201 StGB** (Verletzung der Vertraulichkeit des Wortes) strafbar. Dies gilt gleichermaßen für die Transkription: Ein Gespräch aufzuzeichnen und ohne Einwilligung durch Whisper zu transkribieren ist rechtswidrig. Vor dem Einsatz von Whisper für Anwendungsfälle mit Mitarbeitenden müssen Sie: 1. **Den Betriebsrat informieren** über den geplanten Einsatz von Whisper — welche Audioquellen transkribiert werden, wie Transkripte gespeichert werden und wer Zugriff erhält. 2. **Eine Betriebsvereinbarung aushandeln**, die zulässige Aufzeichnungsszenarien, Aufbewahrungsfristen für Transkripte und Zugriffskontrollen regelt. 3. **Einen Einwilligungsmechanismus implementieren** für Anrufaufzeichnungen, wenn Gespräche mit externen Parteien transkribiert werden sollen. 4. **Alles dokumentieren** — Rechtsgrundlage, Benachrichtigungsverfahren und die Betriebsvereinbarung — bevor Sie live gehen. Der Einsatz von Whisper für Meeting-Transkription ohne Betriebsratsbeteiligung kann zu einer Unterlassungsverfügung führen. Bei Anrufaufzeichnungen ist die rechtliche Exposition größer: Unerlaubte Aufzeichnungen sind nach § 201 StGB strafbar. ## Compliance-Checkliste für deutsche Unternehmen beim Einsatz von Whisper - [ ] **Betriebsmodell festgelegt:** API oder selbst gehostet — Compliance-Pfad bestimmt - [ ] **AVV abgeschlossen:** OpenAI Data Processing Addendum akzeptiert oder unterzeichnet (nur bei API-Nutzung) - [ ] **SCC bestätigt:** Standardvertragsklauseln für EU-US-Audioübermittlung im OpenAI AVV enthalten - [ ] **Unterauftragsverarbeiterliste geprüft:** Liste von OpenAI geprüft, Datenschutzhinweise aktualisiert - [ ] **Verarbeitungsverzeichnis aktualisiert:** Whisper / OpenAI API im Verzeichnis nach Art. 30 DSGVO eingetragen - [ ] **Rechtsgrundlage dokumentiert:** Für jeden Anwendungsfall identifiziert und dokumentiert (Meetings, Anrufe, Diktat) - [ ] **Datenschutzhinweise aktualisiert:** Mitarbeiter- und Kundendatenschutzhinweise offenlegen die Audioverarbeitung und OpenAI als Auftragsverarbeiter - [ ] **Teilnehmerbenachrichtigung:** Mechanismus für die Vorab-Information von Meeting-Teilnehmern und Anrufparteien vor Aufzeichnung eingerichtet - [ ] **Einwilligungsmechanismus für Anrufe:** Einwilligung für Anrufaufzeichnung eingeholt (Fernmeldegeheimniskonformität) - [ ] **DSFA durchgeführt:** Erforderlich bei systematischer Aufzeichnung von Mitarbeiterkommunikation oder Kundengesprächen in großem Maßstab - [ ] **Betriebsrat informiert:** Betriebsrat vor Inbetriebnahme benachrichtigt, wenn Mitarbeitende aufgezeichnet werden - [ ] **Betriebsvereinbarung abgeschlossen:** Betriebsvereinbarung zu Aufzeichnung und Transkription unterzeichnet - [ ] **Aufbewahrungsrichtlinie definiert:** Transkripte und Audiodateien nach Zweckerfüllung gelöscht; Fristen dokumentiert Compound Law berät deutsche Unternehmen beim Einsatz von Whisper: AVV-Prüfung, DSFA-Erstellung, Betriebsratsverhandlungen und Rechtsgrundlagenanalyse für die Sprachdatenverarbeitung. Mehr zu unseren [Compliance-Leistungen](https://compound.law/de-DE/compliance/). Zum Vergleich empfehlen wir unsere Leitfäden zu [KI-Mitarbeiterüberwachung und Datenschutz](https://compound.law/de-DE/compliance/ai-employee-monitoring/) und [OpenAI API DSGVO-Compliance](https://compound.law/de-DE/tools/openai-api/). *** ## Häufig gestellte Fragen ### Ist OpenAI Whisper DSGVO-konform? OpenAI Whisper kann DSGVO-konform eingesetzt werden, aber die Konformität hängt davon ab, wie Sie es betreiben. Die Nutzung der Whisper API erfordert einen Auftragsverarbeitungsvertrag mit OpenAI, Standardvertragsklauseln für den EU-US-Datentransfer, eine dokumentierte Rechtsgrundlage für die Verarbeitung von Sprachdaten und die Aufklärung der betroffenen Personen. Selbst gehostetes Whisper vermeidet den OpenAI-Datentransfer, überträgt aber die vollständige DSGVO-Verantwortung auf Ihre Organisation. Keine Betriebsvariante ist „automatisch konform” — die Vorbereitung des Verantwortlichen entscheidet über die Rechtmäßigkeit. ### Hat OpenAI Whisper einen AVV (Auftragsverarbeitungsvertrag)? Ja — für API-Nutzer. OpenAI stellt ein Data Processing Addendum bereit, das als AVV nach Art. 28 DSGVO fungiert. Es muss über Ihre OpenAI-Kontoeinstellungen akzeptiert oder bei Enterprise-API-Verträgen direkt mit OpenAI unterzeichnet werden. Der AVV enthält Standardvertragsklauseln für die EU-US-Übermittlung von Audiodaten. Selbst gehostete Whisper-Nutzer benötigen keinen AVV mit OpenAI, sind aber als Verantwortliche für alle DSGVO-Pflichten selbst zuständig. ### Darf ich Mitarbeitergespräche mit Whisper aufzeichnen? Die Aufzeichnung von Mitarbeitergesprächen (oder Gesprächen mit identifizierbaren Parteien) erfordert nach deutschem Recht die Einwilligung aller Beteiligten. Heimliche Aufzeichnungen sind nach **§ 201 StGB** (Verletzung der Vertraulichkeit des Wortes) strafbar — unabhängig davon, ob Sie Whisper oder ein anderes Transkriptionstool verwenden. Bevor Sie Gespräche aufzeichnen und transkribieren, implementieren Sie einen Einwilligungsmechanismus (z. B. eine automatische Ansage zu Beginn des Gesprächs) und holen Sie die Betriebsratsbeteiligung ein. ### Ist selbst gehostetes Whisper datenschutzrechtlich vorteilhafter? Ja, in mehrerer Hinsicht. Selbst gehostetes Whisper bedeutet, dass Audiodateien vollständig auf Ihren eigenen Servern verarbeitet werden und Ihre Infrastruktur nicht verlassen. Dies eliminiert das Drittlandtransfer-Risiko, macht einen OpenAI-AVV überflüssig und vereinfacht die Datenlokalisierung erheblich. Für Organisationen, die sensible Audiodaten verarbeiten — in der Medizin, im Rechtsbereich oder bei Finanzdienstleistungen — ist selbst gehostetes Whisper generell die risikoärmere Option. Der Nachteil sind höhere Infrastruktur- und Wartungskosten. ### Müssen Mitarbeitende über die Transkription von Meetings informiert werden? Ja. Mitarbeitende müssen vor der Aufzeichnung ihrer Stimmen informiert werden, da Sprachaufnahmen personenbezogene Daten nach DSGVO sind. Diese Information gehört in den Mitarbeiter-Datenschutzhinweis und sollte durch einen Hinweis zu Beginn jedes aufgezeichneten Meetings ergänzt werden. Wenn Ihre Organisation einen Betriebsrat hat, ist dessen Beteiligung vor dem Einsatz eines systematischen Meeting-Transkriptionssystems nach § 87 Abs. 1 Nr. 6 BetrVG zwingend erforderlich. ### Was gilt als Rechtsgrundlage für die Transkription von Kundengesprächen? Für Kundengespräche sind die gebräuchlichsten Rechtsgrundlagen **Art. 6 Abs. 1 lit. f DSGVO** (berechtigtes Interesse, z. B. Qualitätssicherung) oder **Art. 6 Abs. 1 lit. a DSGVO** (Einwilligung). Unabhängig von der gewählten Grundlage müssen Kunden vor der Aufzeichnung informiert werden — in der Regel durch eine mündliche oder automatische Ansage zu Beginn des Gesprächs. Bei eingehenden Anrufen genügt eine aufgezeichnete Ansage. Bei ausgehenden Anrufen kann eine vorherige schriftliche Benachrichtigung erforderlich sein. Dokumentieren Sie Ihre Rechtsgrundlagenprüfung und implementieren Sie ein Verfahren für Widersprüche oder den Widerruf der Einwilligung. ## Weitere Tool-Guides [![Canva AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_3.webp)](https://compound.law/de-DE/tools/canva-avv/) [tools](https://compound.law/de-DE/tools/canva-avv/) ### [Hat Canva eine AVV? Ja — Canva-AVV-Leitfaden für Deutschland](https://compound.law/de-DE/tools/canva-avv/) [Ja — Canva bietet einen Auftragsverarbeitungsvertrag: das Data Processing Addendum. Was der Canva AVV klauselweise regelt und wo deutsche Pflichten ansetzen.](https://compound.law/de-DE/tools/canva-avv/) [![Cursor AVV Auftragsverarbeitungsvertrag Art. 28 DSGVO für Deutschland](https://compound.law/assets/images/tools/tools_2.webp)](https://compound.law/de-DE/tools/cursor-avv/) [tools](https://compound.law/de-DE/tools/cursor-avv/) ### [Cursor AVV: Ja — Was der Anysphere-Auftragsverarbeitungsvertrag regelt](https://compound.law/de-DE/tools/cursor-avv/) [Ja, Cursor bietet einen AVV an — öffentlich unter cursor.com/terms/dpa. Was der Cursor-AVV nach Art. 28 DSGVO regelt und wie deutsche Teams ihn prüfen.](https://compound.law/de-DE/tools/cursor-avv/) [![ElevenLabs AVV Auftragsverarbeitungsvertrag nach Art. 28 DSGVO](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/elevenlabs-avv/) [tools](https://compound.law/de-DE/tools/elevenlabs-avv/) ### [Hat ElevenLabs eine AVV? Ja — ElevenLabs-AVV für Deutschland](https://compound.law/de-DE/tools/elevenlabs-avv/) [Ja — ElevenLabs bietet einen Auftragsverarbeitungsvertrag unter elevenlabs.io/dpa. Was der ElevenLabs AVV klauselweise nach Art. 28 DSGVO regelt.](https://compound.law/de-DE/tools/elevenlabs-avv/) [![Synthesia DSGVO-Fakten: KI-Training mit Kundendaten, AVV und EU-Speicherung](https://compound.law/assets/images/tools/tools_4.webp)](https://compound.law/de-DE/tools/synthesia/) [tools](https://compound.law/de-DE/tools/synthesia/) ### [Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten](https://compound.law/de-DE/tools/synthesia/) [Nein — Synthesia trainiert nicht auf Kundendaten. DSGVO-tauglich für deutsche Firmen: AVV nach Art. 28, EU-Speicherung in Irland. Was Sie prüfen müssen.](https://compound.law/de-DE/tools/synthesia/) [![Claude EU-Hosting Vergleich für Anthropic API, AWS Bedrock und Vertex AI](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-eu-hosting/) [tools](https://compound.law/de-DE/tools/claude-eu-hosting/) ### [Claude EU-Hosting: Wo Claude gehostet ist und was unter DSGVO gilt (2026)](https://compound.law/de-DE/tools/claude-eu-hosting/) [Wo ist Claude gehostet? Direkte Nutzung: US-Speicher als Standard. EU-Regionen gibt es über AWS Bedrock oder Vertex AI – inklusive DSGVO-Prüfpunkte.](https://compound.law/de-DE/tools/claude-eu-hosting/) [![Claude ZDR: Zero Data Retention erklärt — Scope für Anthropic API und Claude Code](https://compound.law/assets/images/tools/tools_1.webp)](https://compound.law/de-DE/tools/claude-zdr/) [tools](https://compound.law/de-DE/tools/claude-zdr/) ### [Claude ZDR: Zero Data Retention erklärt — Scope für API und Claude Code](https://compound.law/de-DE/tools/claude-zdr/) [ZDR bedeutet Zero Data Retention — keine dauerhafte Speicherung. Scope für Anthropic API und Claude Code, Policy-Quellen, AVV und DSGVO erklärt.](https://compound.law/de-DE/tools/claude-zdr/) Tool Library ### Mehr KI-Tools nach Thema durchsuchen Vergleichen Sie weitere Tools, Datenschutzfragen und Einsatzszenarien in unserer vollständigen KI-Tool-Bibliothek. [Alle KI-Tools ansehen](https://compound.law/de-DE/tools/) - [HubSpot DSGVO-konform? Marketing Hub, Free CRM und AVV tools](https://compound.law/de-DE/tools/hubspot/) - [Cursor AVV 2026: Wo Sie ihn finden und was er regelt tools](https://compound.law/de-DE/tools/cursor/) - [DeepSeek DSGVO-konform? Was deutsche Unternehmen wissen müssen tools](https://compound.law/de-DE/tools/deepseek/) - [Zapier DSGVO 2026: AVV, Art. 28 & EU-Datentransfer aktuell tools](https://compound.law/de-DE/tools/zapier/) - [Ist Claude Code DSGVO-konform? AVV, Datenspeicherung und Hosting tools](https://compound.law/de-DE/tools/claude-code-dsgvo/) - [Claude Enterprise Preise: Kein Listenpreis — Angebot, AVV, EU-Grenzen tools](https://compound.law/de-DE/tools/claude-enterprise/) - [Claude DSGVO: Welche Claude-Tarife fuer Unternehmen zulaessig sind tools](https://compound.law/de-DE/tools/claude-dsgvo/) - [Anthropic Standardvertragsklauseln (SCC): DSGVO-Leitfaden Modul 2 und 3 tools](https://compound.law/de-DE/tools/anthropic-scc/) - [Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen tools](https://compound.law/de-DE/tools/zoom/) - [Hat Airtable einen AVV? Ja — aber nur im Enterprise-Plan (DSGVO) tools](https://compound.law/de-DE/tools/airtable-ai/) - [Claude Team vs. Enterprise: Tarifvergleich für Unternehmen in Deutschland tools](https://compound.law/de-DE/tools/claude-team-vs-enterprise/) - [Claude Enterprise für Kanzleien und Rechtsabteilungen tools](https://compound.law/de-DE/tools/claude-enterprise-kanzleien/) - [Anthropic AVV: Datenverarbeitungsvertrag nach Art. 28 DSGVO? tools](https://compound.law/de-DE/tools/anthropic-datenverarbeitungsvertrag/) - [Claude Enterprise für Deutschland — DSGVO-konform & sicher tools](https://compound.law/de-DE/tools/claude-enterprise-deutschland/) - [Anthropic DPA: Art. 28 DSGVO-Prüfung für Deutschland tools](https://compound.law/de-DE/tools/anthropic-dpa/) ## Häufige Fragen OpenAI Whisper kann DSGVO-konform eingesetzt werden, aber die Konformität hängt davon ab, wie Sie es betreiben. Die Nutzung der Whisper API erfordert einen Auftragsverarbeitungsvertrag mit OpenAI, Standardvertragsklauseln für den EU-US-Datentransfer, eine dokumentierte Rechtsgrundlage für die Verarbeitung von Sprachdaten und die Aufklärung der betroffenen Personen. Selbst gehostetes Whisper vermeidet den OpenAI-Datentransfer, überträgt aber die vollständige DSGVO-Verantwortung auf Ihre Organisation. Keine Betriebsvariante ist „automatisch konform" — die Vorbereitung des Verantwortlichen entscheidet über die Rechtmäßigkeit. Ja — für API-Nutzer. OpenAI stellt ein Data Processing Addendum bereit, das als AVV nach Art. 28 DSGVO fungiert. Es muss über Ihre OpenAI-Kontoeinstellungen akzeptiert oder bei Enterprise-API-Verträgen direkt mit OpenAI unterzeichnet werden. Der AVV enthält Standardvertragsklauseln für die EU-US-Übermittlung von Audiodaten. Selbst gehostete Whisper-Nutzer benötigen keinen AVV mit OpenAI, sind aber als Verantwortliche für alle DSGVO-Pflichten selbst zuständig. Die Aufzeichnung von Mitarbeitergesprächen (oder Gesprächen mit identifizierbaren Parteien) erfordert nach deutschem Recht die Einwilligung aller Beteiligten. Heimliche Aufzeichnungen sind nach \*\*§ 201 StGB\*\* (Verletzung der Vertraulichkeit des Wortes) strafbar — unabhängig davon, ob Sie Whisper oder ein anderes Transkriptionstool verwenden. Bevor Sie Gespräche aufzeichnen und transkribieren, implementieren Sie einen Einwilligungsmechanismus (z. B. eine automatische Ansage zu Beginn des Gesprächs) und holen Sie die Betriebsratsbeteiligung ein. Ja, in mehrerer Hinsicht. Selbst gehostetes Whisper bedeutet, dass Audiodateien vollständig auf Ihren eigenen Servern verarbeitet werden und Ihre Infrastruktur nicht verlassen. Dies eliminiert das Drittlandtransfer-Risiko, macht einen OpenAI-AVV überflüssig und vereinfacht die Datenlokalisierung erheblich. Für Organisationen, die sensible Audiodaten verarbeiten — in der Medizin, im Rechtsbereich oder bei Finanzdienstleistungen — ist selbst gehostetes Whisper generell die risikoärmere Option. Der Nachteil sind höhere Infrastruktur- und Wartungskosten. Ja. Mitarbeitende müssen vor der Aufzeichnung ihrer Stimmen informiert werden, da Sprachaufnahmen personenbezogene Daten nach DSGVO sind. Diese Information gehört in den Mitarbeiter-Datenschutzhinweis und sollte durch einen Hinweis zu Beginn jedes aufgezeichneten Meetings ergänzt werden. Wenn Ihre Organisation einen Betriebsrat hat, ist dessen Beteiligung vor dem Einsatz eines systematischen Meeting-Transkriptionssystems nach § 87 Abs. 1 Nr. 6 BetrVG zwingend erforderlich. Für Kundengespräche sind die gebräuchlichsten Rechtsgrundlagen \*\*Art. 6 Abs. 1 lit. f DSGVO\*\* (berechtigtes Interesse, z. B. Qualitätssicherung) oder \*\*Art. 6 Abs. 1 lit. a DSGVO\*\* (Einwilligung). Unabhängig von der gewählten Grundlage müssen Kunden vor der Aufzeichnung informiert werden — in der Regel durch eine mündliche oder automatische Ansage zu Beginn des Gesprächs. Bei eingehenden Anrufen genügt eine aufgezeichnete Ansage. Bei ausgehenden Anrufen kann eine vorherige schriftliche Benachrichtigung erforderlich sein. Dokumentieren Sie Ihre Rechtsgrundlagenprüfung und implementieren Sie ein Verfahren für Widersprüche oder den Widerruf der Einwilligung. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "OpenAI Whisper DSGVO: AVV, Sprachdaten und Datenschutz", "description": "OpenAI Whisper verarbeitet Sprachdaten. Unternehmen brauchen einen AVV und eine Rechtsgrundlage für Audiodaten nach DSGVO.", "image": "https://compound.law/assets/images/tools/tools_3.webp", "datePublished": "2026-04-06T00:00:00.000Z", "dateModified": "2026-04-06T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/tools/whisper/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "KI-Tools", "item": "https://compound.law/de-DE/tools/" }, { "@type": "ListItem", "position": 3, "name": "OpenAI Whisper DSGVO: AVV, Sprachdaten und Datenschutz", "item": "https://compound.law/de-DE/tools/whisper/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist OpenAI Whisper DSGVO-konform?", "acceptedAnswer": { "@type": "Answer", "text": "OpenAI Whisper kann DSGVO-konform eingesetzt werden, aber die Konformität hängt davon ab, wie Sie es betreiben. Die Nutzung der Whisper API erfordert einen Auftragsverarbeitungsvertrag mit OpenAI, Standardvertragsklauseln für den EU-US-Datentransfer, eine dokumentierte Rechtsgrundlage für die Verarbeitung von Sprachdaten und die Aufklärung der betroffenen Personen. Selbst gehostetes Whisper vermeidet den OpenAI-Datentransfer, überträgt aber die vollständige DSGVO-Verantwortung auf Ihre Organisation. Keine Betriebsvariante ist „automatisch konform\" — die Vorbereitung des Verantwortlichen entscheidet über die Rechtmäßigkeit." } }, { "@type": "Question", "name": "Hat OpenAI Whisper einen AVV (Auftragsverarbeitungsvertrag)?", "acceptedAnswer": { "@type": "Answer", "text": "Ja — für API-Nutzer. OpenAI stellt ein Data Processing Addendum bereit, das als AVV nach Art. 28 DSGVO fungiert. Es muss über Ihre OpenAI-Kontoeinstellungen akzeptiert oder bei Enterprise-API-Verträgen direkt mit OpenAI unterzeichnet werden. Der AVV enthält Standardvertragsklauseln für die EU-US-Übermittlung von Audiodaten. Selbst gehostete Whisper-Nutzer benötigen keinen AVV mit OpenAI, sind aber als Verantwortliche für alle DSGVO-Pflichten selbst zuständig." } }, { "@type": "Question", "name": "Darf ich Mitarbeitergespräche mit Whisper aufzeichnen?", "acceptedAnswer": { "@type": "Answer", "text": "Die Aufzeichnung von Mitarbeitergesprächen (oder Gesprächen mit identifizierbaren Parteien) erfordert nach deutschem Recht die Einwilligung aller Beteiligten. Heimliche Aufzeichnungen sind nach **§ 201 StGB** (Verletzung der Vertraulichkeit des Wortes) strafbar — unabhängig davon, ob Sie Whisper oder ein anderes Transkriptionstool verwenden. Bevor Sie Gespräche aufzeichnen und transkribieren, implementieren Sie einen Einwilligungsmechanismus (z. B. eine automatische Ansage zu Beginn des Gesprächs) und holen Sie die Betriebsratsbeteiligung ein." } }, { "@type": "Question", "name": "Ist selbst gehostetes Whisper datenschutzrechtlich vorteilhafter?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, in mehrerer Hinsicht. Selbst gehostetes Whisper bedeutet, dass Audiodateien vollständig auf Ihren eigenen Servern verarbeitet werden und Ihre Infrastruktur nicht verlassen. Dies eliminiert das Drittlandtransfer-Risiko, macht einen OpenAI-AVV überflüssig und vereinfacht die Datenlokalisierung erheblich. Für Organisationen, die sensible Audiodaten verarbeiten — in der Medizin, im Rechtsbereich oder bei Finanzdienstleistungen — ist selbst gehostetes Whisper generell die risikoärmere Option. Der Nachteil sind höhere Infrastruktur- und Wartungskosten." } }, { "@type": "Question", "name": "Müssen Mitarbeitende über die Transkription von Meetings informiert werden?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Mitarbeitende müssen vor der Aufzeichnung ihrer Stimmen informiert werden, da Sprachaufnahmen personenbezogene Daten nach DSGVO sind. Diese Information gehört in den Mitarbeiter-Datenschutzhinweis und sollte durch einen Hinweis zu Beginn jedes aufgezeichneten Meetings ergänzt werden. Wenn Ihre Organisation einen Betriebsrat hat, ist dessen Beteiligung vor dem Einsatz eines systematischen Meeting-Transkriptionssystems nach § 87 Abs. 1 Nr. 6 BetrVG zwingend erforderlich." } }, { "@type": "Question", "name": "Was gilt als Rechtsgrundlage für die Transkription von Kundengesprächen?", "acceptedAnswer": { "@type": "Answer", "text": "Für Kundengespräche sind die gebräuchlichsten Rechtsgrundlagen **Art. 6 Abs. 1 lit. f DSGVO** (berechtigtes Interesse, z. B. Qualitätssicherung) oder **Art. 6 Abs. 1 lit. a DSGVO** (Einwilligung). Unabhängig von der gewählten Grundlage müssen Kunden vor der Aufzeichnung informiert werden — in der Regel durch eine mündliche oder automatische Ansage zu Beginn des Gesprächs. Bei eingehenden Anrufen genügt eine aufgezeichnete Ansage. Bei ausgehenden Anrufen kann eine vorherige schriftliche Benachrichtigung erforderlich sein. Dokumentieren Sie Ihre Rechtsgrundlagenprüfung und implementieren Sie ein Verfahren für Widersprüche oder den Widerruf der Einwilligung." } } ] } ] ```