Transkription und Datenschutz: was vor dem Upload geklärt sein muss

Eine Audiodatei mit Stimmen ist selten harmlos. Sobald erkennbar ist, wer spricht, verarbeiten Sie personenbezogene Daten — und häufig mehr als das: Ein Forschungsinterview enthält Lebensgeschichten, eine Teambesprechung Personalfragen, ein Arztgespräch Gesundheitsdaten. Die Transkription ändert daran nichts, sie macht den Inhalt nur durchsuchbar. Dieser Artikel ordnet, was vor dem Upload geklärt sein sollte. Er ersetzt keine Rechtsberatung; im Zweifel entscheidet Ihre Datenschutzbeauftragte oder ein Anwalt.

Zuerst: Durfte die Aufnahme überhaupt entstehen?

Die Frage nach dem Transkriptionsdienst kommt zu spät, wenn schon die Aufnahme unzulässig war. In Deutschland stellt § 201 StGB das Aufnehmen des nicht öffentlich gesprochenen Wortes unter Strafe, wenn es ohne Berechtigung geschieht — das betrifft heimlich mitgeschnittene Telefonate und Besprechungen ebenso wie das unbemerkte Mitlaufenlassen eines Diktiergeräts. Ein Vortrag vor großem Publikum ist etwas anderes als ein Vieraugengespräch, und ein „ich nehme kurz auf, ist das in Ordnung?“ am Anfang der Aufnahme ist die einfachste Absicherung, die es gibt.

• Ankündigen, bevor die Aufnahme startet — und die Zustimmung mit aufnehmen
• Bei Gruppen alle Anwesenden fragen, nicht nur die Gastgeberin
• Bei Vorlesungen die Regeln der Hochschule prüfen; viele erlauben Mitschnitte nur für den eigenen Gebrauch
• Bei Telefonaten gilt für die andere Seite dasselbe wie im Raum
• Nachträglich lässt sich eine fehlende Erlaubnis nicht heilen

Welche Rechtsgrundlage trägt die Verarbeitung?

Art. 6 DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Im Transkriptionsalltag sind drei davon relevant: die Einwilligung der betroffenen Person, die Erfüllung eines Vertrags und das berechtigte Interesse. Welche greift, hängt vom Kontext ab — ein Forschungsinterview steht auf einer anderen Grundlage als das Protokoll einer internen Besprechung.

Besondere Kategorien: hier hört die Bequemlichkeit auf

Art. 9 DSGVO schützt besondere Datenkategorien gesondert: Gesundheit, Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben, biometrische Daten. Solche Inhalte tauchen in Transkripten häufiger auf, als man beim Hochladen denkt — im Nebensatz eines Interviews, in der Krankmeldung während einer Teambesprechung. Für diese Daten gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen. Wenn Sie damit arbeiten, brauchen Sie eine belastbare Ausnahme, eine Risikoabschätzung und in aller Regel einen Dienstleister mit vertraglich zugesicherten Garantien — nicht das erstbeste kostenlose Werkzeug.

Wenn Sie beruflich transkribieren: Auftragsverarbeitung

Sobald Sie im Namen einer Organisation transkribieren — Hochschule, Redaktion, Kanzlei, Unternehmen —, verarbeitet der Transkriptionsdienst Daten in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag zur Auftragsverarbeitung, der unter anderem Zweck, Dauer, Weisungsbindung, Unterauftragnehmer, Sicherheitsmaßnahmen und Löschung regelt. Ohne diesen Vertrag ist die Verarbeitung formal nicht zulässig, egal wie sorgfältig der Anbieter technisch arbeitet. Für private Mitschriften gilt das nicht; für alles Dienstliche schon.

Woran man einen sauberen Transkriptionsdienst erkennt

Der Unterschied zwischen Anbietern liegt weniger in der Genauigkeit als in dem, was mit Ihrem Audio danach passiert. Diese sechs Fragen beantwortet ein seriöser Dienst öffentlich und ohne Rückfrage:

• Wie lange werden Audio und Transkript gespeichert — und was heißt „gelöscht“ konkret?
• Wer sind die Unterauftragnehmer, und in welchen Ländern stehen deren Server?
• Werden meine Aufnahmen zum Training von Modellen verwendet? (Die Antwort sollte ein klares Nein sein.)
• Gibt es einen Vertrag zur Auftragsverarbeitung, und bekomme ich ihn ohne Vertriebsgespräch?
• Welche Daten fallen nebenbei an — Konto, IP-Adresse, Analyse-Cookies?
• Was passiert bei einer Datenpanne, und wie schnell werde ich informiert?

Bei Sprechverlauf läuft die Erkennung über die Replicate-API in den USA. Nach deren Aufbewahrungsrichtlinie werden Eingaben, Ausgaben, Dateien und Logs von API-Predictions standardmäßig nach etwa einer Stunde entfernt; auf dem eigenen Server werden Audio, Transkripttext, Dateinamen und Prompts nicht dauerhaft gespeichert. Ein Konto gibt es nicht, also auch keine Namens- oder Adressdaten. Das ist für viele Anwendungsfälle ausreichend — für Gesundheitsdaten und Mandatsgeheimnisse ist es das ausdrücklich nicht.

Datensparsamkeit ist die wirksamste Maßnahme

Die sicherste Verarbeitung ist die, die gar nicht stattfindet. Bevor Sie eine zweistündige Aufnahme hochladen, lohnt die Frage, ob wirklich die ganze Datei gebraucht wird oder nur die zwanzig Minuten, um die es geht. Namen lassen sich im Transkript durch Kürzel ersetzen, sobald es an die Weitergabe geht, und Audiodateien haben auf Dauer selten etwas in einem Cloud-Ordner verloren, der mit dem ganzen Team geteilt ist.

• Nur den benötigten Ausschnitt transkribieren statt der gesamten Aufnahme
• Transkripte pseudonymisieren, bevor sie geteilt oder zitiert werden
• Audio nach Abschluss der Arbeit tatsächlich löschen, auch aus dem Papierkorb
• Aufbewahrungsfrist vorher festlegen, statt sie später zu suchen
• Zugriff auf die Personen beschränken, die den Text wirklich brauchen

Die Rechte der aufgenommenen Personen

Wer aufgenommen wurde, behält seine Rechte am Transkript: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch. Praktisch heißt das, dass Sie wissen müssen, wo eine bestimmte Aufnahme liegt und wie Sie sie wiederfinden, wenn jemand ein halbes Jahr später anruft. Eine schlichte Liste mit Aufnahmedatum, Zweck, beteiligten Personen und Speicherort erfüllt diesen Zweck besser als jede spätere Suche im Dateisystem — und ist bei Forschungsprojekten ohnehin Teil der guten Praxis.