Warum europäische Anwältinnen und Anwälte Mandantengespräche nicht auf US-Servern verarbeiten sollten

Das Problem, das niemand ansehen will

Wenn du in Spanien, Frankreich oder Deutschland als Anwältin oder Anwalt arbeitest und für Mandantengespräche ein Transkriptionstool nutzt, das außerhalb der EU gehostet wird, gibt es ein Gespräch, das du mit deinem Datenschutzbeauftragten vermutlich noch nicht geführt hast: wo die Daten physisch liegen, während sie verarbeitet werden.

Das ist kein Marketing. Das steht in ihren Auftragsverarbeitungsverträgen und auf ihren Seiten zu Unterauftragsverarbeitern.

Was sich im April 2026 geändert hat: der Leitfaden der spanischen Datenschutzbehörde zur KI-Transkription

Am 20. April 2026 hat die spanische Datenschutzbehörde (AEPD) einen eigenen Leitfaden zur DSGVO-Konformität automatisierter KI-Transkriptionstools veröffentlicht. Kurz gesagt, er verlangt vier Dinge:

1. Einwilligung pro Sitzung. Ein allgemeiner Hinweis beim Beitritt zum Dienst ist keine wirksame Einwilligung. Jede Aufnahme braucht eine ausdrückliche Zustimmung.
2. Das Auskunftsrecht gilt auch für Aufnahmen mit mehreren Sprechern. Du kannst einer betroffenen Person die Auskunft nicht mit dem Argument verweigern, Daten Dritter im selben Audio zu schützen.
3. Verpflichtende Prüfung des Anbieters. Der Verantwortliche (= das Unternehmen oder die Person, die aufnimmt) muss dokumentieren, dass der Transkriptionsanbieter klare Informationen zu zusätzlichen Verarbeitungen und zum physischen Speicherort der Daten bietet.
4. Transkription ≠ technische Funktion. Sie ist eine Verarbeitung personenbezogener Daten mit laufender Governance, kein technisches Hilfsmittel mit geringem Risiko.

Das verändert die Lage in Spanien. US-Meeting-Bots wurden mit einer einzigen amtlichen Veröffentlichung von „Grauzone" zu „Prüfung nicht bestanden".

Warum das wichtig ist: Schrems II gilt weiterhin

Im Juli 2020 hat der EuGH den EU-US Privacy Shield für ungültig erklärt (C-311/18). Seitdem erfordert die Übermittlung europäischer personenbezogener Daten in die USA:

• Standardvertragsklauseln (SCC), die mit dem Anbieter unterzeichnet werden.
• Transfer Impact Assessment (TIA), das die Risiken dokumentiert.
• Zusätzliche technische Maßnahmen (Ende-zu-Ende-Verschlüsselung, Pseudonymisierung), wo anwendbar.

Das EU-US Data Privacy Framework (Nachfolger des Privacy Shield, seit 2023 in Kraft) ist ein gültiger Mechanismus, aber ein fragiler: NOYB und andere klagen auf seine Ungültigerklärung, so wie die beiden Vorgänger für ungültig erklärt wurden. Die eigene Compliance darauf zu bauen heißt, auf Sand zu bauen.

Compliance ist schwierig. Spanische Datenschutzbehörden haben Unternehmen mit Bußgeldern belegt, weil sie Daten ohne diese Garantien in die USA übermittelt haben (AEPD-Entscheidung PS-00121/2023).

Für eine Kanzlei ist der Inhalt eines Mandantengesprächs eine Information, die dem Berufsgeheimnis unterliegt. Sie in einer fremden Rechtsordnung ohne die Garantien aus Schrems II zu verarbeiten, ist ein doppeltes Risiko: regulatorisch und berufsrechtlich.

Was du jeden Anbieter fragen solltest

Einen Auftragsverarbeitungsvertrag zu haben ist notwendig, aber nicht ausreichend. Die Frage ist, wo die Daten während der Verarbeitung physisch liegen. Bevor du ein Tool für Mandantengespräche einsetzt, frag schriftlich nach der Hosting-Region, der Liste der Unterauftragsverarbeiter und danach, ob es eine Option für EU-Datenresidenz gibt (manche Seiten erwähnen sie nicht oder beschränken sie auf bestimmte Pläne). In den Vergleichen sammeln wir, was jedes Tool auf seiner eigenen offiziellen Website sagt, mit Quelle und Datum der Prüfung.

Wie AudioMap es macht

AudioMap ist anders konzipiert: EU-first durch die Architektur, nicht durch Konfiguration.

• Speicherung: Cloudflare R2 ausdrücklich mit EU-Jurisdiktion (nicht global, was in die USA routet).
• Transkription: AssemblyAI über den europäischen Endpunkt (`api.eu.assemblyai.com`).
• Lokaler Whisper-Fallback: selbst gehosteter Sidecar bei Hetzner DE (faster-whisper large-v3-turbo). Kein Byte verlässt Deutschland, wenn AssemblyAI nicht antwortet.
• Sprachmodelle: Google Vertex AI in `europe-west1` (Niederlande).
• Worker und Datenbank: dedizierter Hetzner-Server in Deutschland (Falkenstein).
• Sentry: EU-Region.

Öffentliche Liste der Unterauftragsverarbeiter · Richtlinie zur Datensouveränität · AEPD-Konformität April 2026.

Wie wir die 4 Anforderungen der AEPD erfüllen

1. Einwilligung pro Sitzung: Jede Notiz oder Aufnahme fragt vor dem Hochladen nach ausdrücklicher Einwilligung. Unveränderliches Audit-Log mit IP + User-Agent + Version des Rechtstexts + Zeitstempel in der Datenbank. Einwilligungsarten getrennt (audio_storage, processing, marketing, third_party_sharing, biometric_data, recording_party_acknowledgement) gemäß Art. 7 und Art. 9 DSGVO.
2. Auskunftsrecht bei mehreren Sprechern: Nutzerinnen und Nutzer können ihre Notizen einsehen, exportieren und löschen. Wir bauen den öffentlichen Endpunkt, damit Dritte, die keine Nutzer sind (ein aufgezeichneter Teilnehmer ohne Konto), die Löschung direkt beantragen können, ohne über den Gastgeber gehen zu müssen.
3. Prüfung des Anbieters: öffentliche Dokumentation jedes Unterauftragsverarbeiters mit seiner tatsächlichen Jurisdiktion. Vertex EU + AssemblyAI EU + R2 EU + Hetzner DE. Lokales Whisper beseitigt die Cloud-Abhängigkeit vollständig, wenn du es brauchst.
4. Transkription = Verarbeitung: ausdrückliche Richtlinie „Wir trainieren keine Modelle mit deinen Inhalten", 30 Tage Aufbewahrung nach Kontoschließung, dokumentierte Rechtsgrundlage (Vertrag + Einwilligung + berechtigtes Interesse je Vorgang).

Was wir nicht tun

Wir haben keinen Bot, der dem Videocall beitritt, um aufzunehmen. Wir versprechen keine „stille Aufnahme" als Nutzenversprechen. Wir verarbeiten keine Stimmen in den USA und sagen dann, wir „respektieren die DSGVO". Wir nutzen kein Google-Calendar-OAuth, um automatisch deinen Meetings beizutreten.

Wenn dir das bekannt vorkommt

Wenn du eine Kanzlei, eine Klinik oder eine Steuerberatung in Spanien führst und Transkription + KI-Analyse von Mandantengesprächen ohne Risiko internationaler Übermittlung brauchst, probier AudioMap aus. Die erste Stunde ist kostenlos, ohne Karte. Und wenn du es produktiv einsetzt, unterzeichnen wir Auftragsverarbeitungsverträge mit den üblichen Klauseln nach Art. 28 DSGVO.

Kostenlos starten · Sprich mit uns

---

Zitierte Quellen: - AEPD-Leitfaden zur automatisierten Sprachtranskription, 20. April 2026. - Schrems II: EuGH C-311/18 (16. Juli 2020). - AEPD-Entscheidung PS-00121/2023 (internationale Übermittlungen ohne SCC). - Art. 542 LOPJ: Berufsgeheimnis spanischer Anwälte. - DSGVO Art. 6, 7, 9, 12-22, 28, 33-34, 35.