AVV- und DSGVO-Check: 15 Kriterien für KI-Notetaker

Prüfkriterien für den Auftragsverarbeitungsvertrag und die Datenschutzlage eines KI-Meeting-Anbieters.

Stand: 30. Juli 2026 · Muster, keine Rechtsberatung

Ein KI-Notetaker verarbeitet als Auftragsverarbeiter personenbezogene Daten in Ihrem Auftrag. Nach Artikel 28 DSGVO bleiben Sie als Verantwortlicher haftbar. Prüfen Sie jeden Anbieter gegen die folgenden 15 Kriterien. Fünf davon sind K.O.-Kriterien: Fällt eines aus, ist der Anbieter für eine europäische Verarbeitung kaum tragfähig, unabhängig vom Gesamtergebnis.

Die 15 Kriterien

1. EU-DatenhostingK.O.Kundendaten werden in der EU gespeichert, standardmäßig und nicht nur als Enterprise-Option.
2. EU-Region ist StandardDie EU-Region ist voreingestellt, nicht ein US-Default, der aktiv umgestellt werden muss.
3. KI-Verarbeitung in der EUTranskription und LLM-Auswertung laufen in der EU, nicht über eine US-Cloud-API.
4. Kein US-MutterkonzernKein Zugriffsrisiko nach dem US CLOUD Act auf den Anbieter, unabhängig vom Serverstandort.
5. Keine US-Cloud-KI in der KetteKeine US-KI-Dienste wie OpenAI, Anthropic oder Google als Sub-Prozessor in der Verarbeitung.
6. AVV nach Art. 28 verfügbarK.O.Ein Auftragsverarbeitungsvertrag ist zwingend, sobald der Anbieter Ihre Daten verarbeitet.
7. SCCs bei DrittlandtransferBei Übermittlung in Drittländer ist eine dokumentierte Transfergrundlage, meist Standardvertragsklauseln, nötig.
8. Sub-Prozessorenliste öffentlichK.O.Die Liste muss ohne E-Mail-Gate einsehbar sein; sonst lässt sich die Verarbeitungskette nicht prüfen.
9. Kein Training auf KundendatenK.O.Der Anbieter trainiert keine eigenen Modelle auf Ihren Daten, auch nicht auf de-identifizierten.
10. Sub-Prozessoren vom Training ausgeschlossenEingesetzte KI-Sub-Prozessoren dürfen Ihre Daten vertraglich nicht zum eigenen Training nutzen.
11. Keine biometrischen VoiceprintsKein persistenter Stimmabdruck zur Wiedererkennung über Meetings hinweg; das wären Daten nach Art. 9 DSGVO.
12. Audio wird nach Transkription gelöschtDie Rohaufnahme wird nicht dauerhaft vorgehalten, sobald das Transkript erstellt ist.
13. Konfigurierbare LöschfristenAufbewahrung und automatische Löschung lassen sich einstellen und sind dokumentiert.
14. Zertifizierung dokumentiertSOC 2 Typ 2 und/oder ISO 27001 sind nachgewiesen, nicht nur als Framework behauptet.
15. Keine dokumentierte Klage oder SanktionK.O.Keine belegte Einwilligungs- oder Biometrie-Klage und keine DSGVO-Sanktion gegen den Anbieter.

So werten Sie aus

Zählen Sie die erfüllten Kriterien. Ein K.O.-Kriterium, das ausfällt, ist ein kritischer Punkt unabhängig vom Gesamtwert. Ein hoher Punktwert bei ausgefallenem K.O.-Kriterium ist keine grüne Ampel. Für die interaktive Auswertung mit automatischem Red-Flag-Bericht sowie eine belegte Vergleichstabelle für Otter, Fireflies, Gong, Granola, Fathom und EU-Anbieter nutzen Sie den Scorer unter numigtm.com/rollout-kit/ki-notetaker-dsgvo-check.