Deutsch · English version
Kostenloses Tool · Compliant Rollout Kit 3 von 4
Prüfen Sie den Auftragsverarbeitungsvertrag und die Datenschutzlage eines beliebigen KI-Meeting-Anbieters gegen 15 Kriterien: EU-Hosting, Eigentümerstruktur, Sub-Prozessoren, Keine-Training-Klausel, biometrische Voiceprints, Löschfristen und mehr. Sie erhalten einen Punktwert und einen Red-Flag-Bericht zum Kopieren oder Herunterladen. Darunter steht eine quellenbelegte Vergleichstabelle für Otter, Fireflies, Gong, Granola, Fathom und zwei EU-Anbieter. Jede Angabe ist verlinkt; wo keine belastbare Quelle vorliegt, steht ausdrücklich nicht belegt.
Stand: 30. Juli 2026 · Muster, keine Rechtsberatung
Muster, keine Rechtsberatung. Der Scorer ist eine Bildungshilfe. Er ersetzt keine individuelle Prüfung des AVV und der Datenschutzlage durch Ihre oder Ihren Datenschutzbeauftragten. Die Bewertung eines Anbieters hängt vom konkreten Einsatz, der Konfiguration und der gewählten Rechtsgrundlage ab. Erstellt mit numigtm.com.
Ein KI-Notetaker verarbeitet als Auftragsverarbeiter personenbezogene Daten in Ihrem Auftrag. Nach Artikel 28 DSGVO bleiben Sie als Verantwortlicher haftbar. Der AVV und die Sub-Prozessorenkette entscheiden, wo die Daten liegen, wer zugreifen kann, ob auf Ihren Daten trainiert wird und ob ein Drittlandtransfer stattfindet. Diese 15 Kriterien decken die Fragen ab, die ein europäischer Rollout beantworten muss. Fünf davon sind K.O.-Kriterien.
| Nr. | Kriterium | Warum es zählt |
|---|---|---|
| 1 K.O. | EU-Datenhosting | Kundendaten werden in der EU gespeichert, standardmäßig und nicht nur als Enterprise-Option. |
| 2 | EU-Region ist Standard | Die EU-Region ist voreingestellt, nicht ein US-Default, der aktiv umgestellt werden muss. |
| 3 | KI-Verarbeitung in der EU | Transkription und LLM-Auswertung laufen in der EU, nicht über eine US-Cloud-API. |
| 4 | Kein US-Mutterkonzern | Kein Zugriffsrisiko nach dem US CLOUD Act auf den Anbieter, unabhängig vom Serverstandort. |
| 5 | Keine US-Cloud-KI in der Kette | Keine US-KI-Dienste wie OpenAI, Anthropic oder Google als Sub-Prozessor in der Verarbeitung. |
| 6 K.O. | AVV nach Art. 28 verfügbar | Ein Auftragsverarbeitungsvertrag ist gesetzlich zwingend, sobald der Anbieter Ihre Daten verarbeitet. |
| 7 | SCCs bei Drittlandtransfer | Bei Übermittlung in Drittländer ist eine dokumentierte Transfergrundlage, meist Standardvertragsklauseln, nötig. |
| 8 K.O. | Sub-Prozessorenliste öffentlich | Die Liste muss ohne E-Mail-Gate einsehbar sein; sonst lässt sich die Verarbeitungskette nicht prüfen. |
| 9 K.O. | Kein Training auf Kundendaten | Der Anbieter trainiert keine eigenen Modelle auf Ihren Daten, auch nicht auf de-identifizierten. |
| 10 | Sub-Prozessoren vom Training ausgeschlossen | Eingesetzte KI-Sub-Prozessoren dürfen Ihre Daten vertraglich nicht zum eigenen Training nutzen. |
| 11 | Keine biometrischen Voiceprints | Kein persistenter Stimmabdruck zur Wiedererkennung über Meetings hinweg; das wären Daten nach Art. 9 DSGVO. |
| 12 | Audio wird nach Transkription gelöscht | Die Rohaufnahme wird nicht dauerhaft vorgehalten, sobald das Transkript erstellt ist. |
| 13 | Konfigurierbare Löschfristen | Aufbewahrung und automatische Löschung lassen sich einstellen und sind dokumentiert. |
| 14 | Zertifizierung dokumentiert | SOC 2 Typ 2 und/oder ISO 27001 sind nachgewiesen, nicht nur als Framework behauptet. |
| 15 K.O. | Keine dokumentierte Klage oder Sanktion | Keine belegte Einwilligungs- oder Biometrie-Klage und keine DSGVO-Sanktion gegen den Anbieter. |
Der Scorer zählt jedes erfüllte Kriterium. Fällt ein K.O.-Kriterium aus, wird es im Bericht als kritischer Punkt hervorgehoben, unabhängig vom Gesamtwert. Ein hoher Punktwert bei ausgefallenem K.O.-Kriterium ist keine grüne Ampel.
Angenommen, Sie prüfen einen bekannten US-Notetaker. In der Sub-Prozessorenliste finden Sie AWS in den USA und OpenAI. Die Datenschutzerklärung sagt, das Standard-Hosting sei in den USA, und der Anbieter trainiere eigene Modelle auf de-identifizierten Transkripten. Ein AVV mit Standardvertragsklauseln liegt vor. So füllen Sie den Scorer:
Der Bericht weist zwei ausgefallene K.O.-Kriterien aus. Das Ergebnis ist nicht, dass der Anbieter illegal ist, sondern dass für eine europäische Verarbeitung eine belastbare Rechtsgrundlage, eine Transfer-Folgenabschätzung und wahrscheinlich zusätzliche Maßnahmen nötig sind, bevor der erste Mitschnitt läuft. Die belegte Tabelle unten zeigt, wie einzelne Anbieter auf diesen Kriterien tatsächlich abschneiden.
EU-Rechenzentrum ist nicht gleich souverän. Ein Server in Frankfurt schützt nicht vor einer Herausgabepflicht des US-Mutterkonzerns nach dem CLOUD Act. Deshalb trennt der Scorer Datenstandort (Kriterium 1 bis 3) und Eigentum (Kriterium 4 bis 5). Souveränität heißt Kontrolle, nicht nur Herkunft des Servers.
Diese Übersicht fasst die wichtigsten Kriterien für acht Anbieter zusammen. Jede Angabe ist unten im Abschnitt Belege und Quellen mit Quellenlink hinterlegt. Wo keine belastbare öffentliche Quelle vorliegt, steht nicht belegt; das ist keine Wertung, sondern eine ehrliche Kennzeichnung fehlender Dokumentation. Stand aller Angaben: 30. Juli 2026.
| Anbieter | HQ / Eigentümer | Datenhosting | Training auf Kundendaten | Sub-Prozessorenliste | Biometrie / Voiceprint | Dokumentierte Klage / Sanktion | Zertifizierung |
|---|---|---|---|---|---|---|---|
| Otter.ai | USA | USA (AWS), keine EU-Region | Ja, eigene Modelle auf de-identifizierten Daten | Öffentlich | Sprecher-ID als biometrisch benannt | Brewer v. Otter.ai (US, 2025) | SOC 2 Typ 2; ISO 27001 nur Framework |
| Fireflies.ai | USA | USA-Standard; EU nur Enterprise | Nein (laut Anbieter) | Öffentlich (Trust Center) | Anbieter verneint; Klage behauptet Gegenteil | Cruz v. Fireflies.AI (US, BIPA, 2025) | SOC 2 Typ 2, HIPAA; kein ISO 27001 |
| Gong | USA | US- oder EU-Region (AWS), US-Standard | Nein (Trust-Seite) | Öffentlich | nicht belegt | Keine dokumentiert | SOC 2, ISO 27001, ISO 42001, DPF |
| Granola | USA (Delaware) / UK | USA (AWS) | Ja, de-identifiziert (Opt-out) | Nur auf Anfrage (gated) | nicht belegt | Keine dokumentiert | SOC 2 Typ 2; kein ISO 27001 |
| Fathom | USA | USA (AWS) | Ja, de-identifiziert (Opt-out) | Über Trust Center referenziert | nicht belegt | Keine dokumentiert | SOC 2 Typ 2, HIPAA; kein ISO 27001 |
| tl;dv | Deutschland (Aachen) | EU (Google Cloud, Hetzner, Wasabi DE) | Nein (laut Anbieter) | In Datenschutzerklärung; US-Sub-Prozessoren | nicht belegt | Keine dokumentiert | SOC 2 Typ 2; ISO 27001 nur Hosting |
| Jamie | Deutschland | Server Frankfurt; KI via OpenAI/Replicate (US) | Nein (laut Anbieter) | nicht belegt (kein öffentlicher AVV) | nicht belegt | Keine dokumentiert | ISO 27001 (zu verifizieren) |
| Numi | Deutschland | EU (Hetzner DE), self-hosted | Nein | Öffentlich | Diarisierung pro Meeting, keine Voiceprint-DB | Keine dokumentiert | Keine formale Zertifizierung (Beta) |
Grün = für die europäische Verarbeitung günstig · Gelb = teilweise oder mit Vorbehalt · Rot = kritisch · nicht belegt = keine öffentliche Quelle gefunden. Numi wird nach denselben öffentlichen Kriterien bewertet, inklusive der offenen Schwäche bei formaler Zertifizierung.
Jede Aussage in der Tabelle ist hier mit Quelle hinterlegt. Bevorzugt sind Primärquellen: die Datenschutz-, AVV- oder Trust-Seiten der Anbieter sowie öffentliche Gerichtsakten. Wo Anbieter und eine Klage sich widersprechen, sind beide Seiten genannt. Angaben mit Stand 30. Juli 2026; spätere Änderungen der Anbieter sind möglich.
Korrekturen willkommen. Alle Angaben beruhen auf öffentlichen Quellen mit Stand 30. Juli 2026. Wenn ein Anbieter seine Dokumentation geändert hat oder eine Angabe unzutreffend ist, melden Sie es über unser Kontaktformular, dann prüfen und korrigieren wir.
Otter.ai speichert Kundendaten laut eigener Datenschutzerklärung auf AWS in den USA und dokumentiert keine EU-Datenresidenz. Die Muttergesellschaft ist ein US-Unternehmen, damit besteht ein Zugriffsrisiko nach dem US CLOUD Act. Laut Datenschutzerklärung trainiert Otter eigene Modelle standardmäßig auf de-identifizierten Aufnahmen und Transkripten, und die Erklärung nennt eine Sprecheridentifikation als biometrische Information. Seit August 2025 läuft mit Brewer v. Otter.ai eine US-Sammelklage wegen Aufzeichnung ohne Einwilligung aller Beteiligten. Ein AVV mit SCCs ist verfügbar. DSGVO-Konformität hängt vom Einzelfall ab; die genannten Punkte sind für eine europäische Bewertung kritisch. Alle Belege sind oben mit Quellenlink hinterlegt.
Fireflies.ai hostet standardmäßig in den USA; eine EU-Region ist nur im Enterprise-Tarif über ein eigenes Cloud-Bucket möglich. Fireflies erklärt, Kundendaten nicht für KI-Training zu verwenden, und bietet einen AVV mit SCCs sowie eine Sub-Prozessorenliste. Fireflies erklärt zudem, keine Voiceprints auf eigenen Servern zu verarbeiten. Dem steht die im Dezember 2025 eingereichte US-Klage Cruz v. Fireflies.AI gegenüber, die genau das Erfassen und Speichern von Voiceprints ohne Einwilligung nach dem Illinois BIPA vorwirft. Beide Seiten sind oben mit Quelle dokumentiert. Als US-Unternehmen besteht ein CLOUD-Act-Zugriffsrisiko.
Gong bietet Neukunden die Wahl zwischen einer US- und einer EU-Datenregion, beide auf AWS; Standard ist die USA. Gong veröffentlicht eine Sub-Prozessorenliste, bietet einen AVV mit SCCs und dem EU-US Data Privacy Framework und ist unter anderem nach SOC 2 Typ 2, ISO 27001 und ISO 42001 zertifiziert. Auf der Trust-Seite steht, Kundendaten würden nicht zum Training generativer Modelle verwendet. Als US-Unternehmen mit US-Standardregion besteht ein CLOUD-Act-Zugriffsrisiko. Zur biometrischen Verarbeitung liegt keine dokumentierte Aussage vor. Details mit Quelle oben.
Ein Auftragsverarbeitungsvertrag (AVV, englisch DPA) ist nach Artikel 28 DSGVO zwingend, sobald ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, wie es ein KI-Notetaker mit Aufzeichnungen und Transkripten tut. Als Verantwortlicher bleiben Sie haftbar, auch wenn die Verarbeitung beim Anbieter stattfindet. Der AVV und die Sub-Prozessorenkette entscheiden, wo die Daten liegen, wer zugreifen kann, ob auf Ihren Daten trainiert wird und ob ein Drittlandtransfer stattfindet. Der Scorer führt Sie durch die 15 Kriterien, die diese Fragen abdecken.
Nicht automatisch. Ein Rechenzentrum in der EU verhindert nicht, dass ein US-Mutterkonzern nach dem US CLOUD Act zur Herausgabe von Daten verpflichtet werden kann, unabhängig vom Serverstandort. Souveränität bedeutet Kontrolle, nicht nur Herkunft des Servers. Für eine belastbare Bewertung zählen daher zusätzlich die Eigentümerstruktur, die eingesetzten KI-Sub-Prozessoren und ob eine echte Transfergrundlage besteht. Der Scorer trennt diese Kriterien bewusst.
Nein. Der Scorer und die Vergleichstabelle sind Muster und Bildungshilfen, keine Rechtsberatung. Alle Angaben zu Wettbewerbern beruhen auf öffentlichen Quellen mit Stand des angegebenen Datums und sind jeweils verlinkt; wo keine belastbare Quelle vorliegt, steht ausdrücklich nicht belegt. Bewerten Sie den Anbieter im Einzelfall gemeinsam mit Ihrer oder Ihrem Datenschutzbeauftragten und im Zweifel mit anwaltlicher Begleitung.
Vier rechtlich verpflichtende Artefakte gehören zu jedem deutschen KI-Notetaker-Rollout. Dies ist das dritte. Die weiteren sind über die Rollout-Kit-Übersicht erreichbar.