DSGVO und KI-Zusammenfassungen von Meetings: Welcher Endpunkt passt?

Die Transkription läuft in Autorec auf Ihrem Rechner. Die KI-Zusammenfassung ist der einzige Schritt, bei dem Daten ihn verlassen können. Schalten Sie sie ein, geht das Transkript an einen LLM-Anbieter Ihrer Wahl, und ab diesem Moment ist dieser Anbieter Auftragsverarbeiter für alle personenbezogenen Daten, die im Meeting vorkamen.

In diesem Beitrag geht es um die Wahl dieses Anbieters. Er ist keine Rechtsberatung; was Ihre Rechtsgrundlage und Ihre Risikobereitschaft zulassen, entscheiden Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung. Die Angaben zu den Anbietern stammen aus deren eigener Dokumentation, geprüft im Oktober 2026. Richtlinien ändern sich, prüfen Sie also die verlinkten Seiten, bevor Sie sich auf eine Zeile verlassen.

Was Autorec tatsächlich sendet

Die KI-Zusammenfassung in Autorec ist aus, bis Sie unter Einstellungen → KI-Zusammenfassung einen Anbieter hinzufügen. Läuft sie, geht genau eine HTTPS-Anfrage direkt von Ihrem Computer an die API-Basis-URL, die Sie eingestellt haben. Ein Autorec-Server sitzt nicht dazwischen.

Der Anfrage-Body enthält:

Ihren Zusammenfassungs-Prompt als System-Nachricht
den Transkripttext als Nutzer-Nachricht
den Modellnamen und die maximale Länge der Zusammenfassung

Dazu kommen Zusatzfelder, die Sie selbst unter Extra request fields (JSON) eintragen, etwa Routing-Optionen eines Anbieters. Das sind Einstellungen, keine Daten über das Meeting. Sonst geht nichts hinaus: kein Audio, kein Video, keine Screenshots, keine Dateinamen, keine Teilnehmerliste. Gesendet wird das ganze Transkript, ein langes Meeting bedeutet also viel Text.

Titel und Zusammenfassung, die zurückkommen, werden neben der Aufnahme auf Ihrer Festplatte gespeichert. Ihr API-Schlüssel liegt in Autorecs lokaler Konfiguration, und bei lokalen Servern brauchen Sie gar keinen.

Audio und Video, also Stimmen und Gesichter, verlassen den Rechner nie. Text schon, und Text bleibt ein personenbezogenes Datum, sobald jemand Namen, Gesundheitsangaben oder Gehälter ausspricht. Ein Transkript ist nicht anonym, nur weil es bloß Text ist.

Unser Beitrag zu DSGVO und HIPAA behandelt die Aufnahmeseite: Rechtsgrundlage, Einwilligung, Aufbewahrung. Das gilt alles weiterhin. Dieser Beitrag ergänzt den Schritt zum Anbieter.

Die KI-Zusammenfassungs-Einstellungen von Autorec mit geöffneter Anbieterliste; die Voreinstellungen sind gruppiert in Aggregatoren, Erstanbieter-APIs, schnelle Inferenz, lokale Server und Custom

Was Sie vor der Anbieterwahl prüfen sollten

Vier Fragen entscheiden das meiste.

Wo werden die Daten verarbeitet? „EU“ ist kein Zauberwort, aber damit ist die Frage der Drittlandübermittlung größtenteils vom Tisch. Eine Verarbeitung in den USA braucht einen Übermittlungsmechanismus und eine Bewertung der Übermittlung.

Gibt es einen Auftragsverarbeitungsvertrag (AVV)? Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag. Prüfen Sie, ob Sie ihn ohne Vertriebsgespräch abschließen können.

Wie lange werden die Inhalte gespeichert? Viele API-Anbieter bewahren Prompts eine Zeit lang zur Missbrauchserkennung auf, auch wenn sie nicht damit trainieren. „Zero Retention“ ist meist eine Vereinbarung, die Sie beantragen, nicht der Standard.

Werden die Inhalte zum Training genutzt? Für API-Traffic ist das bei den großen Namen inzwischen selten der Standard, aber nicht einheitlich, und zwischen kostenlosem und bezahltem Tarif kann es Unterschiede geben.

Anbieter mit Hosting in der EU

Mistral

Mistral ist die erste EU-Option in Autorecs Anbieterliste (Anbieter → Mistral, Basis-URL https://api.mistral.ai/v1, Standardmodell mistral-small-latest).

Region: Laut Mistrals Help Center werden Daten standardmäßig in der Europäischen Union gehostet und nur dann in den USA, wenn Sie ausdrücklich den US-API-Endpunkt nutzen. Mistral führt außerdem Unterauftragsverarbeiter auf, teils außerhalb der EU, nachzulesen im Trust Center.
AVV: Mistral veröffentlicht ein Data Processing Addendum als Teil seiner kommerziellen Bedingungen.
Training: Diese Zeile sollten Sie genau lesen. Laut Mistrals Help Center haben Sie bei Pay-as-you-go jederzeit das Recht, dem Training zu widersprechen, und der Schalter ist beschrieben: in Mistral Studio unter Privacy → Anonymous improvement data. Für den kostenlosen Studio-Modus heißt es, dass Mistral Ihre Daten zum Training seiner Modelle nutzen darf. Das Chat-Produkt für Endkunden und die API haben getrennte Schalter. Verlassen Sie sich also nicht auf Annahmen, sondern öffnen Sie die Privacy-Seite genau des Kontos, dessen Schlüssel Sie in Autorec eintragen, und prüfen Sie sie.
Aufbewahrung: Mistral bietet in bezahlten Tarifen eine Zero-Data-Retention-Option für unterstützte API-Aufrufe an, darunter Chat Completions. Sie beantragen sie über den Support, und Mistral kann zustimmen oder ablehnen. Die Hilfeseiten von Mistral, die ich erreichen konnte, nennen keine Standard-Aufbewahrungsdauer für API-Inhalte, also nenne ich hier keine Zahl. Fragen Sie nach oder lesen Sie den AVV.

Scaleway

Die Generative APIs von Scaleway werden in Paris gehostet und sind laut Anbieter OpenAI-kompatibel, inklusive Chat-Completions-Endpunkt. In Autorec gibt es dafür keine Voreinstellung, wählen Sie also Custom… und tragen Sie die Basis-URL aus der Scaleway-Konsole ein.

Laut der Datenschutzseite von Scaleway werden Prompts und Ausgaben weder erhoben, gelesen, weiterverwendet noch analysiert und auch nicht zum Training von Modellen genutzt. Ausnahme ist die Untersuchung von Missbrauch oder Störungen; dann können Daten bis zu zwei Wochen gespeichert werden. Die Seite nennt Scaleway als Auftragsverarbeiter und verweist für die vertragliche Seite auf die Datenschutzerklärung und die Bedingungen für KI-Dienste.

IONOS

IONOS beschreibt für den AI Model Hub OpenAI-kompatible Endpunkte und sagt, dass die gesamte Verarbeitung in den deutschen Rechenzentren (Berlin) stattfindet und Kundendaten nie zum Modelltraining genutzt werden. Eine Aufbewahrungsdauer habe ich nicht gefunden, fragen Sie also nach, bevor Meeting-Inhalte dort durchlaufen. Auch hier nutzen Sie Custom….

Weitere

OVHcloud AI Endpoints und Aleph Alpha sind ebenfalls europäisch. Ihre aktuellen Bedingungen und ihre API-Kompatibilität konnte ich beim Schreiben nicht aus Primärquellen bestätigen, deshalb stehen sie nicht in der Tabelle.

Anbieter aus den USA

OpenAI und Anthropic haben beide Voreinstellungen in Autorec. Ihre API-Standards sind besser, als viele annehmen. Offen ist die Übermittlung in die USA, nicht das Training.

OpenAI: Laut Dokumentation werden API-Daten nicht zum Training genutzt, außer Sie stimmen zu, und Protokolle zur Missbrauchserkennung werden standardmäßig bis zu 30 Tage aufbewahrt. Zero Data Retention setzt eine vorherige Freigabe voraus. EU-Datenresidenz (das Präfix eu.api.openai.com) ist eine Projekteinstellung und an Bedingungen geknüpft, etwa Zero Data Retention oder eine angepasste Missbrauchserkennung, und nicht jedes Modell wird unterstützt.
Anthropic: Laut Privacy Center werden Ein- und Ausgaben von API-Nutzern innerhalb von 30 Tagen aus dem Backend gelöscht, und Ein- und Ausgaben kommerzieller Produkte werden standardmäßig nicht zum Training genutzt. Der AVV mit Standardvertragsklauseln ist automatisch Teil der Commercial Terms. Eine Option für reine EU-Verarbeitung konnte ich nicht bestätigen, also behaupte ich keine.

Auf einen Blick

Anbieter	Verarbeitungsregion	Aufbewahrung	Training	AVV
Mistral	Standardmäßig EU; US-Endpunkt per Opt-in	ZDR auf Antrag in bezahlten Tarifen; Standarddauer auf den geprüften Seiten nicht genannt	Opt-out-Schalter in Studio; Gratis-Tarif kann genutzt werden	Veröffentlichtes Addendum
Scaleway	Paris, Frankreich	Keine Speicherung von Prompts; bis zu zwei Wochen bei Störungsuntersuchung	Keine Nutzung	Auftragsverarbeiter-Bedingungen in Datenschutzerklärung und KI-Bedingungen
IONOS	Deutschland (Berlin)	Nicht angegeben	Laut IONOS nie	Nicht geprüft
OpenAI	USA; EU-Residenz optional mit Bedingungen	Bis zu 30 Tage (Missbrauchsprotokolle); ZDR nach Freigabe	Nur mit Ihrem Opt-in	Nicht geprüft
Anthropic	Nicht als reine EU-Verarbeitung angegeben	Löschung innerhalb von 30 Tagen	Standardmäßig nicht	Teil der Commercial Terms

„Nicht geprüft“ heißt, dass ich es nicht gelesen habe, nicht, dass es das nicht gibt.

Gateways bringen eine weitere Partei ins Spiel

Steht ein Aggregator wie OpenRouter vor dem Modell, wird auch der Aggregator zum Auftragsverarbeiter, dazu das Unternehmen, das das Modell betreibt. Das lässt sich einschränken, auch mit Optionen pro Anfrage wie dem Zero-Data-Retention-Flag von OpenRouter, das Sie unter Extra request fields (JSON) setzen können. Unser Beitrag zum Datenschutz bei OpenRouter geht die Einstellungen durch. Wenn Ihnen eine saubere Dokumentation wichtig ist, lässt sich ein einziger direkter Vertrag mit einem EU-Anbieter einfacher dokumentieren als eine Routing-Schicht.

Wann lokal die bessere Antwort ist

Ein EU-Endpunkt verringert das Risiko. Ein Modell auf Ihrem eigenen Rechner beseitigt den Auftragsverarbeiter ganz: kein Anbieter, kein AVV, keine Übermittlung, keine Frage nach der Aufbewahrung. Bei Meetings mit Gesundheitsdaten, anwaltlicher Vertraulichkeit, Personalfällen oder allem, was unter eine strenge Kunden-NDA fällt, ist das oft die leichter zu verteidigende Entscheidung.

Der Preis sind Hardware und Qualität. Ein kleines Modell auf einem Laptop schreibt eine gröbere Zusammenfassung als ein großes gehostetes, und lange Transkripte brauchen ihre Zeit. Unser Leitfaden für lokale LLMs zeigt, wie Sie Autorec mit Ollama oder LM Studio verbinden.

Eine sinnvolle Aufteilung:

Routine-Meetings intern: ein EU-gehosteter Endpunkt mit abgeschaltetem Training und unterschriebenem AVV
sensible Meetings: ein lokales Modell, oder gar keine Zusammenfassung und nur das Transkript

Den Anbieter können Sie jederzeit in den Einstellungen wechseln, und Zusammenfassungen entstehen pro Aufnahme. Die Aufteilung muss also kein Entweder-oder sein.

Eine kurze Checkliste

Wählen Sie den Anbieter und schließen Sie den AVV für genau das Konto ab, dessen Schlüssel Sie verwenden.
Prüfen Sie die Trainingseinstellung in genau diesem Konto, nicht allgemein.
Beantragen Sie Zero Data Retention, wenn der Anbieter sie anbietet und Ihr Risiko es verlangt.
Sagen Sie den Teilnehmenden, dass ein KI-Anbieter das Transkript verarbeitet. Ihr Aufnahmehinweis sollte die Kategorie des Auftragsverarbeiters nennen.
Tragen Sie den Anbieter in Ihr Verzeichnis von Verarbeitungstätigkeiten ein.
Lassen Sie Nach Transkription automatisch zusammenfassen aus für Meetings, die Sie erst prüfen wollen.

Autorec hält das Audio auf Ihrem Rechner und zeigt Ihnen genau, welcher Text ihn verlässt. Verträge und Richtlinien liegen bei Ihnen. Für die Aufnahmeseite lesen Sie den Leitfaden zu DSGVO und HIPAA, und warum wir auf Meeting-Bots verzichten, erklärt der Beitrag zum Recorder ohne Bot.