AVV mit Transkriptionsdienst: 8 Punkte zum Prüfen
Sobald ein externer Transkriptionsdienst personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Die häufigsten Fehler liegen nicht im Fehlen eines AVV, sondern in seinen Details: zu allgemeine Subprozessor-Klauseln, fehlende Lösch-Workflows, ein Audit-Recht, das sich auf das Vorlegen von Zertifikaten reduziert. Dieser Beitrag listet die acht Pflichtinhalte nach Art. 28 (3) DSGVO und zeigt, woran man einen sauberen AVV erkennt.
Wann ein AVV nötig ist
Auftragsverarbeitung liegt vor, wenn ein Dritter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet — typisch bei SaaS-Diensten, Cloud-Speichern und KI-Transkription. Die Abgrenzung zu reiner „Datenübermittlung" oder eigener Verantwortlichkeit des Dienstleisters ist nicht immer trivial; für Transkriptionsdienste ist sie in fast allen Fällen erfüllt. Ohne AVV ist die Verarbeitung rechtswidrig — unabhängig davon, wie gut der Anbieter sonst aufgestellt ist.
Die acht Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
1. Gegenstand und Dauer der Verarbeitung
Konkrete Beschreibung — nicht „Datenverarbeitungs-Leistungen", sondern z. B. „Spracherkennung von Audio-Dateien zur Erstellung von Transkripten". Dauer kann sich an der Vertragslaufzeit orientieren.
2. Art und Zweck
Welche Verarbeitungen finden statt? Bei Transkription typischerweise: Upload, Spracherkennung, Speicherung des Transkripts, Bereitstellung zum Download, Löschung des Audios.
3. Art der personenbezogenen Daten
Stimmen, Inhalte von Gesprächen, möglicherweise Namen, Standorte, Gesundheitsangaben — abhängig vom Anwendungsfall. Bei besonderen Kategorien (Art. 9 DSGVO) explizit aufführen.
4. Kategorien betroffener Personen
Mandanten, Mitarbeiter, Studienteilnehmer, Interviewpartner, Mitarbeiter des Auftraggebers selbst. Je nach Use-Case differenziert.
5. Pflichten und Rechte des Verantwortlichen
Insbesondere: Weisungsrecht, Recht auf Auskunft über die Verarbeitung, Recht auf Löschung der Daten nach Beendigung des Vertrags.
6. Vertraulichkeitsverpflichtung der Mitarbeiter
Art. 28 (3) (b) DSGVO: Der Auftragsverarbeiter muss seine Mitarbeiter zur Vertraulichkeit verpflichten. Bei Berufsgeheimnisträgern (z. B. Kanzleien, Arztpraxen, Steuerberatung) zusätzlich § 203 Abs. 4 Satz 2 Nr. 1 StGB.
7. Technische und organisatorische Maßnahmen (TOMs)
Anhang zum AVV — beschreibt Verschlüsselung, Zutritts- und Zugriffskontrolle, Pseudonymisierung, Wiederherstellung, regelmäßige Überprüfung. Mindestens an Art. 32 DSGVO ausgerichtet.
8. Subprozessoren und Unterstützung des Verantwortlichen
Liste der Subprozessoren, Genehmigungsverfahren bei Neuaufnahmen, Pflicht zur Unterstützung des Verantwortlichen bei Auskunftsersuchen, DSFA, Meldepflichten.
Subprozessor-Klauseln richtig lesen
Subprozessoren sind oft das versteckte Risiko. Eine AVV-Klausel wie „Der Auftragsverarbeiter kann Subprozessoren einsetzen" ohne Liste und ohne Genehmigungs-Mechanismus erfüllt Art. 28 (2) DSGVO nicht. Drei Punkte sollten konkret geregelt sein:
Liste mit Stand-Datum
Aktuelle Subprozessoren mit Sitz und Verarbeitungs-Zweck. Bei Transkriptionsdiensten häufig: Cloud-Hoster, Mailversand, Zahlungsabwicklung, ggf. Übersetzungs- oder Anonymisierungs-Subdienst.
Genehmigungs-Mechanismus für Neuaufnahmen
Vorab-Genehmigung oder Widerspruchsrecht? Bei sensitiven Daten sollte Vorab-Information mit Widerspruchsfrist (z. B. 30 Tage) vereinbart sein.
Drittlands-Subprozessoren
Bei Subprozessoren außerhalb des EWR: Rechtsgrundlage nach Art. 44 ff. DSGVO im AVV oder Anhang dokumentieren — Adäquanzbeschluss, SCCs oder verbindliche interne Datenschutzvorschriften.
TOMs: Was im Anhang stehen sollte
Art. 32 DSGVO setzt den Rahmen, der TOM-Anhang füllt ihn. Pauschal-Angaben wie „branchenübliche Verschlüsselung" sind angreifbar. Konkret zu adressieren:
Verschlüsselung
In Transit: TLS-Version, Cipher-Suites. At Rest: Algorithmus (z. B. AES-256), Schlüsselverwaltung. Bei Transkriptionsdiensten zusätzlich: Verarbeitungs-Zeitfenster, in dem Audio unverschlüsselt vorliegt — möglichst klein.
Zugriffskontrolle
Rollenmodell, MFA, IP-Restriktionen, Audit-Log mit Aufbewahrungsdauer. Wer kann auf welche Daten zugreifen und wird das protokolliert?
Lösch-Workflows
Konkrete Fristen pro Datenkategorie. Bei Audio: idealerweise innerhalb von Minuten nach Verarbeitungsende. Bei Transkripten: konfigurierbar, mit dokumentierter Löschung.
Backup und Wiederherstellung
Wo werden Backups gespeichert (selber Standort? andere AVV-Anforderungen?), wie lange aufbewahrt, wie häufig getestet?
Audit-Recht — Welche Optionen bietet der AVV?
Vor-Ort-Audit
Optimal, aber bei Cloud-Anbietern oft praktisch ausgeschlossen. Hier helfen Audits durch unabhängige Dritte.
Audit-Berichte und Zertifikate
ISO 27001, SOC 2 Typ II, BSI C5. Wichtig: Zertifikate beweisen Prozess-Konformität, nicht zwangsläufig DSGVO-Konformität — ergänzende Audit-Rechte sollten erhalten bleiben.
Fragebogen-basierter Audit
Für kleinere Auftraggeber pragmatisch. Sollte mindestens jährlich aktualisiert werden und konkrete technische Fragen umfassen — nicht nur Selbst-Attestierungen.
Red Flags
AVV als unveränderbares PDF
Vom Anbieter angebotene Standard-AVVs sind effizient, aber die Möglichkeit zur Verhandlung sollte bestehen — gerade bei sensitiven Verarbeitungen oder Sonder-Anforderungen.
Kein klares Lösch-Konzept nach Vertragsende
Art. 28 (3) (g) DSGVO verlangt: nach Beendigung des Vertrags löscht oder gibt der Auftragsverarbeiter die Daten zurück. „Wir prüfen Löschung im Einzelfall" reicht nicht.
Subprozessor-Liste fehlt oder ist nicht öffentlich
Wer als Auftragsverarbeiter eingebunden ist, muss seine Subprozessoren benennen können. Wird die Liste auf Anfrage „unter NDA" mitgeteilt, ist das ein deutliches Warnsignal.
Trainings-Klausel mit Mandanten-/Patienten-/Forschungs-Daten
AGB-Klauseln, die dem Anbieter erlauben, die hochgeladenen Daten zur Modellverbesserung zu nutzen, sind bei sensitiven Inhalten regelmäßig nicht haltbar.
Weiterführend
Quellen & Hinweise
DSGVO Art. 28 (3) · Art. 32 · Art. 44 ff. · EU-Kommissions-Standardvertragsklauseln 2021/914 · DSK-Kurzpapier Nr. 13 zur Auftragsverarbeitung · BfDI-Mustervorlagen. Dieser Beitrag ist allgemeine Information und ersetzt keine Rechts- oder Datenschutzberatung. Für die Bewertung eines konkreten AVV wenden Sie sich an Ihren betrieblichen Datenschutzbeauftragten oder eine spezialisierte Kanzlei.
AVV mit Transkribr
Transkribr-AVV nach Art. 28 DSGVO inkl. TOMs-Anhang und transparenter Subprozessor-Liste auf Anfrage über contact@transkribr.eu. Verarbeitung auf Servern in Deutschland, kein KI-Training mit Ihren Daten. Zahlungsabwicklung über Stripe (EU-Niederlassung Irland, US-Mutterkonzern) — Audio-/Inhaltsdaten fließen nicht über Stripe. 15 Minuten kostenlos testen.
Kostenlos testen