Fang bei dem an, was du brauchst
Jede Funktion bringt eigene Datenverarbeitung mit. Ein einfacher Audio-Call ist etwas anderes als ein aufgezeichnetes Meeting mit Transkript und KI-Zusammenfassung. Schreib deshalb zuerst auf, was du wirklich nutzt:
- Meetings mit externen Gästen ohne Konto?
- Dauerhafte Sprachräume für ein Team oder eine Community?
- Aufnahmen – und wer darf sie später ansehen?
- Transkripte, Untertitel oder KI-Zusammenfassungen?
- Telefoneinwahl?
- Chat, Dateien und Notizen am selben Ort?
Diese Liste entscheidet, welche der folgenden Fragen für dich am wichtigsten sind. Nimmst du nie auf, ist die Speicherdauer von Aufnahmen Nebensache. Transkribierst du jedes Meeting, stehen die KI-Fragen ganz oben.
Fragen an den Anbieter
Ein seriöser Anbieter beantwortet diese Fragen schriftlich, meist mit einem Link auf eine öffentliche Seite. Bleiben die Antworten vage, ist das auch eine Antwort.
- Wer betreibt den Dienst, und welches Recht gilt? Name, Sitz und der Gerichtsstand des Vertrags.
- Wo stehen Server, Dateispeicher und Backups? Frag nach allen dreien. Backups gehen oft unter.
- Was verlässt die EU, und warum? Typische Beispiele: Dienste für Netzwerkschutz, Zahlungsanbieter und optionale Anmeldung mit externen Konten.
- Gibt es eine aktuelle Liste der Unterauftragsverarbeiter? Und wie erfahren Kunden von Änderungen?
- Gibt es einen Auftragsverarbeitungsvertrag (AVV)? Für Organisationen ist er nach Art. 28 DSGVO Pflicht.
- Wie werden Daten verschlüsselt? Bei der Übertragung, im Speicher – und ist etwas Ende-zu-Ende-verschlüsselt? Wenn ja: Was funktioniert dort nicht?
- Welche Speicherfristen gelten standardmäßig für Aufnahmen, Transkripte und Chat? Können Admins sie verkürzen?
- Wie erfahren Teilnehmende, dass eine Aufnahme oder Transkription startet?
- Kannst du deine Daten exportieren und vollständig löschen – pro Person und für das ganze Team?
In unserer DSGVO-Checkliste für Tools findest du diese Fragen zum Abarbeiten mit deinem Team.
So liest du eine Liste der Unterauftragsverarbeiter
Die Liste nennt die Firmen, die im Auftrag des Anbieters personenbezogene Daten verarbeiten. Meist hat sie drei Spalten: Name, Zweck und Standort. So gehst du vor:
Standorte ansehen
Markier jeden Eintrag außerhalb von EU/EWR und Einträge mit vagen Angaben wie „weltweit“.
Zwecke mit deiner Nutzung abgleichen
Ein Zahlungsanbieter sieht nur Abrechnungsdaten. Ein Transkriptions- oder KI-Dienst sieht womöglich deine Meeting-Inhalte. Das Zweite wiegt viel schwerer.
Grundlage der Übermittlung prüfen
Für Übermittlungen außerhalb von EU/EWR sollte der Anbieter die Rechtsgrundlage nennen, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
Vollständigkeit und Aktualität prüfen
Platzhalter oder eine Liste ohne Datum sind ein Warnzeichen. Ebenso eine Liste, die sich nie ändert, obwohl sich das Produkt sichtbar ändert.
Der AVV: worauf du achtest
Nutzt deine Organisation ein Tool für ihre Arbeit, verarbeitet der Anbieter personenbezogene Daten in eurem Auftrag. Art. 28 DSGVO verlangt dann einen Vertrag. Prüf mindestens, ob der AVV Folgendes regelt:
- Gegenstand, Dauer, Zweck und Art der verarbeiteten Daten
- Verarbeitung nur auf eure dokumentierte Weisung
- Vertraulichkeit der Personen, die mit den Daten arbeiten
- technische und organisatorische Maßnahmen
- Regeln für Unterauftragsverarbeiter und wie ihr über Änderungen informiert werdet
- Unterstützung bei Betroffenenanfragen und Datenpannen
- Löschung oder Rückgabe der Daten am Vertragsende
- euer Recht auf Kontrollen oder Auskunft
Dieser Artikel ist eine Praxishilfe, keine Rechtsberatung. Für deinen konkreten Fall frag deine Datenschutzbeauftragte, deinen Datenschutzbeauftragten oder eine Anwältin bzw. einen Anwalt.
Wo läuft die KI?
Bei KI-Funktionen fließt besonders viel Inhalt: ganze Gespräche, als Text. Frag konkret:
- Welche Funktionen nutzen KI – Untertitel, Transkripte, Zusammenfassungen, Suche?
- Betreibt der Anbieter die Modelle selbst, oder ruft er einen externen KI-Dienst auf? Wenn extern: welchen, und wo?
- Werden Inhalte zum Training von Modellen genutzt?
- Wer kann KI abschalten – die Organisation, das Team, jedes Meeting? Kann eine einzelne Person widersprechen?
- Sind KI-Ergebnisse gekennzeichnet? Sind es Vorschläge oder automatische Entscheidungen?
- Wie lange bleiben Transkripte gespeichert?
Was Coviqo auf diese Fragen antwortet
Wir haben Coviqo so gebaut, dass diese Antworten leicht zu finden sind:
- Betreiber
- Luxemburg
- Server, Dateispeicher, Backups
- Deutschland (EU)
- KI
- Spracherkennung und Sprachmodell auf Servern, die wir selbst betreiben; keine externen KI-Anbieter, kein Training mit deinen Inhalten
- Was die EU verlässt
- Netzwerkschutz durch einen CDN/Proxy-Anbieter vor Website und App, der Zahlungsdienstleister, optionale Anmeldedienste und Integrationen, die du wählst – siehe Warum eine europäische Plattform
- Unterauftragsverarbeiter
- Öffentliche Liste, dieselbe wie in der Datenschutzerklärung
- AVV
- Für Organisationen verfügbar, Abschluss in den Einstellungen
- Transkripte
- In neuen Spaces standardmäßig 90 Tage gespeichert; jede Person kann der Transkription widersprechen
Details findest du unter Warum eine europäische Plattform. Speziell für Voice-Apps gibt es die Checkliste für Voice-Apps.
Häufige Fragen
Ist ein Tool mit Servern in der EU automatisch DSGVO-konform?
Nein. Der Serverstandort ist ein Faktor. Betreiber, Unterauftragsverarbeiter, Vertrag, Speicherfristen und die Funktionsweise von Aufnahme und KI zählen genauso – und auch, wie du das Tool nutzt.
Brauchen kleine Vereine und Communities einen AVV?
Verarbeitet eine Organisation, etwa ein eingetragener Verein, mit einem Tool personenbezogene Daten ihrer Mitglieder, ist ein AVV nach Art. 28 DSGVO in der Regel nötig. Im Zweifel frag eure Datenschutzbeauftragten.
Was ist der Unterschied zwischen Verschlüsselung im Speicher und Ende-zu-Ende-Verschlüsselung?
Bei Verschlüsselung im Speicher liegen die Daten verschlüsselt auf dem Server, der Anbieter kann sie aber verarbeiten, etwa für Suche oder Transkription. Bei Ende-zu-Ende-Verschlüsselung können nur die Teilnehmenden die Inhalte lesen – serverseitige Funktionen wie KI gehen dann nicht.
Im Benutzerhandbuch
Schritt-für-Schritt-Anleitungen