Berater arbeiten mit NDAs und vertraulichen Kundendaten. Warum EU-Cloud nicht dasselbe ist wie lokale Verarbeitung und was ein AVV wirklich bedeutet.
Ein Strategiepapier entsteht während eines Gesprächs mit dem Mandanten. Schnelle Notizen ins Mikrofon, Kernsätze aus dem Briefing aufgenommen, erste Strukturideen diktiert. Was dabei oft nicht mitgedacht wird: Wo landet diese Aufnahme?
Für Berater gehört Vertraulichkeit zum Kerngeschäft. NDAs, strategische Daten, interne Analysen, unveröffentlichte Geschäftszahlen. Das alles fließt in Gespräche, Notizen und Berichte. Und wer dabei eine Cloud-Diktierlösung nutzt, gibt einen Teil dieser Vertraulichkeit ab, ob er es bemerkt oder nicht.
Der Begriff "DSGVO-konform" ist in der Tech-Branche zu einem Marketing-Attribut geworden. Er sagt zunächst nur, dass ein Anbieter formale Anforderungen der Datenschutz-Grundverordnung erfüllt. Das schließt ein: einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Maßnahmen zur Datensicherheit, definierte Löschfristen.
Was er nicht sagt: dass die Daten auf dem eigenen Gerät bleiben.
Ein Auftragsverarbeitungsvertrag ist ein Vertrag mit einem Dritten, der Daten im Auftrag verarbeitet. Er ist nur dann nötig, wenn Daten das Gerät verlassen und an einen Dienstleister gehen. Der AVV regelt, wie dieser Dritte mit den Daten umgeht. Er verhindert nicht, dass der Dritte sie erhält.
Das bedeutet: Wer eine Cloud-Diktierlösung nutzt, auch eine EU-gehostete, übergibt Kundendaten an einen Drittanbieter. Vertragsrechtlich geregelt, technisch aber real. Die Audiodatei mit dem Strategiegespräch liegt für den Moment der Verarbeitung auf einem fremden Server.
Bei Wispr Flow läuft die Verarbeitung über die OpenAI-API in den USA. Bei Otter.ai auf AWS US-East-1 in Virginia. Selbst Anbieter mit EU-Hosting verarbeiten Daten auf Servern, die einem Dritten gehören. Für Berater, deren Mandanten darauf vertrauen, dass strategische Inhalte das Unternehmen nicht verlassen, ist das eine relevante technische Tatsache.
Ein NDA verpflichtet den Berater, vertrauliche Informationen nicht weiterzugeben. Die meisten NDAs wurden geschrieben, bevor KI-Diktierlösungen existierten. Sie enthalten keine Klausel, die Cloud-Dienste adressiert. Das bedeutet nicht, dass eine Audiodatei mit Mandanteninhalten auf einem US-Server keine Vertragsverletzung darstellt, sondern dass diese Frage im Streitfall erst ausgelegt werden muss.
Wer auf Nummer sicher gehen will, kommt nicht um die technische Frage herum: Verlässt die Aufnahme das Gerät? Wenn ja: an wen geht sie, auf welcher Rechtsgrundlage, für wie lange?
Bei lokaler Verarbeitung stellt sich diese Frage nicht. Was auf dem Gerät bleibt, geht nirgendwo hin. Es gibt keinen Drittanbieter, keinen Server, kein Vertragsverhältnis mit einem Verarbeiter. Der AVV entfällt, weil es keinen zu beauftragenden Dritten gibt.
Für Berater, die täglich mit KI-Tools arbeiten und Prompts zu Kundenprojekten sprechen, ist das kein theoretischer Unterschied. Prompt-Inhalte, die über Sprachsteuerung eingegeben werden, sind genauso Kundendaten wie E-Mails. Warum Freelancer in ähnlicher Situation lokal arbeiten und welche Datenschutzfragen dabei gelöst werden, zeigt der Beitrag zu lokaler KI-Diktierlösung für Freelancer in Deutschland.
Bei Sprich läuft die gesamte Verarbeitung auf dem Mac. Das Transkriptionsmodell FluidAudio Parakeet TDT 0.6B v3 arbeitet auf der Apple Neural Engine. Ein lokal installiertes Qwen-Modell übernimmt die Nachbearbeitung. Kein Audiobyte verlässt das Gerät.
Das hat praktische Konsequenzen für den Compliance-Aufwand:
Kein AVV nötig, weil es keinen Dritten gibt. Keine Datenschutzfolgenabschätzung für die Sprachverarbeitung, weil keine Verarbeitung durch einen externen Anbieter stattfindet. Kein Eintrag ins Verarbeitungsverzeichnis für einen Diktierdienst. Keine Prüfung, ob der Anbieter seinen Sitz in einem Drittland hat.
Der Trade-off ist transparent: lokale Verarbeitung kostet zwei bis drei Sekunden mehr als ein direkter Cloud-Call. Das ist der Preis dafür, dass die Daten das Gerät nie verlassen. Im Beratungsalltag, wo Vertraulichkeit zum Leistungsversprechen gehört, ist das ein günstiger Tausch.
Für Berater, die Steuerberater und ähnliche Berufsgruppen in Datenschutzfragen begleiten, ist interessant, dass dieselbe Überlegung auch dort gilt. Der Artikel zur lokalen KI-Diktierlösung für Steuerberater zeigt, wie das in einem vergleichbaren Berufskontext aussieht.
Vertraulichkeit endet nicht am Mandatsgespräch. Sie gilt auch für die Werkzeuge, die dabei im Hintergrund laufen. Wer als Berater Cloud-Diktierlösungen nutzt, übergibt Kundendaten an Dritte, auch wenn der Server in Europa steht. Wer lokal arbeitet, schließt diese Lücke strukturell.
Sprich.ai ist für Mac mit Apple Silicon verfügbar. Zweitausend Wörter pro Woche sind kostenlos, ohne Kreditkarte. Genug, um zu überprüfen, ob der Workflow passt, bevor eine Entscheidung getroffen wird.
Sprich kostenlos testen — 2.000 Wörter pro Woche gratis, keine Kreditkarte nötig.
Kostenlos herunterladen →