Diktiersoftware und DSGVO: worauf es wirklich ankommt

Eine Anwältin diktiert den Schriftsatz zu einem laufenden Verfahren. Ein Arzt spricht einen Befund ins Mikrofon. Ein Steuerberater fasst ein Mandantengespräch zusammen. In allen drei Fällen steckt in der gesprochenen Sprache genau das, was das Gesetz besonders schützt: ein fremdes Geheimnis. Und in vielen Diktier-Apps verlässt genau dieses Geheimnis unbemerkt den eigenen Rechner, bevor auch nur ein Wort auf Papier steht. Das ist kein Grund für Panik. Aber es ist ein guter Grund, einmal genau hinzusehen, wohin die eigene Stimme eigentlich geht.

Wohin Ihre Stimme beim Cloud-Diktat wirklich geht

Der Ablauf beim Cloud-Diktat ist bequem und deshalb unauffällig: Sie sprechen, die App nimmt auf, schickt die Aufnahme an den Server des Anbieters, dort wird sie in Text umgewandelt, immer öfter von einem KI-Modell, und der fertige Text kommt zurück. Funktioniert auf jedem Gerät, ohne Einrichtung, ohne Nachdenken. Genau das Nicht-Nachdenken ist der Punkt.

Denn mit der Aufnahme reisen zwei Dinge, die Sie im Blick haben sollten. Erstens der Inhalt, also das anvertraute Geheimnis selbst. Zweitens die Sprachaufnahme, die für sich schon ein personenbezogenes Datum ist. Bei einem Arzt kommt eine dritte Ebene dazu: Der gesprochene Befund ist ein Gesundheitsdatum und fällt damit unter die besonderen Kategorien nach Artikel 9 DSGVO, also unter die höchste Schutzstufe, die die Verordnung kennt.

Der unsichtbarste Datenfluss ist immer der, den man nicht kontrolliert. Für einen Berufsgeheimnisträger ist das keine akademische Feinheit. Es ist die Kernfrage.

§ 203 StGB: das Geheimnis, das viele vergessen

Datenschutz ist die eine Ebene. Für Anwälte, Ärzte, Steuerberater, Psychotherapeuten und andere schweigepflichtige Berufe gibt es eine zweite, ältere und schärfere: § 203 StGB, die Verletzung von Privatgeheimnissen. Wer ein anvertrautes Geheimnis unbefugt offenbart, macht sich strafbar, bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Ein Cloud-Anbieter, der die Aufnahme verarbeitet, bekommt dieses Geheimnis technisch zu Gesicht.

Und jetzt gegen die Panik: Seit der Reform des § 203 im Jahr 2017 ist das Einbinden externer IT- und Cloud-Dienstleister nicht automatisch strafbar. Der Gesetzgeber hat anerkannt, dass eine Kanzlei oder eine Praxis heute ohne fremde IT gar nicht mehr arbeiten kann. Erlaubt ist die Mitwirkung Dritter aber nur unter Bedingungen: Der Dienstleister muss zur Geheimhaltung verpflichtet werden, die Einbindung muss für die Tätigkeit erforderlich sein, und die Auswahl muss sorgfältig geschehen. Ein weggeklickter Haken bei den AGB einer Gratis-App erfüllt keine dieser drei Bedingungen.

Die DSGVO fragt: Darf ich diese Daten überhaupt verarbeiten? § 203 fragt zusätzlich: Darf dieser Dritte dieses Geheimnis überhaupt sehen? Zwei Fragen, zwei Antworten, und beide müssen ja lauten.

Das ist eine Einordnung aus der Auditor-Praxis, keine Rechtsberatung. Für den konkreten Einzelfall gehört ein Fachanwalt an den Tisch. Aber die Prüf-Logik ist in jeder Kanzlei und jeder Praxis dieselbe, und man muss kein Jurist sein, um sie anzulegen.

Cloud ist nicht verboten. Aber es ist eine Entscheidung.

Nichts davon heißt, Cloud-Diktat sei illegal. Mit einem sauberen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, mit Servern in der EU, einer klaren Löschregel und einem Anbieter, der sich zur Verschwiegenheit verpflichtet, kann Cloud-Diktat zulässig sein. Der Punkt ist ein anderer: Sie treffen damit eine Entscheidung, und Sie tragen sie. Nicht der Anbieter steht am Ende auf dem Briefkopf, sondern Sie.

Wackelig wird der Boden, sobald die Daten ein Drittland erreichen. Viele Dienste verarbeiten oder hosten in den USA oder ziehen dortige Subunternehmer hinzu. Ein solcher Transfer braucht eine eigene Rechtsgrundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und dieser Boden hat sich in den letzten Jahren mehr als einmal verschoben. Wer sein Berufsgeheimnis auf eine politische Vereinbarung stützt, die im nächsten Verfahren kassiert werden kann, baut auf Sand.

Und wenn das Werkzeug nicht nur mitschreibt, sondern zusammenfasst, gliedert oder Formulierungen vorschlägt, kommt eine weitere Ebene dazu: Der EU AI Act verlangt für bestimmte KI-erzeugte Ausgaben Transparenz (Artikel 50). Für das reine Diktat ist das selten der Knackpunkt, aber es gehört auf die Liste, sobald aus Spracherkennung eine Textproduktion wird.

Die Fragen, die Sie jedem Anbieter stellen sollten

Sie müssen weder Jurist noch Informatiker sein, um einen Diktier-Anbieter einzuordnen. Sie müssen nur die richtigen Fragen stellen und sich die Antworten schriftlich geben lassen. Wer schriftlich antwortet, hat nachgedacht. Wer ausweicht, hat die Antwort schon gegeben.

• Wo genau wird meine Aufnahme verarbeitet und gespeichert, in welchem Land und auf wessen Servern?
• Gibt es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, und wer sind die Subunternehmer?
• Verlassen die Daten die EU, und worauf stützt sich dieser Transfer rechtlich?
• Wird meine Aufnahme oder mein Transkript zum Training von Modellen oder zur Produktverbesserung weiterverwendet?
• Wann und wie werden Aufnahme und Transkript gelöscht, und lässt sich das nachweisen?
• Verpflichtet sich der Anbieter vertraglich zur Verschwiegenheit im Sinne von § 203 StGB?
• Gibt es die Möglichkeit, alles lokal zu verarbeiten, ganz ohne Server?

Diese sieben Fragen sind kein Misstrauensvotum. Sie sind das Mindeste, was jemand beantworten können sollte, dem Sie tagtäglich fremde Geheimnisse anvertrauen.

Der ruhigste Weg: was den Rechner nie verlässt

Es gibt eine Abkürzung durch diese ganze Prüfliste, und sie ist erstaunlich unspektakulär: lokal diktieren. Moderne Spracherkennung läuft heute vollständig auf einem normalen Büro-Rechner, ohne Cloud, ohne Konto, ohne dass eine einzige Silbe das Gerät verlässt. Was nie rausgeht, muss ich nicht absichern. Nicht per Vertrag, nicht per Transfer-Grundlage, nicht gegen den nächsten kassierten Angemessenheitsbeschluss. Das Berufsgeheimnis bleibt da, wo es hingehört.

Lokal hat einen Preis: Sie brauchen einen halbwegs aktuellen Rechner, und ein paar Komfortfunktionen aus der Cloud fehlen. Für die meisten Kanzleien, Praxen und Steuerbüros ist das ein guter Tausch. Datenhoheit gegen ein bisschen Bequemlichkeit. Erst die Hoheit über das Geheimnis, dann der Komfort.

Die ehrliche Schlusszeile

Cloud oder lokal ist keine Glaubensfrage. Es ist eine Abwägung, die Sie bewusst treffen und im Zweifel belegen können sollten. Bequemlichkeit ist ein legitimes Argument, aber sie ist nie das einzige. Wer ein fremdes Geheimnis verwaltet, sollte jederzeit sagen können, wo es gerade liegt. Wenn die Antwort auf diese eine Frage ein Achselzucken ist, haben Sie Ihr Werkzeug noch nicht verstanden.