Sonix DSGVO und Datenschutz: Warum Upload-basierte Transkription mit US-Hosting problematisch sein kann

Sonix DSGVO und Datenschutz: Warum Upload-basierte Transkription mit US-Hosting problematisch sein kann

1. Sonix DSGVO und Datenschutz: Die Grundproblematik

Sonix ist ein Transkriptionstool, das Audiodateien und Videos automatisch in Text umwandelt. Anders als KI-Assistenten wie Zoom AI Companion oder Microsoft Copilot arbeitet Sonix nicht im Hintergrund und nimmt auch keine Meetings direkt auf. Stattdessen muss das Meeting zuerst manuell aufgenommen und die Datei im Anschluss auf die Sonix-Plattform hochgeladen werden. Das bedeutet mehr Aufwand – und bringt eigene Datenschutzrisiken mit sich.

2. Wie Sonix arbeitet: Nachgelagerter Upload

Sonix transkribiert nicht live. Der Nutzer muss zunächst eine Audio- oder Videodatei erstellen, diese Datei dann hochladen und erhält daraufhin ein automatisches Transkript. Die Anwendung eignet sich vor allem für Interviews, aufgezeichnete Meetings oder Content-Erstellung (z. B. Podcasts).

Verarbeitet werden:

• Vollständige Mediendateien (Audio/Video)
• Alle darin enthaltenen gesprochenen Inhalte
• Sprecheridentitäten, Zeitstempel und ggf. Metadaten

Die gesamte Verarbeitung erfolgt auf Servern außerhalb der EU, in der Regel in den USA.

3. Fehlende Transparenz: Aufnahme kritisch für DSGVO und Datenschutz

Da Sonix keine Live-Integration hat, liegt der kritische Moment beim Aufzeichnen des Meetings. In der Praxis werden Gespräche aufgezeichnet, ohne dass alle Teilnehmenden eine klare Einwilligung erteilt haben. Der Upload zu Sonix erfolgt dann im Nachgang, aber das Risiko besteht bereits zum Zeitpunkt der Aufnahme.

Die DSGVO verlangt auch hier:

• Art. 5 Abs. 1(a) DSGVO: Transparenz, Fairness
• Art. 13 DSGVO: Informationspflicht bei der Erhebung der Daten (also bei Aufnahme)
• Art. 6 DSGVO: Erforderliche Rechtsgrundlage, meist in Form von Einwilligung

Besonders heikel: Die betroffenen Personen haben in vielen Fällen keine Kontrolle darüber, was mit der Aufnahme geschieht – sie wird nachträglich in ein Drittland übertragen.

4. Server außerhalb der EU: Ein weiteres Risiko

Sonix hostet die Daten in der Regel in den USA. Auch wenn Sicherheitsstandards versprochen werden, gelten die USA nach Schrems II nicht als sicheres Drittland.

Das bedeutet:

• US-Behörden können unter bestimmten Gesetzen auf die Daten zugreifen (z. B. CLOUD Act)
• Nutzer müssten Standardvertragsklauseln abschließen
• Eine Transfer-Folgenabschätzung (TIA) wäre erforderlich

Diese Anforderungen übersteigen in der Regel die Möglichkeiten von Einzelpersonen oder kleinen Unternehmen.

5. Was DSGVO-Konformität hier besonders schwer macht

Die Nutzung von Sonix kann DSGVO-konform sein, aber nur wenn:

• Vor der Aufnahme alle Beteiligten informiert wurden
• Eine ausdrückliche Einwilligung zur Aufzeichnung und späteren Transkription vorliegt
• Der Datenexport in die USA rechtlich abgesichert ist
• Interne Richtlinien zur Datenlöschung und Aufbewahrung bestehen

Das bedeutet: Der Nutzer ist in der Pflicht, schon vor dem Hochladen alle rechtlichen Rahmenbedingungen zu klären.

6. Sonix DSGVO und Datenschutz: Realität vs. Praxis

In der Praxis werden Aufnahmen oft spontan oder informell gemacht. Die spätere Nutzung für Transkriptionszwecke wird nicht vorab kommuniziert. Auch der Export in die USA ist vielen Nutzern nicht bewusst. Sonix selbst stellt keine Werkzeuge bereit, um Einwilligungen der Teilnehmer nachzuverfolgen oder den Datenfluss sichtbar zu machen.

7. Fazit: Sonix DSGVO-technisch problematisch bei fehlender Einwilligung und US-Hosting

Sonix ist ein leistungsfähiges Tool, aber aus DSGVO-Sicht in mehrfacher Hinsicht kritisch:

• Die Aufzeichnung muss DSGVO-konform erfolgen
• Der Upload in die US-Cloud muss abgesichert sein
• Die Einwilligung aller Beteiligten ist Pflicht

Im Vergleich zu Tools mit sichtbarem Bot und EU-Hosting (z. B. Sally) ist Sonix deutlich komplizierter rechtssicher einzusetzen. Wer es dennoch nutzen will, sollte klare Prozesse etablieren und Einwilligungen konsequent dokumentieren.

Disclaimer: Das ist keine Rechtsberatung.