Interviews transkribieren und DSGVO: Was wirklich gilt

Über Transkriptionssoftware wird viel geschrieben, über den Datenschutz dahinter fast nichts. Dabei ist es die Frage, die in Kolloquien, Ethikanträgen und Betreuungsgesprächen am zuverlässigsten gestellt wird. Dieser Leitfaden ordnet, was gilt, was verhandelbar ist und woran Projekte in der Praxis scheitern.

Warum ein Interview mehr ist als eine Audiodatei

Eine Stimmaufnahme identifiziert die sprechende Person auch dann, wenn kein Name fällt. Sie ist damit ein personenbezogenes Datum im Sinne von Artikel 4 DSGVO. Das Transkript ändert daran nichts, es erbt den Status der Aufnahme.

Zwei Punkte werden dabei regelmäßig übersehen. Erstens enthalten Interviews fast immer Daten über Dritte, etwa über Vorgesetzte, Kolleginnen, Familienmitglieder oder Patientinnen. Diese Personen haben nie eingewilligt. Zweitens fallen Gesundheitsangaben, Gewerkschaftszugehörigkeit, Religion, Sexualleben und politische Meinungen unter Artikel 9 DSGVO und damit unter besonders geschützte Kategorien. Ein Interview über Belastungserleben im Pflegeberuf produziert solche Daten praktisch zwangsläufig.

Praktisch heißt das: Der Schutzbedarf einer Interviewaufnahme liegt höher, als die meisten Projektpläne annehmen.

Die vier Fragen, die ein Prüfer stellt

1. Auf welcher Rechtsgrundlage verarbeitest du?

In der Forschung ist das im Regelfall die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a, bei besonderen Kategorien zusätzlich nach Artikel 9 Absatz 2 Buchstabe a. Die Einwilligung muss freiwillig, informiert und widerruflich sein, und sie muss nachweisbar vorliegen. Ein mündliches Ja am Anfang der Aufnahme genügt der Nachweispflicht nicht zuverlässig.

Was in eine belastbare Einwilligung gehört:

• Wer verarbeitet, für welchen Zweck, und wie lange
• Ob eine Aufnahme entsteht und was mit ihr nach dem Projekt passiert
• Welche Dienstleister beteiligt sind, namentlich und mit Verarbeitungsort
• Ob und wie das Transkript anonymisiert wird
• Wie der Widerruf funktioniert und was er auslöst

Der vierte Punkt ist der, an dem Einwilligungsformulare aus Vorlagen scheitern. Wer erst nach der Erhebung entscheidet, welches Werkzeug transkribiert, hat die Einwilligung dafür nicht eingeholt.

2. Wer verarbeitet außer dir noch?

Sobald eine Aufnahme in einen externen Dienst geladen wird, liegt Auftragsverarbeitung nach Artikel 28 DSGVO vor. Dafür braucht es einen Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder auf Englisch DPA. Seriöse Anbieter stellen ihn ohne Rückfrage bereit, oft als herunterladbares Dokument oder als Teil der Nutzungsbedingungen.

Findet die Transkription vollständig auf dem eigenen Rechner statt, etwa mit einem lokal laufenden Modell, entfällt der AV-Vertrag. Das ist der Grund, warum Universitäten lokale Lösungen oft bevorzugen, trotz des höheren Aufwands.

3. Wohin fließen die Daten?

Die Übermittlung in die USA ist seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom Juli 2023 grundsätzlich möglich, sofern der Anbieter unter diesem Rahmen zertifiziert ist. Alternativ tragen Standardvertragsklauseln zusammen mit einer Risikoabschätzung.

Das ist die rechtliche Lage. Die praktische ist eine andere: Zertifizierungen ändern sich, die Prüfung liegt bei dir, und viele Hochschulen und Kliniken verlangen inzwischen unabhängig davon eine Verarbeitung innerhalb der EU, weil das die Diskussion beendet, bevor sie beginnt. Wer sich diesen Weg offenhalten will, wählt einen Anbieter mit EU-Verarbeitungsort.

4. Was passiert mit den Inhalten beim Anbieter?

Die Frage, die in kaum einer Einwilligung auftaucht und trotzdem entscheidend ist: Werden die hochgeladenen Aufnahmen zum Training von Modellen verwendet? Bei kostenlosen Werkzeugen ist das häufig der Preis. Die Antwort gehört in die Datenschutzerklärung des Anbieters, und wenn sie dort nicht steht, ist das selbst eine Antwort.

Anonymisieren oder pseudonymisieren

Die beiden Begriffe werden im Alltag synonym benutzt, rechtlich sind sie es nicht.

Pseudonymisierung ersetzt identifizierende Merkmale durch Kürzel, etwa B1 statt Beate M. Der Bezug bleibt über eine Zuordnungsliste herstellbar. Pseudonymisierte Daten sind weiterhin personenbezogen und fallen vollständig unter die DSGVO.

Anonymisierung entfernt den Bezug so weit, dass eine Zuordnung auch mit Zusatzwissen und vertretbarem Aufwand nicht mehr gelingt. Erst dann endet der Anwendungsbereich der DSGVO.

Für Interviews ist echte Anonymisierung anspruchsvoller, als sie klingt. Es reicht nicht, den Namen zu ersetzen. Eine Kombination aus Beruf, Ortsangabe, Betriebsgröße und Dauer der Betriebszugehörigkeit kann eine Person in einer kleinen Branche eindeutig bestimmen, auch ohne Namen. Beim Anonymisieren gehören daher auch indirekte Merkmale auf die Liste:

• Orts- und Einrichtungsnamen, ersetzt durch Kategorien wie „Klinik der Maximalversorgung"
• Seltene Berufsbezeichnungen und Funktionen
• Konkrete Jahreszahlen, wenn sie mit Lebensereignissen verknüpft sind
• Auffällige sprachliche Merkmale, wenn Dialekt oder Idiolekt identifizierend wirken

Praktikabler Kompromiss in der Forschung: pseudonymisiert arbeiten, die Zuordnungsliste getrennt und verschlüsselt aufbewahren, und für die Veröffentlichung ein anonymisiertes Transkript erzeugen.

Löschen gehört zum Plan, nicht ans Ende

Der Grundsatz der Speicherbegrenzung verlangt, dass Daten nur so lange vorliegen, wie der Zweck es erfordert. Für Abschlussarbeiten endet der Zweck üblicherweise mit dem Prüfungsverfahren, in Forschungsprojekten mit dem Ende der Auswertung oder mit der Aufbewahrungsfrist guter wissenschaftlicher Praxis.

Wer die Frist bereits in die Einwilligung schreibt, spart sich später die Diskussion. Ein bewährtes Muster: Rohaufnahmen werden nach Annahme der Arbeit gelöscht, das anonymisierte Transkript bleibt für die Nachvollziehbarkeit erhalten.

Dazu gehört, dass der eingesetzte Dienst Löschung überhaupt ermöglicht, und zwar nachvollziehbar. Ein Konto, aus dem sich Aufnahmen nicht entfernen lassen, macht die Löschzusage in der Einwilligung wertlos.

Checkliste vor dem ersten Interview

1. Einwilligungsformular liegt schriftlich vor und benennt den Transkriptionsdienst
2. Rechtsgrundlage ist geklärt, bei sensiblen Themen auch nach Artikel 9
3. AV-Vertrag mit dem Anbieter liegt vor oder die Verarbeitung läuft lokal
4. Verarbeitungsort ist bekannt und dokumentiert
5. Es ist geklärt, ob Inhalte zum Modelltraining verwendet werden
6. Löschfristen sind festgelegt und technisch umsetzbar
7. Anonymisierungsregeln stehen fest, bevor das erste Transkript entsteht
8. Zuordnungsliste wird getrennt von den Transkripten verschlüsselt aufbewahrt

Hinweis: Dieser Artikel ist eine praxisorientierte Übersicht und keine Rechtsberatung.

Wo Nodl in dieses Bild passt

Nodl ist ein Werkzeug für gesprochene Aufnahmen, das Transkript und daraus ein strukturiertes Dokument erzeugt. Für den Datenschutzteil sind vier Eigenschaften relevant, und sie sind nachprüfbar statt behauptet:

• Aufnahmen, Transkripte und Transkriptsegmente liegen feldweise verschlüsselt in der Datenbank
• Verarbeitung und Speicherung finden in Deutschland statt, die eingesetzten Sprachmodelle laufen in der EU
• Inhalte werden nicht zum Training von Modellen verwendet
• Aufnahmen und Dokumente lassen sich exportieren und löschen

Für Interviews relevant ist außerdem die Sprechertrennung: Bei mehreren Stimmen weist Nodl die Abschnitte den Sprechenden zu und färbt sie im Transkript unterschiedlich ein. Jeder Abschnitt trägt eine Zeitmarke, über die sich die zugehörige Audiostelle direkt anspringen lässt. Das ist beim Prüfen strittiger Passagen der Unterschied zwischen zwei Minuten und zwanzig.

Eine Grenze gehört dazu: Eine einzelne Aufnahme darf derzeit bis zu einer Stunde lang sein. Längere Interviews müssen vorher geteilt werden.

Häufige Fragen