Spracherkennung und Datenschutz: Lokal vs. Cloud

Sprachaufnahmen gehören zu den sensibelsten Datenkategorien überhaupt. Die Stimme ist biometrisch eindeutig, enthält emotionale Informationen und transportiert oft sehr persönliche Inhalte. Wer Diktiersoftware nutzt, sollte verstehen, was mit diesen Daten geschieht.

Wie cloudbasierte Spracherkennung funktioniert

Bei cloudbasierten Systemen werden Audiodaten vom eigenen Gerät an Server des Anbieters übertragen, dort verarbeitet und der erkannte Text zurückgeschickt. Das eigentliche Sprachmodell läuft nicht lokal, sondern auf der Infrastruktur des Anbieters.

Diese Architektur hat technische Vorteile: Die Modelle können sehr groß sein, werden ständig aktualisiert und erfordern keine leistungsfähige Hardware auf dem Endgerät.

Datenschutztechnisch entstehen dabei mehrere Fragen: Wie lange speichert der Anbieter die Audiodaten? Werden sie zur Modellverbesserung genutzt? In welchem Land befinden sich die Server? Wer hat Zugriff auf die Daten?

Datenschutzrechtliche Einordnung

Audiodaten, die eine natürliche Person erkennbar enthalten, sind personenbezogene Daten im Sinne der DSGVO. Sprache gilt zudem als biometrisches Datum, wenn sie zur eindeutigen Identifizierung einer Person genutzt werden kann. In diesem Fall gelten die strengeren Anforderungen von Art. 9 DSGVO für besondere Kategorien.

Unternehmen, die Cloud-Diktierdienste einsetzen, müssen prüfen, ob ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Anbieter besteht. Ohne diesen Vertrag ist die Nutzung für personenbezogene Daten rechtlich problematisch.

Für private Anwender ohne berufliche Datenverarbeitungspflichten ist die Rechtslage weniger streng, der Grundsatz der Datensparsamkeit gilt aber für jeden.

Große Cloud-Anbieter im Überblick

Google Web Speech API: In Chrome läuft die Spracherkennung über die Web Speech API auf Servern von Google. Zu Sprachassistenten hat der Europäische Datenschutzausschuss eigene Leitlinien veröffentlicht. Was Google mit dem Audio macht, regeln die Datenschutzbestimmungen von Google, nicht die besuchte Website. Entscheidend für dich: Das Audio verlässt den Rechner.

Apple Diktierfunktion: Apple verarbeitet das Diktat auf neueren Geräten für viele Sprachen auf dem Gerät. Ob das für deine Sprache, dein Gerät und deine Einstellungen gilt, steht in Apples Datenschutzhinweisen zum Diktat. Das ist etwas anderes als die Web Speech API in Safari, bei der eine Webseite die Erkennung nutzt.

Microsoft Azure Cognitive Services: Microsofts Spracherkennungs-API ist explizit für Unternehmen konzipiert, bietet AVV-Optionen und ermöglicht Datenspeicherung in europäischen Rechenzentren.

Whisper (OpenAI): Das Modell selbst ist Open Source und kann lokal ohne jede Netzwerkverbindung betrieben werden. In diesem Modus verlassen keine Audiodaten das eigene Gerät. Wird die OpenAI-API genutzt, gelten dagegen OpenAIs Datenschutzbedingungen.

Lokale Spracherkennung als datenschutzfreundliche Alternative

Bei lokaler Spracherkennung verarbeitet das Gerät des Anwenders die Audiodaten vollständig ohne Netzwerkzugriff. Das Modell läuft auf der eigenen CPU oder GPU, der erkannte Text entsteht lokal und keine Audiodaten verlassen das Gerät.

Dies ist die datenschutzfreundlichste Option für sensible Inhalte. Geeignete Lösungen:

Whisper lokal: OpenAIs Whisper-Modell lässt sich auf jedem modernen Computer installieren und betreiben. Die Modellqualität ist mit cloudbasierten Systemen vergleichbar. Der Nachteil ist ein erhöhter Einrichtungsaufwand und je nach Modellgröße erhebliche Rechenanforderungen.

Vosk: Ein Open-Source-Spracherkennungssystem, das explizit für offline-Betrieb auf schwacher Hardware konzipiert ist. Gut geeignet für eingebettete Systeme oder ältere Geräte.

Windows Spracherkennung: Die in Windows integrierte Spracherkennung kann im Offline-Modus betrieben werden, ist aber für neue Anwendungen zunehmend von Microsoft-Cloud-Diensten abhängig.

Praktische Entscheidungshilfe

Privater Gebrauch, unkritische Inhalte: Cloudbasierte Dienste sind völlig in Ordnung. Der Komfort überwiegt den Datenschutzaufwand für Dinge wie Einkaufslisten, Notizen oder persönliche Texte.

Beruflicher Einsatz, personenbezogene Daten: Prüfe, ob ein AVV mit dem Anbieter vorliegt. Für europäische Unternehmen empfehlen sich Anbieter mit EU-Datenspeicherung.

Gesundheitsdaten, anwaltliche Mandate, Geschäftsgeheimnisse: Lokale Lösung wählen. Cloudbasierte Dienste scheiden aus, es sei denn, eine fundierte rechtliche Prüfung ergibt etwas anderes.

Behörden und öffentliche Stellen: Lokale Lösungen oder zertifizierte Anbieter mit C5-Testat (BSI) sind in der Regel Pflicht.

Hinweise zu browserbasierten Werkzeugen

Browserwerkzeuge wie sprache-zu-text.de, die die Web Speech API des Browsers nutzen, übertragen Audiodaten typischerweise an die Server des Browser-Anbieters. Für unkritische Texte ist das kein Problem. Wer sensible Inhalte verarbeitet, sollte eine lokale Lösung bevorzugen oder prüfen, ob das genutzte Werkzeug eine vollständig lokale Verarbeitungsoption bietet.

Zusammenfassung

Die Datenschutzfrage bei Spracherkennung lässt sich nicht pauschal beantworten. Sie hängt davon ab, welche Inhalte verarbeitet werden, in welchem beruflichen oder rechtlichen Kontext und welche Anbieter eingesetzt werden. Als Faustregel gilt: Je sensibler der Inhalt, desto mehr spricht für eine lokale Lösung. Wer cloudbasierte Dienste nutzt, sollte die Datenschutzhinweise des Anbieters kennen und bei beruflichem Einsatz einen AVV abschließen.

Zum Ausprobieren gibt es das Diktier-Werkzeug auf der Startseite. Weiterlesen: Interviews transkribieren mit Spracherkennung: Tipps für Forschung und Journalismus.