KI-Meeting-Assistent mit SOC 2: Leitfaden 2026

Streng genommen ist kein KI-Meeting-Assistent „SOC-2-zertifiziert“: SOC 2 ist ein Prüfbericht einer unabhängigen Wirtschaftsprüfungsgesellschaft (CPA), kein Zertifikat. Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek und tl;dv geben einen SOC-2-Typ-II-Bericht an. Fordern Sie den Bericht an und prüfen Sie Typ, Zeitraum und Umfang.

Wir entwickeln Reline, lesen Sie dies also als Leitfaden eines Anbieters. Reline hat heute keinen SOC-2-Bericht; was es stattdessen hat, steht weiter unten. Alle Angaben zu anderen Tools stammen von deren eigenen Seiten, Stand 22. Oktober 2026, und können sich ändern.

SOC 2 ist ein Rahmenwerk des AICPA, des US-Berufsverbands der Wirtschaftsprüfer. Eine unabhängige Prüfungsgesellschaft prüft die Kontrollen eines Dienstleisters anhand der Trust Services Criteria mit fünf Kategorien: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sicherheit ist Pflicht; die anderen vier wählt der Anbieter. Am Ende gibt der Prüfer ein Urteil in einem Bericht ab, der Kunden meist unter NDA zur Verfügung gestellt wird.

Die Dokumentation von Microsoft fasst es knapp zusammen: Ein Typ-1-Audit blickt nicht auf einen Zeitraum zurück. Microsoft lässt Office 365 über ein rollierendes 12-Monats-Fenster prüfen, vom 1. Oktober bis 30. September, und veröffentlicht zwischen zwei Berichten „Bridge Letters“, die die Lücke abdecken: Erklärungen von Microsoft selbst, keine Prüfberichte.

ISO 27001 ist eine Zertifizierung: Eine Stelle zertifiziert ein Managementsystem für Informationssicherheit und stellt ein drei Jahre gültiges Zertifikat aus. SOC 2 ist eine Bescheinigung: ein Bericht, der ein System beschreibt und ein Urteil abgibt. Anbieter sprechen ständig von „SOC-2-zertifiziert“, die richtige Frage bleibt aber: „Können Sie mir Ihren aktuellen SOC-2-Typ-II-Bericht schicken?“ In Deutschland fragen Einkäufer zudem oft nach ISO 27001 und bei Cloud-Diensten nach dem BSI-Kriterienkatalog C5.

1. Typ und Zeitraum: Typ II, mit einem Zeitraum, der vor weniger als 12 Monaten endete. Sonst den Bridge Letter für die Lücke anfordern.
2. Umfang (die Systembeschreibung): Sind der Meeting-Assistent und seine KI-Funktionen enthalten? Ein Bericht kann die Kernplattform abdecken und ein neueres Produkt auslassen. Zoom zum Beispiel nennt AI Companion ausdrücklich im Umfang seines Berichts.
3. Abgedeckte Kriterien: nur Sicherheit oder auch Vertraulichkeit und Datenschutz? Bei Meeting-Aufnahmen zählen die beiden.
4. Das Prüfungsurteil: Ein uneingeschränktes Urteil ist der erwartete Normalfall; ein eingeschränktes braucht eine schriftliche Erklärung.
5. Abweichungen und Stellungnahmen des Managements: Einzelne Abweichungen sind normal; entscheidend ist, welche es waren und wie sie behoben wurden.
6. Unterdienstleister: Hosting, Transkription, KI-Anbieter. Sind sie aus dem Umfang ausgeklammert („Carve-out“), fordern Sie deren eigene Berichte an.
7. Ihre Seite der Kontrollen („Complementary User Entity Controls“, kurz CUECs, im Bericht aufgeführt): SSO, Zugriffsprüfungen, Offboarding. Der Bericht setzt voraus, dass Sie sie umsetzen.

Die Tabelle gibt wieder, was jeder Anbieter auf seiner eigenen Seite schreibt, Stand 22. Oktober 2026. Das ist die Aussage des Anbieters, keine Prüfung durch uns: Beweiskraft hat nur der Bericht.

So lesen Sie die Tabelle: Ist SOC 2 Typ II eine Einkaufsbedingung, geben Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek und tl;dv es an; fordern Sie den Bericht an. Jamie gibt einen Typ II in Arbeit an. Wollen Sie SOC 2 Typ II und Hosting in Europa zugleich, geben Noota, Modjo und tl;dv beides an; Noota nennt zudem ISO 27001. Reicht die Videoplattform des Unternehmens, erben die KI-Funktionen von Zoom und Teams die Berichte ihrer Plattform, je nach Umfang.

• Die DSGVO. Ein SOC-2-Bericht ersetzt weder den Auftragsverarbeitungsvertrag nach Art. 28 noch die Rechtsgrundlage noch die Information der aufgezeichneten Personen.
• Speicherort und Datenübermittlung. SOC 2 sagt nicht, wo Daten liegen. Bei einem US-Anbieter braucht ein EU-Unternehmen einen Übermittlungsmechanismus: Data Privacy Framework oder Standardvertragsklauseln.
• Modelltraining. Ein Anbieter kann einen sehr guten SOC-2-Bericht haben und trotzdem Modelle mit de-identifizierten Daten trainieren: Otters Datenschutzerklärung sagt das zum Beispiel. Lesen Sie AVV und Datenschutzerklärung.
• Aufbewahrung. Wie lange bleiben Audio, Transkripte und Meeting-Notizen gespeichert, und ist die Löschung vollständig?
• Einwilligung der Teilnehmenden. Ob sichtbarer Bot oder bot-freie Aufnahme: Die Pflicht, alle im Meeting zu informieren, bleibt bei Ihnen.
• Die Zukunft. Ein Bericht beschreibt einen vergangenen Zeitraum. Was sich seitdem geändert hat (neue KI-Funktion, neuer Unterauftragsverarbeiter), steht nicht darin.

Die DSGVO-Seite im Detail (AVV, Datentransfer, Löschfristen, Betriebsrat) finden Sie in unserem Leitfaden zu DSGVO-konformen KI-Notetakern. Die vollständige Prüfliste eines IT-Teams finden Sie in unserer Freigabe-Checkliste.

1. Können Sie mir Ihren aktuellen SOC-2-Typ-II-Bericht und den laufenden Bridge Letter schicken?
2. Sind Meeting-Assistent, Transkription und KI-Funktionen im Umfang?
3. Welche Kriterien sind neben Sicherheit abgedeckt?
4. Welche Abweichungen hat der Prüfer festgestellt, und wie haben Sie sie behoben?
5. Welche Unterauftragsverarbeiter verarbeiten Audio und Transkripte, in welchem Land, und haben sie eigene Berichte?
6. Wo werden Daten gespeichert und verarbeitet, und mit welchem Übermittlungsmechanismus?
7. Trainieren Sie Modelle mit unseren Meetings, und dürfen Ihre KI-Anbieter das?
8. Deckt der AVV den Tarif ab, den wir kaufen, oder nur Enterprise?

Reline hat heute keinen SOC-2-Bericht. SOC 2 Typ II steht auf der Roadmap; Reline hat auch kein ISO 27001 und kein HIPAA-BAA. Ist ein SOC-2-Typ-II-Bericht eine feste Bedingung Ihres Einkaufs, ist Reline heute nicht die richtige Wahl.

Das hat Reline, wie auf seiner Sicherheitsseite veröffentlicht: TLS 1.2 oder höher bei jeder Anfrage, Verschlüsselung im Ruhezustand für Datenbank und Aufnahmen, Notizen standardmäßig privat mit Berechtigungen auf fünf Ebenen, ein nur anfügbares Aktivitätsprotokoll an jeder Notiz (alle Tarife) plus ein Workspace-Audit-Log im Enterprise-Tarif sowie SSO mit Google und Microsoft auf Anfrage für Enterprise. Der AVV ist unter reline.so/dpa vorab unterzeichnet, die Liste der Unterauftragsverarbeiter ist öffentlich, und Reline trainiert keine Modelle mit Ihren Daten. Die Daten liegen in den USA, abgesichert durch die EU-Standardvertragsklauseln. Sicherheitsdokumentation gibt es unter NDA.

Zum Produkt: Reline nimmt Mikrofon und Systemton lokal auf, ohne Bot im Call; Transkription, KI und Speicherung laufen in der Cloud. Ist der sichtbare Bot Ihr eigentliches Problem, zeigt unsere französischsprachige Übersicht bot-freier KI-Notetaker die Optionen.