Bester DSGVO-konformer KI-Notetaker für EU-Firmen (2026)

Kein KI-Notetaker ist „DSGVO-zertifiziert“; ein solches Zertifikat gibt es nicht. Der beste DSGVO-konforme KI-Notetaker für ein EU-Unternehmen hat einen AVV nach Art. 28, einen vertretbaren Speicherort und Datentransfer, trainiert nicht mit Ihren Meetings und passt zu Ihren Regeln für Einwilligung und Betriebsrat. Für EU-Hosting führen Jamie und tl;dv; für bot-freie Team-Notizen Reline (Hosting in den USA).

Wir entwickeln Reline, lesen Sie dies also als Leitfaden eines Anbieters. Reline nimmt bot-frei auf Ihrem Gerät auf, aber Transkription, KI und Speicherung laufen in der Cloud in den USA, abgesichert durch die EU-Standardvertragsklauseln. Reline bietet keine EU-Datenresidenz und hat kein SOC 2. Alle Angaben zu anderen Anbietern stammen von deren eigenen Seiten, Stand 21. Oktober 2026, und können sich ändern.

Wenn Ihr Unternehmen ein Meeting aufzeichnet, sind Sie Verantwortlicher und der Anbieter ist Ihr Auftragsverarbeiter. Eine Meeting-Aufnahme ist personenbezogen: Stimmen, Namen, Meinungen, manchmal besondere Kategorien wie Gesundheitsdaten. Die Verantwortung liegt also bei Ihnen; der Anbieter muss sie möglich machen. Diese sechs Bereiche prüft Ihr Datenschutzbeauftragter.

Sie brauchen mit jedem Anbieter, der Meeting-Daten für Sie verarbeitet, einen Auftragsverarbeitungsvertrag, egal ob mit oder ohne Bot. Prüfen Sie, ob er den Tarif abdeckt, den Sie tatsächlich kaufen. Jamies Preisseite nennt AVVs nur im Enterprise-Tarif. Fireflies beschreibt seine Rolle als Auftragsverarbeiter im Hilfeartikel für Business und Enterprise. Relines AVV unter reline.so/dpa ist vorab unterzeichnet und gilt für alle Workspaces. Lesen Sie auch die Liste der Unterauftragsverarbeiter: Sie zeigt, wer die Daten noch verarbeitet und in welchem Land.

„In der EU gehostet“ und „DSGVO-konform“ sind zwei verschiedene Aussagen. Die DSGVO verbietet keine Verarbeitung in den USA; sie verlangt einen Übermittlungsmechanismus. Die zwei gängigen sind das EU-U.S. Data Privacy Framework (ein Angemessenheitsbeschluss vom Juli 2023 für zertifizierte US-Unternehmen) und die Standardvertragsklauseln, meist mit einem Transfer Impact Assessment. Das Gericht der EU hat das Data Privacy Framework am 3. September 2025 bestätigt; ein Rechtsmittel ist beim Gerichtshof anhängig (Rechtssache C-703/25 P). Der Vorgänger Privacy Shield wurde 2020 gekippt, deshalb bevorzugen viele Datenschutzbeauftragte eine Verarbeitung in der EU, wo es sie gibt.

Trennen Sie außerdem Speicherung und Verarbeitung. Laut der Sicherheits-FAQ von Fireflies speichert die Option Private Storage Inhalte in der EU, verarbeitet sie aber weiterhin in den USA. Die deutsche Website von tl;dv sagt, Daten würden in der EU gehostet und gespeichert, nennt aber nicht, wo die KI-Verarbeitung stattfindet. Stellen Sie beide Fragen.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) heißt: Aufnahmen nicht länger als nötig behalten. Fragen Sie, wie lange Audio, Transkripte und KI-Ergebnisse gespeichert werden, ob das Löschen eines Meetings alles davon löscht und wie lange Backups sie halten. Laut eigenen Seiten speichern Jamie und Granola kein Meeting-Audio. Fireflies löscht ein gelöschtes Meeting sofort und Kontodaten innerhalb von 30 Tagen. Reline löscht Notizen nach 30 Tagen endgültig aus dem Papierkorb, samt Transkript, Aufnahme und KI-Ergebnissen; Backups bleiben bis zu 30 Tage.

Es gibt zwei Fragen: Trainiert der Anbieter eigene Modelle mit Ihren Daten, und ist es seinen KI-Anbietern untersagt? Die Antworten unterscheiden sich stärker, als das Marketing vermuten lässt. Laut Otters Datenschutzerklärung trainiert Otter seine eigene KI mit de-identifizierten Audioaufnahmen und Transkripten. Laut Fathoms Datenschutzerklärung kann Fathom je nach Kontoeinstellungen de-identifizierte Meeting-Daten zum Training eigener Modelle nutzen. Laut Granolas Sicherheitsseite trainiert Granola mit anonymisierten Daten, sofern Sie nicht widersprechen; im Enterprise-Tarif ist das standardmäßig aus. Jamie, tl;dv und Fireflies sagen, dass sie nicht mit Ihren Daten trainieren. Reline trainiert keine Modelle mit Ihren Daten, und seinen KI-Anbietern ist es durch deren API-Bedingungen untersagt.

Alle im Meeting müssen wissen, dass und wozu aufgezeichnet wird (Art. 13 und 14 DSGVO), und Sie brauchen eine Rechtsgrundlage nach Art. 6. Nationales Recht kommt hinzu: In Deutschland macht § 201 StGB das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes strafbar. In der Praxis: in der Einladung und zu Beginn ankündigen und Einwilligung einholen, wo das Gesetz es verlangt. Ein bot-freies Tool entfernt den sichtbaren Bot aus dem Call, nicht diese Pflicht. Reline veröffentlicht einen Hinweis für Meeting-Teilnehmende unter reline.so/participants.

1. AVV anfordern und prüfen, ob er Ihren Tarif abdeckt, nicht nur Enterprise.
2. Liste der Unterauftragsverarbeiter lesen: wer verarbeitet und in welchem Land.
3. Fragen, wo Daten gespeichert und wo verarbeitet werden und welcher Übermittlungsmechanismus gilt (Data Privacy Framework, Standardvertragsklauseln).
4. Löschfristen prüfen: Audio, Transkripte, KI-Ergebnisse, Backups, und was beim Löschen eines Meetings oder Kontos passiert.
5. KI-Training prüfen: eigene Modelle des Anbieters und seine KI-Anbieter, und ob ein Widerspruch möglich ist.
6. Entscheiden, ob ein Bot im Call für Kunden und Bewerber akzeptabel ist.
7. Einen Aufnahmehinweis für Teilnehmende und, wo nötig, einen Einwilligungsschritt vorbereiten.
8. Datenschutzbeauftragten und Betriebsrat früh einbinden; bei Bedarf eine DSFA durchführen.

Die Angaben stammen von den eigenen Seiten der Anbieter, Stand 21. Oktober 2026 (Startseite, Preisseite, Sicherheitsseite oder Datenschutzerklärung). „Laut Anbieter“ ist bewusst gesetzt: Wir geben wieder, was der Anbieter sagt, kein Audit. Wo eine Seite nichts sagt, schreiben wir das.

So lesen Sie die Tabelle: Ist EU-Hosting Pflicht, beginnen Sie mit Jamie (Speicherung und Verarbeitung im EWR, in der Schweiz und im Vereinigten Königreich, laut Jamie) oder tl;dv (fragen Sie, wo die KI-Verarbeitung stattfindet). Entscheiden formale Nachweise, nennen Fireflies, Granola, Otter und Fathom SOC 2 Type 2 und Jamie ISO 27001. Ist Training mit Ihren Meetings ein Ausschlusskriterium, lesen Sie die Datenschutzerklärung, nicht die Startseite: Otter, Fathom und Granola beschreiben alle eine Form von Training mit de-identifizierten oder anonymisierten Daten.

Reline erfasst Mikrofon und System-Audio lokal auf Ihrem Rechner: Kein Teilnehmer tritt dem Call bei, keine Beitrittsmeldung erscheint. Live-Transkription in 60+ Sprachen, KI-Zusammenfassungen und Speicherung laufen danach in unserer Cloud in den USA. Sie behalten das vollständige Transkript und die Aufnahme, mit einer Wiedergabetaste an jeder Transkriptzeile, in einem Notizblock, den Ihr Team gemeinsam bearbeitet. Notizen sind standardmäßig privat, mit fünf Berechtigungsstufen pro Notiz und Ordner, und die Oberfläche gibt es auf Englisch, Deutsch, Französisch, Spanisch, Japanisch, Portugiesisch und Arabisch.

Der Kompromiss ist klar: Reline bietet keine EU-Datenresidenz und kein SOC 2. Es passt, wenn der Bot im Call Ihr Hauptproblem ist und Ihr Datenschutzbeauftragter eine Verarbeitung in den USA unter den Standardvertragsklauseln in einem AVV akzeptiert, der jeden Tarif abdeckt. Wenn nicht, wählen Sie eines der EU-gehosteten Tools oben.

Sie wollen konkret Fireflies ersetzen? Unser Leitfaden zur Fireflies-Alternative geht den Wechsel Schritt für Schritt durch. Den Überblick über alle Tools auf der Datenschutz-Achse finden Sie in unserem DSGVO-Check der KI-Meeting-Assistenten.