Ist Fireflies.ai sicher? Sicherheit und Datenschutz im Check

Fireflies.ai ist für die meisten geschäftlichen Meetings ausreichend sicher. Die Sicherheitsseite nennt SOC 2 Type II, DSGVO, HIPAA und AES-256-Verschlüsselung, es gibt einen öffentlichen AVV (DPA), und Fireflies sagt, es trainiere keine KI mit Ihren Meetings. Die echten Risiken stecken in den Voreinstellungen: ein Bot, der jedem Kalendertermin beitritt, Recaps für alle mit Link und Verarbeitung in den USA.

Jeder Bereich, den eine Sicherheitsprüfung normalerweise abdeckt, was Fireflies öffentlich angibt und was Sie selbst prüfen sollten.

Die Sicherheitsseite von Fireflies führt SOC 2 Type II, DSGVO und HIPAA auf und beschreibt AES-256-Verschlüsselung für gespeicherte Notizen und Transkripte sowie TLS für Daten in der Übertragung. Das ist die Basis, die Sie von jedem Cloud-Notetaker erwarten sollten, und auf dem Papier erfüllt Fireflies sie.

Lesen Sie die Siegel genau. SOC 2 ist der Bericht eines unabhängigen Prüfers über die Kontrollen eines Unternehmens in einem Zeitraum, kein dauerhaftes Zertifikat. Fordern Sie also den aktuellen Type-II-Bericht über das Fireflies Trust Center an und prüfen Sie Daten und Abweichungen. Die DSGVO ist ein Gesetz, keine Zertifizierung: Entscheidend sind der AVV, die Rechtsgrundlage für den Transfer in die USA und die Liste der Unterauftragsverarbeiter. HIPAA hängt an einem Vertrag: Laut Enterprise-Leitfaden gibt es HIPAA-Unterstützung auf Anfrage, und sie setzt ein unterschriebenes Business Associate Agreement (BAA) voraus. Derselbe Leitfaden nennt für Enterprise 39 US-Dollar pro Platz und Monat bei jährlicher Abrechnung.

Laut Fireflies nein, mit einem Formulierungsunterschied, der auffällt. Die Datenschutzerklärung sagt, personenbezogene Daten würden nicht für KI-Training genutzt. Die Hinweise zum Richtlinien-Update ergänzen: Meeting-Inhalte trainieren keine internen oder externen Modelle, Dienstleistern ist das vertraglich untersagt, und Drittanbieter speichern nach der Verarbeitung weder Audio noch Video noch Transkripte.

Das Wort „standardmäßig“ ist weicher als die Datenschutzerklärung, und der AVV erlaubt Fireflies, anonymisierte Daten zu erzeugen und Servicedaten wie Nutzungs- und Kontodaten zur Produktverbesserung zu verwenden. Beides widerspricht der Aussage nicht. Ist KI-Training für Ihr Unternehmen ein Ausschlusskriterium, lassen Sie sich schriftlich bestätigen, dass kein Tarif und keine Einstellung daran etwas ändert.

Standardmäßig in den USA. Der Speicher-Leitfaden von Fireflies sagt, Daten würden in der eigenen Cloud-Infrastruktur in den USA auf AWS und GCP gespeichert und verarbeitet. Die Datenschutzerklärung ergänzt, dass personenbezogene Daten auf Servern in den USA und anderen Ländern verarbeitet und gespeichert werden können.

Enterprise-Kunden können mit Private Storage festlegen, wo Aufnahmen, Transkripte und Dateien liegen, auch im eigenen AWS-S3- oder Google-Cloud-Storage-Bucket. Für die EU-Speicherung nennt der Leitfaden die Grenze ausdrücklich:

Für Übermittlungen aus Europa stützt sich der AVV auf die Selbstzertifizierung von Fireflies im EU-US Data Privacy Framework, ersatzweise auf die EU-Standardvertragsklauseln, angepasst für Übermittlungen aus dem Vereinigten Königreich und der Schweiz. Das ist für einen US-Anbieter ein üblicher, rechtmäßiger Weg. Wer aber strikt nur in der EU verarbeiten darf, sollte Fireflies als US-Auftragsverarbeiter behandeln.

Zur Aufbewahrung sagt Fireflies, dass kontobezogene personenbezogene Daten binnen 30 Tagen nach Löschung des Kontos entfernt werden. Der Enterprise-Tarif bietet zusätzlich eigene Aufbewahrungsfristen, nach denen Meetings und Dateien automatisch gelöscht werden. In anderen Tarifen löschen Sie alte Meetings am besten selbst.

Fireflies veröffentlicht sein Data Processing Addendum unter fireflies.ai/data-processing-agreement. Die aktuelle Fassung hat den Stand 6. März 2026, ist Teil der Nutzungsbedingungen und gilt für Organisationen, die den Dienst nutzen. Für die Standardbedingungen gibt es also kein separates Dokument zu unterschreiben. Fireflies kann den AVV mit Ankündigung ändern, und die weitere Nutzung gilt als Zustimmung.

Fünf Punkte sollten Sie vor der Freigabe durch den Einkauf lesen:

• Unterauftragsverarbeiter: Die Liste steht unter trust.fireflies.ai/subprocessors, und laut den Update-Hinweisen können Business- und Enterprise-Kunden neuen widersprechen.
• Meldung von Vorfällen: Fireflies verpflichtet sich zur Meldung „ohne unangemessene Verzögerung“, ohne feste Stundenzahl.
• Übermittlungen: zuerst das EU-US Data Privacy Framework, ersatzweise die Standardvertragsklauseln.
• Vertragsende: Fireflies löscht oder übergibt personenbezogene Kundendaten auf Ihre Weisung, sofern das Gesetz keine Aufbewahrung verlangt.
• Audits: Laut den Update-Hinweisen haben Business- und Enterprise-Kunden einmal jährlich ein Prüfrecht auf eigene Kosten.

In der Praxis entstehen die meisten Datenschutzprobleme mit Fireflies durch Voreinstellungen, nicht durch Angriffe. Der Hilfe-Leitfaden von Fireflies nennt die Auto-Join-Voreinstellung klar:

Sobald jemand einen Kalender verbindet, tritt der Fireflies Notetaker (fred@fireflies.ai) jedem Meeting mit Konferenzlink bei, auch Calls mit Kunden und Bewerbern, die sich nie bei Fireflies angemeldet haben. In den Auto-Join-Einstellungen können Sie auf „Only when I invite fred@fireflies.ai“ umstellen.

Bei der Freigabe ist es ähnlich. Der Leitfaden zu Recap-Einstellungen nennt „Teammates & anyone with link“ als Standard: Alle in Ihrem Fireflies-Workspace finden das Meeting, und wer den Link hat, kann es öffnen. Strengere Optionen gibt es: „Only participants & teammates“, „Only participants“, „Only teammates“ und „Only me“. Zusätzlich beschreibt die Sicherheitsseite eine Super-Admin-Rolle mit vollem Zugriff auf alle Meetings im Workspace.

Fireflies bietet außerdem einen Desktop-Modus für Mac und Windows, der den Systemton ohne Bot aufnimmt. Der Leitfaden nennt die Kompromisse offen: Dieser Modus speichert keine Audio- oder Videodatei, zeigt Sprecher als Speaker 1 und Speaker 2 statt mit Namen, und wer den Einwilligungshinweis abschaltet, muss die Teilnehmenden selbst informieren.

Gegen Fireflies wurden Klagen mit dem Ziel einer Sammelklage nach dem Illinois Biometric Information Privacy Act (BIPA) eingereicht. Laut Gerichtsakten und juristischer Berichterstattung werfen beide Klagen unten dem Notetaker vor, Stimmabdrücke von Meeting-Teilnehmenden erfasst und gespeichert zu haben, auch von Personen ohne Fireflies-Konto, ohne die Information und schriftliche Einwilligung, die BIPA verlangt. Die Cruz-Klage wirft Fireflies zudem vor, keine Richtlinie zur Aufbewahrung und Löschung veröffentlicht zu haben. Das sind Vorwürfe; kein Gericht hat darüber entschieden.

Die Datenschutzerklärung von Fireflies, Stand 28. September 2026, sagt, Sprachdaten könnten in manchen Rechtsordnungen als biometrische Daten gelten, Dienstleister nutzten Sprachdaten nicht zur Identifizierung oder Authentifizierung von Personen, und, im Abschnitt zum Gesetz in Illinois, solche Daten würden gelöscht, sobald ihr Zweck erfüllt ist, spätestens drei Jahre nach dem letzten Kontakt einer Person.

Bei unserer Prüfung im Oktober 2026 haben wir kein öffentlich gemeldetes Datenleck bei Fireflies gefunden. Das beweist nicht, dass es keines gab, nur dass keines öffentlich bekannt ist. Den größeren rechtlichen Rahmen, inklusive der Sammelklage gegen Otter.ai, finden Sie in unserem Überblick zu Klagen gegen KI-Notetaker.

Fireflies passt gut, wenn:

• Sie einen Bot wollen, der Meetings ohne Sie aufnimmt und danach eine Audio- und Videodatei speichert.
• Sie Sprechernamen im Transkript und die Integrationen rund um den Fireflies Notetaker brauchen.
• Ihr Unternehmen in den USA sitzt und mit US-Verarbeitung unter einem AVV einverstanden ist.
• Sie im Enterprise-Tarif HIPAA mit BAA, SSO, Private Storage oder eigene Aufbewahrungsfristen brauchen.

Zweimal überlegen sollten Sie, wenn:

• Sie mit Menschen in Illinois oder in Ländern mit Zustimmungspflicht aller Beteiligten sprechen und nicht sicher sind, dass alle der Aufnahme zugestimmt haben.
• Kunden oder Bewerber einen fremden Bot in ihren Calls ablehnen.
• Sie eine Verarbeitung ausschließlich in der EU brauchen, nicht nur eine EU-Speicherung.
• Sie Gesundheitsdaten ohne unterschriebenes BAA verarbeiten würden.

1. Auto-Join auf „Only when I invite fred@fireflies.ai“ stellen, damit der Bot nie überraschend beitritt.
2. Die Recap-Freigabe von „Teammates & anyone with link“ auf „Only participants“ oder „Only me“ ändern.
3. Prüfen, wer Super Admin ist, denn diese Rolle sieht alle Meetings im Workspace.
4. Den Einwilligungshinweis eingeschaltet lassen und laut sagen, dass aufgezeichnet wird.
5. AVV und Liste der Unterauftragsverarbeiter herunterladen und in den Lieferantenunterlagen ablegen.
6. Den aktuellen SOC-2-Type-II-Bericht anfordern; im Enterprise-Tarif eine Aufbewahrungsfrist setzen und bei Gesundheitsdaten ein BAA unterschreiben.

Dieselben Fragen gelten für Fireflies, Otter, Read AI oder Reline. Ein Anbieter, der sie nicht schriftlich beantworten kann, hat sie damit auch beantwortet.

1. Tritt ein Bot dem Call bei, und tut er das standardmäßig automatisch?
2. Wer sieht ein Meeting standardmäßig: nur ich, die Teilnehmenden, der ganze Workspace oder alle mit Link?
3. Trainieren Sie KI-Modelle mit meinem Audio, meinen Transkripten oder Notizen, in irgendeinem Tarif oder einer Einstellung?
4. Wo werden Daten gespeichert, wo verarbeitet, und bei welchen Cloud-Anbietern?
5. Gibt es einen AVV, eine öffentliche Liste der Unterauftragsverarbeiter und eine Meldezusage bei Vorfällen?
6. Welche Prüfungen können Sie heute vorlegen, als Bericht statt als Siegel?
7. Wie lange bewahren Sie Aufnahmen und Transkripte auf, und kann ich die Frist selbst festlegen?

Reline ist ein konkurrierender Notetaker, bitte gewichten Sie diesen Abschnitt entsprechend. Reline schickt nie einen Bot: Es nimmt Ihr Mikrofon und den Systemton lokal auf Mac, Windows, Linux (Beta) oder im Browser auf, sodass kein zusätzlicher Teilnehmer im Call erscheint. Transkription, KI-Notizen und Speicherung laufen in der Cloud, nicht auf Ihrem Gerät.

Notizen sind standardmäßig privat: Eine Workspace-Rolle allein gibt niemandem Zugriff auf eine Notiz. Reline hat heute keinen SOC-2-Bericht und kein HIPAA-BAA. Verlangt Ihr Einkauf das: Fireflies nennt ein SOC-2-Type-II-Audit und bietet im Enterprise-Tarif ein BAA an, Reline nicht. Und eine Aufnahme ohne Bot ersetzt keine Einwilligung: Sie informieren die Beteiligten weiterhin überall dort, wo das Gesetz es verlangt.

• Fireflies, Seite zu Sicherheit und Compliance: https://fireflies.ai/security
• Fireflies, Data Processing Addendum (Stand 6. März 2026): https://fireflies.ai/data-processing-agreement
• Fireflies, Updates zu Datenschutzerklärung, AGB und AVV: https://guide.fireflies.ai/articles/6892479029
• Fireflies, Leitfaden zu Datenspeicherung und Übermittlung: https://guide.fireflies.ai/articles/9596505232
• Fireflies, Leitfaden zum Enterprise-Tarif: https://guide.fireflies.ai/articles/4771323041-learn-about-fireflies-enterprise-plan
• Fireflies, Leitfaden zu Recap-Freigaben: https://guide.fireflies.ai/articles/5319481450-how-to-configure-privacy-settings-for-your-meeting-recaps
• Fireflies, Leitfaden zu Auto-Join-Einstellungen: https://guide.fireflies.ai/articles/8587670572-how-to-disable-the-fireflies-auto-join-settings
• Fireflies, Aufnehmen ohne Bot in der Desktop-App: https://guide.fireflies.ai/articles/6666374717-how-to-record-meetings-without-a-bot-on-the-fireflies-desktop-app
• Fireflies, Datenschutzerklärung (Stand 28. September 2026): https://fireflies.ai/privacy-policy
• Cruz v. Fireflies.AI Corp, Verfahrensakte (PacerMonitor): https://www.pacermonitor.com/public/case/61918314/Cruz_v_FirefliesAI_Corp
• Smith, Gambrell & Russell, KI-Notetaker und BIPA (16. März 2026): https://www.sgrlaw.com/newsroom/publications/ai-note-takers-biometric-privacy-and-the-battle-over-bipa-damages-what-businesses-need-to-know-now
• Top Class Actions, Fricker v. Fireflies.AI Corp. (19. März 2026): https://topclassactions.com/lawsuit-settlements/lawsuit-news/fireflies-ai-sued-over-alleged-unlawful-data-collection-from-meeting-participants/