Datenschutzkonforme Transkription für Anwälte und Treuhänder

Wer als Anwältin, Anwalt oder Treuhänderin Cloud-Transkriptionsdienste für Mandantengespräche, Protokolle oder Gutachten nutzen will, bewegt sich in einem scharfen rechtlichen Rahmen: das revidierte Schweizer Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023) und das Berufsgeheimnis nach Art. 321 StGB stellen klare Anforderungen an Datensicherheit, Auftragsverarbeitung und Verschlüsselung. Dieser Artikel zeigt, worauf Anwälte und Treuhänder bei der Auswahl eines Transkriptionstools achten müssen – und warum EU- und Schweiz-Hosting nicht dasselbe sind.

Warum Cloud-Transkription für Berufsgeheimnisträger erlaubt ist – aber nur mit den richtigen Vorkehrungen

Die gute Nachricht zuerst: Cloud-Transkriptionsdienste sind für Anwälte und Treuhänder grundsätzlich zulässig. Das SAV-Gutachten 2019 hält fest:

«Die Nutzung von Cloud-Diensten durch Anwältinnen und Anwälte wirft straf- und datenschutzrechtliche Fragen auf, die in der Lehre teilweise kontrovers beurteilt werden. Der Beitrag zeigt auf, dass solche Dienste von Anwältinnen und Anwälten grundsätzlich ohne Weiteres genutzt werden dürfen.»

Entscheidend ist die Hilfspersonen-Konstruktion nach Art. 321 StGB: Der Cloud-Anbieter (z. B. ein Transkriptionsdienst wie sprichmal, Swiss Transcript oder scryp) gilt als Hilfsperson des Berufsgeheimnisträgers. Die Auslagerung ist zulässig, wenn drei Bedingungen erfüllt sind:

1. Auftragsverarbeitungsvertrag (AVV) nach Art. 9 DSG mit Weisungsbindung, technischen und organisatorischen Massnahmen (TOM) und Unterauftragsverarbeiter-Genehmigung.
2. Verschlüsselung in Transit und at Rest – der Anbieter muss Datensicherheit nachweisen.
3. Kontrolle über die Datenbearbeitung – der Anwalt oder Treuhänder bleibt verantwortlich, auch wenn der Anbieter die Daten bearbeitet.

Die Anwaltsrevue (Hürlimann/Steiger 2021) formuliert es so:

«Die Nutzung von Microsoft 365 ist für Anwälte in der Schweiz aus datenschutz-, anwalts- und strafrechtlicher Sicht grundsätzlich zulässig. Die Daten müssen verschlüsselt werden, und der Anbieter darf keinen Zugriff auf den Schlüssel haben – oder nur mit sehr strikten vertraglichen Absicherungen.»

Für SaaS-Dienste wie Transkriptionstools (mit Online-Editor, in dem der Anbieter technisch Klartext-Zugriff haben muss, um das Transkript anzuzeigen) bedeutet das: Klartext-Zugriff ist nicht per se verboten, muss aber durch AVV, Verschlüsselung und Zugriffskontrolle abgesichert sein.

DSG-Pflichten: AVV, Datenpannen-Meldung und Datenschutz-Folgenabschätzung

Das revidierte DSG verschärft die Anforderungen an Auftragsverarbeiter erheblich. Drei Pflichten sind besonders relevant:

1. Auftragsverarbeitungsvertrag (AVV) ist Pflicht

Art. 9 DSG verlangt, dass die Bearbeitung nur so erfolgen darf, wie der Verantwortliche selbst sie vornehmen dürfte. Der EDÖB präzisiert:

«Der Verantwortliche ist gemäss Art. 9 DSG verpflichtet, sich zu vergewissern und vertraglich abzusichern, dass: der Auftragsbearbeiter die Daten nur bearbeitet, wie er selbst es tun dürfte, keine Geheimhaltungspflichten verletzt werden, der Auftragsbearbeiter angemessene Massnahmen trifft, um die Datensicherheit zu gewährleisten, eine Unterbeauftragung nur mit seiner Genehmigung erfolgen kann.»

Pflicht-Inhalte eines AVV (nach Aiara-Checkliste 2026 und EDÖB):

• Gegenstand und Dauer der Bearbeitung
• Art und Zweck der Datenbearbeitung
• Weisungsbindung (Anbieter darf nur nach Weisung des Kunden handeln)
• Vertraulichkeit (Verpflichtung der Mitarbeitenden des Anbieters)
• Technische und organisatorische Massnahmen (TOM-Beschreibung)
• Unterauftragsverarbeiter-Liste mit Genehmigungsvorbehalt
• Unterstützungspflichten (z. B. bei Auskunftsbegehren von Betroffenen)
• Meldepflicht bei Datenpannen (Anbieter muss Kunden sofort informieren)
• Löschung und Rückgabe nach Vertragsende
• Auditrechte (Kunde darf Sicherheitsmassnahmen prüfen)
• Datenexporte ins Ausland (Standort der Server, Zugriff durch Drittstaaten)

Praxistipp: Fordern Sie von jedem Cloud-Transkriptionsdienst den AVV an, bevor Sie Mandantendaten hochladen. Swiss Transcript bietet einen DPA (Data Processing Agreement) für Enterprise-Kunden explizit an, scryp garantiert vertraglich, keine User-Daten für KI-Training zu nutzen. Für sprichmal sollten Sie den AVV direkt beim Anbieter anfragen.

2. Datenpannen-Meldung «so rasch als möglich»

Art. 24 DSG verlangt bei Datenpannen (z. B. unberechtigter Zugriff auf Transkripte) eine Meldung an den EDÖB:

«Der Verantwortliche meldet eine Verletzung der Datensicherheit dem EDÖB so rasch als möglich.»

Anders als die DSGVO (72-Stunden-Frist) gibt es im DSG keine starre Frist – aber «so rasch als möglich» bedeutet in der Praxis oft schneller als 72 Stunden, vor allem wenn «hohes Risiko für Persönlichkeit oder Grundrechte» besteht (Art. 24 Abs. 1 DSG). Bei Mandantendaten mit Berufsgeheimnis ist dieses Risiko fast immer gegeben.

Praxistipp: Ihr AVV muss eine Sofort-Meldepflicht für den Anbieter enthalten. Erstellen Sie intern einen Notfallplan (Wer meldet? An wen? Welches Formular?) – der EDÖB stellt ein Online-Formular bereit.

3. Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko

Wenn die Datenbearbeitung ein hohes Risiko birgt (z. B. biometrische Daten wie Stimme, KI-Verarbeitung, Berufsgeheimnis), müssen Sie eine Datenschutz-Folgenabschätzung durchführen (Art. 22 DSG). Die Treuhand Suisse erklärt:

«Verantwortliche sind verpflichtet, eine Datenschutz-Folgenabschätzung vorzunehmen, wenn eine Datenbearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann.»

Praxistipp: Eine DSFA für Cloud-Transkription sollte mindestens klären: (1) Welche Daten werden bearbeitet (Stimme, Transkript, Inhalt)? (2) Welche Risiken bestehen (Zugriff Dritter, US-Cloud-Act, unverschlüsselte Übertragung)? (3) Welche Massnahmen mindern das Risiko (AVV, Verschlüsselung, EU/CH-Hosting)?

EU-Hosting vs. Schweiz-Hosting: Warum der Standort zählt

Ein zentraler Unterschied liegt im Datenstandort – und hier wird es seit November 2025 politisch brisant.

EU-Hosting: Angemessenes Datenschutzniveau

Art. 16 DSG erlaubt Datenexporte, wenn das betreffende Land einen angemessenen Datenschutz gewährleistet. EU-Länder haben angemessenes Schutzniveau (EU-DSGVO, anerkannt durch die Schweiz). Transkriptionsdienste mit EU-Hosting (z. B. sprichmal mit Hosting in Frankfurt/AWS EU, scryp mit Rechenzentrum in Österreich, Tucan.ai mit Deutschland-Hosting) sind datenschutzrechtlich zulässig.

Schweiz-Hosting: Besser für höchste Anforderungen

Die Privatim-Resolution vom 24. November 2025 warnt Schweizer Behörden explizit vor US-Cloud-Anbietern:

«Die Auslagerung von sensitiven Personendaten durch öffentliche Organe in Cloud-Lösungen internationaler Anbieter ist in den meisten Fällen unzulässig, wie privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, in der heute publizierten Resolution festhält.»

Grund: Der US-Cloud-Act kann US-Anbieter verpflichten, Daten an US-Behörden herauszugeben – auch wenn die Daten in Schweizer Rechenzentren gespeichert sind. Die Resolution fordert:

«Die Nutzung von SaaS-Lösungen für besonders schützenswerte oder einer gesetzlichen Geheimhaltungspflicht unterstehende Personendaten durch öffentliche Organe ist nur dann möglich, wenn die Daten vom verantwortlichen Organ selbst verschlüsselt werden und der Cloud-Anbieter keinen Zugang zum Schlüssel hat.»

Diese Empfehlung richtet sich zwar an öffentliche Behörden, die Datenschutz-Argumentation gilt aber analog für private Berufsgeheimnisträger. Dominika Blonski (Datenschutzbeauftragte ZH) im Tages-Anzeiger (10.12.2025):

«Man müsste Schweizer oder zumindest europäische Cloud-Dienstleister nehmen, dann stellen sich viele dieser Fragen nicht.»

In der Praxis:

• EU-Hosting (Frankfurt, Dublin) ist rechtlich ausreichend für private Anwälte und Treuhänder (angemessenes Datenschutzniveau nach DSG Art. 16).
• Schweiz-Hosting ist besser für höchste Anforderungen (Behörden, Berufsgeheimnis mit maximaler Datensouveränität, kein Cloud-Act-Risiko).

Swiss Transcript ist der einzige Schweizer Transkriptionsdienst mit 100% Swiss Hosting (eigene Server + Infomaniak Genf, keine GAFAM, keine Dritt-APIs):

«100% Swiss Hosting (eigene Server + Infomaniak Genf), KEINE GAFAM, KEINE Dritt-APIs (OpenAI, Google, AWS, Azure)»

sprichmal hostet in Frankfurt (AWS EU):

«Your documents and transcripts are stored encrypted in Frankfurt (AWS, EU). Processed in line with the GDPR and Switzerland's revised Data Protection Act (revDSG). Free recordings are deleted after processing.»

Beide sind datenschutzrechtlich konform, aber für Anwältinnen und Treuhänder mit höchsten Anforderungen (z. B. Strafverteidigung, Wirtschaftsprüfung mit internationalen Fällen) ist Schweiz-Hosting die Premium-Option.

Verschlüsselung: Serverseitig vs. clientseitig

Ein weiterer technischer Unterschied liegt in der Verschlüsselung.

Serverseitige Verschlüsselung (Standard)

Die meisten Transkriptionsdienste nutzen Verschlüsselung in Transit (HTTPS/TLS) und at Rest (AES-256 auf Servern). Der Anbieter hat technisch Zugriff auf den Entschlüsselungs-Key – muss aber durch AVV/TOM/Zugriffskontrolle vertraglich abgesichert sein. Dies ist der Standard bei sprichmal, Swiss Transcript und den meisten internationalen Anbietern.

Das SAV-Gutachten 2019 erklärt:

«Die Hilfspersonen in Art. 321 Ziff. 1 Abs. 1 StGB in einem Atemzug mit den Kategorien der (Haupt-)Geheimnisträger genannt und der gleichen Strafdrohung unterworfen werden. Dies deutet an, dass der Gesetzgeber den Kreis der Personen, die das Geheimnis zur Kenntnis nehmen, breit fassen wollte, weil er von einer funktionalen arbeitsteiligen Umgebung ausging.»

Serverseitige Verschlüsselung ist ausreichend für Berufsgeheimnis, wenn AVV und TOM vorhanden sind.

Clientseitige Verschlüsselung (Gold-Standard)

scryp ist der einzige Anbieter im DACH-Markt mit clientseitiger AES-256-GCM-Verschlüsselung:

«Clientseitige AES-256-GCM-Verschlüsselung (einzigartig: verschlüsselt im Browser, nur encrypted data auf Servern, 0 Mitarbeiter mit Klartext-Zugriff).»

Dies erfüllt die Privatim-Anforderung («Daten vom verantwortlichen Organ selbst verschlüsselt, Cloud-Anbieter keinen Zugang zum Schlüssel»). Aber: scryp ist File-Upload-only (kein Meeting-Bot) und unterstützt österreichisches Deutsch, nicht Schweizerdeutsch.

In der Praxis: Clientseitige Verschlüsselung ist der Gold-Standard (scryp), serverseitige Verschlüsselung ist ausreichend mit AVV (sprichmal, Swiss Transcript).

Checkliste: So wählen Sie einen datenschutzkonformen Transkriptionsdienst

Wettbewerber im Vergleich: Schweiz, Österreich, Deutschland

Empfehlung:

• Höchste Anforderungen (Behörden, Strafverteidigung): Swiss Transcript mit 100% Swiss Hosting.
• Schweizer KMU-Anwälte/Treuhänder mit modernem Workflow: sprichmal mit Meeting Minutes, transparentem Pricing und EU-Hosting (ausreichend für DSG).
• Privacy-First ohne Meeting-Bot: scryp mit clientseitiger Verschlüsselung.

Praxisbeispiel: Anwalts-Meeting mit Mandanten transkribieren

Herr Müller (Anwalt in Zürich) führt ein 60-minütiges Beratungsgespräch mit einem Mandanten (Gesellschaftsrecht, CHF 300/h Stundenansatz). Er will das Gespräch transkribieren, um Protokoll und Rechtsberatungsmemo zu erstellen.

Rechtslage:

1. Einwilligung: Herr Müller muss den Mandanten vor Aufnahme informieren und Einwilligung einholen (Art. 179bis StGB, DSGVO Art. 6).
2. AVV: Der Transkriptionsdienst ist Hilfsperson nach Art. 321 StGB – AVV mit Weisungsbindung und TOM ist Pflicht.
3. DSFA: Mandantengespräch = hohes Risiko (Berufsgeheimnis) → Datenschutz-Folgenabschätzung durchführen (Art. 22 DSG).
4. Datenstandort: EU-Hosting (sprichmal Frankfurt) ist ausreichend, Schweiz-Hosting (Swiss Transcript) ist besser.

Ablauf mit sprichmal:

1. Mandant informieren: «Ich nutze sprichmal zur Transkription. Die Daten werden verschlüsselt in Frankfurt (EU) gespeichert, DSGVO-konform. Sind Sie einverstanden?»
2. AVV mit sprichmal abschliessen (vor erstem Upload).
3. Meeting aufnehmen (sprichmal-App oder File-Upload).
4. Transkript + strukturiertes Meeting-Protokoll in 2–3 Minuten.
5. Transkript prüfen, in Kanzlei-Datenbank speichern, bei sprichmal löschen (DSGVO Art. 17).

Zeitersparnis: Herr Müller spart 30–40 Minuten gegenüber manueller Transkription (CHF 150–200 an Anwaltszeit).

Sanktionen bei Datenschutz-Verstoß: Bis CHF 250'000 persönliche Haftung

Anders als die DSGVO (Bussen gegen Unternehmen) richtet sich das DSG gegen natürliche Personen (Art. 60 ff. DSG). Die Treuhand Suisse warnt:

«Bei den Sanktionen verschärft das nDSG die Massnahmen deutlich. Die Bussen für Verletzungen der Informations-, Auskunfts- und Sorgfaltspflichten sowie der beruflichen Schweigepflicht oder dem Missachten von Verfügungen des EDÖB können neu bis zu 250'000 Franken betragen (früher max. 10'000 Franken). [...] Im Gegensatz zur EU-DSGVO, bei der lediglich Unternehmen oder Organisationen im Fokus stehen, richten sich die Sanktionen in der Schweiz direkt gegen die verantwortliche natürliche Person.»

Bussgeldfähige Verstösse:

• Fehlender AVV (Art. 9 DSG)
• Keine Datenpannen-Meldung (Art. 24 DSG)
• Fehlende DSFA bei hohem Risiko (Art. 22 DSG)
• Verletzung der Informationspflicht (Art. 19 DSG)

Praxistipp: Fehlender AVV + unverschlüsselte Mandantendaten in US-Cloud = CHF 250'000 Busse gegen Geschäftsführer oder Datenschutzbeauftragten. Versicherungen decken vorsätzliche Verstösse nicht ab.

Datenschutz-Folgenabschätzung: Wann ist sie Pflicht?

Art. 22 DSG verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn die Datenbearbeitung ein hohes Risiko für Persönlichkeit oder Grundrechte birgt. Für Cloud-Transkription mit Berufsgeheimnis ist dies fast immer der Fall, da:

1. Biometrische Daten (Stimme) verarbeitet werden (Art. 5 DSG: besonders schützenswerte Daten).
2. KI-Verarbeitung (Spracherkennung, automatische Zusammenfassung) stattfindet.
3. Berufsgeheimnis (Art. 321 StGB) gilt – jede Verletzung hat strafrechtliche Folgen.

DSFA-Vorlage für Transkriptionsdienste:

Praxistipp: Eine DSFA dokumentiert, dass Sie Ihre Sorgfaltspflicht erfüllt haben. Bei EDÖB-Prüfung oder Datenpanne ist sie Ihre Absicherung.

Fazit: EU-Hosting ist ausreichend, Schweiz-Hosting ist besser

Anwälte und Treuhänder dürfen Cloud-Transkriptionsdienste nutzen – aber nur mit den richtigen Vorkehrungen:

1. AVV mit Pflicht-Inhalten (Weisungsbindung, TOM, Unterauftragsverarbeiter, Löschpflicht, Auditrechte) von jedem Anbieter einfordern.
2. Datenstandort prüfen: EU-Hosting (Frankfurt, Dublin) ist rechtlich ausreichend (angemessenes Datenschutzniveau nach DSG Art. 16), Schweiz-Hosting ist besser (kein Cloud-Act, Privatim-konform).
3. Verschlüsselung: Serverseitige Verschlüsselung (Standard) ist ausreichend mit AVV, clientseitige Verschlüsselung (scryp) ist Gold-Standard.
4. DSFA durchführen bei hohem Risiko (Berufsgeheimnis + biometrische Daten).
5. Datenpannen-Prozess etablieren (Sofort-Meldepflicht im AVV, EDÖB-Online-Formular).

sprichmal mit EU-Hosting (Frankfurt/AWS), DSGVO/revDSG-Konformität und transparentem Pricing (CHF 0–19/Monat) ist eine rechtlich konforme Option für Schweizer Anwälte und Treuhänder. Für höchste Anforderungen (Behörden, Strafverteidigung, Wirtschaftsprüfung) ist Swiss Transcript mit 100% Swiss Hosting die Premium-Wahl.

Die wichtigste Erkenntnis: Nicht der Transkriptionsdienst allein entscheidet über Datenschutz-Konformität – sondern Ihre Sorgfaltspflicht (AVV prüfen, DSFA durchführen, Datenstandort wählen).

Unsere Einschätzung

Offenlegung: Dieser Abschnitt ist eine redaktionelle Einschätzung von sprichmal.ch — eine Meinung, die die oben belegten Fakten einordnet, aber keine neuen Fakten oder Zahlen einführt. sprichmal.ch ist selbst Anbieter in diesem Markt; wir vergleichen offen und fair, statt Wettbewerber schlechtzureden.

Aus unserer Sicht ist die rechtliche Lage für Anwälte und Treuhänder klar: Cloud-Transkriptionsdienste sind zulässig, wenn AVV, Verschlüsselung und Datenstandort stimmen. Die Privatim-Resolution (November 2025) zeigt aber eine neue Präferenz-Hierarchie: Schweiz-Hosting ist besser als EU-Hosting, auch wenn beides rechtlich ausreichend ist. Für private Anwälte und Treuhänder halten wir EU-Hosting (Frankfurt, Dublin) für vollkommen ausreichend – das angemessene Datenschutzniveau der EU ist seit Jahren anerkannt, und die Cloud-Act-Warnung der Privatim richtet sich primär an Behörden (die Staatsgeheimnisse oder besonders sensible Personendaten bearbeiten).

Wir empfehlen: Wählen Sie einen Anbieter mit transparentem AVV (Swiss Transcript bietet DPA für Enterprise, sprichmal sollte AVV öffentlich machen), EU- oder Schweiz-Hosting (nie US-Hosting ohne SCCs/TIA), und vertraglich garantierter Nicht-Nutzung für KI-Training (scryp und Swiss Transcript haben das).

sprichmal ist für Schweizer KMU-Anwälte und Treuhänder eine gute Wahl, wenn Sie moderne UX (Meeting Minutes, Medical Reports, Client Notes) und transparentes Pricing (CHF 0–19/Monat) wollen – vorausgesetzt, Sie fordern den AVV an und prüfen ihn. Für höchste Anforderungen (Strafverteidigung, Behörden-Mandate, Wirtschaftsprüfung mit internationalen Fällen) ist Swiss Transcript mit 100% Swiss Hosting die sicherere Option – Sie zahlen mehr (CHF 0.17/Min vs. CHF 19/Monat Unlimited bei sprichmal), erhalten aber maximale Datensouveränität ohne Cloud-Act-Risiko.

Unsere Einschätzung: Die meisten Anwaltskanzleien und Treuhandbüros brauchen kein Schweiz-Hosting für den Alltag (Beratungen, Verträge, Protokolle) – EU-Hosting reicht vollkommen. Aber für besonders sensible Mandate (z. B. Strafverteidigung mit politischem Hintergrund, Whistleblower-Beratung, grenzüberschreitende Wirtschaftsdelikte) ist Schweiz-Hosting ohne US-Konzern die bessere Wahl.

Fair gegenüber Wettbewerbern: scryp hat mit clientseitiger Verschlüsselung die technisch beste Lösung – wenn Sie File-Upload (ohne Meeting-Bot) nutzen können, ist scryp die Privacy-First-Empfehlung. Swiss Transcript ist der Schweiz-Hosting-Champion – wenn Datensouveränität Priorität hat, ist Swiss Transcript die richtige Wahl. sprichmal ist der Sweet Spot für moderne Workflows (Meeting Minutes, strukturierte Dokumente) mit EU-Hosting – wenn Sie mehr wollen als nur Transkripte, ist sprichmal die richtige Wahl.

Die wichtigste Erkenntnis: Kein Tool ist per se "unsicher" – entscheidend ist, dass Sie als Anwalt oder Treuhänder Ihre Sorgfaltspflicht erfüllen (AVV prüfen, DSFA durchführen, Datenstandort wählen). Wir empfehlen, den AVV vor dem ersten Upload anzufordern und die Checkliste oben abzuarbeiten. Dann sind Sie rechtlich auf der sicheren Seite – egal ob sprichmal, Swiss Transcript oder scryp.