Sprachnachrichten sind im beruflichen Alltag längst angekommen. Techniker, Wachleute und Objektbetreuer nutzen sie täglich, um Informationen schnell weiterzugeben. Was viele dabei übersehen: Sobald eine Sprachnachricht im betrieblichen Kontext versendet wird, greift die Datenschutz-Grundverordnung (DSGVO).
Sprachdaten sind personenbezogene Daten
Sprachaufnahmen fallen unter den Begriff der personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO. Eine Stimme ist ein biometrisches Merkmal, das eine natürliche Person identifizierbar macht.
Im betrieblichen Kontext kommen in der Regel zwei Rechtsgrundlagen in Betracht:
| Rechtsgrundlage | Voraussetzung | Praxisbeispiel |
|---|---|---|
| Art. 6 Abs. 1 lit. b DSGVO | Vertragserfüllung | Sprachdokumentation als Teil der Dienstleistungserbringung |
| Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse | Qualitätssicherung, Nachweisführung gegenüber Auftraggebern |
| Art. 6 Abs. 1 lit. a DSGVO | Einwilligung | Nur wenn keine andere Grundlage greift – im Arbeitsverhältnis problematisch |
WhatsApp im Unternehmen: Was erlaubt ist und was nicht
WhatsApp Business ist unter bestimmten Voraussetzungen DSGVO-konform möglich. Das zentrale Problem: WhatsApp überträgt Metadaten an Meta-Server in den USA.
Auftragsverarbeitungsvertrag (AVV). WhatsApp gilt als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Unternehmen müssen einen AVV mit WhatsApp abschließen.
Informationspflicht. Mitarbeitende und Kunden müssen über die Verarbeitung ihrer Daten informiert werden.
Datentransfer in Drittländer. Die Übermittlung in die USA ist nach dem EU-US Data Privacy Framework (seit Juli 2023) grundsätzlich zulässig, sofern der Empfänger zertifiziert ist.
Sprachdokumentation im Betrieb: Die fünf wichtigsten Anforderungen
1. Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO). Sprachaufnahmen dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden.
2. Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO). Es dürfen nur die Daten erhoben werden, die für den Dokumentationszweck tatsächlich erforderlich sind.
3. Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Sprachaufnahmen müssen gelöscht werden, sobald der Zweck erfüllt ist.
4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Ende-zu-Ende-Verschlüsselung, Zugriffsbeschränkungen und sichere Serverstandorte in der EU sind Mindestanforderungen.
5. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO). Jede Verarbeitung von Sprachdaten muss dokumentiert sein.
Automatisierte Transkription: Datenschutzrechtliche Besonderheiten
Wenn Sprachaufnahmen automatisiert transkribiert werden, ist der Dienstleister als Auftragsverarbeiter zu behandeln, und ein AVV ist zwingend erforderlich.
Praktische Empfehlungen
Erstens sollte die Rechtsgrundlage für die Verarbeitung von Sprachdaten klar definiert und dokumentiert sein. Zweitens sollten Sprachaufnahmen nach der Transkription gelöscht werden. Drittens sollten alle eingesetzten Tools auf DSGVO-Konformität geprüft sein. Viertens sollten Mitarbeitende über die Verarbeitung ihrer Sprachdaten informiert werden.
Fazit
Sprachdokumentation im Facility Management ist datenschutzrechtlich kein Neuland – aber ein Bereich, in dem viele Unternehmen noch Nachholbedarf haben.
Quellen: DSGVO Art. 4, 5, 6, 22, 28, 30, 32; EU-US Data Privacy Framework (Juli 2023); HGB § 257