app.klang.ai — 62/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
Klang AI AB · klang.ai
Berichtsdetails
Mittleres DatenschutzrisikoKlang AI erfasst potenziell sensible Audio- und Videoinhalte, teilt diese mit mehreren KI-Anbietern und behält sich das Recht vor, Ihre hochgeladenen Daten ohne Opt-out-Möglichkeit zur Verbesserung der eigenen Algorithmen zu nutzen — allerdings findet die meiste Verarbeitung in der EU statt, und es werden Vereinbarungen zur Datennichtspeicherung (Zero Data Retention) mit den KI-Unterauftragsverarbeitern durchgesetzt.
Klang AI AB, ein schwedischer KI-Transkriptions- und Meeting-Aufzeichnungsdienst, verarbeitet eine breite Palette personenbezogener Daten, einschließlich potenziell sensibler Inhalte aus Audio-/Videodateien. Die Richtlinie ist lobenswert transparent bezüglich ihrer Unterauftragsverarbeiter und hat Vereinbarungen zur Datennichtspeicherung (Zero Data Retention) mit LLM- und Speech-KI-Anbietern. Sie beansprucht jedoch das Recht, hochgeladene Inhalte zur Verbesserung der eigenen Algorithmen zu nutzen, ohne ein klares Opt-out anzubieten, erfasst Kreditkartennummern direkt (trotz der Nutzung von Stripe) und übermittelt Daten an mindestens einen US-Anbieter (ElevenLabs), ohne Übermittlungssicherungsmaßnahmen zu beschreiben. Die Aufbewahrung ist auf drei Monate nach Kontokündigung begrenzt, was relativ stark ist.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Erfasst direkt Debit-/Kreditkartennummern, obwohl Stripe als Zahlungsanbieter genutzt wird, und definiert die erfassbaren Daten weit gefasst, um alle personenbezogenen Daten in hochgeladenen Audio-, Video- oder Textdateien einzuschließen.
Listet alle Unterauftragsverarbeiter klar nach Name, Zweck und Standort auf; gibt ausdrücklich Vereinbarungen zur Datennichtspeicherung (Zero Data Retention) mit KI-Anbietern an; strukturierte Richtlinie mit nützlicher Zusammenfassung.
Die umfangreiche Liste der Unterauftragsverarbeiter wird detailliert offengelegt, jedoch fließen Daten an mindestens einen US-Anbieter (ElevenLabs) ohne Übermittlungssicherungsmaßnahmen, und auch Integrationspartner wie Slack, Dropbox und HubSpot haben ihren Sitz in den USA.
ElevenLabs (USA) erhält Audiodaten für Speech-KI, und mehrere Integrationspartner haben ihren Sitz in den USA, dennoch schweigt die Richtlinie völlig zu SCCs, Angemessenheitsbeschlüssen oder anderen Schutzmaßnahmen gemäß Kapitel V.
Drittanbieter-LLM- und Speech-KI-Anbieter sind vertraglich davon ausgeschlossen, mit Nutzerdaten zu trainieren oder diese zu speichern, aber Klang selbst behält sich das Recht vor, hochgeladene Inhalte zur Verbesserung der eigenen Algorithmen zu nutzen, ohne einen Opt-out-Mechanismus anzubieten.
DSGVO-Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität, Widerspruch) werden mit Links zur Aufsichtsbehörde aufgeführt, aber es gibt keinen automatisierten Self-Service-Mechanismus — Nutzer müssen eine E-Mail an support@klang.ai senden.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Algorithmusverbesserung an Nutzerdaten ohne Opt-out
Abschnitt 2 besagt: 'Hochgeladene Inhalte, die personenbezogene Informationen enthalten können, können zur Verbesserung unserer Dienste und unseres Algorithmus verwendet werden.' Dies bedeutet, dass Klang potenziell sensible Audio-/Videoinhalte nutzen kann, um eigene Modelle zu trainieren oder zu verfeinern. Es wird kein Opt-out angeboten, und die Rechtsgrundlage für diese Verarbeitung ist unklar — sie wird in Abschnitt 3 zu den Rechtsgrundlagen nicht separat aufgeführt. Für einen KI-Transkriptionsdienst, der Meeting-Aufzeichnungen verarbeitet, ist dies ein erhebliches Bedenken.
US-Datenübermittlung ohne dokumentierte Sicherheitsmaßnahmen
ElevenLabs, Inc. wird als in den USA ansässiger Speech-KI-Anbieter aufgeführt. Audiodaten werden für Transkription und Sprecheridentifikation mit ElevenLabs geteilt. Die Richtlinie erwähnt keine Standardvertragsklauseln, keine Zertifizierung nach dem EU-US Data Privacy Framework oder einen anderen Übermittlungsmechanismus gemäß DSGVO Kapitel V. Dies ist eine Konformitätslücke, die Klang einem Durchsetzungsrisiko aussetzen könnte.
Debit-/Kreditkartennummern direkt erfasst
Abschnitt 1 listet 'Debit-/Kreditkartennummern' als erfasste personenbezogene Informationen auf. Da Klang Stripe als Zahlungsanbieter nutzt, sollten vollständige Kartennummern niemals die Server von Klang erreichen. Das Erfassen und Speichern von Kartennummern würde ein unnötiges Sicherheitsrisiko darstellen und wahrscheinlich gegen PCI DSS und das Prinzip der Datenminimierung verstoßen.
Einwilligungsmechanismus für die Verarbeitung sensibler Daten ist vage
Abschnitt 1 räumt die Verarbeitung 'potenziell sensibler Informationen in Texten oder Dateien (wie Audio und Video)' ein und besagt, dass dies 'mit Ihrer Einwilligung oder wie anderweitig nach geltendem Recht zulässig' geschieht. Die Richtlinie beschreibt jedoch nicht, wie die Einwilligung eingeholt wird — ob beim Upload, bei der Kontoerstellung oder über einen separaten Mechanismus. Für einen Dienst, dessen Kernfunktion in der Verarbeitung von Audio/Video von Meetings besteht, ist dieser Mangel an Spezifität besorgniserregend.
Vereinbarungen zur Datennichtspeicherung (Zero Data Retention) mit KI-Unterauftragsverarbeitern sind ein starkes Positivum
Die Richtlinie gibt ausdrücklich an, dass LLM-Anbieter (Scaleway, Mistral, Microsoft Ireland, AWS Europe, Berget AI) und Speech-KI-Anbieter (ElevenLabs, Pyannote) unter Vereinbarungen zur Datennichtspeicherung arbeiten, bei denen 'Daten nicht für das Training verwendet und nach der Verarbeitung nicht aufbewahrt werden' und 'Audiodaten nicht für das Training verwendet und sofort nach der Verarbeitung gelöscht werden'. Dies ist eine überdurchschnittliche Transparenz für einen KI-Dienst.
Kurze Aufbewahrungsgrenze ist bemerkenswert
Abschnitt 6 besagt: 'Kein Zweck in diesem Hinweis erfordert es, Ihre personenbezogenen Daten länger als drei (3) Monate nach Beendigung des Benutzerkontos aufzubewahren.' Dies ist ein relativ kurzer und klar definierter Aufbewahrungszeitraum, was positiv für die DSGVO-Konformität ist.
Fazit für Nutzer
Ihre Meeting-Aufzeichnungen und Transkriptionen könnten verwendet werden, um Klangs eigene Algorithmen zu trainieren, und einige Ihrer Daten fließen zu einem US-amerikanischen Speech-KI-Unternehmen ohne erklärte rechtliche Schutzmaßnahme — aber Drittanbieter-KI-Anbieter dürfen vertraglich Ihre Daten nicht speichern oder damit trainieren.
Compliance-Posture
Klang AI zeigt eine teilweise DSGVO-Konformität: Es identifiziert Rechtsgrundlagen, listet Unterauftragsverarbeiter spezifisch auf und begrenzt die Aufbewahrungsdauer. Es gibt jedoch Lücken bei den Sicherheitsmaßnahmen für internationale Übermittlungen, es fehlt an einem klaren Opt-out für die Verarbeitung zur eigenen Algorithmusverbesserung, und es werden Zahlungskartendaten erfasst, die es wahrscheinlich nicht direkt speichern sollte. Es wird weder ein AVV (Auftragsverarbeitungsvertrag) noch eine DSFA (Datenschutz-Folgenabschätzung) erwähnt.
EU-Übermittlungen
Die meiste Verarbeitung bleibt innerhalb der EU/des EWR (Scaleway in Frankreich, Mistral in Frankreich, Microsoft Irland, AWS Europa, Berget AI in Schweden, Pyannote in Frankreich). ElevenLabs Inc. hat jedoch seinen Sitz in den USA, und die Richtlinie schweigt zu Übermittlungsmechanismen wie Standardvertragsklauseln oder einem Angemessenheitsbeschluss. Dies ist eine Konformitätslücke nach DSGVO Kapitel V.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
Uploaded content which may include personal information can be used to improve our services and algorithm.
LLM Model providers, we work with the following AI providers who have strong data protection policies and zero data retention agreements. Your data can be shared with these to perform LLM requests. Data is not used for training and is not retained after processing.
No purpose in this notice will require us keeping your personal information for longer than three (3) months past the termination of the user's account.
ElevenLabs, Inc., USA
debit/credit card numbers
When necessary, with your consent or as otherwise permitted by applicable law, we process the following categories of sensitive information: any potentially sensitive information contained within text or files (such as audio and video) that are submitted to the service.
Fehlend oder unklar
- Keine Beschreibung von Sicherheitsmaßnahmen für internationale Übermittlungen (SCCs, DPF, BCRs) für US-basierte Unterauftragsverarbeiter
- Kein Opt-out-Mechanismus für Klangs eigene Algorithmusverbesserung unter Verwendung hochgeladener Inhalte
- Keine Erklärung, wie die Einwilligung zur Verarbeitung sensibler Daten in der Praxis eingeholt wird
- Kein Verweis auf einen Auftragsverarbeitungsvertrag (AVV) für B2B-Kunden
- Keine Erwähnung einer Datenschutz-Folgenabschätzung (DSFA) trotz der Verarbeitung sensibler Audio-/Videodaten im großen Maßstab
- Kein automatisiertes Self-Service-Portal zur Ausübung von DSGVO-Rechten
- Keine Details zu Cookie-Kategorien oder Tracking-Technologien (verwiesen auf separaten Cookie-Hinweis)
Fragen zum Nachfragen
- Auf welchen spezifischen Übermittlungsmechanismus (SCCs, EU-US DPF-Zertifizierung usw.) stützen Sie sich, wenn Sie Audiodaten an ElevenLabs in den Vereinigten Staaten weitergeben?
- Wie genau wird die Einwilligung zur Verarbeitung sensibler Audio-/Videoinhalte eingeholt — beim Upload, im Registrierungsprozess oder an anderer Stelle?
- Können Nutzer der Nutzung ihrer hochgeladenen Inhalte zur Verbesserung von Klangs eigenen Algorithmen widersprechen (Opt-out), und wenn nicht, was ist die Rechtsgrundlage für diese Verarbeitung nach der DSGVO?
- Erfassen und speichern Sie tatsächlich vollständige Debit-/Kreditkartennummern auf Ihren eigenen Servern oder wickelt Stripe alle Kartendaten über Tokenisierung ab?
- Was beinhaltet die 'Verbesserung unserer Dienste und unseres Algorithmus' — beinhaltet dies das Training von Machine-Learning-Modellen mit von Nutzern hochgeladenen Audio-/Videoinhalten?
- Ist eine Datenschutz-Folgenabschätzung für die Verarbeitung sensibler Audio-/Videoinhalte im großen Maßstab verfügbar?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigencursor.com
62/100
Mittleres DatenschutzrisikoCursor (Anysphere) verspricht standardmäßig, Ihre Code-Eingaben nicht für das KI-Training zu verwenden, und verkauft Ihre Daten nicht, erfasst jedoch eine weitreichende Palette an persönlichen Nutzungsdaten, sendet diese mit vagen Übertragungssicherungen in die USA und lässt Schlüsseldetails wie Aufbewahrungsfristen und Rechtsgrundlagen offen.
Bericht ansehen →eustella.com
62/100
Mittleres Datenschutzrisikoeustella gibt starke Datenschutzversprechen — kein Datenverkauf, keine Weitergabe an Dritte, kein KI-Training mit Ihren Daten und die gesamte Verarbeitung bleibt in der EU — aber dies ist Marketingtext, keine verbindliche Datenschutzerklärung, und entscheidende Details zu Datenerhebung, Aufbewahrung, Unterauftragsverarbeitern und Nutzerrechten fehlen im bereitgestellten Text.
Bericht ansehen →lhv.com
62/100
Mittleres DatenschutzrisikoLHV Bank erhebt eine umfassende Palette an persönlichen und finanziellen Daten, teilt sie weitreichend mit Betrugsvorbeugungsagenturen und Zahlungsintermediären und stützt sich schwer auf berechtigte Interessen für Marketing und Analysen – sie deckt jedoch DSGVO-Rechte ab und nutzt manuelle Überprüfungen für Profilierungsentscheidungen.
Bericht ansehen →cake.com
62/100
Mittleres DatenschutzrisikoCAKE.com bietet standardmäßige EU-Datenrechte und Übertragungssicherheiten, erhebt jedoch im Namen der Arbeitgeber, die als Datenverantwortliche für ihre Mitarbeiter fungieren, hochgradig invasive Arbeitsplatzüberwachungsdaten – wie Screenshots, Hintergrundstandort und App-Nutzung.
Bericht ansehen →