Wie Gaavala dein Meeting-Audio schützt: eine Datenschutz-Architektur

An jedem Arbeitstag treten Millionen Berufstätige Meetings bei, in denen sensible Informationen besprochen werden — Fusionsverhandlungen, Patientengespräche, juristische Strategie, Vorschauen auf Quartalszahlen, Personalentscheidungen. Überschreiten diese Meetings Sprachgrenzen, wird Echtzeit-Übersetzung unverzichtbar. Die meisten Meeting-Übersetzungstools verlangen aber, dein rohes Audio in eine Anbieter-Cloud zu schicken — und schaffen damit genau die Art von Datenexposition, die Rechts-, Compliance- und Sicherheitsteams immer häufiger nicht freigeben können.

Gaavala ist so gebaut, dass es sich vollständig aus dem Audiopfad heraushält. Lässt du ein Meeting über unsere Chrome Extension laufen, läuft dein Audio nicht über Gaavala-Server. Es streamt direkt aus deinem Browser über einen verschlüsselten WebSocket zur Speech-to-Text-Engine von Soniox — und unser Backend sieht davon kein einziges Byte.

Dieser Beitrag geht genau durch, wie das funktioniert, welche Daten über die Leitung gehen und wie sich die Architektur auf gängige Compliance-Rahmenwerke abbilden lässt.

Das Kernprinzip beim Datenschutz

Die meisten SaaS-Übersetzungstools folgen einem vertrauten Datenfluss:

1. Dein Browser erfasst das Meeting-Audio
2. Das Audio wird zum Backend des Anbieters hochgeladen
3. Das Backend des Anbieters reicht das Audio als Proxy an eine Speech-to-Text-Engine weiter
4. Die Transkripte kommen über das Backend des Anbieters zurück
5. Anbieter-Server protokollieren, cachen oder bewahren das Audio unterwegs häufig auf

Jeder Sprung in dieser Kette ist eine Vertrauensgrenze. Jeder Sprung ist eine Stelle, an der ein Logging-Bug, ein geleaktes Zugangsdatum, eine gerichtliche Anordnung oder ein böswilliger Entwickler deinen Meeting-Inhalt offenlegen könnte. Je mehr Parteien das Audio anfassen, desto schwerer ist einer Prüferin zu beweisen, dass es niemand aufbewahrt hat.

Gaavala streicht den Proxy-Schritt vollständig. Der Datenfluss lautet:

1. Dein Browser erfasst das Meeting-Audio aus dem Tab
2. Dein Browser öffnet einen direkten WebSocket zu Soniox
3. Das Audio streamt direkt über diesen WebSocket
4. Soniox liefert die Transkripte direkt an deinen Browser zurück
5. Gaavalas Backend ist nie beteiligt

Die Chrome Extension auf deinem Rechner ist das einzige Stück unseres Codes, das dein Audio überhaupt je berührt — und sie schickt dieses Audio nicht an uns.

Warum wir diese Architektur gewählt haben

Als wir Gaavala als Chrome Extension neu gebaut haben, haben wir eine bewusste Architekturentscheidung getroffen: Die Extension authentifiziert Nutzer über unser Backend, verwaltet den Abo-Status und liefert Metadaten — aber sie ist nie im Audiopfad. Die Begründung war schlicht:

• Compliance-Fläche: Jedes Byte Kunden-Audio, das wir verarbeiten, ist ein Byte, das wir in DPIAs, SOC-2-Berichten und BAA-Verhandlungen verantworten müssen. Der sauberste Weg, diese Fläche bei null zu halten, ist, das Audio gar nicht erst anzufassen.
• Radius eines Sicherheitsvorfalls: Ein Einbruch in einen Server, der Audio verarbeitet, ist grundsätzlich schlimmer als ein Einbruch in einen Server, der Text-Metadaten verarbeitet. Uns ist lieber, dass unsere sensibelsten Systeme die am wenigsten sensiblen Daten behandeln.
• Latenz: Jeder Proxy-Sprung addiert Umlaufzeit. Direktes Streaming vom Browser zu Soniox entfernt einen kompletten Sprung und verschafft uns merklich bessere Untertitel-Latenz.
• Kosten, die zum Datenschutz passen: Einen eigenen Audio-Proxy zu betreiben, hieße, für Bandbreite und Rechenzeit bei jedem Meeting zu zahlen. Keinen zu betreiben, spart Geld und schützt Kunden. Wenn die Anreize zusammenpassen, bleibt die Architektur meist ehrlich.

Der Datenfluss im Detail

Sehen wir uns an, was tatsächlich passiert, wenn du in einem Meeting die Transkription startest.

Schritt 1: Authentifizierung

Wenn du dich zum ersten Mal bei Gaavala anmeldest, nutzt die Extension Chromes chrome.identity.launchWebAuthFlow-API, um einen OAuth-Authorization-Code-Flow mit Google oder Microsoft abzuschließen. Der Identitätsanbieter gibt einen Authorization Code an deinen Browser zurück, den die Extension bei unserem Backend gegen ein Gaavala-Sitzungs-JWT eintauscht. Dieses JWT liegt in chrome.storage.local und authentifiziert die nachfolgenden API-Aufrufe an unser Backend.

Nichts davon behandelt Audio. Der OAuth-Flow besteht ausschließlich aus Text — Tokens, Claims, Profilfelder.

Schritt 2: Temporärer Soniox-Schlüssel

Klickst du in einem Meeting auf Start, ruft die Extension unsere Backend-API auf und fordert einen kurzlebigen temporären Soniox-Schlüssel an. Dieser Schlüssel hat drei wichtige Eigenschaften:

• Er ist ausschließlich auf Speech-to-Text beschränkt — auf nichts anderes in der Soniox-API-Oberfläche
• Er läuft in Minuten ab, nicht in Tagen
• Er wird einmal pro Sitzung ausgestellt und nicht auf deinem Gerät gespeichert

Das Muster mit temporären Schlüsseln ist für die Datenschutz-Geschichte entscheidend. Würde Gaavala einen langlebigen Soniox-API-Schlüssel im Extension-Bundle ausliefern, könnte ihn jeder herausziehen. Stattdessen stellen wir Einwegschlüssel aus, die auf Anforderung erzeugt, an deine authentifizierte Sitzung gebunden und kurz nach dem Sitzungsende ungültig werden.

Unser Backend protokolliert nur die Metadaten dieser Anfrage — welcher Nutzer, welche Zeit, welche Tarifstufe. Es sieht kein Audio, denn zu diesem Zeitpunkt ist noch kein Audio erfasst worden.

Schritt 3: Erfassung des Tab-Audios

Du trittst deinem Microsoft-Teams-, Zoom-, Google-Meet- oder Webex-Call in einem Chrome-Tab bei. Die Gaavala-Extension öffnet das Seitenpanel und fordert dich auf, die Audio-Erfassung zu starten. Bestätigst du, nutzt die Extension Chromes tabCapture-API — eine Extension-exklusive API, die das Erfassen von Audio aus dem aktiven Tab mit ausdrücklicher Nutzerfreigabe und einem sichtbaren Hinweis erlaubt.

Chrome leitet das erfasste Audio in ein Offscreen-Dokument, das Gaavala im Hintergrund betreibt. Das Offscreen-Dokument ist eine sandboxed Seite, mit der die Extension die Audioverarbeitung erledigen kann, ohne sichtbare Oberfläche offenhalten zu müssen. In diesem Offscreen-Dokument öffnet Gaavala einen MediaStream, verbindet ihn mit einem AudioContext und bereitet ihn fürs Streaming vor.

Entscheidend ist: Das Audio läuft außerdem durch einen lokalen Audio-Graphen, der den Ton zu deinen Lautsprechern zurückspeist. Du hörst das Meeting also weiterhin normal, während Gaavala es erfasst — nichts wird stummgeschaltet oder umgeleitet.

Schritt 4: Direkter WebSocket zu Soniox

Danach öffnet das Offscreen-Dokument eine WebSocket-Verbindung direkt zu Soniox (wss://stt-rt.soniox.com/...). Diese Verbindung:

• nutzt TLS 1.2 oder höher
• ist mit dem kurzlebigen temporären Schlüssel aus Schritt 2 authentifiziert
• geht vom Netzwerk-Stack deines Browsers aus — die Pakete fließen von deinem Betriebssystem zu Soniox, nicht zu Gaavala

Die aus dem Tab erfassten Audio-Frames werden als PCM kodiert und über den WebSocket gesendet. Soniox verarbeitet sie in Echtzeit und streamt Transkriptions-Tokens über dieselbe Verbindung zurück. Diese Tokens — mit Zeitstempeln versehene Textfragmente mit Sprecher-Labels — landen direkt im Offscreen-Dokument, das sie zur Anzeige ans Seitenpanel weiterreicht.

An keiner Stelle dieser gesamten Schleife erreicht ein Audio-Paket einen von Gaavala betriebenen Server. Du kannst das mit den Chrome DevTools selbst nachprüfen: Öffne bei laufendem Gaavala den Network-Tab mit aktivem WS-Filter, und du siehst genau einen WebSocket — zu einem soniox.com-Host — und null ausgehenden Verkehr zu gaavala.com, der Audio enthält.

Schritt 5: Transkript-Anzeige und optionale Zusammenfassung

Transkriptions-Tokens werden auf drei Oberflächen gerendert: im Seitenpanel, in einem schwebenden Overlay über dem Meeting-Tab und im Arbeitsspeicher-Puffer, der für den Export genutzt wird. Keine dieser Oberflächen serialisiert Audio. Sie behandeln ausschließlich Text.

Löst du am Ende eines Meetings eine AI-Zusammenfassung aus, entsteht sie vollständig auf deinem Gerät durch Chromes integrierte AI (Gemini Nano). Der Transkript-Text verlässt deinen Rechner nie — er geht weder an Gaavalas Backend noch an irgendeinen Dritten. Meeting-Inhalt, ob Audio oder Text, überquert Gaavalas Backend überhaupt nicht; das Einzige, was das je tut, bleiben Authentifizierungs- und Abo-Metadaten.

Welche Daten Gaavalas Server sehen

Hier ist die exakte Liste der Daten, die unser Backend über alle Funktionen hinweg verarbeitet:

Hier ist die exakte Liste der Daten, die unser Backend nicht sieht:

• Rohes Meeting-Audio (in jedem Format, zu jedem Zeitpunkt)
• Komprimierte Audio-Streams
• Audio-Puffer oder Zwischenrepräsentationen
• Biometrische Stimmdaten
• Sprecheridentität über die anonymen Sprecher-IDs hinaus, die Soniox vergibt
• Transkript-Text — Zusammenfassungen entstehen on-device; Transkripte verlassen deinen Rechner nie

Würde ein Gericht Gaavala zur Herausgabe des Audios eines bestimmten Meetings verpflichten, wäre die technisch wahrheitsgemäße Antwort, dass wir es nicht haben und nicht beschaffen können. Es hat auf unseren Systemen nie existiert.

Prüf es selbst nach

Einer der Vorteile daran, als Chrome Extension zu laufen: Die gesamte Laufzeit ist inspizierbar. Dein IT-Team kann unsere Datenschutz-Aussagen prüfen, ohne diesem Beitrag ein einziges Wort zu glauben:

Methode 1 — Netzwerk-Inspektion. Öffne chrome://extensions, such Gaavala und klick auf "service worker" oder "inspect views > background page". Geh in den DevTools zum Network-Tab und filtere nach WS (WebSocket). Starte ein Meeting. Du siehst genau einen geöffneten WebSocket, zu einem soniox.com-Host. Kein Audio geht zu gaavala.com.

Methode 2 — Manifest-Inspektion. Klapp in chrome://extensions bei Gaavala "Details" auf und geh die Berechtigungen durch. Die host_permissions deklarieren genau, welche Origins die Extension erreichen kann. Du siehst Soniox-Endpunkte fürs Streaming und Gaavala-Endpunkte für Anmeldung und Abo. Es gibt keine Wildcard-Host-Berechtigung und keinen undeklarierten Netzwerkzugriff.

Methode 3 — Quellcode-Inspektion. Die Extension liefert einen Service Worker, ein Offscreen-Dokument, ein Seitenpanel und Content-Scripts aus. Chrome legt all das über die Entwicklertools zur Inspektion offen. Dein Sicherheitsteam kann sich jederzeit an die Background Page oder das Offscreen-Dokument hängen und den Laufzeitzustand lesen — inklusive der Bestätigung, dass das Audio-Stream-Objekt nie in einen Fetch oder XHR Richtung unserer Domain serialisiert wird.

Wir veröffentlichen das Manifest und die Host-Berechtigungen als Teil des Chrome-Web-Store-Eintrags, und wir begrüßen Sicherheitsprüfungen durch Dritte.

Zuordnung zu Compliance-Rahmenwerken

GDPR und Datenminimierung

Artikel 5(1)(c) der GDPR begründet den Grundsatz der Datenminimierung: Personenbezogene Daten müssen "dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" sein. Stimmdaten sind unter der GDPR personenbezogene Daten — und biometrische Daten, sofern sie zur Identifikation genutzt werden.

Gaavalas Architektur deckt sich unmittelbar mit diesem Grundsatz. Indem wir Audio vollständig aus unseren Systemen heraushalten, reduzieren wir die personenbezogenen Daten, die wir verarbeiten, auf das absolute Minimum, das der Betrieb eines Abo-Geschäfts verlangt — E-Mail, Name, Abrechnungsstatus. Für Kunden, die DPIAs durchführen, ist unser Backend bei der Audioverarbeitung praktisch transparent: Es gibt nichts zu bewerten, weil uns nichts erreicht.

Soniox ist ein eigenständiger Verarbeiter in deiner Compliance-Kette. Du kannst dessen Datenschutzlage unabhängig prüfen, und Soniox veröffentlicht Auftragsverarbeitungsbedingungen, die für die direkte Verbindung gelten, die dein Browser dorthin aufbaut.

HIPAA und Audio mit PHI

Unter HIPAA muss jeder Anbieter, der Protected Health Information verarbeitet, speichert oder überträgt, ein Business Associate Agreement unterzeichnen. Medizinische Gespräche enthalten häufig PHI — Patientennamen, Diagnosen, Behandlungspläne.

Weil Gaavalas Backend nie Meeting-Audio empfängt, liegt die Audio-Pipeline außerhalb von Gaavalas BAA-Umfang. Die Beziehung, die du für die Audioverarbeitung bewertest, besteht direkt zwischen dir und Soniox — Gaavala ist für diese Daten kein Business Associate, weil die Daten uns nicht berühren. Erzeugst du AI-Zusammenfassungen, entstehen sie on-device durch Chromes integrierte AI — der Transkript-Text bleibt auf deinem Rechner, die Zusammenfassungsfunktion holt also weder Gaavala noch einen zusätzlichen Anbieter in die PHI-Verarbeitungskette.

SOC 2 und Lieferantenrisiko

SOC-2-Prüfungen verlangen von Organisationen, alle Drittanbieter in ihrer Datenverarbeitungskette zu dokumentieren und zu bewerten. Jeder Anbieter erhöht die Komplexität deiner System Description und den Umfang deiner Risikobewertung.

In Gaavalas Architektur ist Soniox ein Datenverarbeiter, mit dem du direkt interagierst, nicht über Gaavala. Dein Lieferantenrisiko-Register sollte Soniox nach dessen eigenen Bedingungen bewerten, was viele Sicherheitsteams unkomplizierter finden als die Bewertung einer Unterauftragsverarbeiter-Beziehung. Gaavalas Umfang in deinem Risiko-Register ist schmaler: Wir übernehmen Identität und Abrechnung — kein rohes Audio und keinen Transkript- oder Zusammenfassungstext, der den Rechner der Nutzerin nie verlässt.

Warum die Form einer Chrome Extension zählt

Viele der obigen Datenschutz-Zusagen hängen daran, dass Gaavala als Chrome Extension mit einem Netzwerkmuster direkt zum Anbieter läuft. Wir haben mehrere Alternativen erwogen und verworfen:

• Serverseitiger Audio-Proxy: Einfach umzusetzen, würde uns aber zwingen, das Audio jedes Kunden auf unserer eigenen Infrastruktur zu behandeln. Genau das wollten wir ausdrücklich vermeiden.
• Web-App mit eingebettetem STT: Tab-Audio aus einer Webseite zu erfassen, verlangt getDisplayMedia — das zeigt in jeder Sitzung ein Auswahlfenster auf Betriebssystemebene und bindet die Erfassung an den dort gewählten Tab. Schlimmer noch: Es gibt für eine Webseite keinen verlässlichen Weg, einen Audio-Stream im Hintergrund zu halten, während die Nutzerin mit anderen Tabs arbeitet.
• Native Desktop-App: Würde uns mehr Kontrolle geben, aber Installationsaufwand, Signaturkosten und betriebssystemspezifische Entwicklungslast mitbringen. Und sie würde unsere Rolle als Audio-Verarbeiter trotzdem nicht beseitigen, wenn wir nicht sorgfältig wären — wir würden also dieselben Probleme alle noch einmal erfinden.

Die Form einer Chrome Extension hat die Datenschutz-Architektur, die wir wollten, als Einzige ermöglicht. tabCapture, offscreen-Dokumente und das Service-Worker-Modell von Manifest V3 erlauben der Extension zusammen, Audio vollständig auf dem Rechner der Nutzerin zu behandeln, direkte Verbindungen zu externen Diensten zu öffnen und den Hintergrundzustand zu halten, den lange Meetings brauchen — ohne irgendetwas über uns zu leiten.

Was wir trotzdem richtig machen müssen

Datenschutz-Architektur endet nicht bei "wir fassen das Audio nicht an". Es gibt angrenzende Punkte, die wir ebenfalls ernst nehmen:

• Erzeugung temporärer Schlüssel: Die kurzlebigen Soniox-Schlüssel, die wir erzeugen, ließen sich missbrauchen, wenn unser Backend Schlüssel für einen Angreifer erzeugt. Wir authentifizieren jede Anfrage mit deinem JWT, begrenzen die Ausstellungsrate und protokollieren Anomalien.
• Extension-Updates: Eine aktualisierte Extension-Version könnte theoretisch das Netzwerkmuster ändern. Wir versionieren das Manifest, veröffentlichen Changelogs, und der Chrome Web Store zeigt neue Berechtigungen an, bevor sich ein Update installiert.
• Zusammenfassungstext: Zusammenfassungen entstehen vollständig on-device durch Chromes integrierte AI (Gemini Nano), das Transkript erreicht unser Backend also nie — in der aktuellen Architektur existiert dieses Risiko nicht. Ist selbst lokale AI-Verarbeitung für ein bestimmtes Meeting zu viel, kann die Zusammenfassungsfunktion einfach ungenutzt bleiben; nichts anderes hängt davon ab.
• Referenzprobe für den Stimmklon (Pro): Legst du einen persönlichen Stimmklon an, wird deine ~20-Sekunden-Probe verschlüsselt (AES-256-GCM) auf Gaavalas Servern gespeichert, ausschließlich zum Aufbau deiner Stimme genutzt und auf Anfrage gelöscht — siehe die Privacy Policy (Datenschutzerklärung).
• Rechtliche Anfragen: Wir verpflichten uns öffentlich, auf rechtliche Anfragen nur mit Daten zu antworten, die wir tatsächlich haben. Für Audio wird das immer lauten: "Wir haben es nicht."

Im Vergleich mit anderen Meeting-Übersetzungstools

Wie steht Gaavalas Datenschutzmodell im Vergleich zu anderen verbreiteten Meeting-Übersetzungstools da?

Der Unterschied, der zählt: In jeder anderen Zeile dieser Tabelle vertraust du den Aussagen des Anbieters darüber, wie Audio auf dessen Servern behandelt wird. Bei Gaavala gibt es für Audio keine Server, denen man vertrauen müsste, weil auf unseren Servern kein Audio liegt. Die Aussage ist mit den normalen Chrome-Entwicklertools überprüfbar.

Datenschutz ist Standard, kein bezahlter Tarif

Gaavalas kostenloser Umfang bekommt dieselbe Direktarchitektur zu Soniox, dieselbe Speaker Diarization, dieselbe Abdeckung von 60 Sprachen. Pro schaltet 120 Minuten pro Tag, Speak Mode und Voice-Cloning frei — nicht Datenschutz. Wir finden nicht, dass datenschutzbewusste Nutzer mehr zahlen sollten, um ihre Daten sicher zu halten.

Hat deine Organisation Meeting-Übersetzungstools bisher abgelehnt, weil Compliance zum Versand von Audio in eine Anbieter-Cloud Nein gesagt hat, ist Gaavala für genau dieses Gespräch gebaut. Die Pipeline ist so entworfen, dass deine Rechts-, Sicherheits- und Compliance-Teams weniger zu prüfen haben — nicht mehr.

Füg Gaavala zu Chrome hinzu →

Einmaliger kostenloser Test: 5 Minuten Transkription, setzt sich nie zurück. Keine Kreditkarte. Keine Registrierung auf der Website.

Zum Weiterlesen

• Zoom-Meeting übersetzen mit der Gaavala Extension
• So übersetzt du ein Microsoft-Teams-Meeting