Sei ganz vorn dabei, wenn Gaavala im Chrome Web Store landet. Auf die Warteliste

Wie Gaavala dein Meeting-Audio schützt: eine Datenschutz-Architektur

Gaavala sendet Live-Meeting-Audio für Transkription und Übersetzung direkt vom Browser zu Soniox. Das Backend verarbeitet Konten, Abonnements und weitere offengelegte Funktionsdaten, leitet dieses Meeting-Audio aber nicht weiter. Der Transkriptverlauf bleibt sieben Tage auf deinem Gerät. Dieser Leitfaden erklärt die getrennten Datenwege und ihre Prüfung.

Das Kernprinzip beim Datenschutz

Die meisten SaaS-Übersetzungstools folgen einem vertrauten Datenfluss:

1. Dein Browser erfasst das Meeting-Audio
2. Das Audio wird zum Backend des Anbieters hochgeladen
3. Das Backend des Anbieters reicht das Audio als Proxy an eine Speech-to-Text-Engine weiter
4. Die Transkripte kommen über das Backend des Anbieters zurück
5. Anbieter-Server protokollieren, cachen oder bewahren das Audio unterwegs häufig auf

Jeder Sprung in dieser Kette ist eine Vertrauensgrenze. Jeder Sprung ist eine Stelle, an der ein Logging-Bug, ein geleaktes Zugangsdatum, eine gerichtliche Anordnung oder ein böswilliger Entwickler deinen Meeting-Inhalt offenlegen könnte. Je mehr Parteien das Audio anfassen, desto schwerer ist einer Prüferin zu beweisen, dass es niemand aufbewahrt hat.

Gaavala streicht den Proxy-Schritt vollständig. Der Datenfluss lautet:

1. Dein Browser erfasst das Meeting-Audio aus dem Tab
2. Dein Browser öffnet einen direkten WebSocket zu Soniox
3. Das Audio streamt direkt über diesen WebSocket
4. Soniox liefert die Transkripte direkt an deinen Browser zurück
5. Gaavalas Backend ist nie beteiligt

Die Chrome Extension auf deinem Rechner ist das einzige Stück unseres Codes, das dein Meeting-Audio überhaupt je berührt — und sie schickt dieses Audio nicht an uns.

Warum wir diese Architektur gewählt haben

Als wir Gaavala als Chrome Extension neu gebaut haben, haben wir eine bewusste Architekturentscheidung getroffen: Die Extension authentifiziert Nutzer über unser Backend, verwaltet den Abo-Status und liefert Metadaten — aber sie ist nie im Audiopfad. Die Begründung war schlicht:

• Dass Meeting-Audio nicht durch Gaavalas Backend fließt, reduziert einen Verarbeitungsweg. Die Prüfung des Gaavala-Dienstes, von Soniox, Browserberechtigungen und lokal gespeicherten Transkripten bleibt notwendig. Auch Datenflüsse für Konto, Abrechnung, Stimmprobe und Diagnose gehören dazu.
• Radius eines Sicherheitsvorfalls: Ein Einbruch in einen Server, der Audio verarbeitet, ist grundsätzlich schlimmer als ein Einbruch in einen Server, der Text-Metadaten verarbeitet. Uns ist lieber, dass unsere sensibelsten Systeme die am wenigsten sensiblen Daten behandeln.
• Latenz: Jeder Proxy-Sprung addiert Umlaufzeit. Direktes Streaming vom Browser zu Soniox entfernt einen kompletten Sprung und verschafft uns merklich bessere Untertitel-Latenz.
• Kosten, die zum Datenschutz passen: Einen eigenen Audio-Proxy zu betreiben, hieße, für Bandbreite und Rechenzeit bei jedem Meeting zu zahlen. Keinen zu betreiben, spart Geld und schützt Kunden. Wenn die Anreize zusammenpassen, bleibt die Architektur meist ehrlich.

Der Datenfluss im Detail

Sehen wir uns an, was tatsächlich passiert, wenn du in einem Meeting die Transkription startest.

Schritt 1: Authentifizierung

Wenn du dich zum ersten Mal bei Gaavala anmeldest, nutzt die Extension Chromes chrome.identity.launchWebAuthFlow-API, um einen OAuth-Authorization-Code-Flow mit Google oder Microsoft abzuschließen. Der Identitätsanbieter gibt einen Authorization Code an deinen Browser zurück, den die Extension bei unserem Backend gegen ein Gaavala-Sitzungs-JWT eintauscht. Dieses JWT liegt in chrome.storage.local und authentifiziert die nachfolgenden API-Aufrufe an unser Backend.

Nichts davon behandelt Audio. Der OAuth-Flow besteht ausschließlich aus Text — Tokens, Claims, Profilfelder.

Schritt 2: Temporärer Soniox-Schlüssel

Klickst du in einem Meeting auf Start, ruft die Extension unsere Backend-API auf und fordert einen kurzlebigen temporären Soniox-Schlüssel an. Dieser Schlüssel hat drei wichtige Eigenschaften:

• Er ist ausschließlich auf Speech-to-Text beschränkt — auf nichts anderes in der Soniox-API-Oberfläche
• Er läuft in Minuten ab, nicht in Tagen
• Er wird einmal pro Sitzung ausgestellt und nicht auf deinem Gerät gespeichert

Das Muster mit temporären Schlüsseln ist für die Datenschutz-Geschichte entscheidend. Würde Gaavala einen langlebigen Soniox-API-Schlüssel im Extension-Bundle ausliefern, könnte ihn jeder herausziehen. Stattdessen stellen wir Einwegschlüssel aus, die auf Anforderung erzeugt, an deine authentifizierte Sitzung gebunden und kurz nach dem Sitzungsende ungültig werden.

Unser Backend protokolliert nur die Metadaten dieser Anfrage — welcher Nutzer, welche Zeit, welche Tarifstufe. Es sieht kein Audio, denn zu diesem Zeitpunkt ist noch kein Audio erfasst worden.

Schritt 3: Erfassung des Tab-Audios

Du trittst deinem Microsoft-Teams-, Zoom-, Google-Meet- oder Webex-Call in einem Chrome-Tab bei. Die Gaavala-Extension öffnet das Seitenpanel und fordert dich auf, die Audio-Erfassung zu starten. Bestätigst du, nutzt die Extension Chromes tabCapture-API — eine Extension-exklusive API, die das Erfassen von Audio aus dem aktiven Tab mit ausdrücklicher Nutzerfreigabe und einem sichtbaren Hinweis erlaubt.

Chrome leitet das erfasste Audio in ein Offscreen-Dokument, das Gaavala im Hintergrund betreibt. Das Offscreen-Dokument ist eine sandboxed Seite, mit der die Extension die Audioverarbeitung erledigen kann, ohne sichtbare Oberfläche offenhalten zu müssen. In diesem Offscreen-Dokument öffnet Gaavala einen MediaStream, verbindet ihn mit einem AudioContext und bereitet ihn fürs Streaming vor.

Entscheidend ist: Das Audio läuft außerdem durch einen lokalen Audio-Graphen, der den Ton zu deinen Lautsprechern zurückspeist. Du hörst das Meeting also weiterhin normal, während Gaavala es erfasst — nichts wird stummgeschaltet oder umgeleitet.

Schritt 4: Direkter WebSocket zu Soniox

Danach öffnet das Offscreen-Dokument eine WebSocket-Verbindung direkt zu Soniox. Diese Verbindung:

• nutzt TLS 1.2 oder höher
• ist mit dem kurzlebigen temporären Schlüssel aus Schritt 2 authentifiziert
• geht vom Netzwerk-Stack deines Browsers aus — die Pakete fließen von deinem Betriebssystem zu Soniox, nicht zu Gaavala

Die aus dem Tab erfassten Audio-Frames werden als PCM kodiert und über den WebSocket gesendet. Soniox verarbeitet sie in Echtzeit und streamt Transkriptions-Tokens über dieselbe Verbindung zurück. Diese Tokens — mit Zeitstempeln versehene Textfragmente mit Sprecher-Labels — landen direkt im Offscreen-Dokument, das sie zur Anzeige ans Seitenpanel weiterreicht.

An keiner Stelle dieser gesamten Schleife erreicht ein Paket mit Meeting-Audio einen von Gaavala betriebenen Server. Du kannst das mit den Chrome DevTools selbst nachprüfen: Öffne bei laufendem Gaavala den Network-Tab mit aktivem WS-Filter, und du siehst genau einen WebSocket — zu einem soniox.com-Host — und null ausgehenden Verkehr zu gaavala.com, der Meeting-Audio enthält.

Schritt 5: Transkript-Anzeige und optionale Zusammenfassung

Untertitel erscheinen in der Seitenleiste und im Meeting-Overlay. Der Transkriptverlauf wird außerdem sieben Tage in der lokalen Datenbank der Erweiterung auf deinem Gerät gespeichert; Export und Löschen sind möglich. Das ist lokaler Textspeicher, keine Audioaufnahme und kein Cloud-Archiv.

Löst du am Ende eines Meetings eine AI-Zusammenfassung aus, entsteht sie vollständig auf deinem Gerät durch Chromes integrierte AI (Gemini Nano). Der Transkript-Text verlässt deinen Rechner nie — er geht weder an Gaavalas Backend noch an irgendeinen Dritten. Meeting-Inhalte, ob Audio oder Text, laufen überhaupt nicht über Gaavalas Backend; welche Daten es tatsächlich erreichen, zeigt der nächste Abschnitt.

Welche Daten Gaavalas Server sehen

Das sind die wichtigsten Arten von Daten, die unser Backend über alle Funktionen hinweg verarbeitet:

Hier ist die exakte Liste der Daten, die unser Backend nicht sieht:

• Rohes Meeting-Audio (in jedem Format, zu jedem Zeitpunkt)
• Komprimierte Meeting-Audio-Streams
• Puffer oder Zwischenrepräsentationen von Meeting-Audio
• Biometrische Stimmdaten aus deinen Meetings (die einzige Stimmaufnahme, die wir aufbewahren, ist die oben genannte Pro-Referenzprobe für den Stimmklon, und auch die nur, wenn du sie aufnimmst)
• Sprecheridentität über die anonymen Sprecher-IDs hinaus, die Soniox vergibt
• Transkript-Text — Zusammenfassungen entstehen on-device; Transkripte verlassen deinen Rechner nie

Würde ein Gericht Gaavala zur Herausgabe des Audios eines bestimmten Meetings verpflichten, wäre die technisch wahrheitsgemäße Antwort, dass wir es nicht haben und nicht beschaffen können. Es hat auf unseren Systemen nie existiert.

Bei regelmäßigen Kundengesprächen kann dein eigener Stimmklon Speak Mode eine vertraute Stimme geben; dort findest du die Aufnahme- und Löschschritte.

Steuerung und Grenzen reiner Textantworten erklärt der Barrierefreiheitsleitfaden.

Prüf es selbst nach

Einer der Vorteile daran, als Chrome Extension zu laufen: Die gesamte Laufzeit ist inspizierbar. Dein IT-Team kann unsere Datenschutz-Aussagen prüfen, ohne diesem Beitrag ein einziges Wort zu glauben:

Methode 1 — Netzwerk-Inspektion. Öffne chrome://extensions, such Gaavala und klick auf "service worker" oder "inspect views > background page". Geh in den DevTools zum Network-Tab und filtere nach WS (WebSocket). Starte ein Meeting. Du siehst genau einen geöffneten WebSocket, zu einem soniox.com-Host. Kein Meeting-Audio geht zu gaavala.com.

Methode 2 — Manifest-Inspektion. Klapp in chrome://extensions bei Gaavala "Details" auf und geh die Berechtigungen durch. Die host_permissions deklarieren genau, welche Origins die Extension erreichen kann. Du siehst Soniox-Endpunkte fürs Streaming und Gaavala-Endpunkte für Anmeldung und Abo. Es gibt keine Wildcard-Host-Berechtigung und keinen undeklarierten Netzwerkzugriff.

Methode 3 — Quellcode-Inspektion. Die Extension liefert einen Service Worker, ein Offscreen-Dokument, ein Seitenpanel und Content-Scripts aus. Chrome legt all das über die Entwicklertools zur Inspektion offen. Dein Sicherheitsteam kann sich jederzeit an die Background Page oder das Offscreen-Dokument hängen und den Laufzeitzustand lesen — inklusive der Bestätigung, dass das Audio-Stream-Objekt nie in einen Fetch oder XHR Richtung unserer Domain serialisiert wird.

Wir veröffentlichen das Manifest und die Host-Berechtigungen als Teil des Chrome-Web-Store-Eintrags, und wir begrüßen Sicherheitsprüfungen durch Dritte.

Zuordnung zu Compliance-Rahmenwerken

GDPR und Datenminimierung

Artikel 5(1)(c) der GDPR begründet den Grundsatz der Datenminimierung: Personenbezogene Daten müssen "dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" sein. Stimmdaten sind unter der GDPR personenbezogene Daten — und biometrische Daten, sofern sie zur Identifikation genutzt werden.

Eine Datenminimierungsprüfung sollte Live-Audio an Soniox, Konto- und optionale Stimmprobendaten bei Gaavala sowie Transkripte auf dem Gerät unterscheiden. Diese Datenwege gehören auch ohne Audioproxy zur Bewertung des Dienstes.

Soniox gehört trotzdem zu deiner Compliance-Kette, als der von Gaavala beauftragte Anbieter für Sprachverarbeitung: Gaavala ist Inhaber des Soniox-Kontos und stellt den kurzlebigen Schlüssel aus, mit dem sich dein Browser verbindet, und unsere Privacy Policy (Datenschutzerklärung) nennt Soniox unter den Dritten, mit denen wir Daten teilen. Eine DPIA erfasst Soniox deshalb als Teil von Gaavalas Dienst, nicht als Anbieter, mit dem du selbst einen Vertrag schließt.

HIPAA und Audio mit PHI

Nach den HHS-Leitlinien zu Business Associates kann ein Anbieter als Business Associate gelten, wenn er elektronische geschützte Gesundheitsinformationen (ePHI) im Auftrag einer unter HIPAA fallenden Einrichtung oder eines anderen Business Associate verarbeitet. Liegt diese Beziehung vor, sind entsprechende BAA-Regelungen erforderlich. Die HHS-Leitlinien zu Cloud-Diensten erläutern die Anwendung auf Cloud-Angebote. Prüfe den tatsächlichen Dienst, die Datenflüsse und die Vereinbarungen.

Gaavalas Backend empfängt nie Meeting-Audio, daher wird PHI, die in einem Meeting gesprochen wird, nie auf Gaavalas Servern gespeichert. Das Meeting-Audio wird trotzdem an Soniox übertragen, den von Gaavala beauftragten Anbieter für Sprachverarbeitung, und dort verarbeitet; eine HIPAA-Bewertung muss diesen Weg deshalb als Teil von Gaavalas Dienst abdecken — es ist keine Beziehung allein zwischen dir und Soniox. Erzeugst du AI-Zusammenfassungen, entstehen sie on-device durch Chromes integrierte AI — der Transkript-Text bleibt auf deinem Rechner, die Zusammenfassungsfunktion fügt der PHI-Verarbeitungskette also weder Gaavalas Server noch einen weiteren Anbieter hinzu.

SOC 2 und Lieferantenrisiko

CC9.2 der AICPA Trust Services Criteria behandelt die Bewertung und Steuerung von Risiken durch Anbieter und Geschäftspartner. Die Bewertung richtet sich nach dem definierten System, den Diensten und Zusagen sowie nach der Rolle des Anbieters innerhalb dieses Umfangs.

In Gaavalas Architektur verbindet sich dein Browser direkt mit Soniox, doch die Lieferantenbeziehung läuft über Gaavala: Gaavala ist Inhaber des Soniox-Kontos, daher führt dein Lieferantenrisiko-Register Soniox als Gaavalas Unterauftragsverarbeiter für die Spracherkennung, nicht als Anbieter, mit dem du selbst einen Vertrag schließt. Was die direkte Verbindung verkleinert, ist Gaavalas eigener Fußabdruck: Unsere Server verarbeiten Kontodaten wie Identität, Abrechnung und Nutzung, dazu die Pro-Referenzprobe für den Stimmklon, falls eine aufgenommen wurde — kein Meeting-Audio und keine Transkript- oder Zusammenfassungstexte, denn diese Texte verlassen den Rechner der Nutzer nie.

Warum die Form einer Chrome Extension zählt

Viele der obigen Datenschutz-Zusagen hängen daran, dass Gaavala als Chrome Extension mit einem Netzwerkmuster direkt zum Anbieter läuft. Wir haben mehrere Alternativen erwogen und verworfen:

• Serverseitiger Audio-Proxy: Einfach umzusetzen, würde uns aber zwingen, das Audio jedes Kunden auf unserer eigenen Infrastruktur zu behandeln. Genau das wollten wir ausdrücklich vermeiden.
• Web-App mit eingebettetem STT: Tab-Audio aus einer Webseite zu erfassen, verlangt getDisplayMedia — das zeigt in jeder Sitzung ein Auswahlfenster auf Betriebssystemebene und bindet die Erfassung an den dort gewählten Tab. Schlimmer noch: Es gibt für eine Webseite keinen verlässlichen Weg, einen Audio-Stream im Hintergrund zu halten, während die Nutzerin mit anderen Tabs arbeitet.
• Native Desktop-App: Würde uns mehr Kontrolle geben, aber Installationsaufwand, Signaturkosten und betriebssystemspezifische Entwicklungslast mitbringen. Und sie würde unsere Rolle als Audio-Verarbeiter trotzdem nicht beseitigen, wenn wir nicht sorgfältig wären — wir würden also dieselben Probleme alle noch einmal erfinden.

Die Form einer Chrome Extension hat die Datenschutz-Architektur, die wir wollten, als Einzige ermöglicht. tabCapture, offscreen-Dokumente und das Service-Worker-Modell von Manifest V3 erlauben der Extension zusammen, Meeting-Audio auf dem Rechner der Nutzerin zu erfassen, es über eine direkte Verbindung zur Speech-to-Text-Engine zu streamen und den Hintergrundzustand zu halten, den lange Meetings brauchen — ohne Meeting-Audio über uns zu leiten.

Was wir trotzdem richtig machen müssen

Datenschutz-Architektur endet nicht bei "wir fassen kein Meeting-Audio an". Es gibt angrenzende Punkte, die wir ebenfalls ernst nehmen:

• Erzeugung temporärer Schlüssel: Die kurzlebigen Soniox-Schlüssel, die wir erzeugen, ließen sich missbrauchen, wenn unser Backend Schlüssel für einen Angreifer erzeugt. Wir authentifizieren jede Anfrage mit deinem JWT, begrenzen die Ausstellungsrate und protokollieren Anomalien.
• Extension-Updates: Eine aktualisierte Extension-Version könnte theoretisch das Netzwerkmuster ändern. Wir versionieren das Manifest, veröffentlichen Changelogs, und der Chrome Web Store zeigt neue Berechtigungen an, bevor sich ein Update installiert.
• Zusammenfassungstext: Zusammenfassungen entstehen vollständig on-device durch Chromes integrierte AI (Gemini Nano), das Transkript erreicht unser Backend also nie — in der aktuellen Architektur existiert dieses Risiko nicht. Ist selbst lokale AI-Verarbeitung für ein bestimmtes Meeting zu viel, kann die Zusammenfassungsfunktion einfach ungenutzt bleiben; nichts anderes hängt davon ab.
• Referenzprobe für den Stimmklon (Pro): Legst du einen persönlichen Stimmklon an, wird deine Zwei-Minuten-Probe verschlüsselt (AES-256-GCM) auf Gaavalas Servern gespeichert, ausschließlich zum Aufbau deiner Stimme genutzt und auf Anfrage gelöscht — siehe die Privacy Policy (Datenschutzerklärung).
• Rechtliche Anfragen: Wir verpflichten uns öffentlich, auf rechtliche Anfragen nur mit Daten zu antworten, die wir tatsächlich haben. Für Meeting-Audio lautet die Antwort immer: "Das haben wir nicht."

Im Vergleich mit anderen Meeting-Übersetzungstools

Vergleiche getrennt, wer Live-Audio erhält, wo Text gespeichert wird, wie lange er aufbewahrt wird und ob er zum Modelltraining dient. Gaavala sendet Meeting-Audio direkt an Soniox und speichert Transkriptverlauf sieben Tage lokal; daraus folgt keine Aussage über die Aufbewahrung bei anderen Produkten.

Zoom erklärt, Kundenkommunikationsinhalte nicht zum Training eigener oder fremder KI-Modelle zu verwenden. Prüfe Aufbewahrung, aktivierte Funktionen und Unternehmensrichtlinien separat; Modelltraining und Speicherung sind verschiedene Fragen.

Datenschutz ist Standard, kein bezahlter Tarif

Gaavalas kostenloser Umfang bekommt dieselbe Direktarchitektur zu Soniox, dieselbe Speaker Diarization, dieselbe Abdeckung von 60 Sprachen. Pro schaltet 120 Minuten pro Tag, Speak Mode und Voice-Cloning frei — nicht Datenschutz. Wir finden nicht, dass datenschutzbewusste Nutzer mehr zahlen sollten, um ihre Daten sicher zu halten.

Hat deine Organisation Meeting-Übersetzungstools bisher abgelehnt, weil Compliance Nein dazu gesagt hat, dass zwischen deinen Meetings und der Speech-to-Text-Engine die Server eines Tool-Anbieters zwischengeschaltet sind, dann ist Gaavala genau für diesen Fall gemacht. Die Pipeline ist so entworfen, dass deine Rechts-, Sicherheits- und Compliance-Teams weniger zu prüfen haben — nicht mehr.

Auf die Warteliste

Einmaliger kostenloser Test: 5 Minuten Transkription, setzt sich nie zurück. Keine Kreditkarte. Keine Registrierung auf der Website.

Zum Weiterlesen

• Zoom-Meeting übersetzen mit der Gaavala Extension
• So übersetzt du ein Microsoft-Teams-Meeting