Granola: Datenschutz und Serverstandort
Was Granola zu DSGVO, Auftragsverarbeitung, Speicher- und Verarbeitungsort, Training mit Kundendaten und Zertifikaten angibt, mit Quellen.
Kurzfassung
Kritisch: Keine EU-Speicherung, Verarbeitung außerhalb der EU, Training mit Kundendaten standardmäßig aktiv.
Granola speichert Notizen und Transkripte auf AWS in den USA und hält keine dauerhaften Audioaufnahmen vor. Transkription und KI-Funktionen laufen bei US-Dienstleistern. Eigene Modellverbesserung ist abwählbar, Enterprise-Workspaces sind standardmäßig ausgeschlossen. HIPAA mit BAA gibt es nur für Enterprise.
Datenschutz im Überblick
| Kriterium | Status | Herstellerangabe |
|---|---|---|
| DSGVO-Angabe | Konformität erklärt | Granola erklärt die Einhaltung von DSGVO und UK GDPR. Quelle: docs.granola.ai |
| Auftragsverarbeitungsvertrag (AVV) | Verfügbar | Granola bietet einen standardisierten AVV mit EU- und UK-Standardvertragsklauseln. Quelle: docs.granola.ai |
| Speicherort | USA | Gespeichert wird laut Dokumentation lokal beim Anwender und in den USA. Quelle: docs.granola.ai |
| Verarbeitungsort | USA | Verarbeitet wird laut Dokumentation in den USA. Einzelheiten stehen unter „Regionen im Detail“. Quellen 1: trust.granola.ai 2: granola.ai 3: docs.granola.ai |
| Training mit Kundendaten | Standardmäßig, abschaltbar | Granola nutzt anonymisierte Daten standardmäßig zur Verbesserung eigener Modelle. Das lässt sich abschalten. Enterprise-Workspaces sind standardmäßig ausgeschlossen, Admins können den Ausschluss erzwingen. Externe Anbieter dürfen nicht trainieren. Quelle: docs.granola.ai |
| Ort der Spracherkennung | In der Cloud | Audio wird auf dem Gerät erfasst und über Deepgram oder AssemblyAI transkribiert. Der Desktop transkribiert in Echtzeit. Mobil wird nach dem Meeting aus zwischengespeichertem Audio transkribiert, das danach gelöscht wird. Quelle: granola.ai |
Regionen im Detail
| Art | Region | Geltungsbereich |
|---|---|---|
| Speicherung | USA, AWS | Transkripte und Notizen liegen auf AWS in den USA. Eine EU- oder UK-Datenresidenz bietet Granola nicht an. Quelle: docs.granola.ai |
| Speicherung | Lokaler Cache | Notizen werden zusätzlich auf dem Gerät zwischengespeichert, für schnelles Öffnen und Offline-Bearbeitung. Die Cloudablage in den USA bleibt bestehen. Quelle: docs.granola.ai |
| Verarbeitung | USA, externe ASR- und KI-Dienste | Das Trust Center nennt die USA als Hosting-Ort aller KI- und Transkriptionsdienstleister, darunter OpenAI, Anthropic, xAI, Google Cloud, Fireworks.ai, Deepgram und AssemblyAI. Hinzu kommen Turbopuffer für Vektorsuche, Parallel Web Systems für Websuche, Braintrust für KI-Evaluation und Twilio für Telefonie. Quellen 1: trust.granola.ai 2: granola.ai |
| Verarbeitung | Chat mit Claude Fable 5, 30 Tage Aufbewahrung | Bei Chats mit Claude Fable 5 speichert Anthropic Ein- und Ausgaben 30 Tage zur Missbrauchskontrolle. Die Zusage ohne Datenspeicherung (Zero Data Retention) gilt für diese Chats nicht. Das Modell ist auf Business verfügbar und auf Enterprise erst nach Freigabe durch die Administration. Quelle: docs.granola.ai |
Zertifikate und Nachweise
SOC 2 Typ 2 · Bericht über das Trust Center. Ein ISO-27001-Zertifikat hat Granola nicht. Quellen 1: docs.granola.ai 2: trust.granola.ai
HIPAA-Konformität (Herstellerangabe) · Für Enterprise-Kunden erklärt Granola HIPAA-Konformität und unterzeichnet ein Business Associate Agreement. Basic und Business sind ausgenommen. HIPAA ist ein US-Gesetz, kein Zertifikat. Quellen 1: docs.granola.ai 2: trust.granola.ai
Beteiligte KI-Dienstleister
Diese Drittanbieter übernehmen mit ihren Modellen einzelne Verarbeitungsschritte von Granola, als Dienstleister belegt durch Herstellerangaben oder nach begründeter Einschätzung von ScribeIndex, einzelne Modelle nach Einschätzung von ScribeIndex. Ihre Inhalte verarbeitet dabei der Dienst, über den das Modell läuft. Prüfen Sie deshalb, ob dieser Dienst in der Unterauftragsverarbeiterliste steht und wo er die Daten verarbeitet.
- Deepgram: Deepgram Speech-to-Text · Spracherkennung. Speaker-Tags über ASR-Diarisierung (Deepgram bzw. AssemblyAI) · Sprecherzuordnung (Modell geschätzt). Dienstleister belegt (Der Anbieter nennt diesen Dienstleister selbst, etwa in Dokumentation oder Unterauftragsverarbeiterliste)
- AssemblyAI: AssemblyAI Speech-to-Text · Spracherkennung. Speaker-Tags über ASR-Diarisierung (Deepgram bzw. AssemblyAI) · Sprecherzuordnung (Modell geschätzt). Dienstleister belegt
- OpenAI: GPT-Modelle · Dokumenterstellung. GPT-Modelle (Standard und Auto-Routing) · Assistent und Zusatzfunktionen. Dienstleister belegt
- Anthropic: Claude-Modelle · Dokumenterstellung. Claude Fable 5 (Thinking-Modell) · Assistent und Zusatzfunktionen. Claude-Modelle (Standard und Auto-Routing) · Assistent und Zusatzfunktionen. Dienstleister belegt
- Google: Gemini-Modelle (Standard und Auto-Routing) · Assistent und Zusatzfunktionen. Gemini-Modelle über Google Cloud · Dokumenterstellung (Modell geschätzt). Dienstleister belegt
- Parallel Web Systems: Parallel Web Systems (Websuche und Anreicherung) · Assistent und Zusatzfunktionen. Dienstleister belegt
- xAI: Grok-Modelle · Dokumenterstellung. Einschätzung (Vom Anbieter nicht bestätigt, von ScribeIndex aus Hinweisen abgeleitet)
Vor dem Einsatz mit personenbezogenen Daten
- AVV mit Granola abschließen und die Anlage zu Unterauftragsverarbeitern mit Regionen prüfen.
- Granola dokumentiert keine EU-Speicherung. Prüfen, ob der Einsatz mit Ihren Daten ohne EU-Region zulässig ist, oder einen Dienst mit EU-Speicherung wählen.
- Granola verarbeitet außerhalb der EU (USA). Die Grundlage des Drittlandtransfers prüfen, etwa Angemessenheitsbeschluss oder Standardvertragsklauseln.
- Training mit Kundendaten in den Kontoeinstellungen abschalten oder vertraglich ausschließen.
- Löschfristen für Aufnahmen und erzeugte Texte festlegen und die automatische Löschung testen.
- Vor der Aufnahme das Einverständnis aller Gesprächsteilnehmenden einholen und dokumentieren (§ 201 StGB) und sie nach Art. 13 DSGVO informieren.
Hintergrund zu Auftragsverarbeitung, Unterauftragsverarbeitern und Löschfristen gibt die Datenschutz-Checkliste.
Häufige Fragen
Ist Granola DSGVO-konform?
Granola erklärt die Einhaltung der DSGVO und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Gespeichert wird lokal beim Anwender und in den USA. Verarbeitet wird in den USA. Kundendaten können standardmäßig in das Modelltraining einfließen. Nutzer können das abschalten. ScribeIndex stuft den Datenschutz von Granola als „Kritisch“ ein (keine EU-Speicherung, Verarbeitung außerhalb der EU, Training mit Kundendaten standardmäßig aktiv).
Wo speichert Granola Daten?
Granola speichert Daten lokal beim Anwender und in den USA.
- USA, AWS:
Transkripte und Notizen liegen auf AWS in den USA. Eine EU- oder UK-Datenresidenz bietet Granola nicht an. - Lokaler Cache:
Notizen werden zusätzlich auf dem Gerät zwischengespeichert, für schnelles Öffnen und Offline-Bearbeitung. Die Cloudablage in den USA bleibt bestehen.
Nutzt Granola Gesprächsdaten für KI-Training?
Granola nutzt anonymisierte Daten standardmäßig zur Verbesserung eigener Modelle. Das lässt sich abschalten. Enterprise-Workspaces sind standardmäßig ausgeschlossen, Admins können den Ausschluss erzwingen. Externe Anbieter dürfen nicht trainieren.
Quellen
Datenschutzerklärungen, AVV/DPA, Trust-Center und Compliance-Seiten von Granola.
- Granola: Security, Privacy & Data FAQs docs.granola.ai · abgerufen am 2. Oktober 2026
- Granola: Datenfluss und KI-Dienstleister granola.ai · abgerufen am 2. Oktober 2026
- Granola: Models & training docs.granola.ai · abgerufen am 2. Oktober 2026
- Granola: Unterauftragsverarbeiter im Trust Center trust.granola.ai · abgerufen am 2. Oktober 2026
- Granola: Modellauswahl im Granola-Chat docs.granola.ai · abgerufen am 2. Oktober 2026
- Granola: Trust Center trust.granola.ai · abgerufen am 2. Oktober 2026