10 maart 2026Bijgewerkt op 17 augustus 202610 min lezen

AVG en transcriptie: wat ondernemingen moeten weten

Wie vergaderingen opneemt, interviews transcribeert of dictaten verwerkt, verwerkt persoonsgegevens. Stemmen, namen, meningen, soms gezondheidsgegevens of bedrijfsgeheimen - dat valt allemaal onder de Algemene verordening gegevensbescherming (AVG). Toch gebruiken veel ondernemingen transcriptiediensten zonder de wettelijke eisen te kennen.

Dit artikel legt uit welke verplichtingen gelden, waar de meest voorkomende fouten ontstaan en hoe je transcriptie privacyconform inzet. Aan het einde beantwoorden we de meestgestelde vragen over dit onderwerp: wanneer mag het audiobestand worden gewist, welke documentatie is verplicht en welke regels gelden voor vergaderingen, gesprekken met artsen en Amerikaanse aanbieders? Laatst bijgewerkt: augustus 2026.

Waarom audio-opnames bijzonder gevoelig zijn

Audio-opnames bevatten biometrische kenmerken (stem), vaak namen en regelmatig inhoudelijk gevoelige informatie. In Duitsland is het niet-openbaar gesproken woord daarnaast beschermd door § 201 StGB, in Oostenrijk door § 120 StGB. Een opname zonder medeweten van de betrokkenen kan daarom strafbaar zijn.

De AVG classificeert de verwerking van audiogegevens als verwerking van persoonsgegevens conform art. 4 nr. 2. Dat betekent: elke opname, opslag en transcriptie heeft een rechtsgrondslag nodig.

Rechtsgrondslagen voor de transcriptie

De veiligste rechtsgrondslag voor transcripties is de uitdrukkelijke toestemming van alle betrokkenen conform art. 6 lid 1 onder a AVG. Alternatieven als gerechtvaardigd belang of uitvoering van een overeenkomst zijn in de praktijk moeilijk hard te maken, omdat rechters handmatige verslagen als een lichter middel beschouwen.

Art. 6 lid 1 AVG noemt meerdere mogelijke rechtsgrondslagen. Voor transcripties zijn er drie relevant:

Toestemming (art. 6 lid 1 onder a) - De veiligste grondslag. Alle betrokkenen moeten vóór de opname geïnformeerd worden en actief instemmen. De toestemming moet vrij, geïnformeerd en herroepbaar zijn.
Gerechtvaardigd belang (art. 6 lid 1 onder f) - Theoretisch mogelijk, in de praktijk lastig. Rechters en toezichthouders betogen dat handmatige verslagen een lichter middel zijn.
Uitvoering van een overeenkomst (art. 6 lid 1 onder b) - Alleen in uitzonderingsgevallen houdbaar, bijvoorbeeld wanneer de transcriptie uitdrukkelijk deel uitmaakt van de overeenkomst.

Praktijkaanbeveling: Vraag altijd uitdrukkelijke toestemming. Bij vergaderingen zou dat schriftelijk in de uitnodiging en mondeling aan het begin moeten gebeuren.

Bijzondere categorieën: gezondheidsgegevens en meer

Bevatten opnames gezondheidsgegevens (medische dictaten), vakbondslidmaatschap of religieuze overtuigingen, dan grijpt art. 9 AVG in. Deze bijzondere categorieën vereisen een uitdrukkelijke toestemming - een stilzwijgende instemming volstaat niet.

Transparantieverplichtingen: wat je moet meedelen

Art. 13 en 14 AVG verplichten ondernemingen om betrokkenen vóór de opname uitgebreid te informeren:

Dat en met welk doel de opname en transcriptie plaatsvinden
Hoelang opnames en transcripten worden opgeslagen
Wie toegang tot de gegevens krijgt (intern en extern)
Of er een derde partij (transcriptiedienst) wordt ingezet
Welke rechten de betrokkenen hebben (inzage, verwijdering, bezwaar)

Het probleem met cloudtranscriptiediensten

Veel transcriptietools verwerken audio op servers buiten de EU. Dat is juridisch problematisch:

Doorgifte naar een derde land: Zonder een passend beschermingsniveau (adequaatheidsbesluit, modelcontractbepalingen) is de doorgifte ongeoorloofd.
Verwerking namens de verwerkingsverantwoordelijke: De transcriptiedienst is verwerker conform art. 28 AVG - een verwerkersovereenkomst is verplicht.
Toegang door de aanbieder: Bij verwerking aan de serverzijde heeft de aanbieder toegang tot de platte tekst - een risico dat veel ondernemingen onderschatten.

De veiligste oplossing: versleuteling aan de clientzijde

Versleuteling aan de clientzijde is de sterkste technische beschermingsmaatregel conform art. 32 AVG. Audiobestanden worden in de browser versleuteld voordat ze de server bereiken. Zelfs bij een datalek bij de aanbieder zijn de gegevens zonder de sleutel van de gebruiker waardeloos.

Bij versleuteling aan de clientzijde worden audiobestanden al in de browser versleuteld voordat ze de server bereiken. Het transcript wordt eveneens versleuteld opgeslagen - zelfs de aanbieder kan de opgeslagen inhoud niet lezen.

Voor de AVG betekent dat: zelfs bij een datalek bij de aanbieder zijn de gegevens waardeloos, omdat ze zonder de sleutel van de gebruiker niet kunnen worden ontsleuteld. Dat is de sterkste technische maatregel conform art. 32 AVG.

Checklist voor privacyconforme transcriptie

Toestemming van alle betrokkenen vóór de opname inwinnen
Doel en bewaartermijn documenteren
Verwerkersovereenkomst met de aanbieder sluiten
Nagaan waar de gegevens worden verwerkt en opgeslagen (EU vs. derde land)
Versleuteling waarborgen - idealiter aan de clientzijde
Verwijderingsbeleid vastleggen: wanneer worden opnames en transcripten verwijderd?
Rechten van betrokkenen waarborgen (inzage, verwijdering, bezwaar)
Verwerkingsregister conform art. 30 AVG bijhouden

Conclusie

Transcriptie zonder privacybescherming is een juridisch risico. De AVG stelt duidelijke eisen aan toestemming, transparantie en technische beschermingsmaatregelen. Ondernemingen die audio-opnames verwerken, zouden hun transcriptiedienst zorgvuldig moeten toetsen - met name of de aanbieder toegang heeft tot de platte tekst en waar de gegevens worden opgeslagen.

Als je vergaderingen opneemt, vind je een praktische oplossing - notulen, taken en transcript zonder meetingbot, met versleuteling in Oostenrijk - op onze pagina over AI-vergadernotulen. Alle plannen beginnen met 14 gratis dagen; meer informatie vind je op de prijzenpagina.

Let op: Deze bijdrage dient ter algemene informatie en vervangt geen juridisch advies in het concrete geval.

Veelgestelde vragen

Wanneer mag ik het audiobestand na de transcriptie verwijderen?

Je mag het audiobestand verwijderen zodra het doel van de opname is bereikt - in de regel dus wanneer het transcript klaar en goedgekeurd is. De AVG schrijft opslagbeperking voor (art. 5 lid 1 onder e): persoonsgegevens mogen niet langer worden bewaard dan het doel vereist. In de praktijk betekent dat: leg in je verwijderingsbeleid een vaste termijn vast (bijv. 30 dagen na goedkeuring van het transcript) en verwijder de opname daarna automatisch. Langer bewaren mag alleen als daar een concrete reden voor is - bijvoorbeeld een wettelijke bewaarplicht of een gedocumenteerd gerechtvaardigd belang zoals het veiligstellen van bewijs. Het transcript is meestal het slankere document: het bevat de stem niet meer - een opname kan via stemherkenning eenduidig aan een persoon worden gekoppeld en kan zo biometrische gegevens in de zin van art. 9 AVG worden - en is makkelijker te anonimiseren.

Welke documentatieverplichtingen heb ik bij transcriptie?

Vier zaken horen gedocumenteerd te zijn: (1) Een vermelding in het register van verwerkingsactiviteiten conform art. 30 AVG - doel, categorieën van betrokkenen en van gegevens, ontvangers (bijv. de transcriptieaanbieder), bewaartermijnen en technische en organisatorische maatregelen; de rechtsgrondslag hoort niet tot de verplichte inhoud, maar de toezichthouders raden aan die wel op te nemen. (2) Een verwerkersovereenkomst conform art. 28 AVG met de aanbieder, voor zover die toegang tot de gegevens heeft of zou kunnen hebben. (3) Het bewijs dat de betrokkenen zijn geïnformeerd (art. 13 AVG) en - als de verwerking op toestemming berust - de toestemming zelf (art. 7 lid 1 AVG). (4) Bij grootschalige verwerking van gevoelige gegevens, bijvoorbeeld gezondheidsgegevens in praktijken of onderzoeken, daarnaast een gegevensbeschermingseffectbeoordeling (DPIA) conform art. 35 AVG. De uitzondering op het verwerkingsregister voor ondernemingen met minder dan 250 werknemers (art. 30 lid 5) gaat bij regelmatige transcriptie vrijwel nooit op: die vervalt zodra de verwerking niet slechts incidenteel is of er gezondheidsgegevens in het spel zijn.

Vergadering opnemen en transcriberen: wat geldt voor toestemming en privacy?

Voor de opname zelf geldt: in vrijwel alle gevallen heb je de instemming van alle deelnemers nodig. Het niet-openbaar gesproken woord is strafrechtelijk beschermd: in Duitsland is het heimelijk opnemen op zich al strafbaar (§ 201 StGB) - ook door een gespreksdeelnemer zelf. In Oostenrijk (§ 120 StGB) is het opnemen van een gesprek waaraan je zelf deelneemt weliswaar niet strafbaar, maar het doorgeven of openbaar maken zonder instemming van de sprekers wel - en daaronder kan al het uploaden naar een transcriptiedienst vallen. Alle deelnemers moeten daarom vooraf weten dat er wordt opgenomen en de mogelijkheid hebben om in te stemmen. Privacyrechtelijk heeft de verwerking daarnaast een rechtsgrondslag conform art. 6 AVG nodig: bij externe gesprekspartners meestal toestemming (art. 6 lid 1 onder a); bij interne werkoverleggen komt een gerechtvaardigd belang (art. 6 lid 1 onder f) in aanmerking, maar dat is aanvechtbaar - toezichthouders wijzen op het schriftelijke verslag als lichter middel; toestemming blijft de veilige weg. Wees voorzichtig met toestemming van werknemers: die is alleen geldig als ze werkelijk vrijwillig is gegeven; in Duitsland en Oostenrijk worden zulke kwesties vaak geregeld in overeenkomsten met de ondernemingsraad (Betriebsvereinbarungen; § 87 lid 1 nr. 6 BetrVG resp. § 96 ArbVG). Beproefde praktijk: de opname in de uitnodiging en aan het begin aankondigen, doel, bewaartermijn en ingezette aanbieder noemen, bezwaar mogelijk maken - en de opname na de transcriptie verwijderen.

Waaraan herken ik AVG-conforme transcriptiesoftware?

Aan vijf controleerbare kenmerken: verwerking en opslag in de EU; een verwerkersovereenkomst conform art. 28 AVG; geen gebruik van je opnames voor het trainen van AI-modellen; versleuteling bij overdracht en opslag - het sterkst aan de clientzijde, zodat de aanbieder de platte tekst nooit te zien krijgt (zero-knowledge); en een verwijderfunctie die opnames en transcripten daadwerkelijk verwijdert. Daar komen toegangscontrole, logging en ondersteuning bij je gegevensbeschermingseffectbeoordeling (art. 28 lid 3 onder f AVG) bij. Een wettelijk voorgeschreven AVG-keurmerk voor software bestaat niet - conform is de verwerking, niet het product; vrijwillige certificeringen conform art. 42 AVG kunnen een indicatie zijn. Wie de genoemde punten kan aantonen, voldoet in de regel aan de eisen voor technische en organisatorische maatregelen conform art. 32 AVG - maar doorslaggevend blijft altijd het concrete risico van jouw verwerking.

Zijn Amerikaanse cloudtranscriptiediensten AVG-conform te gebruiken?

Juridisch mogelijk, maar onder voorwaarden en met een restrisico. Doorgifte van gegevens naar de VS is sinds juli 2023 toegestaan op basis van het EU-VS Data Privacy Framework, mits de aanbieder daar gecertificeerd is. Het Framework is in september 2025 door het Gerecht van de EU bevestigd; er is echter een hogere voorziening bij het Hof van Justitie van de EU aanhangig, en een uitspraak van het Amerikaanse Supreme Court van juni 2026 over de onafhankelijkheid van de FTC heeft nieuwe twijfels opgeroepen (stand augustus 2026). Zonder certificering zijn standaardcontractbepalingen plus een transfer impact assessment nodig. In elk geval geldt: een verwerkersovereenkomst sluiten, nagaan of opnames voor trainingsdoeleinden worden gebruikt, en bedenken dat de aanbieder de platte tekst van je gesprekken verwerkt. Voor gevoelige inhoud - gezondheidsgegevens, cliëntgegevens, bedrijfsgeheimen - is verwerking in de EU zonder toegang van de aanbieder tot de platte tekst de duidelijk minder risicovolle keuze.

Mogen arts- of therapiegesprekken worden getranscribeerd?

Ja, maar onder strengere voorwaarden. Gezondheidsgegevens zijn bijzondere categorieën van persoonsgegevens conform art. 9 AVG; de verwerking ervan vereist een uitzonderingsgrond uit art. 9 lid 2 - doorgaans de uitdrukkelijke toestemming (onder a) of de behandeling door een beroepsbeoefenaar met beroepsgeheim (onder h in samenhang met lid 3). Daar komt het beroepsgeheim bij (in Duitsland § 203 StGB, in Oostenrijk § 54 Ärztegesetz respectievelijk voor psychotherapeuten het Psychotherapiegesetz): een externe transcriptieaanbieder mag alleen worden ingeschakeld als die contractueel tot geheimhouding is verplicht en de toegang beperkt blijft tot het noodzakelijke. Technisch beperkt versleuteling aan de clientzijde het risico het sterkst, omdat de aanbieder de inhoud helemaal niet kan lezen. Voor grotere praktijken, klinieken en onderzoeksinstellingen is bovendien vaak een gegevensbeschermingseffectbeoordeling conform art. 35 AVG aangewezen; voor een solopraktijk is die niet verplicht, maar bij de inzet van AI-tools wel aan te raden.

Is AI-transcriptie AVG-conform?

Ja, als de verwerking de regels van de AVG naleeft - de techniek zelf is noch toegestaan noch verboden. Concreet zijn nodig: een rechtsgrondslag voor de geluidsopname en de transcriptie (art. 6, bij gezondheidsgegevens art. 9 AVG), het informeren van de betrokkenen (art. 13), een verwerkersovereenkomst met de aanbieder (art. 28), technische beschermingsmaatregelen zoals versleuteling (art. 32) en een verwijderingsbeleid (art. 5 lid 1 onder e). Beslissend is bovendien of de AI in de EU of in een derde land draait en of de aanbieder je opnames gebruikt voor het trainen van zijn modellen - over beide moet de aanbieder openheid geven. Verantwoordelijk blijft daarbij altijd de onderneming die de opname initieert en over het doel ervan beslist, niet de aanbieder van de conferentie- of transcriptietool.

Hoelang mag ik transcripten bewaren?

Zolang het doel het vereist - en niet langer dan nodig (art. 5 lid 1 onder e AVG). Wettelijke bewaartermijnen gelden alleen als het transcript zelf een bewaarplichtig document is, bijvoorbeeld als zakelijke correspondentie of boekingsstuk: in Duitsland zes jaar voor handelsbrieven, acht jaar voor boekingsstukken (sinds 2025) en tien jaar voor boeken en jaarrekeningen (§ 257 HGB, § 147 AO), in Oostenrijk zeven jaar (§ 132 BAO). Gewone vergadernotulen vallen daar meestal niet onder; hier bepaalt je verwijderingsbeleid de termijn. Aanbeveling: bewaar het transcript zolang het als werkbasis dient; anonimiseer passages met persoonsgegevens zodra ze niet meer nodig zijn; verwijder de onderliggende opname eerder dan het transcript.