Es beginnt fast immer gleich. Ein Podcast kommt an, und ehe man sich versieht, schießen sie wie Pilze aus dem Boden: die Kommunikation startet eine Marken-Show auf Spotify, HR legt eine Onboarding-Reihe bei einem kostenlosen Dienst ab, und eine Abteilungsleitung teilt „mal eben“ einen versteckten Link. Jeder für sich gut gemeint. Zusammen ein Compliance-Problem.
Jeder neue Kanal bringt eigene Speicherung, Zugriffsrechte und Risiken mit. IT und Security haben selten ein einziges Dashboard über alle Podcast-Aktivitäten, und genau dort entstehen die Lücken. In Behörden, Banken, Versicherungen oder im Gesundheitswesen ist das kein theoretisches Risiko, sondern ein Audit-Befund, der kommen wird.
Zuerst dies: Auch Ihr interner Podcast fällt unter die DSGVO
Ein hartnäckiger Irrtum ist, die DSGVO gehe vor allem um Cookies. Sie gilt für alle personenbezogenen Daten, und ein Podcast ist voll davon. Ein Download verknüpft eine IP-Adresse mit Hörverhalten, und die Folge selbst enthält Stimmen und Namen. Eine Stimme ist ein personenbezogenes Datum. Ein internes „Kaffeegespräch“ kann Vertrauliches offenbaren.
Zwei Folgen: Holen Sie die ausdrückliche Einwilligung aller Mitwirkenden ein (Gäste und Mitarbeitende), und akzeptieren Sie, dass auch ein rein interner Podcast unter die DSGVO fällt. So oder so bleibt Ihre Organisation verantwortlich, nicht Ihr Anbieter.
Die 7 Anforderungen
1. EU-Datenresidenz: Wo liegen Ihre Daten physisch?
Seit Schrems II ist die Übermittlung in die USA rechtlich heikel: US-Recht kann Zugriff auf Daten bei US-Anbietern gewähren, auch in Europa.
2. ISO 27001:2022: unabhängiger Nachweis
Eine extern auditierte Norm für Informationssicherheit, keine Selbsterklärung, sondern ein Zertifikat mit Geltungsbereich und Gültigkeitsdatum.
3. Ein belastbarer Auftragsverarbeitungsvertrag (AVV)
Artikel 28 DSGVO verlangt einen AVV mit jedem Verarbeiter. Ohne AVV verstoßen Sie selbst. Achten Sie auch auf sicheres Löschen alter Inhalte.
4. Bot-freie, IAB-konforme Statistiken
Ein großer Teil des rohen Download-Verkehrs sind Bots. Ungefiltert melden Sie aufgeblähte Zahlen, kein Kavaliersdelikt vor einer Geschäftsführung.
5. SSO, Rollenverwaltung und Audit-Logs
Ohne SSO und Rollen wissen Sie nicht, wer Zugriff hat, und Ausscheidende behalten ihren Login. Audit-Logs helfen, die Quelle von Vorfällen zu finden.
6. Echte Kontrolle über private Inhalte
Der größte Irrglaube: Ein versteckter Link sei sicher. Ist er nicht, er kann weitergeleitet, von Suchmaschinen indexiert oder erraten werden. Echte Kontrolle braucht Authentifizierung, idealerweise eine gebrandete App, die nicht in Verzeichnissen auftaucht.
7. Zukunftssicher: NIS2, DORA und der AI Act
Die DSGVO ist nicht das Ziel. NIS2 verschärft Sicherheitsanforderungen, DORA betrifft den Finanzsektor, und der AI Act jedes Tool mit KI-Funktionen (Transkription, Content-Generierung). Was das konkret für Ihren Betrieb bedeutet, erklärt unser Artikel dazu, was NIS2, DORA und der AI Act für Ihren Stack bedeuten.
Technik allein genügt nicht: Wer ist verantwortlich?
Die beste Plattform löst nichts ohne Steuerung. Drei Schritte:
- Verantwortliche benennenLegal, IT oder Kommunikation. Eine Eigentümerschaft.
- Tool-Audit durchführenalle Kanäle erfassen, unsichere Optionen abschaffen.
- Macher schulen, bevor sie veröffentlichendie meisten Vorfälle entstehen aus Unwissenheit.
📋 Die Checkliste (zum Aufbewahren)
- EU-Datenresidenz, Daten in der EU, Liste der Unterauftragsverarbeiter verfügbar
- ISO 27001:2022, gültiges Zertifikat, korrekter Geltungsbereich
- Auftragsverarbeitungsvertrag, Standard-AVV + sicheres Löschen
- Bot-freie Statistiken, IAB-konforme Messung
- SSO + Rollenverwaltung + Audit-Logs
- Private Inhalte, SSO-gesichert, nicht über offenes RSS
- Zukunftssicher, Haltung zu NIS2/DORA/AI Act, EU-Einheit
Häufige Fragen
Compliance wird zum Katalysator, nicht zur Bremse.
Compliance als Vorsprung, nicht als Bremse
Wer Sicherheit, Datenschutz und Zugriff von Anfang an richtig regelt, kann beruhigt skalieren. Compliance wird zum Katalysator, nicht zur Bremse: neue Podcasts starten, ohne dass jemand nachts wegen eines Datenlecks wachliegt. Besonders für Organisationen, die Podcasts in der internen Kommunikation einsetzen, lohnt sich ein Blick auf den Leitfaden zu Podcasts in der internen Kommunikation, der zeigt, wie interne Shows sicher und wirkungsvoll aufgestellt werden. Wer darüber hinaus verschiedene Enterprise-Plattformen unter die Lupe nehmen will, findet im Vergleich der Enterprise-Podcast-Plattformen eine strukturierte Entscheidungshilfe. Für einen schnellen Überblick, welche Plattform-Funktionen die EU-Compliance-Anforderungen konkret abdeckt, ist die Produktseite der richtige Einstiegspunkt.