# ElevenLabs im DSGVO-Check

> KI-Stimmen, Sprache-zu-Text und Sprachagenten für Telefon und Apps als Baukasten.

Kategorie: Telefon & Kundenservice · Anbieter: ElevenLabs · geprüft am 25.10.2026

ElevenLabs bietet Text-zu-Sprache, Spracherkennung, Dubbing und eine Plattform für Sprachagenten, die Anrufe führen oder in Apps sprechen. Es ist ein Baukasten für Entwickler und Teams, der in fertigen Telefonlösungen anderer Anbieter oft als Stimme mitläuft. Für einen datenschutzrechtlich sauberen Einsatz ist der Enterprise-Vertrag wichtig.

## Datenschutz und EU AI Act

- **Anbieter und Sitz:** Eleven Labs Inc., New York, USA (laut Datenschutzerklärung, Stand 09.10.2026, dort sitzt das Datenschutzbüro). Verantwortlicher für Nutzer im EWR ist ElevenLabs Poland sp. z o.o., Warschau. [1]
- **Serverstandort:** Standard ist laut Dokumentation die USA. Bei Enterprise-Kunden wählbar: EU, Indien oder Singapur. Einen konkreten Ort (Stadt oder Rechenzentrum) nennt ElevenLabs für die EU nicht. [2]
- **Datenhaltung in der EU:** Optional, nur Enterprise: Die Speicherung erfolgt in der gewählten Region, die Verarbeitung kann laut Dokumentation aber außerhalb stattfinden. Nur mit Zero Retention Mode und API lässt sich die Verarbeitung auf die EU beschränken. Eigene LLMs oder Webhooks nach Gesprächsende können Daten aus der Region hinausführen. [2]
- **Auftragsverarbeitungsvertrag (AVV):** Ja: Das öffentliche DPA (Stand 08.04.2026) gilt laut Text für Enterprise und Self-Serve, mit Standardvertragsklauseln (irisches Recht), Liste der Unterauftragsverarbeiter im Trust Center und 30 Tagen Vorankündigung neuer Unterauftragsverarbeiter. [3]
- **Training mit deinen Daten:** Abschaltbar bzw. vertragsabhängig: In der Datenschutzerklärung für Endnutzer ist Training auf Ein- und Ausgaben ein Zweck, das Abschalten wirkt nur für die Zukunft. Für Geschäftskunden gilt laut Erklärung der Vertrag, und das DPA enthält keine Klausel zum Training. Eine ausdrückliche Zusage „kein Training“ für Enterprise haben wir nicht gefunden. [1]
- **Zertifizierungen:** Laut ElevenLabs-Blog (16.10.2026) erneuert: ISO/IEC 27001:2022, ISO 27701:2019, ISO/IEC 42001:2023, ISO 27017 und 27018, SOC 2 Typ II, PCI DSS Level 1 und Cyber Essentials Plus. Berichte liegen im Trust Center. [4]
- **Einordnung EU AI Act:** Zwei Pflichten sind relevant. Erzeugte synthetische Audioinhalte müssen laut Art. 50 Abs. 2 AI Act maschinenlesbar gekennzeichnet werden, das ist Pflicht des Anbieters. Wer mit täuschend echten KI-Stimmen Deepfakes erzeugt, muss sie als künstlich offenlegen (Abs. 4, Pflicht des Betreibers). Setzt du ElevenLabs für einen Sprachagenten am Telefon ein, gilt zusätzlich der Hinweis auf die KI-Interaktion: Formal ist das eine Pflicht des Anbieters. Als Betreiber solltest du sicherstellen, dass der Hinweis erfolgt: zu Beginn des Gesprächs und bei längeren Gesprächen auch zwischendurch. [5]

**Datenschutz-Ampel: Grau.** Ein öffentliches DPA und EU-Datenresidenz gibt es, aber nur im Enterprise-Tarif, und die Verarbeitung kann trotzdem außerhalb der EU stattfinden. In nicht-geschäftlichen Konten ist Training standardmäßig an.

## Quellen

1. [ElevenLabs, Datenschutzerklärung (Stand 09.10.2026)](https://elevenlabs.io/privacy-policy)
2. [ElevenLabs Dokumentation, Data residency](https://elevenlabs.io/docs/overview/administration/data-residency)
3. [ElevenLabs, Data Processing Addendum (Stand 08.04.2026)](https://elevenlabs.io/dpa)
4. [ElevenLabs, Blog: certification renewals (16.10.2026)](https://elevenlabs.io/blog/certification-renewals)
5. [AI Act, Artikel 50 (Transparenzpflichten)](https://artificialintelligenceact.eu/article/50/)
6. [ElevenLabs, Blog: European data residency (02.05.2025)](https://elevenlabs.io/blog/introducing-european-data-residency)