Synthesia DSGVO: Trainiert Synthesia auf Kundendaten? AVV & Fakten
Trainiert Synthesia auf Kundendaten — und ist Synthesia DSGVO-konform?
Nein. Synthesia nutzt Kundendaten — Eingaben wie Ausgaben — nicht zum Vortraining seiner KI-Komponenten; Fine-Tuning auf Ihren Daten erfordert Ihre schriftliche Anweisung. Ein AVV nach Art. 28 wird bereitgestellt, und Kundendaten liegen in der EU auf AWS in Irland — eine DSGVO-konforme Konstellation ist möglich.
- Kein Training mit Kundendaten: Synthesia erklärt ausdrücklich, weder Eingaben noch Ausgaben zum Vortraining seiner KI-Komponenten zu nutzen.
- Fine-Tuning, das Kundendaten verarbeitet, erfordert Ihre schriftliche Anweisung nach dem zugrunde liegenden Vertrag.
- DSGVO-Fakten: AVV nach Art. 28 verfügbar; Kundendaten liegen in der EU auf AWS in Irland, Zweitbackups in Frankfurt.
- Der deutsche Rollout braucht weiterhin eine Rechtsgrundlagen-Prüfung und Betriebsrat-Einbindung nach §87 BetrVG, wo Mitarbeiter betroffen sind.
Nein — Synthesia trainiert nicht auf Kundendaten. In seinen AI Governance Practices erklärt Synthesia ausdrücklich, dass es Kundendaten „einschließlich Eingaben und Ausgaben nicht zum Vortraining seiner KI-Komponenten verwendet“. Und Synthesia ist für deutsche Unternehmen DSGVO-tauglich einsetzbar: Das Unternehmen stellt einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO bereit und speichert Kundendaten in der EU, auf AWS-Infrastruktur in Irland. „DSGVO-konform“ ist kein Siegel, das ein Tool besitzen kann — die Konformität hängt von Ihrer Nutzung ab —, aber die entscheidenden Fakten für einen deutschen Einsatz sind überprüfbar und stehen unten. Unsere KI-Tools-Übersicht deckt das gesamte Spektrum der KI-Video- und Medientools für den Unternehmenseinsatz in Deutschland ab.
Geprüft: Oktober 2026, aus eigenen Unterlagen von Synthesia: Customer Terms of Service (in Kraft seit 20. Juli 2026), Data-Processing-Agreement-Seite (aktualisiert am 22. Juli 2026), AI Governance Practices und Security Practices (aktualisiert am 3. Februar 2026).
Trainiert Synthesia auf Kundendaten?
Nein. Synthesia nutzt Kundendaten — weder Ihre Eingaben noch Ihre erzeugten Ausgaben — nicht zum Vortraining seiner KI-Komponenten.
Für Vendor-Prüfungen ist die Nuance wichtig. Synthesia trainiert seine Avatar-Modelle vorausschauend auf Auftritten von bezahlten Schauspielern, die das Unternehmen selbst beauftragt, auf öffentlichen Auftritten und auf lizenziertem Material — nicht auf Kundenskripten oder Kundenvideos. Jede Verarbeitung von Kundendaten, die ein Fine-Tuning von KI-Komponenten zur Folge hätte, erfordert die schriftliche Anweisung des Kunden nach dem zugrunde liegenden Vertrag. Die Customer Terms bekräftigen das: Nutzungsinformationen dürfen den Dienst verbessern, aber niemals KI-Komponenten über die in Ihrem eigenen Mandant integrierten hinaus weitertrainieren und niemals in eigenständige KI-Modelle einfließen.
Ist Synthesia DSGVO-konform für deutsche Unternehmen?
Die DSGVO zertifiziert keine Produkte — sie gilt für Ihre Verarbeitung, mit Synthesia als Auftragsverarbeiter und Ihrem Unternehmen als Verantwortlichem. Überprüfbar sind die Bausteine, die ein deutscher Einsatz braucht, und Synthesia dokumentiert sie:
| DSGVO-Fakt | Status (geprüft Oktober 2026) |
|---|---|
| Training mit Kundendaten | Nein — Eingaben und Ausgaben vom Vortraining ausgeschlossen |
| Fine-Tuning mit Kundendaten | Nur mit schriftlicher Anweisung des Kunden |
| AVV | Auftragsverarbeitungsvertrag nach Art. 28, in die Customer Terms integriert |
| Datenspeicherung | EU — AWS Irland; Zweitbackups in AWS Frankfurt |
| Drittlandübermittlungen | SCCs über AWS-DPA; Transfer Impact Assessment veröffentlicht |
| Löschung | Innerhalb von bis zu 90 Tagen nach Verlangen oder Vertragsende |
| Zertifizierungen | SOC 2 Type II, ISO 27001, ISO/IEC 42001 |
Zwei ehrliche Einschränkungen. Erstens ist der Vertragspartner für europäische Kunden die Synthesia Limited — eine Gesellschaft mit beschränkter Haftung nach britischem Recht, die unter irischem Recht kontrahiert. AVV und SCC-Regelwerk steuern die Übermittlungsmechanik; verlangt Ihre Vendor-Policy jedoch einen Auftragsverarbeiter mit Sitz in der EU, prüfen Sie diesen Punkt in der Beschaffung. Zweitens bleiben AVV-Abschluss, Rechtsgrundlage und Dokumentation der Datenkategorien Ihre Aufgaben — das passiert nicht automatisch. Die KI-Videogenerierung Compliance und die KI-Sprachassistenten Compliance erklären die konkreten AI-Act-Pflichten für synthetische Avatare und Stimmen.
EU AI Act: Ihre Rolle als Deployer
Beim EU AI Act hängen Ihre Pflichten davon ab, wie Sie Synthesia nutzen. Bei der Nutzung des Dienstes nimmt Ihr Unternehmen die Rolle des Einsatzverantwortlichen (Deployer) ein, Synthesia agiert als Anbieter. Allgemeine Produktivitäts- und Schulungsvideos fallen typischerweise unter minimales oder begrenztes Risiko; Synthesia erklärt, dass seine KI-Komponenten bei bestimmungsgemäßer Nutzung gemäß der Acceptable Use Policy nach eigenem Bekunden keine Hochrisiko-KI-Systeme sind.
Transparenz bleibt relevant: Gratis-Videos tragen standardmäßig Wasserzeichen, und zahlende Kunden können Audio- oder visuelle Hinweise einblenden — einschlägig für synthetische Medien nach Artikel 50. Sektor spezifische Anforderungen für KI-generierte Schulungs- und Unternehmensvideos behandelt der Leitfaden zur KI-Compliance in Medien und Unterhaltung.
Betriebsratsanforderungen
Beeinflusst Synthesia die Arbeit von Mitarbeitern in Deutschland, kann der Betriebsrat Mitbestimmungsrechte nach §87 BetrVG haben. Besonders relevant ist das, wenn das Tool Aktivitäten überwachen, Leistungsbewertungen beeinflussen oder Arbeitsprozesse wesentlich verändern könnte.
Binden Sie den Betriebsrat früh ein — erläutern Sie das Tool, adressieren Sie Bedenken und vereinbaren Sie angemessene Nutzungsrichtlinien.
Was das praktisch bedeutet
Für die meisten deutschen Unternehmen ist Synthesia mit ordnungsgemäßer Vorbereitung einsetzbar: AVV abschließen, bestätigen, dass das EU-Speicher-Setup Ihren Anforderungen entspricht, Rechtsgrundlage bewerten, Betriebsrat bei betroffenen Mitarbeitern einbinden, Mitarbeiter in angemessener Nutzung schulen und den Compliance-Ansatz dokumentieren.
So hilft Compound Law
- Deployment-Bewertung für Synthesia
- AVV-Prüfung und Gap-Analyse
- Betriebsratskoordination wo nötig
- Nutzungsrichtlinien-Entwicklung
- Laufende Compliance-Überwachung
Diese Seite ist eine allgemeine Information und keine Rechtsberatung — für konkrete Fälle benötigen Sie eine individuelle anwaltliche Beratung.
Häufig gestellte Fragen
Trainiert Synthesia auf Kundendaten?
Nein. In den AI Governance Practices erklärt Synthesia ausdrücklich, dass Kundendaten — einschließlich Eingaben und Ausgaben — nicht zum Vortraining seiner KI-Komponenten verwendet werden. Das Vortraining basiert auf Auftritten bezahlter Schauspieler, öffentlichen Auftritten und lizenziertem Material. Jede Verarbeitung von Kundendaten, die zu einem Fine-Tuning führt, bedarf der schriftlichen Anweisung des Kunden nach dem zugrunde liegenden Vertrag.
Ist Synthesia DSGVO-konform?
Kein KI-Tool ist als solches „DSGVO-konform“ — die DSGVO gilt für Ihre Verarbeitung, nicht für das Produkt. Die überprüfbaren Fakten für den deutschen Einsatz: Synthesia stellt einen AVV nach Art. 28 bereit, speichert Kundendaten in der EU auf AWS in Irland, trainiert nicht mit Kundendaten und weist SOC 2 Type II, ISO 27001 sowie ISO/IEC 42001-Audits aus. Ob Ihr konkreter Einsatz konform ist, hängt von Rechtsgrundlage, Datenkategorien und interner Governance ab — das bleibt eine Einzelfallprüfung.
Bietet Synthesia einen AVV an?
Ja. Synthesia veröffentlicht einen Auftragsverarbeitungsvertrag, der die Customer Terms of Service ergänzt; die Customer Terms nehmen ihn ausdrücklich in den Vertrag auf. Bei der Nutzung sind Ihr Unternehmen Verantwortlicher und Synthesia Auftragsverarbeiter nach der DSGVO. Vertragspartner für europäische Kunden ist die Synthesia Limited — eine Gesellschaft mit beschränkter Haftung nach britischem Recht — mit irischem Recht und Dublin als Gerichtsstand.
Wo werden Synthesia-Daten gespeichert?
In der EU. Laut Security Practices von Synthesia liegen Kundendaten auf AWS-Infrastruktur in Irland; operative Backups entstehen ebenfalls in Irland, Zweitbackups in der AWS-Region Frankfurt. Übermittlungen von der EU in die USA innerhalb der AWS-Dienste sind durch Standardvertragsklauseln in der AWS-DPA abgesichert; ein Transfer Impact Assessment ist veröffentlicht. Nach Löschverlangen oder Vertragsende werden Daten innerhalb von bis zu 90 Tagen gelöscht.
Brauchen wir die Zustimmung des Betriebsrats?
Möglicherweise. Beeinflusst Synthesia die Arbeit von Mitarbeitern — etwa durch Verhaltensüberwachung, Leistungsbewertung oder wesentliche Veränderungen von Arbeitsabläufen —, hat der Betriebsrat Mitbestimmungsrechte nach §87 BetrVG. Binden Sie den Betriebsrat früh ein, erläutern Sie den Anwendungsfall und vereinbaren Sie eine Nutzungsrichtlinie vor dem Rollout.
Was gilt beim EU AI Act?
Bei der Nutzung von Synthesia ist Ihr Unternehmen Einsatzverantwortlicher (Deployer), Synthesia Anbieter nach dem EU AI Act. Synthesia erklärt, dass seine KI-Komponenten bei bestimmungsgemäßer Nutzung gemäß der Acceptable Use Policy nach eigenem Bekunden keine Hochrisiko-KI-Systeme sind. Für Transparenz tragen Gratis-Videos standardmäßig Wasserzeichen; zahlende Kunden können Audio- oder visuelle Hinweise einblenden — relevant für synthetische Medien nach Artikel 50.
