Granola-Datenschutz: Meeting-Notizen sind standardmäßig f...
TL;DR: Das KI-Meeting-Tool Granola speichert Besprechungsnotizen standardmäßig so, dass jeder mit dem Link darauf zugreifen kann – trotz gegenteiliger Marketing-Aussagen. Zusätzlich werden Aufzeichnungen für KI-Training genutzt, sofern Nutzer:innen nicht aktiv widersprechen. Für Teams, die vertrauliche Meetings führen, ist das ein ernstes Problem.
Der KI-Notizblocke Granola ist bei vielen Teams beliebt: Die App integriert sich in den Kalender, transkribiert Meeting-Audio in Echtzeit und erstellt KI-Zusammenfassungen, die bearbeitet und geteilt werden können – ganz ohne störenden Bot im Meeting-Raum. Doch genau diese Sharing-Funktion birgt ein handfestes Datenschutzproblem, das Anfang April 2026 durch einen Bericht von The Verge öffentlich wurde.
Die wichtigsten Punkte
- 📅 Bekannt seit: 2. April 2026 (Bericht von The Verge)
- 🎯 Zielgruppe: Alle Teams, die Granola für Meetings einsetzen – besonders in Enterprise-Umgebungen
- 💡 Kernproblem: Geteilte Notizen sind per Default für jeden mit dem Link sichtbar – kein Passwortschutz, keine Zugriffsbeschränkung
- 🔧 Zusatzrisiko: Transkripte fließen in das interne KI-Training von Granola ein – Opt-out muss manuell aktiviert werden
Was bedeutet das für Teams und Organisationen?
Granola bewirbt sich selbst mit dem Versprechen „privat by default”. Die Realität sieht anders aus: Sobald eine Notiz geteilt wird – oder der Share-Link irgendwo landet, etwa in einer E-Mail oder einem Slack-Kanal – kann sie von jeder Person geöffnet werden, die diesen Link kennt. Es gibt standardmäßig keinen Zugriffsschutz.
Für viele Teams ist das harmlos. Für Teams, die über Personalentscheidungen, M&A-Aktivitäten, Budgets, Client-Verhandlungen oder strategische Pläne sprechen, kann das jedoch gravierende Folgen haben.
Technische Details
Wie Granola funktioniert:
- Die App transkribiert Meeting-Audio lokal auf macOS/Windows oder auf iOS nach dem Meeting mit temporär gecachtem Audio
- Transkripte werden verschlüsselt auf AWS-Infrastruktur in den USA gespeichert
- Für die KI-Zusammenfassungen werden externe Modelle genutzt (OpenAI GPT-4o, Anthropic Claude, Deepgram)
- Audio selbst wird laut Granola nicht dauerhaft gespeichert
Das Datenschutz-Problem im Detail:
- Standardeinstellung bei geteilten Notizen: „Jeder mit dem Link kann anzeigen”
- Kein automatischer Ablauf-Timer für Share-Links
- Für Nicht-Enterprise-Pläne: Notizen können für internes KI-Training verwendet werden – sofern kein aktiver Opt-out erfolgt
- Enterprise-Pläne deaktivieren das KI-Training per Default, ändern aber nichts an der Link-Sharing-Logik
Granola verfügt über eine SOC 2 Type 2-Zertifizierung (seit Juli 2025) und ist nach eigenen Angaben DSGVO-konform. Die beschriebenen Share-Defaults widersprechen jedoch dem beworbenen „privat by default”-Versprechen und erhöhen das Haftungsrisiko für Unternehmen.
Was das für Teams praktisch bedeutet
Für CTOs und IT-Verantwortliche: Wer Granola bereits im Einsatz hat, sollte unmittelbar die aktuellen Privacy-Einstellungen aller Nutzer:innen prüfen. Besonders relevant:
- Sind Share-Links auf „Nur ich” oder „Spezifische Personen” eingestellt?
- Ist das Opt-out für KI-Training aktiviert?
- Existieren interne Richtlinien, welche Meeting-Inhalte in KI-Tools fließen dürfen?
Für Tech Leads und Teams: Das Problem ist kein Einzelfall. Viele KI-Tools im Markt setzen datenschutzrelevante Defaults zugunsten von Viralität und Reichweite – nicht zugunsten von Nutzer:innen. Sharing-Features, die den Onboarding-Flow vereinfachen, sind oft dieselben, die in Datenleck-Vorfällen enden.
Lernkurve für die Organisation: Der Vorfall zeigt, dass die Einführung von KI-Tools in Teams eine neue Klasse an Governance-Fragen aufwirft, die weit über klassische IT-Security hinausgehen: Wer darf was aufzeichnen? Welche Inhalte dürfen in Cloud-KI-Systeme fließen? Welche Defaults sind akzeptabel?
Sofort-Maßnahmen und nächste Schritte
- Jetzt prüfen: Granola-Einstellungen aller Team-Mitglieder auf Share-Defaults und KI-Training-Opt-out kontrollieren
- Richtlinie definieren: Interne Policy erstellen, welche Meeting-Kategorien in KI-Notiztools fließen dürfen (z.B. 1:1s ja, Board-Meetings nein)
- Tool-Evaluation: Beim Einsatz oder der Evaluierung von KI-Meeting-Tools explizit auf Datenschutz-Defaults achten – nicht nur auf Compliance-Zertifizierungen
- Mitarbeiter:innen schulen: Teams brauchen ein Verständnis dafür, was „KI-Tool im Einsatz” datenschutztechnisch bedeutet – Bewusstsein ist der erste Schutz
- Alternative prüfen: Falls vertrauliche Meetings regelmäßig aufgezeichnet werden, lokal verarbeitende Tools evaluieren oder komplett auf Aufzeichnungen in sensiblen Kontexten verzichten
