KugelAudio

KugelAudio ist eine Plattform für Echtzeit-Sprachsynthese, entwickelt in Berlin von der KugelAudio GmbH, die Kajo Kratzenstein und Viktor Presber im August 2025 gegründet haben und die zum Spring-2026-Jahrgang von Y Combinator gehört. Die API streamt Sprache über REST und WebSocket in 39 Sprachen, mit Voice Cloning, Geschwindigkeitssteuerung, Pausen-Tokens, IPA-Notation, Aussprachewörterbüchern und Zeitstempeln auf Wortebene; dazu kommen SDKs für Python, JavaScript und Java sowie Integrationen für Pipecat und LiveKit. Zwei gehostete Modelle werden pro erzeugter Minute berechnet und sekundengenau abgerechnet: kugel-2-turbo für 0,035 € und kugel-3 für 0,07 € pro Minute zzgl. MwSt., mit einem kostenlosen Einstieg ohne Kreditkarte. Enterprise-Verträge bieten dedizierte Kapazität und den Betrieb vor Ort. Ein früheres Modell, kugelaudio-0-open, steht auf Hugging Face unter der MIT-Lizenz; es baut auf Microsofts offenem VibeVoice-Modell auf und wurde mit Rechenleistung des KI-Servicezentrums am HPI trainiert, das vom Bundesforschungsministerium gefördert wird.

Die Vertragsunterlagen sind vollständiger als bei vielen deutlich größeren Anbietern. Es gibt zwei öffentliche AVVs, eine EU- und eine Global-Variante, beide vom 19. August 2026 und ohne Login lesbar, jeweils mit eigenem Unterauftragsverarbeiter-Register im Trust Center. Organisationen, die im EU/EWR angelegt werden, erhalten standardmäßig den EU-AVV, den der Anbieter als „EU Sovereign Cloud“ vermarktet. Gemeint ist damit eine eigene Vertragsvariante von KugelAudio und kein Sovereign-Cloud-Produkt eines Hyperscalers: Sprachinhalte werden bei Verda (Finnland), Hetzner, Nebius, Contabo, OVHcloud und Scaleway verarbeitet, Stimmreferenzen liegen im Object Storage von Hetzner und Scaleway, Text und Audio bleiben nach einer Zero-Data-Retention-Klausel nur im Arbeitsspeicher, und AWS, Google Cloud, Microsoft Azure und Lambda sind ausgeschlossen. Diese vier tauchen nur im Global-AVV für Kunden außerhalb des EU/EWR auf, festgelegt auf EU-Regionen. Bei der Prüfung am 2. Oktober 2026 antwortete die öffentliche API von Hetzner- und Verda-Servern in Finnland, TLS endete direkt auf der eigenen Ingress-Infrastruktur, ohne vorgeschaltetes CDN, also so, wie der AVV es beschreibt. Das ist eine Momentaufnahme: Der EU-AVV nennt Verarbeitungsregionen in Deutschland, Frankreich, den Niederlanden, Polen und Finnland und erlaubt, Workloads zwischen den gelisteten Anbietern zu verschieben. Das hier eingetragene Hosting-Land ist also der Ort, an dem die API beobachtet wurde, keine vertragliche Festlegung auf ein Land. Zwei Einträge im EU-Register verdienen einen zweiten Blick: Contabo ist ein deutsches Unternehmen, das seit 2022 mehrheitlich dem US-Finanzinvestor KKR gehört, und Supabase, wo Konto- und Abrechnungsdaten liegen, wird über eine Gesellschaft in Singapur beauftragt. Die Datenschutzerklärung, nicht das Register, nennt außerdem US-eigene Dienste, die Konto- und Supportdaten berühren, aber keine Sprachinhalte: Intercom für den Messenger im Produkt, PostHog für Produktanalyse und Sitzungsaufzeichnung, Google sowie Vercel, dazu Stripe für Zahlungen, das der AVV als eigenständigen Verantwortlichen und nicht als Unterauftragsverarbeiter behandelt. Die Tabelle unten führt beide Quellen zusammen und kennzeichnet sie.

Ausschlaggebend ist die Eigentümerschaft. Laut der im April 2026 beim Handelsregister Berlin eingereichten Gesellschafterliste hält KugelAudio Inc., eine Corporation aus Delaware mit Anschrift in San Francisco, sämtliche Anteile an der KugelAudio GmbH; das ist die übliche Struktur bei Y-Combinator-Unternehmen. Die deutsche GmbH ist Vertragspartnerin und Auftragsverarbeiterin, aber eine deutsche Betriebsgesellschaft im vollständigen Eigentum einer US-Muttergesellschaft. Die Eigentümerschaft wird deshalb als EU-Tochter, US-Mutter geführt, und das CLOUD-Act-Risiko als Erheblich, eine redaktionelle Risikostufe und keine Feststellung, dass eine bestimmte US-Herausgabepflicht greift. Die Lesart stützt sich auf das gesetzliche Weisungs- und Abberufungsrecht der Alleingesellschafterin gegenüber der Geschäftsführung der GmbH und auf den Maßstab „possession, custody or control“ des CLOUD Act; sie würde sich ändern, wenn der Anbieter eine strukturelle oder vertragliche Maßnahme veröffentlicht, die diese Rechte in Bezug auf Kundendaten ausschließt. Über genau diese Struktur hat bisher kein Gericht entschieden, und wegen der Zero-Data-Retention-Klausel könnte eine US-Anordnung realistisch Konto-, Abrechnungs- und Nutzungsdaten erreichen, nicht Sprachinhalte. Die Kette aus EU-ansässigen Anbietern beantwortet die Frage, wer die GPUs betreibt; die Muttergesellschaft ist eine eigene Frage, und das Verzeichnis bewertet jeden EU-Betreiber mit US-Mutter nach demselben Maßstab. Eine Sicherheitszertifizierung gibt es noch nicht; der AVV nennt ISO 27001 oder SOC 2 Type II als Ziel. Am besten geeignet für Teams, die Voice-Agents in europäischen Sprachen bauen, eine Infrastrukturkette aus EU-ansässigen Anbietern für Sprachinhalte schätzen und mit einer US-Muttergesellschaft arbeiten können. Wer in der Beschaffung eine US-Mutter ausschließen muss, betreibt das MIT-Modell selbst auf EU-GPU-Infrastruktur oder spricht den Anbieter auf den Betrieb vor Ort an, bei dem die Inhalte im eigenen Netz bleiben können, abhängig davon, wie Hosting, Zugriff und Support tatsächlich eingerichtet sind.