GDPR-compliant videokonferencer (2026): hvad der egentlig kræves (og et alternativ til Zoom, der oversætter)

"GDPR-compliant" på en videoplatforms forside er næsten uden indhold. GDPR er ikke en certificering, man består. Det er et sæt forpligtelser for dig som dataansvarlig, som en leverandør enten hjælper dig med at opfylde eller i stilhed efterlader på dit skrivebord. Det nyttige spørgsmål er ikke "er dette værktøj GDPR-compliant?" Det er "hvad gør dette værktøj mig ansvarlig for, og hvor ender mine mødedata egentlig?"

🔒 Opdatering – vi gjorde det mod os selv. Siden dette indlæg blev udgivet, har vi kørt InterMINDs egen kodebase igennem hele tjeklisten nedenfor og lukket alle punkter: sletning, opbevaring, EU-kørsel og underdatabehandlere. Det er verificeret mod koden og ikke blot påstået på en side. → Læs afslutningen på auditten, punkt for punkt.

Dette indlæg er den jordnære version af det spørgsmål: den tjekliste, en DPO faktisk arbejder efter, hvor Zoom står på den (retfærdigt, for Zoom er mere compliance-egnet, end internettet antyder), og hvor et alternativ med EU-kørsel ændrer svaret. Vil du have den bredere ramme for, hvordan møder i realtid bør fungere, så er det hovedguiden. Dette indlæg handler specifikt om databeskyttelseslaget.

Tjeklisten i klart sprog

Fjern marketingen, og "GDPR-compliant videokonference" kommer ned på syv ting, du faktisk kan verificere:

1. En underskrevet DPA. En databehandleraftale, der udpeger leverandøren som din databehandler, med dokumenterede formål og instrukser. Ingen DPA, ingen lovlig behandling – punktum.
2. En reel liste over underdatabehandlere. Alle tredjeparter, der rører mødedata (transskription, lagring, e-mail, analyse, AI-funktioner), nævnt ved navn, med hvad de gør, og hvor de har hjemsted.
3. Hvor data behandles under kørsel. Den fysiske region, hvor din lyd, dine transskriptioner, optagelser og metadata håndteres. Det er det, de fleste klausuler om dataresidens reelt handler om.
4. Mekanismen for internationale overførsler. Hvis data forlader EØS, på hvilket retsgrundlag? Standardkontraktbestemmelser (SCC), en tilstrækkelighedsafgørelse eller en residens-opsætning, der helt undgår overførslen. Det er Schrems II-spørgsmålet, og det forsvinder ikke, fordi en forside siger "compliant".
5. Sikkerhed, du kan auditere. ISO 27001, ISO 27701, SOC 2: uafhængige attesteringer, ikke egenerklæringer.
6. Værktøjer til de registreredes rettigheder. Kan du reelt efterkomme anmodninger om indsigt, sletning og dataportabilitet for mødedata, eller kun i teorien?
7. Opbevaring og sletning, du styrer. Optagelser, transskriptioner og AI-opsummeringer slettes efter din tidsplan og ikke leverandørens standard.

Et værktøj er først "GDPR-compliant" til dit formål, når alle syv har konkrete svar. De fleste forsider besvarer nul af dem.

Hvor Zoom egentlig står (retfærdigt)

Zoom er mere GDPR-egnet, end dets ry antyder, og det er værd at være præcis om, i stedet for at score billige point:

• Zoom udgiver en global DPA med de EU-standardkontraktbestemmelser fra 2021 indbygget.
• Zoom tilbyder EU Data Residency ("Zoom EU Infrastructure") til Enterprise- og Education-kunder, der dækker Meetings, Webinar, Chat, Phone og Contact Center.
• Zoom har ISO 27001 og fra februar 2026 ISO 27701 (privatlivsudvidelsen), plus offentliggjorte suverænitetskontroller for den offentlige sektor i EU.

En korrekt konfigureret Zoom-installation på det rette abonnementsniveau kan altså opfylde det meste af tjeklisten. De ærlige forbehold handler om standardindstillinger og hjemsted, ikke om formåen:

• EU-residens er et tilkøb afhængigt af abonnement og konfiguration, ikke standard. Det findes på Enterprise/Education og skal slås til. Den gratis udgave og de lavere betalte niveauer får det ikke. "Vi bruger Zoom" og "vi bruger Zoom konfigureret til EU-residens" er to forskellige indkøbsfakta.
• Zoom er et selskab med hjemsted i USA. Selv med SCC og EU-residens indgår leverandørens juridiske hjemsted i CLOUD-Act- og suverænitetsvurderinger. Med hensyn til almindelig GDPR kan det håndteres med SCC. Ved fransk souveraineté numérique eller indkøb på SecNumCloud-niveau er selskabets hjemsted i sig selv et kriterium, og det er en sværere samtale.
• Mødet foregår stadig på ét sprog. Zooms oversatte undertekster og AI Companion hjælper, men rummet bliver ikke reelt flersproget, hvor hver deltager hører mødet live på sit eget sprog. Hvis jeres compliance-problem også er et sprogproblem (grænseoverskridende audits, CAPA-gennemgange på flere lokationer), er det hul uløst, uanset hvor data ligger.

Kort sagt: Zoom kan være GDPR-compliant, når det er sat op til det. Om det er tilstrækkeligt, afhænger af, hvor suverænitetsfølsom din køber er, og af om møderne er flersprogede.

Hvor InterMIND står på tjeklisten

InterMIND er et rum, en vært giver sit team og sine kunder, hver på deres eget sprog: møder, chat, filer og opsummeringen. Tjeklisten ovenfor er besvaret som standard og ikke gennem et konfigurationsprojekt. Den del, der er strukturel og ikke blot lovet, er hvor mødet kører: én linje til DPO'en, verificeret mod den live-driftede løsning:

• Hvert led i kørslen er i EU. App og server-API'er på Vercel i Frankfurt (fra1), mødets WebSocket-server på Fly i Paris (cdg), applikationsdata i Neon Postgres på AWS Frankfurt (eu-central-1), optagelser på Tigris, som kan låses til EU, fejl- og analysedata på Sentry EU og PostHog EU, og transaktionelle e-mails via Resend i Irland.
• Oversættelsesmotoren er vores egen kode, i Frankrig (OVH), ikke en amerikansk generel model, vi videresælger. Den største enkeltstrøm af mødeindhold bliver i EU og rører aldrig en tredjeparts LLM. Dokumentoversættelse går til DeepL i Køln, også et EU-selskab.
• Listen over underdatabehandlere med oplysninger om selskabernes hjemsted følger med DPA'en som standard og ikke først på forespørgsel.

Mødeindhold går til én AI-gateway i EU, og organisationen vælger den selv. Alt, der udledes af et møde og kræver en sprogmodel, kører på den AI-gateway, jeres organisation vælger. Det gælder den AI-baserede opsummering efter mødet (emner, beslutninger, handlingspunkter), dokumentopsummeringer, AI-notaternes generative handlinger (ret, udvid, forenkl) og Ask AI. Som standard er det Azure OpenAI i EU Data Zone, og efter valg Vertex AI på det multiregionale EU-endpoint eller Amazon Bedrock i Frankfurt, hver i vores eget tenant med nul dataopbevaring og uden træning på kundeindhold, eller jeres eget OpenAI-kompatible endpoint. Opsummeringen efter mødet og editorens oversæt-handling går gennem oversættelsesleddet og ikke gennem sprogmodellen. Leverandørerne bag de hostede gateways er amerikanske selskaber, der driver EU-regioner. Det står klart på tillidssiden og er ikke skjult. Selskabets hjemsted er det kriterium, som indkøb på suverænitetsniveau lægger oven i GDPR, og det gælder dette led på præcis samme måde som for Zoom ovenfor. Det fulde overblik leverandør for leverandør findes i Hvor ét InterMIND-møde faktisk kører, og perspektivet bygge-eller-købe findes i Hvad ét InterMIND-møde er bygget af.

Én ting hævder vi ikke: vi vil ikke vifte med et ISO-certifikat, vi endnu ikke har. Vores svar på tjeklisten er arkitektonisk (EU-kørsel, egen motor, gennemsigtige underdatabehandlere, en reel DPA), og vi vil hellere have, at du verificerer det, end at du stoler på et badge. Certificeringer står på køreplanen, men kørslen er reel i dag. Vi kørte vores egen kodebase igennem netop denne tjekliste og lukkede hvert punkt mod koden: afslutningsrapporten, punkt for punkt.

Og det, Zoom-indstillinger for residens ikke kan tilføje: mødet er flersprognet fra grunden. Hver deltager er live på sit eget sprog på tværs af 23 sprog, med tale, chat og noter, og oversættelseskvaliteten er offentliggjort åbent i stedet for blot at være påstået. Hvordan det virker, står i hovedguiden, og brugen i regulerede møder står i flersprogede compliance-møder.

Tjeklisten som tabel

De syv punkter holdt op mod de to værktøjer, dette indlæg behandler i detaljer. Cellerne angiver kun, hvad hver leverandør dokumenterer (Zoom-links findes under Kilder nedenfor, og InterMINDs påstande er verificeret linje for linje i afslutningen på auditten og kørselskortet). For enhver anden leverandør: få dem til skriftligt at besvare venstre kolonne.

FAQ

Er Zoom GDPR-compliant? Det kan være det, på det rette abonnementsniveau og med den rette konfiguration: Zoom udgiver en global DPA med EU SCC fra 2021, tilbyder EU Data Residency til Enterprise- og Education-kunder og har ISO 27001 samt (siden februar 2026) ISO 27701. De ærlige forbehold: EU-residens er et tilkøb afhængigt af abonnement og konfiguration og ikke standard, og Zoom er fortsat et selskab med hjemsted i USA. Det kan håndteres under almindelig GDPR med SCC, men er et reelt kriterium ved indkøb på suverænitetsniveau.

Hvad gør et videokonferenceværktøj GDPR-compliant? Syv verificerbare ting, ikke et badge på forsiden: en underskrevet DPA, en reel liste over underdatabehandlere, en dokumenteret kørselsregion, en lovlig mekanisme for internationale overførsler, uafhængigt auditeret sikkerhed, fungerende værktøjer til de registreredes rettigheder og opbevaring, du styrer. En leverandør er compliant til dit formål, når alle syv har konkrete svar skriftligt.

Kræver GDPR, at videomøder bliver i EU? Nej. GDPR kræver en lovlig overførselsmekanisme (SCC, tilstrækkelighed), når data forlader EØS, ikke residens som sådan. Residens har betydning, fordi den helt fjerner overførselsspørgsmålet: analysen efter Schrems II bliver kort, når data aldrig forlader området. Det er forskellen på "compliant med papirarbejde" og "intet at dække over".

Hvilke videokonferenceværktøjer kører udelukkende i EU? Bed enhver leverandør om deres kørselskort: region pr. led (app, API'er, mødemedier, database, optagelser, analyse, e-mail, AI-funktioner). InterMIND offentliggør netop det (hvert led, leverandør for leverandør): Vercel Frankfurt, Fly Paris, Neon Frankfurt, oversættelsesmotor hos OVH i Frankrig, AI-funktioner på den gateway, organisationen vælger, i en EU-region (Azure OpenAI EU Data Zone som standard). Uanset hvilket værktøj du vurderer, er kortet, og ikke marketingsiden, svaret.

Hvilken vært dette svarer til

Ejeren eller lederen af en organisation på 10–200 personer, hvis team eller kunder taler et andet sprog, og som allerede bruger Teams eller Workspace og sætter rummet op uden en IT-afdeling. For den vært er tjeklisten besvaret som standard, og samtalen med DPO'en bliver kort. Resten af beslutningen er, om selve mødet foregår på hvert medlems eget sprog. Offentlige indkøb på suverænitetsniveau, hvor leverandørens hjemsted i sig selv er en del af kravspecifikationen, er en anden samtale, og det siger vi i stedet for at overdrive.

Prøv det, og læs så datakortet

• Prøv live-demoen: hør den flersprogede pipeline live på et rigtigt møde, og mærk, hvordan "EU-kørsel og flersproget" egentlig føles. Ingen tilmelding nødvendig.
• InterMIND vs. Zoom: funktion for funktion, helt ærligt.
• Hvor ét InterMIND-møde faktisk kører: det fulde leverandørkort, med hullet.

"GDPR-compliant videokonference" er en tjekliste og ikke et badge. Uanset hvilket værktøj du vælger, vores eller et andet, så få leverandøren til at besvare alle syv spørgsmål skriftligt. De, der kan, er din tid værd, og de, der ikke kan, sælger dig en forside.

— Mind.com-teamet

Kilder om Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, tjekket august 2026. Leverandørers tilbud og abonnementsniveauer ændrer sig; verificér den aktuelle konfiguration mod Zooms trust-sider. Fakta om InterMINDs kørsel er verificeret mod den live-driftede løsning som beskrevet i det linkede indlæg om datakortet.