DSGVO-konformer Messenger für Unternehmen (2026): was die Anbieter tatsächlich dokumentieren
»Welcher Messenger ist DSGVO-konform?« ist eine Frage, auf die kein Anbieter ehrlich mit »wir« antworten kann. Die DSGVO legt Pflichten auf Sie als Verantwortlichen: Sie brauchen einen Auftragsverarbeitungsvertrag (Art. 28), Sie müssen wissen, wo die Daten liegen und ob sie in ein Drittland gehen, Sie müssen Löschung und Auskunft leisten können. Ein Messenger kann diese Pflichten erfüllbar machen — oder nicht. Mehr sagt kein Badge auf einer Startseite.
Dieser Leitfaden macht deshalb etwas anderes als die üblichen Listen: Er nimmt sechs Prüfpunkte, die ein Datenschutzbeauftragter ohnehin abfragt, und legt sie an zwölf Dienste an — die Consumer-Messenger, die in Unternehmen faktisch laufen (WhatsApp, Signal, Telegram), die Business-Messenger aus der Schweiz und Deutschland (Threema Work, Teamwire, Wire, Stackfield), die selbst gehosteten Plattformen (Element, Mattermost, Rocket.Chat) und die beiden Bundles (Microsoft Teams, Slack). Zum Schluss InterMIND, das wir selbst bauen — nach denselben Kriterien und mit derselben Quellenpflicht. Jede Angabe stammt aus der öffentlichen Dokumentation des jeweiligen Anbieters, geprüft im August 2026, verlinkt am Ende.
Ein siebter Punkt kommt hinzu, der in DSGVO-Listen nie steht und in internationalen Teams jeden Tag zählt: In welcher Sprache liest jedes Mitglied den Kanal? Ein Messenger, der Nachrichten nur im Original speichert, verlagert die Übersetzung auf den Einzelnen — und auf Dienste, die dann wieder Daten verarbeiten.
Die sechs Prüfpunkte
Die Auswahlkriterien des Bundesbeauftragten für den Datenschutz (BfDI) für Messenger-Dienste sind der brauchbarste öffentliche Maßstab. Sie definieren Ende-zu-Ende-Verschlüsselung als Nachrichten, die »auf dem Gerät des Absenders verschlüsselt und erst auf dem Gerät des Empfängers wieder entschlüsselt« werden, und nennen als Datenschutzeinstellungen unter anderem den Telefonbuch-Zugriff, die Sichtbarkeit von Profilinformationen, Lesebestätigungen, Nutzungsanalyse und Fehlerdatenanalyse sowie eine Kontolöschung, bei der die Daten »umgehend gelöscht« werden. Für den Unternehmenseinsatz kommen die Pflichten aus Art. 28 hinzu. Zusammen ergibt das:
- AV-Vertrag. Bietet der Anbieter einen Auftragsverarbeitungsvertrag an — und steht das in seiner Dokumentation?
- Sitz und Serverstandort. Welche Gesellschaft ist Vertragspartner, wo liegen die Daten, und gibt es einen Drittlandtransfer?
- Verschlüsselung. Ende-zu-Ende, oder Transport- und Server-Verschlüsselung? Beides ist legitim — es muss nur benannt sein.
- Metadaten und Adressbuch. Wird das Adressbuch hochgeladen? Welche Nutzungs- und Gerätedaten fallen an, und mit wem werden sie geteilt?
- Löschung und Aufbewahrung. Wo liegt die Historie, wer löscht sie, und was passiert beim Austritt eines Mitarbeiters?
- Unterauftragsverarbeiter. Sind sie veröffentlicht — inklusive der Dienste, die für KI-Funktionen und Übersetzung eingesetzt werden?
Plus der siebte: Sprache pro Mitglied.
Die Consumer-Messenger im Unternehmen
WhatsApp (und die WhatsApp Business App)
- Vertragspartner: Für den EWR »WhatsApp Ireland Limited«.
- Verschlüsselung und Speicherung: Nachrichten sind Ende-zu-Ende verschlüsselt; »we do not retain your messages in the ordinary course of providing our Services to you. Once your messages are delivered, they are deleted from our servers.« Die Historie liegt also auf den Geräten und in den Backups der Mitarbeiter.
- Metadaten: Erhoben werden »information about your usage of our Services«, Gerätedaten (»hardware model, operating system information, battery level, signal strength«) und, optional, das Adressbuch (»contact upload … from your device address book on a regular basis«). Die Daten werden mit »Meta Companies in the United States and Ireland« geteilt und »globally« übermittelt.
- AV-Vertrag: Die Datenschutzrichtlinie der App nennt keinen Auftragsverarbeitungsvertrag für Unternehmen (geprüft August 2026). Die Business App ist laut Anbieter »built with the small business owner in mind«.
- Sprache: Seit September 2025 lassen sich Nachrichten per Long-Press übersetzen — auf dem Gerät (»translations occur on your device where WhatsApp cannot see them«); Android kann ganze Chats automatisch übersetzen (sechs Sprachen zum Start), iPhone nutzt Apples Übersetzung mit 19+ Sprachen. Sprachnachrichten und Anrufe sind nicht Teil der Ankündigung.
Signal
- Vertragspartner: Signal Messenger LLC, Mountain View, Kalifornien — eine gemeinnützige Organisation.
- Verschlüsselung: »Signal cannot decrypt or otherwise access the content of your messages or calls.«
- Metadaten: Registrierung mit Telefonnummer; technische Daten sind laut Anbieter auf »the minimum required to operate the Services« begrenzt.
- AV-Vertrag: In den Rechtsdokumenten von Signal ist kein Auftragsverarbeitungsvertrag dokumentiert (geprüft August 2026).
- Sprache: Keine Übersetzungsfunktion dokumentiert.
Telegram
- Vertragspartner und Standort: »Telegram Messenger Inc.«, mit »Telegram FZ-LLC, a group member located in Dubai«; für Nutzer im EU/EWR gilt: »your data is stored in data centers in the Netherlands«. EU-Vertreter nach DSGVO ist die European Data Protection Office (EDPO) in Brüssel.
- Verschlüsselung: Cloud-Chats sind serverseitig verschlüsselt — »all data is stored heavily encrypted and the encryption keys in each case are stored in several other data centers in different jurisdictions« —, nur Geheime Chats sind Ende-zu-Ende: »Secret chats use end-to-end encryption.«
- AV-Vertrag: In der Datenschutzrichtlinie nicht dokumentiert (geprüft August 2026).
- Sprache: »All users can translate individual messages«; Premium-Nutzer »can translate entire chats, groups and channels in real time by tapping the Translate bar at the top«.
Alle drei sind Werkzeuge, mit denen Teams tatsächlich arbeiten. Was sie gemeinsam haben: Die Historie gehört dem Gerät oder der Cloud des Anbieters, nicht dem Unternehmen — und der AV-Vertrag, den Art. 28 verlangt, steht in keiner der drei Dokumentationen.
Business-Messenger aus der Schweiz und Deutschland
Threema Work
- Standort: Schweiz. Der Anbieter verweist darauf, dass »eine Datenübermittlung aus der EU in die Schweiz … ohne Überprüfung rechtlich zulässig« ist.
- Metadaten: »Threema Work setzt keine Angabe personenbezogener Daten (wie z.B. Handynummer oder E-Mail-Adresse) voraus« und »kann ohne Zugriff auf das Adressbuch genutzt werden«.
- AV-Vertrag: Laut Anbieter »erfüllt Threema Work die Anforderungen an eine datenschutzkonforme Auftragsbearbeitung gemäss der europäischen Datenschutz-Grundverordnung (DSGVO) und des Schweizer Datenschutzgesetzes (DSG)«.
- Test: »30 Tage, 30 Nutzer. Keine automatische Verlängerung.« Preise pro Nutzer nennt die Seite nicht.
- Sprache: Keine Übersetzungsfunktion dokumentiert.
Teamwire
- Standort: »deutsche Public Cloud (IONOS, C5-zertifiziert)«, »dedizierte Private Cloud« oder »vollständiges On-Premise-Hosting«; »Hosting in Deutschland statt USA«, »keine Speicherung außerhalb der EU«.
- Zertifizierungen: »ISO-27001-, BSI-C5-, TÜV-zertifiziert«; genannt werden EU DSGVO, BDSG, BSI IT-Grundschutz, NIS-2, DORA, CER.
- Metadaten: »Kein Adressbuchzugriff« und »keine Analyse der Kommunikation«.
- DSGVO: Der Anbieter bezeichnet sich als »100 % DSGVO-konform« — eine Eigenangabe, die der AV-Vertrag im Einzelfall einlösen muss. Preise nennt die Seite nicht.
- Sprache: Keine Übersetzungsfunktion dokumentiert.
Wire
- Standort: »Cloud, On-Premises oder Hybrid«.
- Verschlüsselung: MLS-Protokoll; »Nachrichten, Dateien und Anrufe sind standardmäßig vollständig E2EE«; Videoanrufe »mit bis zu 200 Teilnehmern«, jede Sitzung Ende-zu-Ende verschlüsselt.
- Zertifizierungen: ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
- DSGVO: »Vollständig konform mit strengen Datenschutzbestimmungen, einschließlich GDPR« (Eigenangabe). Preise pro Nutzer nennt die Seite nicht.
- Sprache: Keine Übersetzungsfunktion dokumentiert.
Stackfield
- Standort: »Die gesamte Datenverarbeitung beschränkt sich auf die EU, und die Daten selbst liegen ausschließlich in deutschen Rechenzentren«; das Unternehmen unterliegt »ausschließlich der Gerichtsbarkeit Deutschlands und der EU«.
- Verschlüsselung: »echte Ende-zu-Ende Verschlüsselung« für Nachrichten, Dateien und Aufgaben.
- Zertifizierungen: ISO 27001, BSI C5.
- Meetings: Audio- und Videokonferenzen enthalten.
- Sprache: Keine Übersetzungsfunktion dokumentiert.
Die vier beantworten die Standort- und Verschlüsselungsfrage so klar, wie es ein Anbieter kann. Was keiner von ihnen dokumentiert: eine Übersetzung, mit der ein polnischer, ein portugiesischer und ein deutscher Kollege denselben Kanal in ihrer jeweiligen Sprache lesen.
Selbst gehostete Plattformen
Element (Matrix)
- Verschlüsselung: »The entire platform is end-to-end encrypted by default« — einschließlich Element Call für Sprach- und Videoanrufe.
- Betrieb: Community kostenlos, selbst gehostet; Enterprise pro Nutzer und Monat, selbst gehostet; Sovereign pro Installation, air-gapped.
- Sprache: Keine Übersetzungsfunktion dokumentiert — bei Ende-zu-Ende-Verschlüsselung gibt es serverseitig auch keinen Ort dafür.
Mattermost
- Betrieb: Professional und Enterprise als selbst gehostete Jahreslizenzen, Preise auf Anfrage; Mattermost Cloud Enterprise als Single-Tenant-Angebot.
- Sprache: Automatische Kanalübersetzung (Beta, seit v11.5) auf Enterprise Advanced: Backend ist »LibreTranslate: a self-hosted, open-source machine translation engine« oder »Agents: uses the Mattermost Agents plugin with a configured LLM backend«; die Zielsprache eines Nutzers »is determined by their Mattermost display language«. Die Übersetzung läuft auf Ihrem Server.
Rocket.Chat
- Betrieb: Der Starter-Plan ist kostenlos, »self-managed, self-hosted«, »for technical evaluation or small teams of up to 50 users«; bezahlte Pläne sind Commercial, Government und Defense — On-Premises, Private Cloud oder air-gapped, Preise auf Anfrage.
- Sprache: Auto-Translate pro Raum — »each user receives translations based on their own selected language« — über DeepL, Google Translate, Microsoft Translator oder LibreTranslate, mit API-Schlüssel, den der Administrator hinterlegt. Der Nachrichtentext geht damit an den gewählten Anbieter — außer bei LibreTranslate auf eigenem Host.
Nextcloud Talk gehört in dieselbe Gruppe: »a fully self hosted, on-premises audio/video and chat communication service«, mit Live-Transkription und Übersetzung auf eigener Hardware (Details im Vergleich der Team-Kommunikationstools).
Die Bundles: Microsoft Teams und Slack
Microsoft Teams
- AV-Vertrag: »When you subscribe to a Product under the terms of the Product Terms site, the data processing and security terms are defined in Microsoft Online Services Data Protection Addendum (DPA).«
- Standort: Teams-Daten liegen »in the geographic region associated with your Microsoft 365 or Office 365 organization«; Länder-Residenz (Deutschland, Frankreich, Italien, Norwegen, Polen, Schweden, Schweiz u. a.) gilt »for new tenants only«, bestehende EU-Tenants bleiben in der Region EMEA. Die EU Data Boundary verpflichtet Microsoft, Customer Data für Microsoft 365 innerhalb EU/EFTA zu speichern und zu verarbeiten — »subject to limited circumstances« mit dokumentierten Ausnahmen; Kunden mit Multi-Geo sind nicht im Geltungsbereich.
- Sprache: Chat- und Kanalnachrichten werden auf Wunsch oder automatisch übersetzt (»Teams can automatically translate received messages«), 100+ Sprachen, ohne genannte Lizenz; in Meetings brauchen übersetzte Untertitel eine Teams-Premium- oder Copilot-Lizenz des Organisators, der Interpreter-Agent (10 Sprachen) eine Copilot-Lizenz pro Zuhörer mit 20 Stunden pro Monat. Details: Live-Übersetzung in Teams.
Slack
- AV-Vertrag: »Slack offers a Data Processing Addendum that supplements the Customer Terms of Service« — er wird per Formular abgeschlossen, nicht automatisch einbezogen.
- Standort: Datenresidenz ab Business+: Frankfurt, Paris, Stockholm, Zürich, London. Abgedeckt sind Nachrichten, Canvases, Dateien und der Suchindex; nicht abgedeckt Mitgliederprofile und Nutzungsanalysen. Der Free-Plan behält 90 Tage Nachrichtenverlauf.
- Sprache: »Translate message« ab Business+ und Enterprise+, auf Anfrage pro Nachricht; »translations are only visible to you, so other people will always see the original message.«
InterMIND
Wir bauen einen Kommunikationsraum, in dem jedes Mitglied Meetings, Chat, Dokumente und deren Historie in der eigenen Sprache liest — und legen ihn an dieselben sieben Punkte an:
- AV-Vertrag: wird pro Kunde geschlossen — Art.-28-Bedingungen mit 30-tägiger Ankündigung neuer Unterauftragsverarbeiter und 72-Stunden-Frist bei Datenpannen; eine unterschriebene Fassung gibt es auf Anfrage für die Beschaffung (/legal/dpa).
- Sitz und Standort: Betreiber ist eine estnische OÜ; die Laufzeit liegt in der EU an jedem Punkt — Sprach- und Chatübersetzung auf unserer eigenen Engine auf dedizierten Servern in Frankreich, Meeting-Orchestrierung in Paris, Datenbank in Frankfurt, Speicher und Analytik EU-resident. Die Karte, Anbieter für Anbieter: wo ein InterMIND-Meeting tatsächlich läuft.
- Verschlüsselung: Transportverschlüsselung — Audio und Video über DTLS/SRTP, Chat und Dateien über HTTPS/WSS und verschlüsselt auf unseren Servern. Keine Ende-zu-Ende-Verschlüsselung: Übersetzung ist Verarbeitung, und sie findet auf unserer Engine statt, nicht bei einem Dritten. Wer E2EE über alles stellt, ist bei Element, Wire oder Threema richtiger — das sagen wir so.
- Metadaten und Adressbuch: Kein Adressbuch-Upload; Teilnehmer treten per Link bei, ohne Konto und ohne Telefonnummer.
- Löschung und Aufbewahrung: Das Aufbewahrungskriterium steht in der Datenschutzerklärung — Daten bleiben, bis Sie oder der Team-Owner sie löschen; die Löschung eines Kontos löscht seine Daten. Wir haben unseren eigenen Code gegen die DSGVO-Pflichten geprüft und dokumentiert, was wir geschlossen haben: GDPR-Audit.
- Unterauftragsverarbeiter: veröffentlicht, mit Funktion und Sitz je Anbieter. Der einzige externe Sprachmodell-Anbieter (für die Zusammenfassung) ist ein EU-Anbieter unter Zero-Data-Retention; Dokumentübersetzung läuft über DeepL als benannten EU-Unterauftragsverarbeiter. Kein Meeting-Inhalt erreicht ein US-Modell.
- Sprache pro Mitglied: Chat und Notizen in 23 Sprachen, Dokumente in 30, live gesprochene Sprache für jeden Teilnehmer in seiner Sprache — als Standardverhalten des Raums, ohne Add-on, ohne Lizenz pro Zuhörer. Die Qualität ist monatlich pro Sprachpaar veröffentlicht: /benchmark.
Was wir nicht behaupten: eine ISO-Zertifizierung, die wir noch nicht halten. Unsere Antwort auf die Checkliste ist architektonisch und im Code nachprüfbar; Zertifizierungen stehen auf der Roadmap.
Die Übersicht
| Dienst | Vertragspartner / Standort | Verschlüsselung | AV-Vertrag dokumentiert | Adressbuch / Metadaten | Sprache pro Mitglied |
|---|---|---|---|---|---|
| WhatsApp Ireland; Geräte der Nutzer; Weitergabe an Meta-Gesellschaften in USA und Irland | Ende-zu-Ende | Nicht dokumentiert | Optionaler Adressbuch-Upload; Nutzungs- und Gerätedaten | Übersetzung auf dem Gerät, auf Anfrage; Android automatisch pro Chat | |
| Signal | Signal Messenger LLC, Kalifornien | Ende-zu-Ende | Nicht dokumentiert | Telefonnummer; Metadaten »minimum required« | Nicht dokumentiert |
| Telegram | Telegram Messenger Inc. / FZ-LLC Dubai; EU-Daten in den Niederlanden | Cloud-Chats serverseitig; Geheime Chats Ende-zu-Ende | Nicht dokumentiert | — | Einzelne Nachrichten; ganze Chats mit Premium |
| Threema Work | Schweiz | Ende-zu-Ende | Laut Anbieter DSGVO-/DSG-konforme Auftragsbearbeitung | Keine Telefonnummer, kein Adressbuchzugriff nötig | Nicht dokumentiert |
| Teamwire | Deutschland (IONOS C5) / Private Cloud / On-Premise | »vollständig verschlüsselt« | Eigenangabe »100 % DSGVO-konform« | Kein Adressbuchzugriff | Nicht dokumentiert |
| Wire | Cloud / On-Premises / Hybrid | Ende-zu-Ende (MLS), auch Anrufe | Eigenangabe GDPR-konform | — | Nicht dokumentiert |
| Stackfield | Deutsche Rechenzentren, Gerichtsbarkeit DE/EU | Ende-zu-Ende | — | — | Nicht dokumentiert |
| Element | Selbst gehostet / air-gapped | Ende-zu-Ende, auch Anrufe | Ihr eigener Betrieb | — | Nicht dokumentiert |
| Mattermost | Selbst gehostet; Single-Tenant-Cloud | Serverseitig, Ihr Betrieb | Ihr eigener Betrieb | — | Automatisch pro Kanal (Beta), Enterprise Advanced, Ihr LibreTranslate/LLM |
| Rocket.Chat | Selbst gehostet; Starter kostenlos bis 50 Nutzer | Serverseitig, Ihr Betrieb | Ihr eigener Betrieb | — | Automatisch pro Raum über DeepL/Google/Microsoft/LibreTranslate mit Ihrem Schlüssel |
| Microsoft Teams | Region des Tenants; EU Data Boundary für EU/EFTA-Tenants | Transport + serverseitig | Ja — Microsoft DPA über die Product Terms | Tenant-Daten | Nachrichten auf Anfrage/automatisch, 100+ Sprachen; Meeting-Sprache pro Copilot-Lizenz |
| Slack | Residenz ab Business+ (Frankfurt, Paris, Stockholm, Zürich) | Transport + serverseitig | Ja — DPA per Formular | Profile und Nutzungsanalysen nicht residenzgebunden | Auf Anfrage, nur für Sie sichtbar, ab Business+ |
| InterMIND | Estnische OÜ; Laufzeit EU an jedem Punkt (Frankreich, Paris, Frankfurt) | Transport (DTLS/SRTP, HTTPS/WSS) + verschlüsselt auf unseren Servern; keine E2EE | Ja — pro Kunde, Art. 28 | Kein Adressbuch-Upload; Teilnahme ohne Konto | Ja — jedes Mitglied liest und hört den Raum in seiner Sprache, 23 Sprachen |
Welcher Messenger für welchen Fall
- Ende-zu-Ende-Verschlüsselung ist Ihr erstes Kriterium, Übersetzung spielt keine Rolle: Threema Work (Schweiz, ohne Telefonnummer), Wire (MLS, auch Anrufe), Stackfield (deutsche Rechenzentren) oder Element (selbst gehostet, kostenlos in der Community-Edition).
- Alles muss auf eigenen Servern laufen, und Sie haben Personal dafür: Rocket.Chat (kostenlos bis 50 Nutzer, Übersetzung über Ihren Anbieter-Schlüssel), Mattermost Enterprise Advanced (automatische Kanalübersetzung im Beta-Stadium auf Ihrem LibreTranslate oder LLM), Nextcloud Talk.
- Sie sind ohnehin Microsoft- oder Slack-Kunde: Beide dokumentieren einen AV-Vertrag und EU-Residenz — bei Teams über Tenant-Region und EU Data Boundary, bei Slack ab Business+. Übersetzung gibt es pro Leser, auf Anfrage; die Meeting-Sprache hängt bei Teams an Copilot-Lizenzen.
- Das Team arbeitet in WhatsApp, Signal oder Telegram: Für private Kommunikation dokumentierte, teils Ende-zu-Ende-verschlüsselte Dienste — aber ohne dokumentierten AV-Vertrag, mit der Historie auf Geräten oder in der Anbieter-Cloud, und bei WhatsApp mit Nutzungs- und Gerätedaten, die an Meta-Gesellschaften in den USA gehen. Ein Datenschutzbeauftragter wird hier Fragen stellen, die die Dokumentation nicht beantwortet.
- Der Kanal selbst ist mehrsprachig — Kollegen und Kunden, die in drei Sprachen aufeinander antworten, Gäste ohne Ihre Lizenzen, und eine Compliance-Abteilung, die den Standort benennen will: Dafür bauen wir InterMIND — EU an jedem Punkt, AV-Vertrag pro Kunde, veröffentlichte Unterauftragsverarbeiter, und jedes Mitglied liest den Raum in seiner Sprache.
Selbst ansehen statt lesen
- Live-Demo starten — ohne Anmeldung; sprechen Sie, und hören Sie den Raum pro Zuhörer übersetzt, in einer von 23 Sprachen.
- Benchmark ansehen — Übersetzungsqualität pro Sprachpaar, monatlich, auf echtem Verkehr, mit offener Methodik.
- Unterauftragsverarbeiter lesen — Funktion und Sitz je Anbieter, ohne Anfrage.
FAQ
Welche Messenger sind DSGVO-konform?
Keiner ist es von sich aus — die Pflichten liegen beim Unternehmen. Prüfbar ist, ob der Anbieter sie erfüllbar macht: einen AV-Vertrag dokumentieren Microsoft Teams (über die Product Terms), Slack (per Formular), Threema Work (laut Anbieter DSGVO-/DSG-konforme Auftragsbearbeitung) und InterMIND (pro Kunde, Art. 28); Teamwire und Wire bezeichnen sich selbst als DSGVO-konform. Bei WhatsApp, Signal und Telegram nennt die Dokumentation keinen AV-Vertrag (geprüft August 2026). Selbst gehostete Dienste — Element, Mattermost, Rocket.Chat, Nextcloud — verlagern die Frage in Ihren eigenen Betrieb.
Ist Signal DSGVO-konform?
Signal dokumentiert Ende-zu-Ende-Verschlüsselung (»Signal cannot decrypt or otherwise access the content of your messages or calls«) und auf das Minimum begrenzte technische Daten; Vertragspartner ist Signal Messenger LLC in Kalifornien, registriert wird mit Telefonnummer. Einen Auftragsverarbeitungsvertrag für Unternehmen nennen die Rechtsdokumente nicht. Für die private Nutzung ist das ein anderes Bild als für den Unternehmenseinsatz, der Art. 28 erfüllen muss.
Ist WhatsApp im Unternehmen DSGVO-konform?
WhatsApp Ireland dokumentiert Ende-zu-Ende-Verschlüsselung und dass zugestellte Nachrichten von den Servern gelöscht werden — zugleich Nutzungs- und Gerätedaten, optionalen Adressbuch-Upload und die Weitergabe an »Meta Companies in the United States and Ireland«. Einen AV-Vertrag für die App nennt die Datenschutzrichtlinie nicht; die Business App ist laut Anbieter für Kleinunternehmer gebaut. Wer WhatsApp im Unternehmen nutzt, muss diese Punkte selbst gegenüber dem Datenschutzbeauftragten begründen.
Ist Telegram DSGVO-konform?
Telegram speichert EU-Daten laut eigener Angabe in den Niederlanden und hat einen EU-Vertreter (EDPO, Brüssel); Cloud-Chats sind serverseitig verschlüsselt, mit Schlüsseln »in several other data centers in different jurisdictions«, nur Geheime Chats Ende-zu-Ende. Ein AV-Vertrag ist nicht dokumentiert. Das ist eine dokumentierte Datenlage, keine DSGVO-Konformität im Sinne von Art. 28.
Ist Microsoft Teams DSGVO-konform?
Microsoft dokumentiert den AV-Vertrag (DPA) als Teil der Product Terms, die Speicherung von Teams-Daten in der Region des Tenants — Länder-Residenz nur für neue Tenants — und die EU Data Boundary für Microsoft-365-Kunden mit Sitz in EU/EFTA, mit dokumentierten Ausnahmen. Für Unternehmen, die Teams bereits nutzen, ist das eine belastbare Grundlage; die Übersetzungsfunktionen in Meetings hängen an Copilot-Lizenzen pro Organisator und Zuhörer.
Was muss ein DSGVO-konformer Messenger für Unternehmen bieten?
Sechs dokumentierte Antworten statt eines Badges: ein AV-Vertrag nach Art. 28, ein benannter Sitz und Serverstandort ohne unerklärten Drittlandtransfer, eine benannte Verschlüsselung, Kontrolle über Adressbuch und Metadaten, ein Löschkonzept, das auch den Austritt eines Mitarbeiters abdeckt, und eine veröffentlichte Liste der Unterauftragsverarbeiter — einschließlich der KI- und Übersetzungsdienste. Für internationale Teams kommt als siebter Punkt die Sprache hinzu: Wer den Kanal nur im Original speichert, verlagert die Übersetzung auf jeden Einzelnen.
Gibt es einen kostenlosen DSGVO-konformen Messenger für Unternehmen?
Kostenlos und selbst gehostet: Rocket.Chat Starter (bis 50 Nutzer) und Element Community — die DSGVO-Pflichten liegen dann komplett in Ihrem Betrieb. Threema Work bietet 30 Tage für 30 Nutzer ohne Zahlungsdaten. Bei InterMIND ist die Teilnahme für alle Teilnehmer kostenlos — Beitritt per Link ohne Konto —, und die Live-Demo braucht keine Anmeldung; der Gastgeber zahlt für den Raum.
Wo lese ich weiter, wenn es um die Sprache und nicht um den Datenschutz geht?
Der Kanal: WhatsApp übersetzen und, wenn der Verlauf heraus soll, WhatsApp-Chat exportieren bzw. Teams-Chat exportieren. Das Gespräch: Sprachübersetzer sortiert die vier Werkzeugklassen, Simultandolmetscher die drei Wege für die Konferenz.
Quellen: BfDI — Auswahlkriterien für Messengerdienste, WhatsApp — Datenschutzrichtlinie (EWR), WhatsApp — Datenschutzrichtlinie, WhatsApp Blog — Introducing message translations, WhatsApp Business App, Signal — Terms & Privacy Policy, Telegram — Privacy Policy, Telegram Blog — Übersetzung ganzer Chats, Threema — DSGVO-konformer Messenger, Teamwire — DSGVO-konformer Messenger, Wire — Wire vs. MS Teams, Stackfield — Alternative zu Microsoft Teams, Element — Pricing, Mattermost — Pricing, Mattermost — Set up Auto-translation (Beta), Rocket.Chat — Our plans, Rocket.Chat — Auto-Translate messages, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Location of data in Microsoft Teams, Microsoft Learn — What is the EU Data Boundary?, Microsoft — Translate a message in Microsoft Teams, Microsoft — Interpreter in Teams meetings and calls, Slack — Data Processing Addendum, Slack — Data residency for Slack, Slack — Pricing, Slack — Guide to AI features in Slack. Anbieter ändern Pläne, Standorte, Funktionen und Eigenangaben; prüfen Sie den aktuellen Stand auf deren Seiten. Alle Angaben geprüft im August 2026.