GDPR-konforme Videokonferenzen (2026): Was tatsächlich dazu gehört (und eine Zoom-Alternative, die übersetzt)

„GDPR-konform“ auf der Startseite einer Videoplattform ist nahezu inhaltsleer. GDPR ist keine Zertifizierung, die Sie bestehen – es ist ein Set von Verpflichtungen für Sie, den Datenverantwortlichen, das ein Anbieter Ihnen entweder hilft zu erfüllen, oder das er stillschweigend auf Ihrem Schreibtisch liegen lässt. Die nützliche Frage lautet nicht: „Ist dieses Tool GDPR-konform?“ Sie lautet: „Wofür macht mich dieses Tool verantwortlich, und wo gehen meine Meeting-Daten tatsächlich hin?“

🔒 Update – das haben wir uns selbst angetan. Seit dieser Beitrag online steht, haben wir InterMINDs eigene Codebasis durch die vollständige Checkliste unten geprüft und jeden Punkt geschlossen – Löschung, Aufbewahrungsfristen, EU-Runtime, Sub-Prozessoren – verifiziert am Code, nicht nur behauptet auf einer Seite. → Lesen Sie den Abschluss des Audits, Zeile für Zeile.

Dieser Beitrag ist die Version dieser Frage in einfachen Worten: die Checkliste, die ein DPO tatsächlich durchgeht, wo Zoom dabei steht (fairerweise – das Tool ist compliance-fähiger, als das Internet suggeriert), und wo eine Alternative mit EU-Runtime die Antwort verändert. Wenn Sie den breiteren Rahmen „Wie sollten Echtzeit-Meetings funktionieren?“ suchen, finden Sie diesen im Leitfaden; dieser hier behandelt spezifisch die Datenschicht.

Die Checkliste in einfachen Worten

Lassen Sie das Marketing weg und „GDPR-konforme Videokonferenzen“ reduzieren sich auf sieben Dinge, die Sie tatsächlich nachprüfbar machen können:

1. Eine unterzeichnete DPA. Ein Data Processing Addendum (Datenverarbeitungsanhang), das den Anbieter als Ihren Auftragsverarbeiter benennt, mit dokumentierten Zwecken und Weisungen. Keine DPA, keine rechtmäßige Verarbeitung – Schluss.
2. Eine echte Sub-Prozessor-Liste. Jeder Drittanbieter, der Meeting-Daten berührt – Transkription, Speicherung, E-Mail, Analytics, KI-Funktionen – namentlich genannt, mit dem, was er tut und wo er ansässig ist.
3. Wo Daten zur Laufzeit verarbeitet werden. Die physische Region, in der Ihre Audiodaten, Transkripte, Aufzeichnungen und Metadaten verarbeitet werden. Darum geht es bei den meisten Datenresidenz-Klauseln tatsächlich.
4. Der Mechanismus für internationale Datenübertragungen. Wenn Daten die EEA verlassen, auf welcher Rechtsgrundlage? Standard Contractual Clauses (SCCs), Angemessenheitsbeschluss oder eine Datenresidenz-Architektur, die die Übertragung ganz vermeidet. Das ist die Schrems-II-Frage, und sie verschwindet nicht, weil eine Startseite „konform“ behauptet.
5. Auditierbare Sicherheitsmaßnahmen. ISO 27001, ISO 27701, SOC 2 – unabhängige Bestätigungen, keine Selbstauskünfte.
6. Tooling für Betroffenenrechte. Können Sie Auskunfts-, Löschungs- und Portabilitätsanfragen für Meeting-Daten tatsächlich erfüllen, oder nur in der Theorie?
7. Aufbewahrung und Löschung unter Ihrer Kontrolle. Aufzeichnungen, Transkripte und KI-Zusammenfassungen werden nach Ihrem Zeitplan gelöscht, nicht nach dem Standard des Anbieters.

Ein Tool ist für Ihre Zwecke erst dann „GDPR-konform“, wenn alle sieben Punkte konkrete Antworten haben. Die meisten Startseiten beantworten keine einzige davon.

Wo Zoom tatsächlich steht (fair betrachtet)

Zoom ist im Hinblick auf die GDPR fähiger, als sein Ruf vermuten lässt, und es ist wichtig, hier genau zu sein, anstatt billige Punkte zu sammeln:

• Zoom veröffentlicht eine globale DPA mit den 2021 EU Standard Contractual Clauses.
• Zoom bietet EU Data Residency – „Zoom EU Infrastructure“ – für Enterprise- und Education-Kunden an, was Meetings, Webinar, Chat, Phone und Contact Center abdeckt.
• Zoom verfügt über ISO 27001 und seit Februar 2026 über ISO 27701 (die Erweiterung für Datenschutzmanagement) sowie veröffentlichte EU-Kontrollen für den öffentlichen Sektor.

Ein richtig konfiguriertes Zoom-Deployment, auf dem passenden Tarif, kann also die meisten Punkte der Checkliste erfüllen. Die ehrlichen Vorbehalte betreffen Voreinstellungen und den Sitz des Unternehmens, nicht die Fähigkeit:

• EU-Residenz ist ein Tarif- und Konfigurations-Add-on, nicht die Voreinstellung. Es ist auf Enterprise/Education verfügbar und muss aktiviert werden. Die kostenlosen und niedrigeren kostenpflichtigen Tarife erhalten es nicht. „Wir nutzen Zoom“ und „wir nutzen Zoom, konfiguriert für EU-Residenz“ sind unterschiedliche Beschaffungsrealitäten.
• Zoom ist ein in den USA ansässiges Unternehmen. Selbst mit SCCs und EU-Residenz bleibt der gesellschaftliche Sitz des Anbieters im Rahmen von CLOUD-Act und Beschaffungen mit hohen Anforderungen an Datenhoheit relevant. Für Standard-GDPR ist dies mit SCCs handhabbar; bei französischer souveraineté numérique oder Beschaffung auf SecNumCloud-Niveau ist der Unternehmenssitz selbst ein Kriterium, und das ist ein schwierigeres Gespräch.
• Das Meeting findet weiterhin in einer Sprache statt. Zooms übersetzte Untertitel und der AI Companion helfen, aber der Raum wird nicht wirklich mehrsprachig – jeder Teilnehmer hört das Meeting nicht live in seiner eigenen Sprache. Wenn Ihr Compliance-Problem auch ein Sprachproblem ist (grenzüberschreitende Audits, CAPA-Reviews an mehreren Standorten), bleibt diese Lücke ungelöst, unabhängig davon, wo die Daten liegen.

Die Kurzfassung: Zoom kann GDPR-konform sein, wenn es entsprechend konfiguriert wird. Ob das ausreicht, hängt davon ab, wie sensibel Ihr Einkauf in Bezug auf Datenhoheit ist – und ob die Meetings mehrsprachig sind.

Die Alternative mit EU-Runtime

Wir haben InterMIND so gebaut, dass die Antwort zur Datenresidenz die Voreinstellung ist, kein Konfigurationsprojekt – und dass das Meeting tatsächlich mehrsprachig sein kann. In der Checkliste oben ist der Teil, der strukturell gegeben und nicht nur versprochen ist, wo das Meeting ausgeführt wird. Verifiziert anhand der Live-Bereitstellung:

• Jeder Runtime-Hop erfolgt in der EU. App- und Server-APIs auf Vercel in Frankfurt (fra1); der Meeting-WebSocket-Server auf Fly in Paris (cdg); Anwendungsdaten in Neon Postgres auf AWS Frankfurt (eu-central-1); Aufzeichnungen auf Tigris, in der EU anpinbar; Fehler/Analytics auf Sentry EU und PostHog EU; Transaktions-E-Mails über Resend in Irland.
• Die Übersetzungs-Engine ist unser eigener Code, in Frankreich (OVH) – kein US-amerikanisches Allzweckmodell, das wir weiterverkaufen. Der mit Abstand größte Datenstrom an Meeting-Inhalten bleibt in der EU und berührt nie ein LLM eines Drittanbieters. Die Dokumentübersetzung geht an DeepL in Köln – ebenfalls ein EU-Unternehmen.
• Die Sub-Prozessor-Liste mit Details zum gesellschaftlichen Sitz wird mit der DPA als Standard mitgeliefert, nicht auf Anfrage.

Kein Meeting-Inhalt erreicht ein in den USA ansässiges Modell. Alles, was aus einem Meeting abgeleitet wird und ein Sprachmodell benötigt, bleibt auf EU-Prozessoren: der Post-Meeting-KI-Digest (Themen, Entscheidungen, Action Items) läuft auf EU-gehostetem Mistral mit null Datenspeicherung; die Post-Meeting-Zusammenfassung und der KI-Notiz-Editor übersetzen über unsere eigene EU-Engine, und die generativen Aktionen des Editors (korrigieren, erweitern, vereinfachen) laufen auf demselben EU-Mistral. Der einzige Ort, an dem ein US-Modell noch im Spiel ist, berührt keine Meeting-Daten: unser öffentlicher Benchmark zur Übersetzungsqualität bewertet maschinelle Übersetzungen von FLORES-200-Referenzsätzen – ein festes öffentliches Dataset, nicht der Anruf von irgendjemandem. Die vollständige Zuordnung Anbieter für Anbieter finden Sie in Wo ein InterMIND-Meeting tatsächlich läuft, und die Build-vs.-Buy-Perspektive in Woraus ein InterMIND-Meeting besteht.

Eines behaupten wir nicht: Wir werden keine ISO-Zertifizierung herumwedeln, die wir noch nicht haben. Unsere Antwort auf die Checkliste ist architektonisch – EU-Runtime, eigene Engine, transparente Sub-Prozessoren, eine echte DPA – und wir möchten, dass Sie das nachprüfbar machen, anstatt einem Badge zu vertrauen. Zertifizierungen sind auf der Roadmap; die Runtime ist heute real. Wir haben unsere eigene Codebasis durch exakt diese Checkliste geprüft und jeden Punkt am Code geschlossen – der Abschlussbericht, Zeile für Zeile.

Und der Teil, den Zooms Residenz-Einstellungen nicht hinzufügen können: Das Meeting ist von Grund auf mehrsprachig – jeder Teilnehmer live in seiner eigenen Sprache über 23 Sprachen hinweg, Sprache, Chat und Notizen, mit offensichtlich veröffentlichter Übersetzungsqualität statt nur behauptet. Wie das funktioniert, finden Sie im Leitfaden; der Anwendungsfall für regulierte Meetings in mehrsprachige Compliance-Meetings.

Die Checkliste als Tabelle

Die sieben Punkte im Vergleich mit den zwei Tools, die dieser Beitrag im Detail behandelt. Die Zellen geben nur wieder, was jeder Anbieter dokumentiert (Zoom-Links in den Quellen unten; InterMIND-Angaben Zeile für Zeile verifiziert im Abschluss des Audits und in der Runtime-Karte) – für jeden anderen Anbieter sollten Sie ihn dazu bringen, die linke Spalte schriftlich zu beantworten.

FAQ

Ist Zoom GDPR-konform? Es kann sein, beim richtigen Tarif und der richtigen Konfiguration: Zoom veröffentlicht eine globale DPA mit den 2021 EU SCCs, bietet EU Data Residency für Enterprise- und Education-Kunden an und verfügt über ISO 27001 und (seit Februar 2026) ISO 27701. Die ehrlichen Vorbehalte: EU-Residenz ist ein Tarif- und Konfigurations-Add-on statt die Voreinstellung, und Zoom bleibt ein in den USA ansässiges Unternehmen – handhabbar unter Standard-GDPR mit SCCs, aber ein reales Kriterium bei Beschaffung auf Niveau für Datenhoheit.

Was macht ein Videokonferenz-Tool GDPR-konform? Sieben nachprüfbare Dinge, kein Startseiten-Badge: eine unterzeichnete DPA, eine echte Sub-Prozessor-Liste, eine dokumentierte Runtime-Region, ein rechtmäßiger Mechanismus für internationale Übertragungen, unabhängig geprüfte Sicherheit, funktionierendes Tooling für Betroffenenrechte und Aufbewahrungsfristen unter Ihrer Kontrolle. Ein Anbieter ist für Ihre Zwecke konform, wenn alle sieben Punkte konkrete schriftliche Antworten haben.

Erfordert GDPR, dass Video-Meetings in der EU bleiben? Nein – GDPR erfordert einen rechtmäßigen Übertragungsmechanismus (SCCs, Angemessenheitsbeschluss), wenn Daten die EEA verlassen, nicht Datenresidenz als solche. Datenresidenz ist relevant, weil sie die Übertragungsfrage komplett eliminiert – die Post-Schrems-II-Analyse wird kurz, wenn die Daten nie verlassen. Das ist der Unterschied zwischen „konform mit Papierkram“ und „nichts, was papierdurchgeführt werden muss“.

Welche Videokonferenz-Tools laufen vollständig in der EU? Fragen Sie jeden Anbieter nach seiner Runtime-Karte: Region pro Hop – App, APIs, Meeting-Medien, Datenbank, Aufzeichnungen, Analytics, E-Mail, KI-Funktionen. InterMIND veröffentlicht genau das (jeder Hop, Anbieter für Anbieter): Vercel Frankfurt, Fly Paris, Neon Frankfurt, Übersetzungs-Engine auf OVH Frankreich, Digest auf EU-gehostetem Mistral mit null Datenspeicherung. Welches Tool Sie auch evaluieren, die Karte – nicht die Marketing-Seite – ist die Antwort.

Für welchen Käufer ist das gedacht?

• Deutscher Mittelstand und regulierte EU-Teams, die Standard-GDPR-DPAs verwenden: Eine EU-Runtime bei jedem Hop beantwortet die Frage zur Datenresidenz direkt, ohne ein Tarif-Upgrade oder ein Residenz-Projekt. Das Gespräch über den Übertragungsmechanismus wird deutlich kürzer, wenn die Daten nicht die EU verlassen.
• Französischer öffentlicher Sektor und Beschaffung auf souveraineté-Niveau, bei denen der gesellschaftliche Sitz des Anbieters selbst Teil der Spezifikation ist: Das ist ein tiefergehendes Gespräch über die Deployment-Topologie, und eines, das wir ehrlich führen, anstatt es zu überverkaufen.
• US-inländische und APAC-Käufer: Datenresidenz ist meist nicht die Einschränkung – die Latenz aus Ihrer Region ist das. Ein anderes Problem; sagen Sie es uns und wir planen entsprechend.

Testen Sie es, dann lesen Sie die Datenkarte

• Testen Sie die Live-Demo – hören Sie die Live-, mehrsprachige Pipeline in einem echten Meeting und hören Sie, wie sich „EU-Runtime und mehrsprachig“ tatsächlich anfühlt. Keine Registrierung nötig.
• InterMIND vs. Zoom – Funktion für Funktion, ehrlich.
• Wo ein InterMIND-Meeting tatsächlich läuft – die vollständige Anbieter-Karte, Lücken inbegriffen.

„GDPR-konforme Videokonferenzen“ ist eine Checkliste, kein Badge. Welches Tool Sie auch wählen – unseres oder ein anderes – bringen Sie den Anbieter dazu, alle sieben Fragen schriftlich zu beantworten. Die, die das können, sind Ihre Zeit wert; die, die es nicht können, verkaufen Ihnen eine Startseite.

— Das Mind.com Team

Quellen zu Zoom: Zoom — GDPR, Zoom — EU Data Residency / privacy in Europe, Zoom — ISO 27701, geprüft im August 2026. Angebote und Tarife der Anbieter ändern sich; verifizieren Sie die aktuelle Konfiguration anhand der Zoom-Vertrauensseiten. InterMIND-Runtime-Fakten sind verifiziert anhand der Live-Bereitstellung, wie im verlinkten Beitrag zur Datenkarte beschrieben.