GDPR-konforme Videokonferenzen (2026): Was wirklich dazugehört (und eine Alternative zu Zoom, die übersetzt)

„GDPR-konform“ auf der Startseite einer Videoplattform ist nahezu inhaltsleer. GDPR ist keine Zertifizierung, die man besteht. Es ist ein Bündel von Pflichten für Sie als Verantwortlichen, bei deren Erfüllung ein Anbieter entweder hilft oder die er stillschweigend auf Ihrem Schreibtisch lässt. Die nützliche Frage lautet nicht: „Ist dieses Tool GDPR-konform?“ Sie lautet: „Wofür macht mich dieses Tool verantwortlich, und wohin gehen meine Meeting-Daten tatsächlich?“

🔒 Update – wir haben es bei uns selbst gemacht. Seit der Veröffentlichung dieses Beitrags haben wir den eigenen Code von InterMIND durch die gesamte Checkliste unten geschickt und jeden Punkt geschlossen – Löschung, Aufbewahrung, EU-Laufzeit, Sub-Processor –, am Code nachgeprüft und nicht bloß auf einer Seite behauptet. → Den Abschlussbericht des Audits lesen, Zeile für Zeile.

Dieser Beitrag ist die Klartext-Version dieser Frage: die Checkliste, die ein Datenschutzbeauftragter tatsächlich abarbeitet, der Stand von Zoom darauf (fair – Zoom ist konformitätsfähiger, als das Internet nahelegt) und die Stelle, an der eine Alternative mit EU-Laufzeit die Antwort verändert. Wenn Sie den größeren Rahmen suchen, wie Meetings in Echtzeit funktionieren sollten, finden Sie ihn im Leitfaden. Dieser Beitrag behandelt gezielt die Datenschutzebene.

Die Checkliste in Klartext

Ohne Marketing lässt sich „GDPR-konforme Videokonferenzen“ auf sieben Punkte herunterbrechen, die Sie tatsächlich nachprüfen können:

1. Ein unterzeichnetes DPA. Ein Auftragsverarbeitungsvertrag (Data Processing Addendum), der den Anbieter als Ihren Auftragsverarbeiter benennt, mit dokumentierten Zwecken und Weisungen. Ohne DPA keine rechtmäßige Verarbeitung – Punkt.
2. Eine echte Sub-Processor-Liste. Jeder Dritte, der mit Meeting-Daten in Berührung kommt – Transkription, Speicherung, E-Mail, Analytics, KI-Funktionen –, benannt, mit seiner Aufgabe und seinem Sitz.
3. Wo Daten zur Laufzeit verarbeitet werden. Die physische Region, in der Ihr Audio, Transkripte, Aufzeichnungen und Metadaten verarbeitet werden. Darum geht es in den meisten Klauseln zur Datenresidenz im Kern.
4. Der Mechanismus für internationale Transfers. Wenn Daten den EWR verlassen: auf welcher Rechtsgrundlage? Standardvertragsklauseln (SCCs), Angemessenheitsbeschluss oder ein Residenz-Setup, das den Transfer ganz vermeidet. Das ist die Schrems-II-Frage, und sie verschwindet nicht, nur weil auf einer Startseite „konform“ steht.
5. Sicherheitsniveau, das Sie auditieren können. ISO 27001, ISO 27701, SOC 2 – unabhängige Bestätigungen, keine Selbstauskünfte.
6. Werkzeuge für Betroffenenrechte. Können Sie Auskunfts-, Lösch- und Portabilitätsanfragen zu Meeting-Daten tatsächlich erfüllen oder nur in der Theorie?
7. Aufbewahrung und Löschung unter Ihrer Kontrolle. Aufzeichnungen, Transkripte und KI-Zusammenfassungen werden nach Ihrem Zeitplan gelöscht, nicht nach der Voreinstellung des Anbieters.

Ein Tool ist für Ihre Zwecke nur dann „GDPR-konform“, wenn alle sieben Punkte konkrete Antworten haben. Die meisten Startseiten beantworten null davon.

Wo Zoom tatsächlich steht (fair betrachtet)

Zoom ist GDPR-fähiger, als sein Ruf vermuten lässt, und es lohnt sich, das sachlich festzuhalten, statt billige Punkte zu sammeln:

• Zoom veröffentlicht ein globales DPA mit den EU-Standardvertragsklauseln von 2021, fest eingebaut.
• Zoom bietet EU-Datenresidenz – „Zoom EU Infrastructure“ – für Enterprise- und Education-Kunden an, für Meetings, Webinar, Chat, Phone und Contact Center.
• Zoom verfügt über ISO 27001 und seit Februar 2026 ISO 27701 (die Erweiterung für Datenschutzmanagement) sowie veröffentlichte Kontrollen für die Souveränitätsanforderungen des öffentlichen Sektors in der EU.

Eine richtig konfigurierte Zoom-Bereitstellung im passenden Tarif kann also den Großteil der Checkliste erfüllen. Die ehrlichen Vorbehalte betreffen Voreinstellungen und Unternehmenssitz, nicht die Leistungsfähigkeit:

• EU-Residenz ist ein Zusatz je nach Tarif und Konfiguration, nicht der Standard. Sie gibt es in Enterprise/Education und muss aktiviert werden. Die kostenlosen und niedrigeren Bezahltarife bekommen sie nicht. „Wir nutzen Zoom“ und „wir nutzen Zoom mit EU-Residenz“ sind unterschiedliche Beschaffungsfakten.
• Zoom ist ein Unternehmen mit Sitz in den USA. Auch mit SCCs und EU-Residenz ist der Unternehmenssitz des Anbieters relevant für Bewertungen nach dem CLOUD Act und auf Souveränitätsniveau. Für die Standard-GDPR ist das mit SCCs beherrschbar. Bei der französischen souveraineté numérique oder bei Beschaffungen auf SecNumCloud-Niveau ist der Unternehmenssitz selbst ein Kriterium, und das ist ein schwierigeres Gespräch.
• Das Meeting findet weiterhin in einer Sprache statt. Die übersetzten Untertitel von Zoom und der AI Companion helfen, aber der Raum wird nicht wirklich mehrsprachig – also nicht so, dass jeder Teilnehmer das Meeting live in seiner eigenen Sprache hört. Wenn Ihr Compliance-Problem zugleich ein Sprachproblem ist (grenzüberschreitende Audits, CAPA-Reviews an mehreren Standorten), bleibt diese Lücke ungelöst, unabhängig davon, wo die Daten liegen.

Kurz gesagt: Zoom kann GDPR-konform sein, wenn es dafür konfiguriert ist. Ob das ausreicht, hängt davon ab, wie souveränitätssensibel Ihre Organisation ist – und davon, ob die Meetings mehrsprachig sind.

Wo InterMIND auf der Checkliste steht

InterMIND ist ein Raum, den ein Host seinem Team und seinen Kunden bereitstellt, jeweils in der eigenen Sprache – Meetings, Chat, Dateien, das Besprechungsprotokoll. Die Checkliste oben wird standardmäßig beantwortet und nicht durch ein Konfigurationsprojekt. Der Teil, der strukturell und nicht bloß versprochen ist, ist wo das Meeting läuft – eine Zeile für den Datenschutzbeauftragten, am Live-Betrieb nachgeprüft:

• Jede Station zur Laufzeit liegt in der EU. App und Server-APIs auf Vercel in Frankfurt (fra1); der WebSocket-Server für das Meeting auf Fly in Paris (cdg); Anwendungsdaten in Neon Postgres auf AWS Frankfurt (eu-central-1); Aufzeichnungen auf Tigris, auf die EU festlegbar; Fehler- und Analytics-Daten bei Sentry EU und PostHog EU; transaktionale E-Mails über Resend in Irland.
• Die Übersetzungs-Engine ist unser eigener Code, in Frankreich (OVH) – kein US-amerikanisches Allzweckmodell, das wir weiterverkaufen. Der mit Abstand größte Strom an Meeting-Inhalten bleibt in der EU und berührt nie ein LLM eines Drittanbieters. Die Dokumentübersetzung läuft über DeepL in Köln – ebenfalls ein EU-Unternehmen.
• Die Sub-Processor-Liste mit Angaben zum Unternehmenssitz wird mit dem DPA geliefert, als Standard und nicht erst auf Anfrage.

Meeting-Inhalte gehen an ein einziges KI-Gateway in der EU, und die Organisation wählt es aus. Alles, was aus einem Meeting abgeleitet wird und ein Sprachmodell braucht – die KI-Zusammenfassung nach dem Meeting (Themen, Entscheidungen, Action items), Dokumentzusammenfassungen, die generativen Aktionen des KI-Notizeditors (korrigieren, erweitern, vereinfachen), Ask AI –, läuft über das KI-Gateway, das Ihre Organisation auswählt: standardmäßig Azure OpenAI in der EU Data Zone, auf Wunsch Vertex AI am EU-Multiregion-Endpunkt oder Amazon Bedrock in Frankfurt, jeweils in unserem eigenen Tenant mit Zero Data Retention und ohne Training auf Kundeninhalten; oder Ihr eigener OpenAI-kompatibler Endpunkt. Die Zusammenfassung nach dem Meeting und die Übersetzen-Aktion des Editors laufen über die Übersetzungsstrecke, nicht über das Sprachmodell. Die Anbieter hinter den gehosteten Gateways sind US-Unternehmen, die EU-Regionen betreiben – das steht offen auf der Trust-Seite und wird nicht versteckt. Der Unternehmenssitz ist das Kriterium, das Beschaffungen auf Souveränitätsniveau zusätzlich zur GDPR anlegen, und es gilt für diese Station genauso wie oben für Zoom. Die vollständige Karte, Anbieter für Anbieter, steht in Wo ein InterMIND-Meeting tatsächlich läuft, die Build-vs-Buy-Sicht in Woraus ein InterMIND-Meeting gebaut ist.

Eines behaupten wir nicht: Wir werden kein ISO-Zertifikat schwenken, das wir noch nicht besitzen. Unsere Antwort auf die Checkliste ist architektonisch – EU-Laufzeit, eigene Engine, transparente Sub-Processor, ein echtes DPA –, und wir möchten, dass Sie das nachprüfen, statt einem Siegel zu vertrauen. Zertifizierungen stehen auf der Roadmap; die Laufzeit ist heute real. Wir haben unseren eigenen Code durch genau diese Checkliste geschickt und jeden Punkt am Code geschlossen – der Abschlussbericht, Zeile für Zeile.

Und was die Residenz-Einstellungen von Zoom nicht hinzufügen können: Das Meeting ist von Grund auf mehrsprachig – jeder Teilnehmer live in seiner eigenen Sprache, in 23 Sprachen, für Sprache, Chat und Notizen, mit offen veröffentlichter Übersetzungsqualität statt bloßer Behauptung. Wie das funktioniert, steht im Leitfaden; der Anwendungsfall regulierter Meetings steht in mehrsprachige Compliance-Meetings.

Die Checkliste als Tabelle

Die sieben Punkte, gegenübergestellt für die beiden Tools, die dieser Beitrag im Detail behandelt. Die Zellen nennen nur, was der jeweilige Anbieter dokumentiert (Zoom-Links unter Quellen unten; InterMIND-Angaben Zeile für Zeile geprüft im Audit-Abschlussbericht und in der Laufzeitkarte) – lassen Sie jeden anderen Anbieter die Fragen in der linken Spalte schriftlich beantworten.

FAQ

Ist Zoom GDPR-konform? Es kann es sein, im passenden Tarif und mit der richtigen Konfiguration: Zoom veröffentlicht ein globales DPA mit den EU-SCCs von 2021, bietet Enterprise- und Education-Kunden EU-Datenresidenz an und verfügt über ISO 27001 und (seit Februar 2026) ISO 27701. Die ehrlichen Vorbehalte: EU-Residenz ist ein Zusatz je nach Tarif und Konfiguration und nicht der Standard, und Zoom bleibt ein Unternehmen mit Sitz in den USA – unter der Standard-GDPR mit SCCs beherrschbar, aber ein echtes Kriterium bei Beschaffungen auf Souveränitätsniveau.

Was macht ein Videokonferenz-Tool GDPR-konform? Sieben nachprüfbare Punkte, kein Siegel auf der Startseite: ein unterzeichnetes DPA, eine echte Sub-Processor-Liste, eine dokumentierte Laufzeitregion, ein rechtmäßiger Mechanismus für internationale Transfers, unabhängig auditierte Sicherheit, funktionierende Werkzeuge für Betroffenenrechte und Aufbewahrung unter Ihrer Kontrolle. Ein Anbieter ist für Ihre Zwecke konform, wenn alle sieben Punkte schriftlich konkrete Antworten haben.

Verlangt die GDPR, dass Videomeetings in der EU bleiben? Nein – die GDPR verlangt einen rechtmäßigen Transfermechanismus (SCCs, Angemessenheit), wenn Daten den EWR verlassen, nicht Residenz als solche. Residenz ist trotzdem wichtig, weil sie die Transferfrage ganz entfallen lässt – die Analyse nach Schrems II wird kurz, wenn die Daten nie das Gebiet verlassen. Das ist der Unterschied zwischen „konform dank Papierlage“ und „nichts, was man absichern müsste“.

Welche Videokonferenz-Tools laufen vollständig in der EU? Fragen Sie jeden Anbieter nach seiner Laufzeitkarte: Region pro Station – App, APIs, Meeting-Medien, Datenbank, Aufzeichnungen, Analytics, E-Mail, KI-Funktionen. InterMIND veröffentlicht genau das (jede Station, Anbieter für Anbieter): Vercel Frankfurt, Fly Paris, Neon Frankfurt, Übersetzungs-Engine auf OVH Frankreich, KI-Funktionen auf dem Gateway, das die Organisation auswählt, in einer EU-Region (standardmäßig Azure OpenAI EU Data Zone). Welches Tool Sie auch prüfen: Die Karte – nicht die Marketingseite – ist die Antwort.

Für welchen Host das die Antwort ist

Für die Inhaberin oder den Leiter einer Organisation mit 10–200 Personen, deren Team oder Kunden eine andere Sprache sprechen, die bereits mit Teams oder Workspace arbeitet und den Raum ohne IT-Abteilung einrichtet. Für diesen Host ist die Checkliste standardmäßig beantwortet und das Gespräch mit dem Datenschutzbeauftragten kurz; offen bleibt dann nur, ob das Meeting selbst in der Sprache jedes Mitglieds läuft. Öffentliche Beschaffung auf Souveränitätsniveau, bei der der Sitz des Anbieters selbst Teil der Spezifikation ist, ist ein anderes Gespräch, und das sagen wir offen, statt zu übertreiben.

Ausprobieren, dann die Datenkarte lesen

• Live-Demo ausprobieren – erleben Sie die mehrsprachige Live-Pipeline in einem echten Meeting und hören Sie, wie sich „EU-Laufzeit und mehrsprachig“ tatsächlich anfühlt. Ohne Anmeldung.
• InterMIND vs. Zoom – Funktion für Funktion, ehrlich.
• Wo ein InterMIND-Meeting tatsächlich läuft – die vollständige Anbieterkarte, einschließlich der Lücke.

„GDPR-konforme Videokonferenzen“ sind eine Checkliste, kein Siegel. Welches Tool Sie auch wählen – unseres oder ein anderes –: Lassen Sie den Anbieter alle sieben Fragen schriftlich beantworten. Wer das kann, ist Ihre Zeit wert; wer das nicht kann, verkauft Ihnen eine Startseite.

– Das Mind.com-Team

Quellen zu Zoom: Zoom – GDPR, Zoom – EU-Datenresidenz / Datenschutz in Europa, Zoom – ISO 27701, Stand: August 2026. Angebote und Tarife der Anbieter ändern sich; prüfen Sie die aktuelle Konfiguration anhand der Trust-Seiten von Zoom. Die Laufzeitangaben zu InterMIND sind am Live-Betrieb nachgeprüft, wie im verlinkten Beitrag zur Datenkarte beschrieben.