Zoom DSGVO-konform nutzen – Einstellungen & AVV

Inhalt in Kürze

• Zoom lässt sich DSGVO-konform betreiben – aber nicht mit den Werkseinstellungen. Nötig sind ein aktiver AVV, die EU-Datenregion und ein bewusster Umgang mit Aufzeichnungen und KI-Funktionen.
• Der AVV ist Pflicht: Zoom ist Auftragsverarbeiter nach Art. 28 DSGVO. Der Vertrag steckt im Data Processing Addendum (DPA) und sollte geprüft und dokumentiert werden.
• Datentransfer in die USA: Zoom ist unter dem EU-US Data Privacy Framework zertifiziert. Diese Rechtsgrundlage steht 2026 unter Druck – verlassen Sie sich nicht allein darauf.
• Server in Deutschland: Mit Zoom X (Kooperation mit der Telekom) bleiben die Daten in deutschen Rechenzentren – die datensparsamste Variante für sensible Branchen.

---

Zoom gehört seit der Pandemie zum Standard-Werkzeug in deutschen Büros. Millionen Meetings laufen täglich darüber. Doch bei jeder Videokonferenz fließen personenbezogene Daten – Namen, Stimme, Bild, Chatverläufe, oft ganze Aufzeichnungen.

In Deutschland stand Zoom deshalb lange in der Kritik: unklare Datenflüsse, Übermittlung in die USA, mächtige Aufzeichnungs- und KI-Funktionen. Die gute Nachricht: Zoom ist DSGVO-konform nutzbar. Voraussetzung sind die richtigen Einstellungen, ein sauberer AVV und ein bewusster Umgang mit den kritischen Funktionen.

Warum steht Zoom datenschutzrechtlich in der Kritik?

Zoom ist ein US-Anbieter. Damit gelten drei Dauerthemen, die jede Aufsichtsbehörde als Erstes anspricht:

• Datentransfer in die USA: Auch bei europäischen Kunden können Daten in US-Rechenzentren verarbeitet werden, wenn die Datenregion nicht eingeschränkt ist.
• CLOUD Act: Als US-Unternehmen unterliegt Zoom dem CLOUD Act. US-Behörden können theoretisch Zugriff verlangen – unabhängig vom Serverstandort.
• Mächtige Funktionen: Aufzeichnung, automatische Transkription und der KI-Assistent (Zoom AI Companion) verarbeiten Inhalte, die weit über reine Verbindungsdaten hinausgehen.

Für den Transfer in die USA nutzt Zoom das EU-US Data Privacy Framework (DPF), unter dem das Unternehmen zertifiziert ist. Seit dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 ist das eine gültige Rechtsgrundlage.

AVV mit Zoom: Was Sie beachten müssen

Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht, sobald Sie Zoom geschäftlich einsetzen. Zoom stellt ihn als Data Processing Addendum (DPA) bereit – es ist Bestandteil der Nutzungsbedingungen und gilt automatisch mit.

Automatisch heißt aber nicht: einfach hinnehmen. Sie sollten das DPA aktiv prüfen:

• Ist die aktuelle Fassung des DPA hinterlegt und abrufbar?
• Welche Subunternehmer (Subprozessoren) setzt Zoom ein – und stimmen die Regionen?
• Sind Löschfristen und der Umgang mit Aufzeichnungen geregelt?
• Ist die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten dokumentiert?

Welche Zoom-Funktionen sind datenschutzrelevant?

Nicht jede Funktion ist gleich kritisch. Diese Tabelle zeigt, worauf es ankommt:

Funktion	Datenschutz-Risiko	Handlungsbedarf
Meeting-Aufzeichnung	Hoch	Nur mit Einwilligung, Speicherort EU, Löschfrist
Automatische Transkription	Hoch	Standardmäßig deaktivieren
Zoom AI Companion (KI)	Hoch	Bewusst freigeben, Zweck prüfen
Cloud-Chat & Dateien	Mittel	Aufbewahrung begrenzen, EU-Region
Warteraum & Meeting-Passwort	Niedrig	Aktivieren – schützt vor unbefugtem Zutritt
Teilnahmeberichte	Mittel	Nur für Admins, Zweckbindung beachten
Drittanbieter-Apps (Marketplace)	Hoch	Einschränken, je App eigenen AVV prüfen

Checkliste: die wichtigsten Zoom-Einstellungen

Diese Punkte stellen Sie in der Zoom-Administration ein:

• Datenregion auf EU festlegen. Speicher- und Verarbeitungsregion für Meetings und Aufzeichnungen fest auf Europa begrenzen.
• Aufzeichnungen steuern. Standardmäßig aus; wenn nötig, nur mit Einwilligung und mit fester Löschfrist.
• Automatische Transkription und KI-Assistent deaktivieren und nur für klar begründete Fälle einzeln freigeben.
• Warteraum und Meeting-Passwörter aktivieren, damit niemand unbefugt beitritt.
• Zwei-Faktor-Authentifizierung für alle Konten verpflichtend machen.
• Drittanbieter-Apps im Marketplace einschränken und nur geprüfte Integrationen zulassen.
• Datenschutzerklärung ergänzen und Beschäftigte sowie externe Gäste über die Verarbeitung informieren.

Zoom X: die Server-in-Deutschland-Alternative

Wer den USA-Transfer ganz vermeiden will, findet in Zoom X – der Kooperation von Zoom und der Deutschen Telekom – eine Lösung mit Rechenzentren in Deutschland. Die Daten verlassen die EU nicht, der Betrieb läuft über die Telekom-Infrastruktur.

Für die meisten KMU reicht das gut konfigurierte Standard-Zoom mit EU-Datenregion. Für Behörden, Arztpraxen, Kanzleien und Finanzdienstleister mit besonders sensiblen Daten ist Zoom X das ruhigere Gewissen – besonders angesichts der unsicheren DPF-Lage.

Aus der Praxis

Kein Unternehmen muss Zoom verbieten, um datenschutzkonform zu arbeiten. Es geht um die richtigen Schalter – und um die Nachweise, dass man sie gestellt hat. Dieselbe Logik gilt übrigens für Microsoft Teams: konfigurieren statt kapitulieren.

Zusammenfassung: Zoom DSGVO-konform einsetzen

Häufige Fragen (FAQ)

Ist Zoom DSGVO-konform einsetzbar?

Ja, aber nicht mit den Standardeinstellungen. Sie brauchen einen gültigen Auftragsverarbeitungsvertrag (AVV), müssen die Datenregion auf die EU stellen, Aufzeichnungen und KI-Funktionen bewusst steuern und die Verarbeitung dokumentieren.

Brauche ich einen AVV mit Zoom?

Ja. Zoom ist Auftragsverarbeiter nach Art. 28 DSGVO. Der AVV steckt im Data Processing Addendum (DPA), das Teil der Zoom-Nutzungsbedingungen ist. Prüfen und dokumentieren Sie es, statt es nur stillschweigend zu akzeptieren.

Wo speichert Zoom die Daten von EU-Kunden?

Zoom bietet in den Admin-Einstellungen eine Datenregion-Auswahl. Stellen Sie die Speicher- und Verarbeitungsregion für Meeting-Daten und Aufzeichnungen fest auf die EU. Der Standard umfasst sonst auch US-Rechenzentren.

Darf ich ein Zoom-Meeting ohne Einwilligung aufzeichnen?

Nein. Alle Teilnehmenden müssen vor Beginn der Aufzeichnung informiert werden und zustimmen. Zoom blendet einen Hinweis ein, doch Sie sollten zusätzlich mündlich auf Zweck und Speicherdauer hinweisen.

Was ist Zoom X und wann lohnt es sich?

Zoom X ist eine Variante von Zoom und der Deutschen Telekom mit Rechenzentren in Deutschland. Sie lohnt sich für Behörden sowie Unternehmen im Gesundheits-, Finanz- oder Rechtsbereich, die einen Datentransfer in die USA vermeiden wollen.