Zoom und die DSGVO: Was Sie vor der Nutzung prüfen sollten

Zoom speichert Ihre Cloud-Aufzeichnungen, Transkripte und Meeting-Nachrichten standardmäßig in den USA. Ein zahlendes Konto kann eine andere Speicherregion wählen, darunter Deutschland oder die Schweiz, und die Rechenzentren auswählen, die den Datenstrom der Live-Meetings verarbeiten. Konto- und Betriebsdaten bleiben in den USA. Zoom verpflichtet sich in seiner Datenschutzerklärung, seine KI-Modelle nicht mit Ihren Inhalten zu trainieren, und weist ein Zertifizierungsportfolio aus, das ISO 27001, ISO 27701 und SOC 2 Type 2 umfasst. Zoom ist ein Anbieter nach US-amerikanischem Recht. Diese Seite wird von Leexi herausgegeben, dessen KI-Notiztool mit Zoom verwendet werden kann, und gibt nur wieder, was die offiziellen Zoom-Seiten dokumentieren.

Wo Zoom Ihre Daten hostet und verarbeitet

Standardmäßig in den USA. In Europa bei entsprechender Einstellung für einen Teil der Daten und bei einem zahlenden Konto.

Die DSGVO-Seite von Zoom sagt es unmissverständlich.

Zoom, Seite „GDPR“, datiert auf den 8. August 2024 „Customer Content, Account Data, and Diagnostic Data are still stored in the U.S.“

Zoom bietet zwei unterschiedliche Einstellungen an – genau diesen Punkt vermischen die Marktseiten.

Die erste betrifft die Speicherung. Laut der Seite „Managing Data & Storage location“ können „all paid customers (including Pro)“ den Speicherort bestimmter Daten auswählen: Cloud-Aufzeichnungen, Transkripte, während des Meetings ausgetauschte Nachrichten und Dateien, Whiteboards sowie Daten von Zoom Phone und Zoom Contact Center. Angeboten werden Australien, Brasilien, Kanada, Deutschland, Japan, Singapur, Mexiko, die Schweiz und die USA. Daten, die von dieser Einstellung nicht erfasst werden, verbleiben in der Region, in der das Konto bereitgestellt wurde. Konto- und Betriebsdaten bleiben in den USA.

Die zweite betrifft die Verarbeitung des Live-Datenstroms. Auf der Seite „Selecting data center for meetings, webinars, whiteboards, notes and docs“ können die Rechenzentren ausgewählt werden, die „participants' real-time meeting and webinar video, audio, whiteboard, notes, docs“ verarbeiten. Das Dokument enthält einen Vorbehalt.

Zoom, „Selecting data center for meetings, webinars, whiteboards, notes and docs“ „Zoom may route through traffic between data centers using industry standard network routing protocols while traversing Zoom private network connections (i.e., edge-routing).“

Was das für Sie bedeutet: Stellen Sie Ihrem Zoom-Administrator zwei Fragen. Welche Speicherregion ist für Cloud-Aufzeichnungen eingestellt? Welche Rechenzentren sind für die Live-Verarbeitung aktiviert? Ein kostenloses Konto bietet keinen Zugriff auf diese beiden Einstellungen.

Was Zoom mit Ihren Gesprächen macht

Zoom verpflichtet sich, weder seine eigenen KI-Modelle noch die Modelle Dritter mit Ihren Inhalten zu trainieren.

Die Verpflichtung steht in der Datenschutzerklärung, nicht nur in einem Blog.

Zoom, Datenschutzerklärung, aktualisiert am 27. Juli 2026 „Zoom does not use any of your audio, video, chat, screen sharing, attachments or other communications-like Customer Content… to train Zoom's or its third-party artificial intelligence models.“

Zur Rolle von Zoom erklärt die DSGVO-Seite, dass Zoom für seine Kunden als Auftragsverarbeiter handelt und seine Vereinbarung zur Auftragsverarbeitung für alle Kunden in die Allgemeinen Geschäftsbedingungen aufnimmt. Das ist die Verpflichtung aus der DSGVO.

DSGVO, Artikel 28 Absatz 3 Buchstabe a „personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet“

Zu Datenübermittlungen erklärt dieselbe Seite, dass Zoom für Übermittlungen außerhalb des Europäischen Wirtschaftsraums die Standardvertragsklauseln von 2021 eingeführt hat und als aktiver Teilnehmer am EU-US Data Privacy Framework registriert ist. Die Datenschutzerklärung bestätigt dies: Zoom verarbeitet personenbezogene Daten weltweit, auch in den USA.

Was das für Sie bedeutet: Die Zusage, keine Trainingsdaten zu verwenden, ist im Vertragsdokument festgehalten. Nicht genannt wird dort die standardmäßige Aufbewahrungsdauer Ihrer Cloud-Aufzeichnungen. Diese hängt von Ihren Einstellungen und dem Aufbewahrungsstandard von Zoom ab und sollte in Ihrem Konto geprüft werden.

Die Zertifizierungen von Zoom

Das Portfolio ist umfangreich und öffentlich einsehbar.

Die Seite „Legal & compliance“ im Trust Center von Zoom führt für das kommerzielle Angebot folgende Zertifizierungen auf: ISO 27001, ISO 27017 und 27018, ISO 27701, SOC 2 Type 2, SOC 2 + HITRUST, CSA STAR Level 2, BSI C5, ENS, UK Cyber Essentials Plus und HDS, die französische Zertifizierung für das Hosting von Gesundheitsdaten. Hinzu kommen US-amerikanische staatliche Zertifizierungen (FedRAMP Moderate, DoD IL4).

Das verdient Anerkennung: Nur wenige Anbieter von Videokonferenzen weisen gleichzeitig den deutschen C5, den spanischen ENS und den französischen HDS aus. Was die Seite nicht nennt, sind Geltungsbereiche und Daten der einzelnen Zertifikate. Diese sollten zusammen mit dem SOC-2-Bericht angefordert werden.

Die rechtliche Zuordnung des Anbieters

Zoom ist ein Anbieter nach US-amerikanischem Recht, und seine Kontodaten bleiben in den USA.

18 U.S. Code § 2713, eingeführt durch Pub. L. 115-141 vom 23. März 2018 „A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.“

Was das für Sie bedeutet: Die Wahl Deutschlands als Speicherregion beantwortet die Frage „wo“. Die Frage „welches Recht“ richtet sich weiterhin nach dem Sitz des Anbieters. Zoom schreibt selbst, dass die Kontodaten in den USA bleiben. Dieser Punkt sei einmal ausdrücklich genannt.

Was das für ein europäisches Team bedeutet

Bei Zoom ist Leexi ein zweiter, von Zoom getrennter Verantwortungsbereich: Der Bot tritt dem Meeting bei, das Audio wird auf der Leexi-Infrastruktur transkribiert und zusammengefasst (AWS-Region Paris, Sprachmodell über Azure France in einem geschlossenen Kreislauf ausgeführt, kein Training mit Ihren Meetings), mit einem öffentlichen DPA und zehn namentlich genannten Auftragsverarbeitern. Die Zoom-Integrationsseite beschreibt, wie Sie Leexi mit Zoom verbinden. Das Compliance-Dossier und das Glossar enthalten Definitionen und Nachweise.

Häufige Fragen

Wo werden meine Zoom-Cloud-Aufzeichnungen gespeichert?

Standardmäßig in den USA. Ein zahlendes Konto, einschließlich Pro, kann für Cloud-Aufzeichnungen, Transkripte und Meeting-Nachrichten eine andere Region wählen: Australien, Brasilien, Kanada, Deutschland, Japan, Singapur, Mexiko, die Schweiz oder die USA. Konto- und Betriebsdaten bleiben in den USA.

Reicht die Auswahl eines europäischen Rechenzentrums aus, damit meine Meetings in Europa bleiben?

Nein, nicht allein. Die Auswahl der Rechenzentren betrifft die Verarbeitung des Live-Datenstroms. Zoom weist darauf hin, dass der Datenverkehr über andere Rechenzentren seines privaten Netzwerks geleitet werden kann. Die Speicherung der Aufzeichnungen wird über eine zweite Einstellung geregelt. Beide Einstellungen sind erforderlich; Kontodaten bleiben in jedem Fall in den USA.

Verwendet Zoom meine Meetings zum Training seiner KI?

Nein. Die Datenschutzerklärung vom 27. Juli 2026 schließt Audio, Video, Chat, Bildschirmfreigaben und Anhänge vom Training der Zoom-Modelle und der Modelle Dritter aus. Die Verpflichtung steht im Vertragsdokument.

Müssen Teilnehmer der Aufzeichnung zustimmen?

Zoom fragt sie danach. Beim Start der Aufzeichnung oder beim Beitritt zu einem bereits aufgezeichneten Meeting sieht jeder Teilnehmer eine Einwilligungsanfrage und kann zwischen Fortfahren und Verlassen wählen. Der Administrator kann die Anfrage auf externe Teilnehmer beschränken oder ihren Text anpassen. Diese Anfrage ersetzt nicht die Information, die Sie nach der DSGVO über Zweck und Aufbewahrung bereitstellen müssen.

Ist Zoom HDS-zertifiziert?

Die Seite „Legal & compliance“ von Zoom führt HDS, die französische Zertifizierung für das Hosting von Gesundheitsdaten, als eine der kommerziellen Zertifizierungen auf. Der genaue Geltungsbereich des Zertifikats sowie die abgedeckten Dienste und Regionen müssen vor jeder Nutzung mit Gesundheitsdaten bei Zoom erfragt werden.

Reicht Zoom für eine strenge Souveränitätsanforderung aus?

Nein. Zoom ist ein Anbieter nach US-amerikanischem Recht und unterliegt unabhängig vom Speicherort dem 18 U.S. Code § 2713. Seine Kontodaten bleiben in den USA. Die Regionseinstellungen lokalisieren einen Teil der Daten, ändern aber nicht die rechtliche Zuordnung des Anbieters.

Quellen

Daten am 2. September 2026 auf den offiziellen Zoom-Seiten überprüft.

• Zoom, „Managing Data & Storage location“, Hilfezentrum
• Zoom, „Selecting data center for meetings, webinars, whiteboards, notes and docs“, Hilfezentrum
• Zoom, „Providing consent to be recorded“, Hilfezentrum
• Zoom, Seite „GDPR“, datiert auf den 8. August 2024
• Zoom, Datenschutzerklärung, aktualisiert am 27. Juli 2026
• Zoom, Trust Center, Seite „Legal & compliance“
• DSGVO, Artikel 5 und 28, vom CNIL veröffentlichter Text
• 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School

Diese Seite beschreibt den geltenden Rechtsrahmen. Sie stellt keine Rechtsberatung dar.

Leexi kostenlos testen