Zoom AI Companion DSGVO-Konformität für deutsche Unternehmen

Ja, Zoom bietet für deutsche Unternehmen eine DSGVO-konforme Konfiguration an — einschließlich eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO und einer EU-Datenspeicheroption über das Rechenzentrum in Frankfurt. Allerdings erfordert der Zoom AI Companion — also die KI-Funktionen für automatische Meeting-Zusammenfassungen, Smart Recordings und KI-gestützte Chats — eine gesonderte rechtliche Prüfung, bevor er in deutschen Unternehmen eingesetzt werden kann. Die KI-Funktionen verarbeiten personenbezogene Daten von Meeting-Teilnehmenden und Beschäftigten und erzeugen damit datenschutzrechtliche Pflichten, die deutlich über die Grundnutzung von Zoom als Videokonferenztool hinausgehen. Eine Übersicht weiterer KI-Tools finden Sie in unserem Überblick über KI-Tools für deutsche Unternehmen.

Ist Zoom DSGVO-konform?

Zoom Video Communications stellt für Unternehmenskunden eine DSGVO-konforme Konfiguration bereit. Die wesentlichen Bausteine sind:

• Auftragsverarbeitungsvertrag (AVV): Zoom stellt einen AVV gemäß Art. 28 DSGVO zur Verfügung, der Standardvertragsklauseln (SCC) für internationale Datentransfers enthält.
• EU-Datenspeicherung: Zoom bietet für Business- und Enterprise-Konten eine EU-Datenspeicheroption, bei der Daten in europäischen Rechenzentren — unter anderem in Frankfurt am Main — gespeichert werden.
• Unterauftragnehmer-Liste: Zoom veröffentlicht eine Liste der eingesetzten Unterauftragnehmer und informiert bei Änderungen.

Wichtig: DSGVO-Konformität ist kein Produktmerkmal, sondern das Ergebnis der konkreten Konfiguration und des organisatorischen Rahmens. Der Abschluss einer Zoom-Lizenz allein genügt nicht. Unternehmen müssen den AVV aktiv abschließen, die EU-Datenspeicherung konfigurieren und eine Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung personenbezogener Daten festlegen.

Der Auftragsverarbeitungsvertrag mit Zoom (AVV)

Der AVV von Zoom steht allen Business- und Enterprise-Kunden zur Verfügung. Er erfüllt die Anforderungen des Art. 28 DSGVO und enthält:

• Festlegung der Auftraggeber-Auftragnehmer-Beziehung, mit Zoom als Auftragsverarbeiter
• Standardvertragsklauseln (SCC) für Datentransfers in Drittstaaten außerhalb des EWR
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
• Pflichten zur Unterauftragsverwaltung mit vorheriger Benachrichtigung bei Änderungen
• Recht auf Kontrolle und Audit durch den Verantwortlichen
• Unterstützungspflichten bei der Wahrnehmung von Betroffenenrechten
• Löschungs- und Rückgabepflichten bei Vertragsende

Wie Sie den Zoom-AVV abschließen:

Der globale Auftragsverarbeitungsvertrag von Zoom ist über das Admin-Portal Ihres Zoom-Kontos abrufbar. Für Enterprise-Konten kann der AVV über den Zoom-Accountmanager auch in verhandelter Form abgeschlossen werden. Einzelheiten zu den Anforderungen an AVV mit KI-Anbietern finden Sie in unserem Leitfaden zu Auftragsverarbeitungsverträgen für KI-Tools.

Zoom AI Companion und die DSGVO

Zoom AI Companion ist Zooms Suite KI-gestützter Funktionen, darunter:

• KI-Meeting-Zusammenfassungen: Automatisch generierte Zusammenfassungen von Meeting-Inhalten und Beschlüssen
• Smart Recording: KI-generierte Kapitel, Transkripte und Highlights aus Aufzeichnungen
• KI-Companion-Chat: KI-gestützte Antwortvorschläge in Zoom Chat
• KI-Notizen: Echtzeit-Notizvorschläge während laufender Meetings

Alle diese Funktionen verarbeiten personenbezogene Daten — Gesprächsinhalte, Namen und Stimmen der Teilnehmenden, Chatnachrichten und Metadaten. Das erzeugt datenschutzrechtliche Pflichten, die weit über die Standardnutzung von Videokonferenzen hinausgehen.

Welche Daten verarbeitet Zoom AI Companion?

Der Zoom AI Companion verarbeitet folgende Kategorien personenbezogener Daten:

• Audio- und Videoinhalte von Meetings — transkribiert für Zusammenfassungen und Smart Recordings
• Chatnachrichten — für kontextbezogene KI-Antworten ausgewertet
• Teilnehmeridentifikatoren — Namen, E-Mail-Adressen, verknüpft mit KI-Ausgaben
• Verhaltensbezogene Metadaten — Teilnahmemuster, Beitragsverhalten, für KI-Funktionen genutzt

Je nach Gesprächsinhalt können Meeting-Aufzeichnungen und Transkripte mittelbar besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO offenbaren — etwa Gesundheitsinformationen, Gewerkschaftszugehörigkeit oder politische Meinungen. Das erhöht die Anforderungen an die Rechtsgrundlage und die technischen Schutzmaßnahmen erheblich.

Rechtsgrundlage für Zoom AI Companion nach DSGVO

Bevor Sie Zoom AI Companion aktivieren, müssen Sie eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO festlegen:

Berechtigtes Interesse (Art. 6(1)(f) DSGVO): Für interne Produktivitätstools häufig herangezogen, erfordert aber eine sorgfältige Interessenabwägung. Bei der Verarbeitung von Beschäftigtendaten gilt zudem § 26 BDSG — das Bundesdatenschutzgesetz schränkt die Nutzung des berechtigten Interesses als Rechtsgrundlage für Arbeitnehmerinnen und Arbeitnehmer erheblich ein.

Vertragserfüllung (Art. 6(1)(b) DSGVO): Als Rechtsgrundlage für KI-gestützte Meeting-Aufzeichnungen oder Beschäftigtenmonitoring in der Regel nicht geeignet.

Einwilligung (Art. 6(1)(a) DSGVO): Für externe Meetingteilnehmende grundsätzlich möglich, für Beschäftigte jedoch problematisch. Einwilligungen von Arbeitnehmerinnen und Arbeitnehmern gelten im Beschäftigungskontext häufig als nicht freiwillig und sind damit rechtlich angreifbar.

Prüfen Sie für jede AI-Companion-Funktion separat, welche Rechtsgrundlage greift — unterschieden nach Beschäftigten einerseits und externen Teilnehmenden andererseits.

Opt-in und Opt-out-Konfiguration

Die AI-Companion-Funktionen können im Zoom Admin-Portal auf Konto-, Gruppen- oder Nutzerebene konfiguriert werden:

• Kontoebene: Administratoren können AI-Companion-Funktionen global aktivieren oder deaktivieren
• Meeting-Host-Ebene: Hosts können einzelne KI-Funktionen je Meeting ein- oder ausschalten
• Teilnehmerbenachrichtigung: Zoom zeigt einen AI-Companion-Indikator an, sobald KI-Funktionen aktiv sind — Teilnehmende werden automatisch informiert

Stellen Sie sicher, dass die Teilnehmerbenachrichtigung aktiviert ist und Beschäftigte wissen, wann KI-Funktionen ihre Beiträge verarbeiten. Hintergrundinformationen zu den Anforderungen an die KI-gestützte Transkription finden Sie in unserem Leitfaden zur KI-Transkription und DSGVO.

Datenspeicherung: Wo speichert Zoom Ihre Daten?

Standardmäßig verarbeitet Zoom Daten über seine globale Infrastruktur, einschließlich US-amerikanischer Rechenzentren. Für deutsche Unternehmen begründet das Übermittlungspflichten nach Kapitel V DSGVO.

EU-Datenspeicherungsoption:

Zoom bietet für Enterprise-Konten eine EU-Datenspeicheroption an. Mit dieser Konfiguration:

• werden ruhende Daten in europäischen Rechenzentren — darunter Frankfurt — gespeichert
• wird der Echtzeit-Meeting-Datenverkehr über EU-Infrastruktur geleitet
• decken die SCC im Zoom-AVV verbleibende Drittstaatenübermittlungen ab

Wichtige Einschränkungen, die zu prüfen sind:

• Die EU-Datenspeicheroption ist typischerweise ein kostenpflichtiges Add-on für Enterprise-Konten und nicht standardmäßig enthalten
• Nicht alle Datenkategorien fallen zwingend unter den Speicherungsumfang — prüfen Sie genau, welche Daten erfasst sind
• Die KI-Modellverarbeitung für Zoom AI Companion kann Cloud-basierte Inferenz umfassen, die sich von der Speicherung ruhender Daten unterscheidet
• Support-Zugriffe von Zoom-Mitarbeitenden außerhalb des EWR können eine verbleibende Drittstaatenexposition begründen

Unternehmen in regulierten Branchen — Finanzdienstleistungen, Gesundheitswesen, Rechtsberatung — sollten den genauen Umfang der EU-Datenspeicherung vertraglich klären, bevor sie die Option als vollständige Lösung für Drittstaatenübermittlungen betrachten.

DSGVO-Checkliste für deutsche Unternehmen

Arbeiten Sie diese Checkliste vor oder während der Zoom-Einführung ab:

AVV und rechtlicher Rahmen:

• AVV mit Zoom über das Admin-Portal abschließen
• AVV-Version und Datum schriftlich dokumentieren
• Auftragsverarbeiterstatus von Zoom für Meeting-Inhalte bestätigen
• SCC für US-Datentransfers prüfen
• Zoom in das Verzeichnis der Verarbeitungstätigkeiten aufnehmen

AI Companion im Besonderen:

• Entscheidung über die Aktivierung von Zoom AI Companion auf Kontoebene treffen und dokumentieren
• Rechtsgrundlage nach Art. 6 DSGVO (und § 26 BDSG für Beschäftigtendaten) festlegen
• Teilnehmerbenachrichtigung konfigurieren — sicherstellen, dass der KI-Indikator angezeigt wird
• Prüfen, ob eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist
• Konfigurationsentscheidungen schriftlich begründen und dokumentieren

Datenspeicherung:

• Klären, ob die EU-Datenspeicherungsoption für Ihr Unternehmen erforderlich ist
• Genau prüfen, welche Datenkategorien vom EU-Speicherungsumfang erfasst sind
• Verarbeitungsstandorte für die KI-Modellverarbeitung des AI Companion mit dem Zoom-Accountmanager klären

Betriebsrat:

• Prüfen, ob Zoom AI Companion das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG auslöst
• Ggf. Betriebsrat vor der Aktivierung von AI-Companion-Funktionen für Beschäftigte informieren und einbeziehen
• Ergebnis der Betriebsratsbeteiligung und ggf. abgeschlossene Betriebsvereinbarung dokumentieren

Beschäftigtenkommunikation:

• Datenschutzhinweise für Beschäftigte um die Verarbeitung durch Zoom AI Companion ergänzen
• Beschäftigte schulen: wann sind KI-Funktionen aktiv, wie erkennt man sie?
• Interne Richtlinie zur zulässigen Nutzung und Speicherung von AI-Companion-Ausgaben erarbeiten

Betriebsrat und Zoom AI Companion

Für deutsche Unternehmen mit Betriebsrat ist die mitbestimmungsrechtliche Dimension von zentraler Bedeutung. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung der Arbeitnehmerinnen und Arbeitnehmer zu überwachen.

KI-Meeting-Zusammenfassungen, Smart Recordings und Teilnahmeauswertungen können eine solche Überwachungseignung aufweisen — auch wenn das nicht die primäre Absicht des Einsatzes ist. Maßgeblich ist nach der Rechtsprechung, ob das Tool die Möglichkeit der Verhaltens- oder Leistungskontrolle schafft, nicht ob der Arbeitgeber diese tatsächlich nutzt.

Praktische Konsequenzen:

• Betriebsrat vor der Aktivierung von AI-Companion-Funktionen für Beschäftigte informieren und beteiligen
• Eine Betriebsvereinbarung zu Zoom AI Companion ist die rechtssicherste Lösung
• Die Betriebsvereinbarung sollte regeln: welche Funktionen aktiviert sind, wie KI-generierte Zusammenfassungen gespeichert und genutzt werden, wer Zugriff hat und wie lange die Daten aufbewahrt werden
• Wird der Betriebsrat nicht beteiligt, können Beschäftigte die Abschaltung der Funktionen verlangen

Einen umfassenden Überblick über das Mitbestimmungsrecht bei KI-Tools bietet unser Leitfaden zur KI-Mitarbeiterüberwachung und DSGVO.

Zoom AVV als deutsches Unternehmen abschließen

Gehen Sie folgende Schritte, um den Auftragsverarbeitungsvertrag mit Zoom abzuschließen:

1. Einloggen ins Zoom Admin-Portal unter zoom.us als Kontoadministrator
2. Zu den Datenschutzeinstellungen navigieren — in der Regel unter Kontoverwaltung → Datenschutz
3. Den Auftragsverarbeitungsvertrag aufrufen — bei Enterprise-Konten kann dieser bereits vorausgewählt oder zum Opt-in verfügbar sein
4. AVV sorgfältig prüfen, einschließlich der Standardvertragsklauseln und des Unterauftragnehmer-Anhangs
5. AVV akzeptieren über das Portal oder bei Bedarf eine gegengezeichnete Version über den Zoom-Enterprise-Accountmanager anfordern
6. Abschluss dokumentieren — Datum, verantwortliche Person und Kontozustand zum Zeitpunkt des Abschlusses festhalten
7. Zoom ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen mit Verweis auf den abgeschlossenen AVV

Für Enterprise-Kunden mit spezifischen Datenschutz- oder Sicherheitsanforderungen ist eine Verhandlung des AVV über den Zoom-Vertrieb möglich.

Wie Compound Law unterstützt

• Prüfung und Gap-Analyse des Zoom-AVV für Ihren konkreten Einsatz
• Rechtsgutachten zur Rechtsgrundlage für Zoom AI Companion nach Art. 6 DSGVO und § 26 BDSG
• Begleitung der Betriebsratsbeteiligung und Entwurf einer Betriebsvereinbarung
• Unterstützung bei der Datenschutz-Folgenabschätzung (DSFA) für AI-Companion-Funktionen
• Erstellung einer internen Nutzungsrichtlinie für Zoom KI-Funktionen
• Vergleich mit Microsoft Teams Copilot und Notion AI bei der Auswahl von Unternehmens-KI-Tools

Häufig gestellte Fragen

Ist Zoom AI Companion DSGVO-konform?

Zoom AI Companion kann DSGVO-konform eingesetzt werden — aber die Konformität ergibt sich nicht aus dem Tool selbst, sondern aus dem rechtlichen und organisatorischen Rahmen, den Ihr Unternehmen schafft. Dazu gehören: abgeschlossener AVV, dokumentierte Rechtsgrundlage nach Art. 6 DSGVO, aktivierte Teilnehmerbenachrichtigung und — sofern relevant — die Beteiligung des Betriebsrats.

Speichert Zoom Daten in Deutschland?

Zoom bietet eine EU-Datenspeicherungsoption an, die Rechenzentren in Deutschland (Frankfurt) umfasst. Diese Option ist kein Standardmerkmal, sondern muss gesondert konfiguriert werden und ist typischerweise ein kostenpflichtiges Enterprise-Add-on. Die KI-Verarbeitung des AI Companion kann zusätzliche Infrastruktur involvieren — klären Sie den genauen Umfang der EU-Datenspeicherung für AI-Funktionen mit Zoom schriftlich.

Können deutsche Unternehmen Zoom AI Companion unter der DSGVO nutzen?

Ja, mit der richtigen Vorbereitung: abgeschlossener AVV, festgelegte Rechtsgrundlage nach Art. 6 DSGVO (für Beschäftigtendaten ergänzend § 26 BDSG), Betriebsratsbeteiligung nach § 87 BetrVG sowie korrekte technische Konfiguration der Teilnehmerbenachrichtigung. Unternehmen ohne Betriebsrat haben mehr organisatorischen Spielraum, müssen aber die übrigen DSGVO-Anforderungen gleichwohl erfüllen.

Was ist der Zoom AVV und wo finde ich ihn?

Der Auftragsverarbeitungsvertrag von Zoom ist die vertragliche Grundlage, auf der Zoom personenbezogene Daten als Auftragsverarbeiter für Ihr Unternehmen verarbeitet. Er erfüllt die Anforderungen des Art. 28 DSGVO, einschließlich Standardvertragsklauseln für Drittstaatenübermittlungen. Den AVV finden Sie im Admin-Portal Ihres Zoom-Kontos unter den Datenschutzeinstellungen oder in der rechtlichen Dokumentation auf der Zoom-Website. Enterprise-Kunden können eine gegengezeichnete Version über den Accountmanager anfordern.

Brauche ich eine Datenschutz-Folgenabschätzung (DSFA) für Zoom AI Companion?

Eine DSFA nach Art. 35 DSGVO kann erforderlich sein, wenn Zoom AI Companion eine systematische Überwachung von Beschäftigten ermöglicht, besondere Kategorien personenbezogener Daten in erheblichem Umfang verarbeitet werden oder automatisierte Auswertungen mit erheblichen Auswirkungen auf Personen entstehen. Ist die Notwendigkeit nicht eindeutig zu verneinen, ist die Durchführung einer DSFA die rechtssicherere Vorgehensweise.

Welche Rechtsgrundlage gilt für die Verarbeitung von Beschäftigtendaten durch Zoom AI Companion?

Bei Beschäftigtendaten richtet sich die Rechtsgrundlage primär nach § 26 BDSG. Danach ist die Verarbeitung zulässig, wenn sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Für KI-Meeting-Zusammenfassungen und Smart Recordings ist diese Erforderlichkeit in vielen Fällen nicht ohne Weiteres zu begründen. Eine Einwilligung der Beschäftigten ist im Arbeitsverhältnis nur unter engen Voraussetzungen freiwillig — und damit rechtssicher als Rechtsgrundlage nutzbar.