DSGVO-konforme Videokonferenzen: die praktische Checkliste
DSGVO-Konformität behauptet jeder Anbieter im Banner; wenige können sie in der Architektur zeigen. Wenn Sie personenbezogene Daten aus der EU verarbeiten — und jedes Meeting mit Namen, Stimmen und Gesichtern ist personenbezogen —, sollten Sie vor dem Rollout eines Konferenz-Tools Folgendes wirklich prüfen.
Was die DSGVO von einem Meeting-Tool wirklich verlangt
Vier Dinge: einen Verantwortlichen, den man belangen kann; Rechtsgrundlage und Transparenz für Aufzeichnungen; technische Maßnahmen im Verhältnis zum Risiko (Verschlüsselung, Zugriffskontrolle, Aufbewahrung); und — der Teil, über den die meisten Anbieter nur flüstern — eine belastbare Antwort darauf, wohin die Daten gehen und unter wessen Recht sie liegen.
Die Checkliste
Stellen Sie jedem Kandidaten diese fünf Fragen:
- Wer ist Verantwortlicher/Auftragsverarbeiter — und gibt es einen DPA auch ohne Enterprise-Vertrag?
- Wo liegen Aufzeichnungen und Transkripte physisch? EU-Rechenzentren oder „EU-Region auf Anfrage“?
- Gibt es echte Ende-zu-Ende-Verschlüsselung für Meetings, die gar nicht aufgezeichnet werden sollen?
- Können Hosts die Aufbewahrung steuern — und können Nutzer ihr Löschrecht ohne Support-Ticket ausüben?
- Wenn der Anbieter US-eigen ist: Wie lautet seine Antwort auf die CLOUD-Act-Frage?
Das US-Transferproblem, in einem Absatz
Seit Schrems II bedeutet die Übermittlung personenbezogener EU-Daten an US-Anbieter Transfermechanismen, Folgenabschätzungen und ein Restrisiko, das Ihr DPO verantworten muss — denn der US CLOUD Act kann ein US-Unternehmen zur Herausgabe von Daten zwingen, selbst wenn diese in Europa gespeichert sind. Der saubere Ausweg ist strukturell: ein EU-Anbieter unter EU-Recht. Was sich bei diesem Wechsel tatsächlich ändert, haben wir auf unserer Seite zur europäischen Alternative aufgeschrieben.
Wie Spotrum es umsetzt
EU-Unternehmen (estnisches Register, öffentlich), EU-Server für Medien, Aufzeichnungen und Dateien, DSGVO als Heimatrecht, ein DPA auf Anfrage für jeden Geschäftskunden, E2EE-Privaträume in jedem Tarif einschließlich Free, hostgesteuerte Aufbewahrung sowie eingebauter Konto-Export und -Löschung. Jede Behauptung hier ist auf unserer Sicherheitsseite dokumentiert — einschließlich der ehrlichen Grenzen.
Ist das Aufzeichnen von Meetings unter der DSGVO zulässig?
Ja, mit Rechtsgrundlage und Transparenz: Die Teilnehmer müssen es wissen. Bei Spotrum wird die Aufzeichnung vom Host gestartet und ist für alle im Raum sichtbar; E2EE-Räume lassen sich gar nicht aufzeichnen.
Bietet Spotrum einen DPA an?
Ja — jeder Geschäftskunde kann ihn unter legal@spotrum.com anfordern. Der Verantwortliche ist ein EU-Unternehmen (Estland), daher sind für Kerndaten keine grenzüberschreitenden Transfermechanismen nötig.
Wo genau werden Meeting-Daten gespeichert?
Medienserver, Aufzeichnungen, Transkripte und Dateien laufen in Rechenzentren der Europäischen Union. Optionale AI-Funktionen nutzen einen namentlich benannten Unterauftragsverarbeiter außerhalb der EU, sind standardmäßig aus und in der Datenschutzerklärung dokumentiert.
Konferenzen, die Ihr DPO abzeichnet