Ist Zoom AI Companion DSGVO-konform?
Ist Zoom AI Companion DSGVO-konform? Datenschutzexperte Frank Müns erklärt.
Zoom AI Companion fasst Meetings zusammen, formuliert Chat-Nachrichten und leitet Aufgaben weiter, fast wie von Zauberhand. Kein Wunder, dass immer mehr mittelständische Unternehmen diese Funktion aktivieren, sobald sie verfügbar ist. Der Effizienzgewinn ist real und verlockend.
Doch genau hier lauert eine Gefahr, die viele Unternehmen unterschätzen. Die einfache Antwort „Ja, allgemein ist Zoom DSGVO-konform" reicht nicht aus, um Ihr Unternehmen rechtlich abzusichern. Zoom AI Companion kann datenschutzkonform eingesetzt werden, aber diese Konformität stellt sich nicht automatisch ein, wenn Sie die Funktion einfach nur einschalten. Sie müssen sie aktiv herstellen.
Das unterschätzte Risiko hinter der KI-Begeisterung
Sobald Sie KI-Funktionen wie AI Companion aktivieren, erweitern sich Ihre Datenflüsse erheblich. Die KI greift auf Audio, Video, Chat, Bildschirmfreigaben und Transkripte zu. Meeting-Inhalte werden analysiert, zusammengefasst und in neuen Formen weiterverarbeitet, oft ohne dass der Meeting-Host genau weiß, welche Daten dabei verarbeitet wurden.
Besonders kritisch: Gespräche enthalten häufig unbeabsichtigt personenbezogene Daten wie Namen, Rollen oder Kontaktdaten. Diese fließen direkt in Transkripte und Zusammenfassungen ein. Und diese Zusammenfassungen sind nicht vor Kopieren oder Weiterleiten geschützt. Einmal erzeugt, können sie außerhalb jeder kontrollierten Umgebung landen.
Ist auch der neue Zoom AI Companion datenschutzkonform?
Eine vollständige DSGVO-Konformität existiert bei Zoom ohnehin nicht, denn Datenübermittlungen in die USA finden statt und damit bleibt ein rechtliches Restrisiko bestehen, gerade bei KI-Funktionen, die Inhalte analysieren.
Warum vermeintliche Sicherheiten nicht ausreichen
Viele Argumente, die für einen sorglosen Einsatz sprechen, halten bei genauerem Hinsehen nicht stand. Sie kennen vermutlich einige davon aus eigenen Diskussionen im Unternehmen.
| Falsche Annahme | Warum sie nicht ausreicht |
|---|---|
| „Zoom ist doch schon DSGVO-konform" | KI-Funktionen lösen zusätzliche Datenflüsse aus, die separat geprüft werden müssen |
| „Zoom trainiert keine KI mit unseren Daten" | Verarbeitung, Speicherung und Weitergabe der Inhalte bleiben trotzdem rechtlich relevant |
| „Wir haben ISO 27001 oder SOC 2 gesehen" | Zertifikate zeigen Sicherheitsniveau, ersetzen aber keine konkrete Prüfung Ihrer Datenflüsse |
| „Wir haben einen AVV abgeschlossen" | Regelt die Auftragsverarbeitung, aber nicht, welche Meetings für KI freigegeben werden dürfen |
| „Wir nutzen EU-Rechenzentren" | Daten können trotzdem für Support oder KI-Training in die USA fließen |
Auch der Gedanke „Wir vertrauen unseren Mitarbeitern, dass sie keine sensiblen Themen besprechen" ist keine Strategie. Meetings müssen systematisch gesteuert werden, nicht auf Hoffnung basieren. Und die vermeintlich sichere Haltung „Wir entscheiden später, wenn wir mehr wissen" wird schnell zur teuersten Illusion: Für Dokumentation, Betroffenenrechte und Rechtsgrundlagen kann später bereits zu spät sein.
So bringen Sie Zoom AI Companion unter Kontrolle
Die gute Nachricht: Mit einem strukturierten Vorgehen lässt sich das Risiko deutlich reduzieren. Es geht nicht darum, auf die Effizienzgewinne zu verzichten, sondern darum, sie kontrolliert zu nutzen.
- Bestandsaufnahme machen
- Auftragsverarbeitungsvertrag prüfen
- Datenregion festlegen
- Meeting-Typen definieren
- Zuständigkeiten klären
- Verarbeitung dokumentieren
- Transparenz schaffen
- Betriebsrat einbinden
Wie sich verantwortungsbewusste Unternehmen unterscheiden
Ein verantwortungsbewusstes Unternehmen nutzt KI nicht blind, sondern gesteuert. Es kann jederzeit benennen, welche KI-Funktionen aktiv sind, welche Daten verarbeitet werden und wer darauf zugreifen kann. Gegenüber Mitarbeitern und Kunden wird transparent kommuniziert, dass KI kontrolliert und datenschutzkonform eingesetzt wird.
Damit entsteht ein entscheidender Unterschied zu Unternehmen, die einfach hoffen, dass nichts passiert: Sie bleiben auch dann handlungsfähig, wenn jemand konkret nachfragt, wie KI in Ihrem Unternehmen eingesetzt wird. Egal ob Behörden, Kunden, Lieferanten oder Interessenten (Ausschreibungen).
Fazit: Kontrolle statt Hoffnung
Die entscheidende Frage ist nicht, ob Zoom AI Companion grundsätzlich DSGVO-konform sein kann. Die entscheidende Frage lautet, unter welchen Bedingungen Ihr Unternehmen die Funktion einsetzen darf und wie Sie das nachweisen können. Wer diese Bedingungen aktiv gestaltet, verwandelt ein potenzielles Compliance-Risiko in einen kontrollierten Effizienzgewinn.
Gehen Sie deshalb noch heute Ihre aktuellen Zoom-Einstellungen durch: Welche KI-Funktionen sind aktiv, welche Meetings werden analysiert und wissen alle Beteiligten davon? Diese erste Bestandsaufnahme ist der wichtigste Schritt zu einem sicheren Einsatz.
Ist Zoom AI Companion grundsätzlich verboten für europäische Unternehmen?
Nein, der Einsatz ist grundsätzlich möglich, erfordert aber geprüfte Rechtsgrundlagen, einen passenden Auftragsverarbeitungsvertrag und klare interne Regelungen zur Nutzung.
Reicht ein Auftragsverarbeitungsvertrag mit Zoom aus?
Ein AVV ist notwendig, aber nicht ausreichend, denn er regelt die Auftragsverarbeitung, beantwortet jedoch nicht, welche Meetings für KI-Analysen freigegeben werden dürfen oder wie lange Zusammenfassungen gespeichert werden.
Müssen Meeting-Teilnehmer über den KI-Einsatz informiert werden?
Ja, Transparenz ist ein zentraler Baustein der Datenschutzkonformität, Zoom bietet dafür On-Screen-Hinweise an, die bei aktiven KI-Funktionen automatisch angezeigt werden.
Wann muss der Betriebsrat einbezogen werden?
Sobald Beschäftigtendaten verarbeitet werden oder eine systematische Beobachtung der Mitarbeiter stattfinden könnte, sollte der Betriebsrat frühzeitig informiert und eingebunden werden.
Schützen EU-Rechenzentren automatisch vor allen Datenschutzrisiken?
Nein, selbst bei EU-Hosting können Daten für Support, Entwicklung oder KI-Verarbeitung in die USA übermittelt werden, weshalb weiterhin eine Rechtsgrundlage für internationale Datentransfers erforderlich ist.