DSGVO-konforme Videokonferenz-Anbieter im Vergleich 2026
DSGVO-konforme Videokonferenz-Anbieter erfüllen vier Kernbedingungen: Meetingdaten liegen in der EU oder sind durch Ende-zu-Ende-Verschlüsselung geschützt, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor, Aufzeichnungen erfolgen nur mit Rechtsgrundlage, und Löschfristen sind steuerbar. Seit 2018 wurden rund 7,1 Milliarden Euro DSGVO-Bußgelder verhängt — die Anbieterwahl ist damit eine Compliance-Entscheidung.
Kaum eine Software-Entscheidung berührt den Datenschutz so direkt wie die Wahl des Videokonferenz-Tools: Gesichter, Stimmen, Kundennamen und Bildschirminhalte laufen täglich über fremde Server. Dieser Leitfaden zeigt, welche Kriterien wirklich zählen, wie sich die großen Anbieter 2026 unterscheiden und mit welcher Checkliste Sie Ihre Auswahl rechtssicher dokumentieren.
Inhalt
- Warum die Wahl des Anbieters 2026 so wichtig ist
- Welche Daten eine Videokonferenz verarbeitet
- Die Vorgaben der Datenschutzkonferenz (DSK)
- Die 7 Auswahlkriterien im Detail
- Videokonferenz-Anbieter im DSGVO-Vergleich 2026
- CLOUD Act und Data Privacy Framework: Das Restrisiko der US-Anbieter
- Ihre DSGVO-Checkliste für Videokonferenzen
- Welcher Anbieter passt zu welchem Einsatz?
- Häufig gestellte Fragen
Warum die Wahl des Anbieters 2026 so wichtig ist
Die Durchsetzung der DSGVO ist längst Routine. Nach dem DLA Piper GDPR Fines and Data Breach Survey vom Januar 2026 haben europäische Aufsichtsbehörden seit 2018 Bußgelder von insgesamt rund 7,1 Milliarden Euro verhängt — davon etwa 1,2 Milliarden Euro allein im Jahr 2025. Die Zahl der gemeldeten Datenpannen stieg im selben Zeitraum um 22 Prozent auf durchschnittlich 443 Meldungen pro Tag.
Auch die betriebswirtschaftliche Seite ist messbar: Der IBM Cost of a Data Breach Report 2025 beziffert die durchschnittlichen Kosten einer Datenpanne weltweit auf 4,44 Millionen US-Dollar. Eine kompromittierte Aufzeichnung eines Personalgesprächs oder einer Mandantenbesprechung lässt sich dagegen kaum in Zahlen fassen.
Wer DSGVO-konforme Videokonferenz-Anbieter sucht, trifft also keine reine IT-Entscheidung. Es geht um die Frage, wem Sie Stimmen, Gesichter und Geschäftsgeheimnisse Ihres Unternehmens anvertrauen — und ob Sie diese Entscheidung gegenüber Aufsichtsbehörden, Kunden und dem eigenen Betriebsrat begründen können.
Welche Daten eine Videokonferenz verarbeitet
Eine einzige Konferenz verarbeitet deutlich mehr personenbezogene Daten, als vielen Verantwortlichen bewusst ist:
- Audio- und Videostreams — Gesichter und Stimmen der Teilnehmenden
- Identifikatoren — Namen, E-Mail-Adressen, IP-Adressen, Geräteinformationen
- Metadaten — wer mit wem, wann, wie lange und von wo konferiert hat
- Inhalte — Chatnachrichten, geteilte Dateien, Bildschirmübertragungen
- Aufzeichnungen und Transkripte — dauerhafte Kopien all dieser Daten
- KI-generierte Daten — automatische Zusammenfassungen, Untertitel und Übersetzungen
Die Vorgaben der Datenschutzkonferenz (DSK)
Für Deutschland hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden (DSK) mit ihrer Orientierungshilfe Videokonferenzsysteme aus dem Oktober 2020 samt ergänzender Checkliste den Maßstab gesetzt, an dem Aufsichtsbehörden Videokonferenzen bis heute messen. Die Kernpunkte:
- Vor dem Einsatz braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Anbieter.
- Der Grundsatz der Datenminimierung gilt schon bei der Auswahl und Konfiguration: Nur die Daten, die für den Zweck erforderlich sind, dürfen verarbeitet werden.
- Technische und organisatorische Maßnahmen (TOM) — Verschlüsselung, Zugriffskontrollen, Rollentrennung — müssen dokumentiert und dem Risiko angemessen sein.
- Die Verarbeitung ist im Verzeichnis von Verarbeitungstätigkeiten zu erfassen; Teilnehmende sind transparent zu informieren.
Die 7 Auswahlkriterien im Detail
1. Serverstandort und Datenresidenz
Fragen Sie kategoriegenau nach: Wo liegen Medienströme, Aufzeichnungen, Chatverläufe und Kontodaten? Microsoft hat seine EU Data Boundary im Februar 2025 abgeschlossen, sodass Geschäftskunden Kerndaten in der EU und EFTA halten können. Cisco speichert Webex-Daten europäischer Kunden seit Oktober 2022 in Frankfurt und Amsterdam. Zoom bietet EU-Rechenzentren nur für berechtigte Bezahltarife an — Konto- und Diagnosedaten verbleiben in den USA. „EU-Hosting" ist häufig eine Einstellung oder ein Tarifmerkmal, nicht der Standard.
2. Auftragsverarbeitungsvertrag
Ohne AVV keine Nutzung — das ist keine Formalie, sondern eine eigenständige Pflicht. Der Vertrag muss Gegenstand und Dauer der Verarbeitung, Datenkategorien, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, die Genehmigung von Subunternehmern und die Löschung nach Vertragsende regeln. Seriöse Anbieter veröffentlichen ihren AVV offen.
3. Ende-zu-Ende-Verschlüsselung — und ihr Kleingedrucktes
Transportverschlüsselung (TLS/SRTP) schützt Daten auf dem Weg zum Server — dort werden sie jedoch entschlüsselt. Bei echter Ende-zu-Ende-Verschlüsselung (E2EE) liegen die Schlüssel ausschließlich auf den Geräten der Teilnehmenden; der Anbieter kann Inhalte technisch nicht lesen.
Bei den großen Plattformen ist E2EE Stand Mitte 2026 die Ausnahme: Zoom bietet sie optional an — standardmäßig deaktiviert und mit Funktionseinbußen wie fehlender Cloud-Aufzeichnung. Microsoft Teams verschlüsselt 1:1-Anrufe Ende-zu-Ende, Meetings mit bis zu 200 Teilnehmenden erfordern eine Teams-Premium-Lizenz. Google Meet verschlüsselt standardmäßig bei Übertragung und Speicherung, clientseitige Verschlüsselung bleibt ausgewählten Workspace-Editionen vorbehalten.
Meeyra geht den umgekehrten Weg: Meetings laufen im Browser mit Ende-zu-Ende-Verschlüsselung als Teil der Kernarchitektur — ohne Zusatzlizenz und ohne Installation. E2EE löst zugleich das schwierigste Rechtsproblem dieser Kategorie: Was der Anbieter nicht entschlüsseln kann, kann er auch nicht herausgeben.
4. Subunternehmer und Telemetrie
Prüfen Sie, ob der Anbieter eine aktuelle Subunternehmerliste veröffentlicht, ob Sie über Änderungen informiert werden und welche Diagnosedaten an Dritte fließen. Ein Dienst, der Meeting-Inhalte für Werbezwecke auswertet, scheidet für den Unternehmenseinsatz aus.
5. Aufzeichnung, Einwilligung und KI-Funktionen
Die Plattform sollte Aufzeichnungen sichtbar signalisieren, Teilnehmende aktiv informieren und Aufnahmerechte administrativ begrenzen können. Dieselbe Sorgfalt gilt inzwischen für KI-Funktionen: Transkription, automatische Zusammenfassungen und Übersetzungen verarbeiten personenbezogene Daten, und der EU AI Act — seit August 2024 in Kraft, mit Übergangsfristen bis 2027 — ergänzt die DSGVO um zusätzliche Transparenzpflichten.
6. Betroffenenrechte und Löschfristen
Auskunfts- und Löschersuchen müssen Sie binnen eines Monats erfüllen. Das gelingt nur mit Export-Werkzeugen, echten Löschroutinen für Aufzeichnungen und Transkripte sowie konfigurierbaren Aufbewahrungsfristen mit automatischer Bereinigung.
7. Zertifizierungen und Sicherheitshistorie
ISO 27001 und SOC 2 belegen gelebtes Sicherheitsmanagement. Direkt auf die DSGVO zugeschnitten ist der EU Cloud Code of Conduct — Webex erreichte als erstes Konferenzprodukt dessen höchste Nachweisstufe. Werfen Sie zusätzlich einen Blick auf die Vorfallhistorie des Anbieters und dessen Kommunikation im Ernstfall.
Videokonferenz-Anbieter im DSGVO-Vergleich 2026
Die Übersicht fasst die datenschutzrelevanten Fakten nach Herstellerangaben mit Stand Mitte 2026 zusammen. Prüfen Sie die Details stets für Ihren konkreten Tarif.
| Anbieter | EU-Datenresidenz | Ende-zu-Ende-Verschlüsselung | AVV | Anmerkungen |
|---|---|---|---|---|
| Meeyra | Meeting-Inhalte durch E2EE geschützt — für Server nicht lesbar | Standard, browserbasiert | Ja | Live-Übersetzung in 42+ Sprachen, keine Installation |
| Zoom | EU-Rechenzentren optional für berechtigte Bezahltarife; Konto-/Diagnosedaten in den USA | Optional, standardmäßig aus; deaktiviert u. a. Cloud-Aufzeichnung | Ja, in den Nutzungsbedingungen | EU-Residenz muss aktiv konfiguriert werden |
| Microsoft Teams | EU Data Boundary für Geschäftskunden (seit Februar 2025) | 1:1-Anrufe; Meetings bis 200 Teilnehmende nur mit Teams Premium | Ja | E2EE lizenzgebunden |
| Google Meet | Datenregionen in ausgewählten Workspace-Editionen | Clientseitige Verschlüsselung nur in ausgewählten Editionen | Ja | Privatkonten ohne diese Kontrollen |
| Webex | Vollständige EU-Residenz (Frankfurt/Amsterdam) seit Oktober 2022 | Optionaler Zero-Trust-E2EE-Modus | Ja | Höchste Stufe des EU Cloud CoC |
| Jitsi Meet (selbst gehostet) | Ihre Server, Ihre Wahl | Abhängig vom Deployment | Sie sind selbst Betreiber | Volle Kontrolle, aber eigener IT-Aufwand |
Keine Spalte entscheidet allein über die Konformität: Ein US-Anbieter mit EU-Hosting bleibt dem CLOUD Act unterworfen, und eine selbst gehostete Lösung verlagert sämtliche Sicherheitspflichten auf Ihr eigenes Team.
CLOUD Act und Data Privacy Framework: Das Restrisiko der US-Anbieter
Seit Juli 2023 legalisiert das EU-US Data Privacy Framework (DPF) Datentransfers an zertifizierte US-Unternehmen. Das Gericht der Europäischen Union wies eine Klage gegen den Angemessenheitsbeschluss am 3. September 2025 ab — das Rechtsmittel dagegen ist jedoch seit Oktober 2025 beim Europäischen Gerichtshof anhängig, und die als „Schrems III" diskutierten Grundsatzfragen sind ungeklärt: Die zugrunde liegende US-Rechtsgrundlage ist eine Executive Order, die jede künftige US-Regierung ohne Kongressbeschluss ändern könnte.
Unabhängig davon verpflichtet der CLOUD Act US-kontrollierte Anbieter, Daten auf rechtmäßige Anordnung an US-Behörden herauszugeben — gleichgültig, wo die Daten gespeichert sind. Ein Frankfurter Rechenzentrum schaltet dieses Risiko nicht ab, und der Anbieter darf die Betroffenen über den Zugriff in der Regel nicht einmal informieren.
Die praktikabelste Antwort ist deshalb architektonisch: Wählen Sie ein Setup, in dem der Anbieter Ihre Inhalte gar nicht erst lesen kann — durch standardmäßige Ende-zu-Ende-Verschlüsselung, kundenseitige Schlüssel oder Selbst-Hosting. Genau diese Maßnahmen erwarten Aufsichtsbehörden auch in einem Transfer Impact Assessment.
Ihre DSGVO-Checkliste für Videokonferenzen
Übernehmen Sie diese zehn Punkte in Ihre Anbieterprüfung — jeder Punkt braucht eine dokumentierte Antwort:
- Auftragsverarbeitungsvertrag abgeschlossen und archiviert (Art. 28 DSGVO)
- Rechtsgrundlage je Verarbeitung dokumentiert, insbesondere für Aufzeichnungen (Art. 6)
- Serverstandorte für alle Datenkategorien geklärt — Medien, Aufzeichnungen, Chat, Kontodaten
- Verschlüsselungsmodell festgehalten: Transportverschlüsselung oder echte E2EE
- Subunternehmerliste geprüft, Änderungsbenachrichtigungen aktiviert
- Aufzeichnungsrichtlinie definiert: Wer darf aufzeichnen, wie werden Teilnehmende informiert
- Aufbewahrungsfristen mit automatischer Löschung konfiguriert
- Prozess für Betroffenenanfragen von Ende zu Ende getestet
- Datenschutzhinweise um Videokonferenzen und KI-Funktionen ergänzt
- Transfer Impact Assessment durchgeführt, falls Daten die EU verlassen
Welcher Anbieter passt zu welchem Einsatz?
Für Berufsgeheimnisträger und regulierte Branchen — Kanzleien, Praxen, Personalabteilungen, Finanzdienstleister — ist standardmäßige Ende-zu-Ende-Verschlüsselung die stärkste Position: Sie beseitigt ganze Risikoklassen, statt sie nur zu verkleinern.
Für Unternehmen tief im Microsoft- oder Google-Ökosystem ist der pragmatische Weg, vorhandene Lizenzen richtig zu konfigurieren: EU-Datenresidenz aktivieren, E2EE lizenzieren, Aufnahmerechte einschränken und jede Entscheidung dokumentieren.
Für Teams, die Konformität ohne IT-Projekt wollen, lohnt sich der Blick auf browserbasierte Lösungen. Meeyra verbindet Ende-zu-Ende-Verschlüsselung mit Echtzeit-Übersetzung in 42+ Sprachen — eine Münchner Kanzlei, ein französischer Mandant und ein türkischer Geschäftspartner sprechen jeweils ihre eigene Sprache, ohne Installation und ohne Zusatzlizenz. Die Tarife finden Sie auf der Preisseite.
Häufig gestellte Fragen
Ist Zoom DSGVO-konform?
Zoom lässt sich DSGVO-konform betreiben, ist es aber nicht automatisch. Erforderlich sind ein Bezahltarif mit konfigurierter EU-Datenresidenz, der abgeschlossene AVV, aktivierte Ende-zu-Ende-Verschlüsselung für sensible Meetings und dokumentierte Einwilligungen bei Aufzeichnungen. Konto- und Diagnosedaten verbleiben zudem in den USA.
Ist Google Meet DSGVO-konform?
In Workspace-Editionen mit Datenregionen und clientseitiger Verschlüsselung kann Google Meet konform eingesetzt werden; Privatkonten bieten diese Kontrollen nicht. Als US-Dienst bleibt die CLOUD-Act-Problematik Teil Ihrer Transferbewertung.
Verlangt die DSGVO eine Ende-zu-Ende-Verschlüsselung?
Nein. Art. 32 DSGVO fordert dem Risiko angemessene Maßnahmen. Für vertrauliche Gespräche — Rechtsberatung, Gesundheitsthemen, Personalgespräche — ist E2EE jedoch die Maßnahme, die dem Risiko am klarsten entspricht, und sie vereinfacht die Transferbewertung erheblich.
Brauche ich eine Einwilligung für Meeting-Aufzeichnungen?
Sie brauchen eine Rechtsgrundlage — in der Praxis heißt das: alle Teilnehmenden vor Beginn der Aufzeichnung informieren und Widerspruch ermöglichen. Heimliche Aufnahmen verstoßen gegen die DSGVO und sind in Deutschland nach § 201 StGB strafbar.
Was muss ein Auftragsverarbeitungsvertrag enthalten?
Gegenstand und Dauer der Verarbeitung, Art der Daten, Kategorien der Betroffenen, Weisungsbindung, Vertraulichkeitspflichten, Sicherheitsmaßnahmen nach Art. 32, Regeln für Subunternehmer, Unterstützung bei Betroffenenrechten sowie Löschung oder Rückgabe der Daten nach Vertragsende.
Sind US-Anbieter mit dem Data Privacy Framework jetzt rechtssicher?
Derzeit ja — das DPF bietet zertifizierten Anbietern eine gültige Transfergrundlage und hat 2025 seine erste gerichtliche Prüfung überstanden. Das Rechtsmittel ist jedoch anhängig, und der CLOUD Act gilt unabhängig vom Speicherort. Risikoaverse Organisationen sichern sich mit E2EE oder EU-Anbietern ab.
Was kostet ein DSGVO-Verstoß?
Die DSGVO sieht Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. 2025 verhängten europäische Aufsichtsbehörden rund 1,2 Milliarden Euro; hinzu kommen Schadensersatzansprüche Betroffener und der Reputationsschaden.
Die Suche nach DSGVO-konformen Videokonferenz-Anbietern endet nicht bei einem Logo oder Siegel, sondern bei vier überprüfbaren Fragen: Wo liegen die Daten, was steht im Vertrag, wer kann Ihre Meetings entschlüsseln, und wie funktioniert die Löschung? Die Antworten sind dokumentiert und vergleichbar — nutzen Sie die Checkliste aus diesem Beitrag als Grundlage Ihrer Entscheidung.
Wenn Sie den kürzesten Weg zu einem belastbaren Setup suchen: Meeyra startet Ende-zu-Ende-verschlüsselte Meetings direkt im Browser und übersetzt Gespräche live in 42+ Sprachen — ideal für internationale Teams mit hohen Vertraulichkeitsanforderungen. Erstellen Sie Ihr kostenloses Konto und führen Sie Ihr nächstes Meeting auf einer Infrastruktur, die für Vertraulichkeit gebaut wurde.