Zoom
Videokonferenzen · zoom.com · zuletzt gelesen 2026-11-09
Produkte, die Zoom als eigene nennt: Zoom Workplace, ZoomMate, Meetings, Chat, Phone, Mail & Calendar, Scheduler, Whiteboard und 29 weitere
Auf einen Blick
- Ist Zoom DSGVO-konform?
- Kein Werkzeug ist für sich allein DSGVO-konform: Es kommt darauf an, was Sie damit verarbeiten und wie. Hier steht, was Zoom selbst veröffentlicht, jede Antwort mit Quelle und Abrufdatum.
- Hat Zoom einen Auftragsverarbeitungsvertrag (AVV)?
- Ja. Zoom veröffentlicht einen Auftragsverarbeitungsvertrag auf media.zoom.com. Neue Unterauftragsverarbeiter werden je nach Fall 7 bis 30 Tage vorher angekündigt; der Abschnitt AVV nennt jede Frist. Der Vertrag sagt eine Meldung von Datenschutzverletzungen „unverzüglich“ zu, ohne Stundenzahl. Quelle und Datum
- Welche Fassung des AVV von Zoom ist aktuell?
- Am 2026-11-09 stand im AVV von Zoom auf media.zoom.com: „Zoom Global Data Processing Addendum (November 2024)“. Quelle und Datum
- Wie übermittelt Zoom personenbezogene Daten aus der EU?
- Der Vertrag von Zoom stützt sich auf die EU-Standardvertragsklauseln und das britische Übermittlungs-Addendum. Zoom steht auf der offiziellen Data Privacy Framework List (Status: Active). Quelle und Datum
- Wo speichert Zoom die Daten von EU-Kunden?
- Ein EU-Standort existiert, setzt aber einen kostenpflichtigen Tarif oder ein Add-on voraus. Tarif: Paid account; admins only. Quelle und Datum
- Welche Unterauftragsverarbeiter setzt Zoom ein?
- Zoom nennt 24 externe Unterauftragsverarbeiter; 23 davon geben mindestens ein Verarbeitungsland außerhalb des EWR an. Zuletzt gelesen am 2026-10-05. Quelle und Datum
- Wie meldet man Zoom eine Sicherheitslücke?
- Zoom veröffentlicht eine security.txt auf zoom.com mit dem Kontakt https://www.zoom.com/en/trust/vulnerability-disclosure/submit-vulnerability-report oder [email protected]. Quelle und Datum
Vertragspartner und Eigentümer
| Vertragspartner | Zoom Communications, Inc. |
|---|---|
| Sitz | US |
| Muttergesellschaft | — |
| Oberste Eigentümerschaft (Land) | — |
| Vertragspartner für die EU | — |
| LEI | 549300T9GCHU0ODOM055 |
| Reichweite des US CLOUD Act | Vertragspartner ist eine US-Gesellschaft |
| Quelle | zoom.com · 2026-10-08 |
Vertragspartner laut den eigenen Bedingungen des Anbieters. LEI, Registerland und Muttergesellschaft aus dem Global LEI Index (GLEIF); wo GLEIF keine Muttergesellschaft nennt, bleibt die Eigentümerschaft leer. Die CLOUD-Act-Zeile leitet sich allein aus diesen Ländern ab und ist keine Risikobewertung.
Datenstandort
| Region | EU-Datenstandort | Mindesttarif | Quelle | Gelesen am |
|---|---|---|---|---|
| EU | Gegen Aufpreis | Paid account; admins only | support.zoom.com | 2026-09-18 |
EU: Page states Customer Content is stored in the US by default and that customers on PAID accounts may choose the storage location for some of it. Long-term file storage always stays in the home data-centre region, and region selection does not apply to Zoom Phone. Individual users cannot view or change the setting - admins only.
Dieselbe Frage für jeden Anbieter: wo SaaS-Anbieter EU-Daten speichern.
Die Liste der Unterauftragsverarbeiter von Zoom nennt AWS, Microsoft, Google und Oracle für Hosting oder Infrastruktur. Welche SaaS-Anbieter auf welcher Cloud laufen, und die souveränen Angebote der Clouds (auf Englisch): Sovereign clouds.
Unterauftragsverarbeiter
24 Drittanbieter · 27 eigene Konzerngesellschaften · 23 mit einem Land außerhalb des EWR · alle gelesen am 2026-10-05
| Unterauftragsverarbeiter | Land | Zweck |
|---|---|---|
| Amazon Web Services | AU, BR, CA, EU, IN, JP, SG, TW, US | Cloud Service Provider |
| Anthropic | US | Intelligent Features Service Provider |
| Authzed, Inc. | US | Authorization / Permissions service (Developer tools) |
| Cloudflare | — | Content Delivery Network |
| Cloudflare | EU, US | Security |
| Eleven Labs Inc. | US, EU | Intelligent Features Service Provider (Text to Speech,Voice Cloning, Dubbing) |
| Google Cloud Platform | US, EU, UY, CL, TW, JP, SG | Cloud Service Provider, Intelligent Features Service Provider |
| MaestroQA | IE, US | Support Quality Assurance |
| Microsoft | CH | Cloud Service Provider. |
| Microsoft | AU, BR, CA, EU, IN, JP, SG, TW, US | Microsoft’s Azure AI Speech, Speech-to-Text service. |
| MongoDB | US | Developer Database Platform |
| OneTrust | US | Data Subject Requests Portal, Cookie Preference Center |
| OpenAI | US, EU | Intelligent Features Service Provider |
| Oracle | MX, US, SA | Cloud Service Provider |
| Perplexity | US | Intelligent Features Service Provider |
| Qualtrics | DE, US | Feedback, Reviews, and Survey Responses |
| Sendbird | EU, US | Chat Functionality for Workvivo Customers (Optional) |
| SendSafely | US | Encrypted file transfer service |
| ServiceNow | DE, US | Cloud-based Customer Service Platform |
| Stripe | US | Payment Processing (Zoom Events) |
| Suki AI | US | Intelligent Features Service Provider |
| Sumit-AI | EU, US | AI Speech, Speech-to-Text service |
| TaskUS | PH, HR | Support Providers |
| Twilio | US, EU | Notifications |
Eigene Konzerngesellschaften von Zoom, die als Unterauftragsverarbeiter geführt werden (27)
| Gesellschaft | Land | Zweck |
|---|---|---|
| Bonsai Technologies Inc. | US, FR | — |
| Brighthire, Inc. | US | — |
| Keybase, LLC | US | — |
| Saasbee Inc. (Hefei) Ltd. | CN | — |
| Saasbee Software (Hangzhou) Co., Ltd. | CN | — |
| Solvvy, LLC | US | — |
| Workvivo Limited | IE | — |
| ZM Services India Private Ltd. | IN | — |
| Zoom Arabia Communications Company | SA | — |
| Zoom Communications, Inc. | US | — |
| Zoom Middle East and North Africa Regional Headquarters Company | SA | — |
| Zoom Software (Hangzhou) Co., Ltd. | CN | — |
| Zoom Software (Wuhan) Co., Ltd. | CN | — |
| Zoom Video Communications (Hong Kong) Limited | HK | — |
| Zoom Video Communications (Shanghai) Co., Ltd. | CN | — |
| Zoom Video Communications (Suzhou) Inc. | CN | — |
| Zoom Video Communications Korea, LLC | KR | — |
| Zoom Voice Communications, Inc. | US, HK | — |
| ZVC Canada, Ltd. | CA | — |
| ZVC France SAS | FR | — |
| ZVC Germany GmbH | DE | — |
| ZVC India Pvt. Ltd. | IN | — |
| ZVC JAPAN K.K. | JP | — |
| ZVC Netherlands B.V. | NL, NO | — |
| ZVC Singapore Pte. Ltd. | SG | — |
| ZVC UK Ltd. | GB | — |
| ZVC- Australia Pty Ltd. | AU | — |
Die Zahl außerhalb des EWR ist eine reine Auszählung der Länderspalte, keine rechtliche Bewertung. Eine Übermittlung außerhalb des EWR kann vollkommen rechtmäßig sein; ob sie es ist, hängt von Ihrer Nutzung ab, nicht vom Anbieter.
Alle Unterauftragsverarbeiter im Register, und welche Anbieter sie nennen (auf Englisch): Subprocessors.
Auftragsverarbeitungsvertrag (AVV)
Aus dem Auftragsverarbeitungsvertrag des Anbieters (englische Fassung) · gelesen am 2026-10-09 · media.zoom.com
| Regelung | Was der Vertrag sagt (Originalwortlaut, englisch) |
|---|---|
| Übermittlungsgrundlage | SCC Modul 1 (Verantwortlicher an Verantwortlichen) |
| Übermittlungsgrundlage | SCC Modul 2 (Verantwortlicher an Auftragsverarbeiter) |
| Übermittlungsgrundlage | SCC Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) |
| Übermittlungsgrundlage | Schweizer Klauseln (DSG) |
| Übermittlungsgrundlage | UK-Nachtrag (UK Addendum) |
| Ankündigung neuer Unterauftragsverarbeiter | At least 30 business days before the new subprocessor starts processing, by email to the address the customer enters on the subprocessor webpage |
| Ankündigung neuer Unterauftragsverarbeiter | In an emergency about Service availability or security, no prior notice is required; notice within 7 business days after the change |
| Ankündigung neuer Unterauftragsverarbeiter | In an emergency concerning availability or security, no prior notice; notice within 7 business days after the change |
| Ankündigung neuer Unterauftragsverarbeiter | Notice of changes to subprocessors to customers who subscribe to updates at https://explore.zoom.us/en/subprocessors/; no advance period stated |
| Widerspruchsrecht | Customer may object in writing within 15 business days of notice. Zoom chooses how to cure: cancel, take corrective steps, stop providing the affected Service aspect, or offer alternatives. If no subprocessor objection is made, the subprocessor is deemed accepted |
| Widerspruchsrecht | If no alternative is provided or agreed, either party may terminate the affected portion(s) of the Agreement within 30 days, with prior written notice; fees owed up to the termination date remain due |
| Widerspruchsrecht | Object in writing within 15 business days of notice; Zoom chooses how to cure (drop the subcontractor, take corrective steps, or stop providing the affected Service); if no alternative is agreed, either party may terminate the affected portion on 30 days' written notice; no objection means the subcontractor is deemed accepted |
| Weitergabe der Pflichten an Unterauftragsverarbeiter | By contract or other legal act, data protection obligations consistent with the Addendum and in accordance with GDPR requirements |
| Meldung von Datenschutzverletzungen | without undue delay after a confirmed Personal Data Breach (at Zoom or a subprocessor) |
| Löschung nach Vertragsende | Following completion of the Services, at Customer's choice, deletes the specified Customer Personal Data (or enables Customer to delete it) and any existing copies per Zoom's data retention and deletion policy; where deletion is impracticable or legally prohibited, informs Customer, blocks further processing and continues to protect the data |
| Rückgabe der Daten | Following completion of the Services, at Customer's choice, returns the specified Customer Personal Data to Customer |
| Unterstützung bei Betroffenenrechten | Promptly notifies Customer of a data subject request received directly and advises the data subject to submit it to Customer, who is responsible for responding; assists Customer through appropriate technical and organisational measures |
| Kontroll- und Auditrechte | Annual independent third-party review (SSAE, SOC 2 Type II); copy of SOC 2 Type II report provided on customer request within 30 days; bridge letter on request |
| Kontroll- und Auditrechte | Customer may audit, review, or assess Zoom no more than once every 12 months, at Customer's sole cost and expense, subject to reasonable requirements and written agreements (CCPA State Law Exhibit) |
| Kontroll- und Auditrechte | Customer relies on Zoom's third-party SOC 2 Type II report (copy within 30 days of request, bridge letter on request); no right to audit unless granted by applicable law, except after a Security Breach with material business impact to Customer — audit within scope of the Services, at least 30 days' notice, Zoom approves any third party involved |
| Kontroll- und Auditrechte | ISO 27001 / SOC 2 Type II third-party audit reports available on request; customer may have an audit by a mutually agreed auditor at its own request and cost, no more than once a year (extra audits after a Zoom data breach or if ordered by a Supervisory Authority); on-premise audits limited to two weeks |
| Kontroll- und Auditrechte | On reasonable request, Zoom provides reasonable information in its possession needed to show compliance |
| Kontroll- und Auditrechte | Zoom conducts third-party audits and assessments per Sections 10.1 and 10.2 of the Addendum (US state law exhibit) |
| Kontroll- und Auditrechte | audit by an independent, suitably qualified third-party auditor; start date, duration, scope and controls agreed in advance; on-premise audits not to exceed two weeks; conducted under recognized international auditing standards |
| Transfer Impact Assessment (TIA) | Zoom performs a case-by-case assessment of whether supplementary measures are needed for onward transfers to third countries |
| Transfer Impact Assessment (TIA) | Zoom will follow EDPB and applicable data protection law requirements on completing a data transfer impact assessment (DTIA) |
| Verarbeitung nur auf Weisung | Zoom acts on Customer's instructions as Processor: it processes Customer Personal Data as set out in the Agreement, Annex I, and any other documented instruction from Customer that Zoom acknowledges as an instruction |
| Vertraulichkeit der Beschäftigten | All persons authorised to process Customer Personal Data and Customer Content are made aware of its confidential nature and have committed to confidentiality (e.g., confidentiality agreements) or are under an appropriate legal obligation of confidentiality |
| Technische und organisatorische Maßnahmen | processes all Customer Personal Data in compliance with the Security Measures referenced in Section 6 of the Addendum |
Regelungen so, wie der Vertrag sie formuliert. Wo er zu einem Punkt schweigt, gibt es keine Zeile – das heißt nicht, dass der Anbieter ihn nicht anbietet.
Welche Fassung gilt
Am 2026-11-09 stand im Vertrag: Zoom Global Data Processing Addendum (November 2024)
auf media.zoom.com
Zuletzt aktualisiert 2024-11
Diese Fassung ist seit dem 2026-10-09 in unseren Kopien.
Diese Regelungen für alle Anbieter nebeneinander (auf Englisch): Data processing agreements compared. Was Anbieter für ein Transfer Impact Assessment bereitstellen: Transfer impact assessments.
Zertifizierungen und Testate
| Standard | Status | Geltungsbereich | Quelle | Gelesen am |
|---|---|---|---|---|
| BSI C5 · C5 | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| CAIQ | Nur behauptet | Workvivo | zoom.com | 2026-10-05 |
| CJIS | Nur behauptet | Zoom for Government; Compliance Assessment Report | zoom.com | 2026-10-05 |
| CSA STAR Level 2 · CSA | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| UK Cyber Essentials Plus · CyberEssentialsPlus | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| DODIL4 · DoDIL | Nur behauptet | Zoom for Government | zoom.com | 2026-10-05 |
| ENS | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| Japan’s FISC · FISC | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| FedRAMP Moderate · FedRAMP | Nur behauptet | Zoom for Government | zoom.com | 2026-10-05 |
| Gov-RAMP · GovRAMP | Nur behauptet | Zoom for Government | zoom.com | 2026-10-05 |
| HDS | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| HECVAT | Nur behauptet | Assessments and standards | zoom.com | 2026-10-05 |
| ISMAP | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| ISO 27001 · ISO27001 | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| ISO 27017 / 18 · ISO27017 | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| ISO 27701 · ISO27701 | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| ETDA | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| gpaNRW | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
| MASA | Nur behauptet | Commercial; mobile applications in Taiwan | zoom.com | 2026-10-05 |
| SOC Type 2 | Nur behauptet | Workvivo; SOC 2 Type 2 report covering Security, Availability, and Privacy | zoom.com | 2026-10-05 |
| SIG | Nur behauptet | Assessments and standards | zoom.com | 2026-10-05 |
| SOC 2 + HITRUST · SOC2T2 | Nur behauptet | Commercial; SOC 2 Type 2 report that includes controls relevant to HITRUST | zoom.com | 2026-10-05 |
| SOC 2 Type 2 · SOC2T2 | Nur behauptet | Commercial; report covering Security, Availability, Confidentiality, and Privacy | zoom.com | 2026-10-05 |
| TX-RAMP · TXRAMP | Nur behauptet | Commercial certifications and attestations | zoom.com | 2026-10-05 |
Nur behauptet heißt: Der Anbieter nennt den Standard auf seiner Seite, legt aber nichts weiter vor. Auf Anfrage heißt: Bericht oder Zertifikat existieren, liegen aber hinter einer Anfrage, einem Login oder einer NDA. In beiden Fällen haben wir kein Zertifikat gesehen. Diese Unterscheidung trifft jeder Prüfer – also treffen wir sie auch.
C5, SecNumCloud, ENS und HDS für jeden Anbieter: Zertifizierungen im Vergleich.
Amtliche Register
| Register | Angebot, wie das Register es nennt | Status | Stufe | Gültig bis | Gelesen am |
|---|---|---|---|---|---|
| Data Privacy Framework List (USA) | EU-U.S. Data Privacy Framework · Zoom | Active | HR data, non-HR data | 2026-12-19 | 2026-10-05 |
| Data Privacy Framework List (USA) | Swiss-U.S. Data Privacy Framework · Zoom | Active | HR data, non-HR data | 2026-12-19 | 2026-10-05 |
| Data Privacy Framework List (USA) | UK Extension to the EU-U.S. DPF · Zoom | Active | HR data, non-HR data | 2026-12-19 | 2026-10-05 |
| ENS-Konformitätszertifikate (CCN, Spanien) | Los sistemas de Información que soportan los servicios de la Plataforma Zoom ((Meetings, Team Chat, Phone, Mail and Calendar, Scheduler, Docs, Whiteboard, Clips, Tasks, Notes, Rooms , Workspace Reservation, Visitor Management, Contact Center, Virtual Agent, Workforce Engagement Management - Workforc… · Zoom Video Communications Inc. | certified | ENS ALTA | 2028-04-17 | 2026-10-18 |
| FedRAMP Marketplace (USA) | Zoom for Government · Zoom Video Communications, LLC | FedRAMP Authorized | Moderate | — | 2026-10-04 |
| Globaler LEI-Index (GLEIF) | ZOOM COMMUNICATIONS, INC. · ZOOM COMMUNICATIONS, INC. | ISSUED | US-DE | 2026-11-24 | 2026-10-08 |
- ACN-qualifizierte Cloud (Italien): geprüft am 2026-11-02, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- ISO 27001 auf der Basis von IT-Grundschutz (BSI): geprüft am 2026-11-09, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- CISPE Data Protection Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-09, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- Kritische IKT-Drittdienstleister nach DORA (ESAs): geprüft am 2026-10-26, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- Data Privacy Framework List (USA): geprüft am 2026-11-02, 3 Einträge gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- ENS-Konformitätszertifikate (CCN, Spanien): geprüft am 2026-11-02, 1 Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- EU Cloud Code of Conduct (DSGVO Art. 40): geprüft am 2026-11-02, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- FedRAMP Marketplace (USA): geprüft am 2026-11-02, 1 Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- Unterzeichner des GPAI-Verhaltenskodex (Europäische Kommission): geprüft am 2026-11-09, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
- SecNumCloud-qualifizierte Dienste (ANSSI, Frankreich): geprüft am 2026-11-02, kein Eintrag gesucht unter ZVC Netherlands B.V.; Zoom; Zoom Communications, Inc.
Was die Behörde veröffentlicht, nicht was der Anbieter behauptet. Ein Eintrag gilt nur für das genannte Angebot: Eine FedRAMP-Autorisierung für eine Behördenversion sagt nichts über den kommerziellen Dienst. Kein Eintrag ist kein Befund über die Sicherheit – die meisten Anbieter beantragen nie – und ein Eintrag unter einem hier nicht aufgeführten Namen wäre nicht gefunden worden.
Was ein Eintrag in der Data Privacy Framework List abdeckt, und welche Anbieter einen haben (auf Englisch): EU-US Data Privacy Framework.
Supportzeitraum
| Produkt | Supportzeitraum | Stand | SBOM | Quelle | Gelesen am |
|---|---|---|---|---|---|
| VDI client | 9 Monate | Angegeben | unbekannt | support.zoom.com | 2026-10-11 |
| Zoom Rooms | 9 Monate | Angegeben | unbekannt | support.zoom.com | 2026-10-11 |
| Zoom Workplace app | 9 Monate | Angegeben | unbekannt | support.zoom.com | 2026-10-11 |
Meldung von Schwachstellen: zoom.com, [email protected] (security.txt, gültig bis 2029-12-31; gelesen 2026-10-17)
Wie andere Anbieter ihre veröffentlichen (auf Englisch): security.txt im Register.
Produkte
- Zoom Workplace
- ZoomMate
- Meetings
- Chat
- Phone
- Mail & Calendar
- Scheduler
- Whiteboard
- Clips
- Hub
- Video Management
- Rooms
- Workspace Reservation
- Signage
- Visitor Management
- Workvivo
- Revenue Accelerator
- Webinars & Events
- Bonsai
- BrightHire
- Contact Center
- AI Expert Assist
- Workforce Management
- Quality Management
- CX Insights
- My Notes
- Virtual Agent
- AI On-Prem
- Canvas
- Slides
- Sheets
- Paper
- Video SDK
- Co-Browse
- Realtime Media Streams
- Zoom Apps
- Meeting SDK
So benannt, wie die eigene Liste von Zoom sie nennt. Jede Angabe auf dieser Seite stammt aus dem daneben zitierten Dokument; ein hier genanntes Produkt ist nicht unbedingt von jedem dieser Dokumente erfasst. Quelle: zoom.com, 2026-10-29.
Dokumente
| Dokument | Zugänglichkeit | Erfassung | HTTP | Gelesen am |
|---|---|---|---|---|
| ai-2 | Öffentlich | full | 200 | 2026-10-28 |
| dpa | Öffentlich | full | 200 | 2026-10-09 |
| lifecycle | Öffentlich | full | 200 | 2026-10-11 |
| products | Öffentlich | full | 200 | 2026-10-29 |
| subprocessors | Öffentlich | full | 200 | 2026-09-18 |
| tia-2 | Öffentlich | full | 200 | 2026-10-20 |
Verlauf
| Festgestellt | Was sich geändert hat | Ursache | Quelle |
|---|---|---|---|
| 2026-09-18 | EU-Datenstandort Konditionen nicht genannt → Gegen Aufpreis Mindesttarif gesetzt auf Paid account; admins only Hinweis neu formuliert | wir haben eine bessere Quelle gelesen | support.zoom.com |
Alle geprüften Änderungen im Register, die neuesten zuerst (auf Englisch): Vendor changes.