Loom und DSGVO: Was Agenturen in der EU prüfen sollten

Loom lässt sich DSGVO-konform nutzen, aber ein paar Dokumente und Einstellungen musst du selbst prüfen. Atlassian, dem Loom gehört, wendet seinen Auftragsverarbeitungsvertrag (Data Processing Addendum, DPA) automatisch an und bietet seit Mai 2026 EU-Datenresidenz für neue Workspaces. Ein Teil der Verarbeitung (Transkription, KI-Funktionen, Kontodaten) läuft aber über Anbieter und Standorte außerhalb der gewählten Region. Jedes Detail unten stammt von Atlassians eigenen Seiten, geprüft im November 2026.

Wir entwickeln einen Screen Recorder, der mit Loom konkurriert. Deshalb halten wir uns hier streng an das, was Atlassian veröffentlicht, mit Links. Wo Loom besser passt, sagen wir es.

Die kurze Antwort

Frage	Was Atlassian sagt	Quelle
Gibt es einen AVV?	✓ Gilt automatisch mit dem Atlassian Customer Agreement	Atlassian DPA
Rolle von Atlassian	Auftragsverarbeiter (oder Unterauftragsverarbeiter) deiner Daten	DPA, Abschnitt 1.1
EU-Datenresidenz?	~ Deutschland (Frankfurt) seit Mai 2026, nur neue Workspaces	Loom-Datenresidenz
Region später wechseln?	✗ Nur mit neuem Workspace, Videos lassen sich nicht umziehen	Loom-Datenresidenz
Übermittlungen außerhalb der EU	EU-Standardvertragsklauseln und EU-US Data Privacy Framework	DPA
Unterauftragsverarbeiter	✓ Öffentliche Liste, neue werden Abonnenten 30 Tage vorher angekündigt	Seite „Sub-processors“, DPA Abschnitt 4
Aufbewahrungsregeln	~ Nur Enterprise und Business + AI, in von Atlassian verwalteten Workspaces	Loom-Datenaufbewahrung

Laut Atlassians eigenen Seiten, geprüft im November 2026. Loom ist eine Marke von Atlassian.

Wer wofür verantwortlich ist

Atlassians AVV legt die Rollen fest: Der Kunde ist Verantwortlicher für seine Daten (oder Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen), Atlassian ist Auftragsverarbeiter oder Unterauftragsverarbeiter. Atlassians Datenschutzrichtlinie sagt dasselbe von der anderen Seite: Sie betrifft, was Atlassian als Verantwortlicher tut, etwa bei Kontoinformationen, und gilt nicht, wo Atlassian Daten im Auftrag von Kunden verarbeitet.

Für eine Agentur heißt das: zwei Ebenen. Deine Agentur ist für die Videos verantwortlich, die du aufnimmst, und wenn sie Daten deines Kunden enthalten, handelst du womöglich im Auftrag deines Kunden. Loom verarbeitet die Videos über Atlassian für dich. Die Rollen von Verantwortlichem und Auftragsverarbeiter erklären wir verständlich in DSGVO und Kundenvideos.

Wo Loom deine Daten speichert

Standardmäßig garantiert Atlassian keinen bestimmten Hosting-Standort: Laut seiner DSGVO-Seite wird das Hosting so gewählt, dass die Latenz sinkt und die Leistung steigt. Die Liste der Unterauftragsverarbeiter nennt als wichtigsten Hosting-Anbieter Amazon Web Services, mit Standorten im EWR (Schweden, Irland und Deutschland), im Vereinigten Königreich, in der Schweiz, in den USA und in mehreren weiteren Ländern.

Um Daten an eine Region zu binden, brauchst du Datenresidenz. Für Loom sagt Atlassians Support-Seite:

• Regionen: Deutschland (Frankfurt) und USA (Oregon), gestartet im Mai 2026.
• Abgedeckt: Videos, Kommentare, Transkripte, KI-generierte Inhalte wie Zusammenfassungen und Dokumente, Workspace-Einstellungen, Bearbeitungsdaten und Funktionen für die Zusammenarbeit werden in der gewählten Region gespeichert und verarbeitet.
• Global verarbeitet: Nutzer-Authentifizierung, Sitzungsdaten, Nutzereinstellungen und -präferenzen, Organisationsmitgliedschaft, Audit-Logs (die nur IDs speichern) und Workspace-übergreifende Funktionen wie Benachrichtigungen, Verlauf und „Später ansehen“. Laut Atlassian werden rohe Kundeninhalte im normalen Betrieb nicht außerhalb der Region exportiert oder verarbeitet.
• Wer sie bekommt: neue eigenständige Loom-Workspaces, neue Kunden der Teamwork Collection und bestehende Jira- oder Confluence-Kunden, die einen neuen Loom-Workspace hinzufügen. Bestehende Loom-Installationen sind als „future release“ aufgeführt, Kunden von Loom Legacy als „post-migration“.
• Grenzen: Die Region wird beim Anlegen des Workspace festgelegt und lässt sich nicht ändern. Inhalte können nicht zwischen dem europäischen und dem US-Workspace übertragen werden.

Zu den Tarifen: Atlassians allgemeine Seite zur Datenresidenz führt Loom unter den Produkten mit den Tarifen Standard, Premium und Enterprise, während Looms Preisseite andere Tarifnamen verwendet (Starter, Business, Business + AI, Enterprise) und Datenresidenz nicht erwähnt. Wenn EU-Datenresidenz Pflicht ist, frag den Atlassian-Vertrieb vor dem Kauf, welchen Loom-Tarif du brauchst.

Der AVV

Atlassians DPA (gültig ab 17. August 2026) ist der Vertrag, der die Verarbeitung deiner Daten durch Loom regelt. Das solltest du wissen:

• Keine eigene Unterschrift. Laut Atlassians FAQ gilt der AVV automatisch, sobald deine Organisation das Atlassian Customer Agreement akzeptiert. Atlassian sagt außerdem, dass es nicht mit der AVV-Vorlage deiner Organisation arbeiten kann.
• Übermittlungen. Für Daten, die Europa in ein Land ohne Angemessenheitsbeschluss verlassen, sind die EU-Standardvertragsklauseln per Verweis einbezogen, und beide Parteien gelten als Unterzeichner. Atlassian nimmt außerdem am EU-US Data Privacy Framework teil. Eine vorab unterschriebene Kopie der Standardvertragsklauseln gibt es, wenn du eine für deine Unterlagen willst.
• Unterauftragsverarbeiter. Atlassian kündigt abonnierten Kunden mindestens 30 Tage vorher an, bevor ein neuer Unterauftragsverarbeiter deine Daten verarbeitet, und du kannst in dieser Zeit widersprechen.
• Löschung. Nach Vertragsende muss Atlassian deine personenbezogenen Daten löschen, darf sie aber behalten, wo das Gesetz es verlangt oder seine üblichen Richtlinien für Backups und Aufbewahrung es vorsehen. Auch dann bleiben sie durch den AVV geschützt.

Atlassian veröffentlicht außerdem Material, das Kunden bei Transfer Impact Assessments hilft, verlinkt auf der DPA-Seite.

Unterauftragsverarbeiter, die mit Loom zu tun haben

Atlassians Liste der Unterauftragsverarbeiter (gültig ab 15. Mai 2026) nennt die Anbieter für jedes Produkt. Für Loom gehören unter anderem dazu:

Anbieter	Was er für Loom tut	Angegebener Standort
Amazon Web Services	Cloud-Hosting	EWR, Vereinigtes Königreich, Schweiz, USA und weitere
Speechmatics (Cantab Research Ltd)	Transkription	USA
OpenAI	Generative KI für die Funktionen von Loom AI	USA
Twilio Segment	Datenanalyse	USA
Zendesk, PartnerHero	Kundensupport	USA; Philippinen, Rumänien, Südafrika

Atlassian-Seite „Sub-processors“, gültig ab 15. Mai 2026, geprüft im November 2026. Loom ist eine Marke von Atlassian.

Die Liste ändert sich mit der Zeit. Prüf also die aktuelle Seite statt dieser Tabelle, und abonnier die Benachrichtigungen, wenn du auf Loom setzt.

KI-Funktionen und Transkription

Hier liegen die meisten Fragen, denn Transkripte enthalten alles, was du im Video gesagt hast.

Atlassians Seite zu Loom AI sagt:

• Transkription nutzt die GPT-Modelle von OpenAI und die Gemini-Modelle von Google, das von Atlassian gehostete Open-Source-Modell Whisper und den Transkriptionsanbieter Speechmatics. Welches davon ein bestimmtes Video verarbeitet, steht nicht auf der Seite.
• OpenAI erhält den Text des Transkripts, um Titel, Zusammenfassungen, Kapitel und Dokumente zu erstellen. Video oder Audio bekommt OpenAI nicht, und ohne Nutzung von Loom AI auch keine Transkriptdaten.
• Google Gemini erhält Video und Audio, um Action Plans für KI-Agenten zu erstellen.
• Speicherung und Training: Laut Atlassian speichern weder OpenAI noch andere LLM-Anbieter deine Eingaben und Ausgaben, und sie nutzen sie nicht zur Verbesserung ihrer Dienste.
• Einstellungen: Admins von Business + AI- und Enterprise-Workspaces können KI-Einstellungen für alle ein- oder ausschalten. Nutzer können außerdem Standardwerte setzen oder Funktionen für ein einzelnes Video abschalten.

Transkripte gibt es in jedem Loom-Tarif, auch im kostenlosen Starter-Tarif. Zwei Dinge musst du bei der Bewertung zusammenbringen: Die Seite zur Datenresidenz sagt, dass Transkripte und KI-Inhalte in deiner Region gespeichert und verarbeitet werden, während die Liste der Unterauftragsverarbeiter Speechmatics und OpenAI mit Standort USA aufführt. Frag Atlassian, wie das für einen Workspace mit EU-Datenresidenz funktioniert, und lass dir die Antwort schriftlich geben. Wenn dich vor allem interessiert, wohin deine Stimme geht, vergleichen wir beide Ansätze in lokale Transkription oder Cloud.

Aufbewahrung und Löschung

Die DSGVO verlangt, personenbezogene Daten nicht länger als nötig zu speichern. In Loom heißt automatisches Löschen „Data Retention Rule“, also Aufbewahrungsregel, und Atlassians Seite sagt:

• Aufbewahrungsregeln gibt es in den Tarifen Enterprise und Business + AI, und nur für von Atlassian verwaltete Workspaces (nicht für Workspaces, die noch in der alten Loom-Admin-Konsole laufen).
• Admins können Videos unbegrenzt behalten oder einen Zeitraum in Tagen oder Jahren festlegen, für den Workspace oder pro Space.
• Der Zeitraum zählt ab dem Erstellungsdatum des Videos.
• Gelöscht werden Aufnahmen, Transkripte, KI-Zusammenfassungen und Kommentare, und zwar endgültig. Pro Workspace werden bis zu 2.000 Videos am Tag gelöscht.

In den Tarifen Starter und Business bleiben Videos also, bis jemand sie löscht. Das ist das Modell der dauerhaften Mediathek, über das wir in warum Video-Links mit Ablaufdatum sicherer sind schreiben.

Fragen an jedes Videotool

Dieselben Prüfungen gelten für Loom, für JustRec und für alles andere, womit deine Agentur Videos an Kunden schickt. Jede Antwort steht in einem Dokument, das der Anbieter veröffentlichen sollte.

Frage	Warum sie wichtig ist	Wo du nachschaust
Gibt es einen AVV für dieses Produkt? Muss ich ihn unterschreiben?	Art. 28 DSGVO verlangt einen Vertrag mit jedem Auftragsverarbeiter	AVV oder Rechtsseite
Ist der Anbieter Auftragsverarbeiter für meine Videos? Was tut er als Verantwortlicher?	Entscheidet, wer wofür geradesteht	AVV (Rollen), Datenschutzerklärung
Wo liegen Videos, Transkripte und Kommentare? Kann ich die EU wählen?	Hosting in der EU vermeidet für diesen Schritt eine Übermittlung	Doku zu Datenresidenz oder Sicherheit
Was wird außerhalb dieser Region verarbeitet, und von wem?	Bei Transkription und KI verlassen Daten oft die Region	Liste der Unterauftragsverarbeiter
Werde ich informiert, bevor ein neuer Unterauftragsverarbeiter startet?	Vielleicht willst du widersprechen oder deine Kunden informieren	Liste der Unterauftragsverarbeiter, AVV
Welcher Mechanismus deckt Datenübermittlungen aus der EU ab?	Das gehört in dein Verzeichnis von Verarbeitungstätigkeiten	AVV (Übermittlungen)
Geht meine Stimme an einen Transkriptions- oder KI-Anbieter? Kann ich das abschalten?	Ein Transkript enthält alles, was du gesagt hast	Doku zu KI oder Transkription
Werden meine Inhalte zum Training von Modellen genutzt, vom Anbieter oder seinen Dienstleistern?	Daten deines Kunden könnten in fremden Trainingsdaten landen	KI-Doku, Nutzungsbedingungen
Wie lange werden geteilte Videos aufbewahrt? Lassen sie sich automatisch löschen?	Personenbezogene Daten sollen nicht länger als nötig gespeichert werden	Doku zur Aufbewahrung, Tarifvergleich
Was passiert mit meinen Daten, wenn ich kündige?	Löschung oder Rückgabe am Ende gehört zum Vertrag mit dem Auftragsverarbeiter	AVV (Löschung)
Setzt die Videoseite Cookies oder trackt sie Zuschauer?	Getrackt wird dein Kunde	Cookie-Richtlinie, die Videoseite selbst

Schreib die Antworten auf: Sie gehören in dein Verzeichnis von Verarbeitungstätigkeiten, und deine Kunden fragen vielleicht danach.

Wann Loom die bessere Wahl ist und wann nicht

Loom kann vieles, was ein kleiner Recorder nicht kann: eine Videomediathek fürs Team, Kommentare, Integrationen mit Jira, Confluence und Slack, KI-Zusammenfassungen und -Dokumente, Admin-Einstellungen und einen Enterprise-Vertrag mit veröffentlichtem AVV und veröffentlichter Liste der Unterauftragsverarbeiter. Wenn deine Agentur in den Tools von Atlassian lebt, sind das echte Vorteile.

Weniger gut passt Loom, wenn deine Videos nur so lange online bleiben sollen, wie der Kunde sie braucht, wenn du deine Stimme lieber nicht von einem Dritten transkribieren lässt oder wenn du einen bestehenden Workspace hast, der nicht auf EU-Datenresidenz umziehen kann. Unser Vergleich JustRec vs. Loom stellt beide nebeneinander, und die Seite zur Loom-Alternative für Mac erklärt, was wir anders gebaut haben.