Loom Frankfurt: was in Deutschland bleibt und was die EU verlässt

Loom Frankfurt ist die deutsche Region für Datenresidenz, die Atlassian im Mai 2026 eingeführt hat: Videos, Kommentare, Transkripte und KI-Ergebnisse eines neuen Workspaces bleiben dort. Anmeldung, Nutzereinstellungen, Mitgliedschaft, Audit-Log-IDs und Benachrichtigungen verarbeitet Loom global, und mehrere Unterauftragsverarbeiter sitzen in den USA. Die Region lässt sich nur beim Anlegen wählen. Ob dein Loom die DSGVO einhält, entscheiden außerdem Tarif, Einstellungen und der Atlassian-AVV.

Loom Frankfurt hält die Inhalte eines neuen Workspaces in Deutschland, einige Daten verlassen die EU aber weiterhin. Auf Atlassians Seite zur Datenresidenz heißt es: „Loom does not export or process raw customer content (video, audio, or transcript payloads) outside your selected region for normal product operation.“ (übersetzt: Rohe Kundeninhalte verlassen die gewählte Region im normalen Betrieb nicht.) Welche Unterauftragsverarbeiter trotzdem Inhalte aus einem Workspace in Frankfurt bekommen, bleibt offen; danach fragt Frage 1 in der Vorlage unten.

Gespeicherte KI-Ergebnisse liegen in Frankfurt. Ob OpenAI die Aufnahme dafür in den USA verarbeitet, sagt keine der beiden Seiten; das deckt Frage 1 unten ab.

Was weiterhin in die USA geht, stützt sich auf das EU-US Data Privacy Framework und auf Standardvertragsklauseln. Das Gericht der EU hat den Rahmen im September 2025 bestätigt; das Rechtsmittel C-703/25 P war im November 2026 beim Gerichtshof noch anhängig (für jeden US-Anbieter: DSGVO-Leitfaden für Videonachrichten).

Die Region bestimmt, wo Inhalte liegen; das Herkunftsland des Betreibers bestimmt, welche Gesetze den Zugriff darauf erlauben können. Atlassians Datenschutzerklärung führt die Loom, Inc. unter den US-Tochtergesellschaften, und Atlassians Transfer-Folgenabschätzung, aktualisiert am 30. November 2024, nennt FISA Section 702 und die Executive Order 12333 und verweist auf den CLOUD Act. Wir meinen, deine eigene Bewertung sollte auch den Workspace in Frankfurt abdecken, weil sich diese Gesetze an das Unternehmen richten, das ihn betreibt.

Loom Frankfurt gibt es nur für neue Workspaces; einen Tarif nennt Atlassian dafür nicht. Die Verfügbarkeitstabelle auf der Seite zur Datenresidenz, gelesen am 1. November 2026, hat diese Zeilen:

Ein Admin wählt die Region beim Anlegen des Workspaces im Feld „Select data location“; danach zeigt Data management, Data residency die festgelegte Region. Stand November 2026 lässt sie sich später nicht ändern. Ein Unternehmen, das Loom seit 2023 nutzt, fängt in Frankfurt leer an. Enthalten die alten Videos personenbezogene Daten, die du aufbewahren musst, behältst du den alten Workspace und dokumentierst seine Übermittlungen. Sind sie kurzlebig, nimmst du neue Videos in Frankfurt auf und löschst den alten Workspace, sobald niemand sie mehr braucht.

Für ein Unternehmen, das Loom nutzt, ist Atlassian der Auftragsverarbeiter. Das Atlassian Data Processing Addendum, gültig ab 17. August 2026, bezeichnet Atlassian als Auftragsverarbeiter oder Unterauftragsverarbeiter für Kundendaten und wird mit dem Atlassian Customer Agreement Vertragsbestandteil. Atlassian hat im April 2024 angekündigt, dass dieser Vertrag für Loom-Kunden ab der nächsten Bestellung, der Verlängerung oder dem 1. Mai 2024 gilt, je nachdem, was zuerst kam. Die Produktbedingungen mit Stand 1. Oktober 2026 nennen die Loom, Inc. als Vertragspartner für Loom, und für Kunden mit Sitz in Europa gilt das Customer Agreement nach irischem Recht.

Leg die aktuelle Atlassian-Fassung anstelle eines früheren Loom-AVV ab (inzwischen archiviert). Der Text gilt für alle Cloud-Produkte von Atlassian. Prüf deshalb anhand von Art. 28 Abs. 3 DSGVO und dem Kurzpapier Nr. 13 der Datenschutzkonferenz, ob seine Beschreibungen Aufnahmen, Transkripte und KI-Ergebnisse abdecken.

Eine Prüfung von Loom umfasst zehn Punkte, und zu jedem gibt es ein öffentliches Dokument von Atlassian. Die Tabelle gibt dessen Antwort wieder und was du damit machst.

Über drei Zeilen entscheidet der Tarif: Automatisches Löschen und Grenzen für öffentliches Teilen gibt es in Business+AI (auf Atlassians Seite zu den Datenschutzeinstellungen Premium genannt) oder Enterprise, und dort ist die KI standardmäßig an; das Aktivitätsprotokoll gibt es ab Business.

Für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wägst du Bildschirmaufnahmen ab, die alles zeigen, was offen war, dazu Loom AI und das Aktivitätsprotokoll pro Nutzer.

Capme Meetings, die Meeting-Plattform gegen Status-Meetings (Zuschauer sind in Firmenplänen kostenlos), beantwortet mehrere Zeilen anders, und der Speicher in der EU gehört nicht mehr zu den Unterschieden, seit auch Loom Frankfurt anbietet. Stand November 2026 im Code von Capme geprüft: Der AVV nach den Klauseln der Kommission gemäß Art. 28 Abs. 7 DSGVO wird per Häkchen angenommen, wenn eine Testphase oder ein Plan beginnt. Der AVV von Capme nennt 6 Unterauftragsverarbeiter, 2 davon mit Übermittlung außerhalb des EWR.

Ein Admin richtet einen Business-Workspace vor dem ersten Meeting in vier Schritten ein, am besten mit dem Datenschutzbeauftragten. Im Team-Plan gilt nur Schritt 2: Das Fenster bleibt bei 365 Tagen, und Audit-Export und eigener Bucket sind Funktionen von Business.

Verlangt deine Richtlinie einen SOC-2-Bericht vom Anbieter, besteht Loom diese Zeile und Capme nicht. Die Unterlagen von Capme liegen im Trust Center.

Auf sechs Fragen geben Atlassians veröffentlichte Dokumente keine Antwort. Schick sie schriftlich und leg die Antworten zur Prüfung; die sechs allgemeinen Fragen an jeden Video-Anbieter decken den Rest ab.

Am genauesten würden wir Frage 5 lesen. Der AVV erlaubt Atlassian, Daten im Rahmen seiner üblichen Richtlinien für Backups und Aufbewahrung zu behalten, und nennt keine Frist. Nennt Atlassian eine, gehört sie in deinen Nachweis zur Löschung.