EU-Vertriebs- und Compliance-Teams stellen zu Gong zwei Fragen, die zusammenhängen, aber verschieden sind: ob Gong als Plattform sicher ist und ob der Einsatz von Gong nach DSGVO und EU-Datenschutzrecht rechtmäßig ist. Ein unterzeichneter AVV nach Art. 28 DSGVO ist für die DSGVO-Konformität notwendig, beantwortet die Sicherheitsfrage aber nicht vollständig, denn Sicherheit für EU-Daten geht über Datenpannen hinaus bis zur Frage, welche Jurisdiktion rechtlich auf die Daten zugreifen kann. Diese Seite deckt beides ab: die Sicherheitslage, die strukturellen Risiken aus US-Infrastruktur und dem CLOUD Act sowie die vollständige AVV-Checkliste, die ein EU-Verantwortlicher durchgehen muss.
Ist Gong als Plattform sicher?
Gong hat im Lauf seiner Geschichte Sicherheitsvorfälle offengelegt, wie die meisten SaaS-Plattformen, die große Mengen an Geschäftsdaten verarbeiten, es letztlich tun. Die bedeutendere und beständigere Sorge für EU-Organisationen sind jedoch nicht punktuelle Vorfälle, sondern die strukturelle Exponierung, die für alle US-kontrollierten Anbieter unabhängig von ihren Sicherheitspraktiken gilt: der US CLOUD Act. Nach dem CLOUD Act können US-Behörden ein US-ansässiges Unternehmen zwingen, Daten herauszugeben, die es hält, wo auch immer die Server physisch stehen. Ein AVV zwischen Ihnen und Gong kann diese Reichweite nicht wegverhandeln, denn sie ergibt sich aus dem Gesetz, nicht aus dem Vertrag. Dieses strukturelle Zugriffsrisiko besteht unabhängig davon, ob Gong je eine Datenpanne hatte. Selbst eine makellose Sicherheitsbilanz ändert nicht die Jurisdiktion, der Gong unterliegt.
Ist Gong sicher für EU-Kundendaten?
Die Antwort hängt davon ab, welche Dimension von Sicherheit Sie bewerten. Als Plattform setzt Gong Sicherheitskontrollen auf Enterprise-Niveau ein, hält Sicherheitszertifizierungen und durchläuft Audits durch Dritte. Als US-ansässiger Anbieter, der personenbezogene EU-Daten verarbeitet, trägt es eine inhärente Exponierung, die Sicherheitskontrollen nicht beseitigen können: seine Infrastruktur und sein Unternehmensbezug liegen in Reichweite von US-Rechtsverfahren. Eine EU-Organisation, die Gong nutzt, um Vertriebsgespräche mit EU-Betroffenen aufzuzeichnen, überträgt personenbezogene Daten an einen US-kontrollierten Auftragsverarbeiter, stützt sich auf einen Transfermechanismus (typischerweise das EU-US Data Privacy Framework), der in seinen früheren Fassungen bereits zweimal gekippt wurde, und nimmt ein Rest-CLOUD-Act-Risiko in Kauf, das ihr AVV nicht auflösen kann. Das sind strukturelle Merkmale von Gongs Architektur, keine Kritik an seinem Sicherheitsteam. Sie definieren, was EU-Sicherheit in diesem Kontext tatsächlich bedeutet.
Was bedeuten Gongs Subprozessoren für die DSGVO-Konformität?
Gong nutzt wie jeder große SaaS-Anbieter Subprozessoren: Drittunternehmen, die einen Teil der Datenverarbeitung in seinem Auftrag übernehmen. Nach Art. 28 DSGVO muss jeder Subprozessor offengelegt werden, muss unter Bedingungen arbeiten, die dieselben Pflichten die Kette hinunter weitergeben, und der Verantwortliche hat das Recht, neuen Subprozessoren zu widersprechen. Für einen EU-Verantwortlichen, der Gong nutzt, ist die praktische Frage, wo jeder Subprozessor physisch läuft und ob einer davon in Reichweite von US- oder anderen Nicht-EU-Rechtsverfahren sitzt. Eine Subprozessorenliste, die auf den ersten Blick überschaubar wirkt, kann dennoch Audioerfassung, Transkription oder KI-Analyse über Infrastruktur leiten, die Transferrisiken hinzufügt. Die Prüfung der aktuellen Gong-Subprozessorenliste, nicht nur des AVV selbst, gehört zu Ihrer Compliance-Sorgfaltspflicht.
Brauchen Sie einen AVV mit Gong?
Ja. Nach Art. 28 DSGVO muss jeder Verantwortliche, der einen Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten betraut, einen schriftlichen Vertrag über diese Verarbeitung haben. Wenn Ihre Organisation Gong nutzt, um Gespräche aufzuzeichnen, zu transkribieren und zu analysieren, sind Sie der Verantwortliche und Gong Ihr Auftragsverarbeiter. Dieses Verhältnis löst die Anforderung aus Art. 28 automatisch aus. Kein rechtmäßiger Gong-Einsatz kommt ohne AVV aus.
Gesprächsaufzeichnungen und Transkripte sind eindeutig personenbezogene Daten. Sie enthalten identifizierbare Stimmen, Namen, Positionen, E-Mail-Adressen und oft kommerzielle Details über Personen auf beiden Seiten des Gesprächs. Da diese Betroffenen auch Personen in der EU umfassen, gilt die DSGVO für die Verarbeitung. Ein Gong-AVV ist daher das Basisdokument. Die Frage, die Aufmerksamkeit verdient, ist nicht, ob Sie ihn brauchen, sondern was er abdeckt und was nicht, sobald er vorliegt.
Was ein Auftragsverarbeitungsvertrag tatsächlich abdeckt
Ein AVV legt die Regeln nach Art. 28 zwischen Verantwortlichem und Auftragsverarbeiter fest. Er ist ein Vertrag darüber, wie der Auftragsverarbeiter Daten behandeln muss, kein Zertifikat, dass die Verarbeitung rechtmäßig ist.
Auftragsverarbeitungsvertrag (AVV) ist der von Art. 28 DSGVO geforderte schriftliche Vertrag, sobald ein Verantwortlicher einen Auftragsverarbeiter einsetzt. Er verpflichtet den Auftragsverarbeiter zur Zweckbindung (Verarbeitung nur nach dokumentierten Weisungen des Verantwortlichen), zu angemessenen Sicherheitsmaßnahmen, zu kontrollierten Bedingungen für den Einsatz von Subprozessoren, zur Löschung oder Rückgabe der Daten bei Vertragsende, zu Audit- und Prüfrechten, zur Unterstützung bei Betroffenenanfragen und zur Meldung von Datenschutzverletzungen. Er begründet keine Rechtsgrundlage für die Verarbeitung, und er ändert nicht, welche Jurisdiktion die Daten erzwingen kann.
Diesen letzten Punkt übersehen Beschaffungsteams am häufigsten. Ein AVV ist ein Versprechen zwischen zwei privaten Parteien darüber, wie sie sich verhalten. Er verpflichtet Gong, Ihre Daten vertraulich zu behandeln, Sie über Vorfälle zu benachrichtigen und Daten bei Ihrem Ausscheiden zu löschen. Was er nicht kann, ist das Gesetz außer Kraft zu setzen, dem Gong unterliegt. Wenn eine Regierung mit Autorität über Gong die Offenlegung erzwingt, weicht die Vertraulichkeitsklausel in Ihrem AVV dieser Anordnung. Der Vertrag regelt das Verhalten. Er regelt nicht die Jurisdiktion. Diese beiden Ideen getrennt zu halten ist der Sinn, einen Gong-AVV sorgfältig zu lesen, statt die Unterschrift als Ziellinie zu behandeln.
Gongs Subprozessoren und wo die Verarbeitung stattfindet
Gong ist ein US-ansässiges Unternehmen, und seine Verarbeitung und Speicherung haben historisch US-Infrastruktur berührt. Für einen EU-Verantwortlichen wirft das zwei Fragen auf, die der AVV allein nicht beantwortet: wer sonst die Daten anfasst und wo die Verarbeitung physisch geschieht. Die Antwort auf die erste ist Gongs Subprozessorenliste. Die Antwort auf die zweite erfordert, zu lokalisieren, wo Audioerfassung, Transkription und KI-Analyse tatsächlich laufen.
Nach Art. 28 darf ein Auftragsverarbeiter Subprozessoren nur zu Bedingungen einsetzen, die dieselben Pflichten die Kette hinunter weitergeben, und der Verantwortliche hat das Recht zu wissen, wer sie sind. Gong veröffentlicht eine Subprozessorenliste, und die Prüfung der aktuellen Fassung gehört zu Ihrer Sorgfaltspflicht, nicht zu einem optionalen Extra. Jeder Subprozessor ist eine weitere Partei mit Zugriff auf einen Teil Ihrer Gesprächsdaten, und jeder hat seinen eigenen Standort und seine eigene rechtliche Exponierung. Ein AVV, der auf oberster Ebene sauber wirkt, kann dennoch Audio oder Transkription über Infrastruktur leiten, die Sie nicht erwartet haben.
Hier zählt die Unterscheidung zwischen Ansässigkeit und Souveränität. Ansässigkeit ist, wo die Daten physisch liegen. Souveränität ist, welche Jurisdiktion sie erzwingen kann. Ein Anbieter kann EU-Ansässigkeit für die Speicherung bieten, während seine US-Muttergesellschaft, seine US-Mitarbeiter oder ein US-Subprozessor weiterhin in Reichweite von US-Rechtsverfahren sitzt. Die Subprozessorenliste zu lesen und zu kartieren, wo jede Verarbeitungsstufe läuft, ist die Art, wie ein EU-Verantwortlicher den Unterschied zwischen einer Ansässigkeitsbehauptung und echter Souveränität erkennt. Für die umfassendere Aufschlüsselung, wie sich das über einen vollständigen Gong-Einsatz auswirkt, siehe unsere Analyse zur Gong-Alternative für DACH.
Der CLOUD Act reicht über den AVV hinaus
Ein US-kontrollierter Auftragsverarbeiter kann nach dem US CLOUD Act gezwungen werden, Daten herauszugeben, die er hält, unabhängig davon, wo die Server physisch stehen. Ein AVV kann diese Reichweite nicht wegverhandeln, denn ein privater Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter bindet keine Regierung und setzt das Gesetz, dem der Auftragsverarbeiter unterliegt, nicht außer Kraft.
Die Mechanik ist direkt. Der CLOUD Act erlaubt US-Behörden, ein US-Unternehmen zur Herausgabe von Daten in seinem Besitz oder seiner Kontrolle zu zwingen, selbst wenn diese Daten auf Servern außerhalb der Vereinigten Staaten liegen. Gong unterliegt ihm als US-Unternehmen. Trifft eine gültige Anordnung ein, muss Gong nachkommen, und die Vertraulichkeitsbestimmungen Ihres AVV bieten keine Rechtsgrundlage zur Verweigerung. Anordnungen können auch Geheimhaltungspflichten enthalten, sodass der Verantwortliche womöglich nie erfährt, dass ein Zugriff erfolgt ist. Keine Klausel, die Sie in einen Gong-AVV verhandeln, ändert dies, denn die Reichweite ergibt sich aus dem Gesetz, nicht aus dem Vertrag. Genau dieser Drittlandtransfer und die Schrems-II-Rechtsprechung machen die US-Rechtslage für EU-Daten so heikel.
Der Transfermechanismus, auf den Sie sich stützen
Jeder EU-US-Datenfluss braucht einen rechtmäßigen Transfermechanismus, und der, auf den sich die meisten US-Anbieter heute stützen, ist das EU-US Data Privacy Framework, meist abgesichert durch Standardvertragsklauseln (SCC). Wenn Sie einen Gong-AVV unterzeichnen, der personenbezogene EU-Daten auf US-Infrastruktur bewegt, ist dies die Rechtsgrundlage, die diesen Drittlandtransfer trägt. Es lohnt sich zu wissen, wie stabil diese Grundlage tatsächlich ist.
Das Data Privacy Framework ist der dritte Versuch einer dauerhaften transatlantischen Transfergrundlage. Safe Harbor wurde 2015 vom Gerichtshof der EU gekippt. Sein Nachfolger Privacy Shield wurde 2020 im Schrems-II-Urteil gekippt. Das DPF ist der Ersatz, und auch es steht unter aktiver rechtlicher Anfechtung. Eine Compliance-Haltung, die allein auf dem DPF aufbaut, trägt daher ein Bestandsrisiko: Wird das Rahmenwerk während Ihrer Vertragslaufzeit für ungültig erklärt, wie seine beiden Vorgänger, werden alle darauf gestützten Transfers rückwirkend exponiert, und Sie müssen auf SCC und eine neue Transfer-Folgenabschätzung zurückfallen. Das ist kein Grund zur Panik, aber ein Grund, den Mechanismus in Ihren Aufzeichnungen ausdrücklich zu benennen und seinen Status zu überwachen, statt ihn als geklärt anzunehmen.
Ihre Gong-AVV-Checkliste
Bevor Sie einen Gong-AVV unterzeichnen oder verlängern, sollte ein EU-Verantwortlicher Folgendes durchgehen. Jeder Punkt ist etwas, das der AVV entweder festlegt, worauf er verweist oder was er nicht adressiert, und jeder liegt in Ihrer Verantwortung zu prüfen.
- Unterzeichneter AVV nach Art. 28 vorhanden. Bestätigen Sie, dass ein abgeschlossener AVV existiert, der die Parteien, Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen benennt.
- Aktuelle Subprozessorenliste geprüft. Ziehen Sie Gongs neueste veröffentlichte Subprozessorenliste, bestätigen Sie, dass der AVV Ihnen Änderungen anzeigt, und erfassen Sie, wer jeder Subprozessor ist und was er anfasst.
- Wo die Verarbeitung physisch läuft. Lokalisieren Sie, wo Audioerfassung, Transkription und KI-Analyse tatsächlich ausgeführt werden. Unterscheiden Sie Speicheransässigkeit von Verarbeitungsort, da sie voneinander abweichen können.
- Transfermechanismus benannt. Identifizieren Sie den Mechanismus, der einen EU-US-Transfer trägt, typischerweise das Data Privacy Framework plus SCC, und erfassen Sie ihn in Ihrer eigenen Dokumentation.
- Aufbewahrungs- und Löschbedingungen. Verifizieren Sie, wie lange Aufzeichnungen und Transkripte aufbewahrt werden, und bestätigen Sie, dass der AVV Gong verpflichtet, die Daten bei Vertragsende zu löschen oder zurückzugeben.
- SLA zur Meldung von Verletzungen. Prüfen Sie die Frist, innerhalb derer Gong Sie über einen Sicherheitsvorfall benachrichtigen muss, und bestätigen Sie, dass sie mit Ihren eigenen DSGVO-Meldepflichten übereinstimmt.
- Auditrechte. Bestätigen Sie, dass der AVV Ihnen aussagekräftige Audit- und Prüfrechte über die in Ihrem Auftrag durchgeführte Verarbeitung einräumt.
- Ob eine US-Muttergesellschaft gezwungen werden kann. Bewerten Sie, ob Gong, seine US-Muttergesellschaft oder ein US-Subprozessor nach US-Recht wie dem CLOUD Act gezwungen werden kann, denn diese Exponierung liegt außerhalb dessen, was der AVV versprechen kann.
Ein AVV, gestützt auf Jurisdiktion, nicht nur auf Papier
Das Thema quer durch alle obigen Punkte ist, dass ein AVV nur so stark ist wie die Jurisdiktion dahinter. Mit einem US-kontrollierten Anbieter können Sie ausgezeichnete Vertragsbedingungen verhandeln und tragen dennoch ein Rest-Transferrisiko, eine Subprozessoren-Exponierung und eine CLOUD-Act-Reichweite, die keine Klausel auflöst. Das ist die strukturelle Lücke zwischen einem gut formulierten Papier und echter Kontrolle über Ihre Daten.
Ein souveräner Meeting-Assistent schließt diese Lücke, indem er Audioerfassung, Transkription, Speicherung und KI-Analyse unter EU-Jurisdiktion hält, sodass der AVV dadurch gestützt wird, wo die Daten tatsächlich liegen, statt allein durch einen Vertrag. Wenn es keine US-Muttergesellschaft, keine US-gehostete Verarbeitung und keinen US-Subprozessor in der Kette gibt, gibt es keine CLOUD-Act-Anordnung zu beantworten und keinen Transfermechanismus zu überwachen. Der AVV zählt weiterhin, aber er wird durch Jurisdiktion verstärkt, statt die ganze Last tragen zu müssen. Numi ist ein souveräner Meeting-Assistent für Sales Call Intelligence, der auf genau diesem Prinzip aufbaut: EU-Datenhaltung in Frankfurt und Amsterdam, AVV nach Art. 28 und EU-gehostetes Coaching. Für einen breiteren Blick auf die EU-nativen Optionen dieser Kategorie siehe unseren Beitrag zur Gong-Alternative für DACH.