Pauschal lässt sich das nicht beantworten, die Hürden sind aber hoch. World ID for Zoom nutzt laut Fortune ein Iris-Bild aus dem Orb; die daraus abgeleiteten Daten behandelt das BayLDA als biometrische Daten nach Art. 9 DSGVO. Ob eine Einwilligung im Beschäftigungsverhältnis freiwillig ist, muss der Arbeitgeber als Verantwortlicher nachweisen können. Dazu kommen Datenschutz-Folgenabschätzung, eine Alternative ohne Biometrie und meist der Betriebsrat. Das sind Prüfmaßstäbe, keine Rechtsberatung.
Was World ID for Zoom tatsächlich macht
Laut World (Tools for Humanity, früher Worldcoin) ist World ID for Zoom am 18. Oktober 2026 für Zoom-Unternehmenskundschaft „globally“ über den Zoom Marketplace verfügbar. Fortune formuliert abweichend, Teilnehmende könnten die Funktion „soon“ nutzen. Welche Fassung gilt, lässt sich aus den Angaben nicht klären; zur Verfügbarkeit in Deutschland machen beide Texte keine Aussage.
Das Verfahren gleicht nach Angaben von World drei Bilder ab: das beim Registrieren kryptografisch signierte Orb-Bild, ein Selfie mit Liveness-Check in der World-ID-App auf dem eigenen Gerät und einen Frame aus dem Video, das die anderen sehen. Nur wenn alle drei übereinstimmen, erscheint ein „Human Badge“. Der Dienst läuft laut World auf AWS, nutzt Zooms Realtime Media Streams und analysiert „video only, not audio or transcripts“.
Organisationen und Hosts können laut World festlegen, wie lange ein Badge gilt, bevor sich Teilnehmende neu bestätigen müssen. Eine Warteraum-Funktion soll folgen, Hosts können zudem Nachweise während des Meetings anfordern. Zur Speicherdauer von Selfies oder Frames nennt World nichts.
Als Anlass nennt World eine Gartner-Umfrage aus 2025: Demnach gaben 62 % der befragten Security-Verantwortlichen an, im Vorjahr einen Deepfake-Angriff erlebt zu haben. Das ist eine Herstellerangabe unter Berufung auf Dritte. Wie Deepfakes in Personalwesen und Finanzabteilungen vorkommen, zeigt auch ein Überblick zu Phishing und Deepfakes als neuer Normalität, der sich auf Anbieterstudien stützt.
Wo kommt der Iris-Scan her, und wer verlangt ihn?
Der Iris-Scan entsteht einmalig im Orb, nicht im Zoom-Call. Laut Fortune erfasst der Orb ein Bild der Iris, „a biometric identifier“. Der World-Blog nennt das Orb-Bild nicht ausdrücklich Iris-Bild; die BayLDA spricht in ihrer Mitteilung von „aus Iris-Aufnahmen abgeleiteten individuellen biometrischen Daten“.
Für Zoom gilt die Stufe „Proof of Human“. Laut Fortune müssen Nutzende dafür mit World-App und Selfie belegen, wer sie sind; das Selfie wird gegen den beim Orb registrierten biometrischen Datensatz geprüft. Die beiden anderen Stufen, Proof of Attributes (Ausweisdokumente) und Proof of Presence (Selfie), sind für Zoom nicht vorgesehen.
Firmen können laut Fortune selbst entscheiden, wann ein solcher Nachweis verlangt wird. Ein World-Sprecher sagte dem Magazin, Finanzfirmen wie Bain Capital und VanEck wollten Orbs in ihren Büros aufstellen, um Beschäftigte ohne bisherigen Scan zu registrieren. Das ist eine Ankündigung, kein beobachteter Rollout.
Ist das Biometrie im Sinne der DSGVO?
Für den Iris-Teil spricht vieles dafür. Art. 4 Nr. 14 DSGVO definiert biometrische Daten als mit speziellen technischen Verfahren gewonnene Daten zu physischen, physiologischen oder verhaltenstypischen Merkmalen, die die eindeutige Identifizierung einer Person ermöglichen oder bestätigen, „wie Gesichtsbilder“. Art. 9 Abs. 1 untersagt die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung grundsätzlich; Ausnahmen gibt es etwa bei ausdrücklicher Einwilligung nach Abs. 2 lit. a.
Selfie und Videoframe
dm-Einordnung: Auch Selfie und Videoframe dienen hier dem Abgleich mit einem biometrischen Referenzdatensatz. Weil die Definition Gesichtsbilder ausdrücklich nennt und Daten erfasst, die eine Identität „bestätigen“, spricht einiges dafür, dass auch diese Schritte als Biometrie zu prüfen sind. Eine behördliche oder gerichtliche Bewertung für dieses Produkt liegt nicht vor.
Wer ist verantwortlich: Arbeitgeber, World oder Zoom?
Der Arbeitgeber entscheidet, ob World ID for Zoom eingesetzt wird, für welche Meetings und für wen es verpflichtend ist. Damit trägt er die Verantwortung für Zweck und Mittel, jedenfalls für den Einsatz im eigenen Betrieb. Eine veröffentlichte Bewertung einer Aufsichtsbehörde zur Rolle von Tools for Humanity/World und Zoom bei diesem Produkt, etwa als Auftragsverarbeiter oder eigenständig Verantwortliche, ist nicht bekannt. Das bleibt eine offene Prüffrage, die in Verträgen und Datenschutzhinweisen beantwortet sein muss.
Dass Verantwortung nicht beim Endgerät oder der Kundschaft endet, zeigt eine ähnliche Konstellation: Das EDSA-Statement zu Datenbrillen hält fest, dass Hersteller und KI-Dienste als Verantwortliche in der Pflicht bleiben und die Haushaltsausnahme eng ausgelegt wird. Übertragbar ist das nur als Denkrichtung, nicht als Urteil über World.
Können Beschäftigte wirksam einwilligen?
Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptClose-up of a human eye reflected with an abstract biometric scan grid overlay, dark background, privacy mood. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.Das ist die schwächste Stelle jeder Pflicht-Lösung.
Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche die Einwilligung nachweisen können.
dm-Einordnung: Wer den Scan zur Bedingung für die Teilnahme an Meetings macht, hat ein Freiwilligkeitsproblem: Eine Einwilligung, die ohne Nachteil verweigert werden kann, setzt eine echte Alternative voraus. Eine pauschale Wertung wäre dennoch verfehlt, weil es auf Umstände, Zweck und Ausgestaltung ankommt.
Betriebsvereinbarung und Mitbestimmung
Nach § 87 Abs. 1 Nr. 6 BetrVG ist zu prüfen, ob die Einrichtung dazu bestimmt ist, Verhalten oder Leistung der Beschäftigten zu überwachen. dm-Einordnung: Ein Identitätsbadge ist nicht offensichtlich ein Leistungsinstrument, aber er verknüpft Personen mit Meetings und Zeitpunkten. Ob das für ein Mitbestimmungsrecht genügt, ist eine Frage für die Rechtsabteilung und den Betriebsrat, nicht für Marketingtexte.
Was der BayLDA-Bescheid von 2024 sagt und was nicht
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat am 19. Dezember 2024 mitgeteilt, gegen „Worldcoin“ einen Bescheid erlassen zu haben, nach einem Prüfverfahren von Amts wegen seit April 2023. Verlangt werden unter anderem ein DSGVO-konformes Löschverfahren innerhalb eines Monats nach Bestandskraft, künftig eine ausdrückliche Einwilligung für bestimmte Verarbeitungsschritte und die Löschung bestimmter ohne ausreichende Rechtsgrundlage erhobener Datensätze. Der Beschluss wurde laut BayLDA-Mitteilung mit allen betroffenen europäischen Aufsichtsbehörden abgestimmt; das Bußgeldverfahren wird gesondert entschieden.
Der Bescheid betrifft die allgemeine World-Datenverarbeitung, nicht World ID for Zoom, das es 2024 nicht gab. Das Unternehmen hat laut BayLDA eine Klage angekündigt; der Stand des Verfahrens und die Bestandskraft des Bescheids sind offen. Für Arbeitgeber ist der Bescheid dennoch ein Signal: Das BayLDA behandelt die aus Iris-Aufnahmen abgeleiteten individuellen Daten als biometrische Daten und verlangt für bestimmte Verarbeitungsschritte eine ausdrückliche Einwilligung.
Was Datenschutz und IT vor einem Rollout klären sollten
Die Datenschutz-Folgenabschätzung (DSFA) ist der Ausgangspunkt. Art. 35 Abs. 1 DSGVO verlangt sie bei voraussichtlich hohem Risiko; Abs. 3 lit. b nennt ausdrücklich die umfangreiche Verarbeitung besonderer Datenkategorien. Wie viele Beschäftigte betroffen sind, entscheidet mit über das Wort „umfangreich“.
Diese Liste ist eine dm-Einordnung, keine Quellenaussage und keine Rechtsberatung:
- Alternative ohne Biometrie: Wer nicht einwilligt, braucht einen gleichwertigen Weg, etwa einen Rückruf über bekannte Kanäle, ohne Nachteile.
- Stufe nach Meeting-Typ: Nicht jede Teamrunde braucht einen Nachweis; sinnvoll ist er eher bei Freigaben, Zahlungsfragen oder Personalentscheidungen.
- Badge-Dauer: Je länger ein Badge gilt, desto weniger Abgleiche fallen an. Kürzere Fristen erhöhen die Sicherheit, aber auch die Zahl der Verarbeitungen.
- Rollen und Verträge: Vor dem Start klären, wer Verantwortlicher oder Auftragsverarbeiter ist und wo Selfies und Frames verarbeitet werden. Die Speicherdauer nennt World nicht; sie muss erfragt werden.
- Betriebsrat und Dokumentation: Beteiligung früh einplanen und Entscheidung, Einwilligungstexte und Widerrufsweg schriftlich festhalten.
Welche Frage vor der ersten Pflicht beantwortet sein sollte
Entscheidend ist, ob sich das Deepfake-Risiko anders und milder abfangen lässt. Die 62 % aus der Gartner-Umfrage sagen nur, dass Angriffe vorkamen, nicht, wie viele davon in Videocalls stattfanden oder durch ein Human Badge verhindert worden wären. Diese Lücke sollte ein Arbeitgeber schließen, bevor er Beschäftigten einen Iris-Scan abverlangt: mit einer dokumentierten Risikoanalyse, die konkrete Meeting-Szenarien benennt und prüft, ob Rückfragen, Freigabeprozesse oder Vier-Augen-Regeln das Ziel ebenso erreichen.
