Videokonferenzdienste wie Zoom, Microsoft Teams, Webex oder Google Meet dürfen Sie datenschutzkonform nutzen, wenn Sie das Betriebsmodell klären, einen Auftragsverarbeitungsvertrag abschließen, Drittlandübermittlungen absichern und datenschutzfreundliche Einstellungen wählen. Aufzeichnungen brauchen eine eigene Rechtsgrundlage und müssen vorher angekündigt werden. Die Datenschutzkonferenz hat die Anforderungen in ihrer Orientierungshilfe Videokonferenzsysteme (Oktober 2020) beschrieben.
Drei Betriebsmodelle
- Selbst betrieben: Sie betreiben die Software auf eigenen Servern, etwa Jitsi oder BigBlueButton. Sie haben die volle Kontrolle, tragen aber auch den technischen Aufwand.
- Externer IT-Dienstleister: Ein Dienstleister betreibt das System nach Ihren Weisungen. Das ist Auftragsverarbeitung, ein AVV nach Art. 28 DSGVO ist nötig.
- Online-Dienst: Sie nutzen einen Cloud-Dienst wie Zoom oder Teams. Für die Kernleistung tritt der Anbieter meist als Auftragsverarbeiter auf. Soweit er Daten für eigene Zwecke nutzt, etwa Diagnose- oder Telemetriedaten zur Produktverbesserung, ist er insoweit selbst verantwortlich. Prüfen Sie, welche Daten das sind und ob Sie sie begrenzen können.
Rechtsgrundlage
Für Besprechungen mit Kunden und Geschäftspartnern kommt meist Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder Anbahnung) oder lit. f (berechtigtes Interesse an effizienter Kommunikation) in Betracht. Für Beschäftigte gilt der Beschäftigtendatenschutz, ergänzend Art. 6 Abs. 1 lit. b DSGVO. Führen Sie ein neues System ein, das Verhalten oder Leistung überwachen kann, hat der Betriebsrat mitzubestimmen (§ 87 Abs. 1 Nr. 6 BetrVG).
Aufzeichnungen
Aufzeichnungen greifen stärker ein als die Konferenz selbst. Nach Auffassung der Aufsichtsbehörden sind sie in der Regel nur mit Einwilligung der Teilnehmenden zulässig, die vorher und freiwillig erteilt wird. Kündigen Sie jede Aufzeichnung an, begrenzen Sie die Speicherdauer und legen Sie fest, wer Zugriff hat. Die unbefugte Aufnahme des nicht öffentlich gesprochenen Wortes kann zudem strafbar sein (§ 201 StGB).
Drittlandübermittlung
Bei US-Anbietern prüfen Sie, ob der Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert ist. Dann können Übermittlungen auf den Angemessenheitsbeschluss gestützt werden. Andernfalls brauchen Sie Standarddatenschutzklauseln und eine Bewertung der Rechtslage im Empfängerland. Viele Anbieter bieten eine Datenverarbeitung in der EU an. Nutzen Sie diese Option.
Datenschutzfreundliche Einstellungen
- Kamera und Mikrofon beim Beitritt standardmäßig aus.
- Warteraum und Passwort für externe Teilnehmende.
- Keine automatische Aufzeichnung und keine automatische Transkription ohne Prüfung.
- Hintergrund-Weichzeichner anbieten, besonders im Homeoffice.
- Aufmerksamkeits- oder Anwesenheitsauswertungen deaktivieren.
- Telemetrie und Diagnosedaten auf das Minimum reduzieren.
- Rollen trennen: Host, Moderation, Teilnehmende.
- Ende-zu-Ende-Verschlüsselung nutzen, wo sie verfügbar und für den Zweck geeignet ist.
Transparenz
Informieren Sie Teilnehmende in einer Datenschutzhinweis-Seite, die Sie in der Einladung verlinken: welcher Dienst genutzt wird, welche Daten anfallen, wer Empfänger ist, ob Daten in Drittländer gehen und wie lange Sie Daten speichern (Art. 13 DSGVO).
Checkliste
- Betriebsmodell festlegen und Anbieter prüfen.
- AVV abschließen, Datenverarbeitung in der EU wählen, wo möglich.
- Drittlandgrundlage dokumentieren.
- Datenschutzfreundliche Voreinstellungen zentral setzen.
- Regeln für Aufzeichnungen und KI-Funktionen wie Transkription festlegen.
- Datenschutzhinweise bereitstellen und Beschäftigte schulen.
- Bei umfangreichem Einsatz mit Beschäftigtendaten prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.