Die DSK-OH Videokonferenzsysteme (Oktober 2020) gibt umfassende Anforderungen für den datenschutzkonformen Einsatz von Videokonferenzdiensten vor.
Drei Betriebsmodelle: (1) Selbst betriebener Videokonferenzserver, (2) externer IT-Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO), (3) Online-Dienst (z.B. Zoom, Teams, Webex). Bei Modell 3 ist besondere Vorsicht geboten: Wenn der Anbieter Daten zu eigenen Zwecken verarbeitet (Telemetrie, Produktverbesserung), liegt keine reine Auftragsverarbeitung vor.
Aufzeichnung: Die Aufzeichnung von Videokonferenzen ist nur mit Einwilligung aller Teilnehmenden zuläßig. Die Einwilligung muss vor der Aufzeichnung eingeholt werden und frei widerrufbar sein.
Teilnahme aus Privatwohnungen: Besondere Sensibilität besteht bei der Teilnahme aus dem Homeoffice: Einblick in das Wohnungsumfeld, Anwesenheit Dritter im Haushalt. Hintergrundunschärfe sollte als datensparsamere Option angeboten werden.
Drittlandstransfer: Bei US-basierten Anbietern (Zoom, Teams) muss der Drittlandstransfer den Anforderungen der Art. 44 ff. DSGVO genügen.
Checkliste aus der OH:
- AV-Vertrag bzw. Art. 26-Vereinbarung abschließen
- Software auf Datenabflüße prüfen (Telemetrie deaktivieren)
- Verschlüßelung der Übertragung sicherstellen
- Rollentrennung (Host, Moderator, Teilnehmende) einrichten
- Gastteilnahme mit Authentifizierung absichern
- Bei Aufzeichnung: vorherige Einwilligung einholen