Was müßen Unternehmen beim Einsatz von Videokonferenzsystemen beachten?

Die DSK-Orientierungshilfe zu Videokonferenzsystemen (2020) legt konkrete Anforderungen fest.

Drei Betriebsmodelle

1. Selbst betrieben: Verantwortlicher betreibt die Infrastruktur selbst - volle Kontrolle, aber technischer Aufwand.
2. Externer IT-Dienstleister: Auftragsverarbeitung nach Art. 28 DSGVO - AVV erforderlich.
3. Online-Dienst: Wenn der Anbieter Daten zu eigenen Zwecken verarbeitet (z.B. Produktverbesserung), liegt KEINE reine Auftragsverarbeitung vor. Es kann gemeinsame Verantwortlichkeit (Art. 26 DSGVO) oder eine eigene Verantwortlichkeit des Anbieters vorliegen.

Aufzeichnung

Die Aufzeichnung von Videokonferenzen ist nur mit Einwilligung ALLER Teilnehmenden zuläßig.

Drittlandtransfer

Bei US-basierten Anbietern (Zoom, Teams, Google Meet): Prüfen, ob der Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert ist. Andernfalls SCCs und TIA erforderlich.

Datensparsamkeit

Privacy by Default beachten: Unschärfehintergründe nutzen, Kameras standardmäßig aus, keine automatische Aufzeichnung, Wartezimmerfunktion aktivieren.