Videokonferenzen und Datenschutz

Worum geht's?

Videokonferenzen wurden in den letzten Jahren immer wichtiger, um Arbeit effizient und ohne teure Reisen oder lange Meetings zu erledigen. Besonders in Zeiten von Corona und Homeoffice kam niemand mehr am Thema „Videokonferenzen“ vorbei. Immer mehr Unternehmen und Selbständige greifen seitdem auf Tools wie Zoom, Microsoft Teams & Co. zurück. Wir zeigen Ihnen, welche Videokonferenz-Tools es auf dem Markt gibt, welche datenschutzrechtlichen Risiken Sie kennen müssen und wie Sie die passende Software für Ihre Arbeitsabläufe finden.

1. Videokonferenz-Software und der Datenschutz

Durch die Eskalation der Corona-Krise mussten viele Unternehmen handeln und sich schnell auf die Nutzung eines Videokonferenz-Tools festlegen. Dabei wurden schnell die Allgemeinen Geschäftsbedingungen überflogen oder man akzeptierte diese „blind“. Auch für das Studium der Datenschutz-Maßnahmen des jeweiligen Anbieters und dem Abgleich mit der DSGVO fehlte vielfach die Zeit.

Dies kann aber gefährlich werden: Unklare Datenschutzbestimmungen, Sicherheitslücken und gehackte Videokonferenzen waren die Folge. Es dauerte dann auch nicht lange, bis die ersten Datenschutzprobleme offensichtlich wurden. Zwei Beispiele aus den letzten Jahren:

Sicherheitslücken bei Zoom

Bei Zoom gab es negative Schlagzeilen zum Thema Datensicherheit. Es stand der Verdacht im Raum, dass Zoom Nutzerdaten heimlich an Facebook weitergegeben haben soll. Zudem gab es einige Sicherheitslücken, die es immer wieder erlaubten, dass fremde Personen in laufende Zoom-Konferenzen teilnehmen konnten oder diese mit Werbung fluteten.
Zoom hat hier sehr offen reagiert und sowohl die Datenweitergabe an Facebook beendet als auch die Sicherheitslücken etwa durch das Einführen einer Passwortfunktion und bessere Verschlüsselung für die Meetings entschärft.

Microsoft: Ärger mit Datenschutzbehörden

Auch bei Microsoft gab es Ärger. Die Berliner Datenschutzbeauftragte kritisierte die Lösungen Skype und Microsoft Teams, aber auch andere Anbieter, als datenschutzrechtlich heikel. Microsoft wehrte sich gegen diese Aussage der Datenschützer und sprach von „missverständlichen Aussagen“ und „unzutreffenden Wertungen“. Microsoft hat die Berliner Datenschützer daraufhin schriftlich aufgefordert, diese Aussagen zu unterlassen.

Auch nach der Pandemie sind die Videokonferenz Dienste nicht aus dem beruflichen Alltag verschwunden und werden nicht nur im Homeoffice, sondern auch zur täglichen Kommunikation im Unternehmen eingesetzt. Bei der Verwendung von Videokonferenzdiensten herrscht jedoch kein rechtsfreier Raum. Um Ärger mit Datenschützern, Mitarbeitern oder Geschäftspartnern zu vermeiden sollten Sie sich bei der Auswahl oder Überprüfung Ihrer Konferenz-Lösung etwas Zeit nehmen.

Sören SiebertRechtsanwalt

2. Check Datenschutz bei Videokonferenzen: Worauf Sie bei der Auswahl Ihrer Videokonferenz-Lösung achten müssen

Die Tools auf dem Markt bieten neben verschiedenen Tarifen und technischen Möglichkeiten auch unterschiedliche Voraussetzungen und Einstellungen zum Thema Datenschutz. Egal, ob Sie beim Thema Videokonferenzen für die Schule den Datenschutz einhalten oder die Videokonferenz im Home Office datenschutzkonform einrichten möchten – die Regeln gelten in allen Bereichen. Wichtig für die Auswahl ist immer, dass Sie bestimmte datenschutzrechtliche Punkte beachten, um Ihre Online Meetings DSGVO konform zu gestalten.

I. Hat mein Anbieter von Videokonferenzen seinen Sitz in der EU oder ein angemessenes Datenschutzniveau?

Anbieter aus der EU sind aus Datenschutzsicht sicherer

In der EU gibt es ein einheitliches Datenschutzniveau. Deshalb sind Dienste, deren Anbieter ihren Sitz in der EU haben, aus Datenschutzaspekten sicherer. Wenn Sie die Wahl zwischen verschiedenen Tools haben, sollten Sie besser einen Dienst aus der EU wählen, damit Ihre Videokonferenz datenschutzkonform ist.

Anbieter aus Drittländern (USA & Co.)

Wenn Sie für Ihre Videokonferenzen einen Dienst aus einem Drittland wählen (Länder im EU-Ausland), sollten Sie darauf achten, dass diese Länder angemessene Datenschutzvorschriften einhalten. Doch wie erkennt man, ob ein Anbieter von Videokonferenzen datenschutzkonform genutzt werden kann? 

a. Angemessenheitsbeschluss der EU-Kommission

Für einige Länder hat die EU-Kommission festgestellt, dass dort das Datenschutzniveau „angemessen“ (also vergleichbar mit der EU) ist. Dazu gehören Andorra, das Vereinigte Königreich, Argentinien, die Faröer Inseln, Guernsey, Japan, Israel, Uruguay, Kanada, Neuseeland und die Schweiz. Mit der Einigung über das Data Privacy Framework existiert nun auch ein Angemessenheitsbeschluss der EU-Kommission für Datenübermittlungen in die USA. Die Besonderheit hierbei: Es nehmen nur solche Unternehmen am DPF teil, die ein Selbstzertifizierungsverfahren durchlaufen haben. Den Stand der Zertifizierung können Sie in der offiziellen DPF-Liste einsehen.

Mehr zum Thema Datenübertragung in die USA finden Sie in unserem Artikel "Privacy Shield 2.0: Datentransfer in die USA".

b. Standard Contractual Clauses (SCC)

Existiert kein Angemessenheitsbeschluss oder nimmt das jeweilige Unternehmen nicht am DPF teil, muss die Einhaltung eines dem der EU gleichwertigen Datenschutzniveaus selbständig vertraglich vereinbart werden. Hierfür stellt die EU-Kommission Vertragsklauseln zur Verfügung. Nach diesen EU-Standardvertragsklauseln verpflichtet sich der jeweilige Anbieter zur Wahrung des europäischen Datenschutzes.

II. Habe ich die Datenschutzeinstellungen so sicher wie möglich eingestellt?

Die Datenschutzeinstellungen sind je nach Tool verschieden. Hier gibt es viele Einstellungen in den jeweiligen Systemen, die Sie genauer unter die Lupe nehmen sollten, wenn Sie den Datenschutz bei Videokonferenzen einhalten möchten. In erster Linie sollten Übertragungen ausschließlich verschlüsselt erfolgen. Die Aufzeichnungen und etwaige Chat-Protokolle sollten nach der Beendigung des Meetings auch gelöscht werden. Ein Tracking der Teilnehmer sollte nach Möglichkeit ebenfalls abgestellt werden, wenn Sie bei Videokonferenzen den Datenschutz der Teilnehmer sicherstellen möchten.

III. Habe ich einen Auftragsverarbeitungsvertrag mit dem Anbieter abgeschlossen?

Die Anbieter gelten in der Regel als Auftragsverarbeiter. Daher müssen Sie mit diesen einen AV-Vertrag abschließen.

IV. Wenn ein Betriebsrat vorhanden ist, habe ich den Betriebsrat beteiligt?

Wenn Sie einen Betriebsrat haben, dann können Absprachen mit diesem anfallen, wenn durch das Online-Konferenz-Tool Login-Daten verarbeitet werden und/oder die Teilnahme der Mitarbeiter quasi „überwacht“ werden kann. Das ist nach § 87 Abs. 1 Nr. 6 BetrVG zwingend.

V. Habe ich meine Datenschutzerklärung ergänzt?

In Ihrer Datenschutzerklärung müssen Sie über die Nutzung von Videokonferenzdiensten und die damit einhergehende Verarbeitung von personenbezogenen Daten informieren. Diese sollte immer auf dem aktuellsten Stand sein.

Eine rechtssichere Datenschutzerklärung können Sie jetzt schnell und kostenfrei mit unserem Datenschutz-Generator erstellen.

VI. Habe ich mein Verarbeitungsverzeichnis an die Nutzung von Videokonferenz-Tools angepasst?

Unternehmen sind nach Art. 30 DS GVO verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Um bei Videokonferenzen datenschutzkonform zu handeln, sollten Sie auch dort das eingesetzte Videokonferenz-Tool erwähnen.

3. Videokonferenz-Tools: Datenschutzerklärung anpassen

Ein Punkt, der bei der Frage nach dem Datenschutz bei den jeweiligen Anbietern, oft vergessen wird:

Wenn Sie Videokonferenz Dienste nutzen um mit Kunden, Mitarbeitern oder Geschäftspartnern zu kommunizieren, müssen Sie diese Tools in Ihre Datenschutzerklärung aufnehmen.

Sie müssen in Ihrer Datenschutzerklärung dann unter anderem folgende Punkte darstellen:

• Welches Tool nutzen Sie?
• Zu welchen Zwecken werden Nutzerdaten verarbeitet?
• Die Rechtsgrundlage der Datenverarbeitung nach DSGVO
• Die Speicherdauer der Daten
• Wie lautet die Anschrift des Anbieters?
• Wurde ein Vertrag zur Auftragsverarbeitung mit dem Anbieter geschlossen?

Wenn Sie zu einer Videokonferenz einladen, müssen Sie die Teilnehmer auch über Datenschutzfragen informieren.

Am einfachsten geht das durch einen Link auf der Anmeldeseite zur Videokonferenz oder in der Einladungsmail, in dem Sie auf Ihre Datenschutzerklärung verweisen.

Unsere Datenschutz-Generatoren im eRecht24 Premium Bereich enthalten Texte zu folgenden Videokonferenz Anbietern:

• Zoom
• ClickMeeting
• TeamViewer
• Skype for Business
• GoToMeeting
• Microsoft Teams
• Google Meet
• Jitsi Meet

4. Datenschutz bei Videokonferenzen: Darf ich Videocalls aufzeichnen?

Videokonferenzen aufzuzeichnen hat viele Vorteile. Es ist einfach und bequem, die Aufnahme später noch einmal herauszuholen, wenn etwas unklar ist, oder die Datei anderen zuzusenden. Oft machen sich Unternehmer aber keine Gedanken darüber, ob das Aufzeichnen von Videocalls überhaupt datenschutzkonform ist. Die Frage ist: Dürfen Sie Videocalls eigentlich ohne weiteres aufzeichnen? Die Antwort ist ganz klar: Nein!

Sind nicht alle Teilnehmer ausdrücklich einverstanden, machen Sie sich sogar strafbar, wenn Sie Videokonferenzen einfach mitschneiden. Denn bereits wenn Sie unbefugt aufnehmen, was ein Teilnehmer der Videokonferenz nicht öffentlich gesagt hat, aber auch wenn Sie die Aufnahme gebrauchen oder an andere weitergeben, gilt: Sie verletzten die „Vertraulichkeit des Wortes“ und Ihnen drohen eine Geld- oder Freiheitsstrafe bis zu 3 Jahren.

Ausnahme: Wenn das Aufzeichnen erforderlich ist, um berechtigte Interessen anderer zu wahren, und dieses das Interesse am Datenschutz des Betroffenen überwiegt. Einzig denkbar wäre hier die Dokumentation des Gesagten oder die Qualitätssicherung.

Doch die Videokonferenzen sind nur ein Ersatz für Vor-Ort-Termine, und beim Jour Fixe in den Büroräumen wird schließlich auch keiner gefilmt. Auch hier ist nur das schriftliche Protokoll möglich und ausreichend. Folglich darf das Interesse an der Protokollierung den Datenschutz nicht überwiegen.

Folge: Sie müssen eine Einwilligung aller Teilnehmer einholen, um Ihre Videokonferenz datenschutzkonform zu gestalten. Aber wie muss diese aussehen? Es reicht nicht aus, dass die Software einen Infotext abbildet, dass gerade eine Aufzeichnung stattfindet. Für eine wirksame Einwilligung gelten strenge Anforderungen.

Sie dürfen die Teilnehmer der Videokonferenz nicht zwingen, die Einwilligung zu erteilen. Alle Teilnehmer müssen freiwillig einwilligen.

5. Die wichtigsten Videokonferenz- Anbieter im Vergleichstest

Zoom

Clickmeeting

TeamViewer

Skype for Business

GoToMeeting

Microsoft Teams

Google Meet

Jitsi Meet

6. Das sollten Sie jetzt konkret tun

• Prüfen Sie anhand der Vorgaben aus diesem Beitrag, ob Ihre aktuelle Videokonferenz-Lösung datenschutzkonform einsetzbar ist.
• Prüfen Sie, ob Sie einen AV-Vertrag mit dem Anbieter abgeschlossen haben.
• Prüfen Sie, ob Sie die datenschutzfreundlichsten Einstellungen im Tool gewählt haben.
• Ergänzen Sie Ihre Datenschutzerklärung um einen Passus zu Ihrem Videokonferenz-Tool.

 Die wichtigsten Videokonferenz-Tools sind im Profi-Generator von eRecht24 Premium enthalten.

• Zurück zur Übersicht: "Datenschutz"
• Was müssen Unternehmen nach der DSGVO intern regeln?
• Google Analytics
• Google Consent Mode
• Datenschutz bei Zoom
• Datenschutz von Mitarbeiterdaten
• Formulare
• Pur-Abo-Modell für Content-Unternehmen
• Datenschutz & Datenschutzerklärung für Handwerker
• Datenschutz für Immobilienmakler