Datenschutzerklärung für BigBlueButton

Warum ist BigBlueButton datenschutzrechtlich relevant?

Je nachdem, wie Unternehmen BigBlueButton verwenden, erheben sie unterschiedliche Daten ihrer Gesprächspartner. Das können zum Beispiel

• E-Mail-Adressen,
• Chat-Nachrichten,
• Dateien und
• IP-Adressen

sein. Das Tool bietet zudem die Möglichkeit, Videokonferenzen aufzuzeichnen. Bei diesen Daten handelt es sich zum Teil um personenbezogene Daten. Unternehmen müssen daher besondere datenschutzrechtliche Pflichten beachten.

Können Unternehmen BigBlueButton DSGVO-konform verwenden?

Grundsätzlich gilt BigBlueButton als datenschutzfreundlich. So empfehlen sowohl die Berliner Datenschutzbeauftragte als auch das Landemedienzentrum Baden-Württemberg die Software. Um BigBlueButton datenschutzkonform zu verwenden, müssen Unternehmen auf diese Vorgaben der Datenschutz-Grundverordnung (DSGVO) achten:

Datenschutzerklärung anpassen

Unternehmen erheben über BigBlueButton Userdaten. Darauf müssen sie in ihrer Datenschutzerklärung hinweisen. Dabei sollten sie erwähnen,

• warum sie über BigBlueButton Daten erheben,
• welche Daten sie über BigBlueButton erheben,
• wie lange sie diese Daten speichern,
• welche Rechtsgrundlage ihnen die Datenverarbeitung nach der DSGVO erlaubt und
• dass Nutzer der Datenerhebung und Datenspeicherung jederzeit widersprechen können.

Auf eigenem Server hosten

Unternehmen sollten BigBlueButton auf einem eigenen Server betreiben. Auf diese Weise geben sie keine erhobenen Daten an Dritte weiter. Und: Sie können die Software so möglichst datenschutzfreundlich konfigurieren.

Datensparsamkeit beachten

Unternehmen sollten bei der Nutzung von BigBlueButton nur die Daten erheben, die sie unbedingt benötigen. Der Grundsatz der Datensparsamkeit der DSGVO gibt dabei vor, dass die Datenerhebung

• einem erlaubten Zweck dienen muss,
• geeignet sein muss, diesen Zweck zu erfüllen und
• erforderlich sein muss, diesen Zweck zu erreichen.

Unternehmen dürfen die erhobenen Daten zudem nur so lange speichern, wie sie diese für den angegebenen Zweck benötigen oder es ein Gesetz vorgibt.

Videokonferenzen nicht aufzeichnen

BigBlueButton zeichnet Videokonferenzen automatisch auf und speichert diese in Form einer RAW-Datei. Die Datei bleibt automatisch für zwei Wochen gespeichert. Danach löscht BigBlueButton die Datei. Betätigen Unternehmen zudem während einer Videokonferenz zusätzlich die Aufnahmefunktion, erzeugt das Tool aus der RAW-Datei eine Datei, die eine Veröffentlichung ermöglicht.

Administratoren sollten Videokonferenzen nicht aufzeichnen – es sei denn, sie erfüllen so einen von der DSGVO erlaubten Zweck. Sie sollten BigBlueButton zudem so konfigurieren, dass die Software die automatisch aufgezeichnete RAW-Datei unmittelbar nach Ende einer Videokonferenz löscht. Unternehmen können so zwar nicht verhindern, dass die Datei entsteht. Sie bleibt so jedoch nicht zwei Wochen lang gespeichert.

Vertrag zur Auftragsverarbeitung abschließen?

Hosten Unternehmen BigBlueButton auf ihrem eigenen Server, müssen Unternehmen keinen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Betreiben sie das Tool über einen Hosting-Anbieter, müssen sie mit diesem einen AV-Vertrag schließen. Der Vertrag sollte klarstellen,

• welche Userdaten der Hosting-Anbieter von Unternehmen erhält und speichert,
• wie lange der Anbieter die Daten speichert,
• wie der Anbieter die Daten verarbeitet und
• welche Rechte und Pflichten Anbieter und Unternehmen haben.

Unternehmen müssen in ihrer Datenschutzerklärung darauf hinweisen, dass sie mit einem Hosting-Anbieter einen AV-Vertrag geschlossen haben.

Rechtsprechung zu BigBlueButton

Unternehmen, die BigBlueButton nicht selbst hosten, benötigen einen AV-Vertrag mit dem entsprechenden Hosting-Anbieter. Versäumen sie diese DSGVO-Pflicht, müssen sie mit einem Bußgeld rechnen. Das kann bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes liegen. Zwei Datenschutzbehörden sprachen daher bisher diese Strafen aus:

Datenschutzbehörde Hamburg zum AV-Vertrag

Ein Versandunternehmen musste am 17.12.2018 ein Bußgeld in Höhe von 5.000 Euro zuzüglich Gebühren in Höhe von 250 Euro zahlen. Das Unternehmen hatte es versäumt, mit einem beauftragten Dienstleister einen AV-Vertrag zu schließen. Die Datenschutzbehörde Hamburg hatte daraufhin das Bußgeld ausgesprochen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußballverein VfB Stuttgart musste im März 2021 ein Bußgeld in Höhe von 300.000 Euro zahlen. Er hatte zwar mehrere tausend Mitgliederdaten an Dienstleister weitergegeben, um diese weisungsgebunden verarbeiten zu lassen. Eine rechtliche Grundlage in Form eines AV-Vertrags hatte der Verein dafür jedoch nicht geschaffen. Das wertete die Datenschutzbehörde Baden-Württemberg als schweren DSGVO-Verstoß.