Source: https://easyrechtssicher.de/videokonferenz-datenschutz
Timestamp: 2020-08-14 06:35:21+00:00

Document:
Videokonferenz DSGVO ohne Abmahnung oder teures Bußgeld!
Videokonferenz DSGVO ohne Abmahnung, Schadenersatz oder teures Bußgeld
Datenschutz ist in einer Videokonferenz genauso relevant wie sonst auch: Wie Du mit Webinar- und Videokonferenz-Tools wie Zoom, edudip, Google Hangouts, Skype und ClickMeeting rechtssicher mit Kunden online sprechen kannst
Videokonferenzen haben nicht erst seit der Corona-Krise Konjunktur. Die richtige Online-Konferenzsoftware kann Dir viele Termine, Reisezeiten und Verwaltungsaufwand abnehmen, zudem ist sie von Kunden oft erwünscht. Die Nutzung jedes Videokonferenz-Tools erfordert aber die Verarbeitung von personenbezogenen Daten des Nutzers. Damit gilt für jede Videokonferenz die Datenschutzgrundverordnung (DSGVO) mit ihren vielen rechtlichen Fallstricken. Wie Du trotz Datenschutzgrundverordnung und Wettbewerbsrecht rechtssicher Videokonferenzen Datenschutz abhältst, erfährst Du hier.
Beitrag von Rechtsanwalt Dr. Ronald Kandelhard, Fachanwalt für Handels- und Gesellschaftsrecht.
Was muss ich bei der Auswahl meines Videonferenz-Anbieters beachten?
Aus welchem Land darf der Anbieter meiner Videokonferenzsoftware kommen?
Darf ich einen US Anbieter für meine Videokonferenzen DSGVO verwenden?
Muss ich bei dem Anbieter der Videokonferenz DSGVO auf weitere Punkte achten?
Darf ich für die Videokonferenz mit dem Kunden personenbezogen Daten erfragen?
Darf ich beliebige Daten des Kunden in der Videokonferenz erfragen?
Darf ich Gesundheitsdaten und sonstige sensible Daten verarbeiten?
Darf ich den Kunden per Mail oder Telefon bitten, eine Videokonferenz abzuhalten?
Was muss ich bei der Terminvereinbarung für Videokonferenzen beachten?
Muss ich den Nutzer bei der Videokonferenz über die Datenverarbeitung informieren?
Muss ich alle Hinweise direkt bei der Videokonferenz DSGVO konform erteilen?
Was muss in meiner Datenschutzerklärung stehen, wenn ich einen Online-Konferenzanbieter nutze?
Muss die Konferenz verschlüsselt stattfinden?
Muss ich weitere Einstellungen der Online Konferenzsoftware beachten?
Welche Videokonferenz Anbieter kann ich Datenschutz konform verwenden?
1. Was muss ich bei der Auswahl meines Videokonferenz-Anbieters beachten?
In erster Linie muss die Videokonferenz-Software natürlich Deine Anforderungen an eine gute und reibungslose Online Konferenzen erfüllen. Eine Übersicht zu verschiedenen Anbietern findest Du hier.
Damit jedoch leider nicht genug. Auch rechtlich muss Dein Anbieter bestimmte Anforderungen erfüllen, damit Du die Videokonferenz DSGVO konform abhalten kannst, ohne eine Abmahnung oder ein Bußgeld zu riskieren.
2. Aus welchem Land darf der Anbieter meiner Videokonferenz-Software kommen?
In erster Linie muss Dein Anbieter die Daten mit ausreichender Sicherheit Videokonferenzen Datenschutz-konform verarbeiten. Hiervon kannst Du im Grundsatz ausgehen, wenn das Unternehmen in der EU ansässig ist, wie zum Beispiel die deutschen Anbieter edudip, blizz von TeamViewer, Mikogo oder der polnische Anbieter ClickMeeting. Dann gilt für ihn automatisch die europäische Datenschutzgrundverordnung. Besonders datenschutz-freundlich ist fairmeeting der gemeinnützigen Gesellschaft fairkom aus Österreich. Hier wird ausschließlich Open Source Software für die Leistungserbringung verwendet. Das Leistungsspektrum ist aber nicht ganz so umfassend wie bei den gewerblichen Angeboten.
Anders ist es, wenn das Unternehmen Deiner Konferenz-Software nicht in der EU sitzt. Du darfst Daten nur dann aus der EU heraus exportieren, wenn die EU festgestellt hat, das in dem Zielland ein mit der EU vergleichbares Datenschutzniveau besteht. Das ist etwa in Bezug auf die Schweiz, Japan oder Kanada der Fall. Viele “Software as a Service” Tools wie Slack oder Zoom, sind momentan dazu gezwungen, ihr Datenschutzniveau anzupassen. Da noch nicht alle nachgezogen haben, bist Du gefragt und musst für die Nutzung DSGVO-konforme Tools verwenden.
3. Darf ich einen US-Anbieter für meine Videokonferenzen DSGVO verwenden?
Auch Provider für Webinar, Beratungs- oder Videokonferenz-Tools aus den USA kannst Du oft verwenden. Ganz so einfach wie bei EU-Providern ist es aber nicht. Bei einem gleichwertigen Leistungsangebot solltest Du daher einen EU-Anbieter für Deine Videokonferenz Datenschutz vorziehen.
Die US-amerikanischen Tools sind für Webinar und Online-Konferenzen aber oft Marktführer und zeichnen sich nicht selten durch verlässliche Leitungen aus. Ihre Nutzung ist zulässig, aber nur, wenn diese bei privacy shield (PS) registriert sind. Das ist ein Abkommen zwischen den USA und der EU. Danach erkennt die EU den gleichwertigen Datenschutz wie in der EU für US-Tools dann an, wenn sich der Empfänger der Daten (also der Webinar- oder Konferenzanbieter) in den USA dem privacy shield Abkommen unterworfen hat.
Mehr Informationen dazu und wie Du das prüfst, erfährst Du hier. Bitte beachte aber, es gibt durchaus einige Unternehmen den USA, die auf Ihrer Website behaupten, Sie seien GDPR (DSGVO) konform, aber in Wirklichkeit nicht bei PS registriert sind. Die in diesem Beitrag genannten Anbieter sind aber alle bei privacy shield registriert – jedenfalls zum Zeitpunkt der Veröffentlichung des Artikels.
Es gibt zwar noch weitere Möglichkeiten, wie man US-Anbieter auch ohne PS verwenden kann, aber das ist einigermaßen komplex und bleibt daher hier außen vor. Generell würde ich raten, nur Anbieter zu verwenden, die dort registriert sind.
4. Muss ich bei dem Anbieter der Videokonferenz Datenschutz auf weitere Punkte achten?
Nach der DSGVO darfst Du Daten, die Du von Deinen Kunden erhalten hast, nur unter bestimmten Voraussetzungen an einen Dritten weitergeben. Verarbeitet der Dritte die Kundendaten in Deinem Interesse und Auftrag, musst Du mit dem Dritten einen Auftragsverarbeitungsvertrag abschließen. Darin ist geregelt, dass der Dritte Deinen Anweisungen bei der Verarbeitung der Daten folgt, also etwa auf Deine Weisung hin bestimmte Kundendaten löscht.
Du musst also mit dem Anbieter Deines Online Webinar- oder Videokonferenztools daher einen Auftragsverarbeitungsvertrag abschließen, ehe Du Videokonferenzen datenschutzkonform verwenden kannst. Bietet Dein Webinar- oder Konferenz-System keinen solchen Auftragsverarbeitungsvertrag an, darfst Du das Tool nicht verwenden.
Welche der beliebten Tools für Videokonferenzen, wie Slack oder Zoom, datenschutzkonform sind, findest Du hier unten.
5. Darf ich für die Videokonferenz mit dem Kunden personenbezogene Daten erfragen?
Die DSGVO verbietet nicht, dass Du Kunden kontaktierst. Du darfst nach Art. 6 Abs. 1 lit. a DSGVO Daten von Kunden verarbeiten, wenn der Kunde einwilligt. Ebenso darfst Du Kundendaten zur Vorbereitung oder Erfüllung eines Vertrages nach Art. 6 Abs. 1 lit. b DSGVO verarbeiten. Meistens wird es bei der Online-Konferenz oder Online-Beratung um die Vorbereitung oder die Erfüllung eines Vertragsverhältnisses gehen. Daher kannst Du in der Videokonferenz nach DSGVO auch die Daten Deines Kunden erfassen.
6. Darf ich beliebige Daten des Kunden in der Videokonferenz erfragen?
Die DSGVO regelt nicht nur, wie Daten zu sichern sind, sondern auch, welche Daten verarbeitet werden dürfen. Wesentlicher Grundsatz ist dabei die Datenminimierung oder Datensparsamkeit gem. Art. 5 Abs. 1 lit. c) DSGVO. Danach darfst Du immer nur die Daten von dem Kunden erheben, die Du wirklich für den konkreten Zweck benötigst.
Zu unterscheiden ist hier vor allem die Situation vor und nach einem Vertragsschluss. Vor dem Vertragsschluss, also wenn es um ein Webinar oder eine Videokonferenz zur Kundengewinnung geht, sind regelmäßig nur recht wenige Daten erforderlich. Für die erste Videokonferenz DSGVO reicht meist bereits eine Mail-Adresse und vielleicht auch sogar nur der Vorname. Ganz selten kann auch mal eine Qualifizierung erforderlich sein, wie etwa, dass der Kunde einer bestimmten Gruppe angehört – z.B. Webdesigner ist, wenn sich Euer Angebot etwa nur an die Berufsgruppe richtet.
Geht es dagegen um eine Videokonferenz im Rahmen oder zur Erfüllung eines bereits mit dem Kunden geschlossenen Vertrages, erlaubt die Rechtsgrundlage „Verarbeitung von Vertragsdaten“ nach Art. 6 Abs. 1 lit. b DSGVO eine gewisse Freiheit. Für einen Vertrag können dann viel weitergehende Daten erforderlich sein. Aber auch hier gilt. Die Daten müssen erforderlich sein, um den Vertrag zu erfüllen. Das können dann aber etwa Adressangaben, Angaben zu Rechnungsdaten oder Umstände bei dem Kunden sein, die für den Vertrag erforderlich ist. All das kannst Du auf der Videokonferenz datenschutzkonform erfragen.
7. Darf ich Gesundheitsdaten und sonstige sensible Daten verarbeiten?
Bitte beachte aber, wenn Du in der Videokonferenz besondere Kategorien von Daten erhebst, dass hier nach Art. 9 DSGVO eine ausdrückliche gesonderte Einwilligung erforderlich sein kann. Derartige Kategorien von Daten sind insbesondere Daten zur ethischen Herkunft, politische Meinungen, sexuelle oder gesundheitsbezogene Angaben. Grade für Coaches ist hier nicht selten eine besondere Einwilligung erforderlich. Das gleiche gilt, wenn die Videokonferenz für Bewerbungsgespräche dient. Jeweils geht es schnell um Herkunfts- oder Gesundheitsdaten mit den erweiterten Anforderungen des Art. 9 DSGVO.
Für die Online-Bewerbungen inklusive der Verarbeitung besonderer personenbezogener Daten finden Kunden von easyRechtssicher eine umfangreiche Anleitung und diverse Muster für den Datenschutz im Bewerbungsverfahren im Mitgliederbereich und im Datenschutz-Generator von easyRechtssicher.
8. Darf ich den Kunden per Mail oder Telefon bitten, eine Videokonferenz abzuhalten?
Hier kommt es darauf an, ob die Interessenten bereits Kunden sind oder nicht. Reine Interessenten darfst Du per Mail oder Telefon nur kontaktieren, wenn der Interessent vorher (!) darin eingewilligt hat. Dafür ist ein Double-Opt In erforderlich. Mehr dazu findest Du hier. Erst danach kannst Du den Interessenten per Mail oder Telefon auf eine Online Konferenz oder Beratung ansprechen.
Anders ist es, wenn es um eine Videokonferenz im Rahmen oder zur Erfüllung eines bestehenden Vertrages geht. Zum Zwecke der Durchführung des Vertrages darfst Du den Kunden jederzeit ansprechen.
9. Was muss ich bei der Terminvereinbarung für Videokonferenzen Datenschutz beachten?
Wenn Du dem Kunden online die Möglichkeit bietest, Beratungs-, Webinar- oder Konferenztermine zu buchen, musst Du den Kunden bei der Terminbuchung darauf hinweisen, dass seine Daten verarbeitet werden, denn regelmäßig wird der Kunde seine Daten wie Name und Mailadresse angeben müssen und wird ggf. auch die IP Adresse des Kunden an einen externen Anbieter übermittelt. Damit muss der Kunde einverstanden sei. Dieses Einverständnis ergibt sich dann aber bereits daraus, dass der Kunde diese Daten eingibt und die Eingabe abschließt. Das ist eine Bestätigungshandlung – wenn der Kunde eben auf die Verarbeitung seiner Daten hingewiesen wird.
Der Hinweis muss in Deiner Videokonferenzsoftware jedoch unmittelbar bei der Dateneingabe gut erkennbar aufgeführt sein. Direkt neben oder über (nicht unter!) der Dateneingabe muss der Hinweis auf die Verarbeitung der Daten vorhanden sein. War der Hinweis nicht unmittelbar erkennbar, kann die Eingabe der Daten durch den Kunden nicht als Einwilligung gewertet werden. Dann wäre die Verarbeitung seiner Daten nicht DSGVO-konform und Du könntest abgemahnt werden.
Noch sicherer wäre es, wenn Du ein OptIn-Feld (nicht voreingestellt) verwendest, mit dem der Nutzer diesen Hinweis bestätigt, ehe der Termin gebucht wird.
Wenn Du für Deine Videokonferenz DSGVO konform ein anderes Terminkalender Tool verwendest, findest Du in unseren Guide zu der DSGVO-konformen Nutzung Deines Terminkalenders alle weiteren Hinweise, wie die OptIn-Felder gestaltet werden müssen.
10. Muss ich den Nutzer bei der Videokonferenz über die Datenverarbeitung informieren?
Du musst Deine Kunden vor der Nutzung jeweils darüber informieren, wie Du ihre Daten verarbeitest, wohin Du sie sendest und welche Rechte sie in Bezug auf ihre Daten haben und welche Maßnahmen Du ergreifst. Das sind die allgemeinen Anforderungen an eine Datenschutzerklärung.
Nutzt Du eine Videokonferenzsoftware, wird auch der Anbieter des Online Konferenzsoftware die Daten Deines Kunden empfangen. Im Regelfall bekommt der Anbieter sowohl die IP Adresse des Nutzers, weitere Daten über das Surfverhalten des Nutzers sowie vor allem die von ihm in dem Konferenzsystem eingegebenen Daten (wie Name, E-Mail-Adresse etc.) mit. Damit werden die Daten des Nutzers auch an den Anbieter der Online Konferenzsoftware weitergegeben. Darüber musst Du Deinen Kunden informieren.
11. Muss ich alle Hinweise direkt bei der Videokonferenz DSGVO konform erteilen?
Müsstest Du den Kunden direkt bei der Videokonferenz auf die gesamte Datenverarbeitung einschließlich der Rechte des Nutzers hinweisen, wäre auf Deiner Konferenzseite nicht mehr viel Platz für Deine Online Konferenz. Zum Glück ist es aber auch nicht erforderlich, dass Du den Nutzer direkt bei der Konferenz informierst. Es reicht aus, wenn Du – klar und deutlich erkennbar – bei der Terminvereinbarung für die Konferenz auf Deine Datenschutzerklärung verlinkst.
Dann muss ein entsprechender Passus zu dem Online-Konferenztool natürlich in Deiner Datenschutzerklärung enthalten sein.
12. Was muss in meiner Datenschutzerklärung stehen, wenn ich einen Online-Konferenzanbieter nutze?
Die hier besprochenen Anbieter findest Du alle bei easyRechtssicher in dem Datenschutz-Generator. Wenn Dein Anbieter fehlt, melde Dich gern über unser Kontaktformular.
Damit kannst Du Dein Online-Konferenztool auf Knopfdruck einfügen und sie werden – bei entsprechender Einstellung – automatisch von uns aktuell gehalten. Einfacher geht die datenschutzkonforme Nutzung der Tools nicht.
13. Muss die Videokonferenz Datenschutz verschlüsselt stattfinden?
Nach Art. 5 Abs. 1 lit. f DSGVO muss jede Website, auf der Nutzer personenbezogene Daten eingeben, verschlüsselt sein. Ohnehin ist aber inzwischen zu empfehlen, die gesamte Website mit SSL zu verschlüsseln (https://). Das gilt auch für Deine Online Konferenzen, zumal dort häufig auch Daten eingetragen werden. Du solltest also einen Anbieter nutzen, der die Daten verschlüsselt überträgt und immer auch eine entsprechende Einstellung in Deinem Webinar- oder Konferenztool vornehmen. Vertraue dabei am besten auf eine Ende-zu-Ende-Verschlüsselung des neuesten Standards.
14. Muss ich weitere Einstellungen bei Videokonferenzen Datenschutz beachten?
Die DSGVO gilt auch für die Abhaltung der Online-Konferenz selbst. Das heißt, Du musst – soweit das möglich ist – ein Tool auswählen, das DSGVO konform Online Konferenzen abhalten kann. Die Webinar- und Konferenzanbieter haben oftmals Einstellungen, die nicht in jedem Fall zulässig sind, sondern ggf. nur für bestimmte Meetings.
Du musst also dafür sorgen, dass das Konferenztool entsprechend eingestellt ist.
Das betrifft vor allem Einstellungen zu den Funktionen, die ein:
eine Beobachtung des Kundenverhaltens bei der Konferenz (z.B. Aktivität bei der Teilnahme) oder
a) Wann nutze ich nur notwendige Funktionen?
Derartige Funktionen darfst Du nur verwenden, wenn sie wirklich erforderlich sind: Das ist nur der Fall, wenn die Funktion
einem erlaubten Zweck dient (z.B. nicht einfach Ausspähung)
erforderlich ist, diesen Zweck zu erfüllen (es gibt also kein für den Datenschutz milderes Mittel)
mögliche Maßnahmen zum Datenschutz ergriffen sind.
Geht es etwa um eine Beratung, deren detaillierter Inhalt im weiteren Projektverlauf noch erforderlich ist, kann eine Aufzeichnung erforderlich sein. Anders, wenn vielleicht nur ganz wenige Inhalte später noch relevant sind, weil man die einfach (datenschutzfreundlicher) notieren könnte.
b) Welche weiteren Einstellungen sollte ich für meine Videokonferenz nutzen?
aa) Teile Meeting-IDs nicht öffentlich
Jeder Videokonferenz wird eine Meeting-ID, eine eindeutige Nummer, zugeteilt. Diese Meeting-IDs sollte nicht im Internet oder in den sozialen Medien veröffentlicht werden, da sich sonst unerwünschte Teilnehmer mittels dieser Nummer in Videokonferenz einwählen können.
BB) Verwende eine Einmalige Meeting-ID
Du solltest nicht die gleiche Meeting-ID für aufeinanderfolgende Videokonferenzen verwenden. Zudem solltest Du das aktuelle Meeting sperren, wenn alle Teilnehmenden eingewählt sind. Ansonsten droht, dass sich Teilnehmer von Folgemeetings einwählen.
CC) Nutze immer ein Meeting-Passwort
Ist Deine Videokonferenz über ein Kennwort gesichert, können nur berechtigte Personen mit dem richtigen Passwort am Meeting teilnehmen. Noch mehr Sicherheit gegen unerwünschte Mithöre erreichst Du, wenn Du die Meeting ID und das Passwort nicht in der gleichen E-Mail mitteilst.
DD) Überprüfe auf unerwünschte Meeting-Teilnehmer
Beobachte, wer am Meeting teilnimmt. Tauchen unbekannte Personen auf, solltest Du diese auffordern, sich zu identifizieren.
EE) zeichne nur nach Ankündigung auf
Aufzeichnungen solltest Du ohnehin nur machen, wenn das für den Zweck der Videokonferenz erforderlich ist (s.o.). Wenn Du aufzeichnest, musst Du jedenfalls die Aufzeichnung (Ton, Video etc.) des Meetings vorher ankündigen. Die Teilnehmer müssen die Möglichkeit haben, ohne Nachteile die Aufzeichnung abzulehnen oder Vorkehrungen gegen Ihre Identifikation zu treffen und das Meeting gegebenenfalls zu verlassen
FF) Kamera abdecken und Aufnahmebereich prüfen
Nutzt Du die Kamera nicht, kann es sich empfehlen, diese abzudecken, um eine heimliche Überwachung zu verhindern. Vor der Kamerafreigabe solltest Du auch den Aufnahmebereich der Kamera prüfen. So erkennst Du, welche Informationen die anderen Teilnehmern erhalten. Gegebenenfalls kann auch eine Blurring-Funktion, die den Hintergrund unscharf macht, helfen.
GG) Screensharing begrenzen
Beim Screensharing vermeide unnötige Inhalte, Fenster, Tabs geöffnet zu haben. Präsentiere möglichst nur das relevante Programm und nicht den gesamten Desktop. Gegebenenfalls kannst Du einen separaten Desktop einrichten, auf dem keine Dateien oder Verknüpfungen zu sehen sind.
Weitergehende Einstellmöglichkeiten, die für Videokonferenzen Datenschutz konform wichtig sein können, findest Du hier und in dieser ausführlichen Anleitung des Datenschutzzentrums.
15. Welche Videokonferenz Anbieter kann ich Datenschutz konform verwenden?
Adobe Connect, Blizz, ClickMeeting, edudip, fairmeeting, Google Hangouts, GoToMeeting, Skype for Business (nicht aber das normale Skype), Slack und Zoom kannst Du nach wohl herrschender Auffassung verwenden – Erwähnung in der Datenschutzerklärung, richtige Einstellungen und sonstige Erfüllung Deiner Hinweispflichten nach DSGVO vorausgesetzt. Zweifel bleiben aber. Die Berliner Datenschutzbehörde hat jetzt eine Hilfestellung für Videokonferenztools veröffentlicht, die leider wenig hilfreich ist, weil alle Auftragsverarbeitungsverträge der Anbieter danach formal bemängelt werden. Hier bleibt zu hoffen, dass die Anbieter nachbessern.
Nachfolgend findest Du weitere Datenschutz-Informationen für die Nutzung der beliebtesten Tools:
Zoom Datenschutz konform verwenden
Skype for Business Datenschutz konform verwenden
Slack Datenschutz konform verwenden
Beachte, ein wenig andere Einstellungen können hier schnell einen Unterschied machen, Du musst also jeweils nochmals ggf. selbst überprüfen, ob Deine Videokonferenz Datenschutz konform möglich ist mit dem von Dir gewählten Anbieter. Zoom beispielsweise ist beliebt, aber bedarf zusätzlicher Voreinstellungen.
Videokonferenzen sind auf jeden Fall ein tolles Werkzeug für Deine Leistungen und im Zuge der Coronakrise wichtiger denn je. Beachtest Du bei der Nutzung die rechtlichen Vorgaben und nutzt die passenden Muster für Deine Datenschutzerklärung, kannst Du Videokonferenzen Datenschutz konform ohne Angst vor einer Abmahnung oder einem Bußgeld verwenden. Dafür wünschen wir viel Erfolg.
Als Tool für Videokonferenzen wird sehr häufig auch Skype for Business genutzt. Das wird von Microsoft demnächst auch von MS Teams abgelöst. Ob und wie Du Microsoft Teams Datenschutz konform verwenden kannst, findest Du hier.
Für die hier besprochenen Online Konferenzanbieter findest Du jeweils entsprechende Optionen in dem Datenschutz-Generator von easyRechtssicher.
Dann kannst Du diese Tools auf Knopfdruck in Deiner Datenschutzerklärung aufnehmen und wir halten die Daten bei rechtlichen Änderungen automatisch aktuell.
Vorheriger ArtikelWie Du mit ZOOM Datenschutz konform Videokonferenzen abhalten kannst
Nächster ArtikelWie Du Skype DSGVO konform nutzen kannst

References: Art. 6
 Art. 6
 Art. 5
 Art. 6
 Art. 9
 Art. 9
 Art. 5