Source: https://www.rz.uni-wuerzburg.de/en/services/it-recht/it-vertraege/zoom/
Timestamp: 2020-05-28 15:10:56
Document Index: 252308626

Matched Legal Cases: ['Art. 32', '§ 7', 'Art. 6', 'Art. 4', 'Art. 21', 'Art. 13', '§ 201', '§ 60', '§ 23', '§ 1']

Allgemeine Informationen zu Videokonferenzdiensten
Es gibt zahlreiche Anbieter zu Audio-, Video und Webinar-Lösungen.
Eine öffentliche Beschaffung hat grundsätzlich nach den Vorgaben der Haushaltsrechts und dem Vergaberecht zu erfolgen und beginnt in der Regel mit einer Bedarfs- und Marktanalyse.
Für einen ersten Überblick lohnt sich ein Blick ins englischsprachige Wikipedia. Jedoch sind dort nicht alle Informationen etwa zu Lizenzen und Verschlüsselung aktuell.
Hinweis: Eine ausschließlich rechtliche Betrachtung sollte nicht der alleinige Maßstab für eine Beschaffung sein. Qualität und der Innovation sowie soziale und umweltbezogene Aspekte sind in die Entscheidung miteinzubeziehen.
Ferner gibt es einen sehr lebensnahen Überblick zu Lösungen einschließlich einer Einschätzung für den Datenschutz aus schweizer Perspektive.
Welches Videokonferenzsystem im Hochschuleinsatz sich für welchen Einsatzzweck eignet, stellen gut dar:
Stabsstelle Informationssicherheit der bayerischen staatlichen Hochschulen und Universitäten
Datenschutzkoordinatorin der bayerischen Kunsthochschulen
Warum derzeit nur Informationen zu Zoom?
Das Informationsangebot der Stabsstelle wird nach der Anfragenhäufigkeit gestaltet.
Themen aus der aktuellen Diskussion
Die Hochschulen gehen offen mit dem Einsatz von Zoom um. Zoom ist eine Ergänzung zu den bisherigen Lösungen der Hochschulen.
Aktuelles und Informationsseiten
Sofern Sie aus Sicherheitsbedenken derzeit den Client nicht nutzen möchten, empfehen wir Ihnen zur Vermeidung der Angreifbarkeit von Schwachstellen aktuell Zoom entweder mit die iOS-App oder über den Webbrowser zu nutzen.
FAQ der HU Berlin
Stellungennahmen von Zoom
90-Tages Plan für mehr Sicherheit (Englisch)
Facebook SDK in der iOS-App
Verschlüsselung im Allgemeinen (Englisch)
Mehr Transparenz in der Datenschutzerklärung
Einbindung chinesicher Server (Englisch)
Drittländer in denen Zooms eigene Server stehen (Englisch)
Forschritte im Rahmen des 90-Tages Plans für mehr Sicherheit I (Englisch)
Themen u.a.: Passwörter im Dark Web, Verschlüsselungsqualität
Forschritte im Rahmen des 90-Tages Plans für mehr Sicherheit II (Englisch)
Themen u.a.: Verschlüsselungsqualität, Melden von Nutzern, Verfügbarkeit, Meetingsicherheit
Release Notes zu den Anwendungen einschließlich behobener Schwachstellen (Englisch)
Logdaten im Android Client werden erst nach Freigabe der User an Zoom übermittelt mit Version 4.6.11 (Englisch)
Unterauftragsverarbeiter, sofern kostenfreie Lizenzen genutzt werden (Englisch)
Kopien der datenschutzrechtlichen Festlegungen in den Verträgen mit Unterauftragsverarbeitern (Template am 24.04.2020 unter NDA vorgelegt)
Ausstehende Stellungnahmen von Zoom
Microsoft Crop. als Unterauftragsverarbeiter (Webinar Ask Eric vom 29. April 2020)
Firebase in der Android App
Veraltete Softwarebibliotheken
Zoom wurde bereits am 7. April 2020 von der Stabsstelle IT-Recht auf die verwundbaren Programmbibliotheken hingewiesen. Ferner wurden diese Fragen auch im Format "Ask Eric" am 8. und 15. April eingereicht.
Diese Kommunikation erfolgte im Hinblick auf den Bericht von Eva Wolfangel auf RiffReporter.
Der Bericht von THS, veröffentlicht am 16. April 2020, wird zum Anlass genommen Zoom nochmals auf die vertraglichen Konsequenzen hinzuweisen, sollten die von Zoom ergriffenen Maßnahmen nicht den Anforderungen u.a. aus Art. 32 DSGVO genügen.
Neue Stellungnahme von Professor Roßnagel
Hintergründe zur Beschaffungsentscheidung "Zoom" an bayerischen Universitäten und Hochschulen
Die aktuelle Krisensituation hat die bayerischen Universitäten und Hochschulen vor die Herausforderung gestellt, binnen kürzester Zeit die Voraussetzungen zu schaffen, am 20. April einen möglichst reibungslosen Semesterstart zu
gewährleisten. Dies hat unter anderem eine sehr schnelle Entscheidung für eine geeignete Plattform für Seminare und andere interaktive Lehrveranstaltungen unumgänglich gemacht.
Die Universitäts- und Hochschulleitungen in Bayern sind grundsätzlich davon überzeugt, dass es in der derzeitigen Situation keine technisch belastbare Alternative zu Zoom gibt. Ob Zoom der Last ab dem 20. April Stand hält, muss sich zeigen, doch sind die Chancen größer als bei allen evaluierten Alternativen.
Wir sind uns der bezüglich Zoom publizierten Probleme in datenschutz- und sicherheitstechnischer Hinsicht wohl bewusst. Wir werden eine angemessene Risikovorsorge treffen. Nach den bisher vorliegenden Erfahrungen muss man aber auch feststellen, dass sich die Zoom-Webseite und Zoom bei kostenloser Nutzung bzw. bei Anmeldung über Facebook- oder Google-Accounts in Bezug auf Datenweitergabe ganz anders verhält als bei Nutzung der Kommunikation über die App sowie hochschulspezifisches Single-Sign-On im Rahmen eines Vertragsverhältnisses.
Neben der Standard-Lizenz ist mit Zoom einen Vertrag zur Auftragsverarbeitung abgeschlossen, der nach Einschätzung der bayerischen Stabsstelle für IT-Recht viele in den vergangenen Tagen publizierten kritischen Punkte in Bezug auf den Datenschutz beseitigt. Weitere Verbesserungen der rechtlichen Bedingungen kommen aus dem zusätzlich abgeschlossenen Master Subscription Agreement mit Zoom.
In technischer Hinsicht ist der Betrieb im Rahmen der Campus-Lizenz durch zentrale Administrationsmöglichkeiten wesentlich besser kontrollierbar als bei einzelnen Lizenzen, die unkoordiniert in den verschiedenen Einrichtungen beschafft werden. Viele der jetzt bekannt gewordenen Probleme lassen sich durch geeignete Voreinstellungen und durch eine zentral koordinierte Softwareverteilung vermeiden.
Die CIOs der bayerischen Universitäten haben gemeinsam beschlossen, Zoom zunächst für ein Jahr zu lizenzieren. In dieser Zeit soll sowohl nach technischen Alternativen als auch nach Möglichkeiten für eine gemeinsame Rahmenvereinbarung, entweder auf bayerischer Ebene oder deutschlandweit, mit dem DFN gesucht werden. Der Betrieb von Zoom wird in den kommenden Monaten sehr bewusst überwacht.
Einen Überblick, den richten Dienst für den eigenen Bedarf zu finden, bietet die bayerische Stabsstelle Informationssicherheit an.
Lizenzen und Bezug
Zoom kann sowohl über Reseller als auch bei Zoom direkt bezogen werden.
Hochschul- und Campuslizenzen
Über den Dachverband der nationalen Bildungs- und Forschungsnetze GÉANT konnten gute und einheitliche Konditionen bei Direktbezug für alle Mitglieder festgelegt werden.
Rahmenvertrag mit Zoom
Derzeit gibt es nur die besonderen Konditionen einschließlich der Campuslizenzen dank GÉANT europaweit. Für das nächste Vertragsjahr sind Rahmenverträge geplant.
Mit einem kostenfreien Account, kann ein Meeting für bis zu 100 Teilnehmer für die maximale Dauer von 40 Minuten oder zeitlich nicht begrenzt für drei Teilnehmer abgehalten werden.
Ein Programm für die kostenfreien Lizenzen und Funktionsbeschränkung wird aktuell nur für Schulen, nicht aber für Hochschulen angeboten.
Bestimmungen und Informationen des Herstellers und der Einrichtung
Gemäß der Bestimmung aus dem Kooperationsvertrag mit der Universität Würzburg und § 7 Abs 10 Benutzungsordnung für Informationsverarbeitungssysteme der Universität Würzburg werden ergänzende Regelungen getroffen.
Das Angebot von Zoom unterliegt der MASTER SUBSCRIPTION AGREEMENT, dem Zusatz zur Auftragsverarbeitung und ergänzend der Zoom Policy.
Die Software und Dienste dürfen nicht zu eigenen kommerziellen Zwecken eingesetzt.
meine Hochschul-E-Mail-Adresse, Nach- und Vorname und Mitgliedsstatus, sowie Informationen über meine Schutzmechanismen zur Accountabsicherung
für die Bereitstellung des Dienstes (einschließlich Support und kontinuierlichen Verbesserungen), zur Veröffentlichung im Verzeichnis sowie als Möglichkeit für Single-Sing-On als Hilfsmittel für Studium, Lehre, Forschung und Verwaltung
durch meine Einrichtung mit Unterstützung durch den WebShop der Universität Würzburg verarbeitet werden.
Grundlage der Datenverarbeitung ist Art. 6 Abs. 1 lit. e DSGVO i.V.m. Art. 4 Abs. 1 BayDSG.
Der Dienst wird von Zoom als Lizenzgeber im Rahmen einer Auftragsverarbeitung angeboten unter einer Zertifizierung nach EU-US Privacy Shield. Für Unterauftragsverarbeiter gelten mindestens die gleichen Anforderungen, wie in der Auftragsverarbeitung mit Zoom festgelegt worden ist.
Entsprechend gilt für das Single-Sign-On, das gegebenenfalls über die Microsoft Ireland Operations Limited im Rahmen einer Auftragsverarbeitung bereitgestellt wird und dessen Mutterkonzern (Microsoft Corporation) über eine Zertifizierung unter dem EU-US Privacy Shield verfügt.
Aus Gründen, die sich aus Ihrer besonderen Situation ergeben, können Sie der Verarbeitung Sie betreffender personenbezogener Daten durch uns zudem jederzeit widersprechen (Art. 21 DSGVO). Sofern die gesetzlichen Voraussetzungen vorliegen, verarbeiten wir in der Folge Ihre personenbezogenen Daten nicht mehr und beenden die Nutzung des Dienstes für Sie.
Die ergänzende Datenschutzinformationen (Kontaktinformationen des Verantwortlichen, Betroffenenrechte, Speicherdauer und Kontaktdaten des Datenschutzbeauftragten) finden Sie im Menü unter Hilfe im Untermenü Kontakt/Support.
Telemetrie und Tracking bei Zoom
Die Webseite dient Zoom auch zur Verfolgung umfangreicher Marketingaktivitäten. Das Verfahren zu den Einstellungen von Cookies wirkt nur sehr eingeschränkt.
Da dies leider auf fast alle Webseiten im Netz zutrifft sollten nicht auf den Anbieter der Webseite vertrauen und eigene Schutzmaßnahmen ergreifen. Empfehlungen dazu finden Sie etwa im Privacy-Handbuch.
Desktop und Mac-Anwendung
Für diese Anwendung ist aktuell kein ungewollter oder unerwünschter Abfluss an Daten bekannt.
Nur für den Fall, dass die die Option Login mit Google oder Facebook nutzen, würde von die Anbietern Daten mit Zoom ausgetauscht.
Die Android App setzt u.a. für Analysen auf Firebase. Verbliebene Fragen zu den Rechtsgrundlagen des Einsatzes von Firebase in der App sind derzeit zur Klärung an Zoom weitergegeben worden.
Das Facebook-SDK ist aus der jüngsten App-Version von Zoom für iOS entfernt worden.
Einschätzung der Datenschutzerklärung durch Professor Roßnagel
Einschätzung zur Webseite von Mike Kuketz
Einschätzung zur Anwendung von Rechtsanwalt Stephan Hansen-Oest
Übersichtsseite von Zoom zum Datenschutz
Zoom verfügt über einige Sicherheitszertifizierungen.
Nach Abschluss einer Vertraulichkeitsvereinbarung stellt Zoom den jüngsten „Service Organization Control 2“-Bericht bereit.
Sicherheitslücken können Zoom wie folgt gemeldet werden
über das Programm HackerOne
Statusseite für Zoom Dienste (englisch)
Whitepaper zur Sicherheit (englisch)
Datenschutzinformationen für nicht öffentliche Stellen
Muster für nicht öffentliche Stellen von Rechtsanwalt Stephan Hansen-Oest
Datenschutzinformation für öffentliche Stellen in Bayern
Information gemäß Art. 13 DSGVO für bayerische staatliche Hochschulen Stand März 2020
Datenschutzdokumentation für öffentliche Stellen in Bayern
MusterVVT für Zoom Stand März 2020
Abschluss des Zusatzes zur Auftragsverarbeitung (DPA)
Die Auftragsverarbeitung von Zoom ist inzwischen in die AGB intergriert.
Rechtliche Feinheiten dazu erklärt Stephan Hansen-Oest in seinem Blog.
Zur Sicherheit könnte man sich noch eine Bestätung von Zoom per E-Mail einholen.
Aufnahme von Meetings und Webinaren
Muster für Personen, die ein Meeting bzw. ein Webinar aufnehmen
Möchten Sie diese Veranstaltung aufzeichnen?
Eine Aufzeichnung sollte grundsätzlich nur bei virtuellen Vorlesungen und Veranstaltungen erfolgen, nicht aber bei internen Besprechungen oder Gremiensitzungen. Ferner räumen Sie Ihrer Dienststelle die Möglichkeit der Veröffentlichung dieser Aufzeichnung ein, einschließlich eines Bearbeitungsrechtes zwecks digitaler Barrierefreiheit.
Regelungen zur Aufzeichnung (Link zur Ihren eigenen Hinweisen)
Muster für die Personen, die am Meeting bzw. Webinar teilnehmen
Diese Veranstaltung wird in Bild und Ton aufgezeichnet und veranstaltungsbezogen veröffentlicht.
Ihre Einwilligung können Sie jederzeit durch Verlassen der Veranstaltung widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Sie können die Aufzeichnung Ihres Bildes und Tones zudem jederzeit unterbrechen, indem Sie Ihre Kamera bzw. Ihr Mikrofon deaktivieren.
Rechtliches, Widerruf und Datenschutzerklärung (Link)
Für ein Meeting wird anzunehmen sein, dass das dort gesprochene Wort nicht öffentlich gesprochen wird. Daher ist ein unbefugte Aufnahme sowie das gebrauchen der hergestellten Aufnahme oder ihr zugänglich machen strafbar gemäß § 201 Abs. 1 StGB. Bei Webinaren oder öffentlichen Meetings (etwa Vorlesungen) wird jedoch nicht immer eine gleiche Vertraulichkeit anzunehmen sein.
Sofern eine Aufnahme erfolgt, sollten etwa Folien selbst nur eigene selbstgeschaffene Inhalte, Zitate oder Werke unter freien Lizenzen darstellen. Soweit der Teilnehmerkreis begrenzt ist, können auch Werke im von § 60a UrhG erlaubten Umfang genutzt werden. Jedenfalls die Rede der vortragenden Personen wird, in vielen Fällen urheberrechtlich geschützt sein. Mit der Aufnahme entsteht zudem auch ein geschütztes Laufbild. Die Hochschule benötigt daher für die Nutzungsrechte von der vortragenden Person sowie der Personen, die die Laufbilder erstellt haben. Im Hinblick auf die Pflichten Barrirefreiheit, sollte die Hochschule sich auch Rechte für gegebenenfalls erforderliche Bearbeitungen einräumen lassen.
Neben den Urheberrecht tritt auch noch das Recht am eigenen Bild und am eigenen Wort. Daher ist eine zivilrechtliche Zustimmung an der Aufnahme und ihrer Veröffentlichung erforderlich. Für die Bilder wird wohl die Ausnahme des § 23 Abs. 1 KunstUrhG werden wohl nicht anwendbar sein, da
Zur Vermeidung von Rechtsunsicherheiten, sollte für die Aufzeichnung der Vorlesung eine datenschutzrechtliche Einwilligung als Grundlage für Aufzeichnungen gewählt werden.
Auch in den Fällen einer Pandemie wird es die Entscheidung der Personen, die lehren, sein, ob die Veranstaltung aufgezeichnet wird.
Bei einer Aufnahme sollte im Regelfall nur die Präsentation und ggf. die wichtigen Personen aufnehmen werden.
Zoom ermöglicht es, dass Bild und Ton einem Wasserzeichen versehen werden. Durch diese Maßnahme kann die Verbreitung von Inhalten des Meetings oder des Webinars etwas besser kontrolliert werden.
Link zu den Einstellungen
Aufnahmelayout (Englisch)
Anpassung des Aufnahmehinweises (Englisch)
Optionen zum Aufnahmehinweis (Englisch)
Wasserzeichen (Englisch)
Datenschutz-Tipps für Endanwender bei der Nutzung
Setzen Sie eine Virtuellen Hintergrund!
So wird Ihre Einrichtung (Möbel in Ihrem Wohnzimmer) oder Personen hinter ihnen nicht den am Meeting Teilnehmenden übertragen werden
Schalten Sie das Mikrofon ab, wenn Sie nicht sprechen.
Nutzen Sie den Chat nicht zum Austausch von nicht öffentlichen Dateien.
Verteilen Sie den Client selbst, so dass die Nutzer diesen nicht bei Zoom herunterladen müssen.
Die Anwendung und die Apps wurden im vierten Quartal 2019 auf Ihre Barrierefreiheit getestet und sind grundsätzlich barrierefrei.
Englisches FAQ zur Barrierefreiheit von Zoom
Englischsprachige Prüfberichte zur Barrirerefreiheit der Anwendungen und Apps
Muster für eine Erklärung zur Barrierefreiheit für bayerische öffentliche Stellen gemäß § 1 BayEGovV
Zoom bietet umfassende Möglichkeiten das Coporate Design in die Lösung zu intergieren, dargestellt in einer englischsprachige Dokumentation.
Hilfe, Dokumentation und Neuheiten
Themenbezogene Webinare (englisch)
Live-Webinare und Videos als Hilfe und Einstieg (großenteils englisch)
Zoom Video Tutorials (englisch)
Hilfe Center von Zoom (teilweise englisch)
Zoom Blog in Englisch
Julius-Maxilians-Universität Würzburg
Empfehlungen der Leuphana Universität Lüneburg
Empfehlungen zu Einstellungen von Megan Mullaly (englisch)
Page: 219717/75