Datenschutzrechtliche Anforderungen an Videokonferenzen (nicht nur in Zeiten einer Pandemie)

Die Erforderlichkeit, in Zeiten einer andauernden Pandemie auf Videokonferenzlösungen umzusteigen, liegt – zur Einhaltung des weiterhin geltenden Abstandsgebots – auf der Hand. Aber auch in „normalen“ Zeiten gilt es, bestimmte datenschutzrechtliche Anforderungen bei Videokonferenzen einzuhalten.

Die Landesbeauftragte für Datenschutz vom Unabhängigen Landeszentrum für Datenschutz (ULD) in Schleswig-Holstein hat losgelöst von einzelnen Videokonferenzanbietern Regeln und Maßnahmen veröffentlicht, die im Folgenden exemplarisch erläutert werden sollen. In diesem Blogbeitrag soll es daher ebenfalls nicht um einzelne Videokonferenzanbieter gehen, mit denen wir uns bereits beschäftigt haben, sondern um allgemeine datenschutzrechtliche Anforderungen, die bei Videokonferenzen zu beachten sind.

Zunächst fragt das ULD in seiner Veröffentlichung, ob es in der konkreten Situation einer Videokonferenz bedarf oder ob nicht auch eine Telefonkonferenz oder schriftliche Kommunikation ausreicht. Die Fragestellung des ULD erschließt sich dabei nicht auf Anhieb, da gerade in Zeiten des Physical Distancings der persönliche Eindruck des Gegenüber im Rahmen der beruflichen Kommunikation von nicht zu unterschätzender Bedeutung ist. Viele Gesprächspartner werden insbesondere für die Verhandlung komplexer Inhalte von vorneherein eine Videokonferenz in Betracht ziehen.

Datenschutzrechtliche Rahmenbedingungen

Bei Videokonferenzen ist zu unterscheiden zwischen Software-Lösungen im eigenen Netz („on-premise“) und im Rahmen eines Online-Dienstes. Das ULD hebt hervor, dass Videokonferenzen im eigenen Netz mehr Kontrolle über die Datenverarbeitung erlauben und daher gegenüber einem Online-Dienst zu bevorzugen sind.

Wenn ein Unternehmen bzw. eine Behörde einen Online-Dienst einsetzen möchte, sollten die spezifischen datenschutzrechtlichen Anforderungen zusammen mit der IT-Administration und der bzw. dem Datenschutzbeauftragten geklärt werden. Ausschlaggebend können hierbei insbesondere die Datenverarbeitung innerhalb der EU, die Verwendung datenschutzfreundlicher Voreinstellungen, der Einsatz von Verschlüsselung, etc. sein. Das ULD weist darauf hin, dass außerhalb des professionellen Arbeitsbereichs regelmäßig Online-Anbieter für Videokonferenzen zum Einsatz kommen. Gleichwohl können z.B. bei der ehrenamtlichen Tätigkeit in einem Verein in gleicher Weise sensible Daten verarbeitet werden, was in die datenschutzrechtliche Risikobewertung einfließen sollte.

Das ULD nimmt bereits die Vorbereitung der Videokonferenz in den Blick, indem es hervorhebt, dass für die Videokonferenz erforderliche Dokumente bereits im Vorfeld auf sicheren Wegen an die Teilnehmer verteilt werden können.

Auch wenn es selbstverständlich sein dürfte, so sollte das Umfeld einer Videokonferenz derart gestaltet sein, dass im Hintergrund keine persönlichen oder vertraulichen Dinge sichtbar sind (z. B. Familienfotos, Medikamente, Ordnerrücken mit Kundendaten, etc.). Der Klassiker, dass während der Videokonferenz Familienmitglieder, Handwerker oder andere Gäste durchs Bild laufen, sollte ebenfalls vermieden werden. Auch empfiehlt sich – wie in der Veröffentlichung des ULD beschrieben – für die Videokonferenz im Home-Office einen ungestörten Bereich einzurichten, der nicht von anderen Mitgliedern des Haushalts aufgesucht wird.

Worauf sollten Organisatoren einer Videokonferenz achten?

Das ULD weist weiterhin auf folgende Anforderungen für die Organisatoren einer Videokonferenz hin:

Eine Aufzeichnung von Videokonferenzen wird grds. kritisch gesehen. Bei einer Speicherung von Videodaten sind immer Fragen wie Zugriffsberechtigungen, Löschfristen und die Gewährleistung der Betroffenenrechte zu klären. Die Speicherung von Videokonferenzen ist daher mit datenschutzrechtlichen Risiken verbunden, die im Vorfeld zu klären sind. Ebenso sollten die Teilnehmer vorab selbstverständlich in ausreichender Weise über die Aufzeichnung informiert werden. Bei der Integration sozialer Medien in die Videokonferenz-Lösung sollten keine sensiblen Daten Dritter ohne deren Einwilligung offenbart werden.

Ein Aufmerksamkeitstracking, wie es z.B. vom Videokonferenz-Dienstleister Zoom noch bis zum 02. April 2020 angeboten wurde, wertet das ULD zurecht als einen Eingriff in die Persönlichkeitsrechte der Teilnehmer. Diese Art der Überwachung erlaubt es, zu erkennen, ob Teilnehmer der Videokonferenz folgen. Das ULD sieht diese Funktion nur in Einzelfällen als erforderlich an, z.B. bei Online-Seminaren mit Teilnahmenachweis. In diesen Fällen müssen die Seminarteilnehmer ebenfalls vorab über das Aufmerksamkeitstracking informiert werden.

Positiv hebt das ULD die Möglichkeit der Sperrung eines Videokonferenzraums in Verbindung mit einer passwortgeschützten Teilnahme hervor. Ein solcher Warteraum mit Freigabe durch den Moderatoren verhindert das sog. „Zoombombing“, bei dem sich unberechtigte Personen Zugang zu einer Videokonferenz mit ggf. sensiblen Inhalten erschleichen.

Transparenz ist ein weiteres wichtiges Stichwort im Zusammenhang mit Videokonferenzen. Das ULD hebt hervor, dass für die Teilnehmer eine Datenschutzerklärung vorgehalten werden sollte, die z.B. durch einen Link auf die Webseite erreichbar ist. Auch sollte den Teilnehmern vorab erläutert werden, dass für sensible Daten die Chat-Funktion des Videokonferenz-Tools genutzt werden kann.

Worauf sollten die Teilnehmer einer Videokonferenz achten?

Das ULD erinnert noch einmal daran, dass die Teilnehmer einer Videokonferenz zu Beginn darauf achten sollten, welche technischen Voreinstellungen aktiviert bzw. deaktiviert sind. Dies betrifft z.B. die Funktion der Kamera oder des Mikrofons.

Weiterhin sollten sich die Teilnehmer darüber informieren, ob eine Datenschutzinformation vorliegt. Wenn dies nicht der Fall ist, empfiehlt es sich für den Organisator, die zentralen Regelungen noch einmal erläutern.

Bei einer Aufzeichnung der Videokonferenz für eigene Zwecke wie auch für das Anfertigen von Screenshots ist eine ausdrückliche Einwilligung der anderen Teilnehmer erforderlich.

Fazit

Viele der vom ULD genannten Punkte sind für regelmäßige Teilnehmer an Videokonferenzen naheliegend und bedürfen daher keiner näheren Erläuterung. Dessen ungeachtet steckt die Übersicht des ULD aber in jedem Fall einen praktikablen Handlungsrahmen für eine datenschutzfreundliche Kommunikation in Videokonferenzen ab.

Auch wenn die andauernde Pandemie in hoffentlich nicht allzu ferner Zukunft u.a. durch die Einhaltung konsequenter Abstandsregeln eingedämmt werden kann, ist davon auszugehen, dass Videokonferenzen vermutlich auf lange Sicht sowohl im beruflichen als auch im ehrenamtlichen Bereich ein wichtiges Kommunikationsmittel bleiben werden.