„Was machst Du denn hier?“ – „Ich wohne hier!“ – „Aber doch nicht jetzt, um diese Zeit!“

Wie Herr Lohse in Loriots „Pappa ante Portas“ verbringt auch ein Großteil der Welt gerade vermehrt Zeit zu Hause. Anders als im Film, wurden die meisten von uns jedoch nicht in den Ruhestand geschickt, sondern sind dazu angehalten, den direkten Kontakt zu anderen zu reduzieren. Nicht verwunderlich also, dass Videochat-Lösungen momentan Hochkonjunktur haben. Auch Unternehmen machen sich diese Dienste verstärkt zu Nutze, um ihre Mitarbeiter im Homeoffice miteinander zu vernetzen und Kontakt zu ihren externen Geschäftspartnern zu halten.

Wir nehmen dies zum Anlass und schauen uns verschiedene Meeting-Tools durch die Datenschutzbrille an.

Unser heutiger Testkandidat ist die Lösung „Zoom“ der amerikanischen Zoom Video Communications, Inc. Zoom ist eine Videochat-Plattform, die sich dank geringer technischer Hürden, einfacher Nutzbarkeit und stabiler Performance schnell einen Namen gemacht hat. Obgleich es auch die Möglichkeit gibt, die Software „on-premise“ zu betreiben, betrachten wir vorliegend die von Zoom gehostete Version.

Datentransfer in Drittländer

Schwerpunktmäßig wird der Cloud-Dienst in den USA betrieben. Laut Anbieter ist jedoch grundsätzlich eine Speicherung von Daten in Rechenzentren auf der ganzen Welt möglich. Wenn man bedenkt, dass die meisten Drittländer aus Sicht der EU nicht über ein ausreichendes Datenschutzniveau verfügen, könnte dies für europäische Kunden bereits zum Dealbreaker werden. Doch Zoom hat hierfür saubere Lösungen parat: Für Datentransfers in die USA hat sich der Anbieter dem EU-US-Privacy Shield unterworfen und für alle anderen Drittländer bietet Zoom den Abschluss eines EU-Standardvertrags an.

Vertrag zur Auftragsverarbeitung

Der Betrieb eines cloudbasierten Videochat-Tools stellt zweifelsohne eine Auftragsverarbeitung nach Art. 28 DSGVO dar. Bevor Sie also die Lösung in Ihrem Unternehmen ausrollen, müssen Sie einen Vertrag zur Auftragsverarbeitung gem. Art. 28 DSGVO mit dem Anbieter abschließen. Ein aktives Tun Ihrerseits ist dafür jedoch nicht länger erforderlich, denn:

Seit April 2020 ist der Vertrag zur Auftragsverarbeitung fester Bestandteil der Nutzungsbedingungen von Zoom (siehe Ziff. 19 der Terms of Service). Wer einen Zoom-Account registrieren möchte, muss diesen Nutzungsbedingungen zustimmen und schließt auf diese Weise automatisch auch den Vertrag zur Auftragsverarbeitung mit ab. Da die DSGVO – im Gegensatz zum alten § 11 BDSG – für diese Verträge kein Schriftformerfordernis vorsieht, ist das ein gleichermaßen zulässiger wie praktikabler Weg.

Inhaltlich erfüllt der Vertrag von Zoom die gesetzlichen Anforderungen nach Art. 28 DSGVO und bezieht darüber hinaus im Anhang auch den erforderlich EU-Standardvertrag (siehe Ziff. 1) in der Version „Controller to Processor“ mit ein. Keine Einwände von unserer Seite.

Informationspflichten

Informieren Sie Ihre Kommunikationspartner vorab über die Datenverarbeitung bei Zoom. Hierzu sind Sie gem. Art. 13 und 14 DSGVO verpflichtet. Einen Großteil der benötigten Informationen können Sie der Datenschutzerklärung des Anbieters entnehmen: https://zoom.us/de-de/privacy.html. Ihre Mitarbeiter informieren Sie am einfachsten per Rundmail. Externen Gesprächspartnern sollten Sie die Informationen zusammen mit der Einladung zum Zoom-Meeting zusenden.

Zulässigkeit der Verarbeitung

Der Dienst von Zoom lässt sich mit geringem Dateneinsatz nutzen: Als Host benötigen Sie einen Account, für den Sie Ihren Namen und eine E-Mail-Adresse hergeben müssen. Die übrigen Teilnehmer benötigen lediglich einen Link und müssen dann nur noch ihren Namen eingeben, um an dem Meeting teilzunehmen. Im Meeting steht es zudem jedem Teilnehmer frei, sein Mikrofon und seine Webcam zu aktivieren sowie ggf. über Bildschirmfreigaben weitere Informationen preiszugeben.

Die Datenverarbeitung dient internen wie externen Kommunikationszwecken und erfolgt daher im berechtigten Interesse des Unternehmens. Entgegenstehende schutzwürdige Interessen der Gesprächspartner sind nicht ersichtlich, zumal diese einen Großteil der Verarbeitungen selbst anstoßen und blockieren können. Die Verarbeitungsvorgänge lassen sich daher in der Regel über Art. 6 Abs. 1 lit. f) DSGVO rechtfertigen. Veranstaltet das Unternehmen bezahlte Webinare über Zoom, kann auch Art. 6 Abs. 1 lit. b) DSGVO als Rechtsgrundlage herangezogen werden.

Prof. Dr. Roßnagel hat am 23. März 2020 eine Analyse der Datenschutzrichtlinien von Zoom veröffentlicht und dabei eine Reihe von Mängeln aufgezeigt. Zoom hat schnell auf die Kritik reagiert und ist die Mängel angegangen. Am 30.03. wurde eine überarbeitete Version der Datenschutzerklärung online gestellt.

Ursprünglich enthielt Zoom eine Funktion zum Aufmerksamkeitstracking, für die der Anbieter vielfach kritisiert wurde. War die Funktion aktiv, erhielt der Host eine Warnung, sobald ein Teilnehmer sein Zoom-Fenster nicht mehr im Focus hatte. Die Einstellung war standardmäßig deaktiviert und wäre auch nur in begründeten Ausnahmefällen und nach vorheriger Information an alle Gesprächsteilnehmer datenschutzrechtlich zulässig gewesen. Inzwischen hat Zoom die Funktion aus dem Dienst entfernt.

Holen Sie außerdem eine Einwilligung von allen Teilnehmern ein, bevor Sie die Funktion zum Aufzeichnen von Meetings nutzen.

Zoom lässt sich auch per App auf einem Smartphone oder Tablet nutzen. Die App bietet weitestgehend dieselben Funktionen, wie die Webapplikation. Sie geriet jedoch in Verruf, nachdem bekannt wurde, dass Zoom über die App Nutzerdaten an Facebook weitergegeben hat. Zoom hat hier inzwischen nachgebessert und den Datentransfer an Facebook per Update eingestellt.

Wer die aktuelle Berichterstattung zu Zoom verfolgt, der stolpert irgendwann auch über das sog. Zoom-Bombing. Gemeint ist der nicht autorisierte Beitritt von unbefugten Personen zu Zoom-Meetings oder wie man es mancherorts liest „Die Übernahme von Konferenzen durch Trolle“. Die Gefahr einer solchen feindlichen Übernahme von Meetings besteht dort, wo ein Beitritt schon bei bloßer Kenntnis der Meeting-ID möglich ist, es also keine zusätzlichen Authentisierungsfaktoren gibt. Zoom-Bombing lässt sich ganz einfach verhindern: Konfigurieren Sie Ihr Meeting entweder so, dass Teilnehmer der Konferenz nur mit Ihrer Erlaubnis beitreten dürfen („Warteraum aktivieren“) oder sichern Sie Ihr Meeting alternativ mit einem Passwort ab.

Update vom 07. April 2020:

Abschließend sei noch darauf hingewiesen, dass Zoom derzeit keine Ende-zu-Ende-Verschlüsselung für Meetings anbietet. Zwar stellt eine Transportverschlüsselung (TLS 1.2 mit AES 256-bit) sicher, dass die Verbindung zwischen den Clients und den Zoom-Servern verschlüsselt ist, auf den Servern selbst liegen die Daten jedoch unverschlüsselt vor. Der Anbieter hat damit die Möglichkeit, auf die Meeting-Daten zuzugreifen.

Als Auftragsverarbeiter darf Zoom von dieser Zugriffsmöglichkeit gleichwohl nur Gebrauch machen, wenn es mit dem Vertrag nach Art. 28 DSGVO und den Weisungen des Kunden vereinbar ist. Der Anbieter könnte die Daten demnach weder für eigene Zwecke nutzen noch unautorisiert an Dritte weitergeben, ohne vertragsbrüchig zu werden. Dennoch empfiehlt es sich vor diesem Hintergrund, keine sensiblen Inhalte, wie etwa besondere Kategorien personenbezogener Daten oder Geschäftsgeheimnisse, über Zoom zu kommunizieren. Oder anders: Teilen Sie über Zoom nur Inhalte, die Sie guten Gewissens auch unverschlüsselt per E-Mail versenden würden.

Update vom 14. April 2020:

Am 02. April hat Zoom die vielfach kritisierte Funktion zum Aufmerksamkeitstracking entfernt. Der Anbieter sieht den Schritt „als Teil seines Engagements für die Sicherheit und Privatsphäre seiner Kunden“.

Update vom 29. April 2020:

Wir haben den Abschnitt „Vertrag zur Auftragsverarbeitung“ überarbeitet, da Zoom das Verfahren für den Vertragsabschluss zwischenzeitlich geändert hat: Anstelle eines separaten Dokuments, ist der Vertrag nach Art. 28 DSGVO nun fester Bestandteil der Nutzungsbedingungen von Zoom.

Fazit:

Nach dem was für uns sichtbar ist, können wir Zoom ein solides Datenschutzniveau attestieren. Die richtigen Einstellungen und Verträge vorausgesetzt, sollte einem datenschutzkonformen Einsatz der Lösung nichts im Wege stehen. Positiv fällt zudem auf, dass der Anbieter berechtigte Kritik ernst zu nehmen scheint und zügig nachbessert.

| | , | , , , , ,