Videokonferenz DSGVO ohne Abmahnung, Schadenersatz oder teures Bußgeld

Datenschutz ist in einer Videokonferenz genauso relevant wie sonst auch: Wie Du mit Webinar- und Videokonferenz-Tools wie Zoom, edudip, Google Hangouts, Skype und ClickMeeting rechtssicher mit Kunden online sprechen kannst

Videokonferenzen haben nicht erst seit der Corona-Krise Konjunktur. Die richtige Online-Konferenzsoftware kann Dir viele Termine, Reisezeiten und Verwaltungsaufwand abnehmen, zudem ist sie von Kunden oft erwünscht. Die Nutzung jedes Videokonferenz-Tools erfordert aber die Verarbeitung von personenbezogenen Daten des Nutzers. Damit gilt für jede Videokonferenz die Datenschutzgrundverordnung (DSGVO) mit ihren vielen rechtlichen Fallstricken. Wie Du trotz Datenschutzgrundverordnung und Wettbewerbsrecht rechtssicher Videokonferenzen Datenschutz abhältst, erfährst Du hier.

Beitrag von Rechtsanwalt Dr. Ronald Kandelhard, Fachanwalt für Handels- und Gesellschaftsrecht.

Inhalt

1. Was muss ich bei der Auswahl meines Videonferenz-Anbieters beachten?
2. Aus welchem Land darf der Anbieter meiner Videokonferenzsoftware kommen?
3. Darf ich einen US Anbieter für meine Videokonferenzen DSGVO verwenden?
4. Muss ich bei dem Anbieter der Videokonferenz DSGVO auf weitere Punkte achten?
5. Darf ich für die Videokonferenz mit dem Kunden personenbezogen Daten erfragen?
6. Darf ich beliebige Daten des Kunden in der Videokonferenz erfragen?
7. Darf ich Gesundheitsdaten und sonstige sensible Daten verarbeiten?
8. Darf ich den Kunden per Mail oder Telefon bitten, eine Videokonferenz abzuhalten?
9. Was muss ich bei der Terminvereinbarung für Videokonferenzen beachten?
10. Muss ich den Nutzer bei der Videokonferenz über die Datenverarbeitung informieren?
11. Muss ich alle Hinweise direkt bei der Videokonferenz DSGVO konform erteilen?
12. Was muss in meiner Datenschutzerklärung stehen, wenn ich einen Online-Konferenzanbieter nutze?
13. Muss die Konferenz verschlüsselt stattfinden?
14. Muss ich weitere Einstellungen der Online Konferenzsoftware beachten?
15. Welche Videokonferenz Anbieter kann ich Datenschutz konform verwenden?
16. Ergebnis

1. Was muss ich bei der Auswahl meines Videokonferenz-Anbieters beachten?

In erster Linie muss die Videokonferenz-Software natürlich Deine Anforderungen an eine gute und reibungslose Online Konferenzen erfüllen. Eine Übersicht zu verschiedenen Anbietern findest Du hier. 

Damit jedoch leider nicht genug. Auch rechtlich muss Dein Anbieter bestimmte Anforderungen erfüllen, damit Du die Videokonferenz DSGVO konform abhalten kannst, ohne eine Abmahnung oder ein Bußgeld zu riskieren.

2. Aus welchem Land darf der Anbieter meiner Videokonferenz-Software kommen?

In erster Linie muss Dein Anbieter die Daten mit ausreichender Sicherheit Videokonferenzen Datenschutz-konform verarbeiten. Hiervon kannst Du im Grundsatz ausgehen, wenn das Unternehmen in der EU ansässig ist, wie zum Beispiel die deutschen Anbieter edudip, blizz von TeamViewer, das browserbasierte WIRECONF oder Mikogo oder der deutsch-schweizerische Anbieter Wire oder der polnische Anbieter ClickMeeting. Dann gilt für ihn automatisch die europäische Datenschutzgrundverordnung. Besonders datenschutz-freundlich ist fairmeeting der gemeinnützigen Gesellschaft fairkom aus Österreich. Hier wird ausschließlich Open Source Software für die Leistungserbringung verwendet. Das Leistungsspektrum ist aber nicht ganz so umfassend wie bei den gewerblichen Angeboten. 

Anders ist es, wenn das Unternehmen Deiner Konferenz-Software nicht in der EU sitzt. Du darfst Daten nur dann aus der EU heraus exportieren, wenn die EU festgestellt hat, das in dem Zielland ein mit der EU vergleichbares Datenschutzniveau besteht. Das ist etwa in Bezug auf die Schweiz, Japan oder Kanada der Fall. Viele “Software as a Service” Tools wie Slack oder Zoom, sind momentan dazu gezwungen, ihr Datenschutzniveau anzupassen. Da noch nicht alle nachgezogen haben, bist Du gefragt und musst für die Nutzung DSGVO-konforme Tools verwenden.

3. Darf ich einen US-Anbieter für meine Videokonferenzen DSGVO verwenden?

Auch Provider für  Webinar, Beratungs- oder Videokonferenz-Tools aus den USA kannst Du oft verwenden. Ganz so einfach wie bei EU-Providern ist es aber nicht. Bei einem gleichwertigen Leistungsangebot solltest Du daher einen EU-Anbieter für Deine Videokonferenz Datenschutz vorziehen.

Die US-amerikanischen Tools sind für Webinar und Online-Konferenzen aber oft Marktführer und zeichnen sich nicht selten durch verlässliche Leitungen aus.

Die spannende Frage ist, sind US Anbieter überhaupt zulässig? 

Das war bis vor kurzem eindeutig zu verneinen. Doch es gibt neue Entwicklungen:

Im März 2022 hatten sich der US Präsident und die EU Kommission im März 2022 auf ein Trans Atlantic Data privacy Frame work (TADPF) verständigt und am 7.10.2022 hat US Präsident Joe Biden darauf basierend eine „ Executive order on enhancing safeguard for United States signals intelligence activities” erlassen. Ein solcher Erlass des Präsidenten bindet die amerikanischen Behörden – auch die Geheimdienste – unmittelbar und kann damit tatsächlich die Grundlage für einen neuen Angemessenheitsbeschluss der EU sein.

Wir werden hierzu demnächst mehr veröffentlichen, es ist immer noch ein Vertrag nach den Standardvertragsklauseln erforderlich (näher dazu hier) und eine besondere Prüfung, doch mit der Executive Order Bidens vom 7.10.2022 ist diese durchaus erfolgversprechend möglich. Zudem gehen wir derzeit davon aus, dass die EU einen neuen Angemessenheitsbeschluss erlassen wird. 

Achtung neue Rechtlslage: Seit der Executive Order des US Präsidenten vom 7.10.2002 sind US-Dienste wieder deutlich eher zulässig, näher dazu in unserem Blogpost hier.

4. Muss ich bei dem Anbieter der Videokonferenz Datenschutz auf weitere Punkte achten?

Nach der DSGVO darfst Du Daten, die Du von Deinen Kunden erhalten hast, nur unter bestimmten Voraussetzungen an einen Dritten weitergeben. Verarbeitet der Dritte die Kundendaten in Deinem Interesse und Auftrag, musst Du mit dem Dritten einen Auftragsverarbeitungsvertrag abschließen. Darin ist geregelt, dass der Dritte Deinen Anweisungen bei der Verarbeitung der Daten folgt, also etwa auf Deine Weisung hin bestimmte Kundendaten löscht.

Du musst also mit dem Anbieter Deines Online Webinar- oder Videokonferenztools daher einen Auftragsverarbeitungsvertrag abschließen, ehe Du Videokonferenzen datenschutzkonform verwenden kannst. Bietet Dein Webinar- oder Konferenz-System keinen solchen Auftragsverarbeitungsvertrag an, darfst Du das Tool nicht verwenden.

Welche der beliebten Tools für Videokonferenzen, wie Slack oder Zoom, datenschutzkonform sind, findest Du hier unten.

5. Darf ich für die Videokonferenz mit dem Kunden personenbezogene Daten erfragen?

Die DSGVO verbietet nicht, dass Du Kunden kontaktierst. Du darfst nach Art. 6 Abs. 1 lit. a DSGVO Daten von Kunden verarbeiten, wenn der Kunde einwilligt. Ebenso darfst Du Kundendaten zur Vorbereitung oder Erfüllung eines Vertrages nach Art. 6 Abs. 1 lit. b DSGVO verarbeiten. Meistens wird es bei der Online-Konferenz oder Online-Beratung um die Vorbereitung oder die Erfüllung eines Vertragsverhältnisses gehen. Daher kannst Du in der Videokonferenz nach DSGVO auch die Daten Deines Kunden erfassen.

6. Darf ich beliebige Daten des Kunden in der Videokonferenz erfragen?

Die DSGVO regelt nicht nur, wie Daten zu sichern sind, sondern auch, welche Daten verarbeitet werden dürfen. Wesentlicher Grundsatz ist dabei die Datenminimierung oder Datensparsamkeit gem. Art. 5 Abs. 1 lit. c) DSGVO. Danach darfst Du immer nur die Daten von dem Kunden erheben, die Du wirklich für den konkreten Zweck benötigst.

Zu unterscheiden ist hier vor allem die Situation vor und nach einem Vertragsschluss. Vor dem Vertragsschluss, also wenn es um ein Webinar oder eine Videokonferenz zur Kundengewinnung geht, sind regelmäßig nur recht wenige Daten erforderlich. Für die erste Videokonferenz DSGVO reicht meist bereits eine Mail-Adresse und vielleicht auch sogar nur der Vorname. Ganz selten kann auch mal eine Qualifizierung erforderlich sein, wie etwa, dass der Kunde einer bestimmten Gruppe angehört – z.B. Webdesigner ist, wenn sich Euer Angebot etwa nur an die Berufsgruppe richtet.

Geht es dagegen um eine Videokonferenz im Rahmen oder zur Erfüllung eines bereits mit dem Kunden geschlossenen Vertrages, erlaubt die Rechtsgrundlage „Verarbeitung von Vertragsdaten“ nach Art. 6 Abs. 1 lit. b DSGVO eine gewisse Freiheit. Für einen Vertrag können dann viel weitergehende Daten erforderlich sein. Aber auch hier gilt. Die Daten müssen erforderlich sein, um den Vertrag zu erfüllen. Das können dann aber etwa Adressangaben, Angaben zu Rechnungsdaten oder Umstände bei dem Kunden sein, die für den Vertrag erforderlich ist. All das kannst Du auf der Videokonferenz datenschutzkonform erfragen.

7. Darf ich Gesundheitsdaten und sonstige sensible Daten verarbeiten?

Bitte beachte aber, wenn Du in der Videokonferenz besondere Kategorien von Daten erhebst, dass hier nach Art. 9 DSGVO eine ausdrückliche gesonderte Einwilligung erforderlich sein kann. Derartige Kategorien von Daten sind insbesondere Daten zur ethischen Herkunft, politische Meinungen, sexuelle oder gesundheitsbezogene Angaben. Grade für Coaches ist hier nicht selten eine besondere Einwilligung erforderlich. Das gleiche gilt, wenn die Videokonferenz für Bewerbungsgespräche dient. Jeweils geht es schnell um Herkunfts- oder Gesundheitsdaten mit den erweiterten Anforderungen des Art. 9 DSGVO.

Für die Online-Bewerbungen inklusive der Verarbeitung besonderer personenbezogener Daten finden Kunden von easyRechtssicher eine umfangreiche Anleitung und diverse Muster für den Datenschutz im Bewerbungsverfahren im Mitgliederbereich und im Datenschutz-Generator von easyRechtssicher.

Zum Komplett-Schutz

8. Darf ich den Kunden per Mail oder Telefon bitten, eine Videokonferenz abzuhalten?

Hier kommt es darauf an, ob die Interessenten bereits Kunden sind oder nicht. Reine Interessenten darfst Du per Mail oder Telefon nur kontaktieren, wenn der Interessent vorher (!) darin eingewilligt hat. Dafür ist ein Double-Opt In erforderlich. Mehr dazu findest Du hier. Erst danach kannst Du den Interessenten per Mail oder Telefon auf eine Online Konferenz oder Beratung ansprechen.

Anders ist es, wenn es um eine Videokonferenz im Rahmen oder zur Erfüllung eines bestehenden Vertrages geht. Zum Zwecke der Durchführung des Vertrages darfst Du den Kunden jederzeit ansprechen.

9. Was muss ich bei der Terminvereinbarung für Videokonferenzen Datenschutz beachten?

Wenn Du dem Kunden online die Möglichkeit bietest, Beratungs-, Webinar- oder Konferenztermine zu buchen, musst Du den Kunden bei der Terminbuchung darauf hinweisen, dass seine Daten verarbeitet werden, denn regelmäßig wird der Kunde seine Daten wie Name und Mailadresse angeben müssen und wird ggf. auch die IP Adresse des Kunden an einen externen Anbieter übermittelt. Damit muss der Kunde einverstanden sei. Dieses Einverständnis ergibt sich dann aber bereits daraus, dass der Kunde diese Daten eingibt und die Eingabe abschließt. Das ist eine Bestätigungshandlung – wenn der Kunde eben auf die Verarbeitung seiner Daten hingewiesen wird.

Der Hinweis muss in Deiner Videokonferenzsoftware jedoch unmittelbar bei der Dateneingabe gut erkennbar aufgeführt sein. Direkt neben oder über (nicht unter!) der Dateneingabe muss der Hinweis auf die Verarbeitung der Daten vorhanden sein. War der Hinweis nicht unmittelbar erkennbar, kann die Eingabe der Daten durch den Kunden nicht als Einwilligung gewertet werden. Dann wäre die Verarbeitung seiner Daten nicht DSGVO-konform und Du könntest abgemahnt werden.

Ein solcher Hinweis könnte etwa so aussehen:

---

„Ihre Daten werden im Rahmen unserer Datenschutzerklärung nur für die Bearbeitung der Terminvereinbarung verarbeitet.“ (Datenschutzerklärung ist ein Link)

Termin bestätigen

---

Noch sicherer wäre es, wenn Du ein OptIn-Feld (nicht voreingestellt) verwendest, mit dem der Nutzer diesen Hinweis bestätigt, ehe der Termin gebucht wird.

Wenn Du für Deine Videokonferenz DSGVO konform ein anderes Terminkalender Tool verwendest, findest Du in unseren Guide zu der DSGVO-konformen Nutzung Deines Terminkalenders alle weiteren Hinweise, wie die OptIn-Felder gestaltet werden müssen.

10. Muss ich den Nutzer bei der Videokonferenz über die Datenverarbeitung informieren?

Du musst Deine Kunden vor der Nutzung jeweils darüber informieren, wie Du ihre Daten verarbeitest, wohin Du sie sendest und welche Rechte sie in Bezug auf ihre Daten haben und welche Maßnahmen Du ergreifst.  Das sind die allgemeinen Anforderungen an eine Datenschutzerklärung.

Nutzt Du eine Videokonferenzsoftware, wird auch der Anbieter des Online Konferenzsoftware die Daten Deines Kunden empfangen. Im Regelfall bekommt der Anbieter sowohl die IP Adresse des Nutzers, weitere Daten über das Surfverhalten des Nutzers sowie vor allem die von ihm in dem Konferenzsystem eingegebenen Daten (wie Name, E-Mail-Adresse etc.) mit. Damit werden die Daten des Nutzers auch an den Anbieter der Online Konferenzsoftware weitergegeben. Darüber musst Du Deinen Kunden informieren.

11. Muss ich alle Hinweise direkt bei der Videokonferenz DSGVO konform erteilen?

Müsstest Du den Kunden direkt bei der Videokonferenz auf die gesamte Datenverarbeitung einschließlich der Rechte des Nutzers hinweisen, wäre auf Deiner Konferenzseite nicht mehr viel Platz für Deine Online Konferenz. Zum Glück ist es aber auch nicht erforderlich, dass Du den Nutzer direkt bei der Konferenz informierst. Es reicht aus, wenn Du – klar und deutlich erkennbar – bei der Terminvereinbarung für die Konferenz auf Deine Datenschutzerklärung verlinkst.

Dann muss ein entsprechender Passus zu dem Online-Konferenztool natürlich in Deiner Datenschutzerklärung enthalten sein.

12. Was muss in meiner Datenschutzerklärung stehen, wenn ich einen Online-Konferenzanbieter nutze?

Die hier besprochenen Anbieter findest Du alle bei easyRechtssicher in dem Datenschutz-Generator. Wenn Dein Anbieter fehlt, melde Dich gern über unser Kontaktformular.

Damit kannst Du Dein Online-Konferenztool auf Knopfdruck einfügen und sie werden – bei entsprechender Einstellung – automatisch von uns aktuell gehalten. Einfacher geht die datenschutzkonforme Nutzung der Tools nicht.

Zum Komplett-Schutz

13. Muss die Videokonferenz Datenschutz verschlüsselt stattfinden?

Nach Art. 5 Abs. 1 lit. f DSGVO muss jede Website, auf der Nutzer personenbezogene Daten eingeben, verschlüsselt sein. Ohnehin ist aber inzwischen zu empfehlen, die gesamte Website mit SSL zu verschlüsseln (https://). Das gilt auch für Deine Online Konferenzen, zumal dort häufig auch Daten eingetragen werden. Du solltest also einen Anbieter nutzen, der die Daten verschlüsselt überträgt und immer auch eine entsprechende Einstellung in Deinem Webinar- oder Konferenztool vornehmen. Vertraue dabei am besten auf eine Ende-zu-Ende-Verschlüsselung des neuesten Standards. Diese wird etwa von Zoom oder Wire, aber auch vielen anderen Diensten angeboten. 

14. Muss ich weitere Einstellungen bei Videokonferenzen Datenschutz beachten?

Die DSGVO gilt auch für die Abhaltung der Online-Konferenz selbst. Das heißt, Du musst – soweit das möglich ist – ein Tool auswählen, das DSGVO konform Online Konferenzen abhalten kann. Die Webinar- und Konferenzanbieter haben oftmals Einstellungen, die nicht in jedem Fall zulässig sind, sondern ggf. nur für bestimmte Meetings.

Du musst also dafür sorgen, dass das Konferenztool entsprechend eingestellt ist.

Das betrifft vor allem Einstellungen zu den Funktionen, die ein:

• Tracking des Kundenverhaltens bei der Konferenz (z.B. Klicks an bestimmten Stellen),
• eine Beobachtung des Kundenverhaltens bei der Konferenz (z.B. Aktivität bei der Teilnahme) oder
• eine Aufzeichnung (z.B. durch Aufnahme oder Screen-Sharing)

ermöglichen.

a) Wann nutze ich nur notwendige Funktionen? 

Derartige Funktionen darfst Du nur verwenden, wenn sie wirklich erforderlich sind: Das ist nur der Fall, wenn die Funktion

• einem erlaubten Zweck dient (z.B. nicht einfach Ausspähung)
• geeignet ist, diesen Zweck zu erfüllen
• erforderlich ist, diesen Zweck zu erfüllen (es gibt also kein für den Datenschutz milderes Mittel)
• mögliche Maßnahmen zum Datenschutz ergriffen sind.

Geht es etwa um eine Beratung, deren detaillierter Inhalt im weiteren Projektverlauf noch erforderlich ist, kann eine Aufzeichnung erforderlich sein. Anders, wenn vielleicht nur ganz wenige Inhalte später noch relevant sind, weil man die einfach (datenschutzfreundlicher) notieren könnte.

b) Welche weiteren Einstellungen sollte ich für meine Videokonferenz nutzen?

15. Welche Videokonferenz Anbieter kann ich Datenschutz konform verwenden?

Adobe Connect, Blizz, ClickMeeting, edudip, WIRECONF, fairmeeting, Google Hangouts, GoToMeeting, Skype for Business (nicht aber das normale Skype), Slack und Zoom kannst Du nach wohl herrschender Auffassung verwenden – Erwähnung in der Datenschutzerklärung, richtige Einstellungen und sonstige Erfüllung Deiner Hinweispflichten nach DSGVO vorausgesetzt. Zweifel bleiben aber. Die Berliner Datenschutzbehörde hat jetzt eine Hilfestellung für Videokonferenztools veröffentlicht, die leider wenig hilfreich ist, weil alle Auftragsverarbeitungsverträge der Anbieter danach formal bemängelt werden. Hier bleibt zu hoffen, dass die Anbieter nachbessern. 

Grade im Hinblick auf die Probleme einer Datenübertragung in die USA ist jedenfalls die Nutzung eines europäischen oder schweizerischen Anbieters zu empfehlen. Fair-Meeting, Wire, Mikogo, Wire Conf oder edudip sind jedenfalls einfacher zulässig zu verwenden als US-Anbieter. Passende Muster für alle diese Anbieter findest Du in dem Datenschutz-Generator von easyRechtssicher.

Nachfolgend findest Du weitere Datenschutz-Informationen für die Nutzung der beliebtesten Tools:  

• Zoom Datenschutz konform verwenden
• Skype for Business Datenschutz konform verwenden
• Slack Datenschutz konform verwenden

Beachte, ein wenig andere Einstellungen können hier schnell einen Unterschied machen, Du musst also jeweils nochmals ggf. selbst überprüfen, ob Deine Videokonferenz Datenschutz konform möglich ist mit dem von Dir gewählten Anbieter.  Zoom beispielsweise ist beliebt, aber bedarf zusätzlicher Voreinstellungen.

16. Ergebnis

Videokonferenzen sind auf jeden Fall ein tolles Werkzeug für Deine Leistungen und im Zuge der Coronakrise wichtiger denn je. Beachtest Du bei der Nutzung die rechtlichen Vorgaben und nutzt die passenden Muster für Deine Datenschutzerklärung, kannst Du Videokonferenzen Datenschutz konform ohne Angst vor einer Abmahnung oder einem Bußgeld verwenden. Dafür wünschen wir viel Erfolg.

Als Tool für Videokonferenzen wird sehr häufig auch Skype for Business genutzt. Das wird von Microsoft demnächst auch von MS Teams abgelöst. Ob und wie Du Microsoft Teams Datenschutz konform verwenden kannst, findest Du hier.

Mehr Informationen zur DSGVO findest Du hier.

Für die hier besprochenen Online Konferenzanbieter findest Du jeweils entsprechende Optionen in dem Datenschutz-Generator von easyRechtssicher.

Zum Komplett-Schutz

Dann kannst Du diese Tools auf Knopfdruck in Deiner Datenschutzerklärung aufnehmen und wir halten die Daten bei rechtlichen Änderungen automatisch aktuell.