Stell dir vor, du führst ein vertrauliches Personalgespräch per Video. Es geht um eine Kündigung, um Gehälter, vielleicht sogar um eine Krankheit. Der Call läuft über ein bekanntes Tool, so wie jeden Tag. In diesem Moment siehst du leider nicht, wo genau die entstehenden Daten gerade verarbeitet werden, wer theoretisch mithören könnte und auf wessen Servern eine mögliche Aufzeichnung landet. Für dich als Geschäftsführer ist das keine technische Randnotiz. Kommt hier etwas ins Rutschen, kann das für dein Unternehmen – und unter bestimmten Umständen auch für die Geschäftsleitung – erhebliche Konsequenzen haben.
Videokonferenzen gehören heute ganz selbstverständlich zum Arbeitsalltag, aber gerade weil sie so selbstverständlich geworden sind, gerät die Datenschutzfrage schnell aus dem Blick. Die gute Nachricht: Mit einigen überschaubaren Maßnahmen lassen sich Videokonferenzen datenschutzkonform und rechtssicher betreiben. In diesem Beitrag erfährst du, worauf es bei einer DSGVO-konformen Videokonferenz wirklich ankommt, was der viel diskutierte US-Bezug von Zoom und Teams heute bedeutet und wie du deine Video-Meetings im Rhein-Main-Gebiet datenschutzkonform aufstellst.
Warum eine Videokonferenz überhaupt ein Datenschutzthema ist
Sobald Menschen an einem Video-Call teilnehmen, werden eine Menge personenbezogener Daten verarbeitet. Dazu gehören Bild und Ton, Namen und E-Mail-Adressen, häufig auch Bildschirminhalte, Chatnachrichten sowie Metadaten, wie Zeitpunkt und Dauer. Werden dabei beispielsweise Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO offengelegt, gelten dafür erhöhte Anforderungen. Eine Videokonferenz ist damit datenschutzrechtlich alles andere als harmlos.
Genau deshalb hat die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, eine eigene Orientierungshilfe für Videokonferenzsysteme herausgegeben.¹ Sie macht deutlich, dass ein Video-Meeting dieselben Sorgfaltspflichten mit sich bringt wie jede andere Datenverarbeitung im Unternehmen. Wer hier nicht sauber arbeitet, riskiert nicht nur Ärger mit der Behörde, sondern auch das Vertrauen von Mitarbeitern und Kunden.
Diese Daten fallen bei jedem Call an
Man unterschätzt leicht, wie viele Daten eine einzige Videokonferenz produziert. Neben den offensichtlichen Bild- und Tondaten sammeln viele Anbieter im Hintergrund Nutzungsdaten, werten das Verhalten aus oder bieten Funktionen wie Aufmerksamkeitstracking an. Solche Profiling- und Tracking-Funktionen solltest du abschalten können, was bei seriösen Anbietern problemlos möglich sein sollte. Für eine Aufzeichnung brauchst du eine tragfähige Rechtsgrundlage und musst die Beteiligten vorab transparent darüber informieren. Ob zusätzlich eine Einwilligung erforderlich und geeignet ist, hängt vom konkreten Einsatzfall ab.
Du bist unsicher, ob deine Video-Calls DSGVO-konform laufen? riomar prüft deine Videokonferenz-Lösung in einem kostenlosen Datenschutz-Check.
Wer haftet, wenn etwas schiefgeht?
Hier liegt der wichtigste und gleichzeitig oft missverstandene Punkt: Für den datenschutzkonformen Einsatz des Videokonferenzsystems ist grundsätzlich dein Unternehmen verantwortlich. Je nach konkreter Verarbeitung kann der Anbieter als Auftragsverarbeiter oder für einzelne Verarbeitungsvorgänge selbst als Verantwortlicher auftreten. Die Datenschutzkonferenz stellt klar, dass der Initiator der Konferenz für die Rechtsgrundlagen, die Informationspflichten und die technischen Maßnahmen verantwortlich ist.¹
Für dich als Geschäftsführer heißt das ganz praktisch: Du kannst die Verantwortung nicht einfach an den Softwarehersteller abschieben. Genau deshalb lohnt es sich, die eigene Videokonferenz-Lösung einmal gründlich unter die Lupe zu nehmen, statt einfach das Tool zu nutzen, das alle nutzen.
Was dich ein Datenschutzverstoß kosten kann
Viele unterschätzen, was auf dem Spiel steht. Bei einem Verstoß gegen die DSGVO drohen Bußgelder, die je nach Schwere empfindlich ausfallen können. Für einen Mittelständler sind schon fünfstellige Summen ein spürbarer Schlag. Dazu kommt das Risiko einer Abmahnung, wenn etwa Beschäftigte oder Kunden nicht ordnungsgemäß über die Verarbeitung informiert wurden.
Der größere Schaden ist aber oft der, den man nicht direkt sieht. Wird nämlich bekannt, dass in deinem Betrieb vertrauliche Gespräche unsicher gelaufen sind, leidet das Vertrauen. Ein Kunde, der dir seine sensiblen Daten anvertraut, erwartet, dass sie auch im Video-Call geschützt sind. Eine saubere Videokonferenz ist damit nicht nur Pflicht, sondern ein handfestes Stück Reputation.
Zoom, Teams und die USA
Ein häufiger datenschutzrechtlicher Streitpunkt ist der Serverstandort beziehungsweise der Drittlandbezug. Bei US-Anbietern können zudem Zugriffsrechte amerikanischer Behörden, etwa auf Grundlage des CLOUD Act, datenschutzrechtlich relevant werden. Jahrelang war das ein echtes Problem, denn 2020 kippte der Europäische Gerichtshof mit dem Schrems-II-Urteil das damalige Datenschutzabkommen Privacy Shield. Übermittlungen in die USA standen damit auf einem sehr wackligen Fundament.
Was seit 2023 gilt
Seit dem 10. Juli 2023 hat sich die Lage jedoch verändert. An diesem Tag ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework in Kraft getreten. Damit sind jedoch längst nicht alle Datenschutzpflichten erfüllt. Der Angemessenheitsbeschluss betrifft in erster Linie die Übermittlung personenbezogener Daten an entsprechend zertifizierte US-Unternehmen. Ob dein konkreter Einsatz datenschutzkonform ist, hängt weiterhin unter anderem vom Auftragsverarbeitungsvertrag, den technischen Einstellungen und deiner Dokumentation ab. Deshalb kann es sinnvoll sein, Drittlandübermittlungen unabhängig davon möglichst zu reduzieren.² Viele große Anbieter, darunter die Betreiber von Zoom und Microsoft Teams, haben sich daraufhin entsprechend zertifizieren lassen. Eine Zertifizierung allein ersetzt jedoch keine individuelle Datenschutzprüfung, die technischen Parameter müssen zusätzlich korrekt eingestellt sein.
Das ist die gute Nachricht. Hier kommt die schlechte Nachricht: Damit sind längst nicht alle Pflichten umgesetzt. Die Zertifizierung regelt nur die Übermittlung an sich. Ob dein konkreter Einsatz datenschutzrechtlich sauber abläuft, hängt weiter am Auftragsverarbeitungsvertrag, an den technischen Einstellungen und an deiner Dokumentation. Da das Data Privacy Framework juristisch umstritten ist und schon die nächste Klagewelle droht, ist es klug, sich nicht allein darauf zu verlassen. Wer seine Videokonferenz von vornherein datensparsam aufstellt und konsequent innerhalb einer europäischen Infrastruktur betreibt, kann viele Risiken rund um Drittlandübermittlungen reduzieren.
Gerade bei großen Office-Paketen mit integrierter Videokonferenz lohnt sich ein genauer Blick darauf, welche Daten zu welchen Zwecken an den Anbieter übermittelt werden. Die deutschen Aufsichtsbehörden sehen den Einsatz solcher Programme weiterhin kritisch, weil oft unklar bleibt, welche Daten im Hintergrund an den Hersteller fließen. Das heißt nicht, dass du diese Tools nicht nutzen darfst. Es bedeutet aber, dass du genau hinschauen und die Einstellungen bewusst wählen solltest, statt dich auf die Standardkonfiguration zu verlassen.
Was eine Videokonferenz DSGVO-konform macht
Datenschutzkonform wird eine Videokonferenz nicht durch ein einzelnes Häkchen, sondern durch das Zusammenspiel weniger Bausteine. Die folgenden Punkte fassen zusammen, worauf es laut Aufsichtsbehörden und IHK ankommt.
Der Auftragsverarbeitungsvertrag
Sobald ein Anbieter in deinem Auftrag personenbezogene Daten verarbeitet, brauchst du mit ihm einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Das ist jedoch bei Weitem keine einfache Formalie. Die Datenschutzkonferenz nennt Unklarheiten in dieser Vertragsart ausdrücklich als Ausschlusskriterium.¹ Bevor du ein Tool einführst, gehört dieser Vertrag also geprüft und sauber abgeschlossen.
Verschlüsselung
Eine angemessene Verschlüsselung der Bild- und Tonübertragung gehört zu den grundlegenden technischen Schutzmaßnahmen. Bei besonders sensiblen Gesprächen empfehlen die Aufsichtsbehörden zusätzlich eine Ende-zu-Ende-Verschlüsselung, bei der wirklich nur die Teilnehmer die Inhalte sehen und hören. Prüfe also, was dein Anbieter tatsächlich verschlüsselt und ob sich die stärkere Variante für sensiblere Sitzungen aktivieren lässt.
Ungebetene Gäste aussperren
Nichts ist unangenehmer als ein Fremder, der plötzlich in einer vertraulichen Runde auftaucht. Ein Warteraum, individuelle Zugangslinks und ein Meeting-Passwort reduzieren dieses Risiko deutlich. Diese Funktionen sind schnell aktiviert und gehören zu jeder ernst gemeinten Videokonferenz einfach dazu.
Dokumentation und Aufzeichnung
Die IHK Frankfurt weist darauf hin, dass zu einem sauberen Einsatz von Konferenz-Tools weitere Pflichten gehören: ein Verzeichnis der Verarbeitungstätigkeiten, je nach Risiko eine Datenschutz-Folgenabschätzung, die Information der Teilnehmer und klare interne Nutzungsregeln samt Schulung.³ Aufzeichnungen fertigst du nur an, wenn dafür eine geeignete Rechtsgrundlage besteht und alle Beteiligten vorab transparent informiert wurden.
Du weißt nicht, ob du alle rechtlichen Anforderungen an deine Videokonferenz erfüllst? riomar unterstützt dich dabei, deine Videokonferenzen DSGVO-konform einzurichten, vom Auftragsverarbeitungsvertrag bis zur Verschlüsselung.
In fünf Schritten zur datenschutzkonformen Videokonferenz
Der Weg zur DSGVO-konformen Videokonferenz muss dich nicht überfordern. Am besten gehst du ihn Schritt für Schritt, statt alles auf einmal zu wollen.
So gehst du vor
- Bestandsaufnahme durchführen: Prüfe, welche Videokonferenz-Tools im Betrieb und in den einzelnen Abteilungen eingesetzt werden.
- Datenschutz prüfen: Kontrolliere bei jedem Tool den Auftragsverarbeitungsvertrag (AVV), die Datenstandorte, eingesetzte Unterauftragnehmer und mögliche Drittlandübermittlungen.
- Technische Einstellungen prüfen: Aktiviere Verschlüsselung, Warteraum und Zugangscodes und deaktiviere unnötige Tracking-Funktionen.
- Dokumentation vervollständigen: Aktualisiere das Verzeichnis der Verarbeitungstätigkeiten und stelle sämtliche Informationen für die Teilnehmer bereit.
- Klare Regeln festlegen: Definiere, welches Tool für welchen Zweck genutzt werden darf und unter welchen Voraussetzungen Aufzeichnungen erlaubt sind.
Warum sich der Aufwand lohnt
Das Schöne an dieser professionellen Herangehensweise ist, dass du dein Datenschutzrisiko schon mit den ersten Maßnahmen deutlich reduzieren kannst. Denn sobald Verträge, Datenschutzdokumentation und Sicherheitseinstellungen stimmen, hast du bereits einen wesentlichen Teil der Anforderungen abgedeckt. Du musst also nicht warten, bis jedes Detail perfekt ist, sondern senkst dein Risiko sofort spürbar. Da sich die Rechtslage rund um US-Anbieter immer wieder bewegt, zahlt sich ein Partner wie riomar aus Wiesbaden aus, der die Entwicklung genau im Blick behält und dich rechtzeitig darüber informiert, wenn du nachjustieren musst.
Die europäische Alternative
Ein möglicher Weg, Risiken rund um Drittlandübermittlungen zu reduzieren, ist eine Lösung, bei der die Daten Europa nicht verlassen. Es gibt längst leistungsfähige Videokonferenz-Systeme mit Servern in Deutschland oder der EU, und für viele Betriebe im Rhein-Main-Gebiet ist das die entspannteste Variante. Du bekommst all die Funktionen, die du gewohnt bist, behältst die Daten aber im eigenen Rechtsraum und reduzierst damit die Risiken rund um Drittlandübermittlungen deutlich.
Für Praxen, Kanzleien und Betriebe, die regelmäßig mit sensiblen Informationen arbeiten, ist das mehr als ein netter Zusatz. Es ist ein glaubwürdiges Versprechen an die eigenen Kunden, dass ihre Daten innerhalb einer kontrollierten deutschen bzw. europäischen Infrastruktur verarbeitet werden.
Natürlich muss so eine Umstellung nicht von heute auf morgen passieren. In vielen Fällen reicht es, für die wirklich vertraulichen Gespräche eine europäische Videokonferenz zu nutzen und die Alltagsmeetings beim gewohnten Tool zu lassen. Wichtig ist nur, dass die Trennung bewusst getroffen wird und nicht dem Zufall überlassen bleibt.
Datenschutzfreundliche Konferenz-Tools
- OpenTalk – Deutscher Anbieter für Videokonferenzen mit Hosting in deutschen Rechenzentren. Open-Source-basiert und auch als selbst betriebene On-Premises-Lösung verfügbar.
- WIRECONF – Deutscher Videokonferenzanbieter mit Firmen- und Serverstandort in Köln. Browserbasiert und auf datenschutzfreundliche Videokonferenzen ausgerichtet.
- Nextcloud Talk – Videokonferenzlösung innerhalb von Nextcloud. Besonders interessant bei Self-Hosting, da das Unternehmen den Serverstandort und die Datenhaltung selbst bestimmen kann.
- alfaview – Deutscher Anbieter für Videokonferenzen mit Hosting in Deutschland. Vor allem für Unternehmen, Bildungseinrichtungen und größere Online-Meetings geeignet.
- Stackfield – Deutsche Collaboration-Plattform mit integrierten Videokonferenzen. Bietet zusätzlich Chat, Aufgabenverwaltung und Dateiaustausch und setzt auf Datenverarbeitung innerhalb der EU.
DSGVO-konforme Videokonferenzen mit riomar
Kaum ein Geschäftsführer hat Lust, sich neben dem Tagesgeschäft durch Auftragsverarbeitungsverträge und Verschlüsselungsoptionen kämpfen zu müssen. Du brauchst einen erfahrenen Partner an deiner Seite, der sich auf diesem Gebiet auskennt. Genau das übernehmen die Experten von riomar für dich. Als IT-Systemhaus aus Wiesbaden betreuen wir Unternehmen in der Region Rhein-Main, von Wiesbaden über Mainz bis Frankfurt und Rüsselsheim, und richten Videokonferenzen so ein, dass sie im Alltag funktionieren und datenschutzgerecht konfiguriert sind.
Wir prüfen mit dir die passende Lösung, schließen die nötigen Verträge, aktivieren die richtigen Sicherheitseinstellungen und dokumentieren das Ganze so, dass du im Ernstfall etwas vorzeigen kannst.
Drei Irrtümer über Videokonferenzen und Datenschutz
Der erste Irrtum lautet „Das Tool ist zertifiziert, also sind wir auf der sicheren Seite.” Die Zertifizierung eines Anbieters ersetzt weder den Auftragsverarbeitungsvertrag noch deine eigene Dokumentation. Der zweite Irrtum lautet „Datenschutz ist Sache des Anbieters.” Für den datenschutzkonformen Einsatz ist grundsätzlich dein Unternehmen verantwortlich. Der Anbieter kann je nach Verarbeitung zusätzlich eigene datenschutzrechtliche Pflichten haben. Der dritte Irrtum lautet „Bei uns wird nichts Kritisches besprochen.” Sobald Namen, Gesichter und Stimmen im Spiel sind, verarbeitest du personenbezogene Daten, und spätestens beim nächsten Personalgespräch wird es sensibel.
Dein nächster Schritt mit den Experten von riomar
Eine Videokonferenz ist schnell gestartet. Ob sie DSGVO-konform läuft, entscheidet sich jedoch schon vorher. Für Unternehmen in Wiesbaden, Frankfurt, Mainz und Rüsselsheim lassen sich reibungslose Meetings, guter Datenschutz und ein ruhiges Gewissen in einer einzigen Lösung zusammenbringen. Du musst dafür kein Datenschutzexperte werden, du brauchst nur den richtigen Partner an deiner Seite.
Ein persönliches Gespräch mit den Fachleuten bei riomar ist der beste erste Schritt, um zu sehen, wo deine Video-Meetings heute stehen und was noch fehlt. Ganz ohne Druck und ohne Fachchinesisch schauen wir, welche Lösung zu deinem Betrieb passt und wie du sie ohne großen Aufwand datenschutzkonform betreiben kannst.
Du willst Video-Calls, bei denen die Daten in Europa bleiben? riomar betreibt sie für dich, mit Rechenzentrum in Wiesbaden. Kontaktiere uns jetzt für ein erstes, kostenloses Strategiegespräch.
Häufige Fragen zu DSGVO-konformen Videokonferenzen
Sind Zoom oder Microsoft Teams DSGVO-konform?
Sie können es sein, aber nicht von allein. Entscheidend sind der Auftragsverarbeitungsvertrag, die richtigen Einstellungen und deine Dokumentation, nicht nur die Wahl des Tools.
Wer ist für den Datenschutz bei einer Videokonferenz verantwortlich?
Für den datenschutzkonformen Einsatz ist grundsätzlich dein Unternehmen verantwortlich. Der Anbieter ist häufig Auftragsverarbeiter, kann für bestimmte Verarbeitungsvorgänge aber auch eine eigene datenschutzrechtliche Verantwortung tragen.
Brauchen wir einen Auftragsverarbeitungsvertrag?
Ja, sobald der Anbieter in deinem Auftrag personenbezogene Daten verarbeitet. Die Datenschutzkonferenz nennt Unklarheiten in diesem Vertrag sogar ein Ausschlusskriterium.
Dürfen wir überhaupt US-Anbieter nutzen?
Grundsätzlich ja. Für Datenübermittlungen an US-Unternehmen kann der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework eine Grundlage bieten, sofern der konkrete Empfänger entsprechend zertifiziert ist. Daneben bleiben die übrigen Anforderungen der DSGVO bestehen.
Was ist das EU-U.S. Data Privacy Framework?
Ein Angemessenheitsbeschluss der EU-Kommission von Juli 2023, der Datenübermittlungen an zertifizierte US-Unternehmen wieder erlaubt. Er ersetzt das gekippte Privacy Shield.
Muss eine Videokonferenz Ende-zu-Ende verschlüsselt sein?
Eine angemessene Verschlüsselung gehört regelmäßig zu den erforderlichen technischen Schutzmaßnahmen. Eine Ende-zu-Ende-Verschlüsselung empfehlen die Aufsichtsbehörden bei besonders sensiblen Gesprächen.
Dürfen wir Videokonferenzen aufzeichnen?
Nur mit einer Rechtsgrundlage und wenn alle Teilnehmer vorher informiert sind. Eine heimliche Aufzeichnung ist tabu.
Wie halten wir Unbefugte aus dem Meeting?
Mit Warteraum, individuellen Zugangslinks und einem Meeting-Passwort. Diese Funktionen sind schnell aktiviert und erschweren unbefugten Personen den Zugang erheblich.
Gibt es DSGVO-konforme Alternativen mit Servern in Europa?
Bei einer europäischen Lösung mit konsequenter Datenverarbeitung innerhalb der EU lassen sich Risiken rund um Drittlandübermittlungen deutlich reduzieren. Dabei solltest du neben dem Serverstandort auch Anbieterstruktur, Unterauftragnehmer und mögliche Zugriffe aus Drittländern prüfen.
Kann riomar das Thema „Datenschutzkonforme Videokonferenzen” für uns übernehmen?
Ja. riomar unterstützt dich dabei, deine Videokonferenzen datenschutzkonform einzurichten.