Aufzeichnung von Videokonferenzen und Online Events zulässig?

Aufzeichnung von Videokonferenzen und Online Events zulässig?

In Zeiten von Online Events und Videokonferenzen / Home-Office / Home-Schooling finden zahlreiche Treffen nun in digitaler Form über hopin, Zoom, Skype, Microsoft Teams, Google Meet, BigBlueButton und andere Plattformen statt. Diese bieten unter anderem auch die Funktion, ein Treffen aufzuzeichnen. Sowohl von Veranstalterseite als auch von Teilnehmerseite ist die Versuchung groß, diese Treffen aufzuzeichnen. Sei es, weil ein informatives digitales Treffen zu einer ungünstigen Tageszeit stattfindet oder um sich in wichtigen Treffen ein Protokoll zu sparen.

Doch ist die Aufnahme von Videokonferenzen / Online Events datenschutzrechtlich überhaupt zulässig?

Bei der Aufnahme von Ton und Bild in einer Videokonferenzen / Online Event werden personenbezogene Daten verarbeitet. Dies ist nur zulässig, wenn es sich auch auf eine Rechtsgrundlage stützt.

Berechtigtes Interesse des Veranstalters nach Art. 6 I 1 lit. f DSGVO oder Zwecke des Beschäftigungsverhältnisses nach § 26 BDSG

Videokonferenzen / Online Events als solche sollen in erster Linie persönliche Treffen ersetzen. Wenn persönliche Treffen nicht möglich sind, dienen digitale Treffen dazu, den Geschäftsbetrieb aufrecht zu erhalten und begründen damit ein berechtigtes Interesse des Veranstalters.

Interne digitale Treffen von Mitarbeitern können z.B. der Erfüllung des Beschäftigungsverhältnisses dienen.

Externe digitale Treffen können wirtschaftlicher, rechtlicher oder auch ideeller Art sein und dienen ebenfalls der Wahrung berechtigter Interessen des Veranstalters.

Ob diese digitale Treffen aufgezeichnet werden dürfen, steht aber auf einem anderen Blatt als die Rechtfertigung der Durchführung.

Mit einer Aufzeichnung wird wesentlich stärker in die Persönlichkeitsrechte der Teilnehmer eingegriffen als bei einer reinen Live-Übertragung. Bei einer Interessenabwägung würde das bereits dargestellte Interesse des Veranstalters des digitalen Treffens dahinter zurücktreten. Selbst wenn die Aufzeichnung des digitale Treffens der Durchführung des Beschäftigungsverhältnisses dienen soll, ist ein schriftliches Protokoll immer noch gleich geeignet und weniger eingriffsintensiv und deshalb vorzuziehen.

Einwilligung der Beteiligten nach Art. 6 I 1 lit. a DSGVO

Als letzte Rechtfertigungsmöglichkeit / Rechtsgrundlage bleibt die Einwilligung. Diese müsste von allen Beteiligten eingeholt werden und den hohen Anforderungen der DSGVO entsprechen. Sie muss also freiwillig, informiert und nachweisbar sein. Zudem können die Betroffenen sie jederzeit widerrufen. Zu beachten ist hierbei vor allem die Transparenz: Zweck und Art der Verarbeitung müssen im Voraus klar definiert und kommuniziert werden.

Heimliche Aufzeichnungen

Es dürfte klar sein, dass eine heimliche Aufzeichnung demnach datenschutzrechtlich unzulässig ist. Zudem zieht eine heimliche Aufzeichnung sogar strafrechtliche Konsequenzen mit sich. Dabei spielt es keine Rolle, ob die Aufnahme von dem Veranstalter (z.B. dem Arbeitgeber) oder einem Teilnehmer (z.B. einem Arbeitnehmer) durchgeführt wurde. Es empfiehlt sich deshalb als Veranstalter, die Aufnahme-Funktion für alle Beteiligten grundsätzlich abzuschalten.

Was ist sonst zu beachten?

Damit ist noch nicht alles datenschutzrechtlich Relevante zu Videokonferenzen / Online Events gesagt. Auch was die richtige Auswahl des Dienstleisters und Abschluss des Auftragsverarbeitungsvertrag mit diesem sowie die Auswahl der richtigen Voreinstellungen und Wahrung der Informationspflichten angeht, ist einiges zu beachten. Hier sollte unbedingt fachkundige Beratung im Einzelfall eingeholt werden.

Datenschutz-Folgenabschätzung bei Videokonferenzen

Vor der Einführung eines Videokonferenzsystems sollte geprüft werden, ob eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist. Dies kann insbesondere dann der Fall sein, wenn Videokonferenzen regelmäßig mit einer großen Zahl von Teilnehmern durchgeführt werden oder wenn in den Konferenzen sensible Themen besprochen werden. Die DSFA hilft dabei, die Risiken systematisch zu bewerten und geeignete Schutzmaßnahmen festzulegen.

Anforderungen an die Informationspflichten

Der Veranstalter einer Videokonferenz ist als Verantwortlicher im Sinne der DSGVO verpflichtet, die Teilnehmer gemäß Art. 13 und 14 DSGVO über die Verarbeitung ihrer personenbezogenen Daten zu informieren. Dies umfasst unter anderem Angaben zum Zweck der Verarbeitung, zur Rechtsgrundlage, zur Speicherdauer und zu den Rechten der Betroffenen. Diese Informationen sollten den Teilnehmern idealerweise bereits vor der Konferenz zur Verfügung gestellt werden, etwa in der Einladungs-E-Mail.

Besonders bei der Aufzeichnung einer Videokonferenz müssen die Teilnehmer vorab klar und verständlich darüber informiert werden, dass eine Aufzeichnung stattfindet, wer Zugriff auf die Aufzeichnung erhält, wie lange sie gespeichert wird und zu welchen Zwecken sie verwendet werden soll.

Technische Anforderungen an das Videokonferenzsystem

Bei der Auswahl eines Videokonferenzsystems sollten Unternehmen auf verschiedene technische Aspekte achten. Die Übertragung der Daten sollte verschlüsselt erfolgen, idealerweise mit einer Ende-zu-Ende-Verschlüsselung. Die Server des Anbieters sollten sich innerhalb der Europäischen Union befinden oder es muss ein angemessenes Datenschutzniveau nach Art. 44 ff. DSGVO gewährleistet sein.

Wichtig ist auch die Möglichkeit, datenschutzfreundliche Voreinstellungen (Privacy by Default nach Art. 25 Abs. 2 DSGVO) zu konfigurieren. Dazu gehört beispielsweise, dass Mikrofon und Kamera beim Beitritt standardmäßig deaktiviert sind, die Aufnahmefunktion nur vom Veranstalter aktiviert werden kann und Teilnehmer über laufende Aufnahmen deutlich informiert werden.

Auftragsverarbeitung beim Einsatz externer Dienste

Werden externe Videokonferenz-Dienste genutzt, handelt es sich in der Regel um eine Auftragsverarbeitung nach Art. 28 DSGVO. Der Veranstalter als Verantwortlicher muss mit dem Dienstleister einen Auftragsverarbeitungsvertrag abschließen, der die Verarbeitung der personenbezogenen Daten detailliert regelt. Darin sollten insbesondere die Art der verarbeiteten Daten, der Zweck der Verarbeitung, die Dauer der Speicherung und die technisch-organisatorischen Maßnahmen festgelegt sein.

Bei US-amerikanischen Anbietern wie Zoom, Microsoft Teams oder Google Meet ist zudem zu prüfen, ob ein angemessenes Datenschutzniveau für die Datenübermittlung in die USA gewährleistet ist. Seit dem Angemessenheitsbeschluss der EU-Kommission für das EU-U.S. Data Privacy Framework können Übermittlungen an zertifizierte US-Unternehmen auf dieser Grundlage erfolgen.

Besonderheiten bei Betriebsversammlungen und Betriebsratssitzungen

Bei der Aufzeichnung von digitalen Betriebsversammlungen und Betriebsratssitzungen gelten besondere Regeln. Das Betriebsverfassungsgesetz schützt die Vertraulichkeit dieser Sitzungen in besonderem Maße. Eine Aufzeichnung ist hier grundsätzlich nicht zulässig, da sie das freie Rederecht der Teilnehmer beeinträchtigen könnte. Auch die Weiterleitung einer Aufzeichnung an nicht teilnahmeberechtigte Personen wäre ein schwerer Verstoß.

Aufbewahrung und Löschung von Aufzeichnungen

Wenn Videokonferenzen rechtmäßig aufgezeichnet wurden, stellt sich die Frage der Aufbewahrungsdauer. Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für den Verarbeitungszweck erforderlich ist. Sobald der Zweck der Aufzeichnung erfüllt ist, muss diese gelöscht werden.

Unternehmen sollten klare Löschfristen für Videoaufzeichnungen definieren und diese im Verzeichnis der Verarbeitungstätigkeiten dokumentieren. Eine automatisierte Löschung nach Ablauf der festgelegten Frist ist dabei die sicherste Methode, um die Einhaltung der datenschutzrechtlichen Vorgaben zu gewährleisten.

Empfehlungen für die Praxis

Zusammenfassend sollten Veranstalter von Videokonferenzen folgende Punkte beachten: Erstens sollte die Aufnahmefunktion standardmäßig deaktiviert sein. Zweitens ist vor jeder Aufzeichnung die ausdrückliche Einwilligung aller Teilnehmer einzuholen. Drittens müssen die Informationspflichten vollständig erfüllt werden. Viertens sollte der Auftragsverarbeitungsvertrag mit dem Dienstleister sorgfältig geprüft werden. Und fünftens müssen klare Lösch- und Aufbewahrungsfristen definiert werden.

Virtuelle Hintergründe und Datenschutz

Die Nutzung virtueller Hintergründe in Videokonferenzen hat auch eine datenschutzrechtliche Dimension. Ohne virtuellen Hintergrund können andere Teilnehmer Einblicke in die private Wohnung des Teilnehmers erhalten, was dessen Privatsphäre verletzt. Arbeitgeber können daher die Nutzung virtueller Hintergründe empfehlen oder sogar verpflichtend machen, um die Privatsphäre der Mitarbeiter im Home-Office zu schützen.

Allerdings kann die Verarbeitung der Videodaten für die Erzeugung virtueller Hintergründe je nach verwendeter Technologie datenschutzrechtliche Fragen aufwerfen. Einige Anbieter verarbeiten die Videodaten auf ihren Servern, um den Hintergrund zu ersetzen, während andere die Verarbeitung lokal auf dem Endgerät durchführen. Die lokale Verarbeitung ist aus datenschutzrechtlicher Sicht vorzuziehen.

Unternehmen, die regelmäßig Videokonferenzen durchführen, sollten klare Richtlinien zum datenschutzkonformen Umgang mit Videokonferenzsystemen erstellen. Ein externer Datenschutzbeauftragter kann bei der Erstellung solcher Richtlinien unterstützen und sicherstellen, dass alle relevanten datenschutzrechtlichen Aspekte berücksichtigt werden.

Datenschutzrechtliche Verantwortung des Veranstalters

Der Veranstalter einer Videokonferenz trägt als Verantwortlicher nach Art. 4 Nr. 7 DSGVO die volle datenschutzrechtliche Verantwortung für die Verarbeitung der personenbezogenen Daten der Teilnehmer. Dies gilt unabhängig davon, ob es sich um ein internes Meeting, eine Kundenpräsentation oder ein öffentliches Webinar handelt. Der Veranstalter muss sicherstellen, dass alle datenschutzrechtlichen Anforderungen erfüllt sind, von der Auswahl eines geeigneten Anbieters über die korrekte Konfiguration der Datenschutzeinstellungen bis hin zur vollständigen Dokumentation im Verzeichnis der Verarbeitungstätigkeiten. Bei Verstößen gegen diese Pflichten drohen nicht nur Bußgelder der Aufsichtsbehörde, sondern auch Schadensersatzansprüche der betroffenen Teilnehmer.

Insgesamt erfordert der datenschutzkonforme Einsatz von Videokonferenzsystemen eine sorgfältige Planung und kontinuierliche Überwachung. Unternehmen, die klare Richtlinien aufstellen, ihre Mitarbeiter schulen und die technischen Voraussetzungen schaffen, können Videokonferenzen rechtssicher und effizient nutzen, ohne die Persönlichkeitsrechte der Teilnehmer zu verletzen.

Weiterführende Informationen finden Sie z.B. auf

Orientierungshilfe zu Videokonferenzsysteme der DSK

Hinweise zu Videokonferenzdiensten der Berliner Aufsichtsbehörde