Zoom: Datenschutz bei Online-Meetings

Worum geht's?

Wenn es um Videokonferenzen geht, ist das amerikanische Tool Zoom nicht mehr wegzudenken. Da der Hauptsitz von Zoom Video Communications, Inc. in den Vereinigten Staaten liegt, ist bei der Verwendung von Zoom jedoch Vorsicht geboten. Befinden sich die Server in den USA, bedeutet dies auch einen Transfer von personenbezogenen Daten ins EU-Ausland. In unserem Artikel stellen wir Ihnen die wichtigsten Voraussetzungen zusammen, damit Sie Zoom DSGVO-konform nutzen können.

Zurück zur Übersicht: "Datenschutz"

1. Was ist Zoom und wozu wird es verwendet?

Besonders im Rahmen der Corona-Pandemie erfreute sich Zoom großer Beliebtheit. Die Nutzerzahlen schossen durch die Decke. Das Tool war in Klassenzimmern, Vorlesungen und bei Meetings in Unternehmen nicht mehr wegzudenken. Online-Seminare, Webinare, virtuelle Meetings und Unterricht konnten so komplett online stattfinden.

Auch jetzt nach der Pandemie sind die Beliebtheit und die Nutzerzahlen geblieben und Zoom ist aus dem Alltag nicht mehr wegzudenken. An die meisten Universitäten ist der Präsenzunterricht zwar wieder zurückgekehrt und Meetings in Unternehmen finden wieder vor Ort in den Geschäftsräumen statt. Doch auf die Nutzung von Zoom möchte niemand mehr verzichten.

So nutzen viele Unternehmen den Dienst mittlerweile für die internationale Kommunikation mit Kunden und Geschäftspartnern. Aber auch im Homeoffice und bei Unternehmen mit mehreren Standorten sind Zoom Meetings fest in den Arbeitsalltag integriert. Durch die Pandemie konnten sich auch neue Unternehmensmodelle auf dem Markt etablieren und die Zahl an Online-Coachings, Online-Kursen und Weiterbildungen ist merklich gestiegen.

Im Zusammenhang mit Zoom sollten Unternehmer allerdings nicht nur beim Thema Datenschutz vorsichtig sein. Auch wenn Zoom in vielen Fällen den Arbeitsalltag erleichtert, gab es in der Vergangenheit dennoch Fälle, in denen das Programm zweckentfremdet wurde. Dazu zählte zum Beispiel vermehrtes Zoom Bombing oder unbefugtes Mitschneiden von Chats und Webinaren. Vereinzelte Unternehmen untersagten Ihren Mitarbeitern daraufhin die Teilnahme an Meetings per Zoom, da sie um den Schutz der Mitarbeiterdaten besorgt waren.

2. Datenschutzrechtlicher Hintergrund von Zoom-Meetings

Während die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union einen umfassenden Schutz für die sensiblen personenbezogenen Daten der Nutzer bietet, sind die US-Datenschutzgesetze weniger streng. Deshalb wurde das alte Datenschutzabkommen zwischen der EU und den USA (EU-US Privacy Shield) 2020 vom EuGH gekippt.

Denn: Die USA bot kein der EU der Sache nach gleichwertiges Datenschutzniveau für personenbezogene Daten von EU-Bürgern. Nach dem gescheiterten EU-US Privacy Shield Abkommen haben sich die Europäische Kommission und US-Präsident Joe Biden 2023 auf einen neuen transatlantischen Datenschutzrahmen geeinigt. Das Data Privacy Framework ist am 10.07.2023 in Kraft getreten und ermöglicht nun wieder einen sicheren Datentransfer in die USA. 

Rechtlich zulässig ist der Datentransfer aber nur an US-Unternehmen, die an dem Abkommen teilnehmen. Amerikanische Unternehmen müssen zunächst ein Selbstzertifizierungsverfahren durchlaufen, um auf die DPF Liste aufgenommen zu werden. Eine rechtssichere und vor allem datenschutzkonforme Nutzung des Tools Zoom ist daher nicht automatisch gegeben.

Obwohl die DSGVO gilt, wenn der Anwender Zoom in der Europäischen Union (z. B. Deutschland) nutzt, hat dies jedoch keine Auswirkungen auf die Verarbeitung in den Vereinigten Staaten, da die DSGVO als europäische Verordnung dort keine Anwendung findet.

Datenschützer bemängelten besonders vor Inkrafttreten des neuen Data Privacy Framework den unzureichenden Schutz von Benutzer-, Meta- und Inhaltsdaten von Videokonferenzen.

Auch nach Inkrafttreten des DPF sind Kritiker nicht verstummt und bemängeln Zugriffsmöglichkeiten der US-Behörden auf personenbezogene Daten.

3. US-Datenschutzniveau bei Video-Konferenzen über Zoom

Doch was bedeutet das neue Data Privacy Framework für die Nutzung von Zoom?

Nachdem der Europäische Gerichtshof die zuvor bestehenden Angemessenheitsbeschlüsse für ungültig erklärt hatte, war eine zulässige Nutzung von Programmen und Tools mit Servern in den USA nur schwer möglich.

Da die DSGVO-Vorgaben von Unternehmen in Europa auch bei einer Datenübertragung in den außereuropäischen Raum eingehalten werden müssen, mussten zusätzliche Maßnahmen von den Unternehmen getroffen werden. Hierzu zählen der Abschluss von Standardvertragsklauseln (SCC) und im Rahmen eines Transfer Impact Assessments (TIA) die Vornahme einer eigenen Bewertung des Schutzniveaus für Datenübermittlung.

Für zertifizierte Unternehmen sind diese organisatorischen Maßnahmen nun nicht mehr notwendig. Liegt keine Zertifizierung vor, müssen die zuvor genannten Maßnahmen getroffen werden. Die Zertifizierung können Sie der offiziellen DPF-Liste entnehmen.

Zoom Video Communications, Inc. wird als inaktiv gelistet, war bei den Vorgängerabkommen also gelistet und zertifiziert, hat eine Zertifizierung nach dem DPF aber (noch) nicht vorgenommen.

4. Zoom datenschutzkonform nutzen 

Sie nutzen Zoom in Ihrem Unternehmen und fragen sich jetzt, wie eine datenschutzkonforme Nutzung auszusehen hat?

Solange keine Zertifizierung des Unternehmens vorliegt, bewegen Sie sich mit dem Datentransfer in einer rechtlichen Grauzone. Denn ohne Zertifizierung wird kein angemessenes Datenschutzniveau festgestellt und Sie müssen die Einhaltung von europäischen Datenschutzstandards selbstständig vertraglich vereinbaren.

Hierfür werden Ihnen von der Europäischen Kommission verabschiedete Vertragsmuster bereitgestellt, mit denen die Einhaltung von Datenschutzbestimmungen sichergestellt werden soll.

Aber damit ist es noch nicht getan: Zusätzlich müssen Sie die Rechtslage und -praxis im Drittland prüfen und gegebenenfalls zusätzliche Schutzmaßnahmen ergreifen oder von der Datenübermittlung absehen. Dies erfolgt im Rahmen eines sogenannten Transfer Impact Assessments (TIA).

Bedeutet: Können Sie den Schutz personenbezogener Daten nicht sicherstellen, ist von der Nutzung von Zoom abzuraten. 

Neben den bereits genannten Maßnahmen gibt es weitere Möglichkeiten, um die Nutzung von Zoom rechtssicher zu gestalten.

Sowohl bei kostenlosen als auch kostenpflichtigen Konten kann eine end-to-end-Verschlüsselung aktiviert werden. Die Verschlüsselung wird durch die Geräte der Teilnehmer hergestellt und kann daher nicht durch Zoom-Server entschlüsselt werden. Über die Kontoeinstellung kann die end-to-end-Verschlüsselung entweder als Standardverschlüsselung oder für bestimmte Meetings, die sensible Daten enthalten, ausgewählt werden.

Haben Sie schon von einer Peer-to-Peer-Verbindung gehört? Diese kann in einem Zoom Meeting von zwei Personen aktiviert werden und führt dazu, dass die Daten nicht erst über die Zoom Cloud gehen, sondern direkt zwischen den Teilnehmern weitergeleitet werden. Hierdurch kann sich auch die Qualität von Zoom-Meetings verbessern.

Daneben gibt es weitere Einstellungen, die Sie standardisiert für alle Meetings einstellen können oder jeweils aktiv für einzelne Meetings auswählen.

Hierzu zählen die Fernsteuerung von Kameras, die Mikrofoneinstellungen, Live-Streaming-Optionen, Remote-Unterstützung, Einrichtung eines Warteraums und Meeting-Passwörter. Auch kann die Aufzeichnungsfunktion als Standardeinstellung deaktiviert werden, sodass sie auch nicht vom jeweiligen Moderator aktiviert werden kann. Generell darf eine Aufzeichnung nur mit Einwilligung der Teilnehmer erfolgen, um keine Urheber- oder Persönlichkeitsrechte zu verletzen.

Auch bei der Anfertigung von Screenshots ist Vorsicht geboten. Verwenden Sie Zoom in Ihrem Unternehmen, sollten Sie Schulungen zum Umgang mit Zoom für Ihre Mitarbeiter anbieten.

Schützen Sie Ihre IP Adresse durch Nutzung eines VPN und deaktivieren Sie die private Chat Funktion. Weisen Sie Mitarbeiter im Homeoffice darauf hin, dass Sie Ihre Privatsphäre durch Einstellen eines virtuellen Hintergrunds oder durch Verwischen des Hintergrunds schützen können.

5. Checkliste für datenschutzkonforme Zoom-Meetings im Unternehmen

Damit Sie Zoom in Ihrem Online-Business oder Unternehmen sorgenfrei nutzen können, haben wir Ihnen die wichtigsten Maßnahmen für datenschutzkonforme und rechtssichere Online-Meetings in einer Checkliste zusammengestellt. 

Grundsätzlich können Sie Zoom kostenfrei nutzen. Empfehlenswert ist dies für Unternehmen allerdings nicht.

Neben der Beschränkung eines Zoom-Meetings auf 40 Minuten, sind die notwendigen DSGVO-Einstellungen nur bei einem kostenpflichtigen Account möglich. Hinweis: alle Teilnehmenden sollten die aktuelle Version von Zoom nutzen.

Sören SiebertRechtsanwalt

6. Fazit zum Thema Datenschutz bei Zoom

Wie Sie sehen, gibt es viele Möglichkeiten, Videokonferenz-Tools unter Einhaltung der Datenschutzbestimmungen zu nutzen und einzubinden.

Wenn Sie die Vorgaben der Datenschutz Grundverordnung umsetzen, kann Zoom als Tool rechtssicher in den Arbeitsalltag integriert werden. So minimieren Sie das Risiko möglicher Abmahnungen und können zudem datenschutzkonform und rechtssicher mit Ihren Mitarbeitern oder Kunden via Zoom kommunizieren.

7. FAQ – Zoom-Datenschutz

Das Thema Datenschutz spielt jedoch nicht nur bei der Nutzung von Videokonferenz-Tools eine Rolle, sondern auch beim Einrichten einer Unternehmenswebsite. Wir von eRecht24 unterstützen Sie hierbei mit unseren Premium-Tools und Generatoren und sichern Ihre Website ab. 

• Zurück zur Übersicht: "Datenschutz"
• Was müssen Unternehmen nach der DSGVO intern regeln?
• Google Analytics
• Datenschutz bei Videokonferenzen
• Datenschutz von Mitarbeiterdaten
• Formulare
• Pur-Abo-Modell für Content-Unternehmen
• Datenschutz & Datenschutzerklärung für Handwerker
• Datenschutzerklärung für Vereine
• Datenschutz für Immobilienmakler