Datenschutzerklärung für Webex

Warum ist Webex datenschutzrechtlich relevant?

Webex erhebt und speichert verschiedene personenbezogene Daten. Welche das sind, hängt auch davon ab, welche Angaben User vor und während der Teilnahme an einem Meeting machen und welche Einstellungen sie für die Nutzung wählen.

In der Regel erhebt Webex

• den Namen und die E-Mail-Adresse der Benutzer
• Meeting-Daten wie das Thema und die Beschreibung,
• IP-Adressen der Teilnehmer,
• Geräte- und Hardware-Informationen der Teilnehmer,
• bei Aufzeichnungen alle Video- und Audioaufnahmen
• sowie eine Textdatei von Online-Meeting-Chats.

Wählen sich Nutzer per Telefon bei Webex ein, speichert der Anbieter

• die Telefonnummer,
• das Land und
• gegebenenfalls Verbindungsdaten wie die IP-Adresse des Geräts.

Unternehmen und öffentliche Einrichtungen, die Webex verwenden, müssen daher besondere datenschutzrechtliche Pflichten erfüllen.

Webex datenschutzkonform einsetzen

Um Webex gemäß der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) zu verwenden, müssen Unternehmen diese Anforderungen erfüllen:

Vertrag zur Auftragsverarbeitung abschließen

Geben Unternehmen personenbezogene Daten zur weisungsgebundenen Verarbeitung an Dritte weiter, müssen sie mit diesen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Diese Pflicht ergibt sich aus Art. 28 DSGVO. Mit Webex sammeln Unternehmen personenbezogene Daten ihrer Gesprächsteilnehmer. Sie müssen mit dem Anbieter daher einen AV-Vertrag schließen. Dieser sollte führen,

• welche personenbezogenen Daten Webex erhebt und speichert,
• wie lange der Anbieter diese Daten speichert,
• warum er die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen, die mit Webex einen AV-Vertrag schließen, müssen das in ihrer Datenschutzerklärung erwähnen. Dabei müssen sie erklären,

• warum sie welche personenbezogenen Daten speichern,
• wie lange sie diese Daten speichern,
• welche Rechtsgrundlage das ermöglicht (Art. 6 Abs. 1 lit. c DSGVO) und
• dass Nutzer der Erhebung ihrer Daten jederzeit widersprechen können.

Webex datensparsam verwenden

Unternehmen sollten Webex so konfigurieren, dass es nur die Daten erhebt, die sie für das Meeting oder die Zusammenarbeit benötigen. Auf diese Weise erfüllen sie den Grundsatz der Datensparsamkeit der DSGVO. Für die Praxis heißt das: Sie sollten Meetings grundsätzlich nicht aufzeichnen. Wollen sie eine Besprechung aufzeichnen, muss das

• einem erlaubten Zweck dienen,
• geeignet sein, diesen Zweck zu erfüllen und
• erforderlich sein, diesen Zweck zu erreichen.

Unternehmen dürfen die über Webex erhobenen Daten zudem nur so lange aufbewahren, wie sie diese tatsächlich benötigen.

Standardvertragsklauseln verwenden

Der Anbieter Cisco Webex sitzt in den USA. Um mit der Software Nutzerdaten erheben und in ein Drittland außerhalb der EU versenden zu dürfen, müssen Unternehmen Standardvertragsklauseln mit dem Anbieter schließen. Diese stellen sicher, dass die Daten in den USA einen Schutz genießen wie hierzulande durch die DSGVO. Zusätzlich müssen Unternehmen eine Risikoabschätzung vornehmen. Diese muss offenlegen,

• welche Art von Nutzerdaten sie an Webex weitergeben,
• welche Rechtsvorschriften in den USA gelten und
• ob Webex weitere Maßnahmen ergreift, um die Userdaten aus der Software zu schützen.

Kritik der Berliner Datenschutzbehörde

Trotz dieser Datenschutzmaßnahmen kann es sein, dass Unternehmen Webex derzeit nicht datenschutzkonform nutzen können. So erklärte die Berliner Datenschutzbehörde im Sommer 2020, dass Webex Mängel aufweise, die keine rechtskonforme Nutzung erlaubten. Die Software benötige wesentliche Anpassungen der Geschäftsabläufe und/oder der Technik. Besonders problematisch stufte die Datenschutzbehörde die zur Verfügung gestellten Verträge zur Auftragsverarbeitung ein.

Rechtsprechung zu Webex

Bisher liegt, soweit ersichtlich, keine Rechtsprechung zum Thema Webex und Datenschutz vor. Grundsätzlich sollten Unternehmen jedoch sicherstellen, dass sie mit Webex einen AV-Vertrag schließen. Ansonsten droht ein Bußgeld, wie bereits zwei Unternehmen feststellen mussten:

Datenschutzbehörde Hamburg zum AV-Vertrag

Die Datenschutzbehörde Hamburg sprach im Dezember 2018 ein Bußgeld in Höhe von 5.000 Euro gegen ein Versandunternehmen aus. Dies hatte es versäumt, mit einem beauftragten Dienstleister einen AV-Vertrag zu schließen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Die Datenschutzbehörde Baden-Württemberg sprach im März 2021 ein Bußgeld in Höhe von 300.000 Euro gegen den Fußball-Bundesligaclub VfB Stuttgart aus. Dieser hatte es versäumt, mit beauftragten Dienstleistern einen AV-Vertrag abzuschließen.

Aktuelles zu Webex

Zu Webex gibt es zwei aktuelle datenschutzrechtliche Entwicklungen:

Datenschützer kritisieren Freie Universität Berlin für Einsatz von Webex

Berliner Datenschützer warfen der Freien Universität (FU) Berlin im Januar 2022 vor, mit dem Einsatz von Webex gegen den deutschen Datenschutz zu verstoßen. Die Universität nutzt das Tool, um darüber online Vorlesungen und Seminare abzuhalten. Die Datenschützer kritisieren dabei, dass der Datentransfer in die USA rechtswidrig sei. Denn: US-Behörden könnten jederzeit auf die Daten zugreifen. Das widerspreche den europäischen Grundrechten.

Studie ermittelt Datenübertragung bei stummem Mikrofon

Wissenschaftler der Loyola-Universität in Chicago und der University of Wisconsin-Madison fanden im April 2022 heraus: Selbst, wenn User das Mikrofon bei Webex stummschalten, greift die Software teilweise darauf zurück. Sie erhebt dabei zwar nicht die Gespräche, sondern lediglich Hintergrundgeräusche. Die Forscher stellten jedoch fest, dass die Daten oftmals ausreichen, um zu ermitteln, welche Tätigkeiten im Hintergrund erfolgen, wie beispielsweise Kochen, Putzen oder auf der Tastatur tippen. Die Datenerhebung betrifft die native App. Webex hat das bereits korrigiert.