Videokonferenzen datenschutzkonform einsetzen: Checkliste nach DSGVO

Videokonferenzen verarbeiten mehr Daten, als viele denken: Bild und Ton, Chatnachrichten, geteilte Bildschirme, dazu Metadaten über Teilnahme und Dauer. Die Datenschutzkonferenz (DSK) hat dafür eine Orientierungshilfe Videokonferenzsysteme veröffentlicht. Sie stammt vom 23. Oktober 2020. Dieser Beitrag übersetzt sie in eine Checkliste für kleine Unternehmen.

Welches Betriebsmodell passt?

Die DSK unterscheidet drei Betriebsmodelle. Jedes Modell bringt andere Pflichten mit sich:

Selbst betriebene Systeme haben laut DSK den Vorteil, dass Sie bestimmen, welche Software läuft und welche Daten anfallen. Jitsi Meet etwa ist Open Source und lässt sich auf eigenen Servern betreiben. Dafür brauchen Sie Know-how für Updates und Härtung. Für die meisten kleinen Unternehmen ist ein Online-Dienst realistischer (sofern die Verträge stimmen).

Welche Verträge brauchen Sie?

Bei Online-Diensten und externen Dienstleistern brauchen Sie einen Auftragsverarbeitungsvertrag. Die DSK stellt klar: Kann ein Dienstleister auf personenbezogene Daten zugreifen, ist ein AVV abzuschließen. Das kann sogar bei selbst betriebenen Systemen gelten, etwa durch Fernwartung. Worauf Sie im Vertrag achten, erklärt unser Beitrag zum Auftragsverarbeitungsvertrag.

Sitzt der Anbieter in den USA, kommt die Übermittlung hinzu. Eine Übermittlung liegt laut DSK auch dann vor, wenn ein Anbieter aus dem Drittland auf Daten in der EU zugreift. Microsoft und Zoom standen bei unserer Abfrage am 13. November 2026 mit aktivem Status auf der DPF-Liste. Wie Sie das selbst prüfen und wie stabil die Grundlage ist, steht im Beitrag zum EU-US Data Privacy Framework.

Wie sicher muss die Übertragung sein?

Mindestens eine Transportverschlüsselung nach den Technischen Richtlinien des BSI ist Pflicht. Sie muss Inhalts- und Rahmendaten schützen. Bei hohem Risiko verlangt die DSK zusätzliche Maßnahmen, zum Beispiel eine Ende-zu-Ende-Verschlüsselung. Dabei erzeugen nur die Endgeräte der Teilnehmenden die Schlüssel, der Betreiber kann nicht mitlesen.

Die DSK räumte 2020 ein, dass Ende-zu-Ende-Lösungen für große Runden noch nicht marktgängig waren. Dann kann Transportverschlüsselung mit kompensierenden Maßnahmen beim Betreiber genügen. Prüfen Sie heute in der Dokumentation Ihres Anbieters, ob und für welche Meetings er Ende-zu-Ende-Verschlüsselung anbietet. Oft schränkt sie Funktionen wie Aufzeichnung ein.

Welche Einstellungen sollten Sie setzen?

Datenschutzfreundliche Voreinstellungen verlangt Art. 25 DSGVO. Die DSK konkretisiert das für Videokonferenzen. Diese Einstellungen sollten Sie als Administrator prüfen:

• Kamera, Mikrofon und Bildschirmfreigabe sind beim Eintritt ausgeschaltet.

• Teilnehmende können Kamera und Mikrofon jederzeit selbst abschalten.

• Niemand kann fremde Kameras oder Mikrofone ohne Zustimmung einschalten.

• Die Aufzeichnungsfunktion ist standardmäßig deaktiviert und nur für Moderatoren verfügbar.

• Gastzugänge ohne Anmeldung gibt es nur, wo sie nötig sind.

• Diagnose- und Telemetriedaten fließen nur so weit, wie der Dienst sie braucht.

Für die Anmeldung der eigenen Beschäftigten bietet sich Single Sign-on über Ihren Identitätsdienst an. So verwalten Sie Zugänge zentral und sperren sie beim Austritt sofort.

Wann dürfen Sie aufzeichnen?

Aufzeichnungen brauchen eine eigene Rechtsgrundlage. Gibt es kein besonderes Dokumentationserfordernis, ist laut DSK regelmäßig eine Einwilligung nötig. Diese Einwilligung ist gesondert einzuholen. Weisen Sie bei Start der Aufnahme sichtbar darauf hin. Speichern Sie Aufzeichnungen verschlüsselt und löschen Sie sie, sobald der Zweck erfüllt ist.

Das gilt auch für Transkripte und KI-Zusammenfassungen. Sie entstehen aus der Aufzeichnung oder dem Live-Ton und verarbeiten dieselben Daten. Aktivieren Sie solche Funktionen erst, wenn Rechtsgrundlage und Information geklärt sind.

Was gehört in die Datenschutzinformation?

Teilnehmende müssen vorab wissen, was mit ihren Daten passiert. Nach Art. 13 DSGVO und der DSK-Orientierungshilfe gehören diese Punkte in die Information:

• Name des Anbieters und Hinweis auf eine Übermittlung in Drittländer

• ob aufgezeichnet wird und wie lange Daten nach der Konferenz gespeichert bleiben

• wie Teilnehmende ihre Daten selbst schützen können, etwa mit Pseudonym oder Hintergrundbild

Wie setzen Sie das im Team um?

Halten Sie die Umsetzung in wenigen festen Schritten fest. So behalten Sie den Überblick, auch wenn später ein zweites Tool hinzukommt:

1. Tool und Betriebsmodell festlegen und die Entscheidung kurz begründen.

2. AVV abschließen und zusammen mit dem TOM-Anhang ablegen.

3. Voreinstellungen zentral in der Administration setzen, nicht bei jedem Nutzer einzeln.

4. Datenschutzinformation für Teilnehmende ergänzen und in Einladungen verlinken.

5. Eine klare Regel für Aufzeichnungen, Transkripte und KI-Funktionen schreiben.

6. Die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten eintragen.

Schulen Sie Moderatoren kurz: Wer darf aufzeichnen, wie schließt man Gäste aus, wo liegt die Datenschutzinformation? Zehn Minuten im Teammeeting reichen meist. Diese Dokumentation hilft, wenn Beschäftigte, Kunden oder die Aufsichtsbehörde nachfragen. Sie ist auch die Grundlage, um das Tool später sauber zu wechseln.

Videokonferenzen sind oft Teil einer größeren Kollaborationslösung. Vergleichen Sie deshalb auch die Chat-Funktionen, etwa in unserem Team-Chat-Vergleich. Ihr nächster Schritt: die Voreinstellungen Ihres aktuellen Tools mit der Liste oben abgleichen.