Zoom im Unternehmen und die DSGVO

Mit Vertrag und Regelung einzusetzen. Der Hinweis „Diese Besprechung wird aufgezeichnet“ ist eine Ansage, keine Einwilligung — und bei Beschäftigten wäre die ohnehin wacklig.

• Anbieter: Zoom Communications, Inc. (USA)
• Zweck: Videokonferenzen
• Verarbeitung in: USA, mit wählbarer Datenregion für zahlende Konten
• Eingaben fürs Training: Zoom hat nach öffentlicher Kritik zugesagt, Kundeninhalte nicht ohne Zustimmung zum Training zu verwenden. Für die KI-Funktionen gelten eigene Schalter.

Welche Daten dort landen#

• Bild und Ton aller Teilnehmenden
• bei Aufzeichnung zusätzlich eine dauerhafte Kopie davon
• Verbindungs- und Teilnahmedaten je Person

Die Besprechung selbst trägt sich über das Arbeitsverhältnis. Die Aufzeichnung ist eine eigene Verarbeitung und braucht eine eigene Grundlage — und die Einwilligung eines Beschäftigten gilt wegen des Abhängigkeitsverhältnisses als schwache Grundlage.

Der Vertrag mit dem Anbieter#

Zoom stellt einen Auftragsverarbeitungsvertrag bereit. Die Datenregion lässt sich im Konto einstellen und ist nicht automatisch Europa.

Was der Betriebsrat damit zu tun hat#

Mitbestimmungspflichtig, sobald Aufzeichnung, Teilnahmeberichte oder Aufmerksamkeitsanzeigen verfügbar sind. Auch hier zählt die Möglichkeit, nicht die Nutzung.

Was zu tun ist#

• Die Datenregion im Konto auf Europa stellen und das Ergebnis festhalten.
• Aufzeichnung technisch beschränken, statt sie zu erlauben und zu bitten, sie nicht zu benutzen.
• Für jede Aufzeichnung Zweck und Löschfrist vorher festlegen, nicht danach.
• Externe Teilnehmende vor Beginn informieren — für sie gilt die Einwilligung sehr wohl.

Wenn es auch anders gehen soll#

• Jitsi im eigenen Betrieb
• Ein europäischer Anbieter mit Verarbeitung im EWR

Der Punkt, der bei Zoom übersehen wird#

Bei den übrigen Werkzeugen dieser Liste geht es um Daten, die jemand bewusst eingibt. Bei einer Aufzeichnung entsteht Bild und Stimme jedes Teilnehmenden — Daten, die niemand eingegeben hat und die sich nicht anonymisieren lassen. Der eingeblendete Hinweis erfüllt die Informationspflicht und wird trotzdem regelmäßig für eine Einwilligung gehalten. Bei Beschäftigten wäre selbst eine ausdrückliche Einwilligung wegen des Abhängigkeitsverhältnisses angreifbar — deshalb ist die Frage nicht, wie man sie einholt, sondern ob man ohne Aufzeichnung auskommt.

Dieselbe Frage bei ähnlichen Werkzeugen#

• Slack — Interne Kommunikation
• Microsoft Teams — Chat, Besprechungen, Dateiablage

Das ist keine Rechtsberatung, sondern eine Einordnung: Wir geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab — und bei Beschäftigtendaten zusätzlich von dem, was in deinem Haus vereinbart ist. Wie die Regeln zusammenhängen, steht auf der Übersicht zur Serie.