DSGVO-konforme Videokonferenz: Anbieter, Anforderungen und Checkliste 2026

Das Wichtigste auf einen Blick

Eine DSGVO-konforme Videokonferenz ist eine Online-Besprechung, bei der personenbezogene Daten rechtmäßig, transparent und angemessen geschützt verarbeitet werden. Dafür genügt es nicht, einen Anbieter mit verschlüsselten Verbindungen oder Servern in Deutschland auszuwählen. Entscheidend sind die tatsächlichen Datenflüsse, die verwendeten Funktionen, die vertraglichen Grundlagen und die Einstellungen der Videokonferenzplattform.

Welche Lösungen kommen für Unternehmen infrage?

Plattform	Bereitstellung	Datenschutzrelevanter Ansatz
TrueConf Server	Eigener Server	Kontrolle über Infrastruktur, Benutzer und interne Datenflüsse
Jitsi Meet	Selbsthosting oder externer Dienst	Open Source, konfigurierbare Serverumgebung
BigBlueButton	Selbsthosting oder Hosting-Anbieter	Kontrollierbare Unterrichts- und Konferenzdaten
Nextcloud Talk	Eigener Server	Kommunikation innerhalb der Nextcloud-Infrastruktur
OpenTalk	Cloud oder eigene Infrastruktur	Europäische Bereitstellungsmodelle
Microsoft Teams	Cloud	Zentrale Unternehmensrichtlinien und Datenschutzfunktionen
Zoom	Cloud	Administrative Sicherheits- und Meeting-Einstellungen

Für die DSGVO-Prüfung sind insbesondere sechs Punkte relevant:

• Eine geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
• Ein Auftragsverarbeitungsvertrag (AVV), soweit ein entsprechendes Dienstleisterverhältnis besteht.
• Transparenz über Serverstandorte, Unterauftragnehmer und mögliche Drittlandübermittlungen.
• Technische Schutzmaßnahmen einschließlich Verschlüsselung und Zugriffskontrolle.
• Festgelegte Regeln für Aufzeichnungen, Transkripte, Metadaten und Löschung.
• Dokumentation der Verarbeitung und regelmäßige Überprüfung der Konfiguration.

Was bedeutet DSGVO-konforme Videokonferenz?

Bei einer Videokonferenz entstehen mehr personenbezogene Daten als lediglich Bild und Ton der Teilnehmer. Dazu gehören häufig Namen, E-Mail-Adressen, IP-Adressen, Geräteinformationen und Angaben über die Dauer und den Zeitpunkt einer Sitzung.

Weitere Informationen können durch Chat-Nachrichten, Bildschirmfreigaben, Aufzeichnungen oder automatisch erstellte Transkripte entstehen.

Die DSGVO gilt für diese Verarbeitung, sobald ihr sachlicher und räumlicher Anwendungsbereich eröffnet ist. Unternehmen müssen daher prüfen, auf welcher Rechtsgrundlage die Daten verarbeitet werden, welche Stellen beteiligt sind und ob die eingesetzten Schutzmaßnahmen dem Risiko entsprechen.

Welche DSGVO-Artikel sind besonders relevant?

DSGVO	Anforderung	Bedeutung für Videokonferenzen
Art. 5	Grundsätze der Verarbeitung	Zweckbindung, Datenminimierung und Speicherbegrenzung
Art. 6	Rechtmäßigkeit	Geeignete Rechtsgrundlage für die Verarbeitung
Art. 9	Besondere Datenkategorien	Zusätzliche Voraussetzungen bei sensiblen Informationen
Art. 13–14	Informationspflichten	Transparente Datenschutzhinweise für Teilnehmer
Art. 25	Privacy by Design und Default	Datenschutzfreundliche Voreinstellungen
Art. 28	Auftragsverarbeitung	Vertragliche Regelung bei geeigneten Dienstleisterverhältnissen
Art. 30	Verzeichnis von Verarbeitungstätigkeiten	Dokumentation der Videokonferenzverarbeitung
Art. 32	Sicherheit der Verarbeitung	Technische und organisatorische Schutzmaßnahmen
Art. 35	Datenschutz-Folgenabschätzung	Prüfung bei voraussichtlich hohem Risiko
Art. 44 ff.	Drittlandübermittlungen	Zusätzliche Voraussetzungen für internationale Datenübertragungen

Die DSGVO schreibt nicht pauschal einen bestimmten Videokonferenzanbieter vor. Sie verlangt, dass die konkrete Verarbeitung rechtmäßig organisiert wird.

Auch eine selbst gehostete Lösung kann gegen Datenschutzanforderungen verstoßen, wenn beispielsweise alle Mitarbeiter unberechtigt auf Konferenzaufzeichnungen zugreifen können oder personenbezogene Protokolle ohne erforderlichen Zweck gespeichert werden.

7 Videokonferenzplattformen im DSGVO-Vergleich

Bei der Auswahl sollte zunächst entschieden werden, ob ein eigener Server, ein europäischer Hosting-Dienst oder eine verwaltete Cloud-Plattform benötigt wird.

Die Unterschiede betreffen nicht nur den Serverstandort, sondern auch die Verantwortlichkeiten bei Administration, Sicherheitsupdates und Datenaufbewahrung.

1. TrueConf Server: DSGVO-orientierte Videokonferenzen auf eigener Infrastruktur

TrueConf Server ist eine selbst gehostete Plattform für Videokonferenzen, Unternehmensmessaging und Zusammenarbeit.

Organisationen installieren die Software auf eigenen oder kontrollierten Servern und können festlegen, wie Benutzer auf das Kommunikationssystem zugreifen.

Bei geeigneter Konfiguration können interne Videokonferenzen innerhalb eines Unternehmensnetzes stattfinden, ohne dass die eigentlichen Gespräche über einen öffentlichen Cloud-Konferenzdienst übertragen werden müssen.

Welche Eigenschaften sind für die DSGVO relevant?

Eine eigene Bereitstellung ermöglicht die direkte Verwaltung von Servern, Benutzerkonten und Speicherorten. TrueConf unterstützt außerdem die Anbindung von Active Directory und LDAP, wodurch sich vorhandene Benutzerverzeichnisse integrieren lassen.

Für die Medienübertragung verwendet TrueConf Server AES-256. Bei unterstützten Protokollen kommen weitere Schutzmechanismen wie DTLS-SRTP, SRTP oder H.235 zum Einsatz.

Die Organisation kann administrative Berechtigungen, Netzwerkzugriffe und die Speicherung von Konferenzdaten entsprechend ihren Anforderungen konfigurieren.

Was muss geprüft werden?

Die lokale Installation beseitigt nicht automatisch sämtliche externen Verbindungen. Je nach Edition und Konfiguration können beispielsweise Lizenzdienste, externe Teilnehmer oder Integrationen weitere Kommunikationswege benötigen.

Außerdem ist zwischen Transportverschlüsselung und echter Ende-zu-Ende-Verschlüsselung zu unterscheiden. Bei serververmittelten Konferenzen können Medien auf Serverkomponenten verarbeitet werden.

Geeignet für: Unternehmen, Behörden und andere Organisationen, die ihre Videokonferenzinfrastruktur selbst betreiben und interne Datenflüsse kontrollieren möchten.

Wichtigste Grenze: Sicherheit, Updates, Datensicherung und Datenschutzdokumentation liegen wesentlich in der Verantwortung der betreibenden Organisation.

2. Jitsi Meet: DSGVO-konforme Videokonferenzen mit Open Source

Jitsi Meet ist eine Open-Source-Plattform für Audio- und Videokonferenzen.

Die Software kann auf eigenen Servern installiert oder über einen externen Dienst verwendet werden. Für den Datenschutz ergibt sich daraus ein entscheidender Unterschied.

Bei einer eigenen Installation bestimmt die Organisation, wo die Konferenzinfrastruktur betrieben wird. Bei einem öffentlichen Dienst gelten dagegen dessen Datenschutz- und Betriebsbedingungen.

Welche Eigenschaften sind relevant?

Jitsi unterstützt verschlüsselte Medienübertragung und in geeigneten Konfigurationen optionale Ende-zu-Ende-Verschlüsselung.

Der offene Quellcode ermöglicht technische Überprüfungen und eine Anpassung der Infrastruktur.

Was muss geprüft werden?

Bei einer eigenen Installation können zusätzliche Komponenten wie TURN-Server, Authentifizierungsdienste oder Monitoring-Systeme personenbezogene Daten verarbeiten.

Auch der Zugriff auf Konferenzräume und die technische Protokollierung müssen geregelt werden.

Die Nutzung von meet.jit.si ist deshalb datenschutzrechtlich nicht mit dem Betrieb einer vollständig kontrollierten eigenen Jitsi-Instanz gleichzusetzen.

Geeignet für: Organisationen mit eigener IT-Betreuung, die eine offene und konfigurierbare Videokonferenzsoftware benötigen.

Wichtigste Grenze: Der Betreiber muss die gesamte Serverumgebung absichern und die Datenflüsse dokumentieren.

3. BigBlueButton: Videokonferenzen für Schulen und Bildungseinrichtungen

BigBlueButton ist eine Open-Source-Plattform für digitalen Unterricht und Online-Schulungen.

Sie verbindet Videokonferenzen mit Whiteboards, Präsentationen, Gruppenräumen und weiteren Unterrichtsfunktionen.

Bei Bildungseinrichtungen ist besonders wichtig, welche personenbezogenen Informationen von Schülern, Lehrkräften und gegebenenfalls Minderjährigen verarbeitet werden.

Welche Eigenschaften sind relevant?

BigBlueButton kann auf eigener Infrastruktur oder durch einen geeigneten Hosting-Anbieter betrieben werden.

Die Verantwortlichen können den Zugang zu Unterrichtsräumen, die Rechte von Teilnehmern und den Umgang mit Aufzeichnungen konfigurieren.

Was muss geprüft werden?

Aufzeichnungen sind eine besonders wichtige Datenschutzfrage.

Die Durchführung einer Unterrichtsstunde und die dauerhafte Speicherung der Sitzung sind unterschiedliche Verarbeitungsvorgänge. Für Aufzeichnungen muss gesondert geprüft werden, welche Rechtsgrundlage besteht und wie lange die Daten gespeichert werden dürfen.

Außerdem sind die Rollen des Betreibers und gegebenenfalls des Hosting-Dienstleisters festzulegen.

Geeignet für: Schulen, Hochschulen und Weiterbildungsorganisationen.

Wichtigste Grenze: Umfangreiche Funktionen für digitalen Unterricht erhöhen den Bedarf an klaren Zugriffs- und Aufbewahrungsregeln.

4. Nextcloud Talk: DSGVO-konforme Kommunikation innerhalb von Nextcloud

Nextcloud Talk ist eine Kommunikationslösung für Chat, Audio- und Videokonferenzen innerhalb der Nextcloud-Plattform.

Sie ist insbesondere für Organisationen interessant, die Nextcloud bereits für Dateien, Benutzerkonten und Zusammenarbeit verwenden.

Welche Eigenschaften sind relevant?

Durch den Betrieb auf eigener Infrastruktur lassen sich verschiedene Kommunikations- und Kollaborationsdienste in eine gemeinsame Verwaltungsumgebung integrieren.

Benutzerkonten und Berechtigungen können mit der vorhandenen Nextcloud-Konfiguration verknüpft werden.

Nextcloud Talk unterstützt verschlüsselte Kommunikation und bietet E2EE-Funktionen für unterstützte Anrufszenarien.

Was muss geprüft werden?

Bei größeren Konferenzen können zusätzliche Komponenten für die Medienweiterleitung erforderlich sein. Auch TURN-Server und die Backend-Infrastruktur müssen daher in die Datenschutzbewertung einbezogen werden.

Unternehmen sollten außerdem prüfen, welche Informationen in Nextcloud gespeichert werden und welche Aufbewahrungsregeln für Chats und Dateien gelten.

Geeignet für: Organisationen mit bestehender Nextcloud-Infrastruktur.

Wichtigste Grenze: Datenschutz und Leistungsfähigkeit hängen auch von zusätzlichen Serverkomponenten und der Konfiguration ab.

5. OpenTalk: Videokonferenzen mit europäischem Hosting

OpenTalk ist eine Videokonferenzplattform mit Schwerpunkt auf kontrollierbarer Infrastruktur und europäischen Bereitstellungsmodellen.

Die Software kann je nach Angebot als verwalteter Dienst oder innerhalb einer eigenen Umgebung eingesetzt werden.

Welche Eigenschaften sind relevant?

Für Unternehmen kann insbesondere die Möglichkeit interessant sein, Datenverarbeitung und Hosting innerhalb einer definierten europäischen Infrastruktur zu organisieren.

Bei einem verwalteten Dienst übernimmt der Anbieter wesentliche technische Aufgaben. Dadurch entstehen jedoch vertragliche Anforderungen an die Zusammenarbeit zwischen Verantwortlichem und Dienstleister.

Was muss geprüft werden?

Ein europäischer Anbietername garantiert nicht, dass sämtliche Datenflüsse ausschließlich innerhalb des EWR stattfinden.

Deshalb sind die tatsächlich eingesetzten Rechenzentren, Unterauftragnehmer und technischen Zusatzdienste zu untersuchen.

Auch die Verschlüsselungsarchitektur sollte für die konkrete Version und das gewählte Hosting-Modell dokumentiert werden.

Geeignet für: Organisationen, die europäische Hosting-Optionen und kontrollierbare Bereitstellung bevorzugen.

Wichtigste Grenze: Die tatsächlichen vertraglichen und technischen Bedingungen des gewählten Angebots sind entscheidend.

6. Microsoft Teams: DSGVO-Einsatz mit zentraler Unternehmensverwaltung

Microsoft Teams ist eine cloudbasierte Kommunikationsplattform innerhalb von Microsoft 365.

Sie bietet umfangreiche Funktionen für Besprechungen, Teilnehmerverwaltung, Identitätskontrolle und Sicherheitsrichtlinien.

Welche Eigenschaften sind relevant?

Unternehmen können unter anderem festlegen, wer an Meetings teilnehmen, den Warteraum umgehen oder Bildschirmfreigaben starten darf.

Für bestimmte vertrauliche Besprechungen unterstützt Teams zusätzliche Ende-zu-Ende-Verschlüsselung. Für die Organisation solcher Meetings wird eine geeignete Teams-Premium-Lizenz benötigt.

Dabei entstehen funktionale Einschränkungen: Beispielsweise stehen bei E2EE-Meetings die gewöhnliche Aufzeichnung, Transkription und verschiedene serverseitige Funktionen nicht zur Verfügung.

Was muss geprüft werden?

Wichtige Fragen betreffen die vertraglichen Bedingungen, Datenregionen, Unterauftragnehmer, Aufzeichnungen und mögliche Drittlandübermittlungen.

Auch die Aktivierung zusätzlicher KI-Funktionen kann neue Verarbeitungsvorgänge schaffen.

Geeignet für: Unternehmen mit vorhandener Microsoft-365-Infrastruktur und zentraler IT-Administration.

Wichtigste Grenze: Die DSGVO-Bewertung muss mehrere Dienste, Einstellungen und möglicherweise unterschiedliche Lizenzmodelle berücksichtigen.

7. Zoom: DSGVO-konforme Nutzung einer Cloud-Videokonferenzplattform

Zoom ist ein verwalteter Videokonferenzdienst für Meetings, Schulungen und Veranstaltungen.

Die Plattform stellt verschiedene Sicherheits- und Verwaltungsfunktionen zur Verfügung, die den Schutz personenbezogener Daten unterstützen können.

Welche Eigenschaften sind relevant?

Dazu gehören Warteräume, Meeting-Kenncodes, Authentifizierungsregeln und administrative Berechtigungen.

Zoom unterstützt außerdem optionale Ende-zu-Ende-Verschlüsselung für geeignete Meeting-Konfigurationen.

Was muss geprüft werden?

Bei Cloud-Diensten ist entscheidend, welche Daten durch den Anbieter verarbeitet werden und wie die entsprechenden Vertragsbedingungen ausgestaltet sind.

Unternehmen sollten insbesondere die Speicherung von Aufzeichnungen, technische Protokolle, eingesetzte Datenregionen und zusätzliche KI-Funktionen überprüfen.

Wenn E2EE aktiviert wird, können außerdem bestimmte Meeting-Funktionen eingeschränkt sein.

Geeignet für: Unternehmen, die häufig externe Teilnehmer zu Videokonferenzen einladen.

Wichtigste Grenze: Die rechtmäßige Nutzung hängt von der gewählten Vertrags- und Konfigurationsebene sowie der tatsächlichen Datenverarbeitung ab.

Wie prüft man eine Videokonferenz auf DSGVO-Konformität?

Eine belastbare Prüfung sollte nicht mit der Frage beginnen, ob der Anbieter sich selbst als DSGVO-konform bezeichnet.

Stattdessen müssen die tatsächlichen Verarbeitungsvorgänge untersucht werden.

Schritt 1: Rechtsgrundlage bestimmen

Für jede relevante Verarbeitung personenbezogener Daten muss eine geeignete Rechtsgrundlage bestehen.

Bei geschäftlichen Videokonferenzen kann sich diese je nach Situation beispielsweise aus einer vertraglichen Notwendigkeit oder einer anderen einschlägigen Rechtsgrundlage ergeben.

Eine Einwilligung ist nicht für jede Videokonferenz zwingend erforderlich.

Gerade im Beschäftigungsverhältnis ist jedoch sorgfältig zu prüfen, ob eine Einwilligung tatsächlich freiwillig wäre.

Für die Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsinformationen, müssen gegebenenfalls zusätzlich die Voraussetzungen nach Art. 9 DSGVO erfüllt sein.

Schritt 2: Rollen und AVV klären

Unternehmen müssen unterscheiden, wer über die Zwecke und Mittel der Verarbeitung entscheidet und welche Dienstleister personenbezogene Daten im Auftrag verarbeiten.

Bei entsprechender Auftragsverarbeitung ist grundsätzlich ein Vertrag nach Art. 28 DSGVO erforderlich.

Dieser sollte unter anderem die Verarbeitungszwecke, eingesetzten Unterauftragnehmer, Sicherheitsmaßnahmen und Regelungen zur Löschung personenbezogener Daten abdecken.

Ein AVV allein macht die Nutzung jedoch nicht automatisch rechtmäßig.

Schritt 3: Datenflüsse untersuchen

Eine Videokonferenz kann verschiedene Datenströme erzeugen:

• Audio, Video und Bildschirmfreigaben.
• Benutzerkonten und Anmeldedaten.
• IP-Adressen und Geräteinformationen.
• Teilnehmerlisten und Verbindungsprotokolle.
• Chat-Nachrichten und Dateien.
• Aufzeichnungen und Transkripte.
• Daten aus optionalen KI- und Analysediensten.

Für jede Kategorie sollte geklärt werden, wo sie verarbeitet und gespeichert wird.

Eine besondere Rolle spielen Dienste außerhalb des EWR. Solche Datenübermittlungen müssen anhand der einschlägigen Vorgaben aus Kapitel V der DSGVO bewertet werden.

Schritt 4: Verschlüsselung richtig bewerten

Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung sind unterschiedliche Konzepte.

Transportverschlüsselung schützt Informationen während ihrer Übertragung zwischen beteiligten Systemen.

Bei einer echten Ende-zu-Ende-Verschlüsselung können nur die vorgesehenen Endpunkte den geschützten Inhalt entschlüsseln.

Für Videokonferenzen muss deshalb untersucht werden, welche Komponenten Medien verarbeiten und ob besondere Funktionen wie Aufzeichnungen oder Transkriptionen serverseitigen Zugriff erfordern.

E2EE ist nicht für jeden Anwendungsfall zwingend vorgeschrieben. Welche Schutzmaßnahmen notwendig sind, ergibt sich aus der konkreten Risikobewertung.

Schritt 5: Datenschutzfreundliche Einstellungen aktivieren

Viele Datenschutzprobleme entstehen nicht durch die grundlegende Architektur, sondern durch ungeeignete Voreinstellungen.

Beispielsweise können offene Meeting-Links, unnötige Aufzeichnungen oder übermäßig lange Speicherfristen vermeidbare Risiken verursachen.

Vor der allgemeinen Einführung sollten deshalb die wichtigsten administrativen Einstellungen geprüft werden.

DSGVO-Checkliste für Videokonferenzen

Die folgende Tabelle kann als Grundlage für eine interne Datenschutzprüfung verwendet werden.

Prüffrage	Erwarteter Nachweis
Sind Zweck und Rechtsgrundlage festgelegt?	Dokumentation der Verarbeitung
Sind die Verantwortlichkeiten geklärt?	Rollenbeschreibung und gegebenenfalls AVV
Sind die Datenkategorien bekannt?	Übersicht zu Inhalten und Metadaten
Sind Hosting und Unterauftragnehmer dokumentiert?	Datenflussübersicht
Wurden Drittlandübermittlungen bewertet?	Rechtliche und technische Prüfung
Sind geeignete Verschlüsselungsverfahren aktiviert?	Sicherheitskonfiguration
Sind externe Gäste kontrollierbar?	Zugriffs- und Einladungsregeln
Sind Aufzeichnungen standardmäßig deaktiviert, soweit nicht benötigt?	Konfiguration und interne Richtlinie
Sind Speicher- und Löschfristen definiert?	Aufbewahrungskonzept
Können Teilnehmer ihre Rechte wahrnehmen?	Datenschutzinformationen und Prozesse
Sind die Beschäftigten informiert?	Datenschutzhinweise und Schulungsunterlagen
Ist die Verarbeitung dokumentiert?	Verzeichnis von Verarbeitungstätigkeiten
Wurde die Notwendigkeit einer DSFA geprüft?	Dokumentierte Risikoentscheidung

Eine Checkliste ersetzt keine rechtliche Einzelfallprüfung. Sie hilft jedoch, offene Fragen sichtbar zu machen und die Entscheidung für eine Plattform nachvollziehbar zu dokumentieren.

Welche Einstellungen sind für DSGVO-konforme Videokonferenzen besonders wichtig?

Bei der praktischen Konfiguration sollten Unternehmen vor allem Funktionen überprüfen, die personenbezogene Daten unnötig offenlegen oder länger als erforderlich speichern könnten.

Einstellung	Datenschutzorientierte Vorgehensweise
Meeting-Zugang	Kenncodes, Warteraum oder geeignete Authentifizierung
Teilnehmernamen	Nur die für den Zweck erforderlichen Angaben verwenden
Kamera	Aktivierung nach Erforderlichkeit; Privatsphäre im Homeoffice berücksichtigen
Bildschirmfreigabe	Auf berechtigte Teilnehmer beschränken
Aufzeichnungen	Deaktiviert lassen, sofern keine ausreichende Notwendigkeit besteht
Chat und Dateiübertragung	Berechtigungen und Speicherung prüfen
Transkription und KI	Zusätzliche Verarbeitung vor Aktivierung bewerten
Externe Gäste	Einladung und Zugriffsrechte kontrollieren
Protokollierung	Datenumfang und Aufbewahrungsdauer begrenzen
Administrative Konten	Rollen und Zugriffsrechte nach Bedarf vergeben

Besonders bei Aufzeichnungen reicht es nicht, Teilnehmer lediglich über die Aufnahme zu informieren. Es muss auch eine geeignete Rechtsgrundlage für diese zusätzliche Verarbeitung bestehen.

DSGVO-konforme Videokonferenzen in Unternehmen, Schulen und Behörden

Obwohl die allgemeinen Datenschutzgrundsätze vergleichbar sind, unterscheiden sich die praktischen Anforderungen nach Einsatzbereich.

Unternehmen und Homeoffice

Unternehmen müssen insbesondere den Schutz von Beschäftigtendaten berücksichtigen.

Bei Videokonferenzen aus dem Homeoffice können private Wohnbereiche oder Gespräche im Hintergrund unbeabsichtigt sichtbar beziehungsweise hörbar werden.

Deshalb sollten Beschäftigte geeignete Möglichkeiten erhalten, Kamera und Mikrofon selbst zu steuern und gegebenenfalls virtuelle Hintergründe zu verwenden.

Eine pauschale Verpflichtung zur Kameraaktivierung ist nicht automatisch für jede Besprechung erforderlich oder gerechtfertigt.

Schulen und Hochschulen

In Bildungseinrichtungen werden häufig Daten von Minderjährigen verarbeitet.

Besondere Aufmerksamkeit verdienen die Anmeldung zu Unterrichtsräumen, der Zugriff externer Teilnehmer und die Speicherung von Unterrichtsaufzeichnungen.

Bei der Nutzung von BigBlueButton, Nextcloud Talk oder anderen Plattformen muss geklärt werden, welche Daten für den Unterricht notwendig sind und ob zusätzliche Funktionen deaktiviert werden sollten.

Behörden und öffentliche Einrichtungen

Öffentliche Stellen können besondere Anforderungen an ihre IT-Infrastruktur, Auftragsverarbeitung und Dokumentation haben.

Neben den allgemeinen Vorgaben der DSGVO können weitere gesetzliche und organisatorische Regelungen relevant sein.

Selbst gehostete Plattformen wie TrueConf Server, Jitsi Meet oder andere geeignete Lösungen können eine Möglichkeit bieten, technische Systeme innerhalb einer kontrollierten Infrastruktur zu betreiben.

Der eigene Server ersetzt jedoch nicht die Prüfung der rechtlichen Zulässigkeit.

Vier typische Fehler bei der DSGVO-Prüfung von Videokonferenzen

1. Der Anbieter nennt sich DSGVO-konform

Marketingaussagen sind kein Ersatz für eine dokumentierte Verarbeitung.

Ein Anbieter kann geeignete Sicherheitsfunktionen bereitstellen, während ein Unternehmen diese falsch konfiguriert oder personenbezogene Daten ohne ausreichende Rechtsgrundlage verarbeitet.

2. Alle Daten bleiben angeblich in Deutschland

Bei der Bewertung müssen nicht nur die Server für Videoinhalte berücksichtigt werden.

Auch Authentifizierung, technische Protokolle, Analysedienste und Supportzugriffe können relevant sein.

3. Die Plattform verwendet Verschlüsselung

Verschlüsselung schützt Daten vor bestimmten Zugriffen, beantwortet aber nicht die Fragen nach Rechtmäßigkeit, Aufbewahrung und Betroffenenrechten.

Außerdem ist zu unterscheiden, ob nur der Übertragungsweg oder der Inhalt bis zu den Endgeräten geschützt wird.

4. Teilnehmer werden über Aufzeichnungen informiert

Transparenz ist erforderlich, ersetzt aber keine Rechtsgrundlage.

Eine vollständige Aufzeichnung kann wesentlich mehr personenbezogene Informationen enthalten als für das ursprüngliche Meeting erforderlich waren.

Deshalb müssen Aufzeichnungen besonders sorgfältig geprüft und gegebenenfalls begrenzt werden.

Selbsthosting oder Cloud: Welches Modell ist DSGVO-konformer?

Weder Self-Hosting noch Cloud-Betrieb garantiert automatisch ein höheres rechtliches Schutzniveau.

Die beiden Modelle verteilen jedoch technische Aufgaben und Verantwortlichkeiten unterschiedlich.

Kriterium	Eigener Server	Cloud-Dienst
Infrastrukturkontrolle	Direkte Administration	Anbieterabhängig
Serverstandort	Selbst bestimmbar	Vertraglich und technisch zu prüfen
Updates und Wartung	Eigene Verantwortung	Überwiegend Anbieter
Datenaufbewahrung	Lokal konfigurierbar	Abhängig von Funktionen und Vertrag
Auftragsverarbeitung	Abhängig von beteiligten Dienstleistern	Häufig relevant
Externe Datenflüsse	Durch Architektur beeinflussbar	Anbieter- und funktionsabhängig
Technischer Aufwand	Höher	Meist geringer

Für eine Organisation mit erfahrenem IT-Team kann eine selbst gehostete Plattform sinnvoll sein, weil Server, Speicher und Netzwerke direkt verwaltet werden.

Ein kleines Unternehmen ohne eigene Administration kann dagegen mit einem sorgfältig ausgewählten Cloud-Dienst und passenden vertraglichen Regelungen besser aufgestellt sein.

FAQ

Welche Videokonferenzsoftware ist DSGVO-konform?

Es gibt keine Videokonferenzsoftware, die unabhängig von der Konfiguration automatisch DSGVO-konform ist. TrueConf Server, Jitsi Meet, BigBlueButton, Nextcloud Talk, OpenTalk, Microsoft Teams und Zoom bieten unterschiedliche Möglichkeiten zur Umsetzung von Datenschutzmaßnahmen. Die Rechtmäßigkeit hängt von der konkreten Verarbeitung, den Einstellungen und den vertraglichen Grundlagen ab.

Braucht man für jede Videokonferenz eine Einwilligung?

Nein. Die Verarbeitung personenbezogener Daten kann je nach Zweck auf unterschiedlichen Rechtsgrundlagen beruhen. Eine Einwilligung ist nicht immer erforderlich und muss, wenn sie verwendet wird, die Voraussetzungen der DSGVO erfüllen. Für Aufzeichnungen oder die Verarbeitung besonders sensibler Daten kann eine gesonderte Prüfung notwendig sein.

Ist Microsoft Teams DSGVO-konform?

Microsoft Teams kann mit verschiedenen Sicherheits- und Datenschutzfunktionen eingesetzt werden. Unternehmen müssen jedoch die relevanten Vertragsbedingungen, Datenflüsse, Drittlandübermittlungen und Einstellungen prüfen. Die Nutzung einer kommerziellen Microsoft-365-Lizenz allein garantiert keine DSGVO-Konformität.

Sind Videokonferenzen auf eigenen Servern automatisch DSGVO-konform?

Nein. Selbst gehostete Lösungen wie TrueConf Server, Jitsi Meet oder Nextcloud Talk ermöglichen eine direktere Kontrolle über die Infrastruktur. Trotzdem müssen Rechtsgrundlage, Benutzerrechte, technische Sicherheit, Datenspeicherung und Löschfristen geregelt werden.

Muss man einen AVV für Videokonferenzen abschließen?

Wenn ein externer Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, ist grundsätzlich ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Bei ausschließlich intern betriebenen Systemen ohne entsprechende externe Auftragsverarbeitung kann die Situation anders sein. Entscheidend sind die tatsächlichen Rollen und Verarbeitungsvorgänge.

Darf eine DSGVO-konforme Videokonferenz aufgezeichnet werden?

Eine Aufzeichnung ist nicht generell verboten, benötigt aber eine geeignete Rechtsgrundlage und muss den Grundsätzen der DSGVO entsprechen. Die Verantwortlichen müssen über die Verarbeitung informieren, Zugriffe beschränken und angemessene Löschfristen festlegen. Ob eine Einwilligung notwendig ist, hängt vom konkreten Fall ab.

Fazit: DSGVO-konforme Videokonferenzen richtig auswählen und betreiben

Eine DSGVO-konforme Videokonferenz hängt nicht allein von der Sicherheit einer Software ab. Entscheidend ist, dass Unternehmen die Verarbeitung personenbezogener Daten verstehen, dokumentieren und mit angemessenen technischen sowie organisatorischen Maßnahmen schützen.

Selbst gehostete Plattformen wie TrueConf Server, Jitsi Meet und Nextcloud Talk können eine direkte Kontrolle über bestimmte Datenflüsse und Infrastrukturen ermöglichen. Verwaltete Dienste wie Microsoft Teams, Zoom oder entsprechende europäische Angebote reduzieren dagegen den eigenen Betriebsaufwand, erfordern aber eine sorgfältige Prüfung der Anbieterbedingungen.

Wer die Rechtsgrundlage festlegt, Datenflüsse überprüft, einen erforderlichen AVV abschließt und datenschutzfreundliche Einstellungen verwendet, schafft die Grundlage für einen verantwortungsvollen Einsatz.