Videokonferenzen und Datenschutz: Was KMU jetzt klären müssen
Das Thema greift aktuell der c't-Datenschutz-Podcast „Auslegungssache" auf, über den heise online berichtet. In der Folge geht es um drei Kernfragen: Wer ist verantwortlich, wer muss einwilligen, und wann wird ein KI-Transkript zum Problem? Wir nehmen diese Fragen zum Anlass, sie aus Sicht eines Unternehmens mit 10 bis 250 Beschäftigten einzuordnen und in konkrete Schritte zu übersetzen. Die Einordnung und die Empfehlungen sind unsere eigene Sicht aus der Praxis, keine Wiedergabe des Podcasts und keine Rechtsberatung.
Warum Videokonferenzen ein Datenschutzthema sind
Auf den ersten Blick wirkt eine Videokonferenz harmlos: Man sieht sich, man spricht, danach klickt man auf „Beenden". Datenschutzrechtlich passiert dabei aber eine ganze Menge. Gesicht und Stimme sind personenbezogene Daten. Name, E-Mail-Adresse und Einwahlzeit der Teilnehmer ebenfalls. Dazu kommen technische Daten wie IP-Adressen, Geräteinformationen und Verbindungsprotokolle. Wird der Bildschirm geteilt, können weitere Daten sichtbar werden: Kundenlisten, Mitarbeiterinformationen, Vertragsentwürfe oder das E-Mail-Postfach im Hintergrund.
Und dann sind da die Inhalte der Gespräche selbst. In einem normalen Arbeitstag besprechen Teams Preise, Reklamationen, Personalfragen, gesundheitliche Ausfälle, Kündigungen oder Bewerbungen. Vieles davon ist vertraulich, manches sogar besonders schutzwürdig. Eine Videokonferenz ist damit kein neutrales Werkzeug, sondern ein Kanal, über den regelmäßig sensible Informationen laufen.
Hinzu kommt ein Wandel, den viele Betriebe unterschätzen: Früher war eine Besprechung flüchtig. Man hat gesprochen, sich Notizen gemacht, und das Gesagte war danach weg. Heute lässt sich ein Meeting mit wenigen Klicks aufzeichnen, automatisch transkribieren, nach Themen gliedern und durchsuchen. Das Flüchtige wird zum dauerhaften Datensatz. Genau dort liegt der Kern der aktuellen Debatte.
Wer ist eigentlich verantwortlich?
Die erste Frage, die der Podcast stellt, ist die nach der Verantwortung. In der Praxis entscheidet sich vieles an einem einfachen Gedanken: Verantwortlich im Sinne der DSGVO ist, wer über Zwecke und Mittel der Datenverarbeitung entscheidet. Wenn Ihr Unternehmen zu einem Termin einlädt, ein Tool auswählt, die Einstellungen festlegt und die Ergebnisse nutzt, dann sind Sie in aller Regel der Verantwortliche für diese Verarbeitung. Das gilt unabhängig davon, ob Sie die Software selbst betreiben oder als Dienst eines Anbieters nutzen.
Das hat eine unbequeme Konsequenz: Sie können die Verantwortung nicht an den Softwarehersteller abgeben. Der Anbieter einer Videokonferenzlösung ist je nach Konstellation Auftragsverarbeiter, in manchen Punkten aber auch selbst Verantwortlicher, etwa wenn er Nutzungsdaten für eigene Zwecke auswertet. Für Sie als Anwender bleibt die Pflicht, das Tool bewusst auszuwählen, vertraglich sauber anzubinden und sinnvoll zu konfigurieren.
Dazu gehört zunächst ein Auftragsverarbeitungsvertrag mit dem Anbieter, wenn dieser in Ihrem Auftrag Daten verarbeitet. Dazu gehört außerdem, dass Sie wissen, wo die Daten liegen, welche Unterauftragnehmer beteiligt sind und ob Daten in Drittländer übermittelt werden. Wer diese Fragen nicht beantworten kann, hat in der Regel nicht entschieden, sondern nur übernommen, was der Anbieter als Voreinstellung mitliefert.
Besonders spannend wird es bei Konstellationen mit mehreren Beteiligten. Lädt ein Kunde Sie in seinen Videoraum ein, ist er der Gastgeber und entscheidet über Aufzeichnung und Tool. Laden Sie umgekehrt externe Gäste ein, tragen Sie die Gastgeberrolle und damit die Verantwortung für das, was in Ihrem Raum passiert. Auch Dienstleister, die für Sie Termine moderieren, etwa eine Agentur, ein Steuerberater oder ein Berater, bewegen sich in einem eigenen Pflichtenkreis. Wer die Rollen vorher klärt, vermeidet spätere Diskussionen darüber, wer eine Aufzeichnung löschen muss.
Einwilligung: Wann sie nötig ist und wann nicht
Die zweite Frage lautet, wer überhaupt einwilligen muss. Hier hält sich hartnäckig ein Missverständnis: dass jede Videokonferenz eine Einwilligung aller Teilnehmer braucht. So pauschal stimmt das nicht. Die DSGVO kennt mehrere Rechtsgrundlagen. Für die reine Durchführung einer Videokonferenz kann je nach Fall die Vertragserfüllung, ein berechtigtes Interesse oder eine arbeitsrechtliche Grundlage tragen. Wer mit einem Kunden einen Termin zu einem laufenden Auftrag führt, braucht für das Gespräch an sich nicht zwingend ein Häkchen „Ich willige ein".
Anders sieht es aus, sobald zusätzliche Verarbeitungen hinzukommen, die für den eigentlichen Zweck nicht erforderlich sind. Eine Aufzeichnung ist das klassische Beispiel. Sie greift tiefer ein als das Gespräch selbst, weil sie Aussagen und Auftreten dauerhaft festhält. Dafür sollte es einen klaren Zweck geben, eine tragfähige Rechtsgrundlage und in vielen Fällen eine freiwillige, informierte Einwilligung. Freiwillig heißt dabei wirklich freiwillig: Wer ablehnt, darf keine Nachteile haben. Gerade im Arbeitsverhältnis ist das heikel, denn Beschäftigte befinden sich in einem Abhängigkeitsverhältnis und können oft nicht unbefangen Nein sagen. Eine Einwilligung der Belegschaft ist deshalb eine schwache Grundlage, wenn es um dauerhafte Aufzeichnungen geht.
Unabhängig von der Rechtsgrundlage gilt die Informationspflicht. Teilnehmer müssen verständlich erfahren, wer ihre Daten verarbeitet, zu welchem Zweck, wie lange gespeichert wird und welche Rechte sie haben. In der Praxis reicht dafür oft ein kurzer Hinweis in der Einladung mit Verweis auf die Datenschutzerklärung, ergänzt um eine Ansage zu Beginn, wenn aufgezeichnet wird. Das kostet fünf Sekunden und schafft Klarheit.
Ein Sonderfall sind Gespräche mit besonders sensiblem Inhalt: Bewerbungsgespräche, Personalgespräche, Gespräche mit Betriebsrat oder Gespräche über gesundheitliche Themen. Hier sind die Anforderungen höher, und eine Aufzeichnung ist in den meisten Fällen schlicht keine gute Idee. Wo ein Betriebsrat existiert, kommt zudem möglicherweise die Mitbestimmung ins Spiel, wenn Software eingeführt wird, die Verhalten oder Leistung überwachen kann. Das sollten Sie vorab mit Ihrer Datenschutz- und Rechtsberatung klären.
KI-Transkripte: Der bequeme Assistent mit Nebenwirkungen
Die dritte Frage des Podcasts ist vermutlich die aktuell wichtigste: Wann wird ein KI-Transkript zum Problem? Die Verlockung ist groß. Ein Assistent, der das Meeting mitschreibt, Aufgaben extrahiert und eine Zusammenfassung verschickt, spart tatsächlich Zeit. Genau deshalb schalten viele Teams solche Funktionen ein, ohne vorher eine Entscheidung getroffen zu haben. Mal aktiviert es der Gastgeber, mal bringt ein externer Teilnehmer sein eigenes Aufnahme-Werkzeug mit, und plötzlich sitzt ein „Bot" im Raum, den niemand eingeladen hat.
Warum ist das ein Risiko? Wir sehen vor allem fünf Punkte, die wir hier aus der Praxis einordnen:
Erstens: Das Transkript ist ein neuer Datensatz. Aus einem flüchtigen Gespräch wird ein durchsuchbarer Text, der Namen, Zahlen und Aussagen enthält. Dieser Text unterliegt denselben Pflichten wie jede andere Sammlung personenbezogener Daten: Zweckbindung, Speicherbegrenzung, Auskunft, Löschung.
Zweitens: Das Ergebnis geht oft an Dritte. Wenn die Transkription über einen Cloud-Dienst oder ein KI-Modell läuft, verlassen die Inhalte Ihre Umgebung. Dann ist entscheidend, wer diese Daten verarbeitet, ob er sie zum Training eigener Modelle nutzen darf und in welchem Land sie liegen. Ohne belastbare vertragliche Antworten darauf haben Sie ein Vertraulichkeitsproblem, das weit über den Datenschutz hinausgeht.
Drittens: Die Zusammenfassung kann falsch sein. KI-Systeme verstehen Dialekte, Fachbegriffe und Ironie nicht zuverlässig. Eine Zusammenfassung, in der ein Teilnehmer etwas sagt, was er so nie gemeint hat, kann in einem Streitfall Gewicht bekommen, vor allem wenn sie wie ein offizielles Protokoll aussieht. Daten über Personen müssen aber sachlich richtig sein, und Betroffene haben Anspruch auf Berichtigung.
Viertens: Es entstehen Profile. Wenn ein Werkzeug nicht nur transkribiert, sondern auch Sprechanteile, Stimmung oder Beteiligung auswertet, nähern wir uns einer Leistungs- und Verhaltenskontrolle. Das ist im Beschäftigungskontext besonders sensibel und braucht deutlich mehr als ein „Das ist halt eine Funktion".
Fünftens: Betroffene wissen nichts davon. Der kritischste Fall ist die heimliche oder beiläufige Aufnahme. Wenn ein externer Gast ohne Ihr Wissen eine KI mitlaufen lässt, verarbeitet er Ihre Äußerungen und die Ihrer Mitarbeiter. Darauf sollten Sie vorbereitet sein, mit klaren Regeln für den eigenen Raum.
Die Konsequenz heißt nicht, KI-Transkripte zu verbieten. Sie heißt: bewusst entscheiden, wofür, mit welchem Anbieter, mit welchen Einstellungen und für welche Art von Meetings. Ein Transkript für ein internes Projekt-Jour-fixe kann sinnvoll und vertretbar sein. Für ein Kündigungsgespräch oder eine Mandantenbesprechung mit Berufsgeheimnis ist dasselbe Werkzeug in der Regel ungeeignet.
Aufzeichnungen und Speicherung: Was mit den Daten danach passiert
Neben der Frage „Aufnehmen oder nicht" ist die Frage „Und danach?" mindestens genauso wichtig. Viele Aufzeichnungen und Transkripte landen automatisch in der Cloud des Anbieters oder in einem Teams-, Drive- oder Ordnerbereich, auf den größere Gruppen Zugriff haben, als ursprünglich gedacht. Dort bleiben sie liegen, oft auf unbestimmte Zeit.
Das widerspricht dem Grundsatz der Speicherbegrenzung. Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist. Ein Meeting-Mitschnitt, der sein Ziel erfüllt hat, weil das Protokoll geschrieben und die Aufgaben verteilt sind, sollte nach kurzer Frist gelöscht werden. Die Faustregel: Legen Sie fest, wie lange Aufzeichnungen und Transkripte aufbewahrt werden, und lassen Sie das technisch automatisch durchsetzen, statt auf manuelles Aufräumen zu hoffen.
Ebenfalls wichtig: Wer darf Aufzeichnungen sehen und herunterladen? Standardmäßig sind das oft alle Teilnehmer, manchmal sogar jeder, der den Link hat. Beschränken Sie den Zugriff auf diejenigen, die ihn wirklich brauchen. Und denken Sie an Auskunftsersuchen: Wenn jemand wissen will, welche Daten Sie über ihn haben, gehören Aufzeichnungen und Transkripte dazu. Je unübersichtlicher die Ablage, desto aufwendiger wird die Antwort.
Die Konferenz selbst absichern
Datenschutz und Sicherheit hängen eng zusammen. Eine rechtlich saubere Konstruktion hilft wenig, wenn Fremde ungehindert in Ihre Besprechung eintreten können. Typische Schwachstellen sind öffentlich geteilte Einladungslinks ohne Passwort, fehlende Warteräume, ungeprüfte Gäste und veraltete Software auf den Endgeräten.
Aus der Praxis empfehlen wir einige Grundregeln: Warteraum aktivieren, damit der Gastgeber Teilnehmer bewusst zulässt. Einmalige Einladungslinks statt dauerhafter Dauerräume für sensible Termine. Bildschirmfreigabe nur für den Moderator als Standard. Aktualisierungen der Konferenzsoftware zeitnah einspielen. Und Mitarbeiter dafür sensibilisieren, dass beim Teilen des Bildschirms nur das Fenster und nicht der ganze Desktop geteilt wird, damit keine Benachrichtigungen oder offene Dokumente mitlaufen.
Wer das Thema als Teil seiner gesamten Sicherheitsarchitektur betrachtet, ist besser aufgestellt. Wenn Sie wissen wollen, wie sich Konferenztools, Endgeräte, Zugänge und Backups sinnvoll in ein Gesamtkonzept einfügen, finden Sie bei unserer Leistung IT-Sicherheit einen Überblick, wie wir Betriebe dabei unterstützen. Für Unternehmen, die von den verschärften Anforderungen der NIS2-Regulierung betroffen sein könnten, ist außerdem unsere Seite zu NIS2 & IT-Sicherheit hilfreich, denn auch die Absicherung der Kommunikationswege spielt dort eine Rolle.
Typische Fehler, die wir in Betrieben sehen
Aus der Beratungspraxis kennen wir einige Muster, die sich fast überall wiederholen.
Der erste Klassiker ist die Schatten-IT. Einzelne Abteilungen nutzen ein Konferenztool oder einen KI-Notizdienst, den die Geschäftsführung nie freigegeben hat, weil er gerade praktisch ist. Der Vertrieb testet einen Transkriptions-Bot, die Geschäftsleitung hat es nie erfahren, und ein Auftragsverarbeitungsvertrag existiert nicht. Solange niemand nachfragt, fällt es nicht auf. Im Ernstfall, etwa bei einer Beschwerde oder einem Datenvorfall, wird daraus ein ernstes Problem.
Der zweite Fehler ist die kostenlose Version für geschäftliche Zwecke. Kostenlose Pakete haben oft andere Datenschutzbedingungen als zahlende Business-Tarife, etwa bei der Nutzung von Daten für Produktverbesserungen. Wer professionell arbeitet, sollte auch den professionellen Tarif mit passenden Vertragsbedingungen verwenden.
Der dritte Fehler: Die Datenschutzerklärung und das Verzeichnis der Verarbeitungstätigkeiten wurden vor Jahren geschrieben, als Videokonferenzen noch ein Randthema waren, und seither nie angepasst. Neue Tools, neue Funktionen und neue Datenflüsse tauchen dort nicht auf.
Der vierte Fehler ist das Fehlen einer Regel für Gäste. Was passiert, wenn ein Kunde sagt: „Ich lasse unser KI-Tool mitlaufen, das ist bei uns Standard"? Ohne vorbereitete Haltung entscheidet dann spontan derjenige, der gerade im Meeting sitzt, oft aus Höflichkeit zugunsten der Aufnahme.
Was das für den Mittelstand bedeutet
Die gute Nachricht: Mit überschaubarem Aufwand lässt sich die Lage in den Griff bekommen. Die folgende Liste ist so aufgebaut, dass ein Betrieb sie in wenigen Wochen abarbeiten kann.
1. Bestandsaufnahme: Welche Tools werden tatsächlich genutzt? Fragen Sie in allen Abteilungen ab, welche Konferenz-, Chat- und Notizwerkzeuge im Einsatz sind, inklusive privater Konten, die beruflich verwendet werden. Erst wenn Sie das Gesamtbild kennen, können Sie sinnvoll steuern.
2. Ein Standardwerkzeug festlegen. Entscheiden Sie sich für ein oder zwei freigegebene Lösungen und lassen Sie die übrigen auslaufen. Prüfen Sie dabei Vertragsbedingungen, Speicherort, Unterauftragnehmer und die Möglichkeit, Funktionen wie Aufzeichnung oder KI-Assistenz zentral zu sperren.
3. Auftragsverarbeitungsvertrag abschließen und dokumentieren. Für jedes freigegebene Tool sollte ein Vertrag vorliegen und im Verzeichnis der Verarbeitungstätigkeiten eingetragen sein. Das ist eine Formalie, aber eine, die im Prüfungsfall zählt.
4. Voreinstellungen datensparsam setzen. Aufzeichnung standardmäßig aus, automatische Transkription standardmäßig aus, Warteraum an, Chat-Verläufe mit kurzer Aufbewahrung, Gäste nicht automatisch als Moderatoren. Der Aufwand liegt einmalig in der Konfiguration, die Wirkung hält dauerhaft.
5. Eine kurze Meeting-Richtlinie schreiben. Eine Seite genügt. Sie sollte klären: Wann darf aufgezeichnet werden, wer entscheidet darüber, wie wird vorab informiert, wann sind KI-Funktionen erlaubt und wann nicht, wie lange werden Ergebnisse gespeichert. Ergänzen Sie ausdrücklich, dass bei Personal-, Bewerbungs- und Rechtsthemen nicht aufgezeichnet wird.
6. Einen Standardsatz für Einladungen und den Meetingstart formulieren. Zum Beispiel ein Hinweis in der Einladung, dass das Gespräch nicht aufgezeichnet wird, und eine kurze Ansage, wenn doch aufgezeichnet werden soll. Damit sind Transparenz und Informationspflicht im Alltag handhabbar.
7. Regel für fremde Bots und Aufnahmen. Legen Sie fest, wie Sie reagieren, wenn externe Teilnehmer ein KI-Werkzeug mitbringen. Viele Plattformen erlauben es, solche Bots im Warteraum abzufangen. Eine höfliche, vorbereitete Formulierung erleichtert es Ihren Mitarbeitern, im Zweifel Nein zu sagen.
8. Löschfristen technisch durchsetzen. Definieren Sie, wie lange Aufzeichnungen und Transkripte bleiben dürfen, und aktivieren Sie die automatische Löschung, wo das Tool sie anbietet. Ein Ordner voller Altaufnahmen ist ein Risiko, das mit der Zeit nur größer wird.
9. Mitarbeiter schulen, kurz und konkret. Ein halbstündiges Update reicht oft: Was ist erlaubt, was nicht, woran erkenne ich eine laufende Aufnahme, an wen wende ich mich bei Unsicherheit. Praktische Beispiele wirken besser als Vorschriftenlisten.
10. Datenschutzbeauftragten oder externe Beratung einbinden. Besonders bei KI-Funktionen, die Inhalte automatisiert auswerten, lohnt sich eine Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist. Das hängt vom Einzelfall ab und sollte nicht nach Bauchgefühl entschieden werden.
11. Technische Basis prüfen. Sind Endgeräte aktuell, Zugänge mit Mehrfaktor-Authentifizierung gesichert, und gibt es jemanden, der sich im Störungsfall kümmert? Wenn in Ihrem Betrieb diese Rolle nicht eindeutig besetzt ist, kann ein regionaler Partner helfen. In der Region Friesland und Umgebung unterstützen wir Betriebe dabei mit unserem IT-Service Friesland, von der Beratung bis zum laufenden Betrieb.
12. Regelmäßig überprüfen. Funktionen ändern sich bei Konferenzanbietern häufig. Was heute ausgeschaltet ist, kann nach einem Update als neue Standardfunktion auftauchen. Planen Sie deshalb zweimal im Jahr einen kurzen Check der Einstellungen ein.
Wer nur drei Dinge sofort tun möchte, dem empfehlen wir: erstens die Aufzeichnungs- und KI-Funktionen zentral auf „aus" stellen und gezielt freischalten, zweitens eine einseitige Meeting-Regel einführen, drittens prüfen, ob für alle genutzten Tools ein Auftragsverarbeitungsvertrag vorliegt. Das senkt das Risiko bereits spürbar.
Chancen nicht vergessen
Bei aller Vorsicht: Videokonferenzen und KI-Assistenz sind kein Übel, sondern ein echter Produktivitätsgewinn. Reisezeiten entfallen, Teams arbeiten standortübergreifend, und gut geführte Protokolle sparen Nachfragen. Der Punkt ist, diesen Nutzen mit klarem Kopf zu heben. Betriebe, die ihre Regeln früh festlegen, können KI-Funktionen sogar gezielter und mit besserem Gewissen einsetzen als jene, die erst nach einem Vorfall reagieren.
Hinzu kommt ein Vertrauensaspekt. Kunden und Bewerber achten zunehmend darauf, wie ein Unternehmen mit ihren Daten umgeht. Ein kurzer, ehrlicher Hinweis zu Beginn eines Gesprächs, ob und wie dokumentiert wird, wirkt professionell und schafft Vertrauen. Datenschutz wird so zum Qualitätsmerkmal statt zur Pflichtübung.
Häufige Fragen
Brauche ich für jede Videokonferenz die Einwilligung aller Teilnehmer?
Nein, nicht pauschal. Für die Durchführung eines Gesprächs kann je nach Fall eine andere Rechtsgrundlage tragen, etwa Vertragserfüllung oder berechtigtes Interesse. Kritischer wird es bei zusätzlichen Verarbeitungen wie Aufzeichnung oder automatischer Transkription. Dafür sollten Sie Zweck und Rechtsgrundlage klar festlegen und die Teilnehmer vorher informieren.
Wer haftet, wenn das Konferenztool Daten falsch verarbeitet?
Verantwortlich gegenüber Betroffenen und Aufsichtsbehörden sind in der Regel Sie als Unternehmen, das das Tool einsetzt. Der Anbieter ist häufig Auftragsverarbeiter, trägt aber eigene Pflichten. Gerade deshalb sind ein sauberer Vertrag, eine bewusste Auswahl und eine datensparsame Konfiguration so wichtig.
Darf ich ein KI-Transkript für interne Meetings nutzen?
Das kann sinnvoll und zulässig sein, wenn Anbieter, Vertrag, Speicherort und Einstellungen geprüft sind und die Beteiligten informiert werden. Für sensible Themen wie Personal- oder Bewerbungsgespräche raten wir davon ab. Bei Unsicherheit sollten Sie Ihren Datenschutzbeauftragten oder eine rechtliche Beratung einbeziehen.
Was mache ich, wenn ein externer Teilnehmer einen KI-Bot mitlaufen lässt?
Legen Sie vorab eine Haltung fest. Plattformen erlauben es meist, unbekannte Teilnehmer im Warteraum zu halten und nicht zuzulassen. Sie dürfen höflich darum bitten, die Aufnahme zu beenden, oder das Gespräch ohne Bot führen. Wichtig ist, dass Ihre Mitarbeiter wissen, dass sie das dürfen.
Wie lange dürfen Aufzeichnungen und Transkripte gespeichert werden?
So lange, wie der festgelegte Zweck es erfordert, und nicht länger. Eine feste Frist gibt es nicht pauschal, sie hängt vom Einzelfall ab. In vielen Fällen genügen wenige Wochen, bis das Protokoll erstellt ist. Legen Sie die Frist intern fest und lassen Sie die Löschung möglichst automatisch erfolgen.
Reicht ein Hinweis in der Datenschutzerklärung aus?
Die Datenschutzerklärung ist wichtig, aber im Alltag oft zu weit weg. Ein kurzer Hinweis in der Einladung und eine Ansage zu Beginn, wenn aufgezeichnet wird, machen die Information tatsächlich wirksam. Beides zusammen ist die praktikabelste Lösung.