Drei Betriebsmodelle
Die Orientierungshilfe nennt drei Möglichkeiten, ein Videokonferenzsystem zu betreiben.
| Modell | Folge |
|---|---|
| Selbst betriebener Dienst | Kein Vertrag zur Auftragsverarbeitung nötig. Der Betrieb kann kleinere Verantwortliche personell und technisch fordern. |
| Externer IT-Dienstleister | Bleibt die Verarbeitung auf den Auftrag beschränkt, liegt Auftragsverarbeitung vor. Ein Vertrag nach Art. 28 Abs. 3 DS-GVO ist abzuschließen. |
| Online-Dienst | Der Verantwortliche nutzt einen Dienst als Software as a Service. |
Bei der Auswahl eines Auftragsverarbeiters ist darauf zu achten, dass er hinreichende Garantien für die technischen und organisatorischen Maßnahmen bietet.
Gesundheitsdaten in der Besprechung
Werden in der Videokonferenz Gesundheitsdaten thematisiert, muss diese Verarbeitung auch nach Art. 9 Abs. 2 DS-GVO zulässig sein. Der Verantwortliche prüft außerdem, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO durchzuführen ist. Das kann insbesondere dann der Fall sein, wenn solche Daten in der Videokonferenz umfangreich verarbeitet werden.
Aufzeichnung und Speicherung
Die Verarbeitung ist grundsätzlich auf den Zweck der Videokonferenz zu beschränken. Für Aufzeichnungen ist die Rechtsgrundlage gesondert zu prüfen. Eine über die Konferenz hinausgehende Speicherung von Audio- und Videodaten ist laut Orientierungshilfe regelmäßig weder erforderlich noch mit dem Erhebungszweck vereinbar. Eine vorhandene Aufzeichnungsfunktion muss deshalb in der Voreinstellung deaktiviert sein.
Wer in den Raum kommt
Nur berechtigte Personen sollen auf eine Videokonferenz zugreifen können. Die nötige Stärke der Anmeldung hängt von den Risiken für die betroffenen Personen ab. Bei normalen Risiken genügen Nutzername und geeignetes Passwort.
Gäste können über einen Einladungslink teilnehmen. Die Empfänger sind auf die Folgen einer nicht autorisierten Weitergabe hinzuweisen, und die Übergabe des Links muss die Vertraulichkeit angemessen wahren.
Was das für MeduMeet bedeutet
MeduMeet ist ein Dienst, den wir betreiben. Daten Ihrer Mitarbeitenden und Gäste verarbeiten wir als Auftragsverarbeiter, den Vertrag dazu finden Sie unter Vertrag zur Auftragsverarbeitung auf dieser Website. Aufzeichnung und Streaming sind abgeschaltet. Gäste betreten den Raum über einen persönlichen Link, die Einladung bittet darum, ihn nicht weiterzugeben.
MeduMeet ist nicht Ende-zu-Ende-verschlüsselt: Die Verbindungen sind verschlüsselt, Ton und Bild laufen über unseren Server. Ob das für Ihre Besprechungen ausreicht, prüfen Sie als Verantwortliche. Dieser Text ersetzt keine Rechtsberatung.