Leitfaden Videokonferenzsoftware Zoom - Einsatz an der Universität

An der Universität Heidelberg kann ein großer Bedarf an digitale Veranstaltungen in Lehre, Forschung und Verwaltung mit den von der Universität zur Verfügung gestellten Videokonferenzsystemen gedeckt werden. Ergänzend dazu und als mögliche Ausweichlösungen bietet die Universität Dienste anderer Hersteller an, die nicht hausintern gehostet werden.

Die Universität Heidelberg ermöglicht zur Erweiterung des Portfolios von Videokonferenzsystemen auch die Nutzung der Videokonferenzlösung Zoom X der Firma Zoom Video Communications, Inc in Zusammenarbeit mit der Deutschen Telekom.

Der Einsatz von Zoom ist für Situationen vorgesehen, in welchen Präsenzveranstaltungen nicht durchführt werden können und nicht auf die universitätseigenen Videokonferenzsysteme zurückgegriffen werden kann. Bedienstete und Studierende sind ausdrücklich nicht zur Nutzung von Zoom X verpflichtet.

Die Software Zoom ist eine cloudbasierte Softwarelösung für die Zusammenarbeit bei Audio- und Videokonferenzen sowie für das Teilen von Inhalten. Aus Nutzer-Sicht ist Zoom einfach zu verwenden, bietet eine Vielzahl von Moderationswerkzeugen und eignet sich auch für große Veranstaltungen. Zoom zeichnet sich durch eine gute Skalierung trotz gestiegener Nutzerzahlen aus. Bei der Zoom Video Communications, Inc. handelt es sich um ein US-amerikanisches Unternehmen mit Hauptsitz in San Jose, Kalifornien. „Zoom“ bietet eine zuverlässige Cloud-Plattform insbesondere für Video- und Audiokonferenzen auf Mobilgeräten, Desktops, Telefonen an.

Auch wenn grundsätzlich davon auszugehen ist, dass Zoom datenschutzrechtlich konform eingesetzt werden wird, handelt es sich um den cloudbasierten Dienst eines externen US-amerikanischen Vertragspartners. Insofern ist die Universität auf die Compliance von Zoom angewiesen. Gemäß den Aussagen des Anbieters werden Meeting-Inhalte nicht gespeichert oder in irgendeiner Form überwacht. Wenn der Zoom-Client eingesetzt wird und das Meeting nicht aufgezeichnet wird, werden nach Angaben des Anbieters alle Inhalte verschlüsselt übertragen und nicht mitgeschnitten. Anders als bei selbst gehosteten Lösungen, hat die Universität bei der Nutzung von Zoom allerdings keinen unmittelbaren Zugriff auf die Daten und deren Verarbeitung. Daher sollte vorrangig auf die universitätseigenen Videokonferenz-Lösungen zurückgegriffen werden.
Im Rahmen von Zoom Online-Meetings dürfen keine sensiblen, vertraulichen oder geheimen Inhalte oder Daten besprochen bzw. verarbeitet werden. Es ist daher darauf zu achten, dass bei der Nutzung von Zoom keine besonders schutzbedürftigen personenbezogenen Daten und Inhalte verarbeitet oder nur in anonymisierter Form verarbeitet werden. Nachfolgend werden Beispiele für die erlaubte Nutzung von Zoom an der Universität Heidelberg angeführt. Bitte beachten Sie, dass jede Kommunikation sensible Daten enthalten kann.

Der Dienst Zoom X wird von der Deutsche Telekom GmbH in Zusammenarbeit mit Zoom Video Communications Inc. bereitstellt und bietet die gleiche Nutzeroberfläche und Anwendung wie Zoom, wird aber auf Servern in Deutschland gehostet.

Zu besonders sensiblen bzw. vertraulichen Daten zählen insbesondere die in Artikel 9 der DS-GVO geregelten Kategorien von Daten wie Gesundheitsdaten, Daten über rassische oder ethnische Herkunft, religiöse oder weltanschauliche Überzeugungen, Informationen zur sexuellen Orientierung. Weiter gehören dazu Daten, die gesetzlichen oder sonstigen Vertraulichkeits-, Verschwiegenheits- oder Geheimhaltungsregelungen unterliegen sowie Personalaktendaten. Insofern ist vor jeder Nutzung zu prüfen, ob Zoom für die voraussichtlichen Gesprächsinhalte geeignet ist.

Die Nutzung von Zoom ist möglich, wenn keine sensiblen personenbezogenen Daten oder Inhalte verarbeitet werden. Typische Beispiele zur Orientierung sind:

• Informationsveranstaltungen,
• Öffentliche Veranstaltungen,
• Alltagskommunikation.

Je wahrscheinlicher die Verarbeitung von sensiblen oder vertraulichen Daten wird, desto eher müssen die Inhalte bei der Nutzung von Zoom anonymisiert verarbeitet werden. Gegebenenfalls ist die Nutzung von Zoom nicht zulässig. Typische Beispiele für „überprüfenswerte“ Szenarien sind:

• Dienstbesprechungen,
• Gremiensitzungen,
• Interviews, Vorträge, Konferenzen, usw.,
• Gespräche zu sensiblen Forschungsdaten,
• Sprechstunden, Beratungsgespräche,
• Berufungen,
• Bewerbungsgespräche.

Oft ist es unvermeidbar, dass besonders sensible oder vertrauliche Daten verarbeitet werden ‐ üblicherweise sind die sensiblen Daten in diesen Fällen das Gesprächsthema. Für diese Kommunikationen ist die Nutzung von Zoom nicht zulässig. Typische Beispiele sind:

• Prüfungen,
• Psychologische Beratungsgespräche,
• Arzt‐ und Patientengespräche,
• (Forschungs‐) Gespräche zu Inhalten, die unter Geheimhaltung stehen.

Zoom bietet den Bediensteten der Universität die Möglichkeit, Online‐Meetings aufzuzeichnen. Neben ihrer eigenen Präsentation (ggfs. mit Webcam‐Video) dürfen Meetingverantwortliche grundsätzlich keine Video‐, Audiobeiträge und Chatverläufe von Teilnehmenden aufzeichnen. Die jeweiligen Meetingverantwortlichen sind für die Einhaltung der rechtlichen Vorgaben verantwortlich.

Es ist nicht gestattet, das nichtöffentlich gesprochene Wort anderer unbefugt aufzunehmen (§ 201 Abs. 1 Nr. 1 Strafgesetzbuch ‐StGB). Da Zoom‐Meetings an der Universität grundsätzlich in nichtöffentlicher Form durchgeführt werden, kann die Aufzeichnung einer Veranstaltung ohne Einverständnis der Betroffenen einen Verstoß gegen § 201 StGB nach sich ziehen. Es ist weder zulässig, Beiträge von Teilnehmende ohne deren Einverständnis aufzunehmen, noch dürfen Teilnehmende ihrerseits Veranstaltungen aufzeichnen. Es ist dabei unerheblich, ob die Aufzeichnung mit einem Videokonferenztool selbst oder mit einem externen Programm angefertigt wird.

Aus datenschutzrechtlichen Gründen ist die Aufzeichnung von Teilnehmenden im Rahmen von Lehrveranstaltungen nicht zulässig. Grund dafür ist, dass eine Einwilligung von teilnehmenden Studierenden im Zusammenhang mit Lehrveranstaltungen regelmäßig nicht das nach der DS‐GVO erforderliche Freiwilligkeitskriterium erfüllt. Diese kann daher nicht rechtwirksam von den Studierenden erteilt werden.

Auch im Rahmen von Beschäftigungsverhältnissen wird aufgrund des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer eine Einwilligung in der Regel nicht wirksam erteilt werden können.

Insofern ist auch im Beschäftigtenkontext von der Aufzeichnung von Online‐Meetings abzusehen.

Da die Präsentatoren oder Lehrenden grundsätzlich die Urheber ihrer Veranstaltungsinhalte und Lehrveranstaltung sind, ist es in der Regel unkritisch, wenn diese im Rahmen ihrer eigenen Online‐Veranstaltung lediglich sich selbst aufzeichnen und weder Bild‐ und Tonaufnahmen sowie sonstige Inhalte anderer Teilnehmenden in die Aufnahme einfließen, durch welche diese identifiziert werden können.

Um versehentliche Aufnahmen der Teilnehmenden auszuschließen, ist es erforderlich, dass Kameras und Mikrophone der Teilnehmenden vor Phasen der Aufzeichnung oder während der gesamten Veranstaltung zentral deaktiviert werden. Phasen der Diskussion und Fragen sind ans Ende der Veranstaltung zu verlegen und die Aufzeichnung zuvor zu stoppen. Rückfragen aus dem Auditorium können während der Veranstaltung unter einem Pseudonym in einem parallelen Chat gestellt und vom Veranstalter beantwortet werden.

Bei der Nutzung von Zoom sollten folgende Aspekte unbedingt berücksichtigt werden:

• Vor dem Einsatz von Zoom ist das Attention Tracking zu deaktivieren
• Videokonferenzen sind mit einem Passwort zu schützen
• Stellen Sie durch Warteräume vor Betreten eines Meetings für Teilnehmende sicher, dass keine Personen unkontrolliert dem Online‐Meeting beitreten können („Zoom‐Bombing“).
• Die Verwendung der Zoom-App ist der browsergestützten Nutzung vorzuziehen