Hessische Aufsichtsbehörde: zoom unter Einhaltung von Auflagen nutzbar

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hatte im August 2021 die Senatskanzlei der Freien und Hansestadt Hamburg (FHH) offiziell gewarnt, die Videokonferenzlösung von Zoom Inc. in der sog. on-demand-Variante zu verwenden. Dies verstoße gegen die DS-GVO, da eine solche Nutzung mit der Übermittlung personenbezogener Daten in die USA verbunden sei. In diesem Drittland bestehe kein ausreichender Schutz für solche Daten. Dies sei durch den Europäischen Gerichtshof in der Entscheidung Schrems II bereits vor über einem Jahr (C-311/18) festgestellt worden und das bis dahin geltende Privacy-Shield als Übermittlungsgrundlage außer Kraft gesetzt. Ein Datentransfer sei daher nur unter sehr engen Voraussetzungen möglich, die bei dem geplanten Einsatz von Zoom durch die Senatskanzlei nicht vorliegen. Die Daten von Behördenbeschäftigten und externen Gesprächsbeteiligten würden auf diese Weise der Gefahr einer anlasslosen staatlichen Massenüberwachung in den USA ausgesetzt, gegen die keine ausreichenden Rechtsschutzmöglichkeiten bestehen.

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) sieht diese Probleme ebenfalls, stellt aber eine „Lösung“ vor, die bei Einhaltung des „Hessischen Modells“ dazu führen kann, dass zoom datenschutzkonform und sicher von Hessischen Hochschulen genutzt werden könne. 

Beim „Hessischen Modell“ stellen die Hochschulen sicher, dass sie

• einen von Zoom unabhängigen Auftragsverarbeiter mit Sitz in der EU beauftragen, das Videokonferenzsystem auf Servern in der EU zu betreiben und mit ihnen abzurechnen,
• eine Ende-zu-Ende-Verschlüsselung aller Inhaltsdaten zur Verfügung zu stellen,
• den Abfluss personenbezogener Daten von Studierenden in die USA und den Zugriff auf solche Daten aus den USA heraus verhindern,
• die Nutzung von Zoom auf Lehrveranstaltungen beschränken,
• ein alternatives datenschutzkonformes Videokonferenzsystem für andere Zwecke oder für Lehrpersonen, die nicht mit Zoom arbeiten wollen, anbieten,
• die Lehrenden und Studierenden über weiterführende, unterstützende Maßnahmen zum Schutz der informationellen Selbstbestimmung ausführlich informieren.

Setzen die Hessischen Hochschulen dieses hier beschriebene „Hessische Modell“ in der praktischen Nutzung von Zoom um, bewertet der HBDI das verbleibende Risiko für die Teilnehmenden an Zoom-Videokonferenzen bei den bestehenden Wahlmöglichkeiten mit den datenschutzrechtlichen Vorgaben als vereinbar.