Digital-Omnibus und Videokonferenzen: Was beim Datenschutz weiterhin zählt

Mit dem sogenannten Digital-Omnibus diskutiert die Europäische Union Änderungen an der Datenschutz-Grundverordnung (DSGVO) und der E-Privacy-Richtlinie. Für Bildungseinrichtungen, Unternehmen und Behörden ist das relevant: Videokonferenzen gehören zum Arbeitsalltag und erzeugen Daten, deren Verarbeitung rechtlich und organisatorisch abgesichert sein muss.

Die diskutierten Änderungen betreffen laut dem zugrunde liegenden Nachrichtenbericht unter anderem die Pseudonymisierung, den Umgang mit unbegründeten Auskunftsanfragen und die Nutzung personenbezogener Daten für das Training künstlicher Intelligenz. Hinzu kommen Fragen rund um Cookie-Präferenzen und deren technische Umsetzung.

Entscheidend ist die Unterscheidung zwischen politischen Vorschlägen und verbindlichen Regeln. Eine Ratsposition ist noch kein verabschiedetes Gesetz. Welche Regelungen tatsächlich gelten werden, hängt vom weiteren Gesetzgebungsverfahren, der endgültigen Fassung und möglichen Übergangsfristen ab. Der aktuelle Verfahrensstand lässt sich anhand der hier vorliegenden Informationen nicht unabhängig bestätigen. Die nachfolgend beschriebenen Reformdetails sind deshalb als berichtete Diskussionspunkte einzuordnen, nicht als bereits geltende Rechtsänderungen.

Für Ihre Organisation bedeutet das: Bestehende Datenschutzpflichten bleiben maßgeblich. Eine Anpassung Ihrer Prozesse sollte nicht auf vermutete künftige Erleichterungen gestützt werden.

Warum Videokonferenzen besonders betroffen sein können

Eine Videokonferenz verarbeitet mehr als Bild und Ton. Je nach Plattform und Konfiguration können beispielsweise Namen, E-Mail-Adressen, IP-Adressen, Einwahlzeiten, Chatnachrichten und geteilte Dokumente anfallen. Aufzeichnungen können darüber hinaus sensible Gesprächsinhalte dauerhaft festhalten.

In Bildungseinrichtungen betrifft das etwa Unterrichtsmitschnitte, Wortmeldungen oder individuelle Leistungsbesprechungen. Unternehmen müssen mit personenbezogenen Daten von Beschäftigten und Kunden umgehen. Bei Behörden können vertrauliche Informationen aus Verwaltungsverfahren hinzukommen. Dabei ist nicht jeder Konferenzinhalt automatisch eine besonders geschützte Datenkategorie; Gesundheitsinformationen können beispielsweise jedoch darunterfallen.

Auch ohne Reform benötigen Sie deshalb klare Antworten: Zu welchem Zweck werden Daten verarbeitet? Welche Rechtsgrundlage trägt die Verarbeitung? Wer erhält Zugriff? Wann werden die Informationen gelöscht?

Eine Aufzeichnung sollte keine beiläufig aktivierte Standardfunktion sein. Prüfen Sie ihre Erforderlichkeit, informieren Sie Teilnehmende transparent und legen Sie Zugriffsrechte sowie Löschfristen fest. Ob eine Einwilligung erforderlich und wirksam ist oder eine andere Rechtsgrundlage infrage kommt, hängt vom konkreten Einsatz ab. Gerade in Beschäftigungs- und Bildungskontexten ist die Freiwilligkeit einer Einwilligung sorgfältig zu beurteilen.

Welche Änderungen diskutiert werden – und was sie bedeuten könnten

Pseudonymisierung: Nach geltendem Recht bleiben pseudonymisierte Daten grundsätzlich personenbezogen, wenn sie mithilfe zusätzlicher Informationen einer Person zugeordnet werden können. Ein ersetzter Teilnehmername macht einen Datensatz daher nicht automatisch anonym. Stimmen, Gesprächsinhalte oder Verknüpfungen mit anderen Daten können weiterhin eine Identifizierung ermöglichen.

Die berichteten Reformüberlegungen könnten die datenschutzrechtliche Einordnung pseudonymisierter Daten beeinflussen. Welche Konsequenzen daraus für Konferenzprotokolle oder Nutzungsanalysen entstünden, hängt jedoch von der endgültigen Regelung und dem jeweiligen Verarbeitungskontext ab. Pseudonymisierung sollte deshalb weiterhin als Schutzmaßnahme verstanden werden, nicht als pauschale Befreiung von Datenschutzpflichten.

Auskunftsanfragen: Schon heute erlaubt die DSGVO unter bestimmten Voraussetzungen, bei offenkundig unbegründeten oder exzessiven Anträgen ein angemessenes Entgelt zu verlangen oder ein Tätigwerden abzulehnen. Die Voraussetzungen muss der Verantwortliche nachweisen. Eine Anfrage ist nicht allein deshalb unbegründet, weil ihre Bearbeitung aufwendig ist.

Laut Nachrichtenbericht werden Erleichterungen bei der Ablehnung unbegründeter Anfragen diskutiert. Für Videokonferenznutzer könnte das den organisatorischen Umgang mit Auskunftsersuchen verändern. Ein nachvollziehbarer Prozess für Suche, Prüfung und Beantwortung bleibt dennoch erforderlich.

KI-Training: Verbraucherschützer kritisieren laut Bericht, dass die beschriebene Ratsposition ein vorgesehenes bedingungsloses Widerspruchsrecht gegen die Nutzung personenbezogener Daten zum KI-Training nicht mehr enthalte. Daraus folgt weder, dass ein solches besonderes Recht bereits geltendes Recht wäre, noch dass KI-Training künftig ohne weitere Voraussetzungen zulässig würde.

Für Ihre Videokonferenzen ist insbesondere zu prüfen, ob Aufzeichnungen, Transkripte oder Chatverläufe nur zur Bereitstellung einer Funktion verarbeitet oder zusätzlich zur Verbesserung von KI-Modellen genutzt werden. Das sind unterschiedliche Zwecke. Welche rechtlichen Anforderungen und Widerspruchsmöglichkeiten bestehen, muss anhand der konkreten Verarbeitung beurteilt werden.

Cookie-Präferenzen: Ebenfalls gestrichen worden seien dem Bericht zufolge geplante maschinenlesbare Präferenzsignale, mit denen Nutzer ihre Entscheidung zentral, beispielsweise im Browser, festlegen könnten. Diese berichtete Streichung betrifft einen Reformvorschlag; sie hebt bestehende Anforderungen an einwilligungsbedürftige Tracking-Techniken nicht auf. Für Videokonferenzangebote können solche Fragen etwa auf Anmeldeseiten oder bei eingebundenen Analysewerkzeugen relevant sein.

Checkliste für Ihre Videokonferenzpraxis

Unabhängig vom Ausgang der Reform können Sie Ihre Plattform anhand von fünf Fragen überprüfen:

• Welche Daten werden erhoben? Erfassen Sie nicht nur Audio und Video, sondern auch Chatverläufe, technische Protokolle, Teilnehmerlisten und Inhalte geteilter Dateien. Prüfen Sie, welche Daten für den jeweiligen Zweck tatsächlich erforderlich sind.
• Wie lange bleiben Aufzeichnungen gespeichert? Definieren Sie zweckbezogene Löschfristen, begrenzen Sie Zugriffsrechte und berücksichtigen Sie auch heruntergeladene Kopien sowie Sicherungen. Automatische Löschregeln können die Umsetzung erleichtern.
• Werden Inhalte für KI-Zwecke genutzt? Prüfen Sie Verträge, Datenschutzhinweise und aktivierte Zusatzfunktionen. Unterscheiden Sie zwischen Transkription, Zusammenfassung und Modelltraining. Klären Sie außerdem, welche weiteren Dienstleister beteiligt sind.
• Welche Tracking-Techniken kommen zum Einsatz? Betrachten Sie neben Cookies auch lokale Speicherung, Analysewerkzeuge und externe Einbindungen. Unterscheiden Sie technisch erforderliche Funktionen von zusätzlichen Auswertungen.
• Wie lassen sich Betroffenenrechte ausüben? Benennen Sie erreichbare Ansprechpartner und schaffen Sie Abläufe für Auskunft, Berichtigung, Löschung und gegebenenfalls Widerspruch. Dokumentieren Sie, wie Anfragen geprüft und fristgerecht bearbeitet werden.

Europäisches Hosting ist ein Baustein, keine Garantie

Ein europäischer Serverstandort kann die datenschutzgerechte Gestaltung unterstützen. Allein garantiert er jedoch keine Datenschutzkonformität. Entscheidend sind zusätzlich unter anderem Rechtsgrundlagen, Auftragsverarbeitungsverträge, Unterauftragnehmer, mögliche Drittlandzugriffe, Berechtigungskonzepte und Löschverfahren.

Auch ein ISO-27001-zertifiziertes Rechenzentrum ist ein wichtiger Sicherheitsbaustein, ersetzt aber nicht die Prüfung Ihrer konkreten Datenverarbeitung. Bei einem auf BigBlueButton basierenden Angebot wie bbbserver.de sollten Sie deshalb neben der Infrastruktur auch die verfügbaren Einstellungen und die vertraglichen Regelungen in Ihre Bewertung einbeziehen.

Datensparsame Voreinstellungen bleiben unabhängig von der Reform sinnvoll: Aufzeichnungen nur bei Bedarf aktivieren, unnötige Datenerhebung vermeiden, Zugriffe beschränken und zusätzliche Analyse- oder KI-Funktionen vor ihrer Nutzung prüfen. So schaffen Sie eine belastbare Grundlage für Videokonferenzen – ohne auf einen noch nicht gesicherten Ausgang des Gesetzgebungsverfahrens angewiesen zu sein.