Videokonferenz-Tools: DSGVO-konform & sicher

Sie halten ein wöchentliches Team-Meeting per Video, dazu ab und zu ein Gespräch mit einer Mandantin oder einem Patienten, in dem sensible Dinge zur Sprache kommen. Genau hier trennt sich die Frage nach dem bequemsten Tool von der Frage, welches Tool Sie rechtssicher einsetzen dürfen. Sobald Namen, Gesichter und Gesprächsinhalte über einen Server laufen, verarbeiten Sie personenbezogene Daten, und damit greift die DSGVO. Dieser Ratgeber zeigt, worauf es dabei wirklich ankommt, welche EU-Alternativen taugen und wann auch Zoom vertretbar bleibt.

Was eine DSGVO-konforme Videokonferenz ausmacht

Die meisten Ratgeber bleiben bei allgemeinen Prinzipien stehen. Praktisch hängt eine datenschutzkonforme Videokonferenz an drei konkreten Punkten.

Erstens der Auftragsverarbeitungsvertrag, kurz AVV. Wenn ein Anbieter in Ihrem Auftrag Daten verarbeitet, verlangt Artikel 28 DSGVO einen schriftlichen Vertrag darüber. Ohne einen solchen AVV nutzen Sie das Tool formal unrechtmäßig, selbst wenn technisch alles sauber läuft.

Zweitens der Serverstandort und die Frage, ob Daten in die USA oder andere Drittländer fließen. Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs von 2020 ist ein Transfer in die USA nur unter Zusatzbedingungen zulässig. Für viele US-Anbieter gilt inzwischen das EU-US Data Privacy Framework, ein Angemessenheitsbeschluss der EU-Kommission, sofern das Unternehmen dort zertifiziert ist. Ein Rest an Unsicherheit bleibt, weil US-Gesetze wie der CLOUD Act den Behörden dort weiterhin Zugriff eröffnen können.

Drittens Datensparsamkeit und Löschung. Zeichnen Sie Meetings auf? Werden Chats, Transkripte oder Anwesenheitslisten gespeichert, und wie lange? Ein Tool ist nur so datenschutzfreundlich wie Ihr Umgang damit. Ergänzend erwarten die Aufsichtsbehörden technische und organisatorische Maßnahmen, etwa Verschlüsselung und Zugriffsschutz. Wer es genauer wissen will, findet in der „Orientierungshilfe Videokonferenzsysteme“ der deutschen Datenschutzkonferenz eine ausführliche Grundlage.

Die 5 Prüffragen an jeden Anbieter

Statt Datenschutzerklärungen im Detail zu studieren, kommen Sie mit fünf Fragen erstaunlich weit. Gehen Sie sie vor jeder Toolentscheidung durch:

1. Gibt es einen AVV nach Art. 28 DSGVO? Seriöse Anbieter stellen ihn direkt als PDF oder im Kundenkonto bereit. Fehlt er, ist das Tool für den geschäftlichen Einsatz raus.
2. Wo stehen die Server, und kann ich eine EU-Region wählen? Manche Anbieter lassen Sie die Rechenzentrumsregion festlegen. Nutzen Sie das und stellen Sie auf EU um.
3. Wie wird verschlüsselt? Transportverschlüsselung schützt den Weg, der Anbieter kann die Inhalte aber technisch sehen. Echte Ende-zu-Ende-Verschlüsselung schließt selbst ihn aus, ist bei Gruppencalls aber seltener und oft an Einschränkungen geknüpft.
4. Was passiert mit Aufzeichnungen, Chats und Protokollen? Prüfen Sie, ob und wo Mitschnitte landen und wie lange sie liegen bleiben. Für die Speicherung solcher Aufnahmen gelten dieselben Regeln wie in unserem Ratgeber zu Cloud-Speicher und DSGVO.
5. Wie transparent ist der Anbieter? Nennt er seine Subunternehmer, veröffentlicht er ein Dokument zu technischen und organisatorischen Maßnahmen, ist die Datenschutzerklärung verständlich? Verschlossenheit ist ein schlechtes Zeichen.

Alternativen aus EU und EWR im Überblick

Wer den Drittland-Transfer ganz vermeiden will, findet mehrere ernstzunehmende Anbieter aus Europa. Die Bandbreite reicht von selbst gehosteten Open-Source-Lösungen bis zu fertigen Diensten mit Servern in der EU. Ein Anbieter wie Whereby sitzt in Norwegen. Das ist zwar kein EU-Land, gehört aber zum Europäischen Wirtschaftsraum, in dem die DSGVO ebenso gilt, sodass hier kein Drittlandtransfer entsteht.

Tool	Anbieter / Land	Besonderheit
Jitsi Meet	Open Source	kostenlos, ohne Konto nutzbar, selbst hostbar
BigBlueButton	Open Source	stark für Schulungen und Webinare, selbst hostbar
Nextcloud Talk	Nextcloud (DE)	Teil der Nextcloud, selbst hostbar, gut fürs eigene Datenhaus
alfaview	alfatraining (DE)	Server in Deutschland, stabil für größere Gruppen
eyeson	eyeson (AT)	browserbasiert, Server in der EU
Whereby	Whereby (NO)	ohne Installation, Räume per Link teilen
Tixeo	Tixeo (FR)	Ende-zu-Ende-Verschlüsselung, vom französischen Cyber-Amt ANSSI zertifiziert

Ein ehrlicher Hinweis: Selbst hosten bedeutet Aufwand. Jitsi Meet oder BigBlueButton laufen zwar kostenlos, aber jemand muss den Server pflegen, absichern und aktuell halten. Wer diese Zeit nicht hat, bucht die gleichen Werkzeuge besser bei einem deutschen oder europäischen Hoster als gemanagten Dienst, dann liegt die Wartung dort und Sie schließen einfach einen AVV ab.

Zoom, Teams und Meet: der Datenschutz-Stand

Die drei bekannten Namen kommen alle von US-Konzernen, was sie aber nicht automatisch verbietet. Zoom, Microsoft Teams und Google Meet stellen jeweils einen AVV bereit und bieten Wege, Daten innerhalb der EU zu verarbeiten. Zoom lässt die Rechenzentrumsregion festlegen, Microsoft hat mit der „EU Data Boundary“ eine Verarbeitung von Kundendaten innerhalb der EU aufgebaut, und Google Workspace erlaubt in bestimmten Tarifen die Wahl einer Datenregion.

Der wunde Punkt bleibt der Zugriff US-amerikanischer Behörden. Auch mit EU-Servern kann ein US-Mutterkonzern rechtlich in die Pflicht genommen werden. Für interne, wenig heikle Besprechungen ist dieses Restrisiko meist tragbar, für Gespräche über Gesundheit, Rechtsfälle oder Personalthemen wiegt es schwerer. Zoom stand außerdem 2020 in der Kritik, weil Verbindungen zeitweise über Server in China liefen, was das Unternehmen einräumte und abstellte. Microsoft Teams und Google Meet sind eng an die jeweiligen Office-Pakete gebunden. Wenn Sie ohnehin vor der Wahl zwischen beiden stehen, hilft unser Vergleich von Microsoft 365 und Google Workspace bei der Einordnung, auch mit Blick auf den Datenschutz.

Funktionen für kleine Betriebe

Datenschutz ist die eine Seite, im Alltag zählt aber auch, dass ein Tool die Arbeit erleichtert. Für kleine Betriebe sind meist diese Funktionen relevant:

• Bildschirm teilen für Angebote, Tabellen oder gemeinsame Durchsicht von Dokumenten.
• Warteraum und Moderation, damit niemand ungefragt in ein Meeting platzt und Sie steuern, wer spricht.
• Einwahl per Telefon als Rückfallebene, wenn bei einem Teilnehmer die Technik streikt.
• Kalender-Anbindung, damit Einladungen mit Link automatisch im Termin landen.
• Aufzeichnung, wo sie wirklich gebraucht wird, etwa für Schulungen. Behandeln Sie Mitschnitte aber bewusst, holen Sie die Einwilligung der Beteiligten ein und löschen Sie, was Sie nicht mehr brauchen.

Vieles davon können alle genannten Tools. Der Unterschied liegt oft im Detail, etwa wie einfach externe Gäste ohne Konto oder Installation teilnehmen können. Für spontane Termine mit Kunden ist das ein echter Vorteil.

Kosten und kostenlose Grenzen

Für viele kleine Betriebe reicht ohnehin eine kostenlose oder günstige Lösung. Zoom bietet einen Gratis-Tarif, begrenzt Gruppenmeetings darin aber auf 40 Minuten. Google Meet und Microsoft Teams haben ebenfalls kostenlose Varianten mit Einschränkungen und sind in den Business-Tarifen der jeweiligen Office-Pakete enthalten. Jitsi Meet ist über die öffentliche Instanz meet.jit.si komplett kostenlos.

Konkrete Preise ändern sich häufig und hängen an Tarif, Nutzerzahl und Vertragslaufzeit, prüfen Sie sie daher immer aktuell auf der Anbieterseite. Grob gilt: Wenn Sie Microsoft 365 oder Google Workspace ohnehin für E-Mail und Dokumente nutzen, ist die Videokonferenz meist schon dabei, ein separates Tool lohnt sich dann selten. Und manchmal ist die ehrlichste Empfehlung, gar keine neue Software zu kaufen, sondern das kostenlose Jitsi oder den vorhandenen Office-Dienst konsequent zu nutzen.

Empfehlung nach Einsatzzweck

Eine einzige richtige Antwort gibt es nicht, wohl aber sinnvolle Zuordnungen:

• Interne Team-Calls ohne heikle Inhalte: Nutzen Sie, was Sie schon haben. Teams oder Meet aus dem vorhandenen Office-Paket, mit unterschriebenem AVV und EU-Region, reichen völlig.
• Sensible Gespräche über Gesundheit, Recht oder Personal: Greifen Sie zu einem EU-Anbieter, idealerweise mit Ende-zu-Ende-Verschlüsselung oder selbst gehostet. Tixeo, alfaview, eyeson oder Nextcloud Talk sind hier die naheliegenden Kandidaten.
• Spontane Termine mit Externen: Whereby oder Jitsi punkten, weil Gäste ohne Konto und Installation per Link beitreten.
• Wann Zoom vertretbar ist: Für interne, unkritische Meetings, wenn der AVV vorliegt und die Region auf EU steht. Für vertrauliche Themen ist es nicht die erste Wahl.

Prüfen Sie vor der Entscheidung die fünf Fragen von oben, holen Sie den AVV ein und stellen Sie die Serverregion auf EU. Dann steht einer datenschutzkonformen Videokonferenz nichts im Weg, egal für welches Werkzeug Sie sich am Ende entscheiden.