zoom-Videokonferenzen: Hessisches Modell ermöglicht datenschutzkonforme Nutzung an Hochschulen in Hessen

Betrieb darf dabei nicht über zoom-Meeting-Server in den USA erfolgen

[datensicherheit.de, 08.07.2022] Laut einer Pressemitteilung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) vom 17. Juni 2022 dürfen hessische Hochschulen den Videokonferenzdienst „zoom“ für Lehrveranstaltungen nutzen – wenn dies nach dem sogenannten Hessischen Modell geschieht.

Auftragsverarbeiter mit eigenem Meeting-Server darf keine Video-/Audiodaten an zoom übertragen

Das Hessische Modell sieht demnach unter anderem vor, „dass der Betrieb nicht über Meeting-Server von ,zoom‘ in den USA erfolgt, sondern nur über einen unabhängigen Auftragsverarbeiter, der eigene Meeting-Server betreibt und keine Video-/Audiodaten an ,zoom‘ überträgt“. Diese Anforderungen stellten sicher, „dass US-Behörden nicht auf die Inhaltsdaten der Videokonferenzen zugreifen können“.

Der deutsche Videokonferenz-Dienstleister Connect4Video (C4V) ist nach eigenen Angaben langjähriger Partner von „zoom“ und betreibt bereits seit 2014 eigene Meeting-Server für seine Kunden in der sogenannten DACH-Region. C4V sei daher in der Lage, auch Hochschulen nach den Vorgaben des Hessischen Modells zu betreuen.

Andreas Zenger erläutert Vorteile der zoom-Nutzung über Connect4Video

„Wir freuen uns, dass unsere Arbeitsweise damit vom Datenschutzbeauftragten anerkannt wurde“, kommentiert Andreas Zenger, „Operations Manager“ bei Connect4Video.

Die Vorteile der Nutzung von „zoom“ über Connect4Video sind nach seinen Angaben unter anderem:

• „C4V stellt der Hochschule das Videokonferenzsystem Zoom zur Verfügung.“
• „C4V ist unmittelbarer Abrechnungspartner der Hochschule. Somit kann die Übermittlung von Abrechnungsdaten an den Anbieter Zoom minimiert bzw. pseudonymisiert erfolgen.“
• „Deutsche Hotline und Beratung sowie Schulungen für Nutzer und Administratoren.“
• „Auf Wunsch Premium-Service, in dem C4V sicherheitsrelevante Voreinstellungen im Nutzerkonto vornimmt.“
• „Durch kontinuierliche Skalierung der Server-Kapazitäten stellt Connect4Video den reibungslosen Betrieb auch bei steigendem Bedarf sicher.“

HBDI bewertet verbleibendes Risiko für Teilnehmer an zoom-Videokonferenzen als vereinbar

Eine Grundlage für die Entwicklung des Hessischen Modells sei ein Kundenvertrag von Connect4Video mit der hessischen Universität Kassel im Jahre 2020 gewesen. „Basis des Vertrags war die Nutzung der Connect4Video-Medienserver in D-A-CH, später kamen weitere Sicherheitsmaßnahmen wie etwa eine Ende-zu-Ende-Verschlüsselung hinzu.“

Setzten die Hessischen Hochschulen das Hessische Modell in der praktischen Nutzung von „zoom“ um, „bewertet der HBDI das verbleibende Risiko für die Teilnehmer an ,zoom‘-Videokonferenzen mit den datenschutzrechtlichen Vorgaben als vereinbar“.

Verantwortliche Hochschule in der Pflicht zu umfangreichen Sicherheitsmaßnahmen bei zoom-Abwendung

Der verantwortlichen Hochschule oblägen weitere Sicherheitsmaßnahmen, unter anderem der Betrieb eines lokalen Identitätsmanagements (IDM), um einen Personenbezug unmöglich zu machen.

Ferner gefordert: Bereitstellung einer Ende-zu-Ende-Verschlüsselung und eines „Virtual Private Networks“ (VPN) sowie die Information der Teilnehmer, „durch welche Maßnahmen sie ihre Informationelle Selbstbestimmung schützen können“.

Weitere Informationen zum Thema:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, 17.06.2022
Mit Schutzmaßnahmen ist Zoom für Lehrveranstaltungen an Hessischen Hochschulen nutzbar

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Videokonferenzsysteme an hessischen Hochschulen / Anforderungen an den datenschutzgerechten Einsatz von Zoom für Lehrveranstaltungen an Hessischen Hochschulen