Video und DSGVO: Speicherort, AVV, Löschung

Videos im Unternehmen sind DSGVO-konform, wenn drei Fragen geklärt sind: wo das Video gespeichert wird, ob mit dem Anbieter ein AVV besteht und wann die Aufnahme gelöscht wird. Die übrigen Pflichten, etwa Rechtsgrundlage und Übermittlungen außerhalb des EWR, stehen weiter unten als Liste. Das gilt für Videonachrichten wie für Bildschirmaufnahmen.

Dieser Leitfaden beschreibt das Recht und ein Produkt, Capme, das wir bauen; er ist keine Rechtsberatung. Für Unternehmen außerhalb der EU passt er nicht, und eine Aufnahme, die Gesundheitsdaten zeigt, braucht eine Folgenabschätzung und mehr als diese Liste. Um Videoüberwachung und private Clips geht es hier nicht, auch nicht um YouTube- oder Vimeo-Videos auf deiner Website; für solche Einbettungen gilt zusätzlich § 25 TDDDG. Die sechs Fragen an Anbieter stehen unten zum Kopieren, die Unterlagen für eine Prüfung im Trust Center von Capme.

Eine Videoaufnahme ist personenbezogen, sobald eine Person darin identifizierbar ist, und wer spricht, ist es immer. Art. 4 Nr. 1 DSGVO erfasst alle Informationen über eine identifizierbare Person, auch über körperliche Merkmale. Gesicht, Stimme und ein Name im Titel zählen also mit. Ein Gesicht im Video ist nicht automatisch ein Datum besonderer Kategorie: Nach Erwägungsgrund 51 sind Lichtbilder nur biometrisch, wenn spezielle technische Mittel eine Person damit identifizieren, und ein Recorder tut das nicht.

Bei der Bildschirmaufnahme liegt das Datenschutzrisiko vor allem im Bildschirm: Eine Freigabe erfasst, was gerade offen war, etwa einen Kundendatensatz oder eine Gehaltsliste.

Die DSGVO verlangt für Video-Tools fünf Dinge: eine Rechtsgrundlage mit Information, einen AVV, benannte Unterauftragsverarbeiter, eine Grundlage für Übermittlungen und Sicherheit mit Löschdatum. Der meiste Aufwand hängt an einem Satz, Art. 28 Abs. 1 DSGVO: „Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.“ Wie die deutschen Aufsichtsbehörden das auslegen, steht im Kurzpapier Nr. 13 der Datenschutzkonferenz.

Ein Video landet an einem von drei Orten, und die Liste oben greift an jedem anders. Auf dem Gerät der Person kodiert der Recorder im Browser, kein Anbieter hält das Video, es gibt also keinen Auftragsverarbeiter dafür, aber auch keinen Link, den ein Kollege öffnen kann. Capmes kostenloser Recorder arbeitet so; zum Speichern fragt er nach einer E-Mail-Adresse.

Beim Video-Hosting durch den Anbieter wird die Datei hochgeladen und gestreamt. Erst das macht sie teilbar, und damit greift die ganze Liste: Der Anbieter ist dein Auftragsverarbeiter, sein Video-Host ein Unterauftragsverarbeiter, den du namentlich kennen darfst. In Capmes bezahlten Plänen liegen Aufnahmen bei Bunny Stream in Deutschland und Schweden; die Auslieferung außerhalb der EU läuft über Standardvertragsklauseln.

Im eigenen Speicher schreibt der Recorder in einen S3-kompatiblen Bucket deines Unternehmens, und die Wiedergabe kommt von dort. Für Agenda, Publikum und Audit-Log bleibt der Anbieter Auftragsverarbeiter, und der Satz, den der Einkauf gern hört, dass der Anbieter das Video nie hält, stimmt nur hier. Bei Business und Enterprise läuft nur das Vorschaubild über Capmes Server, und Capme löscht dort ein Objekt nur, wenn ein Mitglied die Aufnahme löscht.

Ein Video muss gelöscht werden, sobald sein Zweck erfüllt ist, und früher, wenn die aufgenommene Person ein Recht auf Löschung nach Art. 17 hat, etwa nach dem Widerruf ihrer Einwilligung. Art. 5 Abs. 1 lit. e nennt keine Zahl von Tagen. Dein Unternehmen legt deshalb pro Zweck eine Frist fest, etwa 90 Tage für ein Status-Update, das ein Meeting ersetzt hat, und 180 Tage für ein Video zur Einarbeitung. Jede Frist kommt mit ihrem Grund ins Verzeichnis nach Art. 30.

Löschen muss jede Kopie erreichen, auch die Datei beim Video-Host und jeden Download. Frag den Anbieter, wie lange seine Backups eine gelöschte Datei halten, und leg im eigenen Bucket eine Lebenszyklusregel an. Eine Vorlage zum Übernehmen ist das Löschkonzept für Meetingaufzeichnungen.

Schick die Fragen unten an jeden Anbieter auf der Shortlist, auch an Capme, und gleich jede Antwort mit dem Dokument ab, auf das sie sich beruft. Für Rechtsraum und Eigentümer gibt es die vier Fragen im Leitfaden zum souveränen Stack.

Am meisten verrät aus unserer Sicht Frage 3: Ein Anbieter, der sagen kann, wohin eine gelöschte Datei verschwindet, kennt seine eigenen Datenflüsse. Bei Frage 5 redet in Deutschland der Betriebsrat mit; was du mit ihm klärst, steht im Leitfaden zu Betriebsrat und Video-Tools.

Capme Meetings ist eine Meeting-Plattform für asynchrone Meetings: Der Organisator schreibt die Agenda, und jeder Referent nimmt seinen Punkt über einen Link auf. Zuschauer brauchen keinen bezahlten Platz, und Video liegt im EU-Hosting oder ab Business im eigenen Bucket. Die Antworten:

Nennt deine Richtlinie ISO 27001 oder SOC 2, ist ein Anbieter mit diesem Bericht heute die bessere Wahl. Sonst kann der Datenschutzbeauftragte diese Bildschirme in einer 14-tägigen Testphase von Team prüfen, bevor jemand aufnimmt.