Datenschutz & Vertraulichkeit

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) hat in einem an die Präsidentin der Universität Kassel gerichteten Schreiben das Ergebnis seiner rechtlichen Prüfung des Einsatzes von Videokonferenzsystemen an Hochschulen, insbesondere der Nutzung von Zoom unter den Bedingungen des sog. „Hessischen Modells“, mitgeteilt, das bereits im laufenden Sommersemester 2023 zu beherzigen ist.

Demnach sind drei Anwendungsszenarien zu unterscheiden:

1. Im Lehrbetrieb kann Zoom in der von der Universität Kassel auf der Grundlage des „Hessischen Modells“ konfigurierten und bereitgestellten Installation verwendet werden.
2. Für Verwaltung und Forschung sind andere Maßstäbe anzulegen als für die Lehre, wobei im Regelfall Open-Source-Produkte wie z.B. BigBlueButton geeignet sind, den Bedarf zu decken.
   
   Es ist jedoch für in der Forschung Tätige unproblematisch, als Eingeladene an Zoom-Meetings teilzunehmen. Zudem ist zwar nicht generell, aber im konkreten Einzelfall – wenn dies der Anlass erzwingt – eine Nutzung von Zoom auch als Host möglich.
   
   Die Erfahrungen der letzten Monate zeigen, dass BigBlueButton zwar für wiederholt stattfindende oder nötigenfalls verschiebbare Videokonferenzen zu einer akzeptablen Alternative geworden ist, aber – bei lebensnaher Betrachtung – für geschäftskritische Videokonferenzen im universitären Alltag noch immer nicht problemlos eingesetzt werden kann.
   
   Die Universität Kassel sieht daher bis auf Weiteres auch in den Bereichen Verwaltung, Forschung und Transfer Geschäftskritikalität als zwingenden Anlass für den Einsatz von Zoom, wobei die Entscheidung, ob im Einzelfall Geschäftskritikalität vorliegt, in der Verantwortung der/des Veranstaltenden (Host) liegt.
   
   Beispiele für Geschäftskritikalität sind:

• Hochrangige Veranstaltungen wie etwa Hochschulleitungstagungen oder externe Begutachtungen;
• Unverzichtbare Teilnahme von Personen, deren Netzanbindung unbekannt oder bekannterweise für den sinnvollen Einsatz von BigBlueButton unzureichend ist.

1. Im Zusammenhang mit vertraulichen oder sensiblen personenbezogenen Daten gebietet es eine Risikoabwägung, besondere Vorsicht walten zu lassen:
   
   Vertrauliche personenbezogene Inhalte, zu denen unter anderem Personalangelegenheiten zählen, bedürfen eines erhöhten Datenschutzniveaus. Daher sollten Videokonferenzen im Zusammenhang mit studentischer Interessenvertretung und mit Personalvertretungen sowie für Bewerbungen, Berufungsverfahren, Personalgespräche etc. grundsätzlich nur mit BigBlueButton durchgeführt werden.
   
   Sensible Daten, zu denen personenbezogene Daten zählen, aus welchen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit einer Person hervorgehen, sowie genetische Daten, biometrische Daten, die ausschließlich zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden, Gesundheitsdaten, Daten zum Sexualleben oder zur sexuellen Orientierung einer Person unterliegen gemäß DSGVO besonderen Verarbeitungsbedingungen. Daher sind etwa für Videokonferenzen, bei denen es um Patientenangelegenheiten geht, weder Zoom mit E2EE noch BigBlueButton, sondern nur spezielle Videokonferenzlösungen für das Gesundheitswesen zulässig.

Bitte beachten Sie den Leitfaden Verwendung von Videokonferenzsystemen an der Universität Kassel ab dem Sommersemester 2023, der die vorstehenden Angaben und überdies eine technisch-organisatorische Beschreibung der an der Universität Kassel zur Verfügung stehenden Videokonferenzsysteme (BigBlueButton, DFNConf-Pexip und Zoom) enthält, gemäß den Vorgaben des Hessischen Beauftragten für Datenschutz und Informationsfreiheit.