Zoom Datenschutzerklärung

Informationen nach Artikel 13/14 EU-Datenschutz-Grundverordnung (DS-GVO) zum Einsatz des Video-Konferenzsystems Zoom an der Universität Freiburg
Stand: 02.06.2022

Der Schutz Ihrer personenbezogenen Daten ist der Universität Freiburg ein wesentliches Anliegen. Daher hat die Universität Freiburg in Abstimmung mit dem Datenschutzbeauftragten der Universität Mögliche und Erforderliche unternommen, um die Datenverarbeitung bei der Nutzung von ZOOM den gesetzlichen Vorgaben entsprechend, sicher, transparent und datensparsam zu gestalten.
Diese Datenschutzerklärung ermöglicht es Ihnen, sich über die Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung von ZOOM ausführlich zu informieren.

I.    Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der DS-GVO sowie anderer datenschutzrechtlicher Bestimmungen ist:

Albert-Ludwigs-Universität Freiburg
Friedrichstraße 39, 79098 Freiburg
  info@uni-freiburg.de

Die Albert-Ludwigs-Universität Freiburg ist Körperschaft des öffentlichen Rechts. Sie wird durch die Rektorin Prof. Dr. Kerstin Krieglstein gesetzlich vertreten.

Unseren Datenschutzbeauftragten erreichen Sie unter:

Albert-Ludwigs-Universität Freiburg
Der Datenschutzbeauftragte
Fahnenbergplatz, 79085 Freiburg
datenschutzbeauftragter@uni-freiburg.de

II.    Auftragsverarbeiter

Die ZOOM Video Communications, Inc., 55 Almaden Boulevard, 6th Floor, San Jose, CA 95113, ist als Auftragsverarbeiter im Sinne von Artikel 28 DS-GVO für die Universität Freiburg tätig.

III.    Verarbeitung personenbezogener Daten

Die Form der Datenverarbeitung hängt davon ab, wie der Dienst genutzt wird. ZOOM ermöglicht eine flexible Gestaltung der Online-Meetings. Als Host oder Moderator werden die in Ihrem ZOOM-Account hinterlegten personenbezogenen Daten zur Verwaltung der ZOOM-Räume verarbeitet. Als Teilnehmer*in können Sie darüber entscheiden, ob Sie am Chat teilnehmen oder ob Sie Ihr Mikrofon bzw. Ihre Kamera freigeben. In der Regel werden bei der Nutzung von ZOOM folgende Daten mit Personenbezug verarbeitet:

1. Benutzer*innen-Daten

a. Bei dienstlichen ZOOM-Accounts werden nach dem Login und der Bestätigung durch die Nutzer*innen (Anmeldevorgang) folgende Daten an ZOOM übertragen:
 - Pseudonym, sonst optional der vollständige Name (Anzeigename) sowie Vorname(n) und Nachnamen als getrennte Felder;
 - Spracheinstellung;
 - optional Abteilung;
 - die dienstliche E-Mail-Adresse der Person;
 - der Name der Einrichtung „Universität Freiburg“;
 - optional Stellenbezeichnung;
 - optional Telefonnummer
 - optional Ort
 - optional Unternehmen bzw. Einrichtung
 - Kennwort zur Anmeldung

b. Wenn Sie sich mit einem sonstigen ZOOM-Account anmelden, werden die dort hinterlegten personenbezogenen Daten verarbeitet.
c. Wenn Sie sich mit einem ZOOM-Raum (im Browser oder per Client) als Gast ohne Anmeldung mittels ZOOM-Account verbinden, werden Sie darum gebeten, sich selbst ein Alias zu wählen, um Ihren Namen gegenüber ZOOM nicht offenlegen zu müssen.
d. Wenn Sie sich per Telefoneinwahl zuschalten, wird Ihre Telefonnummer verarbeitet

2. Video-, Audio- und Textdaten

a. Videodaten, sofern Sie die Kamera Ihres Endgeräts freigegeben haben
b. Audiodaten, sofern Sie das Mikrofon Ihres Endgeräts freigegeben haben
c. Textdaten, sofern die Chat-, Fragen- oder Umfragefunktion genutzt wird

3. Meeting-Metadaten

a. Dauer des Meetings
b. Beginn und Ende (Zeit) der Teilnahme von Personen
c. Name und Beschreibung des Meetings
d. Geplantes Datum/Uhrzeit des Meetings
e. Chat-Status
f. IP-Adressen der zur Teilnahme verwendeten Endgeräte sowie weitere Geräte-/Hardware-Informationen (MAC-Adresse, andere Geräte-IDs (UDID), Gerätetyp, Betriebssystemtyp und -version, ClientVersion, Kameratyp, Mikrofon oder Lautsprecher, Art der Verbindung u.a.), ungefähre Position zur Herstellung einer Verbindung zum nächstgelegenen ZOOM-Rechenzentrum
4. Meeting-Aufzeichnungen (optional)
a. mp4 aller Video- und Audioaufnahmen und Präsentationen
b. m4a aller Audioaufnahmen
c. Textdatei aller Annotationen, Chats, Audio-Protokolldatei
d. Audio-Protokolldatei und andere Informationen, die während der Nutzung des Dienstes geteilt werden.

5. Beschäftigte in Verwaltung/(Lizenz-)Beschaffung:

a. Vollständiger Name,
b. dienstliche E-Mail-Adresse,
c. Rechnungs- und Beschaffungsdaten.

Video- und Audiodaten enthalten jedenfalls Ihr Abbild sowie Ihre Stimme als personenbezogene Daten im Sinne des Artikel 4 Nr. 1 DSGVO, da sich die Daten auf Sie als identifizierte bzw. identifizierbare natürliche Person beziehen. Darüber hinaus kann der Inhalt Ihrer Beiträge Rückschlüsse auf Ihre Person zulassen. Auch IP-Adresse und Geräte-/Hardware-Informationen können einen Rückschluss auf Ihre Person zulassen und sind daher als personenbezogene Daten zu behandeln. Bei einer Nutzung von ZOOM mit privaten Endgeräten, sind Sie bei Nutzung einer VPN-Verbindung anhand der nach Ziffer 3f übermittelten Daten außerhalb der Universität nicht identifizierbar.

Die bei ZOOM verfügbare „Aufmerksamkeitsüberwachung“ ist deaktiviert. Der Text innerhalb der Chatfunktion wird in einer separaten Datei gespeichert und ist im Falle einer Aufzeichnung nicht Teil des Videos.

IV.    Rechtsgrundlage

Die Universität Freiburg setzt ZOOM sowohl in den Bereichen Studium und Lehre, Wissenschaft und Forschung als auch im Rahmen der Verwaltung sowie Presse- und Öffentlichkeitsarbeit ein. Die einschlägige Rechtsgrundlage für die Datenverarbeitung richtet sich nach dem jeweiligen Einsatzgebiet. Dabei verarbeitet die Universität personenbezogene Daten von Studierenden, Beschäftigten, weiteren Mitgliedern und Angehörigen sowie ggf. Externen für die Teilnahme an Lehrveranstaltungen, Online-Prüfungen, Besprechungen und weiteren Online-Meetings.
Die Verarbeitung dieser Daten ist zur Erfüllung der im öffentlichen Interesse liegenden Aufgaben der Universität sowie zur Erfüllung einer rechtlichen Verpflichtung der Universität erforderlich. Rechtsgrundlage ist Artikel 6 Absatz 1 Unterabsatz 1 lit. c) und lit. e), Absatz 3 DSGVO i.V.m. mit den der Universität durch das Landeshochschulgesetz (LHG), insbesondere durch §§ 2, 12 Abs. 1 und 6, 32 a, 32 b LHG in Verbindung mit einschlägigen Regelungen in universitären Satzungen sowie durch weitere Rechtsvorschriften zugewiesene Aufgaben.

Im Rahmen der Presse- und Öffentlichkeitsarbeit kann sich die Universität zudem ausnahmsweise auf ihr berechtigtes Interessen an der Datenverarbeitung nach Artikel 6 Absatz 1 Satz 1 lit. f) DSGVO berufen, soweit nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.

Personenbezogene Daten von Bewerberinnen und Bewerbern sowie Beschäftigten (Mitglieder und Angehörige) verarbeitet die Universität, soweit dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des jeweiligen Dienst- oder Arbeitsverhältnisses oder zur Durchführung innerdienstlich planerischer, organisatorischer, personeller, sozialer oder haushalts- und kostenrechnerischer Maßnahmen, insbesondere zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich oder in einer Rechtsvorschrift, einem Tarifvertrag oder einer Dienst- oder Betriebsvereinbarung (Kollektivvereinbarung) vorgesehen ist. Die Rechtsgrundlage ergibt sich aus Artikel 6 Absatz 1 Unterabsatz 1 lit. b) und lit. e), Absatz 3, Artikel 88 DSGVO i.V.m. § 15 Landesdatenschutzgesetz (LDSG) und §§ 83 ff. Landesbeamtengesetz BW (LBG).

Die Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten, die Sie optional von sich preisgeben können, ist Ihre Einwilligung gemäß Artikel 6 Absatz 1 Unterabsatz 1 lit. a), 7 DSGVO.

V.    Speicherung

Die oben angegebenen Daten werden solange verarbeitet, wie es für die Durchführung der Online-Meetings und damit zusammenhängender Services erforderlich ist. Das gilt nicht, sofern abweichend davon ein längerer Speicher- oder Aufbewahrungszeitraum gesetzlich vorgeschrieben oder für die Rechtsdurchsetzung innerhalb der gesetzlichen Verjährungsfristen erforderlich ist.
Wird ein Online-Meeting aufgezeichnet, erfahren Sie dies über eine Vorankündigung der Organisatorin/des Organisators und/oder über eine technische Signalisierung. Sie können Ihre Kamera und ihr Mikrofon selbstständig deaktivieren und das Meeting jederzeit verlassen. Mit der Aufzeichnung werden die Daten des Audiound Videostreams sowie optional die Nachrichten in der Chat-, Fragen- oder Umfragefunktion gespeichert und bleiben über die Dauer des Meetings hinaus gespeichert. Die auf den Cloudserver des Anbieters von ZOOM gespeicherten Daten werden nach spätestens 30 Tagen automatisch gelöscht. Soweit Online-Meetings nicht aufgezeichnet werden, speichert der Anbieter die Meeting-Inhalte nach eigenen Angaben nach Abschluss des Meetings nicht.

Eine Aufzeichnung von Online-Prüfungen oder anderweitige Speicherung der Bild- oder Tondaten findet nicht statt, soweit sie nicht zur Übertragung der Online-Prüfung unter Videoaufsicht erforderlich ist (Zwischenspeicherung).
Wenn Sie mit einem ZOOM-Account angemeldet sind, können Berichte über „Online-Meetings“ (Meeting-Metadaten, Daten zur Telefoneinwahl, Fragen und Antworten in Webinaren, Umfragefunktion in Webinaren) bis zu einem Monat bei ZOOM gespeichert werden.

VI. Datenverarbeitung außerhalb der EU / des EWR

Der ZOOM-Account der Universität wurde auf einen EU-Cluster gehoben und so konfiguriert, dass Meeting- und Webinar-Daten ausschließlich in Rechenzentren in Deutschland verarbeitet werden bzw., ausnahmsweise, in Rechenzentren innerhalb der EU / des EWR (Niederlande und Schweden).
Aktuell ist es noch nicht möglich, ZOOM so zu konfigurieren, dass alle oben angegeben Daten ausschließlich in Rechenzentren innerhalb Europas verarbeitet werden. Die unter III.1.3 aufgeführten Meeting-Metadaten werden von der ZOOM Video Communications, Inc. weiterhin in Rechenzentren in den USA verarbeitet.

Um den datenschutzrechtlichen Vorgaben Rechnung zu tragen, hat die Universität Freiburg mit dem Anbieter einen Vertrag zur Datenverarbeitung im Auftrag nach Artikel 28 Abs. 3 DSGVO (Global Data-Processing-Agreement – DPA) abgeschlossen. Zusätzlich wurden die nach Artikel 46 Absatz 2 lit. c) DSGVO erforderlichen Standard-Vertragsklauseln (SCC) der EU-Kommission (Stand Juni 2021) abgeschlossen. Im Hinblick auf die Schrems-II- Rechtsprechung des Europäischen Gerichtshofs (Rechtssache C-311/18) enthält das DPA zusätzliche Garantien zur Sicherstellung der Einhaltung der Vorgaben der SCC bzw. des Schutzes der exportierten Daten bzw. betroffenen Personen.

Wenn Sie die Übermittlung der Meeting-Metadaten weiter einschränken möchten, empfehlen wir Ihnen, sich bei ZOOM-Meetings mit einem Pseudonym anzumelden, das keine Rückschlüsse auf Ihren Namen oder Ihre Person zulässt und über eine VPN-Verbindung teilzunehmen.

VII.    Empfänger

Interne Empfänger sind diejenigen Beschäftigten der Universität, die die Daten für ihre Tätigkeit im Rahmen der Aufgabenerfüllung benötigen. Weitere Empfänger existieren für den Fall, dass wir gesetzlich zu einer Weitergabe verpflichtet sind.

Externe Empfänger der Daten, die Sie im Rahmen des Online-Meetings preisgeben, sind auch die anderen Teilnehmer*innen des Online-Meetings.

Als Auftragsverarbeiter verarbeitet die ZOOM Video Communications, Inc. im Rahmen des Auftragsverarbeitungsverhältnisses Ihre Daten im oben geschilderten Umfang.

VIII.     Verschlüsselung

Dazu bietet ZOOM neben einer Transportverschlüsselung inzwischen auch die Möglichkeit einer Ende-zu-Ende-Verschlüsselung (E2EE) der Verbindung an. Bitte machen Sie, insbesondere bei Meetings mit sensiblen Gesprächsinhalten, von dieser Möglichkeit Gebrauch oder bitten den Host/Veranstalter, das Meeting entsprechend anzulegen. Weitere Informationen zu E2EE finden Sie hier: https://blog.zoom.us/de/zoom-rolling-out-end-to-end-encryption-offering/

IX.    Datenverarbeitung in der Cloud

ZOOM hat sich gegenüber der Universität zu einer datenschutzkonformen Verarbeitung personenbezogener Daten verpflichtet. Dazu hat die Universität alles ihr Mögliche unternommen, um die Datenverarbeitung den gesetzlichen Vorgaben entsprechend, sicher, transparent und sparsam zu gestalten. Dennoch bleibt zu beachten, dass die Universität bei der Nutzung von externen Cloud-Diensten grundsätzlich keinen direkten Einfluss auf die Sicherheit der Datenverarbeitung nehmen kann und insofern auf die Compliance des Vertragspartners angewiesen ist. Daher sollten Sie bei der Nutzung nicht unnötig viele bzw. vertrauliche Daten preiszugeben und wenn möglich auf den universitätseigenen Dienst BigBlueButton zurückzugreifen.

X.    Ihre Rechte

Hinsichtlich der Sie betreffenden personenbezogenen Daten haben Sie folgende Rechte:

a. Recht auf Widerruf Ihrer Einwilligung mit Wirkung für die Zukunft (Artikel 7 Absatz 3 DSGVO),
b. Recht auf Bestätigung, ob Sie betreffende Daten verarbeitet werden und auf Auskunft über die verarbeiteten Daten, auf weitere Informationen über die Datenverarbeitung sowie auf Kopien der verarbeiteten Daten (Artikel 15 DSGVO),
c. Recht auf Berichtigung oder Vervollständigung unrichtiger bzw. unvollständiger Daten (Artikel 16
DSGVO),
d. Recht auf unverzügliche Löschung der Sie betreffenden Daten (Artikel 17 DSGVO),
e. Recht auf Einschränkung der Verarbeitung (Artikel 18 DSGVO),
f. Recht auf Datenübertragbarkeit bzw. auf Erhalt der Daten in einem strukturierten, gängigen und maschinenlesbaren Format, sofern bestimmte Voraussetzungen erfüllt (Artikel 20 DSGVO),
g. Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde über die Verarbeitung der Sie betreffenden personenbezogenen Daten durch die Universität Freiburg zu beschweren (Artikel 77 DSGVO).
Aufsichtsbehörde im Sinne des Artikels 51 Absatz 1 DSGVO über die Universität Freiburg ist gemäß §25 Absatz 1 LDSG: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, poststelle@lfdi.bwl.de.

Weitere Informationen zur Datenverarbeitung bei der Nutzung von ZOOM können Sie unter
https://zoom.us/de-de/privacy.html sowie https://zoom.us/docs/de-de/privacy-and-security.html abrufen. Bitte beachten Sie, dass es sich dabei um eine externe Website handelt, die von der ZOOM Video Communications, Inc. in eigener Verantwortlichkeit betrieben wird und bei deren Besuch personenbezogene Daten verarbeitet werden.

XI.    Widerspruchsrecht nach Art. 21 DS-GVO

Sie haben ein Recht auf Widerspruch gegen die künftige Verarbeitung der Sie betreffenden Daten, sofern die Daten nach Maßgabe von Artikel 6 Absatz 1 Unterabsatz 1 lit. e) oder f) DS-GVO verarbeitet werden.