Richtlinie zum Einsatz des Videokonferenzsystems Zoom an der Universität Freiburg

Stand: 20.07.2023

I Was ist Zoom?

ZOOM ist eine kommerzielle, cloudbasierte Videokonferenzlösung des Anbieters ZOOM Video Communications, Inc., die sich in Zusammenhang mit der Corona-Pandemie als die technisch zuverlässigste und intuitivste Videokonferenzlösung erwiesen hat. Bei der ZOOM Video Communications, Inc. handelt es sich um ein US-amerikanisches Unternehmen mit Hauptsitz in San Jose, Kalifornien. „ZOOM“ bietet eine zuverlässige Cloud-Plattform insbesondere für Video- und Audiokonferenzen auf Mobilgeräten, Desktops, Telefonen an. Die ZOOM Video Communications, Inc. kooperiert inzwischen auch mit deutschen Telekommunikationsanbietern. In diesem Zusammenhang hat der Verein zur Förderung eines Deutschen Forschungsnetzes e.V. (DFN) nach erfolgreicher Ausschreibung im Frühjahr 2022 einen Rahmenvertrag mit der Deutschen Telekom AG ausgehandelt über welchen Mitglieder, insbesondere deutsche Universitäten und Hochschulen, das Angebot ZOOM X nutzen können.

II Warum die Univeristät Zoom anbietet

Mit Beginn der Corona-Pandemie standen die Universitäten vor der großen Herausforderung, Präsenzveranstaltungen fast vollständig digital anzubieten. Das betraf neben der Lehre auch die weiteren Bereiche der Universität, wie Forschung, Weiterbildung und Verwaltung. Der damit verbundene hohe Bedarf an Videokonferenzen konnte mit den bisherigen universitätsintern und vom DFN gehosteten Videokonferenzsystemen nicht ausreichend gedeckt werden. So musste kurzfristig ergänzend auf cloudbasierte Online-Settings zurückgegriffen werden. Dazu hat die Universität Freiburg im Frühjahr 2020 Lizenzen zur Nutzung des Videokonferenzsystems ZOOM erworben.

Trotz der Rückkehr zum Präsenzbetrieb ist im Hinblick auf die aktuelle Entwicklung nicht auszuschließen, dass es erneut zu Einschränkungen kommen kann. Daher hat die Universität Freiburg, um den weiterhin hohen Bedarf an Videokonferenzen sicherstellen zu können, im April 2023 für ein weiteres Jahr Lizenzen zur Nutzung von ZOOM erworben.

Im Vergleich zu anderen auf dem Markt angebotenen Systemen liefert ZOOM, insbesondere bei Online-Meetings mit großen Gruppen, wie sie in der universitären Lehre und Gremienarbeit erforderlich sind, eine sehr hohe Qualität. Es ist besonders anwenderfreundlich gestaltet, stellt eine intuitiv bedienbare Clientsoftware bereit und bietet eine große Anzahl an datenschutzfreundlichen Einstellungsmöglichkeiten. Auch aufgrund der umfassenden Moderations-werkzeuge ist ZOOM für den Einsatz in der Lehre bestens geeignet. Deshalb haben sich die Fakultäten, insbesondere die Studiendekane und Studiendekaninnen, ausdrücklich für den Einsatz von ZOOM ausgesprochen.

III Einsatz von ZOOM unter den Vorgaben der DSGVO

Rechtlich wird der Einsatz von ZOOM durch den Abschluss eines Vertrages zur Datenverarbeitung im Auftrag nach Art. 28 Abs. 3 EU-Datenschutzgrundverordnung (DSGVO) mit dem Anbieter abgesichert. ZOOM ist dazu so konfiguriert, dass die im Rahmen der Online-Meetings unmittelbar erhobenen Daten (wie Bild, Ton, Gesprächsinhalte) grundsätzlich innerhalb der Europäischen (EU) verarbeitet werden. Weiter wurden zahlreiche Konfigurationen und Einstellungen vorgenommen, um ZOOM im Hinblick auf den Datenschutz auf einem angemessenen Niveau einsetzen zu können. Die Einstellungen werden regelmäßig geprüft und erforderlichenfalls an den aktuellen Stand der Technik angepasst.

Eine Registrierung der Teilnehmenden bei ZOOM ist nicht erforderlich. Die Teilnahme ist unter Angabe eines Alias auch über den Browser möglich, so dass der ZOOM-Client nicht heruntergeladen und installiert werden muss. Studierende können grundsätzlich an ZOOM-Meetings ohne Freischaltung ihres Mikrofons und/oder ihrer Kamera teilnehmen. Beschäftigte können ebenfalls ohne Freischaltung der Kamera und ohne Registrierung über den Browser an Meetings teilnehmen. Nur diejenigen, die selbst ZOOM Meetings anlegen möchten, müssen eine E-Mailadresse hinterlegen. In diesem Fall kann eine Funktionsadresse verwendet werden.

Weitere Hinweise zum Datenschutz finden Sie in den Informationen nach Art. 13/14 EU-Datenschutz-Grundverordnung (DSGVO) zum Einsatz des Video-Konferenzsystems ZOOM an der Universität Freiburg.
Darüber hinaus können Sie sich anhand der Hinweise der ZOOM Video Communications, Inc. informieren¹: Empfehlungen zu Datenschutzeinstellungen, Datenschutzerklärung von ZOOM, Zoom und die
Datenschutz-Grundverordnung (DSGVO) der Europäischen Union sowie den ZOOM Security Guide.

IV. Wofür darf ich Zoom nutzen?

Um den datenschutzrechtlichen Vorgaben im größtmöglichen Maße Rechnung zu tragen steht der Einsatz von ZOOM unter dem Vorbehalt, dass die zuverlässige und störungsfreie Durchführung einer Online-Veranstaltung nicht mit einem anderen, insbesondere von der Universität selbst betriebenen Informations- und Kommunikationssystemen, gewähr-leistet werden kann.
Gemäß den Zusicherungen des Anbieters werden Meeting-Inhalte nicht gespeichert oder in irgendeiner Form überwacht. Wenn der ZOOM-Client eingesetzt und das Meeting nicht aufgezeichnet wird, werden nach Angaben des Anbieters alle Inhalte verschlüsselt übertragen und nicht mitgeschnitten. Im System gespeichert werden lediglich die sog. Meeting-Metadaten der durchgeführten Meetings, insbesondere Titel und Datum des Meetings, sowie Informationen zu den Hosts und Teilnehmenden (bspw. Name / Pseudonym, Bei- und Austrittszeitpunkte, ggf. Endgerät, Betriebssystem, IP Adresse/n, Client-Version, genutzte Peripheriegeräte [Mirkofon, Kamera]). Aktuell ist es noch nicht möglich, ZOOM so zu konfigurieren, dass alle Daten ausschließlich in Rechenzentren innerhalb der EU/des EWR verarbeitet werden.

Ausführliche Informationen dazu finden Sie ebenfalls in den Datenschutzinformationen der Universität. Anders als bei selbst gehosteten Lösungen hat die Universität bei der Nutzung von ZOOM keinen unmittelbaren Einfluss auf die Datenverarbeitung. Daher soll vorrangig auf die universitätseigenen Videokonferenz-Lösungen zurückgegriffen bzw. die von ZOOM angebotene Ende-zu-Ende-Verschlüsselung aktiviert werden.

Im Rahmen von ZOOM Online-Meetings dürfen grundsätzlich keine sensiblen, vertraulichen oder geheimen Inhalte/Daten besprochen bzw. verarbeitet werden. Die meisten Meetings mit sensiblen Inhalten richten sich nicht an einen großen Teilnehmerkreis (z.B. mündliche Prüfungen, Bewerbungsgespräche, Gremiensitzungen), so dass in der Regel auf universitätsinterne Videokonferenzlösung BBB zurückzugreifen ist. Ausnahmen können sich ergeben, wenn die Inhalte der Kommunikation Ende-zu-Ende verschlüsselt werden, siehe unter V.

Nachfolgend werden Beispiele für die erlaubte Nutzung von ZOOM an der Universität Freiburg ange-
führt. Bitte beachten Sie, dass jede Kommunikation sensible Daten enthalten kann.
Nach eigenen Angaben erlaubt ZOOM Minderjährigen unter 16 Jahren grundsätzlich nicht, eigene Be-
nutzerkonten anzulegen.

1 Was sind sensible Daten?

Zu besonders sensiblen bzw. vertraulichen Daten zählen insbesondere die in Artikel 9 der DSGVO geregelten Kategorien von Daten wie Gesundheitsdaten, Daten über rassische oder ethnische Herkunft, religiöse oder weltanschauliche Überzeugungen, Informationen zur sexuellen Orientierung. Weiter gehören dazu Daten, die gesetzlichen oder sonstigen Vertraulichkeits-, Verschwiegenheits- oder Geheimhaltungsregelungen unterliegen sowie Personalaktendaten. Insofern ist vor jeder Nutzung zu prüfen, ob Zoom für die voraussichtlichen Gesprächsinhalte geeignet ist. Eine entsprechende Prüfung sollte auch erfolgen, soweit (sensible) Forschungsdaten betroffen sind.

2 Mögliche Nutzung von Zoom

Die Nutzung von Zoom ist möglich, wenn keine sensiblen personenbezogenen Daten oder Inhalte verarbeitet
werden. Typische Beispiele zur Orientierung sind:

• Lehrveranstaltungen (ohne Aufzeichnung der Teilnehmenden),
• Informationsveranstaltungen,
• Öffentliche Veranstaltungen,
• Alltagskommunikation.

3 Eingeschränkte Nutzung von Zoom

Je wahrscheinlicher die Verarbeitung von sensiblen oder vertraulichen Daten wird, desto eher müssen die Inhalte bei der Nutzung von Zoom anonymisiert verarbeitet werden. Gegebenenfalls ist die Nutzung von Zoom nicht zulässig. Typische Beispiele für "überprüfenswerte" Szenarien sind:

• Dienstbesprechungen mit vertraulichen Inhalten,
• nicht öffentliche Gremiensitzungen,
• nicht öffentliche Interviews, Vorträge, Konferenzen, und vergleichbare Veranstaltungen,
• Gespräche zu sensiblen Forschungsdaten,
• Sprechstunden, Beratungsgespräche,
• Berufungsverfahren,
• Bewerbungsgespräche (soweit keine Gesundheitsdaten oder sonstige Daten nach Art. 9 Abs. 1 DSGVO betroffen sind),
• Online-Prüfungen.

4 Keine Nutzung von Zoom

Oft ist es unvermeidbar, dass besonders sensible oder vertrauliche Daten verarbeitet werden ‐ üblicherweise sind die sensiblen Daten in diesen Fällen das Gesprächsthema. Für diese Kommunikationen ist die Nutzung von Zoom nicht zulässig. Typische Beispiele sind:

• Psychologische Beratungsgespräche,
• Arzt‐ und Patientengespräche,
• (Forschungs‐) Gespräche zu Inhalten, die unter Geheimhaltung stehen.

V ZOOM-Client, E2EE, VPN

1 Zoom-Client

Der Zoom-Client wurde in der Version 5.6.6 im Dezember 2021 vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für die Common Criteria (CC) zertifiziert. Die Zertifizierung bezieht sich nur auf die angegebene Version, so dass das Zertifikat bzw. der Prüfbericht für folgende Versionen keine Aussagekraft haben. Zu beachten ist auch, dass ausschließlich der ZOOM-Client und nicht das ZOOM-Backend geprüft wurde. Insgesamt ist es positiv zu bewerten, dass ZOOM sich der Prüfung durch das BSI gestellt hat.

Der Einsatz des ZOOM Client wird im Hinblick auf den Datenschutz unterschiedlich bewertet. Aus diesem Grund ist es den Nutzer:innen freigestellt, ob sie den ZOOM-Client auf ihren (privaten) Geräten installieren oder über den Browser bzw. telefonisch an Meetings teilnehmen möchten.

2. Verschlüsselung / End-to-End-Encryption (E2EE)

Ausnahmen von den Vorgaben unter IV.3 und 4 können sich im Einzelfall ergeben, wenn die Meeting-Inhalte Ende-zu-Ende verschlüsselt werden. ZOOM stellt inzwischen eine End-to-End-Verschlüsselung (End-to-End-Encryption - E2EE) für Meetings zur Verfügung. Wie umfassend der Schutz bei der ZOOM-eigenen Verschlüsselung ist, kann aktuell nicht abschließend bewertet werden. Dennoch ist grundsätzlich von einer Verbesserung des Schutzniveaus auszugehen, so dass E2EE bei der Nutzung von ZOOM soweit wie möglich eingesetzt werden sollte. Das gilt vor allem für Meetings mit sensiblen Inhalten.

Nachteilig ist, dass bei der Nutzung der E2EE nicht alle ZOOM-Funktionen uneingeschränkt zur Verfügung stehen und zwingend der Zoom-Client verwendet werden muss. Die Aktivierung der E2EE deaktiviert u.a. die Funktionen Cloud-Aufzeichnung, Livestreaming, Breakout-Räume und Umfragen. Benutzer können nicht per Telefon oder Webbrowser beitreten. Weiter kann beim Einsatz von E2EE die Übertragungsgeschwindigkeit und damit die Qualität bzw. Funktionsfähigkeit des Dienstes beeinträchtigt werden. Folglich ist der Einsatz von E2EE nicht für alle Nutzungsszenarien geeignet.

Durch die genannten Einschränkungen kommt eine Aktivierung der E2E-Verschlüsselung bei (großen) Lehrveranstaltungen zurzeit nur bedingt in Frage. In diesem Zusammenhang ist außerdem zu beachten, dass es insbesondere den Studierenden aus datenschutzrechtlichen Gründen freisteht, ob sie den ZOOM-Client installieren oder über den Browser teilnehmen möchten. Weitere Informationen zu E2EE finden Sie unter auf den Seiten von ZOOM¹.

3. VPN

Durch den Einsatz eines VPN-Client kann erreicht werden, dass ZOOM eine in den Meeting-Metadaten erfasste IP-Adresse nicht einer bestimmten Person zuordnen kann, wenn diese unter Angabe eines Pseudonyms an einem Meeting teilnimmt.

Mitglieder der Universität haben aber grundsätzlich die Möglichkeit, das universitäts-eigene VPN zu nutzen. Allerdings kommt es auch beim Einsatz von VPN zu Einschränkungen, insbesondere für externe Gäste und im Hinblick auf die Übertragungsgeschwindigkeit bei großen Gruppen. Soweit durch den Einsatz von VPN keine Einschränkungen entstehen, ist der Einsatz aus datenschutzrechtlichen Gründen allerdings zu empfehlen.

Da ZOOM an der Universität eingesetzt wird, um kapazitive Engpässe bei Meetings mit großen Gruppen auszugleichen, muss im Einzelfall abgewogen werden, ob der durch den Einsatz von E2EE und/oder VPN erzielte datenschutzrechtliche Vorteil mit dem Zwecke des Erhalts der Funktionsfähigkeit des Universitäts- bzw. Lehrbetriebs in Einklang gebracht werden kann.

VI Aufzeichnen mit Zoom

1. Strafrechtliche Vorgaben

Zoom bietet den Bediensteten der Universität die Möglichkeit, Online‐Meetings aufzuzeichnen. Neben ihrer eigenen Präsentation (ggfs. mit Webcam‐Video) dürfen Meetingverantwortliche (Hosts) grundsätzlich keine Video‐, Audiobeiträge und Chatverläufe von Teilnehmenden aufzeichnen. Die jeweiligen Meetingverantwortlichen sind für die Einhaltung der rechtlichen Vorgaben verantwortlich.

2. Datenschutzrechtliche Vorgaben

Aus datenschutzrechtlichen Gründen ist die Aufzeichnung von Teilnehmenden im Rahmen von Lehrveranstaltungen nicht zulässig. Grund dafür ist, dass eine Einwilligung von teilnehmenden Studierenden im Zusammenhang mit Lehrveranstaltungen regelmäßig nicht das nach der DS‐GVO erforderliche Freiwilligkeitskriterium erfüllt. Diese kann daher nicht rechtwirksam von den Studierenden erteilt werden.

Auch im Rahmen von Beschäftigungsverhältnissen wird aufgrund des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer eine Einwilligung in der Regel nicht wirksam erteilt werden können.

Insofern ist auch im Beschäftigtenkontext eine Aufzeichnung von Online‐Meetings nicht gestattet

3. Aufzeichnungen der Meetingverantwortlichen durch sich selbst

Da die Präsentierenden oder Lehrenden grundsätzlich die Urheber ihrer Veranstaltungsinhalte und Lehrveranstaltung sind, ist es in der Regel unkritisch, wenn diese im Rahmen ihrer eigenen Online‐Veranstaltung lediglich sich selbst aufzeichnen und weder Bild‐ und Tonaufnahmen sowie sonstige Inhalte anderer Teilnehmenden in die Aufnahme einfließen, durch welche diese identifiziert werden können.

Um versehentliche Aufnahmen der Teilnehmenden auszuschließen, ist es erforderlich, dass Kameras und Mikrophone der Teilnehmenden vor Phasen der Aufzeichnung oder während der gesamten Veranstaltung zentral deaktiviert werden. Phasen der Diskussion und Fragen sind ans Ende der Veranstaltung zu verlegen und die Aufzeichnung zuvor zu stoppen. Rückfragen aus dem Auditorium können während der Veranstaltung unter einem Pseudonym in einem parallelen Chat gestellt und vom Veranstalter beantwortet werden.

Weitere Hinweise zur datenschutzkonformen Konfiguration und Durchführung von Online‐Meetings erhalten Sie im Leitfaden Online‐Lehre mit Zoom sowie unten unter Ziffer IX. Diese Vorgaben gelten entsprechend für Online‐Meetings mit Studierenden außerhalb der Lehre sowie beim Einsatz anderer Videokonferenzsystemen. Eine Bereitstellung der Aufzeichnung im Anschluss an die Veranstaltung erfolgt ausschließlich über universitätseigene Kanäle wie bspw. ILIAS.

VII. Datenschutzfreundliche Vorkonfiguration der Universitätslizenzen

VIII. Zoom-Accounts - Lizenzen für die Uni Freiburg

Das Rechenzentrum hat im Auftrag der Universität ein Kontingent an kostenpflichtigen Zoom Accounts erworben und und aufgrund der anhaltenden pandemischen Lage mit einer Laufzeit für 12 Monate bis 25.04.2024 verlängert. Diese Accounts ermöglichen es, Videokonferenzen mit bis zu 300 Teilnehmern ohne zeitliche Beschränkung zu halten. Ebenfalls gibt es noch eine weitere Lizenz, die bis zu 1000 Teilnehmer ermöglicht, sowie noch eine Webinarlizenz für bis zu 500 Teilnehmende.

1 Wie bekomme ich eine solche Lizenz?

Die erworbenen ZOOM-Lizenzen stehen Lehrenden, Mitarbeiterinnen und Mitarbeitern der Universität zur Verfügung. Die Verteilung erfolgt grundsätzlich durch Antrag der/des Interessierten; ausnahmsweise findet die die Meldung durch das Dekanat statt (Medizin).

Alle interessierte Mitarbeitende aus den Fakultäten oder aus fakultätslosen Einrichtungen können einen Antrag auf Erstellung eines lizenzierten Zoom-Accountsper Mail an vk@rz.uni-freiburg.de senden. Weitere Informationen erfolgen dann persönlich.

2. Meeting mit mehr als 300 Teilnehmer

Wenn Sie Interesse an der Nutzung der Lizenzen haben, die eine Teilnehmeranzahl von bis zu 1000 ermöglicht, schauen Sie sich bitte folgende Anleitung zur Buchung der Lizenz an: Anleitung zur Buchung der Großraumlizenz.

Für weitere Fragen wenden Sie sich bitte ebenfalls an vk@rz.uni-freiburg.de.

IX. Nutzung von Zoom in der Lehre

Grundsätzlich kann Zoom als Ersatz für Vorlesungsräume verwendet werden. Für die verschiedenen Szenarien in der Lehre wurden in Anlehnung an die Informationen, die das Karlsruher Institut für Technologie bereitstellt, Anleitungen erstellt, die sich auf die Situation und Einstellungen an der Universität Freiburg beziehen.

Leitfäden zum Einsatz von Zoom in der Lehre:

• Leitfaden für Lehrende: https://www.rz.uni‐freiburg.de/go/onlinelehremitzoom
• Leitfaden für Studierende: https://www.rz.uni‐freiburg.de/go/onlineteilnahmezoom

Zoom Guides in English

• Zoom Guides for Lecturers: https://www.rz.uni-freiburg.de/go/zoomforlecturers
• Zoom Guide for Students: https://www.rz.uni-freiburg.de/go/zoomguideforstudents

Diese Richtlinie gilt für den Einsatz des Videokonferenzsystems ZOOM an der Universität Freiburg, insbesondere in den Bereichen Forschung, Lehre, Verwaltung und Weiterbildung. Sie wird in regelmäßigen Abständen, mindestens jährlichen, überprüft. Bei Bedarf werden die Richtlinie und die damit verbundenen Dokumente fortgeschrieben. Die Fortschreibung kann durch die Entscheidung des für den Datenschutz zuständigen Rektoratsmitglieds erfolgen.

¹ Bitte beachten Sie, dass es sich bei den verlinkten Web-Seiten zum Teil um eine externe Website handelt, die von der ZOOM Video Communications, Inc. in eigener Verantwortlichkeit betrieben werden und bei deren Besuch personen-bezogene Daten verarbeitet werden.