Sind Videokonferenzlösungen wie Zoom oder Cisco WebEx Telekommunikationsdienste?

Kategorien: Datenschutz

Diese Frage ist wegen des neuen Telekommunikationsgesetzes (TKG) entscheidend, das ab dem 01.12.2021 gilt. Denn dadurch entscheidet sich unter anderem, ob die DSGVO gilt oder das TTDSG. Bei Zoom gibt es einige Vorgänge, die einem TK-Dienst entgegen stehen könnten.

Einleitung

Dieser Beitrag wurde aufgrund von Rückmeldungen am 14.12.2021 umfangreich überarbeitet. Ich lasse die Teile des Beitrags stehen, die ich nach wie vor für relevant halte.

Das neue deutsche Datenschutzgesetz TTDSG gilt seit dem 01.12.2021. Es ist ein sogenanntes Artikelgesetz. Es umfasst das TKG, das TMG und setzt die europäische ePrivacy-Richtlinie um.

Das TTDSG hat Vorrang vor der DSGVO, sofern es Anwendung findet. Das wird etwa in Art. 95 DSGVO geregelt. Das TKG wieder setzt die Richtlinie 2002/21/EG um. Die Richtlinie definiert unter anderem, was Telekommunikationsdienste sind. Offenbar definiert das TKG diesen Begriff anders und orientiert sich damit wohl auch an der EU-Richtlinie 2018/1972.

Die Regelungen des TTDSG und der DSGVO unterscheiden sich offensichtlich. Da braucht man nicht einmal die Bußgeldregelungen anzuschauen. Deswegen ist es entscheidend, ob eine Videokonferenzlösung als Telekommunikationsdienst gilt oder nicht. Denn TK-Dienste sind vom TKG erfasst (§ 1 TKG).

Das TKG bietet in § 3 TKG zahlreiche Begriffsbestimmungen. Unter anderem steht dort in Nr. 61:

"Telekommunikationsdienste" [sind] in der Regel gegen Entgelt über Telekommunikationsnetze erbrachte Dienste, die – mit der Ausnahme von Diensten, die Inhalte über Telekommunikationsnetze und -dienste anbieten oder eine redaktionelle Kontrolle über sie ausüben – folgende Dienste umfassen:
a) Internetzugangsdienste,
b) interpersonelle Telekommunikationsdienste und
c) Dienste, die ganz oder überwiegend in der Übertragung von Signalen bestehen, wie Übertragungsdienste, die für Maschine-Maschine-Kommunikation und für den Rundfunk genutzt werden;

Quelle: § 3 Nr. 61 TKG

In Erwägungsgrund 17 der Richtlinie (EU) 2018/1972 (europäischer Kodex für die elektronische Kommunikation) wird der Begriff der interpersonellen Kommunikation aufgegriffen. Ebenda ist auch der Mail-Verkehr als interpersonelle Kommunikation definiert. Genau dafür hat aber der EuGH (GMail-Urteil) festgestellt, dass es sich nicht um einen TK-Dienst handelt. Das Urteil bezieht sich allerdings nicht auf den eben genannte Richtlinie. In Erwägungsgrund 16 der eben genannten Richtlinie ist allerdings genannt, dass ein Entgelt auch dann als vorliegend angesehen wird, wenn mit Daten bezahlt wird, um es verkürzt zu sagen. Ich aktualisiere meine Meinung derart, dass Zoom wahrscheinlich gegen Entgelt erbracht wird. Die Bezahlung mit Daten unterliegt dann möglicherweise aber der DSGVO und findet meist in einer, wie ich finde, rechtswidrigen Weise statt. Allerdings finde ich, dass die Nutzungsbedingungen oder andere vertragliche Bedingungen von Zoom dies dann auch widerspiegeln müssten.

Keine überwiegende Übertragung von Signalen

Bevor meine weiteren eigenen Untersuchungen zu Zoom und Cisco WebEx folgen, sei das EuGH-Urteil vom 13.06.2019 (Az.: C‑193/18) zu Over-the-Top Diensten (OTT) wie GMail genannt. Ein OTT-Dienst bedient sich eines Kommunikationsnetzes, ohne selber eines bereitzustellen (Rn. 10 ebd.). Diesem Urteil nach, das sich auf den § 3 Nr. 24 TKG a.F. bezieht, ist GMail kein Dienst im Sinne des § 3 Nr. 61 c TKG (aktuelle Fassung).

Das alte TKG, auf das sich das EuGH-Urteil bezieht, gilt nicht mehr. Im neuen TKG ist die Möglichkeit der interpersonellen Kommunikation als Merkmal für das Vorliegen eines Telekommunikationsdienstes hinzugekommen. Jedoch gebe ich zu bedenken, dass es die Richtlinie 2002/77/EG der Kommission vom 16. September 2002 über den Wettbewerb auf den Märkten für elektronische Kommunikationsnetze und -dienste gibt. Diese definiert auf EU-Ebene den Begriff des Telekommunikationsdienstes. Hier sehe ich als Informatiker meine Grenze der Beurteilung überschritten: Gilt diese Richtlinie über dem TKG? Bzw. setzt sich das TKG unerlaubterweise über diese Richtlinie hinweg, wenn TK-Dienste im TKG anders definiert werden als auf EU-Ebene? Laut amtlichen Anmerkungen dient das neue TKG jedenfalls der Umsetzung der genannten Richtlinie!

Ein Dienst wie Zoom ist wohl kein Internetzugangsdienst (§ 3 Nr. 61 a TKG). Zoom ist auch nicht vergleichbar mit einem Rundfunkdienst. Zoom dient meines Erachtens auch nicht überwiegend der Übertragung von Signalen, denn

a) Zoom (und andere Dienste dieser Art) zeichnet den Nutzer über eine Kamera auf (wobei ein Signal von der Kamera zur lokalen Zoom-Anwendung beim Nutzer erfolgt, bevor es dann nur unter bestimmten Bedingungen zu anderen Nutzern weitergeleitet wird),

b) Zoom zeichnet die Sprache eines Anwenders auf,

c) Zoom bietet einen Chat, in den man etwas reinschreiben kann (ohne es absenden zu müssen),

d) Zoom zeigt eine Teilnehmerliste an,

e) Zoom bietet die Möglichkeit von Reaktionen (Hand heben ec.),

f) Zoom erlaubt das Aufzeichnen von Meetings auf dem eigenen Computer,

g) die Zoom-Anwendung bleibt (bei mir) nach einem Update aktiv, obwohl kein Meeting stattfindet.

h) Zoom betreibt kein eigenes Kommunikationsnetz (vgl. o.g. EuGH-Urteil zu OTT-Diensten)

Man könnte wahrscheinlich weiteres anführen, warum Zoom oder Cisco WebEx nicht überwiegend Signale an andere übertragen, sondern auch viele andere Aufgaben erfüllen.

Also bleibt nur § 3 Nr. 61 b als Kriterium für Zoom. Ist Zoom ein Dienst der interpersonellen Kommunikation?

Videoübertragung finde oft statt, aber gar nicht zu anderen Teilnehmern

Punkt a) von eben sorgt allerdings auch hier für einige Fragezeichen. Denn eine Videoübertragung erfolgt wohl in erster Linie von Nutzern zu Zoom und nicht von einem Zoom-Nutzer zu anderen Zoom-Nutzern. Dazu erfolgt zudem zuerst eine Übertragung von der Nutzerkamera zum Nutzerendgerät bzw. zum Betriebssystem auf dem Endgerät. Eine Personenkommunikation gibt es hier nicht. Nur wenn andere Nutzer die Videoübertragung eines Nutzers nicht blockieren, oder das Videosignal nicht durch den Moderator unterdrückt wird, wird dieses Videosignal zu anderen Nutzern überspielt. Auch findet bei einigen Teilnehmern oft keine Übertragung des Videosignals zu anderen Teilnehmern statt, nämlich dann, wenn nicht alle Teilnehmervideos auf dem Bildschirm Platz finden. Zudem müsste man mal prüfen, ob Zoom nicht immer das Videosignal von Teilnehmern erhält, auch wenn die Kameraübertragung (zu sich selber und anderen Teilnehmern) über die Zoom-Anwendung deaktiviert ist. Ich halte es gemäß Zoom-Datenschutzerklärung für durchaus möglich, dass Zoom sich das Videosignal eines Nutzers zukommen lässt, selbst wenn der Nutzer seine Kamera über die Zoom-Anwendung deaktiviert hat.

Der Begriff der interpersonellen Kommunikation wird in § 3 Nr. 24 TKG definiert (Fettdruck von mir):

[Ein] "interpersoneller Telekommunikationsdienst" [ist] ein gewöhnlich gegen Entgelt erbrachter Dienst, der einen direkten interpersonellen und interaktiven Informationsaustausch über Telekommunikationsnetze zwischen einer endlichen Zahl von Personen ermöglicht, wobei die Empfänger von den Personen bestimmt werden, die die Telekommunikation veranlassen oder daran beteiligt sind; dazu zählen keine Dienste, die eine interpersonelle und interaktive Telekommunikation lediglich als untrennbar mit einem anderen Dienst verbundene untergeordnete Nebenfunktion ermöglichen;

Zoom ist also nur ein TK-Dienst, meine ich, wenn Zoom gewöhnlich gegen Entgelt angeboten wird. Da in § 3 Nr. 61 TKG nur steht „in der Regel gegen Entgelt“, heißt „gewöhnlich gegen Entgelt“ wohl, dass es über eine Regel hinausgehen muss, also öfter stattfinden muss, dass der Dienst gegen Entgelt angeboten wird als nur in der Regel.

Ob Zoom nicht nur untergeordnet interpersonelle Kommunikation abwickelt, könnte auch diskutiert werden. Denn diese Bedingung ist wohl erheblich, damit § 4 Nr. 24 TKG gilt. Siehe hierzu meine recht umfangreiche, aber immer noch unvollständige Aufzählung oben.

Was bedeutet Entgelt? Der Erwägungsgrund 16 der EU-Richtlinie 208/1972 erlaubt auch das Bezahlen mit Daten. Dies könnte bei Zoom gegeben sein. Ob es tatsächlich so ist, müsste näher untersucht werden.

Cisco Webex

Schauen wir uns zunächst Cisco WebEx an. Der Registrierungsprozess ist kostenfrei. Das ist schon mal ein Unterschied zu einem Handy-Tarif oder einer Festnetznummer, denn bekanntlich erhält man eine Festnetznummer für gewöhnlich nicht kostenfrei. Das wäre schon schön, wenn Festnetztelefonie bald für gewöhnlich kostenfrei wäre.

Den Registrierungsprozess rechne ich deswegen und auch unabhängig davon nicht dem TK-Dienst zu. Hier gilt die DSGVO, wenn es um eine Registrierung auf einer Webseite geht. Das ist bei Zoom und Cisco WebEx jedenfalls der Fall. Es gibt zusätzlich Teilnahmemöglichkeiten für Meetings ohne Registrierung über eine Webseite. Da mag die Sachlage eine andere sein, was zu prüfen wäre.

Im Registrierungsprozess ist der Titel der Seite bei Cisco Webex „Webex kostenlos testen“. Testen ist auch eine Nutzungsform, vor allem, wenn die Testphase unendlich lange sein kann. Wenn hier mit Daten bezahlt werden würde, müsste man wohl über die DSGVO nachdenken, vermute ich mal.

Die Webex-Registrierung zeigt folgendes Bild:

Gemäß meines Updates vom 14.12.2021 müsste man insbesondere prüfen, ob Cisco durch Daten bezahlt wird. Sofern dies zu bejahen ist, wäre die spannende Frage, ob das rechtskonform stattfindet.

Zoom Videokonferenz-Plattform

Wie sieht es bei Zoom aus?

In der mir vorliegenden Zoom-Anwendung unter Windows kann ich keine Meetings veranstalten. Ich muss dazu auf die Zoom-Webseite gehen. Die Veranlassung eines Zoom Meetings ist somit wohl kein TK-Dienst (ich verzichte hier auf weitere Darstellungen. Gesagt sei hier nur, dass § 3 Nr. 24 TKG trennt zwischen der Veranlassung und der Durchführung der Kommunikation).

Über die Zoom Webseite veranstalte ich nun ein Meeting über den Menüpunkt Ein Meeting veranstalten und wähle dann Mit Video als Option aus.

Hierbei und auch unabhängig davon wird prominent damit geworben, dass man sich „kostenlos registrieren“ kann.

Während der Registrierung erscheint folgende Nachricht:

Zoom gibt mir also ein Gratiskonto. Hier könnte man darüber streiten, ob der Begriff Gratiskonto haltbar ist, wenn mit Daten bezahlt wird.

Um noch mehr Nutzer zu gewinnen, bietet Zoom mir während der Registrierung folgend ebenfalls kostenlose Möglichkeit an:

Das Einladen von Kollegen, Zoom an sich selber zu nutzen, ist wohl eine andere Sache als das Durchführen einer oder Teilnehmen an einer Videokonferenz.

Die Kollegen lade ich nicht zu Zoom ein, da mir Datenschutz wichtig ist. Jetzt kann ich das Zoom Meeting starten. Die wesentlichen Aussagen zu diesem Schritt sind:

Hier sind keinerlei Preise, Kosten oder ähnliches genannt. Vielmehr öffnet sich jetzt (bei mir) die Windows-Anwendung von Zoom. Auch dort kein (mir ersichtliches) Wort zu Preisen oder Kosten. Oder sehen Sie hier irgendwas davon:

Auch bei einem Meeting mit Videofunktion sieht es nicht viel anders aus, nur dass Sie dann Peter Rodnelli himself sehen könnten, sofern er seine Kamera nicht deaktiviert hat. Selbst nach Durchsuchen aller Menüpunkte in der Zoom-App konnte ich nirgends den geringsten Hinweis finden, dass Zoom kostenpflichtig sein könnte. Man müsste mal die Nutzungsbedingungen von Zoom dahingehend prüfen, ob dort das Bezahlen mit Daten ausreichend gewürdigt ist.

Nach meinem Testmeeting mit mir selber ist etwas Erstaunliches passiert. Zoom machte mich über die Windows-Anwendung, die ich gerade schließen wollte, auf ein Update aufmerksam:

Hmm, was hat das mit der interpersonellen Kommunikation zu tun? Gar nichts, würde ich sagen. Ich kann über das Ausführen eines Updates nicht mit anderen Personen kommunizieren. Jedenfalls wüsste ich nicht, wie das gehen soll. Als Hacker könnte man es irgendwie wohl hinbekommen und den Update-Mechanismus verbiegen. Aber das brauchen wir hier wohl nicht weiterzudiskutieren.

Hervorzuheben sollte meiner bescheidenen Meinung nach sein, dass ein Update einer Videokonferenzlösung jedenfalls kein Telekommunikationsdienst ist. Für das Update gilt demnach die DSGVO. Wie war das nochmal mit AV-Verträgen mit Zoom? Ich lese bei anderen, dass ein AVV eigentlich gar nicht mehr nötig sei, weil Zoom ein TK-Dienst sei und demnach (seit dem 01.12.2021) kein Auftragsverarbeiter (mehr). Das Update zerstört das Karma.

Offensichtlich ist das Update technisch nicht erforderlich, jedenfalls nicht jetzt. Immerhin konnte und kann ich Zoom nutzen, und zwar ohne erkennbare Fehler. Die im Update genannten „Minor bug fixes“ sind also technisch nicht notwendig. Sollten sie es sein, wären es keine untergeordneten Fixes. Auch sehe ich "Turkish and Polish language support" für mich selber als komplett irelevant und somit als technisch nicht notwendig an. Unabhängig davon fehlen weitere Informationen aus Art. 13 DSGVO. Aber alleine das Herunterladen des Updates wäre wohl schon ein Eingriff in meine Privatsphäre, denn dabei erfolgt ein Zugriff auf mein Endgerät (meinen Computer). Dies ist aber laut § 25 TTDSG ohne Einwilligung nicht erlaubt. Ich sehe in der Update-Meldung oben keine Einwilligungsabfrage für den Zugriff auf mein Endgerät, mindestens jedoch nicht die nötigen Pflichtinformationen aus der DSGVO, die § 25 Abs. 1 TTDSG ins Spiel bringt. Ob zusätzlich die Rechtsgrundlage aus Art. 6 DSGVO fehlt, will ich hier nicht weiter untersuchen. Ich vermute, dass das Update meine Daten in die USA schickt. Demnach wäre auch die strengere Vorschrift zur Einwilligung aus Art. 49 Nr. 1 a DSGVO relevant. Risiken wurden mir von Zoom jedenfalls nicht benannt. Ich sehe aber Risiken, denn ich mag es nicht besonders, wenn amerikanische Geheimdienste meine Daten erhalten können.

Zusammenfassend stellt sich mir nach meinem Artikel-Update folgendes Bild dar:

Dass die Webseite von Zoom meines Erachtens Datenschutzverstöße enthält, sei nur am Rande erwähnt. Anscheinend kennt Zoom die Datenschutzregeln in Europa oder Deutschland nicht so gut. Kann ja mal passieren.

Übrigens gelten laut Registrierungsprozess zur Veranstaltung von Zoom Meetings die Zoom-Datenschutzhinweise für die Zoom Videokonferenzlösung. Dort ist erwähnt, dass diese nicht für Produkte gelten, sofern sie in einer "separaten Datenschutzerklärung" genannt sind. Der Link dazu führt ins Leere. Ändert man die Sprache im Link auf Englisch, finden man Zoom Events. Also gilt die Datenschutzerklärung für Zoom Video Conferencing. Wer möchte, kann ja mal schauen, ob hier weitere Erkenntnisse zu finden sind.

Ich stelle meine Ergebnisse hiermit zur Diskussion und freue mich über Rückmeldungen. Die bisherigen Rückmeldungen hatten mich zu einem umfangreichen Update dieses Artikels veranlasst. Auch nach dem Update und den guten Rückmeldungen, sehe ich Unsicherheiten in der Beurteilung, ob Zoom ein TK-Dienst ist oder nicht.