Ein ganz normales Teams-Meeting. Niemand denkt sich etwas dabei, das Gespräch aufzuzeichnen, um es im Nachgang Kollegen zur Verfügung zu stellen. Doch was passiert, wenn ein Teilnehmer stottert, lispelt, ein sichtbares Pflaster oder schlichtweg eine Brille trägt? Willkommen in der Absurdität und Härte des Art. 9 DSGVO.
Der unsichtbare Wechsel zu Art. 9 DSGVO
Die meisten Unternehmen wissen, dass eine Aufzeichnung von Videokonferenzen (Zoom, MS Teams, WebEx) personenbezogene Daten verarbeitet (Art. 4 Nr. 1 DSGVO). Bild, Stimme und IP-Adresse erfordern eine Rechtsgrundlage – meist in Form einer vertraglichen Vereinbarung oder einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
Doch es gibt eine juristische Falle, die in der Praxis oft ignoriert wird, aber im Ernstfall verheerende Bußgelder nach sich ziehen kann: Daten besonderer Kategorien.
Sobald im Video erkennbar wird, dass ein Teilnehmer eine Sehschwäche hat (Brille), verletzt ist (Pflaster/Narbe) oder eine Sprachstörung aufweist (Stottern, Lispeln), erfasst die Aufzeichnung automatisch Gesundheitsdaten im Sinne des Art. 9 DSGVO. Auch das sichtbare Kreuz an der Halskette (religiöse Überzeugung) oder ein versehentlich geäußerter Satz zur politischen Einstellung fallen in diesen Hochrisikobereich.
Warum das ein massives rechtliches Problem ist
Die DSGVO statuiert in Art. 9 Abs. 1 zunächst ein prinzipielles Verarbeitungsverbot für derart sensible Daten. Die Ausnahmen in Abs. 2 (insbesondere die ausdrückliche Einwilligung) sind extrem streng gefasst.
- Die Standard-Einwilligung reicht nicht: Ein einfacher Klick auf "Ich stimme der Aufzeichnung zu" vor Beginn des Meetings erfüllt oft nicht die hohen Anforderungen an die ausdrückliche Einwilligung zur Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO).
- Das Problem des fehlenden Hinweises: Wer nicht weiß, dass durch das Tragen seiner Brille rechtlich Gesundheitsdaten erfasst werden, kann auch nicht wirksam einwilligen.
- Der Verlust des berechtigten Interesses: Unternehmen stützen Aufzeichnungen gerne auf ihr berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Bei Art. 9-Daten ist das schlichtweg ausgeschlossen.
Die akademische Diskussion trifft auf knallharte Bußgeldpraxis
Viele Geschäftsführer halten dieses Szenario für eine weltfremde, rein akademische Diskussion. Es wirkt absurd, dass das Aufzeichnen eines Brillenträgers ein Unternehmen datenschutzrechtlich in denselben Gefahrenbereich rückt wie die Verarbeitung echter Krankenakten.
Doch genau diese dogmatische Schärfe zeichnet das europäische Datenschutzrecht aus. Datenschutzaufsichtsbehörden und abmahnende Wettbewerber nutzen diese "technischen" Verstöße gnadenlos aus. Wenn ein verärgerter Ex-Mitarbeiter oder ein frustrierter Geschäftspartner die Aufzeichnung bei der Aufsichtsbehörde meldet, interessiert es die Behörde nicht, ob die Brille "eigentlich egal" war. Es ist ein formaler Verstoß gegen Art. 9 DSGVO, der mit den höchsten Bußgeldern (bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes) sanktioniert werden kann.
Handlungsempfehlungen für die Unternehmenspraxis
Wie können sich Unternehmen, insbesondere im B2B-Bereich, rechtssicher aufstellen, ohne den Geschäftsbetrieb lahmzulegen?
- Richtlinien für Meetings: Schaffen Sie interne Vorgaben, in welchen Fällen Videoaufzeichnungen zwingend erforderlich sind und wann eine reine Audioaufzeichnung oder gar nur ein Protokoll genügt.
- Aktive Vermeidung: Wenn Aufzeichnungen gemacht werden (z. B. für Webinare), sollte es Standard sein, dass die Kameras und Mikrofone der Teilnehmer deaktiviert bleiben. So werden gar nicht erst visuelle oder auditive Gesundheitsdaten der Zuhörerschaft erfasst.
- Spezialisierte Einwilligungserklärungen: Sollten Bild und Ton der Teilnehmer zwingend aufgezeichnet werden, muss der Einwilligungstext zwingend den Hinweis auf die mögliche Verarbeitung sensibler Daten nach Art. 9 DSGVO enthalten. Die Einwilligung muss ausdrücklich und vor Beginn der Aufzeichnung eingeholt werden.
Sie benötigen Rechtssicherheit für Ihre internen und externen Prozesse? Als Rechtsanwalt und Experte für Unternehmensrecht berate ich Unternehmen bei der pragmatischen und rechtssicheren Umsetzung der DSGVO-Vorgaben. Vereinbaren Sie jetzt einen Termin.