Für Videokonferenzdienste kein Auftragsverarbeitungsvertrag mehr erforderlich?

Heute ist der 27. Tätigkeitsbericht der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) für den Zeitraum 2021 erschienen. Der Bericht ist hier (PDF) abrufbar.

In dem Tätigkeitsbericht gibt es auch eine Klarstellung zur Einordnung von Videokonferenzdiensten. Da es viele immer noch nicht mitbekommen habe, freue ich mich, dass das im Bericht der LDI NRW noch einmal deutlich zum Ausdruck gebracht wird (Hervorhebungen von mir):

„Auch Videokonferenzdienste, die bis zum 1. Dezember 2021 als Telemediendienste eingeordnet wurden, sind nunmehr als Telekommunikationsdienste zu bewerten. Das führt unter anderem dazu, dass Stellen, die Videokonferenzdienste einsetzen, keinen Auftragsverarbeitungsvertrag mehr mit den Videokonferenzanbieter*innen abschließen müssen und für die aufgrund der Übertragung des Videochats verarbeiteten personenbezogenen Daten nicht mehr verantwortlich sind.

Das bedeutet im Übrigen auch, dass die Zuständigkeit der Aufsichtsbehörden der Bundesländer im Hinblick auf den Einsatz von Zoom, Microsoft Teams etc. nicht mehr zuständig sind. Die sachliche Zuständigkeit für TK-Diensteanbieter liegt beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).

Viel interessanter allerdings, dass Unternehmen und öffentliche Stellen danach auch nicht „Verantwortlicher“ i.S.d. Art. 4 Nr. 7 DSGVO sein sollen.

Ich denke, dass die Aussage der LDI NRW ggf. doch etwas zu pauschal ist. Außerdem ist mir unklar, was hier genau mit Daten aufgrund der Übertragung des „Videochats“ gemeint ist. Und was ist überhaupt ein „Videochat“…? Die Wortwahl ist da etwas unglücklich.

Auch wenn ich nun schon länger darüber berichte, dass für die eigentliche Durchführung der Videokonferenz kein Auftragsverarbeitungsvertrag mehr erforderlich ist, ist dennoch nicht klar, wie es mit den weiteren Funktionen wie z.B. der Speicherung der Aufnahmen umzugehen ist. Sind diese im Rahmen eines Gesamtzusammenhanges auch Teil des TK-Dienstes oder unterliegt diese Verarbeitung wiederum doch wieder der DSGVO?

Für diesen Bereich der Datenverarbeitung von Videokonferenzdiensten sollte sicherheitshalber immer noch ein Auftragsverarbeitungsvertrag abgeschlossen werden. Das schadet weniger, als diesen nicht zu haben, denke ich. Zumindest, bis diese Rechtsfrage geklärt ist.