Zoom.UP

Mit den DFNconf-Diensten (https://www.conf.dfn.de/) bietet der DFN-Verein seinen Nutzern im Wissenschaftsbereich seit vielen Jahren die Möglichkeit, Audio-, Video- und Webkonferenzen  durchzuführen. Durch den sprunghaften Anstieg der Nutzung in den letzten Wochen ergeben sich bei diesen Diensten zu Spitzenzeiten große Probleme beim Verbindungsaufbau und bei der Übertragungsqualität, die der DFN-Verein trotz eines Ausbaus seiner Kapazitäten kurzfristig nicht ausgleichen kann. 

Der DFN-Verein hatte in Zusammenarbeit mit GÉANT bereits von Herbst 2018 bis Ende 2019 ein Proof-of-Concept für eine hochskalierende Plattform für Videokonferenzen für Besprechungen sowie zum Einsatz in E-Learning-Umgebungen durchgeführt. Die gewonnenen Erkenntnisse haben den DFN-Verein veranlasst, in Abstimmung mit anderen europäischen NRENs (National Research and Education Networks) zur Lösung der aktuellen Krise auf die Firma Zoom Video Communications zuzugehen. Ziel war es, eine Lizenzierung des Produktes Zoom für alle Teilnehmer im DFN zu erzielen. Zoom hat die Anfrage auf höchster Ebene behandelt, aber es zum jetzigen Zeitpunkt abgelehnt, kurzfristig eine Übereinkunft zu treffen. Eine gemeinsame Vereinbarung mit NRENs wurde jedoch für den Zeitraum nach der Bewältigung der aktuellen Lage in Aussicht gestellt. Der DFN-Verein wird daher weiterhin mit anderen NRENs und Zoom in engem Kontakt bleiben, um eine Perspektive für zukünftige Vereinbarungen auszuloten.

Als Konsequenz empfiehlt der DFN-Verein zurzeit allen Teilnehmereinrichtungen, unverzüglich eigene Lösungen für Videokonferenzen zur Durchführung von Online-Lehrveranstaltungen und virtuellen Meetings bereitzustellen.

Im Rahmen einer Notbeschaffung wurde eine Education Site Lizenz für den begrenzten Zeitraum von einem Jahr erworben. Die UP setzt darauf, dass der DFN-Verein innerhalb dieser Zeit seine Kapazitäten ausbaut und die DFNconf-Plattform erweitert. Sollte dies nicht der Fall sein, muss rechtzeitig eine Ausschreibung initiiert oder mithilfe von Open Source Software eine Plattform vor Ort aufgebaut werden. 

Die Education Site Lizenz ermöglicht es es allen Beschäftigten der UP, als Moderator Zoom-Veranstaltungen mit bis zu 300 aktiven Teilnehmer/innen zu initiieren. Für größere Veranstaltungen stehen Webinar-Lizenzen für maximal 500 aktive Teilnehmer/innen und 10.000 Zuschauer/innen zur Verfügung.

Datenschutzrechtlich von Bedeutung ist nicht nur, unter welchen Voraussetzungen die mit dem Einsatz von Zoom verbundene Verarbeitung personenbezogener Daten der Teilnehmenden zulässig ist. Die Nutzerinnen und Nutzer können Zoom auch verwenden, um mithilfe der Plattform selbst personenbezogene Daten zu verarbeiten, insbesondere indem sie personenbezogene Daten in Meetings übermitteln bzw. austauschen.

Derartige Verarbeitungen sind nur zulässig, wenn dafür eine ausreichende Rechtsgrundlage zur Verfügung steht. Die sich aus Art. 5 DSGVO ergebenden Grundsätze für die Verarbeitung personenbezogener Daten sind zu beachten.

Mithilfe von Zoom nicht ausgetauscht werden sollten Daten, die einen hohen Schutzbedarf haben oder als vertraulich eingestuft werden. Nicht zulässig ist insbesondere die Verarbeitung von sog. besonderen Kategorien personenbezogener Daten. Die von diesem Begriff beschriebenen Datenkategorien werden in Art. 9 Abs. 1 DSGVO aufgezählt. Sie umfassen u.a. Gesundheitsdaten, Daten über die ethnische Herkunft, politische Meinungen sowie religiöse und weltanschauliche Überzeugungen.

Für den Austausch von schützenswerten Dateien zwischen Teilnehmenden sollten bestehende sichere Kanäle, wie die ZUV-Laufwerke oder Box.UP, genutzt werden.

Die Kolleginnen und Kollegen der Humboldt-Universität zu Berlin, Computer- und Medienservice, haben Diskussionen zu den wichtigsten Fragen von Datenschutz und Sicherheit bei Zoom für Sie aufbereitet, auf die wir gern verweisen:

https://www.cms.hu-berlin.de/de/dl/multimedia/bereiche/tele/zoom/sicherheit

Eine ähnliche Zusammenstellung hat das IT-Servicezentrum der Universität Bielefeld veröffentlicht: https://www.uni-bielefeld.de/einrichtungen/zll/elearningmedien/lernplattformen/zoom/sicherheit/

Nutzungsbedingungen, Datenverwendungshinweise und Datenschutzinformationen für die Verwendung von Zoom der Ludwig-Maximilians-Universität München:

https://www.it-servicedesk.uni-muenchen.de/it-angebote/zoom/nutzung_datenschutz/index.html

Zoom bietet immer eine TLS-basierte Transportverschlüsselung (sofern Sie nicht mit einem normalen Telefon teilnehmen), jedoch eine Ende-zu-Ende-Verschlüsselung (End-to-End Encryption, E2EE) für Video-Gruppenkonferenzen nur mit Endpunkten, die bei Zoom liegen. Entsprechend nutzte Zoom diesen Begriff anders, als er normalerweise benutzt wird, in dem die Endpunkte die Geräte der Videokonferenzteilnehmer sind (https://theintercept.com/2020/03/31/zoom-meeting-encryption/).

Für die Bereiche Chat und Dateitransfer ist Zoom an der UP so konfiguriert, dass jeweils eine Verschlüsselung nach Advanced Encryption Standard (AES) 256-bit eingesetzt wird.

Eine in den USA eingereichten Klage soll klären, ob durch die unübliche Verwendung des Begriffes “End-to-End-Verschlüsselung” für Zoom ein unzulässiger Wettbewerbsvorteil erlangt wurde. Prinzipiell sind auch die Pexip-Konferenzen, die wir vom DFN einsetzten, nicht End-to-End verschlüsselt.

Zoom hat mittlerweile eine Stellungnahme bzgl. End-to-End-Verschlüsselung veröffentlicht (https://blog.zoom.us/wordpress/2020/04/01/facts-around-zoom-encryption-for-meetings-webinars/), worin dargestellt wird: “To be clear, in a meeting where all of the participants are using  Zoom clients, and the meeting is not being recorded, we encrypt all  video, audio, screen sharing, and chat content at the sending client,  and do not decrypt it at any point before it reaches the receiving  clients.” Wenn der Zoom-Client eingesetzt wird und das Meeting nicht aufgezeichnet wird, werden demnach gemäß der Aussage von Zoom alle Inhalte verschlüsselt und nicht mitgeschnitten.

Es ist nicht erlaubt, das nichtöffentlich gesprochene Wort anderer unbefugt aufzunehmen (§ 201 Abs. 1 Nr. 1 StGB). Da Zoom.UP-Meetings an der Universität Potsdam grundsätzlich in nichtöffentlicher Form durchgeführt werden, kann die Aufzeichnung eines Meetings ohne Einwilligung der Betroffenen einen Verstoß gegen § 201 StGB nach sich ziehen. Darüber hinaus bedarf es auch aus datenschutzrechtlicher Sicht einer Rechtsgrundlage für die Aufzeichnung von Lehrveranstaltungen, wenn diese personenbezogene Informationen der Teilnehmenden enthalten.

Zur rechtlichen Bewertung unterscheiden wir drei Szenarien:

1.

Sie stellen sicher, dass Informationen anderer Personen als sie selbst (Bild, Ton und Text) nicht aufgezeichnet werden. Im Dokument Einstellungen zur rechtssicheren Aufzeichnung von Zoom-Meetings (https://www.uni-potsdam.de/de/zfq/lehre-und-medien/online-lehre-2020/webinare-webmeetings) finden Sie die dafür notwendigen Einstellungen. Weisen Sie bitte die Teilnehmenden darauf hin und beachten Sie unsere nachfolgenden Hinweise zum Ablauf der Aufzeichnung. Dieses Aufzeichnungsszenario muss gewählt werden, wenn für die Lehrveranstaltung eine Anwesenheitspflicht nach § 5a Abs. 2 BAMA-O oder BAMALA-O in Verbindung mit der jeweiligen Studien- oder Prüfungsordnung besteht. Denn die Freiwilligkeit der für die Szenarien 2 und 3 erforderlichen Einwilligungserklärungen der Studierenden wäre bei einer bestehenden Teilnahmeverpflichtung nicht gewährleistet. Selbstverständlich kann bei Veranstaltungen mit Präsenzpflichten auch vollständig von einer Aufzeichnung abgesehen werden.

2.

Sie zeichnen mit der Lehrveranstaltung zusätzlich die Aktivitäten der Teilnehmenden auf. Vor der Veröffentlichung auf Media.UP werden die persönlichen Informationen der Teilnehmenden (Audio- und Videostreams, ggf. Chatbeiträge) entfernt bzw. anonymisiert.

Sie benötigen bereits vor der Aufzeichnung grundsätzlich eine Einwilligung aller Teilnehmenden und müssen diese über die Aufzeichnung und die Verarbeitung ihrer Daten informieren. Es gibt seitens Zoom.UP technische Möglichkeiten, diese Einwilligung zu Beginn einer Aufnahme von den Teilnehmenden einzuholen. Nicht in jedem Fall kann zzt. sichergestellt werden, dass eine Einwilligung vorliegt, bevor es zur Aufzeichnung von Redebeiträgen der Teilnehmenden des Meetings kommt. (Anforderung an Zoom-Support wurde übermittelt.) Wir empfehlen deshalb und aus Gründen der Nachweisbarkeit, vorab von den Teilnehmenden eine Einwilligungserklärung einzuholen (UP_Einwilligungserklärung zur Anfertigung von Aufnahmen von Zoom-Meetings.pdf). Mit dieser Einwilligungserklärung werden den betroffenen Studierenden dann auch alle erforderlichen – spezifisch auf die Aufzeichnung und Veröffentlichung bezogenen – Informationen zum Datenschutz zur Verfügung gestellt. Sie können diese Einwilligungserklärung schriftlich oder elektronisch (per E-Mail oder Moodle) einholen. Die Dokumente, die E-Mail und die Erklärung mit elektronisch eingetragenem Namen bewahren Sie bitte auf. Über einen Workflow für die Einholung der Einwilligungserklärung über Moodle können sie sich hier informieren: https://www.uni-potsdam.de/de/zfq/lehre-und-medien/online-lehre-2020/webinare-webmeetings. Es empfiehlt sich, die Einwilligung für ein Semester einzuholen.

3.

Sie zeichnen mit der Lehrveranstaltung die Aktivitäten der Teilnehmenden auf. Die Aufzeichnung umfasst insbesondere Wortmeldungen im Rahmen der Veranstaltung, den Videostream und ggf. Chat-Beiträge. Diese Aufzeichnung wird auf Media.UP veröffentlicht. Für diesen Fall nutzen Sie bitte die UP_Einwilligungserklärung zur Anfertigung und Veröffentlichung von Aufnahmen von Zoom-Meetings.pdf. Ansonsten beachten Sie bitte die sonstigen Hinweise zum 2. Szenario.

Wichtig zu wissen: Diese Einwilligungserklärung gestattet es den Teilnehmenden selbst nicht, Aufnahmen oder Mitschnitte anzufertigen. Die Einwilligungserklärung berechtigt nur den Veranstaltungsleitenden (i. f. Host), die Veranstaltung aufzunehmen und bereit zu stellen.

Beachten Sie darüber hinaus die allgemeinen auf die Nutzung von Zoom bezogenen Informationen zum Datenschutz an der Universität Potsdam: Datenschutzerklärung

Vorbereitung auf die Aufzeichnung

Mit dem Anfertigen von Aufzeichnungen übernehmen Sie die Verantwortung für die erfassten Informationen und Inhalte. Im Dokument UP_Informationen zur Aufzeichnungsfunktion von Zoom.pdf finden Sie die Einstellungen für eine rechtssichere Aufzeichnung.

• Weisen Sie ihre Teilnehmenden vor der eigentlichen Konferenz auf das vorliegende Dokument „UP_Informationen zur Aufzeichnungsfunktion von Zoom" hin.
• Starten Sie die Zoom.UP-Konferenz im Vorfeld und passen Sie ggf. die entsprechenden Sicherheitseinstellungen an (s.o.).
• Falls eine aktive Teilnahme (Ton oder/und Video) gewünscht wird, räumen Sie den Teilnehmenden genug Zeit ein, um ihre Einstellungen für Kamera und Mikrofon auszuwählen. Wir empfehlen, den Teilnehmenden den Zutritt zum Warteraum bereits vor dem eigentlichen Beginn zu öffnen. Erst mit Ihrer Freigabe erhalten die wartenden Teilnehmer Zutritt zu der Veranstaltung.
• Weisen Sie die Teilnehmenden darauf hin, dass es nicht gestattet ist, Aufnahmen oder Mitschnitte anzufertigen.

Besondere Vorbereitung mit Einwilligung der Teilnehmenden zur Aufzeichnung

• Formulieren Sie klar und abschließend den Zweck und Verbleib der Aufnahmen.
• Bitten Sie Ihre potentiellen Teilnehmer um die schriftliche Zustimmung zur Aufzeichnung, Verarbeitung, Speicherung und gegebenenfalls Veröffentlichung der geplanten Veranstaltung, sofern diese darin erscheinen könnten.
• Falls Teilnehmende eine Einwilligung nicht erteilen wollen, bitten Sie diese im Interesse der anderen Studierenden, nicht am live durchgeführten Online-Meeting teilzunehmen, sondern die Veranstaltung im Nachhinein auf Media.UP anzuschauen.

Während der Aufzeichnung

• Wenn sich Teilnehmende aktiv per Mikrofon / Kamera beteiligen wollen, vergeben Sie die Rechte zur Nutzung dieser Geräte personengebunden.
• Sie haben die Möglichkeit, Fragen nur per Chat zuzulassen, um dann darauf einzugehen. Da die Speicherung des Chats unterdrückt werden kann, erleichtert dieses Herangehen das ggf. notwendige Nachbearbeiten der Aufzeichnung vor einer Veröffentlichung.
• Beachten Sie die gesetzlichen Regelungen bei der Nutzung von urheberrechtlich geschütztem Material. https://www.uni-potsdam.de/de/zfq/lehre-und-medien/online-lehre-2020/urheberrecht

Nach der Aufzeichnung

• Nur Ihnen steht die Aufzeichnung zur Verfügung. Weisen Sie die Teilnehmenden am Ende des Meetings darauf hin, dass diese ggf. der Veröffentlichung eigener Beiträge noch widersprechen können.
• Prüfen Sie, ob versehentlich nicht zur Veröffentlichung bestimmte Inhalte aufgezeichnet wurden. Diese müssen vor einer weiteren Verwendung entfernt werden.
• Beachten Sie auch hierbei die urheberrechtlichen Beschränkungen. Im Normalfall sollte die Veröffentlichung der Veranstaltungsaufzeichnung auf den jeweiligen Kurs begrenzt bleiben.