BigBlueButton DSGVO-konform einsetzen – Videokonferenzen ohne US-Cloud

BigBlueButton lässt sich datenschutzkonform betreiben – entscheidend sind aber nicht nur die Software, sondern Serverstandort, Vertragsgestaltung und Ihre eigenen Regeln zu Aufzeichnungen. Diese Seite erklärt, was BigBlueButton mitbringt, was der Betrieb liefern muss und worauf Schulen besonders achten sollten. Wir hosten BigBlueButton in einem deutschen, ISO-27001-zertifizierten Rechenzentrum, DSGVO-konform inklusive Auftragsverarbeitungsvertrag (AVV).

Paket wählen & starten Beraten lassen

Hinweis: Diese Seite ist eine fachliche Orientierung, keine Rechtsberatung. Die datenschutzrechtliche Bewertung Ihres konkreten Einsatzes treffen Sie – gegebenenfalls mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

Warum sind Videokonferenzen datenschutzrechtlich heikel?

Weil dabei besonders aussagekräftige personenbezogene Daten entstehen: Bild, Stimme, Namen, Chatinhalte, Anwesenheitszeiten und je nach Einsatz auch Aufzeichnungen. Bei Unterricht kommen Daten von Minderjährigen hinzu.

Dazu kommt die Frage, wer diese Daten technisch verarbeitet. Bei US-Diensten steht regelmäßig der Drittlandtransfer und der mögliche Behördenzugriff im Raum – ein Punkt, der jede Datenschutzfolgenabschätzung verlängert. Ein Betrieb in Deutschland ohne Konzernmutter im Drittland nimmt diese Frage aus der Prüfung heraus.

Was bringt BigBlueButton selbst mit?

BigBlueButton ist Open Source und wurde für Online-Unterricht entwickelt. Drei Eigenschaften sind datenschutzrechtlich relevant.

Kein Konto für Teilnehmende nötig. Teilnehmende betreten den Raum über einen Link und geben einen Anzeigenamen ein. Es entsteht kein dauerhaftes Nutzerprofil bei einem Anbieter – ein spürbarer Unterschied zu kontobasierten Diensten.

Verschlüsselte Übertragung. Die Verbindungen zwischen Browser und Server sind transportverschlüsselt. Eine Ende-zu-Ende-Verschlüsselung über alle Teilnehmenden hinweg bietet BigBlueButton nicht; die Medienströme laufen über den Server. Das sollten Sie in Ihrer Dokumentation korrekt so benennen.

Aufzeichnung nur auf Wunsch. Aufzeichnungen sind eine bewusste Entscheidung pro Raum und starten nicht automatisch. Sie können die Funktion auch komplett deaktivieren lassen.

Quelloffenheit. Der Code ist einsehbar. Was verarbeitet wird, lässt sich prüfen statt nur zusichern.

Was muss der Betrieb liefern?

Die Software allein macht keine DSGVO-Konformität. Vier Punkte gehören zum Betrieb.

Anforderung	Was das konkret bedeutet
Serverstandort Deutschland	Verarbeitung ausschließlich in einem deutschen Rechenzentrum, bei uns ISO-27001-zertifiziert. Kein Drittlandtransfer.
Auftragsverarbeitungsvertrag (AVV)	Schriftlicher Vertrag nach Art. 28 DSGVO zwischen Ihnen als Verantwortlichem und uns als Auftragsverarbeiter. Wir stellen ihn bereit.
Technische und organisatorische Maßnahmen (TOM)	Dokumentierte Maßnahmen zu Zugriffskontrolle, Verschlüsselung, Backup und Trennung der Instanzen – als Anlage zum AVV.
Löschfristen für Aufzeichnungen	Festgelegte, technisch umgesetzte Fristen, nach denen Aufzeichnungen automatisch entfernt werden. Die konkrete Frist stimmen wir bei der Einrichtung mit Ihnen ab.

Wie das im Gesamtbild mit Moodle zusammenpasst, lesen Sie unter Moodle Hosting und DSGVO.

Aufzeichnungen datenschutzkonform handhaben

Aufzeichnungen sind der häufigste Stolperstein. Drei Regeln helfen.

1. Rechtsgrundlage klären, bevor aufgezeichnet wird. Bei Unterricht ist eine Aufzeichnung selten selbstverständlich; meist braucht es eine Einwilligung, bei Minderjährigen je nach Alter der Erziehungsberechtigten.
2. Transparenz herstellen. Vorher ankündigen, im Raum sichtbar machen, Widerspruchsmöglichkeit geben – etwa durch Deaktivieren von Kamera und Mikrofon.
3. Sparsam speichern. Nur aufzeichnen, was einen Zweck hat, Zugriff auf den nötigen Kreis beschränken und nach der festgelegten Frist automatisch löschen.

Wenn Sie Aufzeichnungen gar nicht benötigen, lassen Sie die Funktion abschalten. Das ist die einfachste datenschutzfreundliche Einstellung.

Besonderheiten für Schulen

Schulen verarbeiten Daten von Minderjährigen und unterliegen zusätzlich dem Schulrecht des jeweiligen Bundeslandes. Daraus ergeben sich drei praktische Punkte.

• Landesvorgaben prüfen. Mehrere Länder machen Vorgaben zu zulässigen Videokonferenzsystemen und zum Serverstandort. Die für Ihr Bundesland geltenden Handreichungen berücksichtigen wir bei der Einrichtung.
• Verfahrensverzeichnis und Einwilligungen. Das Videokonferenzsystem gehört ins Verzeichnis von Verarbeitungstätigkeiten; Einwilligungen für Aufzeichnungen sollten schriftlich vorliegen.
• Kein Konto-Zwang für Schülerinnen und Schüler. Der Beitritt per Link ohne Nutzerkonto vereinfacht die Einführung erheblich – und vermeidet Diskussionen über Profile bei einem US-Anbieter.

Mehr zur schulischen Einführung unter Lösungen für Schulen und im Vergleich BigBlueButton vs. Zoom.

Checkliste: BigBlueButton datenschutzkonform einführen

• [ ] Serverstandort Deutschland bestätigt
• [ ] AVV nach Art. 28 DSGVO unterschrieben, TOM als Anlage geprüft
• [ ] Eintrag im Verzeichnis von Verarbeitungstätigkeiten angelegt
• [ ] Entscheidung dokumentiert, ob Aufzeichnungen erlaubt sind
• [ ] Löschfrist für Aufzeichnungen festgelegt und technisch umgesetzt
• [ ] Einwilligungstexte für Aufzeichnungen vorbereitet
• [ ] Rollen und Rechte im System vergeben, Moderationsrechte geklärt
• [ ] Nutzende informiert: Was wird verarbeitet, was passiert mit Aufzeichnungen
• [ ] Datenschutzbeauftragte oder Datenschutzbeauftragten eingebunden

Häufige Fragen zu BigBlueButton und DSGVO

Ist BigBlueButton automatisch DSGVO-konform? Nein. Die Software bringt gute Voraussetzungen mit, entscheidend sind Betrieb, Vertrag und Ihre eigenen Regeln. Bei uns kommen Serverstandort Deutschland und AVV dazu. Zum Hosting →

Ist BigBlueButton Ende-zu-Ende-verschlüsselt? Nein. Die Übertragung ist verschlüsselt, die Medienströme laufen aber über den Server. Für die meisten Unterrichts- und Schulungsszenarien ist das in Kombination mit einem deutschen Serverstandort tragfähig.

Brauchen Teilnehmende ein Konto? Nein. Der Beitritt erfolgt über einen Link mit Anzeigename. Das reduziert die verarbeiteten Daten deutlich.

Wie lange werden Aufzeichnungen gespeichert? So lange, wie Sie es festlegen. Die Frist wird technisch umgesetzt, danach wird automatisch gelöscht. Standardwert und einstellbaren Rahmen nennen wir Ihnen auf Anfrage.

Ist BigBlueButton eine geeignete Zoom-Alternative für Schulen? In vielen Fällen ja, vor allem wegen Serverstandort, fehlendem Kontozwang und der Integration in Moodle. Details im Vergleich.

Bekommen wir einen AVV? Ja, wir stellen den Auftragsverarbeitungsvertrag inklusive TOM bereit. Kontakt →

Leisten Sie Rechtsberatung? Nein. Wir liefern die technischen und vertraglichen Grundlagen und beschreiben die Verarbeitung transparent. Die rechtliche Bewertung bleibt bei Ihnen.