DSGVO und Kundenvideos: Wer ist für die Daten verantwortlich?

Die DSGVO gilt für eine Bildschirmaufnahme, sobald sie personenbezogene Daten enthält: ein Gesicht, eine Stimme, einen Namen, eine Kundenliste in einem Admin-Panel. Bei Videos, die deine Agentur über ihre eigene Arbeit verschickt, bist du meist Verantwortlicher. Nimmst du bei der Arbeit für einen Kunden dessen Daten auf, bist du meist sein Auftragsverarbeiter. In beiden Fällen ist auch das Tool, das deine Videos hostet, Auftragsverarbeiter. Du brauchst also einen Auftragsverarbeitungsvertrag (AVV) mit ihm, einen Eintrag darüber, was du tust, und eine Grenze, wie lange geteilte Kopien online bleiben.

Unten erklären wir jeden dieser Punkte verständlich, mit Verweisen auf den Text der DSGVO, und danach, was du in der Praxis tust.

Wann ein Kundenvideo personenbezogene Daten enthält

Die DSGVO definiert personenbezogene Daten als „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen“ (Art. 4 Nr. 1). In einem typischen Kundenvideo gehört dazu:

• Du und dein Team. Dein Gesicht in der Kamerablase und deine Stimme reichen, um dich zu identifizieren.
• Personen auf dem Bildschirm. Namen in einem CRM, E-Mail-Adressen von Kunden in einem Shop-Backend, der Name einer Kollegin in einer Slack-Seitenleiste.
• Personen, über die du sprichst. „Jonas aus der Buchhaltung wollte diese Änderung“ ist ein personenbezogenes Datum, im Ton und in den Untertiteln.

Ein Video eines Figma-Prototyps mit Platzhaltertext und ohne Kamera enthält vielleicht keine. Die meisten echten Kundenvideos enthalten welche. Deshalb beginnt unsere Datenschutz-Checkliste für Bildschirmaufnahmen damit, die Daten anderer Leute aus dem Bild zu halten: Daten, die nicht im Video sind, muss man nicht schützen.

Verantwortlicher oder Auftragsverarbeiter: wer verantwortlich ist

Die DSGVO verteilt die Verantwortung auf zwei Rollen:

• Der Verantwortliche ist die Stelle, die „über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“ (Art. 4 Nr. 7). Er entscheidet, warum und wie Daten verarbeitet werden.
• Der Auftragsverarbeiter ist die Stelle, die „personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“ (Art. 4 Nr. 8). Er folgt den Weisungen des Verantwortlichen.

Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu diesen Begriffen betonen, dass die Rollen davon abhängen, was jede Partei in einer konkreten Situation tatsächlich tut, nicht davon, wie ein Vertrag sie nennt. In der Kundenarbeit tauchen immer wieder drei Situationen auf:

Situation	Verantwortlicher	Auftragsverarbeiter
Du schickst ein Video über deine eigene Arbeit: ein Angebot, ein Design-Review, ein Status-Update	Deine Agentur	Das Videotool, das es hostet
Du nimmst das Live-Backend, CRM oder Analytics deines Kunden auf, um für ihn etwas zu beheben oder zu erklären	Dein Kunde	Deine Agentur, und das Videotool als Unterauftragsverarbeiter
Dein Kunde nimmt einen Bug-Report auf und schickt ihn dir	Dein Kunde (für die Aufnahme)	Hängt davon ab, was du damit machst

Die Rollen hängen vom Einzelfall ab. Keine Rechtsberatung.

Die zweite Zeile ist die wichtigste. Wenn du die Kundendaten deines Kunden als sein Auftragsverarbeiter verarbeitest, darfst du laut DSGVO keinen weiteren Auftragsverarbeiter, etwa einen Video-Hosting-Dienst, „ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen“ in Anspruch nehmen (Art. 28 Abs. 2). Dein Vertrag mit dem Kunden sollte das regeln, meist mit einer Liste der Tools, die du nutzt.

Was jede Rolle tun muss

Mit den beiden Rollen gehen unterschiedliche Pflichten einher. Diese sind für Kundenvideos am wichtigsten:

Pflicht	Verantwortlicher	Auftragsverarbeiter	DSGVO
Entscheiden, warum und wie Daten verarbeitet werden	✓	✗ folgt dokumentierten Weisungen	Art. 4 Nr. 7, 28 Abs. 3 lit. a
Die Rechtsgrundlage wählen	✓	✗	Art. 6
Betroffenen antworten, die ihre Rechte ausüben	✓	~ unterstützt den Verantwortlichen	Art. 28 Abs. 3 lit. e
Einen Vertrag zur Auftragsverarbeitung haben	✓ mit jedem Auftragsverarbeiter	✓ und mit eigenen Unterauftragsverarbeitern	Art. 28 Abs. 3, 28 Abs. 4
Einen weiteren Auftragsverarbeiter einbinden	✓ genehmigt ihn	~ nur mit schriftlicher Genehmigung	Art. 28 Abs. 2
Ein Verzeichnis von Verarbeitungstätigkeiten führen	✓	✓	Art. 30 Abs. 1, 30 Abs. 2
Sicherheitsmaßnahmen treffen	✓	✓	Art. 32
Eine Datenpanne melden	✓ an die Aufsichtsbehörde, möglichst binnen 72 Stunden	~ an den Verantwortlichen, unverzüglich	Art. 33
Daten bei Ende der Arbeit löschen oder zurückgeben	Wählt, was davon	✓	Art. 28 Abs. 3 lit. g

Vereinfacht nach dem Text der DSGVO auf EUR-Lex. Keine Rechtsberatung.

Die Rechtsgrundlage, verständlich erklärt

Jede Verarbeitung braucht eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1. Für Kundenvideos sind drei relevant:

• Vertrag (Art. 6 Abs. 1 lit. b): Verarbeitung, die zur Erfüllung eines Vertrags mit der betroffenen Person nötig ist. Das passt zu einem Freelancer, der sich selbst für einen Kunden aufnimmt, mit dem er einen Vertrag hat.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Verarbeitung, die für deine berechtigten Interessen nötig ist, sofern die Rechte der Person nicht überwiegen. Einem Kunden deine Arbeit per Video zu erklären, ist ein nachvollziehbares Interesse. Daten Dritter zu zeigen, die der Zuschauer nicht braucht, lässt sich schwerer rechtfertigen.
• Einwilligung (Art. 6 Abs. 1 lit. a): oft das Erste, woran man denkt, und oft die schwächste Grundlage. Die Leitlinien des EDSA zur Einwilligung erklären, dass die Einwilligung von Beschäftigten wegen des Machtgefälles zum Arbeitgeber selten freiwillig erteilt wird.

Wenn du als Auftragsverarbeiter deines Kunden handelst, legt der Kunde die Rechtsgrundlage fest: Du folgst seinen Weisungen.

Der Auftragsverarbeitungsvertrag

Nach Art. 28 Abs. 3 erfolgt die Verarbeitung durch einen Auftragsverarbeiter „auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments“, das den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet. Dieser Vertrag muss unter anderem festlegen, dass der Auftragsverarbeiter:

• nur auf dokumentierte Weisung des Verantwortlichen handelt, auch bei Übermittlungen außerhalb der EU;
• dafür sorgt, dass die Personen, die mit den Daten arbeiten, zur Vertraulichkeit verpflichtet sind;
• die nach Art. 32 erforderlichen Sicherheitsmaßnahmen trifft;
• Unterauftragsverarbeiter nur unter den Bedingungen von Art. 28 einsetzt;
• den Verantwortlichen dabei unterstützt, Anträge von Betroffenen zu beantworten, die ihre Rechte ausüben;
• die Daten am Ende der Leistung löscht oder zurückgibt;
• die Informationen zum Nachweis der Einhaltung zur Verfügung stellt und Überprüfungen ermöglicht.

In der Praxis begegnen dir AVVs an zwei Stellen. Bei deinem Videotool deckt der AVV des Anbieters die Videos ab, die er für dich hostet. Große Anbieter haben meist einen Standardvertrag: Der von Atlassian, der Loom abdeckt, gilt automatisch, wie wir in Loom und DSGVO beschreiben. Bei deinem Kunden, wenn du als sein Auftragsverarbeiter handelst, bittet er dich oft, seinen AVV zu unterschreiben, oder du bietest deinen an.

Das Verzeichnis von Verarbeitungstätigkeiten

Nach Art. 30 führt jeder Verantwortliche „ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen“, und jeder Auftragsverarbeiter ein Verzeichnis der Verarbeitungen, die er im Auftrag von Verantwortlichen durchführt. Das Verzeichnis nennt zum Beispiel die Zwecke, die Kategorien von Personen und Daten, die Empfänger, Übermittlungen außerhalb der EU, Löschfristen und Sicherheitsmaßnahmen.

Für Unternehmen mit weniger als 250 Beschäftigten gibt es eine Ausnahme (Art. 30 Abs. 5). Sie gilt aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Kategorien von Daten umfasst. Jede Woche Kundenvideos zu verschicken, ist kaum „gelegentlich“, für die meisten Agenturen ist ein kurzer Eintrag also die sichere Wahl. Die EU hat vorgeschlagen, diese Regel für kleinere Unternehmen zu vereinfachen, und EDSA und EDSB haben 2025 eine Stellungnahme zu diesem Vorschlag abgegeben. Prüf also den aktuellen Text, bevor du dich auf die Ausnahme verlässt.

Ein Eintrag für Kundenvideos kann fünf Zeilen lang sein: was du aufnimmst, warum, welches Tool die geteilten Kopien wo speichert, wer die Links bekommt und wie lange die Kopien online bleiben.

Wie lange du geteilte Kopien aufbewahren darfst

Nach dem Grundsatz der Speicherbegrenzung müssen personenbezogene Daten „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“ (Art. 5 Abs. 1 lit. e).

Bei einem Feedback-Video ist der Zweck erfüllt, sobald der Kunde es angeschaut und geantwortet hat. Es jahrelang online zu lassen, dient diesem Zweck nicht. Links mit Ablaufdatum oder eine Aufbewahrungsregel, die alte Videos löscht, setzen diesen Grundsatz um, ohne dass jemand daran denken muss. Die Alltagsseite davon erklären wir in warum Video-Links mit Ablaufdatum sicherer sind.

Daten in der EU vs. Übermittlungen

Wenn du Daten innerhalb der EU (oder des gesamten Europäischen Wirtschaftsraums) speicherst, bleibst du im normalen Rahmen der DSGVO. Sie in ein Land außerhalb der EU zu schicken, ist eine Übermittlung, und Kapitel V der DSGVO erlaubt sie nur unter bestimmten Bedingungen (Art. 44):

• mit einem Angemessenheitsbeschluss der Europäischen Kommission für dieses Land (Art. 45). Für die USA hat die Kommission am 10. Juli 2023 einen für das EU-US Data Privacy Framework erlassen, der Unternehmen abdeckt, die daran teilnehmen;
• mit geeigneten Garantien (Art. 46), meist den von der Kommission erlassenen Standardvertragsklauseln.

Ein Tool aus den USA ist also nicht automatisch ausgeschlossen, aber du musst wissen, auf welchen Mechanismus es sich stützt, und das in dein Verzeichnis aufnehmen. Ein Tool, das geteilte Kopien in der EU speichert, erspart dir diesen Schritt für das Hosting selbst. Prüf auch seine Unterauftragsverarbeiter: Bei Transkription und KI-Funktionen verlassen Daten oft die Region.

Was eine Agentur in der Praxis tun sollte

Wenn du einen Video-Workflow neu aufsetzt, deckt unser Leitfaden zur asynchronen Kommunikation mit Kunden per Video die praktische Seite ab, und unsere Seite zur Bildschirmaufnahme für Agenturen zeigt, wie JustRec in ein Team passt.

Wo JustRec ins Spiel kommt

Wir haben JustRec gebaut, damit der DSGVO-Teil weniger Arbeit macht, nicht damit du ihn überspringen kannst. Deine Rolle und dein Verzeichnis bleiben deine Aufgabe, ein paar der Schritte oben werden aber kürzer.