Videokonferenz für Behörden: Prüfkriterien für Datenschutz, Betrieb und digitale Souveränität

Eine Videokonferenzlösung für Behörden ist keine reine Funktionsentscheidung. In ihr treffen Kommunikationsinhalte, Teilnehmerdaten, Einladungen, Protokolle und häufig auch Fachverfahren aufeinander. Deshalb sollte eine Beschaffung nicht mit der Frage beginnen, welche Funktionen eine Plattform bietet, sondern mit einem nachvollziehbaren Prüfraster: Was wird verarbeitet, wer verantwortet den Betrieb, wie ist Sicherheit dauerhaft gewährleistet – und wie bleibt die Behörde handlungsfähig?

Dieser Beitrag ist ein Orientierungs- und Beschaffungsleitfaden. Er ersetzt weder eine Schutzbedarfsfeststellung noch die Rechts- oder Vergabeprüfung im konkreten Einzelfall.

1. Zuerst den Einsatzzweck und Schutzbedarf klären

Beschreiben Sie die vorgesehenen Konferenzarten, Teilnehmendenkreise und Datenflüsse konkret. Ein internes Abstimmungsgespräch stellt andere Anforderungen als ein Termin mit externen Beteiligten oder die Besprechung schutzbedürftiger Vorgänge. Zu erfassen sind insbesondere:

• Inhalt, Empfänger und Speicherorte von Audio, Video, Chat, Dateien, Einladungs- und Nutzungsdaten;
• Schnittstellen zu Identitätsmanagement, Kalendern, Fachverfahren und Support-Werkzeugen;
• Aufzeichnungen, Transkriptionen oder KI-gestützte Funktionen – falls sie überhaupt vorgesehen sind;
• Verfügbarkeit, Ausfallfolgen und Anforderungen an barrierefreie Nutzung.

Aus dieser Bestandsaufnahme folgt keine pauschale Technologieentscheidung. Sie schafft aber die Grundlage, um technische und organisatorische Maßnahmen risikoorientiert zu bewerten. Die DSGVO verlangt ein dem Risiko angemessenes Schutzniveau; sie nennt unter anderem Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Systemen sowie regelmäßige Wirksamkeitsprüfungen als Beispiele (DSGVO, Art. 32).

2. Datenschutz als Verantwortungs- und Nachweisfrage behandeln

Datenschutzkonformität ist kein Etikett einer Software. Verantwortliche Stellen müssen für ihren konkreten Einsatz prüfen, ob Zweck, Rechtsgrundlage, Datenminimierung, Transparenz, Aufbewahrung und die Rollen der Beteiligten passend geregelt sind. Praktisch heißt das: Dokumentieren Sie die Verarbeitung, definieren Sie Lösch- und Aufbewahrungsregeln und klären Sie, welche Daten für Betrieb, Fehleranalyse und Sicherheit wirklich benötigt werden.

Fordern Sie von Anbietern und internen Betriebsteams verständliche, prüfbare Unterlagen an: Datenflussbeschreibung, technische und organisatorische Maßnahmen, Rollenmodell, Auftragsverarbeitungsunterlagen soweit einschlägig, Unterauftragnehmer, Supportzugriffe sowie einen belastbaren Prozess für Sicherheitsvorfälle. Ob und wann eine Datenschutz-Folgenabschätzung erforderlich ist, hängt vom konkreten Verarbeitungsvorgang und Risiko ab; diese Entscheidung sollte mit Datenschutzbeauftragten und Fachseite getroffen werden.

3. Den Betrieb über den gesamten Lebenszyklus bewerten

Eine Konferenz kann am ersten Tag sicher wirken und im Betrieb trotzdem Risiken aufbauen. Das BSI ordnet moderne Telekommunikationssysteme als komplexe Systemlandschaft ein und richtet sein Kompendium für erhöhten Schutzbedarf ausdrücklich auch an Planung, Beschaffung, Betrieb, Administration, Audit und Nutzung. Das seit 2025 verfügbare Kompendium löst das frühere Kompendium Videokonferenzsysteme ab (BSI: KomTK).

Für die Bewertung gehören daher mindestens diese Fragen in die Leistungsbeschreibung:

• Wie sind Administration, Rollen, Berechtigungen und privilegierte Zugriffe abgesichert?
• Wie werden Updates, Schwachstellenmeldungen, Konfigurationsänderungen und Notfälle gesteuert?
• Welche Protokolle entstehen, wer darf sie auswerten und wie lange werden sie aufbewahrt?
• Welche Monitoring-, Backup-, Wiederanlauf- und Kapazitätskonzepte sind nachweisbar?
• Welche Leistungen erbringt der Anbieter, welche die eigene IT – inklusive verbindlicher Eskalationswege?

Bei externen Cloud-Diensten können Schutzbedarf, Transparenz der Diensterbringung und die Verwendung von Prüfnachweisen in das Informationssicherheitsmanagement einfließen. Der BSI-Mindeststandard zur Nutzung externer Cloud-Dienste betont zugleich, dass die Verantwortung der Einrichtung für ihre IT-Objekte nicht entfällt (BSI-Mindeststandard Cloud). Für Länder und Kommunen sind jeweils die eigenen Vorgaben und Zuständigkeiten zusätzlich maßgeblich.

4. Digitale Souveränität messbar machen

Digitale Souveränität ist mehr als ein Hosting-Ort. Die Architekturvorgabe AV-09 des Bundes verbindet sie unter anderem mit Kontrollierbarkeit, Steuerbarkeit, Flexibilität, Erweiterbarkeit, Austauschbarkeit und ausreichenden internen Kompetenzen (AV-09 Digitale Souveränität). Für die Beschaffung übersetzt sich das in konkrete Nachweise:

• Dokumentierte Schnittstellen, Datenformate und Exportmöglichkeiten für Inhalte und Konfigurationen;
• ein geplanter Exit mit Fristen, Zuständigkeiten, Datenrückgabe und sicherer Löschung;
• die Möglichkeit, Komponenten zu ersetzen oder Betriebsmodelle zu ändern;
• nachvollziehbare Abhängigkeiten von Identität, Medienservern, Hosting, Monitoring und Support;
• eigene Kompetenz für Steuerung, Audit und einen geordneten Anbieterwechsel.

Souveränität bedeutet nicht zwingend Eigenbetrieb. Entscheidend ist, dass die Behörde Steuerungsfähigkeit und realistische Wechseloptionen nicht nur vertraglich behauptet, sondern anhand von Architektur, Vertrag und Test belegen kann.

5. Beschaffung: vom Kriterienkatalog zum belastbaren Nachweis

Ein guter Kriterienkatalog trennt Mindestanforderungen, bewertbare Qualitätsmerkmale und Nachweise. So werden Fachseite, Informationssicherheit, Datenschutz, IT-Betrieb, Vergabe und gegebenenfalls Personalvertretung frühzeitig einbezogen.

Kompakte Prüfliste

1. Zweck und Schutzbedarf: Für welche Szenarien und Daten ist die Lösung zugelassen?
2. Datenflüsse: Sind Verarbeitung, Speicherorte, Zugriffe und Löschfristen nachvollziehbar dokumentiert?
3. Rollen und Zugriff: Gibt es ein prüfbares Berechtigungs- und Administrationskonzept?
4. Betrieb: Sind Patchen, Monitoring, Incident Response, Backup und Wiederanlauf verbindlich beschrieben?
5. Nachweise: Können Sicherheits- und Datenschutzmaßnahmen geprüft und aktuell gehalten werden?
6. Souveränität: Sind Export, Schnittstellen, Wechsel und interne Steuerung praktisch testbar?
7. Vertrag und Vergabe: Decken Leistungsbeschreibung, Service-Level, Unterauftragnehmer, Auditrechte und Exit den tatsächlichen Einsatz ab?
8. Pilot: Wurde ein repräsentatives Szenario mit den relevanten Rollen getestet und ausgewertet?

6. Die richtige Reihenfolge verhindert teure Nacharbeiten

Beginnen Sie mit Anforderungen und Nachweisen, nicht mit einer Produktdemo. Ein Pilot kann dann gezielt zeigen, ob Rollenmodell, Netzlast, Betriebshandbuch, Supportprozesse und Ausstiegsszenarien unter realen Bedingungen funktionieren. Das Ergebnis sollte als Entscheidungsvorlage dokumentieren, welche Kriterien erfüllt sind, wo Restrisiken bleiben und wer diese akzeptiert oder nachsteuert.

Für die Markt- und Lösungsorientierung, nicht als Ersatz für diese Prüfung, bietet die Meetling-Lösung für Behörden einen separaten Einstieg. Diese Seite ist bewusst die kommerzielle Zielseite; der vorliegende Beitrag bleibt bei Kriterien, Rollen und Beschaffungsfragen.

Fazit

Eine tragfähige Videokonferenz für Behörden entsteht aus dem Zusammenspiel von Datenschutz, Informationssicherheit, Betrieb und Steuerungsfähigkeit. Wer Datenflüsse, Verantwortlichkeiten, Nachweise und Wechseloptionen früh konkretisiert, kann Lösungen vergleichbar bewerten und den späteren Betrieb belastbar gestalten. Die verbindliche Bewertung bleibt immer eine Entscheidung der zuständigen Stelle im jeweiligen Einsatzkontext.