Viele Unternehmen erzählen inzwischen ihre Geschichten im Audioformat: Employer-Branding, Change-Projekte, Compliance, Tech-Talks. Mitarbeitende berichten „authentisch“ aus ihrem Alltag, Folgen werden auf Spotify, Apple Podcasts & Co. ausgespielt, intern im Intranet verlinkt und auf Social Media beworben. Dabei sollte auch die Frage gestellt werden, was dabei datenschutzrechtlich zu beachten ist.
Verantwortlichkeit: Wer steuert was?
Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher, wer über Zwecke und Mittel der Verarbeitung entscheidet. Für die Einordnung bei einem Unternehmens‑Podcast ist die Trennung zweier Datenströme wichtig:
1. Nutzerdaten (Hörer/Besucher der Podcast-Seite, Statistiken)
Hier greift die Rechtsprechung des EuGH zur gemeinsamen Verantwortlichkeit bei Plattformnutzung (EuGH, Urt. v. 5.6.2018 – C‑210/16 „Wirtschaftsakademie“ (Facebook-Fanpage)): Der Betreiber einer Fanpage ist gemeinsam mit Facebook Verantwortlicher für die Daten der Besucher, unter anderem, weil er durch den Betrieb der Seite die Cookie-Setzung ermöglicht und von Statistiken profitiert.
Übertragen auf Podcasts bedeutet das: Nutzt das Unternehmen die öffentliche Präsenz bei Spotify, Apple, Amazon Music, etc. und erhält dort z. B. Statistiken, Auswertungen, Zielgruppeninformationen, spricht vieles dafür, dass eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO für diese Nutzerdaten vorliegt. Praktisch scheitert es häufig daran, dass die Plattformen keine echten Art. 26‑Vereinbarungen anbieten, weshalb hier wie bei Social-Media-Auftritten rechtliche Risiken bestehen bleiben.
2. Inhaltsdaten (Stimme, Foto, Name, Angaben im Interview)
Hier handelt das Unternehmen alleinverantwortlich. Es entscheidet, wen es einlädt, welche Fragen gestellt werden, welche Inhalte geschnitten oder veröffentlicht werden.
Rechtsgrundlagen: Was braucht es?
Beim Unternehmens‑Podcast treffen häufig Beschäftigtendaten und Öffentlichkeitsarbeit aufeinander. Typische Konstellationen:
Kontaktaufnahme, Organisation, internes Projekt
Organisatorische Verarbeitungen wie bspw. E‑Mail-Einladung zum Interview, Versand eines Leitfadens, Terminabstimmung etc. können meist nach Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an interner Kommunikation / Projektorganisation) erfolgen. Bei eigenen Mitarbeitenden ist außerdem Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 88 DSGVO i.V.m. § 26 Abs. 1 BDSG denkbar, bspw. wenn die Mitwirkung Teil des Jobs ist (z. B. Moderator).
Aufnahme und Veröffentlichung von Interviews / Fotos
Hier geht es um erkennbare Personen, deren Stimme und ggf. Gesicht öffentlich zugänglich sind. Dafür sollte – gerade bei Beschäftigten – eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (bei Beschäftigten i.V.m. § 26 Abs. 2 BDSG) verwendet werden.
Sobald im Podcast Themen wie Gesundheit, Religion, sexuelle Orientierung, Gewerkschaftszugehörigkeit etc. vorkommen, sind das besondere Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO). In diesem Fall ist eine ausdrückliche Einwilligung erforderlich, konkludente Handlungen reichen bspw. nicht. Wann eine Stimme als biometrisches Datum gesehen werden kann, können Sie hier nachlesen.
Möchte man einen Widerruf für die Zukunft ausschließen, können auch Verträge mit den Beteiligten geschlossen werden (sog. Modelverträge), sodass die Verarbeitung auf Basis von Art. 6 Abs. 1 lit. b DSGVO erfolgen kann. Es muss dabei aber eine angemessene Vergütung erfolgen, da es ansonsten nur eine Umgehung der Einwilligung darstellen würde und datenschutzrechtliche Risiken beinhaltet.
Betroffenenrechte, Löschung und Organisation
Darüber hinaus müssen auch die weiteren Vorgaben der DSGVO eingehalten werden. Ein paar Punkte, die in der Praxis oft unterschätzt werden:
Speicherbegrenzung
Podcasts „für immer online“ zu lassen, ist datenschutzrechtlich schwer zu begründen. Üblich sind feste Fristen (z. B. 10 Jahre) verknüpft mit einem konkreten Zweck (Employer Branding, Wissensdokumentation). Erfolgt die Verarbeitung ausschließlich auf Basis einer Einwilligung und wird dort bereits angegeben, dass der Podcast bis auf Widerruf veröffentlicht wird, können auch längere Fristen denkbar sein.
Datenminimierung
Es sollte ein Konzept zur Vermeidung doppelter Datenhaltung vorliegen. Rohschnitt, alte Fassungen, Transkripte sollten gelöscht werden.
Zugriffsrechte
Nur ein klar definierter Personenkreis sollte auf Rohmaterial und Schnittfassungen zugreifen können („Need-to-know“).
Widerrufe & Löschprozesse
Es braucht einen dokumentierten Prozess, wie Widerrufe erkannt (Postfach, Ticketsystem) und umgesetzt werden. Zeitnahe Reaktion ist Pflicht; gerade bei Mehrpersonen-Folgen sollte dies entsprechend schnell umgesetzt werden können.
Datenschutzinformationen
Auf der Podcast-Webseite sollte eine Datenschutzerklärung verlinkt werden, welche die erforderlichen Informationen nach Art. 13 DSGVO beinhaltet.
Fazit
Ein guter Podcast steht nicht im Widerspruch zur DSGVO – er braucht nur klare Spielregeln, wie auch jede Social-Media-Seite. Dennoch bleibt der Betrieb nicht völlig risikolos, je nachdem, welche Plattform verwendet wird und ob der Plattformbetreiber Nutzungsdaten im Hintergrund erfasst, bereitstellt und bereit ist, entsprechende Verträge zu schließen.
Keine Kommentare