Archivbeitrag – Rechtsstand 2020. Nach Schrems II (16. Juli 2020) und dem Data Privacy Framework (seit Juli 2023) hat sich die Bewertung US-amerikanischer Dienste mehrfach geändert; § 26 BDSG ist nach einer EuGH-Entscheidung aus dem Jahr 2023 nur eingeschränkt anwendbar. Mehr auf unseren Seiten Beschäftigtendatenschutz und Microsoft 365.
Die Corona-Pandemie hat seit März 2020 zu einer Verlagerung der Arbeit ins Homeoffice geführt, die in diesem Umfang niemand geplant hatte. Videokonferenzen ersetzen Besprechungen, Mandantentermine und Schulungen. Viele Unternehmen haben dafür in kurzer Zeit Dienste eingeführt, ohne die datenschutzrechtliche Prüfung abzuschließen. Diese Prüfung sollte jetzt nachgeholt werden.
Die Kurzprüfung der Berliner Datenschutzbeauftragten
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat am 3. Juli 2020 Ergebnisse einer Kurzprüfung von Videokonferenzdiensten veröffentlicht. Geprüft wurden in erster Linie die Auftragsverarbeitungsverträge der Anbieter, nur bei rechtlich einwandfreien Verträgen auch einzelne technische Aspekte. Die Ergebnisse werden in einem Ampelsystem dargestellt: Grün bedeutet, dass keine Mängel festgestellt wurden. Gelb steht für Mängel, die eine rechtskonforme Nutzung derzeit ausschließen, aber voraussichtlich ohne grundlegende Änderungen behebbar sind. Rot bedeutet Mängel, deren Beseitigung wesentliche Änderungen der Geschäftsprozesse oder der Technik erfordern würde.
Mehrere verbreitete Dienste haben dabei nicht grün erhalten. Die Behörde betont, dass es sich nicht um eine vollständige Prüfung handelt und die Liste fortgeschrieben wird. Für Berliner Verantwortliche ist sie gleichwohl ein deutliches Signal.
Rechtliche Anforderungen an Videokonferenzen
- Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der die Weisungsbindung des Anbieters und den Umgang mit Unterauftragnehmern klar regelt.
- Eine tragfähige Grundlage für Übermittlungen in Drittländer nach Art. 44 ff. DSGVO, wenn der Anbieter Daten außerhalb der EU verarbeitet.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere Transportverschlüsselung, Zugangsschutz durch Passwörter oder Warteräume und datensparsame Voreinstellungen.
- Information der Teilnehmer nach Art. 13 DSGVO.
- Bei Beschäftigten eine Rechtsgrundlage nach § 26 BDSG und gegebenenfalls die Beteiligung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG.
Aufzeichnungen von Videokonferenzen sind nur ausnahmsweise zulässig und regelmäßig nur mit Einwilligung aller Teilnehmer. Funktionen zur Aufmerksamkeitskontrolle sollten deaktiviert sein.
Homeoffice: mehr als ein Laptop
Beim mobilen Arbeiten bleibt der Arbeitgeber Verantwortlicher. Er muss sicherstellen, dass Daten auch außerhalb des Büros geschützt sind. Wir empfehlen eine schriftliche Homeoffice-Richtlinie, die festlegt, welche Geräte genutzt werden dürfen, wie Unterlagen aufbewahrt und entsorgt werden, dass Bildschirme gesperrt werden und dass Gespräche nicht von Haushaltsangehörigen mitgehört werden. Private Geräte sollten nur mit klaren Regeln zur Trennung dienstlicher und privater Daten eingesetzt werden. Der Zugriff auf Firmennetzwerke sollte über ein VPN mit Zwei-Faktor-Authentifizierung erfolgen.
Berufsgeheimnisträger wie Ärzte, Steuerberater und Rechtsanwälte haben zusätzlich § 203 StGB zu beachten. Die Einbeziehung von Dienstleistern ist nach § 203 Abs. 3 und 4 StGB nur unter Verpflichtung zur Verschwiegenheit zulässig.
Unsere Empfehlung
Prüfen Sie die in der Krise eingeführten Tools jetzt systematisch. Wo ein Dienst die Anforderungen nicht erfüllt, sollte ein Wechsel geplant werden, bevor eine Aufsichtsbehörde tätig wird oder eine Datenpanne geschieht. Halten Sie Ihre Entscheidung und die Abwägung schriftlich fest.
Fragen dazu? Wir prüfen Videokonferenz- und Kollaborationsdienste und erstellen Homeoffice-Richtlinien und Betriebsvereinbarungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Beschäftigtendatenschutz, Auftragsverarbeitung und IT-Sicherheit.
Schreibe einen Kommentar