Office 365: Was sagt der Datenschutz?

Office 365: Was sagt der Datenschutz?

Wer einen Cloud-Dienst nutzen will, muss sich über die Folgen für den Datenschutz klar sein. Im Fall von Office 365 ist das nicht einfach und damit umso wichtiger. Die Aufsichtsbehörden für den Datenschutz haben weitere Untersuchungen angekündigt.

Rechtsunsicherheit bei Office aus der Cloud

Immer mehr Unternehmen aus Deutschland setzen Cloud-Dienste ein. Drei von vier Unternehmen nutzten im Jahr 2019 Rechenleistungen aus der Cloud, im Vorjahr waren es 73 Prozent und im Jahr 2017 erst 66 Prozent, so der Cloud-Monitor 2020 des Digitalverbands Bitkom. Gegen die Verwendung von Cloud-Services spricht, dass es zu unerlaubten Datenzugriffen in der Cloud kommen könnte. Außerdem besteht eine gewisse Rechtsunsicherheit, von der 60 Prozent der Unternehmen berichten, die sich bisher gegen Cloud-Lösungen entschieden haben.

Diese Unsicherheit hinsichtlich der Rechtslage erstreckt sich auch auf so beliebte Dienste wie Office-Lösungen aus der Cloud. Hier ist insbesondere Microsoft Office 365 zu nennen. Selbst Aufsichtsbehörden für den Datenschutz machen deutlich, dass es zum Datenschutz bei Office 365 Unklarheiten gibt. So lautete das Fazit des Hessischen Beauftragten für Datenschutz und Informationsfreiheit zum Einsatz von Microsoft Office 365 in hessischen Schulen im Juli 2019: Microsoft Office 365 an Schulen einzusetzen, ist datenschutzrechtlich unzulässig, soweit Schulen personenbezogene Daten in der europäischen Cloud speichern.

In einer zweiten Stellungnahme im August 2019 erklärte die Aufsichtsbehörde dann: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat sich nach den Gesprächen mit Microsoft dazu entschlossen, den Einsatz von Office 365 in hessischen Schulen unter bestimmten Voraussetzungen und dem Vorbehalt weiterer Prüfungen vorläufig zu dulden.

Auch im Jahr 2020 sind die Fragen zum Datenschutz bei Office 365 nicht eindeutig geklärt. Die Aufsichtsbehörden in den Bundesländern haben dazu noch keine vollständig einheitliche Linie gefunden. Doch was bedeutet das für Unternehmen und für Nutzer?

Erhebliche Verbesserungen bei Office 365 notwendig

Natürlich sollte es Unternehmen und Nutzer aufhorchen lassen, wenn sich die Aufsichtsbehörden für den Datenschutz so ausführlich und detailliert mit den Datenschutzfragen eines bestimmten Cloud-Dienstes befassen. Einerseits ist dies der hohen Verbreitung von Office 365 geschuldet, die die Relevanz der Datenschutzfragen erhöht. Andererseits gibt es nach Ansicht aller Aufsichtsbehörden für den Datenschutz in Deutschland ein „erhebliches datenschutzrechtliches Verbesserungspotenzial“ bei Office 365.

Die Nutzungsbedingungen von Microsoft machen demnach nicht ausreichend klar, welche nutzerbezogenen Daten Microsoft wie verarbeitet. Die Aufzeichnung und Nutzung der von Microsoft erhobenen Telemetriedaten weist Unklarheiten auf. Es ist für die Datenschützer unklar, ob Microsoft Nutzerdaten ausreichend schützt und wie lange es diese Daten speichert. Die Weitergabe von Nutzerdaten an Unterauftragnehmer ist nicht ausreichend geregelt.

Die Aufsichtsbehörden haben deshalb beschlossen, eine Arbeitsgruppe einzurichten, die Gespräche mit Microsoft aufnehmen soll, um zeitnah datenschutzgerechte Nachbesserungen zu erreichen. Unternehmen und Nutzer tun also gut daran, die Nutzungsbedingungen und die Datenschutzerklärung zu Office 365 im Auge zu behalten. Die Aufsichtsbehörden für den Datenschutz fordern hier viele Anpassungen und Klarstellungen, damit der Datenschutz-Grundverordnung (DSGVO) der EU Genüge getan wird.

Mit der Cloud kann sich vieles ändern

Office 365 ist ein wichtiges und gutes Beispiel, warum der Wechsel hin zu einem Cloud-Dienst nicht leichtfertig geschehen sollte, sondern Prüfungen vorab und auch während der Nutzungsphase nach sich ziehen muss. Denn der Datenschutz lässt sich nicht einfach als gewährleistet annehmen.

Die früher lokal installierten Office-Programme und eine Office-Lösung aus der Cloud mögen ähnliche oder die gleichen Funktionen haben. Für den Datenschutz jedoch und für die Nutzerdaten bedeutet es einen großen Unterschied, ob eine Anwendung lokal oder über eine Cloud genutzt wird.

Die DSGVO verlangt, dass Unternehmen nur solche Cloud-Anbieter beauftragen, die ausreichende Garantien bieten, dass sie den Datenschutz nach DSGVO einhalten. Dies zu überprüfen, muss vor der Entscheidung für einen Cloud-Dienst geschehen. Und da sich Cloud-Dienste schnell in Funktionen und Nutzungsbedingungen verändern können, muss eine solche Prüfung auch während der Nutzung stattfinden.

Der Weg in die Cloud scheint einfach und bequem zu sein. Ein Webbrowser kann schon ausreichen. Doch die Folgen für den Datenschutz zu prüfen, ist komplex und nicht zu vernachlässigen. Das sollten Unternehmen beim Für und Wider von Cloud Computing stärker bedenken als bisher.

 

WhatsApp ändert Datenschutzrichtlinien

Neue Regeln bei Whatsapp

Warum Whatsapp und co. für Firmen ungeeignet sind und welche Alternativen Sie datenschutzkonform nutzen können

Was früher vom Nutzer abgelehnt werden konnte, ist ab Februar 2021 verpflichtend: So werden künftig alle Daten aus Whatsapp an Facebook und zu Facebook gehörigen Unternehmen übermittelt. Wer dem nicht zustimmt, kann die App ab dem 15.2.2021 nicht mehr nutzen.

Zukünftig könnte man also kontextbezogene Vorschläge von Whatsapp erhalten, wie zum Beispiel in einem harmlosen Fall, beim aus tauschen von Rezepten auf Whatsapp einen Vorschlag chefkoch.de zu besuchen.
Whatsapp möchte damit erreichen, neue Dienste entwickeln zu können, wie etwa eine Bezahlfunktion über Facebook Pay oder die Möglichkeit plattformübergreifend chatten zu können.

Laut Aussage von WhatsApp gelten die neuen Datenschutzbestimmungen erstmal nicht in Europa. Die neuen Datenschutzbestimmungen müssen aber trotzdem von Europäern akzeptiert werden.

Die Nutzung von Whatsapp für die Kundenkommunikation ist schon seit Inkrafttretens der DSGVO 2018 kritisch. Insbesondere ohne die Nutzung von Whatsapp Business.

Besonders kritisch ist das Nutzen von Whatsapp als Unternehmenschat oder zur Kommunikation mit Kunden nach außerkraftsetzen des Privacy Shield (Schrems II) im Juli 2020. Seit dem ist für das Nutzen von Whatsapp eine ausdrückliche Genehmigung der Kunden einzuholen. Außerdem ist das hohe Risiko für Hackerangriffe,  insbesondere das Einschleusen von Trojanern, nicht zu unterschätzen.

Wer das nicht möchte und wessen Gespräche ausschließlich privat oder Unternehmensintern  belieben sollen, hat nun keine Wahl mehr und muss dem Messenger-Dienst gänzlich den Rücken kehren. Mittlerweile gibt es unzählige Whatsapp-Alternativen wie Signal, Telegram oder Threema.

Erstere gewann durch einen Tweet von Elon Musk, der zu dessen Nutzung aufrief, einen hohen Nutzerzuwachs. Doch Vorsicht: obwohl Signal deutlich sicherer zu sein scheint, als Whatsapp, nutzt auch dieser Messenger-Dienst externe Server für seine Dienste, wie zum Beispiel die Google Cloud oder Amazon AWS. Hier taucht auch das Schrems II Problem wieder auf.

Von Telegram ist gänzlich abzuraten. Der Dienst nutzt keine End-zu-End-Verschlüsselung , speichert sämtliche Nachrichtenverläufe, Kontakte, Gruppen und Nutzerprofile auf fremden Servern und ist nicht DSGVO konform.

Unsere Empfehlung  ist Threema: denn der Dienst lässt sich anonym ohne Angaben von personenbezogenen Daten nutzen und ist Ende-zu-Ende-verschlüsselt. Alle Dienste laufen ausschließlich auf der eigenen Server-Hardware und Nachrichtenverläufe werden sofort nach Zustellung vom Server gelöscht. Die Nutzerdaten werden nicht zu Werbezwecken genutzt und der App-Quellcode ist öffentlich einsehbar, sodass sich verifizieren lässt, dass ob die App sicher ist und welche Server Verbindungen haben.

Die Nutzung von Threema auch im Unternehmen ist daher datenschutzkonform und allen anderen Messengern vorzuziehen. Wer dennoch im direkten Kundenkontakt nicht auf Whatsapp verzichten kann oder will, muss sich die schriftliche Einverständniserklärung seiner Kunden zur weiteren Nutzung einholen und auf die Risiken nach Schrems II hinweisen.

Mit Cookie-Bannern richtig umgehen

Mit Cookie-Bannern richtig umgehen

Kaum ein Internetnutzer kennt sie nicht, die sogenannten Cookie-Banner. Was jedoch weniger bekannt ist: wie wichtig diese scheinbar lästigen Banner für den Datenschutz im Internet sind. Einfach zustimmen, ohne zu lesen, ist deshalb nicht richtig.

Cookie-Banner werfen Fragen auf

Viele Internetnutzer und Betreiber von Webseiten sind genervt, berichtet der Digitalverband Bitkom. Betreiber von Webseiten müssen Prozesse und Formulare für ihre Webangebote einführen, um Cookies auch künftig nutzen zu dürfen. Der Grund: Webseitenanbieter dürfen alle Cookies, die als nicht unbedingt erforderlich gelten, nur mit aktiver Einwilligung setzen.

Für die Internetnutzer bedeutet das: Auf Webseiten erscheinen immer mehr Cookie-Banner, die Nutzerinnen und Nutzer können dort die Einwilligung zu Cookie-Einsätzen geben oder verweigern. Bei den Aufsichtsbehörden für den Datenschutz sind verstärkt Nachfragen von Bürgerinnen und Bürgern eingegangen, was es mit den Cookie-Bannern auf sich hat und wie sie sich verhalten sollen.

Cookie-Banner müssen nicht immer sein

Der Landesdatenschutzbeauftragte Rheinland-Pfalz, Professor Dieter Kugelmann, erklärte dazu: „Der Bundesgerichtshof (BGH) hat in einem Urteil klargestellt, dass für Cookies, die nicht zur Bereitstellung der Webseite oder App erforderlich sind, in jedem Fall eine aktive Einwilligung der Webseitenbesucher erforderlich ist.“

Für den Nutzer hat dies Datenschutz-Vorteile: Jede Nutzerin und jeder Nutzer kann nun erfahren, welche Informationen zur Nutzung der Anbieter erheben möchte. Jede und jeder kann in diese Datensammlung einwilligen oder sie ablehnen. Damit können Internetnutzer selbst entscheiden, welche Daten Webseitenbetreiber über sie verarbeiten.

Für technisch notwendige Cookies müssen die Anbieter die Nutzer nicht um ihre ausdrückliche Erlaubnis fragen. Das können Cookies sein, die dafür sorgen, dass bei einem Online-Shop der Warenkorb dem Nutzer zugeordnet bleibt, während er weiter einkauft oder später den Einkauf fortsetzt. Andere Cookies dürfen nur eingesetzt werden, wenn eine sogenannte „informierte Einwilligung“ des Nutzers vorliegt. Ist dem nicht so und es erfolgt der Cookie-Einsatz ohne wirksame Einwilligung, ist die Datenverarbeitung rechtswidrig. Dann können die Datenschutz-Aufsichtsbehörden sie untersagen und mit Geldbußen ahnden.

Cookie-Banner ernst nehmen

Stören Sie sich als Internetnutzer also nicht an den Cookie-Bannern, sondern sehen Sie die Transparenz und die Wahlfreiheit positiv. Allerdings gibt es auch Cookie-Banner, die mehr versprechen, als sie halten. So dürfen die Webseitenbetreiber Cookies erst setzen, wenn der Nutzer seine Einwilligung erteilt hat, weder vorher noch ohne Einwilligung. Tatsächlich aber gibt es noch viele Cookie-Banner, die um Erlaubnis fragen, aber die Entscheidung nicht abwarten oder respektieren.

Die Datenschützer führen entsprechende Überprüfungen bei Webseiten durch, um die Privatsphäre der Internetnutzer zu schützen. Gehen Sie deshalb als Internetnutzer bewusst mit den Cookie-Bannern um. „Ein paar Klicks mehr, aber auch viel mehr Selbstbestimmung. Die informationelle Selbstbestimmung ist ein wichtiges Recht: Jede und jeder soll selbst darüber entscheiden können, welche personenbezogenen Daten er von sich preisgeben möchte und wer sie verwenden darf“, so der Hinweis von Prof. Kugelmann, den man sich als Internetnutzer zu Herzen nehmen sollte.

 

Videosprechstunden – ein Datenschutzrisiko?

Videosprechstunden – ein Datenschutzrisiko?

Lange gab es sie höchstens als Nische für einige Privatpatienten: Videosprechstunden im Internet. Jetzt bieten plötzlich relativ viele Ärzte solche Sprechstunden an. Woran liegt das? Bleibt dabei vielleicht der Datenschutz auf der Strecke?

In Deutschland bisher ein reines Nischenangebot

Da und dort gab es Videosprechstunden im Internet auch schon bisher. Zielgruppe waren durchweg jüngere Privatpatienten. Anbieter waren meist Ärzte mit einer Praxis im europäischen Ausland, etwa in Großbritannien. In Deutschland waren weite Teile der Ärzteschaft skeptisch. Hier galt die eiserne Regel: Die Behandlung eines Patienten setzt voraus, dass der Arzt ihn persönlich vor sich hat. Ausnahmen waren selten.

Im Ausland teilweise stärker üblich

Im Ausland handhabte man das zum Teil schon bisher anders. Selbstverständlich geht auch dort nicht alles über das Internet. Aber vieles eben doch. Das allein wäre aber noch kein Grund für eine Änderung in Deutschland gewesen. Denn eine ernsthafte Konkurrenz für die hiesige Ärzteschaft waren diese Video-Sprechstunden aus dem Ausland nicht.

Corona als Mit-Auslöser

Eine Triebfeder für Veränderungen war Corona. Zumindest für eine Corona-Verdachtsdiagnose ist es oft nicht nötig, den Patienten zu sehen. Der Arzt schickt ihn zum Abstrich und sieht danach weiter. Das kann auch über Video geschehen. Ähnliche Beispiele gibt es in den meisten medizinischen Fachrichtungen.

Abrechnung jetzt auch bei Kassenpatienten möglich

Hinzu kommt, dass sich ein „Praxisbesuch per Video“ inzwischen bei den Krankenkassen abrechnen lässt. Der Spitzenverband der Gesetzlichen Krankenversicherung und die Kassenärztliche Bundesvereinigung haben vor Kurzem eine „Vereinbarung über die Anforderungen an die technischen Verfahren zur Videosprechstunde“ abgeschlossen. Sie legt fest, was ein Arzt beachten muss, damit eine Abrechnung möglich ist.

Hohe Vorgaben für den Datenschutz

Zu den Anforderungen, die ein Arzt erfüllen muss, gehören genaue Vorgaben für den Datenschutz. Die Vereinbarung legt technische Spezifikationen fest, die einzuhalten sind, beispielsweise eine angemessene Verschlüsselung. Ohne sie könnte es zu einer Verletzung der ärztlichen Schweigepflicht kommen. Das können Ärzte nicht riskieren. Solche Verletzungen können eine Straftat darstellen und haben auch standesrechtliche Folgen.

Nur zertifizierte Systeme zulässig

Eine Videosprechstunde über Zoom oder ähnliche im Internet allgemein angebotene Systeme, die im Büroalltag häufig sind, ist ausgeschlossen. Zum Einsatz kommen dürfen nur Systeme von Anbietern, die eine besondere Zertifizierung durchlaufen haben. Sie sind in einer Liste bei der Kassenärztlichen Bundesvereinigung eingetragen.

Keine Registrierung für Patientinnen und Patienten

Wichtig für alle Patientinnen und Patienten: Sie müssen sich vor der Benutzung eines solchen Systems nirgendwo registrieren lassen! Für den Arzt ist das anders. Er muss eine Registrierung beim Systemanbieter durchlaufen. Das verhindert, dass sich zwielichtige Gestalten als Ärzte ausgeben.

Videosprechstunde nur nach Terminvereinbarung

Patientinnen und Patienten, die einen Video-Termin haben wollen, müssen ihn vorher mit der Praxis vereinbaren. Dies kann etwa telefonisch geschehen oder über ein Tool zur Terminreservierung im Internet. Der Zugang zur Sprechstunde erfolgt mit einem Zugangscode, den der Arzt rechtzeitig vor dem Termin übermittelt. Es liegt in der eigenen Verantwortung des Patienten, mit diesem Zugangscode sorgfältig umzugehen. Das gilt insbesondere dann, wenn die Sprechstunde bei einem Arzt vereinbart wird, der den Patienten noch nicht persönlich kennt.

Kaum Schwachstellen für die Vertraulichkeit in der Arztpraxis

Denkbare Schwachstellen für die Vertraulichkeit liegen in der Umgebung beim Arzt oder beim Patienten, die auf dem Bildschirm nicht sichtbar ist. Beim Arzt kann man davon ausgehen, dass nicht noch andere Personen in der Praxis heimlich mithören oder mitsehen. Das wäre eine schwere Verletzung der ärztlichen Schweigepflicht.

Schwachstellen in der Wohnung des Patienten

In der heimischen Umgebung des Patienten kann es schlechter aussehen. Wer sich für eine Videosprechstunde nicht allein in einen Raum zurückziehen kann, sollte möglicherweise die Finger davon lassen. Und eine andere Person heimlich mithören zu lassen, mag zwar keine Straftat sein. Fair gegenüber dem Arzt ist es aber sicher nicht.

Ein Angebot, kein Zwang!

Beachtet man die geschilderten Sicherheitsmaßnahmen, steht nichts dagegen, eine Videosprechstunde einmal auszuprobieren. Es ist ein zusätzliches Angebot, für Kassen- wie für Privatpatienten, nicht mehr und nicht weniger.

Frohe Weihnachten von DSBOK

2020 hat uns einiges gelehrt. Vor allem aber, dass Gesundheit das wertvollste Gut ist. Wir alle haben gelernt dankbar für das zu sein, was wir haben und es mehr wertzuschätzen.

Wie jedes Jahr verzichten wir auch 2020 auf Weihnachtsgeschenke für unsere Kunden und spenden dieses Jahr an den Weltfriedensdienst e.V. in Berlin, der sich seit 1959 für Frieden, Menschenrechte und nachhaltige Entwicklung einsetzt.

 

 

 

 

 

 

Allein im Jahr 2019 hat der Weltfriedensdienst in 22 Ländern mit 42 Projekten zehntausende Menschen – Kinder, Frauen und Männer – unterstützt.

Besonders beeindruckend fanden wir folgendes:
Aus dem Jahresbericht 2019 geht hervor, dass nur 5,9% der in diesem Jahr gesammelten Spenden für Verwaltung, Öffentlichkeitsarbeit und Werbung genutzt wurde. So können wir sicher sein, dass unsere Spende auch wirklich da ankommt, wo sie hin soll: zu den Menschen die dringend Hilfe brauchen.

In diesem Sinne wünschen wir Ihnen und Ihrer Familie dieses Jahr zu Weihnachten eine besinnliche Zeit zusammen, Glück und vor allem Gesundheit. Und einen guten Rutsch ins neue Jahr.

Ihr DSBOK Team,
Violetta Krause, Chantal Krause, Philipp Krause, Oliver Krause, Michael Bense

 

Homeoffice – was sollte ich beachten?

Homeoffice von heute auf morgen wegen Corona ist eine Herausforderung. Vieles ist zu organisieren. Der Datenschutz sollte dabei mit im Blick sein. Jede und jeder kann leicht einige einfache Dinge beachten. Das bewirkt oft erstaunlich viel.

Einsatz privater Geräte nur nach Absprache

Homeoffice geht nicht ohne EDV. Wer dafür ein dienstliches Gerät zur Verfügung hat, darf nur dieses Gerät verwenden. Der Einsatz privater Geräte verlangt eine Absprache mit dem Arbeitgeber, zumindest mit dem unmittelbaren Vorgesetzten. Das muss nicht unbedingt schriftlich geschehen. Aber zumindest ein kurzer Mail-Austausch ist sinnvoll. Private Geräte können zusätzliche Risiken für den Datenschutz mit sich bringen, die am gewohnten Arbeitsplatz nicht bestehen würden.

Besonders wichtig: Updates und Virenschutz

Gerade bei privaten Geräten sind die Standardregeln der Datensicherheit zu beachten. Dazu gehören vor allem regelmäßige Updates! Am regulären Arbeitsplatz sorgt dafür oft die EDV-Abteilung, ohne dass man etwas davon merkt. Bei privaten Geräten muss sich jede und jeder selbst darum kümmern. Dasselbe gilt für den Virenschutz.

Bildschirmschoner zum Schutz der Daten

Ein Bildschirmschoner sollte Standard sein. Stellen Sie ihn so ein, dass er nach einigen Minuten ohne Aktivität „anspringt“. Das sorgt dafür, dass Familienangehörige und Besucher möglichst keine Daten sehen können. Besonders wichtig ist das, wenn Sie keinen besonderen Raum für das Homeoffice haben. Manchmal hilft es auch weiter, den Bildschirm etwas zu drehen, damit nicht jeder, der den Raum betritt, gleich alles sieht.

Tücken beim privaten Telefon

Weil der Empfang am Festnetz-Telefon oft besser ist, nutzen erstaunlich viele im Homeoffice nicht das Diensthandy, sondern den privaten Telefonanschluss. Dabei gerät oft in Vergessenheit, dass es in jedem Telefon Anruflisten gibt. Teils lässt sich diese Funktion schlicht ausschalten. Dann ist das Problem gelöst. Wenn das nicht geht oder nicht gewünscht ist, ist ein regelmäßiges Löschen der Listen nötig. Zumindest einmal in der Woche sollte man dies fest einplanen.

Papierunterlagen sicher aufbewahren!

Ganz ohne Papier geht es meistens auch im Homeoffice nicht. Wer Unterlagen aus dem regulären Büro mit nach Hause nimmt, ist für sie verantwortlich. Ein eigenes Zimmer für das Homeoffice bleibt für viele ein Traum. Aber mit der Aufbewahrung in einem abgeschlossenen Schrank/Rollschrank ist auch schon viel gewonnen.

Altpapier datenschutzkonform beseitigen!

Wo Papier benutzt wird, fällt auch Abfallpapier an. Vielleicht haben Sie ohnehin privat einen kleinen Aktenvernichter im Haus. Egal, ob er nun den Vorgaben für Bürogeräte voll entspricht – es ist besser als nichts. Keinesfalls dürfen Sie Abfallpapier mit personenbezogenen Daten „einfach so“ in die heimische Papiertonne stecken.

Corona als Auslöser von Kreativität?

Vielleicht bietet das Homeoffice aber auch einen guten Anlass dazu, von Abläufen mit Papier auf elektronische Abläufe umzustellen. Das geht erstaunlich oft. Corona kann auch kreativ machen!

 

DSGVO Regeln Videoüberwachung

Regeln für Videoüberwachung

Die Videoüberwachung an nicht-öffentlichen Stellen greift täglich in die Rechte und Freiheiten von Personen ein. Bereits einfachste Überwachungsanlagen verarbeiten erheblich personenbezogene Daten, wie an welchem Tag, um wie viel Uhr, wie lange und an welchem Ort sich die betroffene Person aufhält.
Doch werden Kameras nicht nur zur Sicherheit genutzt, sondern auch eingesetzt um das äußere Erscheinungsbild und Gefühlsregungen oder das Einkaufverhalten von Personen zu analysieren.
Die erfassten Informationen werden in Sekundenbruchteilen erfasst, ausgewertet und vervielfältigt. Sie können in Echtzeit eingesehen und fast unbegrenzt gespeichert werden.
Betroffene haben meist kaum Einfluss auf diese Verarbeitung ihrer personenbezogenen Daten und erfahren selten, welche Daten überhaupt verarbeitet werden und was mit ihnen geschieht.

Die DSK hat zu diesem Thema nun eine Orientierungshilfe erstellt, die die DSGVO Regeln für die Videoüberwachung an nicht-öffentlichen Stellen erläutert. Dabei wurden die Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte, Version 2.0, angenommen am 29. Januar 2020, berücksichtigt. Neu hinzugekommen sind die Abschnitte zur Videoüberwachung in der Nachbarschaft und zur datenschutzrechtlichen Bewertung von Tür- und Klingelkameras, Drohnen und Wildkameras sowie Dashcams.

Betroffene und Verantwortliche erhalten in der DSGVO Hilfe für Videoüberwachung  Informationen für die datenschutzgerechte Videoüberwachung in unterschiedlichen Bereichen, sowie Muster für Hinweisschilder. Darüber hinaus wird eine Checkliste mit den wichtigsten Prüfungspunkten im Vorfeld einer Videoüberwachung bereitgestellt.

Die wichtigsten Schritte, die bei der Videoüberwachung zu erledigen sind:

  1. Protokollierung der Verarbeitungstätigkeit
  2. Auditierung der Videoanlage
  3. Datenschutzfolgeabschätzung für die Videoüberwachung
  4. Informationspflicht nach DS-GVO nachkommen

Für alle Schritte sind Muster auf Anfrage bei uns erhältlich.

Die DSGVO Richtlinien zur Videoüberwachung der DSK können Sie hier herunterladen.

DSGVO konformes Videokonferenzsystem

DSGVO konforme Videokonferenzsoftware

Auf Wunsch unserer Kunden, haben wir auf einem Hochleistungsserver im Rhein-Neckar Gebiet ein System für Videokonferenzräume zur Verfügung gestellt.

BigBlueButton

Zum Einsatz kommt die Software BigBlueButton in einer OnPremise Installation. BigBlueButton ist einen open Source Software aus Canada mit vielen Funktionen für Video und Audio Konferenzen, die den bekannten Systemen in wenigem nachsteht.

DSGVO konformen Videokonferenzlösung

Für unsere Mandanten im DSB Bereich bieten wir eigene Konferenzräume zum Selbstkostenpreis an. Wir erleichtern uns selber die DSB Arbeit damit und helfen unseren Mandanten mit einer DSGVO konformen Videokonferenzlösung.

Erfahren Sie mehr über die Videokonferenzlösung auf der folgenden Seite oder melden Sie sich gleich für einen Testzugang an:

Informationen zum DSGVO konformen Videokonferenzsystem

Testzugang anfordern

Problem „Privacy Shield ungültig“ – Datenübermittlung in die USA

Ende Privacy Shield

Nahezu jedes Unternehmen übermittelt Daten in die USA. Seit Kurzem hört man viel vom „Ende des Privacy Shield“. Auf den ersten Blick scheint das ein Thema nur für Spezialisten. Es hat aber Auswirkungen auf den Alltag im Unternehmen.


Übermittlungen in die USA nur bei angemessenem Datenschutzniveau

Die USA sind kein Teil der Europäischen Union, sie sind vielmehr ein „Drittstaat“. Die Übermittlung von personenbezogenen Daten in die USA ist deshalb an besondere Voraussetzungen gebunden. Sie ist nur zulässig, soweit in den USA ein „angemessenes Datenschutzniveau“ herrscht.

Der Privacy Shield – bisher praktisch und bequem

An dieser Stelle kommt der „Privacy Shield“ ins Spiel. Es handelte sich dabei um eine Art Register. Jedes US-Unternehmen, das bestimmte Voraussetzungen des Datenschutzes erfüllte, konnte sich dort eintragen lassen. Die Europäische Kommission hatte förmlich festgelegt: Wenn ein US-Unternehmen registriert ist, herrscht in diesem Unternehmen ein angemessenes Datenschutzniveau. Über 5.500 US-Unternehmen haben diese Möglichkeit genutzt. Dazu gehören auch Internet-Giganten wie Google.
Der Vorgänger des Privacy-Shield war das Safe-Habour Abkommen, dass bereits gekippt wurde.

Europäische Unternehmen als Nutznießer

Nutznießer dieses Verfahrens waren vor allem die europäischen Geschäftspartner der registrierten US-Unternehmen. Diese Geschäftspartner konnten an ihre US-Partner personenbezogene Daten genauso leicht übermitteln wie an Geschäftspartner innerhalb der Europäischen Union. Das war praktisch und bequem.

Der Privacy Shield EuGH Urteil– aus und vorbei!

Mitte Juli 2020 stoppte der Europäische Gerichtshof (EuGH) diese Verfahrensweise. Er stellte fest, dass der „Privacy Shield“ gerade nicht für ein angemessenes Datenschutzniveau bei den registrierten US-Unternehmen sorgt. Die Folge: Vielen Datenübermittlungen in die USA fehlt jetzt eine tragfähige rechtliche Grundlage.

Schwierige Situation für alle Unternehmen

Das Urteil wirkte wie ein Keulenschlag. Es räumt keinerlei Übergangsfrist ein. Die Rechtsgrundlage „Privacy Shield“ fiel über Nacht weg. Das führt im Augenblick zu folgender Situation:

  • In manchen Fällen gibt es noch eine weitere Rechtsgrundlage für die bisher üblichen Datenübermittlungen in die USA. Das ist etwa der Fall, wenn eine Datenübermittlung erforderlich ist, um einen Vertrag mit einem Kunden ordnungsgemäß zu erfüllen. Dann ist die Übermittlung schon unmittelbar nach der Datenschutz-Grundverordnung zulässig. In diesem Fall kann alles einfach so weiterlaufen wie bisher. Dies betrifft aber nur direkten Verträge. Es trifft also nicht zu, wenn die Datenübermittlung indirekt stattfindet.
  • Ziemlich oft ist es jedoch so, dass der Privacy Shield die einzige rechtliche Basis für die Datenübermittlung in die USA war. Dann muss bildlich gesprochen schnell eine neue Rechtsgrundlage her. Das ist eine große rechtliche Herausforderung.

Enorme Bedeutung für Geschäfte mit den USA

Dies ist der Hintergrund dafür, warum die Datenübermittlungen in die USA in der nächsten Zeit vielleicht auch für Sie ein Thema sein werden. Das kommt im Augenblick sicher ungelegen. Schließlich machen die Corona-Folgen schon genügend Mühe. Das Thema ist aber wichtig, damit unentbehrliche Datenübermittlungen in die USA auch künftig rechtskonform ablaufen können.

Wenn Sie mehr über das Thema wissen wollen

Das Thema ist zu komplex um es in einem Blog Beitrag zu beschreiben und Ihnen die nötige Rechtssicherheit zu geben. Wenn Sie zu dem Thema weitere Informationen benötigen, sprechen Sie uns an und fordern Sie unser umfangreiches Dokument „Prüfung der Datenübermittlung in Drittstaaten“.

externer Datenschutz und IT-Sicherheit in Hamburg

dsgvo beratung hamburg

Unser Büro in Hamburg hat seit Anfang September nun auch eine eigene Webseite: www.dsgvo-beratung-hamburg.de

Frau Krause jun. hat im Juni 2020 Ihre TÜV Zertifizierung als Datenschutzbeauftragte erhalten und betreut die Kunden von DSBOK im Norden von Deutschland.

Ihr Spezialgebiet sind DSGVO und Sicherheitsanalysen von Webseiten und Shopsystemen. Mit verschiedenen Software Systemen können wir nun Webseiten und Shopsysteme auf DSGVO Konformität und Sicherheitsschwachstellen untersuchen.

Einen kostenlosen Beispiel-Test erhalten Sie hier:
Webseiten und IT-Sicherheitstest