Datenpannen sind in der Regel nach Art. 33 Abs. 1 Satz 1 DSGVO meldepflichtig, es sei denn, sie führen voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Person. Eine meldepflichtige Datenpanne muss vom Verantwortlichen innerhalb von 72 Stunden nach dessen Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden.
Oft stellt sich jedoch die Frage: Ab wann wird eine Datenpanne dem Verantwortlichen überhaupt bekannt?
Mehrere Landesbeauftragte für Datenschutz und Informationsfreiheit haben sich mittlerweile zu dieser Frage geäußert.
Der Landesbeauftragte in Bayern hat sich zur Kenntniszurechnung in Behörden geäußert. Nach dessen Ansicht wird das meldepflichtige Ereignis jedenfalls dann bekannt, wenn bestimmte Funktionseinheiten bzw. bestimmte Funktionsträger Kenntnis von dem in Rede stehenden Vorfall erlangen. Klargestellt wurde, dass dem Verantwortlichen nicht das Wissen des behördlichen Datenschutzbeauftragten zuzurechnen ist.
Der Landesbeauftragte in Hamburg vertritt die Ansicht, dass es für die Kenntnis bereits genügt, dass eine beliebige Person im Unternehmen oder der Behörde Kenntnis von dem Vorfall erlangt.
Nach Ansicht der Landesbeauftragten des Saarlandes begründet die positive Kenntnisnahme der Datenschutzverletzung durch den Verantwortlichen den Fristbeginn für die 72 Stunden. Dem Verantwortlichen ist dabei die Kenntnis desjenigen Mitarbeiters/derjenigen Mitarbeiterin zuzurechnen, der/die nach der internen Organisation für die Verarbeitung personenbezogener Daten verantwortlich ist oder von dem dies aufgrund seiner Stellung im Unternehmen erwartet werden kann.
Kenntnis gilt folglich eher früher als erlangt als später. Darauf sollten sich die Unternehmen einstellen. Folgt man der strengeren Ansicht aus Hamburg, so kann die Kenntnis eines jeden Mitarbeiters ausreichen, um die Frist in Gang zu setzen. Schaffen Sie also in Ihrem Unternehmen immer ein ausreichendes Risikobewusstsein bei allen Ihren Mitarbeitern im Umgang mit Daten und Datenpannen.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Die große Bußgeldwelle nach Inkrafttreten der europäischen Datenschutzgrundverordnung im Jahr 2018 ist ausgeblieben. Jetzt, fast drei Jahre danach steigt die Zahl der erfassten Verstöße und die damit verbundenen Bußgelder stetig. Im Jahr 2020 verhängten die europäischen Bußgeldbehörden gemeinsam Bußgelder in Höhe von 158,5 Millionen € wegen Verstößen gegen das europäische Datenschutzrecht.
Schaut man sich die Zahlen der erfassten Verstöße an, sieht man einen deutlichen Zuwachs im Vergleich zu den Jahren zuvor, seit Mai 2018. Tatsächlich stieg die Zahl um 39%!
Im europäischen Vergleich sind, wie auch vor der DSGVO deutliche Unterschiede zu erkennen. Nicht nur die Zahlen der Verstöße, gerade der unterschiedliche Umgang mit diesen wird deutlich.
Die meisten Verstöße sind mit 77.747 Fällen in Deutschland dokumentiert. Bezieht man die gemeldeten Verstöße aber auf die Einwohnerzahl, liegt Dänemark mit 155,6 gemeldeten Verstößen pro 100.000 Einwohner vor allen anderen Mitgliedstaaten. Aus diesen Zahlen sollte man allerdings nicht voreilig folgern, dass in Deutschland oder Dänemark ein besonders niedriges Datenschutzniveau herrscht.
Zum Vergleich: Im gleichen Zeitraum gab es in Frankreich 5389 und in Italien lediglich 3460 geahndete Fälle. Interessanterweise belegt Italien aber bei der Gesamtsumme von verhängten Bußgeldern den ersten Platz mit insgesamt 69 Millionen Euro.
Dies macht deutlich wie unterschiedlich die DSGVO durch die Datenschutz- und Bußgeldbehörden ausgelegt wird. Denn oftmals bedeutet die Meldung eines Datenschutzvorfalls nicht gleich ein Bußgeld für den Verantwortlichen.
Fazit:
Die Höhe und der Anstieg der geahndeten Fälle und die Summe der verhängten Bußgelder zeigt, dass die Zeit der nachsichtigen Aufsichts- und Bußgeldbehörden ein Ende nimmt. Unternehmen hatten ausreichend Zeit ihr Datenschutzmanagement aufzustellen und damit die Rechte der betroffenen Personen zu schützen.
Im Jahr 2021 ist davon auszugehen, dass es erneut zu mehr Bußgeldern kommen wird. Die Probleme, welchen sich Unternehmen aufgrund des Coronavirus gegenübersahen, werden dieses Jahr nicht mehr als Ausrede taugen, sodass gegen datenschutzrechtliche Verstöße konsequenter vorgegangen werden muss.
Jan Brinkmann
Consultant für Datenschutz
Volljurist
Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat der notebooksbilliger.de AG ein Bußgeld in Höhe von 10,4 Millionen Euro wegen Verstößen gegen die Datenschutzgrundverordnung (DSGVO) auferlegt.
Das Unternehmen hat seine Beschäftigten über einen Zeitraum von mindestens zwei Jahren per Video überwacht, wobei die Kameras u.a. Lager, Verkaufsräume, Arbeitsplätze und Aufenthaltsbereiche erfassten. Eine Rechtsgrundlage für diese Überwachung gab es nicht.
Ziel der Videoüberwachung sei laut dem Unternehmen die Verhinderung und Aufklärung von Straftaten sowie eine Nachverfolgung des Warenflusses in den Lagern gewesen. Eine Videoüberwachung zur Aufdeckung von Straftaten kann jedoch nur rechtmäßig sein, wenn tatsächliche Anhaltspunkte den Verdacht begründen, dass eine konkrete Person eine Straftat begangen hat. Ein Generalverdacht reicht nicht aus. Ferner ist bei einem begründeten Verdacht nur eine zeitlich begrenzte Überwachung angezeigt. Die Videoüberwachung bei notebooksbilliger.de war jedoch weder auf einen bestimmten Zeitraum noch auf konkrete Personen beschränkt. Die Aufzeichnungen wurden zudem teilweise 60 Tage gespeichert und damit laut LfD Niedersachsen deutlich länger als erforderlich. In der Regel sind die Daten innerhalb von 2 bis 3 Tagen (max. 72 Stunden) nach Erhebung zu löschen, da es zumutbar ist, in diesem Zeitraum zu klären, ob eine Sicherung des Materials notwendig ist.
Einige Kameras waren auch auf Sitzgelegenheiten im Verkaufsraum gerichtet, sodass von der unzulässigen Videoüberwachung neben den Beschäftigten auch Kunden und Kundinnen des Unternehmens betroffen waren. Die Landesbeauftragte führte aus, dass die betroffenen Personen in Bereichen, in denen sich Menschen typischerweise länger aufhalten, z.B. um die angebotenen Geräte ausgiebig zu testen, hohe schutzwürdige Interessen haben. Dies gelte besonders für Sitzbereiche, die offensichtlich zum längeren Verweilen einladen sollen.
Sie betonte außerdem, dass es sich hierbei um einen schwerwiegenden Fall der Videoüberwachung im Betrieb handele und Unternehmen verstehen müssen, dass sie damit massiv gegen die Rechte ihrer Mitarbeiter und Mitarbeiterinnen verstoßen.
Bei dem Bußgeld in Höhe von 10,4 Millionen handelt es sich um das bisher höchste Bußgeld, das Niedersachsen seit Inkrafttreten der DSGVO ausgesprochen hat. Der Bußgeldbescheid ist jedoch noch nicht rechtskräftig, da notebooksbilliger.de hiergegen Einspruch eingelegt hat.
Nach der Verhängung des bisher höchsten Bußgeldes in Deutschland in Höhe von 35,3 Millionen Euro im letzten Jahr, zeichnet sich auch durch diese Entscheidung der LfD Niedersachsen ab, dass die Aufsichtsbehörden ihr Vorgehen bei Datenschutzverstößen verschärfen. Prüfen Sie daher auch in Ihrem Unternehmen sorgfältig, ob Sie die Vorgaben der DSGVO einhalten.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Nachdem Großbritannien die EU zum 31.01.2020 verlassen hat und die anschließende Übergangsphase zum 31.12.2020 endete, wurden Unternehmen erneut vor die Frage des richtigen Umgangs beim Datentransfer mit Großbritannien gestellt.
Situation ab 01.01.2021
Am 24.12.2020 hat Großbritannien mit der EU das EU- UK Handels- und Kooperationsabkommen vereinbart (Zustimmung des Europaparlaments noch ausständig), worin eine neue Übergangsphase vereinbart wurde.
Das Abkommen besagt, dass unter den derzeitig geltenden Datenschutzregelungen Großbritanniens Datenübermittlungen zwischen Großbritannien und EU- Mitgliedsstaaten nicht als Datenübermittlungen in Drittstaaten angesehen werden.
Das bedeutet für Unternehmen mit Sitz innerhalb der EU, dass für die Datenübermittlung mit Großbritannien keine zusätzlichen Vereinbarungen geschlossen werden müssen. Es kann vorerst so verfahren werden wie bei Datentransfers innerhalb der EU.
Das Abkommen gilt zunächst für 4 Monate ab in Kraft treten und kann automatisch um zwei weitere Monate verlängert werden, wenn seitens der Vertragsparteien keine Einwände bestehen.
Situation nach Ablauf des Abkommens
Nach Ablauf des Abkommens ist Großbritannien dann aus datenschutzrechtlicher Sicht ein Drittstaat, für den die besonderen Regelungen der Art. 44 bis 49 DSGVO gelten. Um weiterhin unproblematisch den Datenaustausch zwischen den Partnern zu gewährleisten wäre es wünschenswert, wenn Großbritannien ebenso als „Drittland mit angemessenem Schutzniveau“ eingestuft würde wie etwa die Schweiz. Bis zum Ende der Übergangsfrist sollte die EU-Kommission über einen Angemessenheitsbeschluss gem. Art. 45 DSGVO entscheiden.
Sofern es bis zum Ablauf der Übergangsfrist noch keinen Angemessenheitsbeschluss für Großbritannien geben sollte, müssen Datentransfers entsprechend abgesichert werden (Bsp. Standarddatenschutzklausel, Binding Corporate Rules).
Fazit
Zunächst müssen aus datenschutzrechtlicher Sicht keine unmittelbaren Maßnahmen eingeleitet werden, wenn im Unternehmen Daten mit Großbritannien ausgetauscht werden. Allerdings sollte das Bewusstsein geschaffen werden, dass das Land zukünftig als Drittstaat gelten kann, um im Zweifelsfall rasch auf die veränderte Situation reagieren zu können.
Laura Piater
Justiziarin
Consultant für Datenschutz
Reaktion von Microsoft auf die Empfehlungen des Europäischen Datenschutzausschusses in Folge des „Schrems II“-Urteils des EuGH
Seit der EuGH in seinem „Schrems II"-Urteil das „Privacy Shield“ zwischen der EU und den USA gekippt hat, kann eine Datenübermittlung in die USA nicht mehr hierauf gestützt werden. Wir haben hierüber bereits berichtet (siehe Blog-Beitrag "EU-US-Datenschutzvereinbarung „Privacy Shield“ ungültig").
Einzig praktikable Möglichkeit zur Absicherung der Datenübermittlung in die USA ist derzeit der Abschluss der EU-Standardvertragsklauseln mit dem Datenimporteur. Allerdings müssen hierbei zusätzlich weitere Maßnahmen ergriffen werden, um ein Datenschutzniveau, das dem innerhalb des Europäischen Wirtschaftsraums entspricht, sicherzustellen. In diesem Zusammenhang hat der Europäische Datenschutzausschuss am 11.11.2020 Empfehlungen für Transfer- und Überwachungsmaßnahmen im Rahmen des internationalen Datentransfers ausgesprochen.
Als Reaktion auf diese Empfehlungen hat Microsoft in einem Anhang zu den Standardvertragsklauseln („Additional Safeguards Addendum to Standard Contractual Clauses“ – abrufbar unter https://aka.ms/defendingyourdataterms) neue Datenschutzmaßnahmen festgelegt, die neben den bereits implementierten Maßnahmen zum Einsatz kommen sollen und nach Angaben von Microsoft die Empfehlungen des Europäischen Datenschutzausschusses sogar übersteigen:
- Microsoft verpflichtet sich dazu, jede Anfrage einer staatlichen Stelle nach Daten seiner Kunden anzufechten, wenn es dafür eine rechtliche Grundlage gibt.
- Microsoft gewährt Nutzern seiner Kunden, deren Daten aufgrund einer Anfrage einer staatlichen Stelle unter Verletzung der EU-Datenschutz-Grundverordnung (EU-DSGVO) von Microsoft offengelegt werden mussten, eine finanzielle Entschädigung.
Geltung nur für Unternehmenskunden und Kunden aus dem öffentlichen Sektor
Zu beachten ist, dass die neuen Maßnahmen nur für Unternehmenskunden und Kunden aus dem öffentlichen Sektor gelten sollen. Privatkunden sind demnach hiervon nicht erfasst.
Zumindest teilweise positive Rezeption durch die Aufsichtsbehörden
Zwar wird durch die neuen Datenschutzmaßnahmen von Microsoft die bei der Datenübermittlung in die USA problematische Möglichkeit des Zugriffs von amerikanischen Behörden auf personenbezogene Daten nicht verhindert. Dennoch werden sie zumindest von den bayerischen, baden-württembergischen und hessischen Aufsichtsbehörden honoriert, die die Bereitschaft von Microsoft, europäische Datenschutzstandards einzuhalten, und die dahingehende Anpassung der Verträge begrüßen.
Fazit
Da die neuen Maßnahmen von Microsoft zwar einen Schritt in die richtige Richtung darstellen, jedoch letztlich die Problematik des Drittlandtransfers nicht abschließend lösen, sind Unternehmen gut damit beraten, die sich bei der Verwendung von Microsoft-Produkten ergebenden Risiken im Rahmen einer Datenschutz-Folgenabschätzung (DSFA) abzuwägen.
Bettina Förster
Consultant für Datenschutz
Im Zuge eines Kundenprojekts konnte das Research Team der it.sec GmbH eine bisher unbekannte Schwachstelle im Persis Online Bewerberportal identifizieren und ausnutzen. Hierbei handelte es sich um die Manipulation eines Requests, welcher zur Weiterempfehlung von Stellenausschreibungen verwendet wurde. Die Schwachstelle wurde als Cross Site Scripting (XSS) deklariert.
Das Formular zur Weiterempfehlung von Stellenausschreibungen konnte verwendet werden, um Spammails zu versenden. Die eingesetzte Captcha-Funktion konnte das automatisierte und somit massenhafte Versenden von Spammails auf den ersten Blick verhindern. Dennoch konnte die Funktion genutzt werden, um eigene Nachrichten mit nahezu beliebigem Inhalt zu versenden. Somit könnte unter Umständen eine Vielzahl von Spammails im Namen des Kunden versendet werden. Folglich könnte die verwendete Domain auf einer Spam-Mailliste landen, wodurch die Mitarbeiter der Firma vermutlich keine Mails mehr an Kunden aussenden bzw. empfangen könnten.
Der Parameter "ABSENDER" im POST-Request konnte verwendet werden, um HTML einzufügen und somit die Nachricht zu manipulieren. Die Nachrichten wurden dann von noreply@domain.TLD versandt, wobei der Betreff nicht angepasst werden konnte.
Die Schwachstelle wurde vom it.sec Research Team an die Persis GmbH gemeldet und umgehend in den nächsten Releases behoben. Ein Workaround steht ebenso bereit.
Betroffenes Produkt: Online Bewerberportal mit Stellenausschreibung weiterempfehlen
Betroffene Version(en): 17.2.00 - 17.2.35 und 19.0.00 - 19.0.20
Betriebssystem: Linux, Windows
Behobene Version(en): 17.2.36, 19.0.21
Workaround ohne Update (QuickFix): Funktion "Stellenausschreibung weiterempfehlen" in den Einstellungen deaktivieren und durch einfache Browserfunktionalität (teilen) ersetzen
Ansprechpartner beim Hersteller:
Persis GmbH
Michael Barth
Geschäftsführer
E-Mail kontakt@persis.de
Die Schwachstelle (CVE-2020-35753) wurde bereits behoben und ein Security Patch steht für den Administrator innerhalb der Anwendung Persis zum Download zur Verfügung. Produktverantwortliche wurden über die Applikation benachrichtigt. Wir raten allen Betreibern Sicherheitsupdates stets zeitnah zu installieren, um bekannte Schwachstellen zu beheben.
Ihr it.sec Research Team
Das Landesgericht Köln hat mit seinem Urteil vom 14.09.2020 (2 Sa 358/20) entschieden, dass die Kostenregelung aus § 12a ArbGG auch für Schadensersatzansprüche sowie Beseitigungsansprüche aus der DSGVO gilt.
§12a ArbGG regelt die Kostentragungspflicht im ersten Rechtszug vor dem Arbeitsgericht und sieht vor, dass kein Anspruch der obsiegenden Partei auf Entschädigung wegen Zeitversäumnis und auf Erstattung der Kosten für die Zuziehung eines Prozessbevollmächtigten oder Beistandes besteht.
Mit der Geltendmachung eines Beseitigungsanspruchs nach Art. 17 DSGVO und Geltendmachung von Schadensersatz nach Art. 82 DSGVO im Rahmen einer arbeitsrechtlichen Auseinandersetzung vor dem Arbeitsgericht Köln wurde der Klägerin Schadensersatz i.H.v. 300,00 € zugesprochen. Sie ging damit gegen ihre vorherige Arbeitgeberin vor, welche unbeabsichtigt, aber auch unbefugt, eine PDF mit personenbezogenen Daten der Klägerin auf ihrer Webseite auch nach Beendigung des Arbeitsverhältnisses veröffentlicht hielt. Hinsichtlich des geltend gemachten Kostenerstattungs- und Freistellungsanspruchs verlor sie und legte Berufung ein.
Neben der Feststellung, dass die Intensität der Rechtsverletzung marginal war, bestätigte das Landgericht im Berufungsverfahren die Entscheidung des Arbeitsgerichts und lehnte ebenfalls die volle Höhe des verlangten Schadensersatzes ab.
Aus Sicht der Klägerin müsse § 12a ArbGG im Zusammenhang mit Schadensersatzansprüchen aus Art. 82 DSGVO wegen der Unabdingbarkeit der DSGVO als europäische Verordnung unangewendet bleiben. Diese verlangte neben dem primären Schadensersatz aufgrund der Rechtsverletzung der Beklagten, auch die Kosten für die Zuziehung ihrer Prozessbevollmächtigten erstattet.
Dieser Ansicht ist das Landgericht nicht gefolgt und wies die Berufung mit folgender Begründung ab.
Das Gericht legt dar, dass die Schadensersatzansprüche der DSGVO ausschließlich den primären Schadensersatz begründen. Also Ersatz des Schadens, welcher durch den Verstoß gegen die DSGVO entstanden ist. Weitere Kosten die entstehen, wie Anwalts- und Prozesskosten, werden durch Art. 82 DSGVO nicht erfasst, sondern werden durch nationales Recht geregelt (Vgl. Kommentierung von Däubler 2. Aufl. EU DSGVO, Art. 82 Rn. 14 sowie Plath Becker, 2. Aufl., BDSG/DSGVO Art. 82 Nr. 8).
Hinzu kommt, nach Auffassung des Gerichts, dass der Schadensersatzanspruch dadurch nicht eingeschränkt wird oder es zu einer Benachteiligung der Arbeitsnehmer kommt. § 12a ArbGG schützt ja gerade den Arbeitnehmer. Verlangt der Arbeitnehmer nämlich zu viel Schadensersatz im ersten Rechtszug und verliert zumindest teilweise, kommt ihm die Norm aus dem ArbGG hinsichtlich der zu erstatteten den Kosten zu Gute.
Bezüglich der Anwendbarkeit von § 12a ArbGG im Zusammenhang mit dem Beseitigungsanspruch aus Art. 17 DSGVO führt das Landgericht aus, dass die Prozessnorm den Beseitigungsanspruch nicht ausgestaltet. Er regelt lediglich die Kosten des Beseitigungsanspruch, wozu es in der DSGVO keine Regelungen gibt, sodass es bei den allgemeinen deutschen Regeln zur Kostenverteilung verbleibt.
Fazit:
Mithin stellt das Landgericht fest, dass nationale prozessrechtliche Regelungen sehr wohl bei Geltendmachung von Ansprüchen auf Grundlage der DSGVO anwendbar sind. „Das materielle deutsche Prozessrecht behalte seine Geltung“. Dieses Urteil und weitere Urteile (siehe auch Landgericht Köln, 28 O 71/20) zeigen, dass eine uferlose Haftung auf Grundlage der DSGVO vermieden werden soll.
Handlungsbedarf für das Datenschutzmanagement löst das Urteil nicht aus. Im konkreten Fall sollte es aber in die Abwägung mit einfließen, da es Folgen für die Beurteilung der Risiken im Zusammenhang mit Datenschutz und gerichtlichen Prozessen zwischen Arbeitgeber und Arbeitnehmer haben kann.
Jan Brinkmann
Consultant für Datenschutz
Volljurist
Seit dem 1. Januar 2021 stellen Krankenkassen die elektronische Patientenakte gemäß des neuen Patientendaten-Schutz-Gesetzes zur Verfügung. Ziel ist laut Bundesregierung, eine sichere, nutzerfreundliche und barrierefreie digitale Kommunikation zwischen Behandelnden und PatientInnen zu ermöglichen.
Zunächst können PatientInnen Befunde, Arztberichte oder auch Röntgenbilder speichern und entsprechend freigeben. Ab dem Jahr 2022 folgen dann auch der Impfausweis, der Mutterpass, das gelbe Untersuchungsheft für Kinder und das Zahnbonusheft.
Ein weiteres Feature, welches im Jahr 2022 erst verfügbar sein wird, ist die manuelle separate Freigabe von Datensätzen. So können NutzerInnen im kommenden Jahr selbst in der App entscheiden, welche Daten, wem frei gegeben werden.
Genau dieses Feature im Hinblick auf die elektronische Patientenakte verlangt Bundesdatenschutzbeauftragter Ulrich Kelber von den Krankenkassen. In einer offenen Stellungnahme warnte er vor aufsichtsrechtlichen Maßnahmen gegen Krankenkassen seitens seiner Behörde. Denn, wenn das Gesetz in seiner jetzigen Form umgesetzt wird, verstoße es gegen europäisches Datenschutzrecht (DSGVO).
Das Bundesgesundheitsministerium hingegen spricht davon, „dass der Patient Herr seiner Daten werde“. Weiter führt das Ministerium aus: „Die Nutzung der ePA ist freiwillig. Der Versicherte entscheidet, welche Daten in der ePA gespeichert und welche wieder gelöscht werden. Er entscheidet auch in jedem Einzelfall, wer auf die ePA zugreifen darf.“ Dadurch sollen z.B. doppelte Untersuchungen vermieden werden.
Problematisch aus Sicht des Datenschutzes sei, dass im ersten Jahr der ePA personenbezogene Daten offengelegt werden, obwohl dies gegen Grundprinzipien (Zweckbindung) der DSGVO verstoße, so die Landesdatenschutzbeauftrage Niedersachsen Thiel. So kann jeder Arzt und jede Ärztin des Nutzers – im Jahre 2021 – Befunde, Berichte, Bilder etc. jeder anderen Praxis einsehen. Darüber hinaus geht es hierbei nicht um Daten mit einem niedrigen Risiko für die Betroffenen, sondern um sensible Daten besonderer Kategorien i.S.d DSGVO. So können z.B. Informationen intimster Natur wie psychische Erkrankungen oder Schwangerschaftsabbrüche bei dem behandelnden Augenarzt offengelegt werden.
Weiterer Kritikpunkt auch der Datenschützer, dass es zu einer Ungleichbehandlung beim Grundrecht auf informationelle Selbstbestimmung kommt. Bisher können nämlich nur „Nutzende von geeigneten Endgeräten wie Mobiltelefonen oder Tablets einen datenschutzrechtlich ausreichenden Zugriff auf ihre eigene ePA erhalten“.
Letztlich wird noch das Authentifizierungsverfahren für die ePA kritisiert da es keine technischen und organisatorischen Maßnahmen entsprechend der Vorgaben der DSGVO bietet. Insbesondere bei Anmeldungen ohne Einsatz der elektronischen Gesundheitskarte entspreche das Authentifizierungsverfahren nicht dem aktuellen Stand der Technik.
Fazit:
Die Krankenkassen befinden sich in einer schwierigen Situation. Auf der einen Seiten müssen sie ihren Versicherten die Chance einer nutzerfreundlichen und barrierefreien digitalen Kommunikation bieten. Auf der anderen Seite verstößt die durch das deutsche Gesetz vorgeschrieben Vorgehensweise gegen europäisches Datenschutzrecht, was das Risiko aufsichtsrechtlicher Maßnahmen mit sich bringt. Es ist abzuwarten, wie das Bundesgesundheitsministerium, der Bundesdatenschutzbeauftragte oder ein damit betrautes Gericht entscheiden.
Als betroffene Person ist man derzeit also nur begrenzt „Herr seiner Daten“. Es bleibt also– wie so oft – eine Abwägung zwischen den eigenen Interessen: Digitale und leichtere Kommunikation oder Datenschutz.
Jan Brinkmann
Consultant für Datenschutz
Volljurist
In unserer heutigen Kommunikation sind Videokonferenzen nicht mehr wegzudenken. Deren Bedeutung hat sich durch die Corona-Krise noch weiter vergrößert. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat aus diesem Grund im Oktober 2020 eine Orientierungshilfe veröffentlicht, in der sie die datenschutzrechtlichen Anforderungen an die Durchführung von Videokonferenzen erläutert. Die wichtigsten Punkte werden im Folgenden zusammengefasst.
Der Verantwortliche hat verschiedene Möglichkeiten ein Videokonferenzsystem zu betreiben. Er kann das Videokonferenzsystem selbst betreiben, durch einen externen IT-Dienstleister betreiben lassen oder einen Online-Dienst nutzen.
Selbst betriebener Dienst
Aus datenschutzrechtlicher Sicht ist es am vorteilhaftesten das Videokonferenzsystem selbst zu betreiben, da der Verantwortliche dadurch selbst entscheiden kann, welche Software verwendet wird und welche Daten verarbeitet werden. Auch muss dann kein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen werden. Allerdings liegt es in diesem Fall am Verantwortlichen geeignete technische und organisatorische Maßnahmen zum Schutz der Daten zu ergreifen und das Videokonferenzsystem zu betreiben und zu warten, d.h. der Verantwortliche muss dazu sowohl in technischer als auch in personeller Sicht in der Lage sein.
Externer Dienstleister
Der Verantwortliche kann einen externen IT-Dienstleister zum Betrieb der Software beauftragen und mit diesem einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen. Der Auftragsverarbeiter ist unter besonderer Berücksichtigung seiner Zuverlässigkeit und der Geeignetheit, der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auswählen. Hinsichtlich der Software ist zu prüfen, ob Datenabflüsse an den Hersteller oder Dritte erfolgen. Für die Datenabflüsse muss entweder eine Rechtsgrundlage bestehen oder sie müssen unterbunden werden.
Online Dienst
Der Verantwortliche kann schließlich auch bereits bestehende Online-Dienste nutzen. Auch in diesem Fall muss er einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen. Bei der Auswahl des Anbieters muss der Verantwortliche insbesondere darauf achten, dass die Anforderungen der DSGVO eingehalten werden und geeignete technische und organisatorische Maßnahmen vorhanden sind.
Da viele Anbieter von Videokonferenzsystem die Daten in den USA verarbeiten, sind zusätzlich die Anforderungen der Art. 44 ff. DSGVO zu beachten. Eine Datenübermittlung in die USA kann seit der Ungültigkeitserklärung des Privacy Shield durch den EuGH nicht mehr auf dieses gestützt werden. Denkbar ist aber eine Verwendung von Standardvertragsklauseln und anderen vertraglichen Garantien, es müssen jedoch zusätzliche Maßnahmen ergriffen werden, um das gleiche Datenschutzniveau wie in den EU-Mitgliedsstaaten gewährleisten zu können. Es ist deshalb eine sorgfältige Prüfung vorzunehmen! Im Zweifel muss der Datenexport unterbleiben.
Außerdem muss der Verantwortliche die Software prüfen, z.B. auf Datenabflüsse und Zugriffsrechte, und ggf. Anpassungen vornehmen. Sollte der Anbieter Daten auch zu eigenen Zwecken oder Zwecken Dritter (z.B. zum Nutzerverhalten oder Tracking zu Werbezwecken) verarbeiten, ist für jede Offenlegung von personenbezogenen Daten eine Rechtsgrundlage erforderlich. Für diesen Fall ist außerdem eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO zu prüfen und ggf. eine entsprechende Vereinbarung abzuschließen.
Pflichten des Verantwortlichen
Der Verantwortliche hat bei der Nutzung von Videokonferenzsystem verschiedene Pflichten. Er muss insbesondere:
- seine Informationspflichten aus Art. 13, 14 DSGVO erfüllen und die Teilnehmer klar und eindeutig über die mit der Nutzung des Dienstes verbundenen Datenverarbeitungen informieren.
- Die Datenverarbeitungen nur bei Vorliegen einer Rechtsgrundlage vorzunehmen.
- die Betroffenenrechte gemäß Art. 15 bis 21 DSGVO gewährleisten.
- Auftragsverarbeitungsverträge nach Art. 28 DSGVO abschließen.
- die Veranstaltung der Videokonferenz in das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) aufnehmen.
- sorgfältig prüfen, ob Daten in Drittländer (insbesondere die USA) übermittelt werden dürfen. Hierbei müssen zusätzliche Maßnahmen ergriffen werden, um das gleiche Datenschutzniveau wie in den EU-Mitgliedsstaaten gewährleisten zu können.
Fazit
Prüfen Sie vor der Einführung eines Videokonferenzsystems daher sorgfältig, ob es datenschutzkonform ist und welche weiteren Anforderungen beachtet werden müssen.
Es ist außerdem empfehlenswert eine Richtlinie zur Durchführung von Videokonferenzen im Unternehmen zu implementieren, um einen reibungslosen Ablauf zu gewährleisten und die Mitarbeiter darin gleichzeitig aufzuklären und zu sensibilisieren.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Die Markteinführung des Produkts Microsoft Office 365 sorgte von Beginn an für Kritik. Diverse Einstellungsmöglichkeiten und die damit verbundene Unübersichtlichkeit machen es nicht geschulten Nutzern schwierig, die Einstellungen so datenschutzkonform wie möglich zu gestalten. Nun hat Microsoft eine neue Funktion ins Leben gerufen: Über Workplace Analytics kann ein so genannter Produktivitätswert erstellt werden.
Der Produktivitätswert
Bei Workplace Analytics handelt es sich um ein Statistik Tool, welches Arbeitsgewohnheiten und das Arbeitsverhalten auswerten kann. Dabei wird ein so genannter Produktivitätswert generiert, welcher beispielsweise auswerten kann, wann welcher Mitarbeiter E-Mails verschickt hat, wie viele E-Mails an einem bestimmten Tag verschickt wurden, wie oft welches Tool von Microsoft benutzt wurde und Ähnliches.
Ziel dieser Auswertung gemäß Microsoft ist es, die Produktivität der Mitarbeiter zu fördern und Mitarbeiter, welche wenig aktiv sind in der Benutzung der verschiedenen Tools durch sehr aktive Mitarbeiter zu unterstützen und dadurch wiederum die Produktivität zu erhöhen.
Kritik am Produktivitätswert
Die Standardeinstellung im Rahmen der Auswertung für den Produktivitätswert sieht vor, dass Mitarbeiter namentlich gelistet werden. Dadurch kann genau abgelesen werden, wer wann welches Tool benutzt, Mails geschrieben oder mit Kollegen Daten ausgetauscht hat. Eine Anonymisierung ist im Programm zwar möglich, muss jedoch manuell eingestellt werden.
Damit ist es für Arbeitgeber grundsätzlich möglich, über den Produktivitätswert seine Mitarbeiter einer Verhaltens- und Leistungskontrolle zu unterziehen. Damit einher geht jedoch die Verletzung des allgemeinen Persönlichkeitsrechts der jeweiligen Arbeitnehmer. Derartige Kontrollen der Arbeitnehmer sind datenschutzrechtlich unzulässig und sind daher zu unterlassen.
Stellungnahme von Microsoft
Auf der Seite von Microsoft wird klar herausgestellt, dass es sich bei den neuen Funktionen nicht um ein Überwachungstool handelt. Vielmehr sollen neue Arbeitsweisen entdeckt werden sowie die Zusammenarbeit gefördert werden. Dabei weist Microsoft darauf hin, dass die Nutzer diverse Kontrollmöglichkeiten haben, wie beispielsweise das Löschen oder Anonymisieren von Daten.
Fazit
Im Rahmen der Nutzung des Produktivitätswerts sind Unternehmen gut damit beraten, die Einstellungen so datenschutzkonform wie möglich zu gestalten und genau zu prüfen, welche Daten verarbeitet werden dürfen. Letztlich sind die Arbeitgeber Verantwortliche im Sinne der Datenschutzgrundverordnung (DSGVO) und müssen für einen datenschutzkonformen Einsatz der Software im Unternehmen sorgen.
Laura Piater
Juristin
Consultant für Datenschutz