In einem Beschluss (Beschluss v. 22.07.2020 - Az.: 6 A 211/17) hat das OVG Lüneburg auf die Risiken bei der Verwendung von Faxgeräten zum Versand sensibler personenbezogener Daten hingewiesen. Im Rahmen eines Prozesses hatte eine Behörde ihrem Prozessbevollmächtigte wiederholt unverschlüsselt per Fax sensible Daten über den Kläger zukommen lassen, obwohl der Kläger der unverschlüsselten Übermittlung von personenbezogenen Daten bereits zu Beginn des Verfahrens widersprochen und auf seine besondere Schutzbedürftigkeit hingewiesen hatte.
Das Gericht sah hierin einen Verstoß gegen das Niedersächsischen Landesdatenschutzgesetzes durch die Behörde. Faxen sei ein unsicheres Kommunikationsmedium, weil die Informationen grundsätzlich unverschlüsselt versandt werden, abhörbar seien und ein Fehlversand aufgrund falscher Eingabe der Rufnummer immer wieder vorkommen. Außerdem hätten bei modernen Faxgeräten oftmals Wartungsfirmen Zugriff auf die Geräte und könnten daher Kenntnis vom Inhalt versandter Dokumente erhalten. Daher sei irrelevant, dass die Mitarbeiter der Kanzlei als Empfänger der Nachricht ebenso wie die Rechtsanwälte selbst einer beruflichen Schweigepflicht unterliegen.
Wir nehmen das Urteil zum Anlass, Sie darauf hinzuweisen, auch beim Faxen die notwendigen datenschutzrechtlichen Vorgaben zu beachten:
- Verzichten Sie möglichst auf das Faxen von sensiblen personenbezogenen Daten.
- Verwenden Sie nach Möglichkeit Verschlüsselungslösungen im Faxgerät.
- Erstellen Sie Adresslisten im Faxgerät selbst um eine Falscheingabe von Faxnummern zu verhindern
- Sorgen Sie für einen zugangsbeschränkten Standort von Faxgeräten.
- Prüfen Sie regelmäßig und sorgfältig die technischen Parameter Ihrer Geräte, Verteilerlisten und Protokolle der Faxsoftware.
Wie immer stehen wir bei weiteren Fragen gerne zur Verfügung.
C. Lürmann
Rechtsanwältin
Consultant für Datenschutz
Online-Kommunikationstools werden angesichts neuer Formen der überörtlichen Zusammenarbeit immer wichtiger. Sie helfen, gewohnte Arbeitsabläufe während der angeordneten Kontaktsperren aufrechtzuerhalten.
Die ENISA (European Union Agency for Cybersecurity) hat hierzu einige Empfehlungen veröffentlicht. Es folgt eine kurze Zusammenfassung der Empfehlungen auf Deutsch:
- Verschlüsselte Kommunikation sollte unbedingt unterstützt werden.
- Die zentralisierte Verwaltung sollte unterstützt werden. Dies bedeutet, dass ein Administrator die Einstellungen für alle Teilnehmer vornehmen kann. So können Berechtigungen, Passwortpolicy, und virtuelle Meetingräume gemanagt und unbefugtes Mithören verhindert werden.
- Eine starke Benutzerauthentifizierung (Mehrfaktor-Authentifizierung) ist zu empfehlen.
- Die Konfigurationsoptionen geben Aufschluss über eine mögliche lokale Nutzung von Diensten/Tools. Lokales Hosting auf einem eigenen Server ist gegenüber externer Datenverarbeitung (in einer Cloud) vorzugswürdig.
- Die Datenschutzhinweise sollten genau und kritisch gelesen werden. Wichtige Punkte sind: Erhobene Datenarten, Ort(e) der Datenverarbeitung, mögliche Drittlandtransfers, Speicherdauer sowie Voreinstellungen bzgl. Datenschutz. Ein Teilen der erhobenen Daten mit sozialen Netzwerken sollte grundsätzlich vermieden werden. Ziehen Sie für eine genauere Einschätzung den Datenschutzbeauftragten zu Rate!
- Private Endgeräte dürfen nicht für Videokonferenzen o.Ä. genutzt werden. Bei Verwendung mobiler Endgeräte (Smartphones, Tablets) müssen vor der Nutzung die Berechtigungen der jeweiligen App überprüft und ggf. angepasst werden.
- Genutzt werden sollte immer nur die aus sicheren Quellen stammende, letzte Version einer Software mit aktuellen Sicherheitspatches.
- Alle Meetings, Gruppen und Räume sollten passwortgeschützt sein. Links zu Konferenzräumen dürfen nicht außerhalb der Teilnehmergruppe geteilt werden.
- Bei der Einrichtung sind privatsphärefreundliche Voreinstellungen zu wählen (Kamera standardmäßig inaktiv, keine Aufnahme/Mitschnitt des Meetings oder von versandten Kurznachrichten). Sollte dennoch eine Aufzeichnung erforderlich sein, müssen vorab alle Teilnehmer informiert werden und müssen der Aufzeichnung zustimmen.
- Chat-, Audio- und Bildschirmteilungsfunktionen sollten mit Bedacht eingesetzt werden, damit keinerlei Informationen unbeabsichtigt geteilt werden. Es können i.d.R. auch nur einzelne Fenster freigegeben werden. Der Hintergrund bei Videokonferenzen sollte neutral gewählt werden, um keine personenbezogenen oder vertraulichen Informationen preiszugeben.
Insgesamt ist also beim Einsatz von Online-Kommunikationstools Einiges zu beachten, um für den geschäftlichen Einsatz sicher unterwegs zu sein. Eine solche Absicherung sollte immer sowohl in technischer, als auch in organisatorischer Weise vorgenommen werden. Wie schon in Punkt 5. erwähnt, hilft die frühzeitige Einbindung des Datenschutzbeauftragten dabei, Fehler zu vermeiden.
Florian S.
Justiziar | M.A.
Consultant für Datenschutz
Da hat es sich Facebook wohl zu einfach gemacht. Lapidar hat das Unternehmen behauptet, kein Mitglied ihrer Rechtsabteilung habe ausreichende deutsche Sprachkenntnisse, um Beschwerden, Gerichtsbeschlüsse oder Mitteilungen auf Deutsch in vollem Umfang zu verstehen. Zu Unrecht, wie das OLG Düsseldorf im Rahmen eines Kostenfestsetzungsverfahrens im Dezember 2019 festgestellt hat:
Sachverhalt
Das Landgericht Düsseldorf hatte Facebook in Irland im Wege der Rechtshilfe einen Beschluss in deutscher Sprache zustellen lassen. Facebook verweigerte die Annahme wegen einer fehlenden englischen Übersetzung und argumentierte, dass der Beschluss damit nicht zugestellt worden sei.
Entscheidung des OLG
Davon ließ sich das OLG jedoch nicht beeindrucken. Es komme bei der Beurteilung der Verständnisfähigkeit nicht darauf an, ob konkrete Mitglieder der Geschäftsleitung oder der jeweiligen Rechtsabteilung über entsprechende Sprachkenntnisse verfügen, sondern auf die Organisation des Unternehmens insgesamt. Dass das Unternehmen den Beschluss nicht verstehen könne, sei in diesem Fall eine reine Schutzbehauptung.
Facebook habe Millionen von Nutzern in Deutschland, mit denen ausdrücklich auf Deutsch kommuniziert wird. Sämtliche im Verhältnis zwischen Unternehmen und Nutzern bestehenden Vertragsdokumente (AGB, Gemeinschaftsstandards, Nutzungsbedingungen) würden auf Deutsch vorliegen, auch das deutsche Recht würde in den entsprechenden Dokumenten besonders berücksichtigt, so z.B. das Deutsche Produkthaftungsgesetz. Derartige Formulierungen seien ohne profunde Kenntnisse der deutschen Sprache und des deutschen Rechts nicht möglich. Das Gericht sah es damit als erwiesen an, dass Facebook über ausreichende Deutschkenntnisse verfügt, so dass die Verweigerung der Annahme des gerichtlichen Schriftstücks durch Facebook unzulässig und rechtsmißbräuchlich gewesen sei.
Fazit
Bei der Entscheidung zeigt sich einmal mehr, wie eine kleine Rechtsstreitigkeit über einen nur geringen dreistelligen Betrag, große Wirkung entfalten kann. Die Notwendigkeit, mit den international tätigen und auftretenden Unternehmen nur in der jeweiligen Sprache des Hauptsitzes kommunizieren zu müssen, scheint jedenfalls aufgrund dieser Entscheidung zu entfallen.
C. Lürmann
Rechtsanwältin
Consultant für Datenschutz