Mit der Corona-Krise haben Telefon- und Videoconferencing einen bisher nicht erreichten Status in der Arbeitswelt erhalten. Ob mit Mitarbeitern im Homeoffice oder mit Kunden und Lieferanten, irgendwo auf der Welt \u2013 f\u00fcr Meetings werden immer h\u00e4ufiger Videoconferencing-Tools eingesetzt. Dabei gilt es selbstverst\u00e4ndlich auch, den Datenschutz und die Cyber-Security zu wahren. Denn personenbezogene und gesch\u00e4ftsrelevante Daten m\u00fcssen ausreichend vor unbefugtem Zugriff oder Abfluss gesch\u00fctzt werden.<\/p>\n
Dieser Blog beschr\u00e4nkt sich auf das Videoconferencing. Zu Beginn der Corona-Krise lag bei der Auswahl des eingesetzten Tools in den Unternehmen der Fokus meist auf einer schnellen L\u00f6sung. Inzwischen sollten sich die Verantwortlichen, insbesondere wenn sich das Videoconferencing bew\u00e4hrt hat, \u00fcber eine flexible, nachhaltige und datenschutzkonforme L\u00f6sung Gedanken machen.<\/p>\n
Videoconferencing im Unternehmen muss nicht zwangsl\u00e4ufig ein Sicherheitsrisiko darstellen. Allerdings muss das Tool diversen Anforderungen entsprechen, die es urspr\u00fcnglich bereits vor dem ersten Verwenden zu kl\u00e4ren gilt. Dabei sollten sich die Verantwortlichen bei der Auswahl einer Software zun\u00e4chst stets fragen, ob eine On-Premises-Variante (also auf den eigenen Servern gehostete Software) in Frage kommt oder aus unterschiedlichsten Gr\u00fcnden eine SaaS-L\u00f6sung eingesetzt werden soll.<\/p>\n
Vertragliche Vorkehrungen<\/b><\/p>\n
Entscheidet sich das Unternehmen f\u00fcr eine SaaS-L\u00f6sung, ist mit dem Anbieter der L\u00f6sung grunds\u00e4tzlich ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abzuschlie\u00dfen. Es sei denn, es handelt sich um ein Tool aus einer Gesamtl\u00f6sung mit Videoconferencing, mit dessen Dienstleister bereits ein Vertrag besteht, z.B. Teams von Microsoft oder Meets von Google im Rahmen von anderen SaaS-L\u00f6sungen im Unternehmen.<\/p>\n
Es ist immer vorab zu pr\u00fcfen, ob der SaaS-Dienstleister, der als Auftragsverarbeiter eingesetzt werden soll, f\u00fcr die Verarbeitung geeignete technische und organisatorische Ma\u00dfnahmen bietet, damit die Verarbeitung datenschutzkonform erfolgen kann.<\/p>\n
Grunds\u00e4tzlich sollte ein Anbieter aus Deutschland oder der EU bevorzugt werden, da bei Auftragsverarbeitern aus sog. Drittl\u00e4ndern zus\u00e4tzlich zu pr\u00fcfen ist, ob sie ein angemessenes Schutzniveau bieten (Angemessenheitsbeschluss der EU) oder ansonsten geeignete Garantien des Anbieters (Abschluss von Standarddatenschutzklauseln).<\/p>\n
Welche M\u00f6glichkeiten sollte das Videoconferencing-Tool bieten?<\/b><\/p>\n
Der Verantwortliche (das Unternehmen) wird die technischen Ma\u00dfnahmen anhand der geplanten Verarbeitung und Zielgruppe ausrichten m\u00fcssen. Es ist danach zu fragen: Wird das Videoconferencing nur zur innerbetrieblichen Kommunikation genutzt oder auch mit Kunden in der Beratung oder Lieferanten bei Einkaufsverhandlungen? Dabei gilt es zu beachten, wie sensibel die Daten sind, die beim Videoconferencing geteilt werden sollen.<\/p>\n
Der \u201eVeranstalter\u201c der Videokonferenz ist dabei die verantwortliche Stelle und letztlich f\u00fcr die Auswahl des Tools und das damit verbundene Schutzniveau haftbar. Die Grunds\u00e4tze \u201eData Protection by Design and Default\u201c nehmen vor allen Dingen das Unternehmen in die Pflicht.<\/p>\n
Die \u201eMust-haves\u201c an technischen Ma\u00dfnahmen<\/b><\/p>\n
Hosting:<\/b> Wird das Tool gehostet oder On-Premises betrieben? Wenn m\u00f6glich und nicht On-Premises, ist \u201eVaaS\u201c (Video-as-a-Service) aus Deutschland oder der EU zu bevorzugen, da diese unmittelbar den Vorgaben der DSGVO unterliegen und somit ein angemessenes Schutzniveau gew\u00e4hren.<\/p>\n
Verschl\u00fcsselung:<\/b> Die Kommunikation sollte m\u00f6glichst verschl\u00fcsselt erfolgen. Dabei gilt es im Einzelfall zu bestimmen, welche Art von Verschl\u00fcsselung ben\u00f6tigt wird. Dies h\u00e4ngt letztlich von der Art der Daten ab, die verarbeitet werden sollen.<\/p>\n
Business-Version<\/b>: F\u00fcr die Verwendung im Unternehmen eignen sich keine Tools, die f\u00fcr den privaten Einsatz gedacht sind. Zum Beispiel sind Apps wie WhatsApp oder FaceTime grunds\u00e4tzlich ungeeignet.<\/p>\n
Beschr\u00e4nkung von Logfiles:<\/b> Logfiles sollten, nur soweit diese erforderlich sind, erstellt werden. Sie sollten aus Datenschutzsicht nur f\u00fcr die Fehlerbehebung durch den Dienstleister notwendig sein. Die Daten sind nur zu diesem Zweck zu verwenden und sollten nach Wegfall des Zwecks wieder gel\u00f6scht werden.<\/p>\n
Chatverl\u00e4ufe und Dateiaustausch<\/b>: Auch hier ist sicherzustellen, dass diese nur f\u00fcr den ben\u00f6tigten Zeitraum zur Verf\u00fcgung stehen und danach automatisch gel\u00f6scht werden. Beim Chat d\u00fcrfte dies nach Ende der Videokonferenz der Fall sein. Bei Dateiaustausch kann z.B. ein Zeitraum von wenigen Stunden oder einem Tag gew\u00e4hlt werden, innerhalb dessen die Mitarbeiter Zeit haben, die Daten herunterzuladen und anderweitig abzulegen. Erg\u00e4nzend sollte als organisatorische Ma\u00dfnahme geregelt werden, welche Arten von Dokumenten (nicht) \u00fcber das Tool geteilt werden d\u00fcrfen. Dies kann sowohl als Black- oder als Whitelist ausgestaltet werden.<\/p>\n
Aufnahmen der Videokonferenz<\/b>: Viele Tools bieten mittlerweile die M\u00f6glichkeit, die Video-Konferenz aufzunehmen. Dies d\u00fcrfte in den meisten F\u00e4llen jedoch nur mit einer Einwilligung aller Teilnehmer zul\u00e4ssig sein. Daher sollte das Tool so eingestellt werden k\u00f6nnen, dass vor Start der Aufnahme bei allen Teilnehmern eine Nachricht mit den n\u00f6tigen Informationen erscheint, sowie die Option, der Aufnahme zuzustimmen oder diese abzulehnen. Zudem wird eine Aufzeichnung wohl stets den Ton umfassen und k\u00f6nnte bei fehlender Zustimmung sogar regelm\u00e4\u00dfig wegen der Verletzung der Vertraulichkeit des Wortes strafbar sein. Hier ist im speziellen Fall ein Jurist zu befragen.<\/p>\n
Einsatz bei Bewerbungsverfahren<\/b>: Sollte ein Unternehmen Bewerbungsgespr\u00e4che wegen Corona oder gro\u00dfer r\u00e4umlicher Distanz via Videoconferencing durchf\u00fchren, sollte im Voraus sorgf\u00e4ltig gepr\u00fcft werden, was hier notwendig und \u00fcberhaupt zul\u00e4ssig ist, z.B. Einsatz von Profiling-tools zur Verhaltensanalyse.<\/p>\n
Blurr-M\u00f6glichkeit:<\/b> Zudem bieten Videoconferencing-Tools teilweise die M\u00f6glichkeit, den Hintergrund vollst\u00e4ndig auszugrauen. Dann laufen keine Kinder durch das Bild oder verr\u00e4t die B\u00fccherwand oder das Bild an der Wand pers\u00f6nliche Neigungen. Hier kann der Teilnehmer mit technischen Mitteln f\u00fcr mehr Datenschutz und Vermeidung von Peinlichkeiten sorgen.<\/p>\n
Einrichtung von Zugangsbeschr\u00e4nkungen<\/b>: Das ist wie ein pers\u00f6nliches Login oder wird bei G\u00e4sten durch die Zustimmung des Organisators geregelt. Es ist nicht immer selbstverst\u00e4ndlich, dass Videoconferencing-Tools ohne diese technische Ma\u00dfnahme eingesetzt werden. So meldete Mitte M\u00e4rz 2020 das Fachmagazin c\u2019t: \u201eEin vom bayerischen Innenministerium genutztes Videoconferencing-System stand ungesch\u00fctzt im Netz. So konnte c\u2019t an einer internen Sitzung zum Coronavirus mit Bayerns Innenminister Joachim Herrmann teilnehmen.\u201c *<\/p>\n
Die dargestellten technischen Ma\u00dfnahmen und Einstellungserw\u00e4gungen erheben keinen Anspruch auf Vollst\u00e4ndigkeit. Letztendlich muss immer der Einzelfall betrachtet werden.<\/p>\n
Organisatorische Ma\u00dfnahmen und Regelungen<\/b><\/p>\n
Sensibilisierung:<\/b> Teilnehmer sollten informiert und sensibilisiert sein, welche Daten \u00fcber das Tool (vor allem auch mit Externen) geteilt werden d\u00fcrfen. Hierzu kann der Moderator im Vorfeld eine Verhaltensrichtlinie verschicken und zu Beginn der Sitzung darauf verweisen. Insbesondere gilt dies beim Desktop-Sharing<\/b>: Hier sollte nur gezeigt werden, was auch f\u00fcr die Besprechung erforderlich ist. Daher sollte der Desktop ohne Dateisymbole (Clean Desktop) gezeigt werden, solange diese f\u00fcr die Videoconferencing nicht erforderlich sind. Auch sollten keine Benachrichtigungen \u00fcber neue Mails auf dem geteilten Bildschirm aufpoppen. Es sollte grunds\u00e4tzlich f\u00fcr die Konferenz unterbunden werden. Als sehr n\u00fctzlich hat sich das Muting<\/b> nicht aktiver Teilnehmer erwiesen. Damit werden R\u00fcckkopplungen, Zwischenrufe der Kinder oder des Hundes nicht gleich an alle Teilnehmer verteilt.<\/p>\n
Im innerbetrieblichen Bereich empfiehlt sich, eine Richtlinie zum Videoconferencing zu entwickeln und zu kommunizieren.<\/p>\n
Quelle: *https:\/\/www.heise.de\/ct\/artikel\/c-t-deckt-auf-Bayerischer-Innenminister-bespricht-Corona-Krise-in-ungeschuetzter-Videokonferenz-4680288.html<\/p>\n
……………………………………………….<\/b><\/span><\/p>\n AKTUALISIERUNG am 28.01.2021:<\/b><\/span><\/p>\n Nach dem Austritt aus der Europ\u00e4ischen Union sind U.K. und Nord-Irland seit Januar 2021 unsichere Drittstaaten und entsprechend zu behandeln<\/b>. <\/span>Daten\u00fcbertragungen aus der EU nach U.K. m\u00fcssen nun \u00fcber die Standardvertragsklausel der DSGVO mit entsprechenden Garantien abgesichert werden.<\/span><\/p>\n Ein Angemessenheitsbeschluss nach Art. 45 DSGVO der EU ist noch nicht absehbar.<\/span><\/p>\n","protected":false},"excerpt":{"rendered":" Mit der Corona-Krise haben Telefon- und Videoconferencing einen bisher nicht erreichten Status in der Arbeitswelt erhalten. Ob mit Mitarbeitern im Homeoffice oder mit Kunden und Lieferanten, irgendwo auf der Welt \u2013 f\u00fcr Meetings werden immer h\u00e4ufiger Videoconferencing-Tools eingesetzt. Dabei gilt es selbstverst\u00e4ndlich auch, den Datenschutz und die Cyber-Security zu wahren. Denn personenbezogene und gesch\u00e4ftsrelevante Daten […]<\/p>\n","protected":false},"author":1,"featured_media":16926,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[115,128,106,63],"tags":[],"class_list":["post-14262","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciso","category-compliance","category-cyber-security","category-sicherheit","themenkategorie-cyber-security","themenkategorie-digital-innovation","branchenkategorie-banken-versicherungen","branchenkategorie-energie-versorgung","branchenkategorie-handel-transport-logistik","branchenkategorie-industrie","branchenkategorie-pharma-gesundheit","branchenkategorie-private-equity","branchenkategorie-technologie-medien-telekommunikation"],"acf":[],"yoast_head":"\n