Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Homeoffice

  • Videokonferenz-Tools datenschutzkonform nutzen: 7 Prüfpunkte

    Teambesprechungen, Mandantengespräche, Bewerbungsinterviews: Videokonferenzen sind in den vergangenen Wochen für viele Unternehmen unverzichtbar geworden. Häufig wurde das Tool genutzt, das gerade verfügbar war. Jetzt ist ein guter Zeitpunkt, die Auswahl auf eine solide datenschutzrechtliche Grundlage zu stellen. Denn bei Videokonferenzen werden zahlreiche personenbezogene Daten verarbeitet: Namen, E-Mail-Adressen, IP-Adressen, Bild und Ton, Chatnachrichten und mitunter Aufzeichnungen.

    1. Wer ist verantwortlich?

    Das Unternehmen, das eine Videokonferenz organisiert und den Dienst auswählt, ist in der Regel Verantwortlicher. Der Anbieter des Tools wird typischerweise als Auftragsverarbeiter tätig. Das hat Konsequenzen: Sie müssen einen Anbieter auswählen, der hinreichende Garantien für die Sicherheit der Daten bietet, und mit ihm einen Vertrag nach Art. 28 DSGVO schließen.

    2. Vertrag zur Auftragsverarbeitung

    Prüfen Sie, ob der Anbieter einen Auftragsverarbeitungsvertrag bereitstellt und ob dieser die Mindestinhalte des Art. 28 Abs. 3 DSGVO enthält. Achten Sie insbesondere darauf, dass der Anbieter die Daten nicht für eigene Zwecke, etwa für Werbung oder Produktanalysen, nutzen darf, soweit dies nicht offen geregelt und rechtlich zulässig ist.

    3. Serverstandort und Drittlandübermittlung

    Viele bekannte Dienste stammen von Anbietern aus den USA. Eine Übermittlung in Drittländer ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch Standardvertragsklauseln oder, für die USA, eine Zertifizierung des Anbieters nach dem EU-US Privacy Shield. Beachten Sie, dass die Zulässigkeit dieser Instrumente derzeit Gegenstand eines Verfahrens vor dem Gerichtshof der Europäischen Union ist. Anbieter mit Servern in der EU und Sitz in Europa reduzieren dieses Risiko.

    4. Sicherheit: Verschlüsselung und Zugangsschutz

    Mindestens eine Transportverschlüsselung sollte Standard sein. Für vertrauliche Gespräche ist eine Ende-zu-Ende-Verschlüsselung wünschenswert. Konferenzen sollten mit Kennwort oder Warteraum geschützt werden, damit keine ungebetenen Gäste teilnehmen. Links zu Besprechungen gehören nicht in öffentliche Kanäle.

    5. Datenschutzfreundliche Voreinstellungen

    Art. 25 DSGVO verlangt datenschutzfreundliche Voreinstellungen. Deaktivieren Sie Funktionen, die Sie nicht benötigen, etwa „Aufmerksamkeitstracking“, automatische Aufzeichnungen oder die Weitergabe von Nutzungsdaten. Kamera und Mikrofon sollten beim Betreten der Konferenz standardmäßig ausgeschaltet sein.

    6. Aufzeichnungen nur mit klarer Grundlage

    Das Aufzeichnen einer Videokonferenz ist ein zusätzlicher Eingriff. Es bedarf einer eigenen Rechtsgrundlage und der vorherigen Information aller Teilnehmenden. Bei Beschäftigten ist zu beachten, dass eine Einwilligung im Arbeitsverhältnis nur wirksam ist, wenn sie freiwillig erfolgt. Im Zweifel sollte auf Aufzeichnungen verzichtet werden. Eine heimliche Aufnahme des gesprochenen Wortes kann zudem strafbar sein (§ 201 StGB).

    7. Information der Teilnehmenden

    Nach Art. 13 DSGVO sind die Teilnehmenden über die Datenverarbeitung zu informieren. Ein kurzer Hinweis in der Einladung mit Link auf ausführliche Datenschutzhinweise genügt in der Regel. Darüber hinaus gehört der Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten.

    Konferenzen aus dem Homeoffice

    Videokonferenzen finden häufig aus dem Homeoffice statt. Achten Sie auf einen neutralen Hintergrund und darauf, dass keine Unterlagen oder Bildschirminhalte mit fremden Daten sichtbar sind, gerade bei der Bildschirmfreigabe. Weitere Hinweise für das mobile Arbeiten finden Sie in unserer Homeoffice-Checkliste. Und falls doch einmal Daten in falsche Hände geraten, zeigt unser Leitfaden zur Meldung von Datenpannen, was dann zu tun ist.

    Halten Sie Ihre Auswahlentscheidung schriftlich fest und behalten Sie die Rechtsprechung zu Datenübermittlungen in die USA im Blick. Gern prüfen wir Ihr Videokonferenz-Tool und den zugehörigen Auftragsverarbeitungsvertrag. Kontaktieren Sie uns oder buchen Sie online einen Beratungstermin.

  • Homeoffice und Datenschutz: Checkliste für Arbeitgeber

    Innerhalb weniger Tage haben zahlreiche Unternehmen ihre Beschäftigten wegen der Corona-Pandemie ins Homeoffice geschickt. Was organisatorisch oft improvisiert werden musste, wirft datenschutzrechtliche Fragen auf: Darf auf dem privaten Laptop gearbeitet werden? Wie sind Akten zu Hause aufzubewahren? Und wer haftet, wenn etwas schiefgeht? Klar ist: Die DSGVO gilt auch am Küchentisch. Verantwortlich bleibt der Arbeitgeber. Unsere Checkliste hilft, die wichtigsten Punkte zügig umzusetzen.

    Verantwortung bleibt beim Unternehmen

    Auch wenn Beschäftigte von zu Hause aus arbeiten, bleibt das Unternehmen Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Es muss nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau sicherstellen. Das bedeutet nicht, dass jedes Homeoffice wie ein Rechenzentrum ausgestattet sein muss. Es bedeutet aber, dass klare Regeln und geeignete technische Mittel vorhanden sein müssen.

    Technik: Dienstgeräte und sichere Verbindungen

    • Dienstgeräte sind privaten Rechnern vorzuziehen, die sich kaum kontrollieren lassen. Ist die Nutzung privater Geräte unvermeidbar, sollten zumindest Virenschutz, aktuelle Updates und ein separates Benutzerkonto vorausgesetzt werden.
    • Festplatten von Laptops und mobile Datenträger sollten verschlüsselt sein.
    • Der Zugriff auf Unternehmenssysteme sollte über eine gesicherte Verbindung (VPN) erfolgen.
    • Starke Passwörter und eine automatische Bildschirmsperre nach kurzer Inaktivität gehören zur Grundausstattung.
    • Dateien gehören auf die vom Unternehmen freigegebenen Systeme, nicht in private Cloud-Speicher.

    Organisation: Klare Regeln für zu Hause

    Wichtig ist eine kurze, verständliche Homeoffice-Richtlinie. Sie sollte unter anderem festlegen, dass Familienmitglieder und Mitbewohner keinen Einblick in Unterlagen und Bildschirm erhalten, dass Telefonate mit vertraulichem Inhalt nicht in Hörweite Dritter geführt werden und dass Papierunterlagen verschlossen aufbewahrt und nicht im Hausmüll, sondern datenschutzgerecht entsorgt werden. Auch smarte Lautsprecher, die mithören können, sollten während vertraulicher Gespräche ausgeschaltet sein.

    Lassen Sie sich die Kenntnisnahme der Regeln bestätigen. Das dient der Sensibilisierung und hilft, gegenüber einer Aufsichtsbehörde die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzuweisen.

    Kommunikation und Videokonferenzen

    Mit dem Homeoffice steigt der Bedarf an Messenger- und Videokonferenzdiensten. Hier sollten nur Dienste eingesetzt werden, die das Unternehmen geprüft und freigegeben hat. Mit dem Anbieter ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Achten Sie auch darauf, wo der Anbieter Daten verarbeitet, und ob Übermittlungen in Drittländer stattfinden.

    Was tun, wenn doch etwas passiert?

    Geht ein Laptop verloren oder werden Unterlagen versehentlich an Dritte weitergegeben, müssen Beschäftigte wissen, wen sie sofort informieren. Die Uhr für die Meldung an die Aufsichtsbehörde läuft auch im Homeoffice. Wie Sie dann vorgehen, beschreiben wir ausführlich in unserem Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Beschäftigtendaten und Kontrolle

    Homeoffice ist kein Anlass für eine lückenlose Überwachung. Die Verarbeitung von Beschäftigtendaten richtet sich nach § 26 BDSG und muss für das Beschäftigungsverhältnis erforderlich sein. Eine permanente Kontrolle von Tastatureingaben oder Bildschirminhalten ist regelmäßig unzulässig. Besteht ein Betriebsrat, ist dieser bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, zu beteiligen.

    Eine pragmatische Lösung lässt sich später in Ruhe weiterentwickeln, etwa über eine Betriebsvereinbarung. Für Ihre Homeoffice-Richtlinie oder die Prüfung Ihrer bestehenden Regelung stehen wir Ihnen zur Verfügung: Kontakt aufnehmen oder Termin buchen.