Player FM - Internet Radio Done Right
38 subscribers
Checked 3M ago
Vor neun Jahren hinzugefügt
Inhalt bereitgestellt von Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP. Alle Podcast-Inhalte, einschließlich Episoden, Grafiken und Podcast-Beschreibungen, werden direkt von Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP oder seinem Podcast-Plattformpartner hochgeladen und bereitgestellt. Wenn Sie glauben, dass jemand Ihr urheberrechtlich geschütztes Werk ohne Ihre Erlaubnis nutzt, können Sie dem hier beschriebenen Verfahren folgen https://de.player.fm/legal.
Player FM - Podcast-App
Gehen Sie mit der App Player FM offline!
Gehen Sie mit der App Player FM offline!
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP
Alle als (un)gespielt markieren ...
Manage series 1021369
Inhalt bereitgestellt von Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP. Alle Podcast-Inhalte, einschließlich Episoden, Grafiken und Podcast-Beschreibungen, werden direkt von Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP oder seinem Podcast-Plattformpartner hochgeladen und bereitgestellt. Wenn Sie glauben, dass jemand Ihr urheberrechtlich geschütztes Werk ohne Ihre Erlaubnis nutzt, können Sie dem hier beschriebenen Verfahren folgen https://de.player.fm/legal.
…
continue reading
39 Episoden
Alle als (un)gespielt markieren ...
Manage series 1021369
Inhalt bereitgestellt von Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP. Alle Podcast-Inhalte, einschließlich Episoden, Grafiken und Podcast-Beschreibungen, werden direkt von Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP oder seinem Podcast-Plattformpartner hochgeladen und bereitgestellt. Wenn Sie glauben, dass jemand Ihr urheberrechtlich geschütztes Werk ohne Ihre Erlaubnis nutzt, können Sie dem hier beschriebenen Verfahren folgen https://de.player.fm/legal.
…
continue reading
39 Episoden
Alle Folgen
×A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Eines Morgens im Treppenhaus, irgendwo in Deutschland: Der Vermieter kündigt stolz den neuen Hausmeister per Aushang mit Foto und Namen an der Eingangstür im Mehrfamilienhaus an. „Ach, sieh an – der gute Frank Meier wird ab übernächstem Monat unser neuer Hausmeister sein. Den kenne ich ja vom Einkaufen“. Trommelwirbel! Und der alte Hausmeister, der – so mutmaßt man – unzufrieden in seinem Job war und diesen deshalb auf eigenen Wunsch während der Probezeit an den Nagel gehängt hat, wird auch gleichzeitig hiermit offiziell verabschiedet. Selbstverständlich unter Angabe dieser Information. Das erklärt natürlich, warum der Rasen seit 5 Wochen nicht gemäht worden ist und das Licht im Flur immer noch nicht funktioniert. Doch während sich nicht nur die Mieterinnen und Mieter über diese Neuigkeiten freuen, stellen sie sich – hoffentlich – zu Recht die Frage, ob das auch alles so ganz datenschutzkonform ist. Muss das wirklich sein mit dem Foto des neuen Hausmeisters, das anscheinend privat aufgenommen wurde? Kann dieser Aushang nicht auch in die Briefkästen geworfen oder per E-Mail versendet werden, denn so liest nun tagelang selbst die Briefträgerin oder der Fahrer des Lieferdiensts diesen Zettel an der Innenseite der Flurtür? Und weiß der Hausmeister überhaupt von seinem Glück der (kurzen) Prominenz in den Häusern? Gegebenenfalls wird er es erfahren, wenn er das erste Mal von den Mieterinnen und Mietern mit den Worten „Grüß Gott, Herr Meier“ begrüßt wird. Beschäftigtendatenschutz Da sind wir also wieder einmal beim Datenschutz. Zunächst sollte davon auszugehen sein, dass der neue Hausmeister bei der Hausverwaltung angestellt ist und somit seine personenbezogenen Daten aus dem baldigen Beschäftigungsverhältnis resultieren. Die Verarbeitung von Beschäftigtendaten wird primär in § 26 Bundesdatenschutzgesetz (BDSG) geregelt, wonach eine solche Datenverarbeitung zulässig wäre, wenn dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Doch Obacht: Ob eine derartige Kenntnis der eigenen Person bei den Mieterinnen und Mietern nun für die Ausführung des Hausmeister-Jobs erforderlich ist, darf doch bezweifelt werden. Ausreichend wäre wohl die Mitteilung des Namens und einer Telefonnummer – nicht aber der Abdruck des Fotos in Farbe und bester Qualität sowie die Veröffentlichung im Hausflur. Wird die Telefonnummer bei personellem Wechsel nicht geändert, wäre vielleicht nicht einmal ein neuer Aushang erforderlich – schließlich dürften die Kontaktdaten auch bei Mietbeginn und an anderen Stellen oft genug mitgeteilt worden sein. Der „Otto Normalverbraucher“ heftet doch jedes Schreiben des Vermieters akribisch exakt und chronologisch in Klarsichtfolien in dem extra hierfür angelegten Ordner ab. Größere Wohnungsgesellschaften haben ohnehin Webseiten mit diversen Informationen und Hilfestellungen für die Mieterinnen und Mieter. Da wäre der ausgedruckte Din A4 Zettel im Flur des Hauses eigentlich überflüssig – aber wohl einer kleineren Zielgruppe vorbehalten und daher datenschutzkonformer. Am besten wäre der Einwurf in den Briefkasten, zumindest aus Sicht des Datenschutzes – oder per Mail, der Umwelt zu liebe. Und eigentlich gilt diese Vorschrift zum Beschäftigtendatenschutz auch erst ab Beginn des Beschäftigungsverhältnisses, nicht jedoch sechs Wochen vorher. Für die Begründung des Beschäftigungsverhältnisses des Hausmeisters ist es nicht erforderlich, dass die Mieterinnen und Mieter über die Neubesetzung informiert werden und dieser dadurch am ersten Tag feierlich auch persönlich begrüßt werden kann. Wer nun diesem Narrativ entgegnet, dass der streitgegenständliche Aushang mit derartigen Informationen doch auf die Einwilligung der betroffenen Person gestützt werden könne, muss sich dann aber im gleichen Atemzug die Kritik vorhalten lassen, dass eine solche Einwilligung auch freiwillig sein müsse. Hier haben die Datenschützerinnen und Datenschützer seit geraumer Zeit ihre (berechtigten) Zweifel. Hand aufs Herz: Wer würde sich trauen, vor Arbeitsbeginn den Wünschen des neuen Arbeitgebers nicht zu entsprechen und sich gegen eine solche Ankündigung sträuben? Viele würden stattdessen wohl eher Zeit damit verbringen, ein geeignetes Foto für den Vermieter herauszusuchen. Und besteht überhaupt die Möglichkeit des Widerrufs, sprich: kann man jederzeit wieder fordern, dass dieser Zettel abgenommen bzw. vernichtet wird? Berechtigtes Interesse Gleichwohl könnte die Ankündigung per Aushang unter Umständen im berechtigten Interesse des Vermieters (und des Hausmeisters) nach Art. 6 Abs. 1 S. 1 lit. f DSGVO erfolgen, wenn die Mieterinnen und Mietern nochmals die Kontaktdaten erfahren und sich nicht wundern sollen, wenn plötzlich eine unbekannte Person im Garten oder Keller auftaucht bzw. gewisse Gartenarbeiten oder Reparaturarbeiten vornimmt. Wie oft wurde schon die Polizei informiert oder der Vermieter angerufen, weil ein fremdes Gesicht auffällig in den Morgenstunden im Keller laute Geräusche machte, denn irgendwas fällt ja immer an im Haus? Auch gern gesehen sind weitere Aushänge im Hausflur, in denen sich im Laufe des Tages nach der Identität des Fremden im Keller erkundigt wird. Dann müsste aber gewiss im Rahmen der Interessenabwägung geprüft werden, ob kein schutzwürdiges Interesse der betroffenen Person, also des Hausmeisters dieser Datenverarbeitung überwiegt. Da das Foto hier offenbar aus dem letzten Sommerurlaub stammt, wollen wir mal davon ausgehen, dass der Hausmeister dieses Foto freiwillig der Wohnungsgesellschaft für eben jenen Zweck des kurzen „Hallo sagens“ zugesandt hat und somit mit dieser Verwendung rechnet bzw. damit d’accord ist; Es sei denn, das Sekretariat war heimlich auf Facebook unterwegs und hat da ein Strandfoto geklaut. Nein, das wollen wir uns nicht vorstellen! Das Datenschutzrecht gilt doch! Übrigens, wer nun meint, dieser Aushang sei gar keine Verarbeitung personenbezogener Daten im Sinne der DSGVO und somit von den datenschutzrechtlichen Anforderungen befreit, unterliegt leider einem weitverbreiteten Irrglauben. Denn auch das Anfertigen dieses Schreibens am Computer sowie der Ausdruck fallen in den Anwendungsbereich der DSGVO. Und das Datenschutzrecht der Angestellten ist gem. § 26 Abs. 7 BDSG auch anwendbar, wenn eine Verarbeitung von Beschäftigtendaten erfolgt „ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“ Da hätten es schon Zeichnungen und handschriftliche Notizen sein müssen, um sich vielleicht den Fängen des Datenschutzes entziehen zu können. Doch in der guten alten analogen Welt kann man sich noch freuen, dass es hierbei wohl wirklich nur ein Ausdruck ist. Wenn in ein paar Jahren die mit dem Internet verbundenen Displays in den Eingangsbereichen der Wohnhäuser hängen und die Hausmeister sich vermutlich dann mit einem kurzen Video mit Ton und Bewegtbild vorstellen wie im modernsten Kaufhaus, wird es noch bunter. Vielleicht kann dann gleich per QR Code der Link zu dem LinkedIn oder Xing Profil des Hausmeisters eingebunden werden, so dass man diese Person gleich im Netz „adden“ kann. Dann weiß dieser auch vorab Bescheid, wer alles im Haus wohnt und vielleicht auf Grund seiner Profession (z. B. als Fachanwalt für Mietrecht) die Rasenkanten exakt sauber geschnitten bekommen sollte. Legen wir also die Karten auf den Tisch! Fazit Trotz all diesem Witz, müssen wir noch einmal ernst werden: Die Mitteilung des Weggangs des vorherigen Hausmeisters „auf eigenen Wunsch während der Probezeit“ hat nichts auf einem Aushang zu suchen! Und das Urlaubfoto des Nachfolgers auch nicht, wenn wir mal ehrlich sind. Diese Personen erkennt man eher nur an der grauen Berufskleidung mit Zollstock und Stift in der Weste und den Sicherheitsstiefeln, aber nicht am braungebrannten Abbild am Strand in Spanien.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Wenn ein datenschutzrechtlich Verantwortlicher (Art. 4 Nr. 7 DSGVO) personenbezogene Daten erhebt, hat er die davon betroffene Person hinreichend über die geplante Verarbeitung ihrer Daten aufzuklären. Dies sehen nicht nur Art. 13 und 14 der DSGVO, welche diese sogenannten Informationspflichten regeln, ausdrücklich vor. Ganz allgemein wird damit auch das verpflichtende Transparenzgebots als Grundsatz für die Verarbeitung von personenbezogenen Daten aus Art. 5 Abs, 1 lit. a DSGVO umgesetzt. Gemäß Erwägungsgrund 60, einer der erläuternden Auslegungshilfen für die DSGVO, machen es „die Grundsätze einer fairen und transparenten Verarbeitung […] erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird“. Möglichkeiten, diesen Anforderungen gerecht zu werden, finden sich in der Praxis zahlreiche. Allerdings haben diese zumeist eine Gemeinsamkeit: Die erforderlichen Datenschutzinformationen gemäß Art. 13, 14 DSGVO werden in Textform erteilt. Datenschutz bei eingeschränktem Sehen Nicht im Fokus der Betrachtung steht dabei oftmals, dass nicht jede betroffene Person diese Informationen wahrnehmen kann. Für Menschen mit einer Sehbehinderung , welche so weitreichend ist, dass keine Texte mehr erfasst werden können, ist eine hinreichende Informiertheit in Bezug auf die Verarbeitung ihrer personenbezogenen Daten auf diese Art und Weise nicht herzustellen. Ein gutes Beispiel dafür bildet die Videoüberwachung. Für seheingeschränkte Personen kann bei Betreten eines kameraüberwachten Bereichs weder erkennbar sein, dass sie gefilmt werden, noch welche Rechte ihnen diesbezüglich zustehen, weil es ihnen nicht möglich ist, das Hinweisschild mit Verweis auf die Datenschutzinformationen zur Kenntnis zu nehmen. Wenn Personen nicht wissen (können), dass sie gefilmt werden Dass damit jedoch ein bußgeldbewehrter Datenschutzverstoß eines Verantwortlichen einhergehen kann, zeigt ein Beispiel aus Italien . Im letzten Jahr hatte dort ein Besucher bei der Datenschutzbehörde eine Beschwerde gegen den Betreiber eines Wohnheims eingereicht, das speziell für Sehbehinderte ausgerichtet war. Der Betreiber hatte Kameras in den Korridoren angebracht und Aufnahmen angefertigt, welche nicht nur aufzeichneten, sondern live auf Monitoren seiner Beschäftigten angezeigt wurden, mit dem Risiko, dass auch Dritte (wie Besucher des Wohnheims) Einsicht darin nehmen konnten. Die Notwendigkeit der Videoüberwachung wurde mit dem Schutz vor Diebstahl und der Gesundheit durch Unterbindung des Zugangs Unbefugter während der Corona-Pandemie begründet. Die Datenschutzbehörde sah dies jedoch als Verletzung des Rechtmäßigkeits- und Transparenzgebots sowie des Prinzips der Datenminimierung, da zur allgemeinen Sicherheit aus ihrer Sicht weniger tief eingreifende Maßnahmen als die Videoaufnahmen möglich gewesen wären. Zudem stellte sie fest, dass der Wohnheimbetreiber seinen Informationspflichten nicht hinreichend nachgekommen war. So hatte er die sehbehinderten Bewohner erst nach den Ermittlungen sowie über einen Aushang an einem schwarzen Brett über die Videokameras aufzuklären versucht, was aufgrund der Art der Einschränkung der Personen nicht als geeignete Methode bewertet wurde. Eine herkömmliche Information, wie bspw. über Schilder, genüge in diesem Fall nicht. Hingegen müssten andere Mittel verwendet werden, wie etwa Audiomeldungen. Zusätzlich wurde bemängelt, dass der Betreiber auch keine Datenschutz-Folgenabschätzung vorgenommen hatte, obwohl in diesem Fall ein Risiko für die besonders vulnerablen Betroffenen bestanden hatte. Als mildernder Umstand ging in die Bußgeldbemessung allerdings ein, dass die Verstöße lediglich über einen kurzen Zeitraum erfolgt waren und die Kameras noch während der Ermittlungen abgeschaltet wurden. Letzten Endes belief sich das Bußgeld auf 5.000 Euro. Schlussfolgerungen? Doch welche Erkenntnisse können datenschutzrechtlich Verantwortliche aus diesem Fall ziehen? Letzten Endes, dass eine visuelle Darstellung von Datenschutzinformationen nicht ausreichend sein kann, soweit auch Personen von der Verarbeitung umfasst sind, welche die Informationen in dieser Form nicht wahrnehmen können. Doch was kann hier als Lösung herangezogen werden? Lösungsmöglichkeiten Eine Option wäre, dass eine Person, für die ein optisches Erfassen von Datenschutzhinweisen nicht möglich ist, ggf. von ihrem Recht nach Art. 12 Abs. 1 S. 3 DSGVO Gebrauch macht. Darin heißt es, dass Datenschutz-Informationen auf Verlangen einer betroffenen Person grundsätzlich auch mündlich erteilt werden können. Problematisch erscheint hinsichtlich dessen jedoch, dass die betroffene Person zunächst einmal wissen müsste, dass Daten von ihr verarbeitet werden. Darüber hinaus spiegelt ein „aktives Verlangen“ letztlich nicht den Gedanken aus Art.13, 14 DSGVO wider, wonach es die Aufgabe des Verantwortlichen ist, die notwendigen Informationen zu erteilen. Vor diesem Hintergrund ist ein Weg zu bevorzugen, bei dem alle betroffenen Personen barrierefrei und ohne eigenes Zutun die ihnen zustehenden Informationen erhalten. Ein solcher Weg kann – laut der italienischen Datenschutzbehörde – eine akustische Mitteilung sein. Die Behörde hatte diese im beschriebenen Fall zur Information der Sehbehinderten gefordert, welche bis dato keine Möglichkeit hatten, von der Verarbeitung ihrer personenbezogenen Daten durch die Videoüberwachung des Wohnheims zu erfahren. Wird eine solche hörbare Benachrichtigung verwendet, sollte diese sodann auch zu dem Zeitpunkt des Beginns der Datenerhebung erfolgen (z. B. bei Videoüberwachungen beim erstmaligen Betreten des gefilmten Bereichs) und zudem mehrmals abspielbar sein, damit die Betroffenen auch die Chance erhalten, alle Informationen zu erfassen. Fraglich und ungelöst scheint jedoch nach wie vor, wie eine praxistaugliche Umsetzung (abseits von speziellen Wohnheimen) im Alltag erfolgen kann. Hier könnten und sollten sich künftig technische Mittel erschließen lassen (z. B. die Entwicklung einer bestimmten Software). Allerdings könnten diese Methoden dann wiederum mit anderen datenschutzrechtlichen Fragestellungen verbunden sein, die es zu beantworten gilt. Wie geht es weiter? Das Thema der hinreichenden Erfüllung datenschutzrechtlicher Verpflichtungen gegenüber seheingeschränkten Personen sollte stärker in den Mittelpunkt gerückt werden, wozu auch dieser Beitrag verfasst wurde. An Vorschlägen für eine einheitliche (technische) Lösung fehlt es momentan. Hier wäre ein stärkeres Engagement wünschenswert, um keine Personengruppe einem verringerten Datenschutz auszusetzen.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Wer sich angesichts der Überschrift fragt, ob die datenschutz nord Gruppe neben den Bereichen Informationssicherheit und Compliance zusätzlich auch noch das Lebensmittelrecht für sich zur Aufnahme ins Beratungsportfolio entdeckt hat, sei gleichermaßen beruhigt wie vergewissert: Dem ist nicht so. Aber es stellt sich aus bestimmten Anlässen (wird weiter unten erläutert) die Frage, wie lange Krankmeldungen (AU-Bescheinigungen) überhaupt Gültigkeit besitzen oder – besser vielleicht – wie lange sie verwertbar sind. „Löschen an sich klingt gut …“ Doch von vorne: Befasst man sich im Unternehmen mit dem Themenkomplex des Löschens und Archivierens von Daten, so ist in der Regel der Personalbereich ein dankbarer erster Anlaufpunkt, um sich „auszuprobieren“ – wobei dieses Probieren weniger im Sinne von „Jugend forscht“ denn mehr als ein mit-der-Materie-warm-werden verstanden werden möchte. Es geht darum, sich in Abläufe und Prozesse – die berüchtigten und allseits bekannten Verarbeitungstätigkeiten – hinein zu denken und diese in den passenden Zusammenhang zu setzen. Denn oftmals ist es nicht (allein) damit getan, einen Stapel alter Dateien in den virtuellen Papierkorb zu verschieben und mit einem bestätigenden Klick aus dem für die Nutzerinnen und Nutzer sichtbaren Bereich der Festplatte verschwinden zu lassen. Es gehört vor allem dazu, den beabsichtigten Zweck oder auch nur die schieren Möglichkeiten, die sich dem Betrachter aus dem „Anfassen“ (will sagen: Verarbeiten) von Informationen eröffnen, zu erkennen, zu hinterfragen und schließlich (datenschutzrechtlich) zu bewerten. „… aber wir brauchen die Sachen!“ So hat es auch das Bundesarbeitsgericht (BAG) in seinem Urteil vom 25. April 2018 (Az. 2 AZR 6/18) exerziert, in dem es eine Aussage zur Haltbarkeit bzw. Verwendbarkeit von Krankmeldungen im Unternehmen getroffen hat. Betrachtet man diese scheinbar harmlosen und recht simpel gestalteten, früher gelben, heute rosafarbenen Scheine, mag man sich fragen, was daran eigentlich so spannend sein soll. Etwas deutlicher wird dies, wenn man sich vor Augen führt, was mit den Bescheinigungen im Einzelnen angestellt werden kann. Denn egal, ob ordentlich kündbar oder (wie in dem o. g. Fall zum Urteil aus dem Jahr 2018) nur noch außerordentlich – Krankheit kann jeden treffen und in einem Arbeitgeber den Wunsch nähren, diese Person loszuwerden. Zu diesem Zweck ist die Chefin bzw. der Chef nicht nur gut beraten , belegbare Gründe dafür anführen zu können, sie bzw. er ist dazu sogar verpflichtet: § 1 Abs. 2 Satz 1, 4 Kündigungsschutzgesetz (KSchG) verlangt vom Verantwortlichen, eine Prognose anzustellen. Diese muss belegen, dass zum Zeitpunkt der Kündigung Tatsachen vorliegen, die es erwarten lassen, dass die betroffene Person auch in naher Zukunft wegen Krankheit ihre Arbeit in erheblichem Maße nicht wird erledigen können. Damit dieser Blick in die Zukunft auch valide ausfällt, ist im Vorhinein ein angemessen langer Zeitraum bisheriger Erkrankungen zu betrachten. Aber wie lange genau? Und was heißt hier angemessen? Es bedeutet bspw., dass u. a. danach zu unterscheiden ist, ob es sich im Einzelfall um häufige Kurzzeiterkrankungen, eine Langzeiterkrankung oder eine dauerhafte Arbeitsunfähigkeit des Beschäftigten handelt. So auch der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) in seinem im Oktober 2021 veröffentlichten 3. Tätigkeitsbericht zur DSGVO . Im Einzelfall: Drei Jahre Da ein solches Verfahren stets eine sorgfältige Abwägung im Einzelfall erfordert, verbietet sich eine strikt schematische Festlegung bestimmter Zeiträume. Als Orientierung kann aber – wie hier vor Gericht – eine Dauer von drei Jahren herangezogen werden, innerhalb derer der Arbeitgeber die Krankmeldungen seines Beschäftigten „stapeln“ und auswerten darf. Dieser Maßstab dürfte ebenfalls auf Sachverhalte, in denen das KSchG nicht zur Anwendung kommt (so etwa bei Kleinstbetrieben, vgl. § 23 Abs. 1 S. 2, 3 KSchG), zu übertragen sein. Die besagte Entscheidung verdeutlicht wieder einmal sehr anschaulich die Verquickung von Arbeitsrecht und Datenschutzrecht. Hier kann als Datenschutz-Fachkraft punkten, wer in dieser heiklen Situation die Belange von beiden Seiten – Beschäftigte wie Arbeitgeber – zu würdigen und akkurat abzuwägen weiß.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Die Menschen strömen mittlerweile wieder in die hiesigen Museen und Ausstellungen oder treffen an öffentlichen Plätzen auf Performance-Künstler. Und der Nachholbedarf ist sicherlich groß, waren doch für viele die einzigen Lichtblicke in zurückliegenden Monaten die kreativen Hintergrundbilder der Kolleginnen und Kollegen in den Videokonferenzen, mit denen sie den Zustand der eigenen Vier-Wände verstecken wollten. Aber auch ohne die pandemiebedingten Umstände, hat sich die Kunstwelt in den vergangenen Jahren stark verändert: Die Selbstportraits und Landschaftsbilder als Ölgemälde weichen mehr und mehr neumodischen Kunstwerken, die mit Sensoren und Displays ausgestattet sind und die die sie betrachtenden Personen teilweise direkt mit einbeziehen. Da werden die Besucherinnen und Besucher in der Kunsthalle live gefilmt und können auf Monitoren dann ihre veränderten Gesichter oder als Tier umgewandelten Körper in Szene setzen und so ihren Gesichtsbewegungen und Emotionen freien Lauf lassen. Wer möchte sich nicht einmal live als Baby oder als Katze auf dem Display wiedererkennen und dann Bewegungen vorspielen? Und wie sieht man selbst eigentlich in 20 Jahren aus? Endlich können –der Technik sei Dank– die Besucherinnen und Besucher ihr künstlerisches Talent unter Beweis stellen, ohne dafür in einer RTL-Samstagabend Show auftreten zu müssen. Wäre da nicht das Datenschutzrecht… Die Technik, gemeint ist die KI, ist heute schon so weit entwickelt, virtuelle Gesichter und sogar die Stimme von Promis derart täuschend echt umzusetzen, dass es bald gar keiner Schauspieler mehr bedarf. Und derlei Spielereien gibt es auch bereits als App fürs Handy. Die Rede ist von Deepfake-Apps, aber dazu ein anderes Mal mehr. Bleiben wir bei der Kunst und ihren Betrachtern. Interaktive Kunstwerke gehen meist mit der Verarbeitung personenbezogener Daten einher, unter anderem durch die Erfassung der Person mittels Videokamera und teilweise sogar der Umwandlung von biometrischen Daten! Was aber soll daran so schlimm sein, werden Sie sich fragen? Vielleicht ist die Gesichtserkennungstechnik heute ohnehin schon besser als bei den vor wenigen Jahren eingeführten Systemen an den deutschen Bahnhöfen, die zu zahlreichen und groß angelegten Protesten führten. Man weiß ja nie, was es sonst noch so für Sensoren und Kameras in der Kunsthalle gibt; schließlich würde auch eine begleitende Tonaufnahme dem Gesamtkunstwerk sicher noch mehr Ausdruck verleihen. Und was ist, wenn dieses Videomaterial nicht nur vor Ort gezeigt wird, sondern per Livestream in – sagen wir mal – Japan zu sehen ist oder überhaupt längerfristig auf den Servern der Künstler (oder der Kunsthalle) gespeichert wird? Eine solche Datenbank, die daraus entstehen könnte und sicherlich auch würde, eröffnet darüber hinaus weitere Möglichkeiten: Wenn zum Beispiel die Videofilme selbst als Basis für zukünftige, neue Kunstwerke genutzt werden. So würden die Aufnahmen über kurz oder lang eine gewisse Eigendynamik bzw. ein Eigenleben entwickeln. Eigentlich fehlt alles Der Datenschützer kann hier nur mahnend den Finger heben und auf die Informationspflichten sowie auf die Betroffenenrechte aus der DSGVO hinweisen, die offenkundig in diesen Kunsthallen, genauer gesagt, durch solche (interaktiven) Kunstwerken gänzlich missachtet werden. Oder wo bleibt die Einwilligungserklärung, die vor der Verarbeitung der sensiblen Daten der Besucherinnen und Besucher gar schriftlich von allen betroffenen Personen abzugeben wäre? Was ist mit den Datenschutzhinweisen, die dann an dem Werk ausgehängt werden müssten? Und in wie vielen Sprachen wäre die Datenschutzerklärung eigentlich zu verfassen, wenn die Kunsthalle von Menschen aus aller Welt besucht wird? Wo kann Auskunft über die Daten oder die Löschung derselbigen beantragt werden? Schließlich müsste gar eine Datenschutz-Folgenabschätzung vor Inbetriebnahme des Systems vorgenommen und dokumentiert werden. Und so weiter und so fort. In unserem Fall lautet die Frage also nicht „Ist das Kunst oder kann das weg?“, sondern „Ist das Kunst und braucht es dazu noch einen Datenschutzbeauftragten?“. Bei so viel datenschutzrechtlichem Aufwand wären die Kunstschaffenden dann vielleicht doch lieber bei gemalten Landschaftsbildern geblieben – so ganz ohne Display und Internet und eben ohne eine Erklärung zum Datenschutz. Einer für alle, alle für einen? Ja, das Datenschutzrecht wird hier offenbar völlig vernachlässigt durch die Künstlerinnen und Künstler. Wobei halt: Wird man als Betrachter der Kunst nicht selbst zum „Mit-Künstler“ und liegt dann nicht sogar eine sogenannte gemeinsame Datenverarbeitung vor? Die Gerichtsentscheidungen ziehen hier immer weitere Kreise. Dann würden die betroffenen Personen durch die Interaktion mit dem Videosystem gar zum Verantwortlichen im Sinne der DSGVO, sodass sie grundsätzlich die Pflichten des Datenschutzrechts ebenso treffen. In bislang ungeklärtem Ausmaß müssten die Besucherinnen und Besucher durch die gemeinsame Verantwortlichkeit mit dem Betreiber des Kunstwerks auch die Rechtmäßigkeit der Datenverarbeitung gewährleisten. Und das, obwohl sie nicht mal einen Anteil an der Vergütung bekommen. Eine leichte Entwarnung kann an dieser Stelle gegeben werden: Zumindest bei Privatpersonen greift regelmäßig die sogenannte Haushaltsausnahme der DSGVO bei persönlichen Tätigkeiten, oder doch nicht? Falle ich als „Mit-Künstler“ womöglich gar nicht mehr unter die Haushaltsausnahme… Ein wenig mehr Klarheit und Transparenz wären trotzdem ganz gut, wenn man sich derartigen, interaktiven Kunstwerken nähert. Wir wollen doch nicht irgendwann noch einmal ungewollt unsere eigene Animation im nächsten Werbeclip im TV oder Kino sehen, oder? Und auch die Kunsthallen wären sicherlich nicht darüber erfreut, wenn sie im Zusammenhang mit solchen Exponaten öfter mal Post von der zuständigen Datenschutz-Aufsichtsbehörde bekommen würden. Denn die Kunsthallen haben zum Glück ohnehin erst einmal wieder alle Hände voll zu tun, um den ganzen Besucherströmen Herr zu werden.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Jede Berufsbranche hat ihr Heiligtum. Bei Büroarbeitsplätzen dürfte der heilige Gral die Form einer individuellen oder sogar personalisierten Kaffeetasse angenommen haben. Findet sich diese nicht mehr am angestammten Platz auf dem Schreibtisch und bleibt schlimmstenfalls ganz verschwunden, ist schnell die Büchse der Pandora geöffnet und lässt die Neuronen des ehemaligen Kaffeetassenbesitzers – der Geschädigte ist männlich – auf höchstem Niveau arbeiten. Es gilt dann, zukünftigen Verlusten dieser Art zu begegnen bzw. diese zu verhindern. Versierten Datenschutzrechtlerinnen und Datenschutzrechtlern drängt sich schnell die Möglichkeit einer Videoüberwachung auf, scheint diese doch die ultimative Waffe zur Vermeidung oder Aufklärung von Straftaten zu sein. Heimliche Videoüberwachung durch den Arbeitnehmer Die vermeintlich einfachste Lösung ist, dass der kaffeetassenlose Arbeitnehmer eigeninitiativ das ihm vom Arbeitgeber überlassene Büro mit Videoüberwachungstechnik ausstattet und aus Gründen der Effektivität weder Kolleginnen und Kollegen noch den Arbeitgeber hierüber in Kenntnis setzt. In diesem Fall entsteht die Frage, ob in dieser Konstellation das Datenschutzrecht, speziell die DSGVO, Anwendung findet. Nach Artikel 2 Abs. 2 lit. c DSGVO ist die Datenschutz-Grundverordnung nicht anwendbar, bei der „Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“. Die Prävention und Repression von Straftaten – bspw. im Zusammenhang mit Kaffeetassen – kann durchaus als persönliche Tätigkeit verstanden werden. Einer solchen Auslegung hat jedoch der europäische Gerichtshof in seinem Urteil vom 11.12.2014 – C-212/13 eine klare Absage erteilt: Unterstellt, das eigene Büro ist zumindest in Teilen der Privatsphäre des jeweiligen Nutzers zuzuordnen, wobei allein eine solche Argumentation eine Vielzahl von juristischen Winkelzügen erfordert, so kann eine ausschließliche persönliche oder familiäre Tätigkeit jedenfalls dann nicht angenommen werden, wenn sich eine Videoüberwachung auch nur teilweise auf den öffentlichen Raum erstreckt und das wird man bei einem dienstlich bereitgestellten Büro bedenkenlos annehmen können. Folglich wird dadurch auch ein Bereich außerhalb der privaten Sphäre erfasst. Im Ergebnis muss der Einsatz der Videoüberwachung an den Vorgaben der DSGVO bewertet werden. Neben dem schmerzlichen Verlust seiner geliebten Kaffeetasse muss sich der Arbeitnehmer also auch mit Themen wie einer Datenschutz-Folgenabschätzung und den Informationspflichten nach Artikel 13 DSGVO beschäftigen und rutscht gleichzeitig in die Rolle des datenschutzrechtlich Verantwortlichen. Zudem bedarf es für die Videoüberwachung einer Rechtsgrundlage. Als solche kommt § 26 Absatz 1 Satz 2 Bundesdatenschutzgesetz nicht in Betracht. Dort heißt es: „Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.“ Zwar wurde das Eigentumsdelikt an der Kaffeetasse möglicherweise durch einen Mitarbeitenden während des Beschäftigungsverhältnisses begangen. Die Norm regelt jedoch ausschließlich die Befugnisse des Arbeitgebers und nicht die anderer Arbeitnehmerinnen und Arbeitnehmer. Es muss daher auf die Regelungen des Artikels 6 Absatz 1 Satz 1 lit. f DSGVO zurückgegriffen werden. Im Rahmen einer Interessenabwägung sind hierbei die gegenseitigen Interessen gegeneinander abzuwägen. Auch wenn hierbei den Interessen des Geschädigten, ob der vielen schönen Erinnerungen, die dieser mit der verlustig gegangenen Kaffeetasse erlebt hat, ein besonderes, wenn auch lediglich emotionales, Gewicht zuzugestehen ist, so werden die Interessen der Kolleginnen und Kollegen, beim Betreten des Büros nicht von einer Videokamera erfasst zu werden, überwiegen. Dabei spielt es keine Rolle, warum diese das Büro aufsuchen. Selbst die verbreitete Annahme, dass Täter bzw. Täterinnen immer wieder an den Tatort zurückkehren, rechtfertigt keine andere Bewertung. Insofern wird der Geschädigte weiterhin mit dem Verlust leben müssen und hoffen, dass sich seine geliebte Tasse eines Tages aus den Klauen der Spülmaschine befreien kann oder in einem Schrank der Büroküche wiedergeboren wird.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Neben Gedankenspielen vom Kaffeetresen ( wie zuletzt gesehen ) wollen wir auch immer wieder skurrile Rechtsansichten aus diversen Himmelsrichtungen beleuchten; freilich nicht ohne einen Kleks aus dem eigenen Senfglas dazu. Gelegentlich kommt man sich auch als eine Art Geschichtenerzähler vor, was nicht zwingend das Schlechteste sein muss. Die Geschichte So begab es sich zu jüngerer Zeit – präzise gesagt am 15. Oktober 2020 – dass ein Beschluss vom Hamburgischen Oberverwaltungsgericht (OVG) verkündet wurde, der ganz hervorragend in unsere kleine, aber feine Kuriositäten-Reihe passt. Ausgangslage war folgende: Ein Krankenhaus hatte den Betrieb eingestellt und sein Gebäude an eine separate Gesellschaft abgegeben. Es lagerten aber nach wie vor Akten über zahlreiche Patienten darin. Die zuständige Aufsichtsbehörde erließ deswegen eine Verfügung gegen die neue Eigentümer-Gesellschaft und forderte sie auf, die Akten in Obhut eines Arztes zu verbringen. Die wiederum fühlte sich dafür nicht zuständig und wies das Begehren zurück. Zu klären war also die Frage, wer dafür zu sorgen hat, dass die Patientenakten mit entsprechend sensiblem Inhalt nicht in falsche Hände geraten. Dabei stritten die Beteiligten unter anderem um die Frage, ob die Aufbewahrung der Akten als solche unter den Begriff der „Verarbeitung“ von personenbezogenen Daten falle. Dazu hatte dann zunächst das Verwaltungsgericht (VG) entschieden – und später durch das OVG insofern Bestätigung erfahren – dass hier keine Verarbeitung im Sinne der DSGVO vorliege. Ohne auf die weitere akademische Haarspalterei (die im Übrigen aber sehr lesenswert ist) näher als nötig eingehen zu wollen, war folgendes die Kernaussage: Nach der „Verarbeitungsdefinition, die [..] einen im Zusammenhang mit personenbezogenen Daten stehenden Vorgang oder eine Vorgangsreihe beschreibe, könne es sich bei der Einlagerung bzw. letztlich dem bloßen Vorhandensein von Datenbeständen nicht um eine Erscheinungsform der Datenverarbeitung handeln. Der Begriff des „Vorgangs“ zeige an, dass Verarbeitung nicht einen Zustand, sondern eine Handlung (also die Veränderung eines Zustands) beschreibe.“ Die Reaktionen Unschwer vorstellbar, dass der Tenor dieser Entscheidung für ein entsprechendes Echo zu sorgen imstande ist. So wurde daher in einer Mitteilung auf Twitter kurz nach Veröffentlichung des Beschlusses die Frage aufgeworfen, wie das Gericht denn das „Speichern“ von analogen Daten ansehe, wenn nicht als Verarbeitung? Andernorts war zu lesen: „Was machen deutsche Richter eigentlich so beruflich?“ Nun, als eine Person, die selbst mit der Befähigung zum Richteramt ausgestattet ist, zieht es der Autor dieser Zeilen vor, den letztgenannten Ausspruch aus Gründen der Befangenheit einmal unkommentiert im Raum stehen zu lassen. Wirft man stattdessen einen genauen Blick auf die hierbei zitierten Ausschnitte des Beschlusses, wird jedoch klar, dass die Gerichte – und zwar alle beide – recht wohl zu differenzieren wissen. So besagt die Entscheidung im Wesentlichen, dass für die Frage nach der datenschutzrechtlichen Verantwortlichkeit ausschlaggebend ist, wer eine bestimmte Verarbeitung von Daten angestoßen hat oder – umgangssprachlich formuliert – wer die betreffenden Daten „angefasst“ hat. Die Pointe Aber wie – so mag man verzweifelt fragen – sollte denn auch das bloße Herumliegen von Papier einen so aktiv klingenden Begriff wie Verarbeitung ausfüllen? Beim ‚Verarbeiten‘ als solches, da denken wir an persönlichen Einsatz, an Kraft, die aufgewendet wird – da passiert doch etwas. Und das leuchtet ein, man kann es sich bildhaft vorstellen: Einsame Akten liegen in leergefegten Räumen, teils wüst übereinandergestapelt. In ihrem schlichten Dasein als wesenlose Masse werden sie durch keinerlei Nachfrage von außerhalb gestört. Einst waren auch sie, die Akten, hin und her gewälzt worden, sind über Schreibtische gezerrt, durch Treppenhäuser gewuchtet und sogar in der Premium-Economy-Class aller Bürobeförderung, dem Fahrstuhl, durchs Gebäude zirkuliert worden. Sie sehnten sich nach einer Veränderung ihres Zustands; lauerten gar auf den einen Moment, indem sich die Tür am Ende jenes Korridors, der den Anfang aller Archivar-Tätigkeiten fallbeilartig zementiert, einen Spalt breit öffnen möge, auf dass ein junger Sachbearbeiter glänzenden Blickes und erhobenen Hauptes hereinstolzieren und sich ihrer annehmen sollte. Aber nichts dergleichen geschieht. Da draußen – ja – da gibt es sie, die umtriebigen Datenpakete, die quirligen Termineinladungen und sonstige nach Aufmerksamkeit heischende Nachrichten, die teils sekündlich von Zustandsveränderungen jeglicher Art heimgesucht wurden. Hier aber herrscht gähnende Reglosigkeit. Doch Halt! Mit einem Mal regt sich etwas in den Bergen aus Pappdeckeln, geheftetem Papier und metallischen Klammern! Es rumort, es knarzt, und eine gigantische Staubwolke entweicht dem grollenden Gebirge manifestierter Bürokratie. Während sich die Wolke unter immer größer werdendem Ächzen und Knirschen einen schier endlos wirkenden und milchig beleuchteten Flur entlangschiebt, wird es dem Betrachter schweißnass klar: Die Revolte hat begonnen, wir haben eine Datenverarbeitung! So oder ähnlich mag denn wohl das geheime Leben der Akten aussehen – vielleicht. Vor Gericht jedenfalls wurde zum Glück (und entgegen manch eines übereifrigen Kurz-Kommentars) klargestellt, dass auch das bloße Ablegen oder Aufbewahren von Daten bzw. Akten unter den Begriff der Speicherung und damit der Verarbeitung im datenschutzrechtlichen Sinne fällt; aber eben nur aus Sicht desjenigen, der sie auch dort abgelegt hat. Erfreulicherweise nimmt sich das OVG darüber hinaus die Zeit, auf eine weitere Besonderheit hinzuweisen. In der vorliegenden Konstellation spreche nämlich viel dafür, dass die Eigentümerin des Gebäudes gar nicht die Verantwortliche für die Aufbewahrung der Akten sei. Darin liege zusätzlich (oder ohnehin – je nach dem, wie man es betrachten mag) ein Grund für die Bestätigung der erstinstanzlichen Entscheidung. Detaillierter geht das Gericht auf diese Frage jedoch nicht ein, weil es das nicht muss. Die Aussöhnung Das Ergebnis für diesen scheinbar weltfremden Sachverhalt lautet also: Es ist stets konkret zu prüfen, wer eine bestimmte Verarbeitung von Daten – und nochmal: dazu gehört auch das reine Ablegen oder Einlagern – in Gang gesetzt hat. Übernimmt jemand im übertragenen Sinne datenschutzrechtliche Altlasten von einem anderen – wie hier: die eingelagerten Akten, die der Eigentümerin von einer vorigen Gesellschaft gewissermaßen in den Schoß gefallen sind – so muss er nicht automatisch und per se für die Verfehlungen seines Vorgängers geradestehen. Und schließlich dürfte damit auch geklärt sein, was Richter so während ihrer Dienstzeit machen. Bleibt zu guter Letzt noch die Frage, was eigentlich mit den Akten geschieht. Die können doch nicht einfach weiter achtlos in der Gegend herumliegen. Aber natürlich wird auch diese Frage geklärt werden, wenn auch nicht innerhalb dieses Verfahrens. Denn der vorliegende Beschluss erging im Wege des einstweiligen Rechtsschutzes und schließt den Fall daher nur vorläufig ab. In der Hauptsache können (und müssen) ggf. weitere Aspekte thematisiert werden. So spielt insgesamt noch eine Rolle, dass Auslöser für die Einstellung des Krankenhausbetriebs eine Insolvenz gewesen ist. In der Folge ist es in diesem Fall denkbar, dass etwa die Muttergesellschaft in bestimmte Rechte und Pflichten eintritt und somit auch für das sachgemäße Einlagern der Akten die korrekte Ansprechpartnerin wäre. Ob dem aber tatsächlich so sein wird, darf an anderer Stelle entschieden werden. Mit etwas Glück finden wir darin neuen Stoff für eine Fortsetzung, und um eine weitere Geschichte zu erzählen.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Eine der wohl am häufigsten verwendeten Floskeln, die einem entgegen schallt, kommt man auf die Einhaltung von Prinzipien für den Datenschutz zu sprechen, lautet „Bei uns ist alles sicher – wir geben keine Daten weiter!“ Fast schon pistolenschussartig wird da der Schutz von Persönlichkeitsrechten mit dem Bewahren von Verschlusssachen assoziiert. Genauso häufig, wie man das hört oder liest, genauso falsch ist es. Grund dafür ist vermutlich jener gedankliche Missgriff, der auch in der Presse immer wieder zu finden ist: Datenschutz ist gleich Verbot. Dabei geht es „uns Beschützern“ zunächst einmal um die Frage, ob Daten einen Personenbezug aufweisen – nicht mehr und nicht weniger. Denn dann müssen sie sich als unmittelbare Folge an die Rahmenbedingungen der DSGVO halten. Dieser Rahmen soll wiederum dafür sorgen, dass die Informationen sauber und gewissermaßen artgerecht verwendet werden – es ist nicht nötig, sofort alles „wegzusperren“. Deswegen hält sich auch nach über zwei Jahren praktischer Erfahrung mit den geänderten europäischen Datenschutzregelungen in der Praxis wacker die Mär von den ach so harten „neuen“ Regeln, die einem ja – gerade als kleiner Mittelständler – das Leben so schwer machten. Dazu nur folgendes: Punkt 1: So neu sind die Regeln gar nicht. Gerade was Deutschland betrifft, kann man – selbst bei zurückhaltender Betrachtungsweise – seriös konstatieren, dass ungefähr 70-80 % des „Grundgerüsts“ im Datenschutz identisch ist mit dem, was vorher schon herrschte – die letzten knapp 20 Jahre – so viel zum Thema Neuheit. Punkt 2: Bereits kurze Zeit nach dem magischen Datum im Mai 2018, das uns allen den Start der DSGVO schenkte, fühlten sich einige der Aufsichtsbehörden in geradezu aufopfernder Weise und (leider) mit Recht dazu bemüßigt, einige der größten Irrtümer aus der Welt zu räumen. Vor allem rund um kleine Vereine, alteingesessene Handwerksbetriebe und junge Startups waren tiefe Sorgenfalten hervorgerufen worden angesichts des überbordenden Umfangs an Vorschriften. Demzufolge wurde – ebenso gebetsmühlenartig wie die digitalen Stammtische ihre Parolen schwangen – von Behörden-Seite konsequent darauf hingewiesen, dass es zahlreiche Ausnahmereglungen und just für eben die betroffenen Personengruppen gibt. Diese Erleichterungen (wie z.B. in Bezug auf die Benennung eines Datenschutzbeauftragten oder die Befreiung vom Erstellen eines Verarbeitungsverzeichnisses) waren aber allzu offensichtlich aus voller Inbrunst an Überzeugung ignoriert worden. Gerne und immer wieder wird auch die Sau der Einwilligungsbedürftigkeit durchs innereuropäische Dorf getrieben. Ob analog oder digital – der große rauschende Blätterwald ist, war und wird sich immer einig sein: „Für jede Datennutzung [müsse] in der Regel eine Einwilligungserklärung eingeholt werden“ (vgl. hier ). Eigene Meinung oder eigene Realität? So berichtete jüngst die Tagesschau über einen Handwerksbetrieb, der motiviert von – höchst lobenswerten – eigenen Interessen, seine Geschäftsprozesse datenschutzkonform aufzustellen, offenbar (zu) viel gutes Geld in den Wind schreiben musste. Als Beispiel wird die Fertigung eines Schranks herangezogen: So sei es ihm von Beratern untersagt worden, die Information, dass im Haus des Kunden eine enge Treppe den Transport des Möbelstücks im Ganzen unmöglich mache, an die Werkstatt weiterzureichen. Folglich musste er die Arbeit doppelt erledigen, weil – vor Ort die beengten Platzverhältnisse bemerkend – erst der Schrank wieder huckepack genommen und dann vor erneuter Anlieferung beim Kunden zerlegt werden durfte. Das Geld hätte er sich sparen können. Oder besser noch: Der gute Handwerker hätte sich bei datenschutz nord melden sollen! Dann wäre ihm nämlich mitgeteilt worden, dass die gewünschte Weitergabe der betreffenden Daten sehr wohl zulässig sein kann. Denn sie ist – soweit eine Beurteilung aus der Ferne dies ermöglicht – gemäß Art. 6 Abs. 1 lit. b DSGVO erforderlich, um den Schrank ordnungsgemäß liefern und damit den zugrundeliegenden Vertrag erfüllen zu können. Man könnte sich gar darüber unterhalten, ob die Information über das Ausmaß der Treppe überhaupt einen Personenbezug enthält (nämlich welchen?); womöglich käme man zum Ergebnis, dass dem nicht so ist, und die DSGVO wäre hier sogar nicht „zuständig“. Fazit Zwei Jahre DSGVO – das ist eine Geschichte von schier endloser Jammerei, heillosen Missverständnissen und kalkulierter Desinformation. Dabei sind die Gefahren für den einzelnen Bürger, im digitalen Rausch der Sinne rechtlich unter die Räder zu kommen, größer als jemals zuvor. Es wird daher Zeit, den Datenschutz ernst zu nehmen anstatt ihn immer wieder mit Stammtischparolen zu verteufeln.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Erinnern Sie sich noch an We-Vibe, den appgesteuerten Vibrator für Sie und Ihn? Jedenfalls in Sachen Datenschutz war das Produkt eher unbefriedigend: Zugriff der App auf die Kamera und das Mikrofon sowie Registrierungszwang, um nur einige Punkte zu nennen. Nach einem gerichtlichen Vergleich musste das Unternehmen bis zu 10.000€ Entschädigung pro NutzerIn zahlen. Das war 2017. Nun könnte der Beitrag hier enden, weil fortan die Hersteller von appgesteuerten Sextoys oder anderen Produkten fortan alles richtig und vor allem datenschutzkonform machen. Doch weit gefehlt. Wie heise.de berichtet, wurden bei den appgesteuerten Produkten des chinesische Sextoy-Herstellers QIUI massive Sicherheitsdefizite festgestellt. QIUI entwickelt und vertreibt Keuschheitsgeräte für Männer. Diese werden per App bedient, dass heißt mittels App geschlossen und wieder geöffnet. Auf der Seite der Sicherheitsfirma PenTestPartners findet sich ein Erklärvideo . Um die Geräte nutzen zu können, benötigt man ein Nutzerkonto, in dem LogIn-Namen und Kennwort sowie E-Mail-Adresse oder Telefonnummer hinterlegt sind. Im Rahmen eines Responsible-Disclosure-Prozesses wurde festgestellt, dass die App die persönlichen Nutzerdaten und Kennwörter sowie die GPS-Daten der Nutzer im Klartext ohne Authentifizierung übermitteln. Die unverschlüsselte Übertragung des Kennwortes im Klartext birgt die Gefahr, dass Dritte das Kennwort ändern. Mit fatalen Folgen für den Träger des Gerätes, der dann länger an diesem hängt, als ihm womöglich lieb sein mag. Erlösung werden dann nur die Rettungskräfte mit einem Bolzenschneider bringen. Dass die Rettungseinsätze ihrerseits eine datenschutzrechtliche Relevanz haben können, zeigt ein Einsatz in Worms aus dem Jahr 2017. Damals hatte sich ein junger Mann seinen Penis in einer Hantelscheibe eingeklemmt und suchte Hilfe im örtlichen Krankenhaus. Da die Ärzte ihn auch nicht aus seiner misslichen Lage befreien konnten, riefen sie die Feuerwehr zu Hilfe. Der Einsatz mit Vibrationssäge und hydraulischem Rettungsgerät dauerte rund drei Stunden. Ein Anwesender machte mit seinem Smartphone mehrere Fotos von der „Operation“, die später im Internet landeten. Zurück zu unserem Keuschheits-Gimmick. Neben dem datenschutzrechtlichen Problem hat dieses noch zwei weitere Schwachstellen. Die Batterien können nur über die Innenseite des Gerätes gewechselt werden – deren Leistung sollte also nicht zur Neige gehen, wenn das Batteriefach gerade nicht erreicht werden kann. Auch führt ein Kontakt mit Feuchtigkeit dazu, dass die Elektronik versagt und das Gerät verriegelt bleibt.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Hatten wir es bislang in unserer Reihe vorrangig mit Anfragen unserer Kunden und sonstigen Meldungen aus der „Außenwelt“ zu tun, möchten wir Ihnen, liebe Leser, hier und heute einen weiteren kleinen Einblick in die Interna von datenschutz nord geben. Das in unseren Stellenanzeigen und auf unserem Karriere-Portal so wortreich propagierte gute Betriebsklima äußert sich (zum Glück nicht ausschließlich, aber eben unter anderem) auch darin, dass die Getränke zur täglichen Verpflegung frei sind. Fällt eine Kaffeemaschine unter die KRITIS-Verordnung? Dass dies auch heutzutage nicht unbedingt eine Selbstverständlichkeit ist, kennen wir aus eigener Erfahrung. Denn gerade in vielen öffentlichen Stellen müssen die Angestellten bzw. Beamten ihren Kaffee immer noch selber zahlen. Aus diesem Grund ist es keine Seltenheit, dass sich Mitarbeiter einer Dienststelle zusammenschließen und eine Gemeinschaftskasse bilden. An dieser Stelle nun wollen wir einen gedanklichen Schwenk zu unserem eigenen Kaffeetresen unternehmen, der auch traditionell beliebter Treffpunkt zum kurzen Meinungsaustausch ist. Eines Morgens entwickelte sich ein kleiner Dialog um die verschiedenen Möglichkeiten der Kaffeezubereitung im Allgemeinen und deren herausragende Bedeutung im Umfeld von modernen Beratungshäusern im Speziellen. So kam denn auch die Frage auf, ob eine Kaffeemaschine als kritische Infrastruktur anzusehen sei. Dies wurde spontan von einem herzueilenden Kollegen unter emsigem Einsatz der Extra-Milchschaum-Funktion bejaht. „Und da wir nicht nur im Datenschutz, sondern auch zu Compliance und Informationssicherheit beraten, ist die eben auch redundant ausgelegt“, so seine augenzwinkernde wie sachlich zutreffende Ergänzung. Fantasien eines Datenschützers Aus Anlass der eingangs geschilderten Umstände um die Kostenpflichtigkeit dieser wichtigen Ressource andernorts wurde – mittlerweile um eine vierte Person ergänzt – im kleinen Kreise fabuliert: Damit es hierbei möglichst fair zugehe, könne doch von einer eigens beauftragten Person eine sog. „Kaffeeliste“ geführt werden, so der Einwurf, die alle beteiligten Personen aufführt und eine korrekte sowie transparente Kostenverteilung schafft. So würde hier präzise eingetragen, ob die Kollegin oder der Kollege anwesend oder abwesend war. Zur vollständigen Transparenz, so die weitere Ausformung des Gedankenkonstrukts, sollten dann auch Urlaubs- wie Krankheitstage und insbesondere die Elternzeiten akribisch genau gepflegt werden, damit auch ja kein Cent zu wenig bezahlt werde. Ein eigens betroffener Kollege wandte ein: „Und wer auf Grund von einer Laktoseintoleranz die teurere Milch trinkt, zahlt ohnehin pro Woche 50 Cent mehr. Und wer schwanger ist, oh je … Kurz und knapp: Es werden also auch noch Gesundheitsdaten verarbeitet!“ „Oh ja“, krähte es von der anderen Seite, „diese Liste wird natürlich über Jahre penibel gepflegt, bis der „Kaffeemanager“ irgendwann das geballte Wissen der Personalabteilung innehat und bestimmte persönliche Informationen schon eher erfährt als die Geschäftsleitung.“ Doch Vorsicht ist angebracht. Eine weitere Kollegin, die sich – verwundert ob der schmunzelnden Mimen hier und da – zu einem spontanen Verweilen hatte hinreißen lassen, gab folgendes zu bedenken: Da die Kaffeeliste mit sämtlichen Angaben der betroffenen Mitarbeiter streng genommen eine Verarbeitungstätigkeit im Sinne der DSGVO darstelle, sei sie doch wohl im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO zu führen. Und freilich müssten auch die Info-Pflichten aus Art. 13 DSGVO umgesetzt werden. Nun, wer kennt sie nicht, die berüchtigten Kaffeelisten-Datenschutzhinweise? Und was ist erst mit den technischen und organisatorischen Maßnahmen? Noch dazu, wenn die Listen als Excel-Datei elektronisch geführt und auf dem Arbeitsgerät des hierfür beauftragten Angestellten verarbeitet, bei Abwesenheiten gar von dessen bevollmächtigter Vertretung eingesehen würden – freilich, so ist es. Problem(aus)löser? Da wir in unserer Tätigkeit vorwiegend praktisch beraten wollen, dazu ein kleiner Tipp: Wenn die Kaffeeliste darüber hinaus noch sinnvoller genutzt werden soll, bietet es sich sogar an, dort auch noch die Geburtstage und Dienst-Jubiläen einzufügen – damit beispielsweise der Angestellte an seinem Geburtstag den Kaffee geschenkt bekommt. Wenn schon, denn schon! Spätestens an diesem Punkt aber sollte der gemeine Datenschützer im Büro des Betriebsrates mal auf einen Kaffee vorbeikommen. Immerhin gälte es wichtige Eckpunkte zur Dokumentation und zur ordnungsgemäßen Gewährleistung der Mitbestimmungsrechte abzuklären. Schließlich soll die DSGVO ja kein Papiertiger bleiben, nicht wahr? Aber bevor es so weit kommt, halten wir fest: Datenschutz ohne Kaffee geht nicht. Umgekehrt aber sehr wohl.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

In letzter Zeit erreichen uns immer wieder Anfragen von Unternehmen und Einrichtungen, die fragen, ob sie ihre Mitarbeiter verpflichten können, die Corona-Warn App zu installieren. Die App Die Corona-Warn-App kann seit dem 16.06.2020 auf allen Smartphones mit einem aktuellen Android- oder iOS-Betriebssystem installiert werden. Ziel der App ist es, eine Kontaktverfolgung bei den mit Covid-19 infizierten Personen zu erleichtern. Verantwortliche Stelle für die App ist das Robert Koch-Institut (Nähere Einzelheiten zur App, insbesondere auch zur Datenverarbeitung finden sich hier .). Installation und Nutzung der App im Beschäftigungsverhältnis Manche Arbeitgeber möchten nun eine Installation und Nutzung der App auf dem Diensthandy anordnen. An dieser Stelle wird es datenschutzrechtlich problematisch. Die App verarbeitet zumindest im Falle der Kontaktverfolgung personenbezogene Daten. Eine solche Verarbeitung bedarf immer einer Rechtsgrundlage. Bei der Corona-Warn-App ist dies die Einwilligung des Nutzers. Bei einer verpflichtenden Installation wäre aber die für eine wirksame Einwilligung erforderliche Freiwilligkeit nicht mehr gegeben. Auch wäre die App grundsätzlich aus folgenden Gründen nicht erforderlich für die Durchführung des Beschäftigungsverhältnisses i.S.v. § 26 Abs. 1 S. 1 BDSG: Der Arbeitnehmer kann seinen Aufgaben auch ohne die Installation der App nachgehen, der Arbeitgeber muss über Hygienepläne verfügen und es greifen in Fällen von Infektionen die weiteren Maßnahmen des Infektionsschutzgesetzes. Damit verbleibt als Rechtsgrundlage nur die Einwilligung der Mitarbeiter. Die Voraussetzung einer freiwilligen Einwilligung wäre bei einer verpflichtenden Installation sowohl auf dem Privat- als auch auf dem Diensthandy des Arbeitnehmers nicht erfüllt. Der Beschäftigte befindet sich in jedem Fall in einem Abhängigkeitsverhältnis und müsste ggf. negative arbeitsrechtliche Konsequenzen fürchten, wenn er die Installation der App und/oder die Aktivierung der Bluetooth-Funktion verweigert. Aus diesen Gründen sind Einwilligungen im Arbeitsverhältnis datenschutzrechtlich immer kritisch zu bewerten. Auch wird eine Kontrolle der Installation schwierig, insbesondere da der Arbeitnehmer jederzeit die Bluetooth-Funktion seines Handys deaktivieren und damit die Funktionsfähigkeit der App aufheben kann. Was nutzt die App auf dem Diensthandy, wenn der Arbeitnehmer das Gerät nach Dienstschluss ausschaltet oder im privaten Umfeld nicht bei sich führt? Was sagen die Aufsichtsbehörden? Datenschutzrechtlich wurde die App von mehreren Aufsichtsbehörden bewertet. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sieht aus datenschutzrechtlicher Sicht keine Gründe, die gegen die Installation sprechen (vgl. hier ). Allerdings betonen die Aufsichtsbehörden, dass die Nutzung der App nur auf Grundlage einer freiwilligen Einwilligung gem. Art. 6 Abs. 1 S. 1 lit. a bzw. Art. 9 Abs. 2 lit. a Datenschutz-Grundverordnung (DSGVO) erfolgen kann (vgl. die Pressemitteilung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 16.06.2020 ). Fazit Wir raten Arbeitgebern von einer verpflichtenden Installation und Nutzung der App ab. Die Freiwilligkeit der Einwilligung gemäß Art. 7 Abs. 4 DSGVO ist bei einer verpflichtenden Installation und Nutzung der App nicht gegeben. Im Falle eines positiven Covid-19-Falls im Betrieb tritt das Gesundheitsamt auf Grundlage des Infektionsschutzgesetzes ohnehin proaktiv an den Arbeitgeber heran, um ggf. Quarantänemaßnahmen bei den Kontaktpersonen des Infizierten anzuordnen. Natürlich kann der Arbeitgeber eine Empfehlung zur Installation aussprechen, wenn dabei deutlich herausgestellt wird, dass bei Nichteinhaltung keine negativen Konsequenzen für das Beschäftigungsverhältnis drohen. Der Arbeitgeber kann also nur Informationen zur freiwilligen Installation der App geben. Mitarbeiter, die die App selbstbestimmt nutzen wollen, müssen diese selbst aus dem entsprechenden Store des Betriebssystemherstellers installieren. Eine zentrale Installation durch den Arbeitgeber wäre unzulässig. Weitere Aspekte der Freiwilligkeit beleuchtet dieser Blogbeitrag .…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Auch wenn es ab und zu schwerfällt und einem die Freude schon mal vergehen kann, heißt es ab und an: Bitte lächeln! Dann hat mal wieder jemand eine Kamera irgendwo auf- oder eingebaut. Dass für solche Vorhabe eine Beschilderung vorgeschrieben ist, scheint sich mittlerweile herumgesprochen zu haben; wenn auch über die inhaltliche Ausgestaltung offenbar noch genug Unwissen herrscht, welches gleich für mehrere Personen ausreichen würde – doch dazu ein andermal. Hier und heute soll es um ein Ereignis gehen, das mir besonders einprägsam im Gedächtnis geblieben ist. So hatte ein Kollege einen Termin zur Begutachtung einer neuen Videoanlage bei einem Einzelhändler. Positiv zu bemerken ist, dass mein werter Kollege davon in Kenntnis gesetzt worden ist, bevor die Kamera montiert werden sollte – auch nicht immer eine Selbstverständlichkeit. Dieser unser Kunde war sich aber durchaus bewusst, dass Videoüberwachung per se eine sehr sensible Sache ist und stets einen tiefen Eingriff in das Persönlichkeitsrecht des Einzelnen darstellt. Kameras im Einzelhandel – alles andere als Standard Es sollte also darum gehen, das Projekt gemeinsam zu besprechen und – idealerweise – mit einer Freigabe durch den Datenschutzbeauftragten abzusegnen. Der Wichtigkeit dieses Vorhaben eingedenk waren auch mehrere Personen zu dem Ortstermin geladen. Neben dem Filialleiter waren u.a. zwei Spezialisten aus der EDV-Abteilung erschienen. Zusätzlich waren zwei Vertreter von dem in China beheimateten Hersteller des zu installierenden Kamerasystems anwesend. Möglicherweise hätte diese Art der Zusammensetzung bereits stutzig machen können. Jedenfalls wurden die beiden chinesischen Vertriebler nicht müde, immer wieder zu betonen, wie unglaublich intuitiv die Steuerung der Kameras und wie leicht zugänglich die Auswertung der aufgezeichneten Bilder sei. Da besonders der zweite genannte Aspekt die fachliche Aufmerksamkeit meines Kollegen hervorrief, kam das Gespräch in der Runde sehr zügig auf die Frage, wie denn die Daten in der Kamera erfasst und etwaig weitergeleitet oder gespeichert würden, da ja schließlich eine ordnungsgemäße datenschutzrechtliche Prüfung vorgenommen werden müsse. Chinesischer Vertrieb vs. europäisches Recht 1:0 Zu meinem Bedauern vermag ich leider den Gesichtsausdruck der beiden Vertriebler nicht mehr recht zu rekonstruieren; er mag sich aber irgendwo zwischen schelmischem Schmunzeln und echtem blanken Unverständnis eingependelt haben. Jedenfalls entfuhr es dem einen der Beiden aus voller Überzeugung, dass personenbezogene Daten hier doch gar keine Rolle spielen würden. „Die Kameras speichern nur die Bilder und arbeiten völlig anonym!“, hieß es. Ebenso wie der Gesichtsausdruck zuvor ist mir das Geräusch, welches das Herunterklappen der Kinnlade meines Kollegen produziert haben muss, verwehrt geblieben, als er mit dieser Aussage konfrontiert worden ist. Halbwissen in dieser Größenordnung kann gefährlich sein, das vorweg in aller Kürze. Und nein, darüber lässt sich nicht streiten! Von wegen 3 Juristen, 4 Meinungen … die Datenschutz-Grundverordnung ist in dieser Hinsicht an Klarheit und Präzision nicht zu überbieten: So definiert Art. 4 Nr. 2, was als Verarbeitung im rechtlichen Sinne anzusehen ist. Darunter fällt – neben vielem anderen – auch das Erheben oder Erfassen, jeweils die denkbar einfachste Form der Beschaffung von Informationen. Dass es sich bei aufgenommenen Bildern selbstverständlich um Informationen handelt, die eine einzelne Person identifizierbar machen (denn darauf kommt es ja in aller Regel an, wenn ich als Einzelhändler einen Dieb überführen möchte), sei nur der Vollständigkeit wegen und aus formalen Gründen erwähnt. Auf diese Weise wird schnell klar, dass wir es eben sehr wohl mit einer Verarbeitung von personenbezogenen Daten zu tun haben. In Ländern, in denen Rund-um-die-Uhr-Überwachung und das als ‚ Social Score ‘ bekannt gewordene Phänomen, das persönliche Verhalten aus Gründen der öffentlichen Ordnung publik zu bewerten, mag diese Erkenntnis überraschen. Das wiederum mag man aus unserer Perspektive entweder als kulturelle Eigenheit oder rechtliche Einfältigkeit ansehen, kurios ist es allemal.…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Viel wird über Messenger und ihre Sicherheit geredet. Immer wieder gerät der Platzhirsch, WhatsApp, in die Diskussion. Immerhin ist die Kommunikation Ende-zu-Ende verschlüsselt, doch was ist mit den Metadaten? Und reicht eine Ende-zu-Ende-Verschlüsselung überhaupt aus? Dann gehört WhatsApp zu Facebook und die Server stehen in den USA. Es gibt inzwischen viele Alternativen zu WhatsApp und doch kommt kaum einer an dem Messenger vorbei. Die angerissenen Kritikpunkt wiegen umso schwerer, sobald es um den Austausch sensibler Daten geht. Ende letzten Jahres hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder – kurz DSK in einem Whitepaper die technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich festgelegt. Zeitnah haben wir WhatsApp anhand des Kriterienkataloges überprüft. Das Ergebnis können Sie auf unserem Blog nachlesen. Wir haben uns aber auch Messenger angesehen, die nach eigenen Angaben die technischen Datenschutzanforderungen der DSK erfüllen. Gestern haben wir über den Messenger Siilo berichtet , heute möchten wir stashcat genauer unter die Lupe nehmen. stashcat ist ein deutscher Instant-Messaging-Dienst der stashcat GmbH aus Hannover. Der Messenger wendet sich an Unternehmen und Behörden, die rein private Nutzung ist untersagt. Ganz wichtig, um die großen Unterschiede zu anderen Messengern gleich klar zu machen: stashcat zielt immer auf eine Kommunikation innerhalb einer Organisation ab. Ob das nun ein Unternehmen, eine Behörde, ein Krankenhaus oder eine Abteilung ist, spielt keine Rolle. Die von vielen gewohnte direkte Kommunikation mit Jedermann ist nicht das Ziel von stashcat. Neben Einzelchats gibt es die Channel-Funktion, mit der sich Gruppen oder Teams, z.B. die Kardiologie in einem Krankenhaus, austauschen können. In den Einzelchats kann man zwar auch mit mehreren Personen gleichzeitig kommunizieren, aber anders als man es sonst von Gruppenchats kennt, kann nach dem Start einer Konversation, niemand mehr in den Chat aufgenommen werden. Channels sind also die eigentlichen Gruppenchats. Darüber hinaus verfügt stashcat über eine Dateiablage, ein Umfragetool und einen Kalender. Auch bei stashcat haben wir, analog zu unserer Betrachtung von Siilo, keine vollumfängliche Prüfung anhand des Whitepapers der DSK durchgeführt. Wir haben uns einige Punkte herausgesucht, die wir detaillierter betrachten. Wir hatten die Möglichkeit stashcat mit seinen verschiedenen Funktionen zu testen und wurden dabei von Mitarbeitern der stashcat GmbH begleitet. Registrierung stashcat erfordert keinen Einsatz von Telefonnummern. Selbst die erstmalige Anmeldung des Administrators bedarf keiner Telefonnummer zur Verifizierung; eine E-Mail-Adresse reicht. Nach der Erstregistrierung kann der Administrator neue Nutzer einladen. Das geht per Einladung durch einen Registrierungsschlüssel und Selbstregistrierung durch den Nutzer oder per Erstellung eines Nutzeraccounts über den Verwaltungsbereich und Zurverfügungstellung eines Registrierungsschreibens oder einer Registrierungs-E-Mail. Fotos in der App stashcat verfügt über eine Kamera-Funktion. Bilder oder Videos, die über stashcat aufgenommen werden, werden ausschließlich in der App gespeichert. Eine Synchronisierung mit der Foto-App des Endgerätes erfolgt nicht. Somit ist sichergestellt, dass Bilder aus der App nicht unter den normalen Fotos des Handys zu finden sind und somit auch nicht bei Cloud-Dienstleistern, wie zum Beispiel iCloud, landen. Gleiches gilt übrigens auch für die Sprachaufzeichnungen, die die App ebenfalls ermöglicht. Angehörige der medizinischen- und Heilberufe Bei stashcat meldet sich die Institution, das Krankenhaus, das Pflegeheim etc., als Instanz an. Dabei kann das Active Directory der Einrichtung über eine LDAP-Schnittstelle genutzt werden. Die Vorteile liegen auf der Hand: zum einen ist der Aufwand, alle Beschäftigten anzulegen viel geringer und zum anderen ist so sehr einfach sichergestellt, dass bei einem Austritt oder bei einem Abteilungswechsel automatisch die Zugänge des Einzelnen ohne manuelles Eingreifen im Messenger aktualisiert werden. Auch ein Identitätsdiebstal ist, anders als bei einer Verifizierung des einzelnen Nutzers durch den Anbieter, hier nicht möglich. Der Administrator der medizinischen Einrichtung legt Benutzerrollen fest und vergibt Rechte, z.B. wer welchen Chats beitreten kann, wer welche Unterhaltungen sehen und lesen kann und wer wo schreiben kann. Datenspeicherung stashcat bietet die Möglichkeit, den Messenger auf mobilen Geräten und auch als Webclientversion zu betreiben. Alle Funktionen sind sowohl mobil als auch am Computer nutzbar. Um dies gewährleisten zu können, müssen die Daten auf dem Server bleiben. Andernfalls wäre ein Zugriff von verschiedenen Geräten nicht möglich. Erwähnenswert ist auch, dass Mitglieder, die neu zu einem Chat hinzukommen, im Verlauf zeitlich zurück lesen können. Sie können auch Nachrichten lesen, die vor ihrem Beitritt in der Gruppe geschrieben wurden. Das macht es bei der ärztlichen Konsultation z.B. nicht mehr erforderlich, dass Bilder ein weiteres Mal geteilt werden müssen. Eine automatische Datenlöschung bietet stashcat nicht an. Jeder Nutzer hat seine eigene Dateiablage, auf die nur er Zugriff hat und das von allen Endgeräten aus. Neben der individuellen Dateiablage verfügt auch jeder Channel und jede Konversation über eine eigene Dateiablage auf die die jeweiligen Teilnehmer Zugriff haben. Aspekte der Sicherheit Alle Daten und Dokumente sind Ende-zu-Ende verschlüsselt. Der Zugriff auf die App ist durch einen sechsstelligen PIN-Code schützbar. Der Server steht in Deutschland. Sonstiges stashcat bietet einen Auftragsverarbeitungsvertrag an. Auch sind die Informationen nach Artikel 13 DSGVO verfügbar. Fazit stashcat hat uns durchweg überzeugt. Im Rahmen unserer summarischen Prüfung sind uns keine Abweichungen zum Whitepaper der DSK aufgefallen. Besonders die einfache interne Verwaltung hat uns überzeugt. Für Unternehmen, auch außerhalb der Medizinbranche, bietet der Messenger tolle Möglichkeiten und ist mehr als nur eine Alternative zu WhatsApp und Co. stashcat kann auch on Premise betrieben werden und ist individuell konfigurierbar. Lediglich die fehlende Möglichkeit Fotos in der App zu bearbeiten – etwa um Patientendaten auf Bildern unkenntlich zu machen – könnte man als Haar in der Suppe bezeichnen. Weiterführende Links stashcat Homepage Verschlüsselung / Server Handbuch_stashcat_iOS_3.7…
A
Audiospur Archive - datenschutz notizen | News-Blog der DSN GROUP

Im November 2019 formulierte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder kurz DSK in einem Whitepaper die technische Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich. Unmittelbar nach der Veröffentlichung prüften wir WhatsApp anhand des Kriterienkataloges. Das Ergebnis können Sie auf unserem Blog nachlesen . Glücklicherweise ist WhatsApp nicht alternativlos. Es gibt mittlerweile eine Vielzahl an Messenger-Diensten, zum Teil sind diese bereichsspezifisch für ganz konkrete Anwendungsszenarien. Wir haben uns zwei Messenger, Siilo und stashcat , unter zu Hilfenahme des Kriterienkatalogs etwas näher angeschaut. Heute geht es um Siilo , stashcat werden wir uns morgen genauer ansehen. Siilo ist ein Messenger-Dienst der Siilo Holding B.V. Der Anbieter stammt aus den Niederlanden und hat seinen Hauptsitz in Amsterdam. Zielgruppe sind Angehörige der medizinischen- und Heilberufe Mit dem „Siilo Messenger“ sollen sich Ärzte- und Pflegeteams ortsunabhängig austauschen können. Dabei bietet die App sämtliche Funktionen, die auch von anderen Messenger-Diensten bekannt sind. Eine vollumfängliche Prüfung anhand des Whitepapers der DSK wird in diesem Beitrag nicht erfolgen. Vielmehr haben wir uns verschiedene Punkte ausgesucht, die wir detaillierter betrachten. Im Rahmen unserer Prüfung, die in Teilen summarisch war, hatten wir die Gelegenheit, die verschiedenen Funktionen der App zu testen. Darüber konnten wir Gespräche mit Herrn Pourasghar, Vice President bei Siilo, führen, der uns eine Vielzahl an Hintergrundinformationen zur Verfügung stellte. Angehörige der medizinischen- und Heilberufe Der Messenger besteht aus zwei Ebenen. Auf der ersten Ebene kann dieser von jedermann genutzt werden. Spannend wird es auf der zweiten Ebene, dem medizinischen Bereich. Um Zugang zu diesem zu erhalten, und damit auf die Kontaktdaten sämtlicher registrierten Angehörigen der medizinischen- und Heilberufe zu bekommen, bedarf es einer Authentifizierung und Identifizierung. Dieser Prozess erfolgt zweistufig. Zunächst muss die Angehörigkeit zu einem Gesundheitsberuf nachgewiesen werden. Im zweiten Schritt erfolgt die Identifikation mittels eines Ausweisdokumentes. Wir haben diesen Prozess getestet: Zur Überwindung der ersten Stufe habe ich ein Foto meiner Promotionsurkunde übersandt. Dieses habe ich vorab mit der Fotobearbeitungsfunktion – dazu gleich- etwas bearbeitet. Die fehlende Zugehörigkeit zu einem Gesundheitsberuf wurde sofort festgestellt. Und der Authentifizierungsprozess, aus datenschutzrechtlicher Sicht, erfolgreich abgebrochen. (Mit einem Klick auf das Bild öffnet sich dieses in besserer Qualität in einem neuen Tab.) Registrierung In seiner Grundfunktion kann der Messenger kostenfrei von jedem genutzt werden. Die App ist sowohl für Android als auch für iOS Geräte verfügbar. Nachdem die App heruntergeladen wurde, muss man sich mit einem Vor- und Nachnamen, seinem Beruf, es stehen verschiedene medizinische und Heilberufe sowie die Möglichkeit „sonstige“ zur Auswahl, der Mobilfunknummer und der dienstlichen E-Mail-Adresse anmelden und einen 5-stelligen Sicherheitscode festlegen. Siilo sendet dann einen 6-stelligen Bestätigungscode per SMS, mit dessen Eingabe die Registrierung abgeschlossen wird. Im Rahmen des Registrierungsprozesses kann der Nutzer dann u.a. auch entscheiden, ob er Siilo auf seine Kontakte zugreifen lassen will. Dass der Messenger auch ohne einen Zugriff auf die Kontakte im Handy funktioniert, ist positiv zu bewerten. Fotos Siilo verfügt über eine Kamera-Funktion. Hierbei handelt es sich laut Aussage von Herrn Pourasghar um eine Eigenprogrammierung. Bilder, die über Siilo aufgenommen werden, werden nur in der Siilo App gespeichert. Es findet eine strikte Trennung zur Foto-App des Smartphones/ Tablets statt. Dadurch erfolgt auch keine Synchronisation mit Cloud-Dienstleistern, wie beispielsweise iCloud. Eine besondere Funktionalität bietet die Option des „Verwischens“ an. Hierdurch ist es möglich, vor dem Versenden des Fotos, bestimmte Teile unkenntlich zu machen. Bei der Einholung eines Konsils zu einem komplizierten Bruch können so die Angaben zum Patienten geschwärzt werden. (Mit einem Klick auf das Bild öffnet sich dieses in besserer Qualität in einem neuen Tab.) Datenspeicherung Siilo ist so konfiguriert, dass eine Löschung der Kommunikation standardmäßig nach spätestens 30 Tagen erfolgt. Es besteht jedoch die Option, dass die Kommunikation bis zu einer manuellen Löschung aufbewahrt wird. (Mit einem Klick auf das Bild öffnet sich dieses in besserer Qualität in einem neuen Tab.) Eine Speicherung der Daten auf den Kommunikations-Servern erfolgt nach Aussage von Siilo nur temporär. Der Absender einer Nachricht veranlasst durch den Versand die Speicherung der Kommunikation auf den Servern. Diese Speicherung ist wie ein Briefkasten zu verstehen. Sobald das Gerät des Empfängers eine Verbindung zum Server aufgebaut hat und die Nachricht zugestellt wurde, ist sie aus dem Briefkasten und damit vom Server gelöscht. Ein Zugriff auf die Kommunikation ist dann nur noch über die Endgeräte von Sender und Empfänger möglich. Aus diesem Grunde erschöpft sich die Beantwortung eines Auskunftsersuchens nach Art. 15 DS-GVO auch auf die Anmeldedaten sowie die Daten, die im Rahmen der Kommunikation mit dem Support ausgetauscht werden. Das entsprechende Auskunftsersuchen wird zeitnah, im Test binnen 24 Stunden, ungesetzt. Nutzung von Adressbuchdaten Zu den Adressbuchdaten findet sich folgende Erklärung in der Datenschutzerklärung: „Wir erfassen die Telefonnummern Ihrer Kontaktlisten und/oder Ihres Adressbuchs („Adressbuchdaten“) nur mit Ihrer ausdrücklichen Genehmigung. Es werden keine weiteren Kontaktinformationen, wie z.B. die Namen oder E-Mail-Adressen, die mit den Telefonnummern zusammenhängen, erfasst oder verwendet. Durch die Erfassung der Telefonnummern können wir die Siilo-Nutzer zusammenbringen und in entsprechenden Nutzergruppen zusammenfassen. Daher können wir Ihnen auch anzeigen, welche Mitglieder Ihrer Netzwerke ebenfalls Siilo-Nutzer sind, um umgekehrt Ihren Verbindungen entsprechende Informationen über Sie zukommen lassen. Dank dieser Funktionalität können Sie mit anderen Nutzern von Siilo in Kontakt treten, und andere Nutzer von Siilo können direkt miteinander kommunizieren. Zu diesem Zweck und um sicherzustellen, dass wir den Nutzern die aktuellsten Informationen zukommen lassen, überprüfen wir Ihre Kontaktlisten und / oder Adressbuchdaten regelmäßig auf Updates. Adressbuchdaten (sofern der Nutzer seine Zustimmung erteilt hat) werden nur in gehashter Form an den Server gesendet und außerdem durch branchenübliche Transport-Layer-Security (TLS) geschützt. Dabei werden nur übereinstimmende Adressbuchdaten (in gehashter Form) gespeichert. Es werden keine Adressbuchdaten von Nichtnutzern gespeichert. Keinesfalls werden Adressbuchdaten an Drittparteien weitergeleitet oder für Werbezwecke verwendet.“ Die Grundidee, dass sich medizinisches Personal über den Siilo austauschen soll, führt (bei Freigabe des Adressbuchs) dazu, dass jedem Nutzer alle Kontakte seines Adressbuchs, die ebenfalls Siilo nutzen, angezeigt werden. Das ist möglich, da bei jedem Öffnen der App das Adressbuch in gehashter Form an Siilo übertragen wird. Alle Hashwerte von Telefonnummern, die nicht mit einem Hashwert eines registrierten Nutzers übereinstimmen, werden umgehend gelöscht. Bei den anderen kann Siilo dem Nutzer nun aber anzeigen, dass der Kontakt im eigenen Adressbuch auch bei Siilo ist. Zusätzlich besteht die Möglichkeit, dass Siilo interessante Kontakte vorschlägt. Das ist zwar aus datenschutzrechtlicher Sicht nicht ideal, ist aber der Tatsache geschuldet, dass Siilo einen Austausch unter Medizinern und Angehörigen der Heilberufe fördern will. So wird dem Orthopäden evtl. ein Kollege in einer anderen Stadt angezeigt. Aspekte der Sicherheit Der Zugriff auf die App ist mittels fünstelligem PIN-Code sowie Touch- bzw. Face-ID geschützt. Die Kommunikation ist Ende-zu Ende-verschlüsselt. Hierzu wird die Open-Source-Bibliothek NaCL verwendet, die auch beim Messenger Threema zum Einsatz kommt. Die Server stehen in Europa. Fazit Im Rahmen unserer summarischen Prüfung, sind uns keine Punkte aufgefallen, die eine Abweichung von den Vorgaben des Whitepapers der DSK bedeuten. Insbesondere der Autorisierungs- und Identifizierungsprozess für Nutzer medizinischer- und Heilberufe sowie die Möglichkeit der Bildbearbeitung sind besonders positiv hervorzuheben. Einziges kleines Manko ist der Umgang mit dem Adressbuch. Allerdings stellt dies keine Abweichung vom DSK-Papier dar. Hier muss jeder selbst entscheiden, wie er diesen Umstand bewertet. Aus aktuellem Anlass Siilo bietet derzeit kostenlose Tools zur Unterstützung von Medizinern während des COVID- 19 -Notfalls an. Informationen dazu finden Sie hier . Weitergehende Informationen ZTG Zentrum für Telematik und Telemedizin GmbH: Prüfunterlagen für die Applikation: Siilo Messenger Vertrag zur Auftragsverarbeitung Datenschutz-Folgenabschätzung Security Whitepaper…
Willkommen auf Player FM!
Player FM scannt gerade das Web nach Podcasts mit hoher Qualität, die du genießen kannst. Es ist die beste Podcast-App und funktioniert auf Android, iPhone und im Web. Melde dich an, um Abos geräteübergreifend zu synchronisieren.