Die nach wie vor hohen Zahlen derer, die an Corona erkranken (und sterben) bedingen, dass auch die meisten Schulen bis auf Weiteres nicht zum Präsenzunterricht zurückkehren. Dies wiederum befeuert ein Thema, welches mit der Pandemie zum datenschutzrechtlichen Dauerthema geworden ist: Welche Videokonferenzsysteme lassen sich datenschutzkonform nutzen? Welche Anforderungen müssen eingehalten werden? Was passiert, wenn die datenschutzrechtlichen Anforderungen nicht so schnell umgesetzt werden können, wie es erforderlich wäre?

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI), Professor Dieter Kugelmann, macht hierzu einen sehr pragmatischen Vorschlag:

„Aus Datenschutz-Sicht hat die vom rheinland-pfälzischen Bildungsministerium empfohlene Lösung Big Blue Button (BBB), die bei der Johannes Gutenberg-Universität Mainz gehostet wird, große Vorzüge. Bei BBB handelt es sich um eine Open Source-Lösung, die es ermöglicht, sie unter vollständiger, eigener Kontrolle und auf eigenen Systemen zu betreiben. Die Übermittlung von Nutzungsdaten an Dritte oder deren Verwendung gar für Werbezwecke kann ausgeschlossen werden.“

Die Software Big Blue Button war vor einiger Zeit auch im Rahmen der rechtlichen Kurzprüfung der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI), Maja Smoltczyk, positiv erwähnt worden. Die Liste war als Hilfestellung für Berliner Unternehmen, Behörden, Vereine und Freiberufler gedacht.Professor Kugelmann weiter:

„Aus datenschutzrechtlichen Gründen sollte daraufhin gearbeitet werden, dass mit Beginn des Schuljahrs 2021/2022 alle Schulen auf BBB zurückgreifen können. Angesichts der derzeitigen Ausnahmesituation und bestehender technischer Probleme ist es vertretbar, wenn im laufenden Schuljahr Schulen außereuropäische Videokonferenzsoftware verwenden, um dem Bildungsauftrag nachzukommen. Um den Schulen in der schwierigen Pandemie-Situation Möglichkeiten des Distanzunterrichts zu erhalten, werden, mit Blick auf den bis Schuljahresende zugesagten performanten Ausbau der Big Blue Button-Plattform, daher Bedenken hinsichtlich einer fortdauernden Nutzung durch Schulen von MS Teams und vergleichbaren Lösungen US-amerikanischer Anbieter vorerst zurückgestellt.

„Die Anwendung dieser sehr pragmatischen Sichtweise knüpft der LfDI Rheinland-Pfalz jedoch an einige Bedingungen:

• Bereits eingesetzte Lösungen US-amerikanischer Anbieter müssen auf schuleigenen Systemen betrieben werden, oder es müssen, bei Inanspruchnahme eines Dienstleisters im Rahmen einer Auftragsverarbeitung gemäß Artikel 28 Datenschutz-Grundverordnung, die Konferenzdaten auf Systemen deutscher oder europäischer Anbieter verarbeitet werden. Zudem müssen die Lösungen datensparsam konfiguriert und mit von der Schule vergebenen, pseudonymisierten Zugangsdaten genutzt werden. Es wird eine Verwendung der Nutzungsdaten für Werbezwecke vertraglich ausgeschlossen (§ 103 Übergreifende Schulordnung).

• Die Nutzerinnen und Nutzer müssen gemäß Artikel 13 DS-GVO informiert werden.

• Auf die in § 1 Abs. 6 Schulgesetz vorgesehene Möglichkeit, eine verbindliche Nutzung digitaler Lehr- und Lernmittel vorzusehen, wird verzichtet. Wenn Eltern, Schülerinnen oder Schüler einer Nutzung amerikanischer Softwareprodukte ausdrücklich widersprechen, werden äquivalente Lehrangebote zur Verfügung gestellt.

Pressemitteilung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit vom 15.01.2021

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, ist sehr zufrieden mit dem Ergebnis des Europäischen Datenschutzausschusses (EDSA) zu Standarddatenschutzklauseln (SDK). Die europäischen Datenschutzaufsichtsbehörden und der Europäische Datenschutzbeauftragte (EDPS) hatten in der Sitzung vom 14. Januar gemeinsame Stellungnahmen zu den Entwürfen der Europäischen Kommission von SDK beschlossen.

Dazu sagte BfDI Ulrich Kelber: „Es gab intensive Verhandlungen zu den Stellungnahmen, die ich mit meinen Kolleginnen und Kollegen verabschiedet habe. EDSA und EDPS kommen zu einem klaren Urteil. Unsere deutsche Position findet sich an vielen Stellen der Papiere wieder. Dieser gemeinsame Vorschlag würde Rechtssicherheit für den Datenaustausch mit Ländern außerhalb des Europäischen Wirtschaftsraumes bringen, ohne Einschränkungen beim Datenschutz zu machen.“

Der BfDI hatte mit seinen Kolleginnen und Kollegen aus den Bundesländern die deutsche Position entwickelt. Der EDSA und der EDPS waren zum Jahreswechsel von der Europäischen Kommission gebeten worden, eine gemeinsame Stellungnahme zu zwei Entwürfen von SDK nach Art. 28 und Art. 46 der Datenschutz-Grundverordnung (DSGVO) zu erarbeiten. Die neuen SDK zu Art. 46 DSGVO sollen die bisherigen bei internationalen Datenübermittlungen ersetzen. Neuerungen gibt es beispielsweise bei Anpassungen an die Anforderungen der DSGVO und die Schrems II Rechtsprechung des Europäischen Gerichtshofes. Die SDK zu Artikel 28 DSGVO sollen für die Vertragsgestaltung zwischen Verantwortlichen und Auftragsverarbeitern erstmals einen europaweit verwendbaren Standard setzen, der den Unternehmen und Behörden die Umsetzung der entsprechenden Vorgaben der DSGVO deutlich erleichtert. Der EDSA wird den gemeinsamen Vorschlag in Kürze auf seiner Homepage veröffentlichen: https://www.edpb.europa.eu/

Die Pressemitteilungen des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit können hier abgerufen werden.

Download Stellungnahme zu überarbeiteten Standarddatenschutzklauseln als PDF

Pressemitteilung der Landesbeauftragten für den Datenschutz Niedersachsen vom 08.01.2021

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat eine Geldbuße über 10,4 Millionen Euro gegenüber der notebooksbilliger.de AG ausgesprochen. Das Unternehmen hatte über mindestens zwei Jahre seine Beschäftigten per Video überwacht, ohne dass dafür eine Rechtsgrundlage vorlag. Die unzulässigen Kameras erfassten unter anderem Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche.

Das Unternehmen hatte sich darauf berufen, dass es Ziel der installierten Videokameras gewesen sei, Straftaten zu verhindern und aufzuklären sowie den Warenfluss in den Lagern nachzuverfolgen. Zur Verhinderung von Diebstählen muss eine Firma aber zunächst mildere Mittel prüfen (z. B. stichprobenartige Taschenkontrollen beim Verlassen der Betriebsstätte). Eine Videoüberwachung zur Aufdeckung von Straftaten ist zudem nur rechtmäßig, wenn sich ein begründeter Verdacht gegen konkrete Personen richtet. Ist dies der Fall, kann es zulässig sein, diese zeitlich begrenzt mit Kameras zu überwachen. Bei notebooksbilliger.de war die Videoüberwachung aber weder auf einen bestimmten Zeitraum noch auf konkrete Beschäftigte beschränkt. Hinzu kam, dass die Aufzeichnungen in vielen Fällen 60 Tage gespeichert wurden und damit deutlich länger als erforderlich.

Generalverdacht reicht nicht aus

„Wir haben es hier mit einem schwerwiegenden Fall der Videoüberwachung im Betrieb zu tun“, sagt die LfD Niedersachsen, Barbara Thiel, „Unternehmen müssen verstehen, dass sie mit einer solch intensiven Videoüberwachung massiv gegen die Rechte ihrer Mitarbeiterinnen und Mitarbeiter verstoßen“. Auch die immer wieder vorgebrachte, angeblich abschreckende Wirkung der Videoüberwachung rechtfertige keinen dauerhaften und anlasslosen Eingriff in die Persönlichkeitsrechte der Beschäftigten. „Wenn das so wäre, könnten Unternehmen die Überwachung grenzenlos ausdehnen. Die Beschäftigten müssen aber ihre Persönlichkeitsrechte nicht aufgeben, nur weil ihr Arbeitgeber sie unter Generalverdacht stellt“, so Thiel. „Videoüberwachung ist ein besonders intensiver Eingriff in das Persönlichkeitsrecht, da damit theoretisch das gesamte Verhalten eines Menschen beobachtet und analysiert werden kann. Das kann nach der Rechtsprechung des Bundesarbeitsgerichts dazu führen, dass die Betroffenen den Druck empfinden, sich möglichst unauffällig zu benehmen, um nicht wegen abweichender Verhaltensweisen kritisiert oder sanktioniert zu werden.“

Auch Kundinnen und Kunden von notebooksbilliger.de waren von der unzulässigen Videoüberwachung betroffen, da einige Kameras auf Sitzgelegenheiten im Verkaufsraum gerichtet waren. In Bereichen, in denen sich Menschen typischerweise länger aufhalten, zum Beispiel um die angebotenen Geräte ausgiebig zu testen, haben die datenschutzrechtlich Betroffenen hohe schutzwürdige Interessen. Das gilt besonders für Sitzbereiche, die offensichtlich zum längeren Verweilen einladen sollen. Deshalb war die Videoüberwachung durch notebooksbilliger.de in diesen Fällen nicht verhältnismäßig.

Die 10,4 Millionen Euro sind das bisher höchste Bußgeld, das die LfD Niedersachsen unter Geltung der Datenschutz-Grundverordnung (DS-GVO) ausgesprochen hat. Die DS-GVO ermöglicht es den Aufsichtsbehörden, Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens zu verhängen – je nachdem, welcher Betrag höher ist. Das gegen notebooksbilliger.de ausgesprochene Bußgeld ist noch nicht rechtskräftig. Das Unternehmen hat seine Videoüberwachung mittlerweile rechtmäßig ausgestaltet und dies der LfD Niedersachsen nachgewiesen.

Mehr Informationen

– Informationen der LfD Niedersachsen zum Thema Videoüberwachung

DAFTA 2020: „Schrems II“, Office 365 etc. – Datenschutzpraktiker fordern von Behörden praktische Hilfestellung anstatt pauschaler Verbote­

Vom 19. bis 20.11.2020 führt die Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V., ihre 44. Datenschutzfachtagung (DAFTA) durch. Die traditionell im Kölner Maternushaus abgehaltene Veranstaltung findet auf Grund der Corona-Pandemie in diesem Jahr komplett online statt.

Peter Biesenbach, NRW Justizminister, begrüßt das Urteil, mit dem das LG Bonn am 11.11.2020 das Bußgeld des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit gegen den Telekommunikationsanbieter 1&1 von ursprünglich 9,5 Millionen Euro auf 900.000 € herabgesetzt hat. Mit seiner Entscheidung habe das Gericht der datenverarbeitenden Wirtschaft wichtiges Vertrauen in den Rechtsstaat zurückgegeben. Diese müsse nun nicht mehr mit der Angst vor irrationalen Bußgeldern der Verwaltungsbehörden leben, sondern dürfe damit rechnen, dass Datenschutzverstöße zwar empfindliche, aber risikoadäquate Sanktionen nach sich ziehen.

Zur lange geplanten ePrivacy-Verordnung berichtet Rolf Bender, Bundeministerium für Wirtschaft und Energie, dass nunmehr leider klar sei, dass auch im Rahmen der deutschen Ratspräsidentschaft keine Verständigung im EU-Ministerrat mehr erreicht werde. Damit sei es jetzt an den Portugiesen, sich um eine allgemeine Ausrichtung zu bemühen, damit in die Verhandlungen mit EU-Parlament und EU-Kommission eingetreten werden könne. Auf nationaler Ebene sei mit dem Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) ein neues Stammgesetz für den Datenschutz geplant, welches die Datenschutzregelungen im Telekommunikations- und Telemedienbereich zusammenführe. Die Ressortabstimmung soll „sehr bald“ abgeschlossen werden, so Bender. Danach folge die Anhörung der Verbände zum Gesetzentwurf.

Prof. Dr. Günter Krings, MdB, Parlamentarischer Staatssekretär beim Bundesminister des Innern, für Bau und Heimat, begrüßt das Bestreben, die Datenschutzregelungen im Telekommunikations- und Telemedienbereich in einem einheitlichen Gesetz zusammenzuführen. Der gegenwärtig bestehende rechtliche Flickenteppich müsse schnellstmöglich beseitigt und Rechtssicherheit geschaffen werden. Die ePrivacy-VO könne nicht länger abgewartet werden. Der deutsche Gesetzgeber habe die Möglichkeit, durch das nationale Gesetzgebungsvorhaben Wege für einen angemessenen Interessenausgleich im ePrivacy-Bereich aufzuzeigen.

Nach Prof. Dr. Herwig Hofmann, Universität Luxemburg, Klagevertreter im Fall Schrems II, ist die seit 2013 dauernde „Schrems Saga“ auch mit dem EuGH Urteil aus dem Juli dieses Jahres (Schrems II – C-311/18) weiterhin nicht abgeschlossen. Die DPC in Irland habe ihr Verfahren erneut ausgesetzt und der Europäische Datenschutzausschuss zwei „Schrems II Task Forces“ eingesetzt. Die Standardvertragsklauseln habe der EuGH aus seiner Sicht zurecht erhalten, so Hofmann. Insofern seien aber nun der Transportweg der Daten und die Situation im Drittstaat jeweils im Einzelfall zu prüfen.

Thomas Zerdick, Referatsleiter beim Europäischen Datenschutzbeauftragten, stellte die Aufgaben des Europäischen Datenschutzausschusses (EDSA) vor und ging dabei insbesondere auf die Themen Schrems II und Cookies ein. Mittels des in der DS-GVO vorgesehenen Streitbeilegungsverfahren könne der Ausschuss auch in strittigen Fragen zu verbindlichen Beschlüssen kommen. Durch rasche Stellungnahmen zu Beginn der Corona-Pandemie habe der EDSA überdies gezeigt, dass der Datenschutz kein Hindernis bei der Pandemiebekämpfung sein müsse.

„Finger weg von jeder Zentralisierung“ positioniert sich Dr. Stefan Brink, Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, im Hinblick auf die aktuelle Diskussion um die Zentralisierung der Datenschutzaufsicht. Seit 2016 habe es eine „massive“ Koordination der nationalen Behörden gegeben. Ohnedies sei der Datenschutz ein europäisches Thema und vor allem auf dieser Ebene müsse eine Vereinheitlichung erfolgen. Die nationale Aufsichtsstruktur spiele aus seiner Sicht eher eine untergeordnete Rolle.
Nach der Auffassung von Brink verbieten sich pauschale Aussagen zur Zulässigkeit des Einsatzes bestimmter Softwareprodukte, wie z.B. Microsoft Office 365. Aus seiner Sicht müsse vor einer Untersagung des Einsatzes durch die Behörde im Übrigen zunächst geprüft werden, ob es im konkreten Fall zumutbare Alternativangebote ohne Transferprobleme gibt.

Hinsichtlich der im geleakten TTDSG-Entwurf vorgesehenen Personal Information Management Services (PIMS) warnte Klaus Müller, Vorstand des Verbraucherzentrale Bundesverbands (vzbv), zur Vorsicht. Solche Dienste seien aus seiner Sicht zwar prinzipiell zu begrüßen. Es müsse allerdings sichergestellt sein, dass es sich bei diesen nur um neutrale Intermediäre ohne eigene wirtschaftliche Interessen an der Verwertung der verwalteten Informationen handele. Letzteres schließe indes nicht aus, dass entsprechende Anbieter für ihre Dienste auch Entgelte erheben dürfen.

Achim Schlosser, European netID Foundation, Montabaur, sprach sich für einen europäischen Ansatz im Hinblick auf die Dienste von Identitäts- und Einwilligungstreuhändern aus. Europaweite Rahmenbedingungen erleichterten die Durchsetzung gegenüber den großen Internetanbietern.

Vor dem Hintergrund, dass mit einem zügigen Erlass von novellierten europarechtlichen ePrivacy-Vorgaben im Allgemeinen bzw. Rahmenbedingungen zu PIMS im Besonderen nicht zu rechnen ist, waren sich die Teilnehmer der den politischen Vormittag der DAFTA abschließenden Podiumsdiskussion jedoch einig, dass der nationale Weg über das geplante TTDSG ein guter Ansatz sei. Es sei zu hoffen, dass das Gesetzgebungsverfahren zum TTDSG noch in dieser Legislaturperiode zum Abschluss komme, so Prof. Dr. Rolf Schwartmann, Vorstandsvorsitzender der GDD e.V., Bonn.

Andreas Jaspers, Geschäftsführer der GDD, regte an, dass im Rahmen des Gesetzgebungsverfahrens zum TTDSG der Arbeitgeber als möglicher Adressat strafrechtlich relevanter Verstöße gegen das Fernmeldegeheimnis ausgenommen werden sollte. Zudem sollte ein Einsatz von reinen Onlineanalysetools auch ohne Einwilligung der Nutzer möglich sein, so Jaspers.


Zur GDD:
Die GDD wurde 1977 in Bonn gegründet und unterstützt seitdem Unternehmen, insbesondere deren Datenschutzbeauftragte, bei der Lösung der vielfältigen mit Datenschutz und Datensicherheit verbundenen technischen, rechtlichen und organisatorischen Fragen. Sie tritt als gemeinnütziger eingetragener Verein für einen sinnvollen, vertretbaren und technisch realisierbaren Datenschutz ein. Zusammen mit DATAKONTEXT (über das Onlinelernportal UNIVADO) richtet die GDD in diesem Jahr die Datenschutzfachtagung DAFTA aus. 

Das Bayerische Landesamt für Datenschutzaufsicht (Datenschutz-Aufsichtsbehörde für Unternehmen in Bayern) hat eine lesenswerte Checkliste für kleine und mittlere Unternehmen veröffentlicht, welche technischen und organisatorischen Maßnahmen zur Erfüllung der DSGVO-Vorgaben an die Informationssicherheit (Art. 32 DSGVO – Sicherheit der Verarbeitung) geprüft werden sollten.

Die Datenschutzgrundverordnung fordert von Unternehmen an sich, die eigenen technischen und organisatorischen Maßnahmen im Rahmen eines strukturierten Prozesses laufend auf ihre Tauglichkeit gemessen an der Risiko-Situation zu prüfen und anzupassen. Neben der in der Unternehmenspraxis dazu bei größeren Organisationen weit verbreiteten Norm zur Informationssicherheit (ISO 27001/27002 und der darauf aufbauenden Norm ISO27701 für das Datenschutz-Management) steht kleineren Unternehmen und Kommunen der Zertifizierungs-Standard ISIS12 zur Verfügung. Der öffentliche Bereich im Bund orientiert sich am IT-Grundschutz-Kompendium des BSI (und dem daran methodisch angelehnten Standard-Datenschutzmodell SDM, dessen Ansatz im Gegensatz zur ISO27001/27002 nicht die Risiko-Perspektive des Unternehmens sondern des Betroffenen einnimmt).

Die Checkliste kann also kein strukturiertes Informationssicherheits-Management ersetzen (und will dies explizit auch nicht), gibt aber gerade kleineren (mit der Befassung beim Thema Informationssicherheit fachlich häufig überforderten) Unternehmen eine praxistaugliche Übersicht an die Hand, welche Themen im Bereich Informationssicherheit adressiert bzw. geprüft werden sollten.

Die Checkliste des Bayerischen Landesamts für Datenschutzaufsicht zu den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO können Sie hier einsehen.