ZAP 23/2020, Sichere Kommunikation in Krisenzeiten per A ... / IV. Beispiele/Praxistipps

Neben anderen Aufsichtsbehörden empfiehlt auch der Landesdatenschutzbeauftragte aus Baden-Württemberg in seinem Beitrag "Datenschutzfreundliche technische Möglichkeiten der Kommunikation" vom 17.4.2020 ( https://www.baden-wuerttemberg.datenschutz.de/datenschutzfreundliche-technische-moeglichkeiten-der-kommunikation/) die Prüfung, ob nicht auf "klassische" Alternativen zurückgegriffen werden kann. Er sieht etwa

• Audio-/Telefonkonferenzen,
• datenschutzfreundliche und sichere Messenger,
• E-Mail (ggf. per Ende-zu-Ende-Verschlüsselung gesichert),
• Text-Chats über datenschutzfreundliche und Ende-zu-Ende-verschlüsselte Plattformen oder auch
• sonstige Werkzeuge zur gleichzeitigen Bearbeitung von Textdokumenten, wie Etherpad, Cryptpad oder Nextcloud,

jeweils als gute, weil datenschutzfreundlichere Alternative an.

Zudem gebe es ja auch noch sog. On-Premise-Lösungen, also Systeme, die in Eigenregie etwa auf Servern in Deutschland betrieben werden können. Dazu zählen Lösungen, wie Nextcloud Talk, BigBlueButton oder Jitsi Meet. Die Vorteile hierbei liegen auf der Hand: Es sind keine Drittanbieter beteiligt und eine eigene Wunschkonfiguration ist möglich. Allerdings besteht hierbei auch immer ein hoher Administrationsaufwand und es gibt teilweise Performanceprobleme.

In Bezug auf den Einsatz von Messengern ist vorab klarzustellen, dass WhatsApp für die anwaltliche Nutzung tabu sein sollte. Dies hat in erster Linie datenschutz-, aber auch berufsrechtliche und wegen § 203 StGB sogar strafrechtliche Gründe. Allerdings können z.B. Signal oder Threema zur Kommunikation mit Mandanten, Kollegen oder sonstigen Dritten genutzt werden. Bei der Nutzung von Messengerdiensten sollten allerdings die folgenden Punkte Berücksichtigung finden:

• Inhalte sowie Anhänge (z.B. PDF-Dateien) durch Transport- und Ende-zu-Ende-Verschlüsselung nach dem Stand der Technik gesichert,
• keine Verwendung oder Weitergabe der Verkehrsdaten (wer wann mit wem kommuniziert) an bzw. durch Anbieter z.B. für Zwecke wie Werbung oder Profiling,
• ggf. Einsatz einer Mobile-Device-Management Lösung (MDM),
• Transparente Information der Nutzer,
• Einhaltung der DSGVO-Vorgaben,
• Datenschutzgerechte Voreinstellungen (Art. 25 Abs. 2 DSGVO) der Applikation,
• Nutzung der Applikation möglich, ohne die im Adressbuch vorhandenen Kontaktdaten für Zwecke des Anbieters oder Dritter an den Anbieter zu übermitteln und
• Keine Weiterverwendung einer Nutzer-ID durch den Software-Anbieter.

Praxistipp:

In Bezug auf Video-Konferenzen bzw. Online-Besprechungen hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ebenfalls ein paar nützliche Tipps zusammengestellt:

• Auftragsverarbeitungsvertrag mit dem Anbieter gem. Art. 28 DSGVO,
• Bei Anbietern in unsicheren Drittstaaten sind geeignete Garantien Pflicht (z.B. EU-Standardvertragsklauseln),
• Verwendung einer Transportverschlüsselung (z.B. TLS) nach dem Stand der Technik,
• Verwendung einer Ende-zu-Ende-Verschlüsselung (falls möglich),
• Zugangsschutz zu Konferenzräumen über Passwörter oder individuelle Einladungslinks,
• Keine Aufzeichnung der Inhalte durch den Anbieter,
• Konfigurationsmöglichkeiten bei Erhebung von Telemetriedaten durch den Anbieter (Empfehlung: Deaktivierung),
• Keine Aufzeichnung der Videokonferenz durch den Veranstalter ohne Einwilligung der Teilnehmer,
• ggf. Deaktivierung von biometrischen Features, wie Aufmerksamkeitserkennung,
• Regelung, wann und durch wen Screen Sharing (Bildschirmfreigabe) verwendet wird,
• Regelung zu Zweck und Speicherdauer von Chat-Funktionen (z.B. Löschung bei Beendigung der Konferenz),
• Keine Weiterleitung von (unzulässigen) Tracking-Informationen an App-Anbieter,
• ggf. Beteiligung des Datenschutzbeauftragten,
• Hintergrund eines Nutzers kann softwareseitig unscharf gestellt werden (sog. "Blurring")
• Möglichkeit eines virtuellen Warteraumes,
• Existierende Moderator-Funktion zur Steuerung der Konferenz.

Weiterführende Informationen rund um das Thema Video-Konferenz, Online-Besprechung & Co. finden sich in folgenden Materialien:

• GDD: Praxishilfe XVI "Videokonferenzen und Datenschutz" ( https://www.gdd.de/downloads/praxishilfen/gdd-praxishilfe_xvi-videokonferenzen-und-datenschutz )
• BSI: "Kompendium Videokonferenzsystem" ( www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Kompendium-Videokonferenzsysteme.html )
• DSK: "Orientierungshilfe Videokonferenzsysteme" ( https://www.tlfdi.de/mam/tlfdi/gesetze/orientierungshilfen/oh-videokonferenzsysteme_final.pdf )
• ULD: "Plötzlich Videokonferenzen – und nun?" ( https://www.datenschutzzentrum.de/uploads/it/ULD-Ploetzlich-Videokonferenzen.pdf )
• Digitalcourage: "Videokonferenzen müssen keine Datenschleudern sein" ( https://digitalcourage.de/digitale-selbstverteidigung/videokonferenzen-muessen-keine-datenschleudern-sein )
• BayLDA: "Best Practice Homeoffice" ( https://www.lda.bayern.de/media/best_practise_homeoffice_baylda.pdf )
• Detail-Infos inkl. weiterführender Links und Mustervorlagen für Adobe- und Microsoft-Lösungen ( https://www.rz.uni-wuerzburg.de/dienste/it-recht/it-vertraeg...