Patientenrechtegesetz und Datenschutz in der Praxis

Seit Februar 2013 regelt das Patientenrechtegesetz die rechtliche Beziehung zwischen Patienten und behandelnden Ärzten oder Therapeuten. Wir erläutern Gemeinsamkeiten und Unterschiede zu den Betroffenenrechten und anderen Vorgaben die sich aus der EU-Datenschutz-Grundverordnung (DSGVO) ergeben.

Das Patientenrechtegesetz als Stärkung der Patientenrechte

Vor der Gesetzesnovelle 2013 war es schwierig, sich einen Überblick über Rechte von Patienten gegenüber Ärzten, Krankenhäusern und Krankenkassen zu verschaffen. Die Regelungen waren in verschiedenen Gesetzestexten aus unterschiedlichen Rechtsbereichen verstreut und leiteten sich häufig als sogenanntes Richterrecht aus gesprochenen Urteilen ab.

Das 2013 in Kraft getretene Gesetz zur Verbesserung der Rechte von Patientinnen und Patienten (Patientenrechtegesetz – PatRechteG) bündelt und konkretisiert die unterschiedlichen Regelungen. Es erzeugt damit für die Patienten Transparenz und schafft für die Behandelnden Rechtssicherheit.

Das Patientenrechtegesetz regelt sehr unterschiedliche Bereiche der rechtlichen Beziehung zwischen Patienten und Behandelnden, wie die Ärztehaftung und die Ansprüche des Patienten bei Behandlungsfehlern. Außerdem legt es in mehreren Bereichen die Pflichten von Leistungsträgern, wie den Krankenkassen fest.

Patientenrechtegesetzes und die DSGVO

Als Artikelgesetz erlangten insbesondere die Änderungen des Bürgerlichen Gesetzbuches (BGB) in der Praxis Bekanntheit und Relevanz.  Namentlich wurden die §§ 630 a bis 630 h neu in das BGB aufgenommen. Neben Transparenzpflichten wurden auch spezifische Patientenrechte, allen voran das Akteneinsichtsrecht gestärkt.

Doch durch die nun in der DSGVO verankerten Betroffenenrechte auf Auskunft nach Art. 15 DSGVO ergibt sich in der Praxis mitunter eine Kollision beider Normen. Gleiches ergibt sich auch in Hinblick auf die einseitige Informationspflicht von der DSGVO unterliegenden Gesundheitseinrichtungen nach Art. 12 ff. DSGVO.

Im Folgenden erörtern wir die Unterschiede zwischen Patientenrechtegesetz sowie DSGVO und grenzen die Pflichten für Verantwortliche ab:

Informationspflichten § 630c Abs. 2 bis 4 BGB bzw. Art. 12 Abs. 1 und 13 DSGVO

Ärzte und Therapeuten müssen nach BGB ihre Patienten zu Beginn der Behandlung und, soweit erforderlich, auch im weiteren Verlauf umfassend über sämtliche Umstände aufklären, die für die Behandlung von Bedeutung sind. Dazu gehört die Diagnose, die Therapie und die voraussichtliche Entwicklung des Gesundheitszustands.

Auf Nachfrage oder zur Abwendung gesundheitlicher Risiken hat der Behandelnde den Patienten auf einen möglichen Behandlungsfehler hinzuweisen.

Sobald erkennbar ist, dass die Behandlungskosten nicht vollständig von der Krankenversicherung übernommen werden, ist der Patient in Textform über die voraussichtlichen Kosten zu informieren.

Der Therapeut ist nur in Ausnahmefällen von der Informationspflicht befreit – etwa dann, wenn die Behandlung unaufschiebbar ist oder der Patient ausdrücklich auf eine Aufklärung verzichtet.

Datenschutzrechtlich geht es dagegen um eine Aufklärungspflicht speziell über die den Patienten betreffenden Informationsverarbeitungen. Der datenschutzrechtlich Verantwortliche muss seine Patienten im Vorfeld über sämtliche Datenverarbeitungen und insbesondere Empfänger unterrichten, die im Zuge der Behandlung ebenfalls deren Gesundheitsdaten verarbeiten.

Einwilligung nach § 630d BGB oder Art. 9 Abs. 2 a) DSGVO

Nach BGB ist ein Arzt oder Therapeut ist verpflichtet, vor der Durchführung einer medizinischen Maßnahme die Einwilligung seines Patienten einzuholen. Ist dieser beispielsweise aufgrund seines Gesundheitszustandes nicht in der Lage, die Folgen einer solchen Entscheidung abzuschätzen, ist die Einwilligung eines Berechtigten einzuholen, sofern keine Patientenverfügung vorliegt, in der der Patient seinen Willen bezüglich der betreffenden Maßnahme zuvor festgehalten hat.

Der Patient kann eine Einwilligung jederzeit formlos widerrufen. Es ist keine Angabe von Gründen dafür erforderlich.

Eine Einwilligung für Maßnahmen nach § 630e BGB kann nur dann den Willen des Unterzeichners wiedergeben, wenn davon auszugehen ist, dass dieser tatsächlich darüber informiert war, wozu er sein Einverständnis erklärt. Daher ist eine Einwilligung nur dann gültig, wenn der Patient vorher umfassend und verständlich aufgeklärt worden ist. Die Aufklärung ist mündlich vorzunehmen mit schriftlicher Bestätigung.

Genau hierin ergibt sich in der Praxis oftmals Verwechslungspotenzial mit datenschutzrechtlichen Voraussetzungen. Denn diesbezüglich wird immer nur in die jeweilige Datenverarbeitung, nie in die eigentliche Behandlungsmaßnahme selbst eingewilligt. Oftmals überschneiden sich in der Praxis dann die textuellen Einwilligungserklärungen, wenn die Gesundheitseinrichtung ihren zusätzlichen Aufklärungspflichten in der Einwilligungserklärung nachkommt. Beispielsweise werden oft im Zuge von medizinischen Studien, worin eine für die Regelbehandlung nicht notwendige Gesundheitsdatenverarbeitung stattfinden soll, beide Sachverhalte vermengt. Denn neben der Aufklärung über die eigentliche Maßnahme soll auch die Einwilligung für die damit einhergehende Erhebung von Gesundheitsdaten erteilt werden. Oft wird dann der Fehler begangen, die beiden Sachverhalte nicht ausreichend voneinander zu trennen.

Eine schriftliche Einwilligung sollte nur dort eingeholt werden, wo sie das Gesetz als zwingend erachtet.  Alles andere geht meist zu Lasten der Transparenz für den Einwilligenden. Die Einwilligung des Patienten kann dann nicht mehr ausreichend informiert erfolgen. Gedanklich sollte man im Vorfeld alle Erlaubnistatbestände prüfen, bevor man den vermeintlich einfachen Weg über die Einwilligung wählt. Dort wo beide Erklärungen notwendig sind, sind die Sachverhalte inhaltlich zu trennen.

Dokumentationsverpflichtung nach § 630f BGB und DSGVO-Datenminimierung

Informationen, die für die derzeitige oder künftige Behandlung relevant sind, müssen durch die behandelnde Einrichtung in einer Patientenakte vollumfänglich dokumentiert werden. Dazu zählen die Anamnese, Diagnosen, vorgenommene Untersuchungen und deren Ergebnisse, Befunde, durchgeführte Therapien oder Eingriffe und deren Wirkungen. Außerdem gehen Einwilligungen, Unterlagen über die Aufklärung und Information des Patienten und Ärztebriefe in die Patientenakte ein.

Die Patientenakte kann elektronisch oder in Papierform geführt werden und ist für zehn Jahre nach Abschluss der Behandlung aufzubewahren. Dabei ist der Behandelnde verpflichtet, für eine lückenlose nachvollziehbare Dokumentation Sorge zu tragen: Bei Änderungen von Eintragungen müssen der ursprüngliche Inhalt erkennbar bleiben und der Zeitpunkt sowie der Bearbeiter protokolliert werden. Wird die Patientenakte elektronisch geführt, muss eine manipulationssichere Software verwendet werden.

Als spezialgesetzliche Pflicht, stehen diese Anforderungen dem datenschutzrechtlichen Grundsatz auf Datenminimierung nach Art. 5 Abs. 1 lit c) DSGVO nicht entgegen. Der Schutzzweck der §§ 630a ff. BGB ist, den kompletten Behandlungsverlauf und auch ärztliche Entscheidungen nachvollziehen zu können. Daher sind die damit verbundenen Datenverarbeitungen qua Gesetz auf das notwendige Maß beschränkt, da ihr ein inhärenter Zweck zugunsten des Patienten zugrunde liegt.

Recht auf Einsicht § 630g BGB vs. Recht auf Auskunft Art. 15 DSGVO

In der Praxis wird durch Patienten in der Regel das Einsichtsrecht in die Patientenakte begehrt. Hiernach ergibt sich der Anspruch im Zuge des spezifischen Akteneinsichtsrechts nach Maßgabe des § 630g BGB. Patienten haben also ein Recht darauf, unverzüglich Einsicht in die vollständige, sie betreffende Patientenakte zu haben. Die Einsicht kann nur in besonderen Ausnahmefällen verweigert werden – beispielsweise, wenn dadurch Rechte Dritter verletzt würden oder wenn die begründete Befürchtung besteht, dass der Patient durch die Informationen schwerwiegenden gesundheitlichen Schaden nehmen könnte. Aufzeichnungen über subjektive Eindrücke des Arztes darf dieser aber grundsätzlich nicht geheim halten.

Lehnt ein Arzt eine Einsichtnahme ab, muss er dies plausibel begründen. Im Zweifel sind zunächst Textstellen zu schwärzen, bevor die Einsicht komplett versagt wird.

Der Patient ist am Aufbewahrungsort der Patientenakte Einsicht zu gewähren, nur bei Vorliegen eines wichtigen Grundes kann die Einsicht an einem anderen Ort erfolgen. Daneben kann der Patient gegen Entgelt eine Abschrift der Akte auch in elektronischer anfordern.

Der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO geht weiter und beinhaltet alle Informationen, die über eine Person gespeichert sind. Demnach auch weitergehende Informationen, die nicht zwingend etwas mit der behandlungsspezifischen Dokumentation zu tun haben. Begrenzt wird der Anspruch allerdings auf personenbezogene Daten. Der Anspruch nach Art. 15 beinhaltet ebenfalls ein Recht auf kostenlose Kopie (Absatz 3) und beinhaltet in der Regel auch die vollständige Patientendokumentation, da diese weiterstgehend personenbezogene Inhalte enthält.

Letztlich sind § 630g BGB und Art. 15 DSGVO zwei unterschiedliche Ansprüche mit verschiedenen Zielrichtungen. Ersterer ist ein zivilrechtliches Akteneinsichtsrecht, zweiterer ermöglicht die Ausübung von Persönlichkeitsrechten. Anhand der Akteneinsicht soll beispielsweise die Möglichkeit eines sich anschließenden Arzthaftungsprozesses ermöglicht werden. Der persönlichkeitsrechtliche Anspruch ist auf eine Überprüfung gerichtet, ob alle Datenverarbeitungen rechtmäßig erfolgten oder ob das informationelle Selbstbestimmungsrecht des betroffenen Patienten – beispielsweise durch unbefugte Offenbarung von Gesundheitsdaten an Dritte – verletzt wurde.

Die Motivation ist in beiden Fällen egal, da das Begehren nicht begründet werden muss. Der datenschutzrechtliche Auskunftsanspruch kann allerdings bei offenkundig unbegründeten oder exzessiven Anträgen nach Maßgabe des Art. 12 Abs. 5 DSGVO ausnahmsweise versagt werden. Eine Kostentragungspflicht für die begehrte Kopie der Daten besteht hierbei in der Regel nicht. Dies wird auch nicht von § 630g BGB verdrängt, der ein solches Entgelt für elektronische Abschriften ausdrücklich vorsieht, so das Ergebnis eines Urteils des Landgerichts Dresden.

Im Zweifel lohnt es sich daher genau hinzuschauen und dem Begehren des Patienten bestmöglich zu entsprechen. Pauschal eingeforderte Entgelte für jedwede Auskunftsersuchen sind rechtswidrig. Gesundheitseinrichtungen sollten einen Prozess integrieren, der die Herausgabe von Behandlungsdokumentation zum Gegenstand hat. Darin sollten sich beide Ansprüche und deren Unterschiede wiederfinden.

Fazit

Patientenrechte stellen Gesundheitseinrichtungen nicht selten nicht nur vor bürokratische, sondern auch rechtliche Hürden. Dabei können Anforderungen an die inhaltliche Gestaltung von Erklärungen oftmals leicht übersichtlicher und klarer zugunsten der Patienten formuliert werden. Handwerkliche Fehler findet man insbesondere bei der nicht notwendigen Einholung von Einwilligungen, intransparenter Patienteninformationen sowie Dokumentationspflichten von Behandelnden.

Spätestens wenn es im Einzelfall um die Versagung von Auskunftsansprüchen oder Einsichtsrechte geht, sollten sich Einrichtungen juristisch rückversichern. Bei einer möglichen Kollision von Informationsinteresse des Patienten und Geheimhaltungsinteresse der Gesundheitseinrichtung sollten bei der Abwägung Fehler vermieden werden. Eine belastbare medizinische Dokumentation ist unumgänglich.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

iCloud im Unternehmen

Apple bietet mit iCloud einen umfassenden Dienst an, um Daten von Nutzern extern zu speichern bzw. zu sichern. Dieser Dienst ist für Kunden sicherlich praktisch, aus Compliance- und datenschutzrechtlicher Sicht für Unternehmen allerdings problematisch.

Update, Dezember 2020: Inzwischen bietet Apple mit dem Business Manager-Vertrag eine scheinbar datenschutzkonforme Lösung für Unternehmen an. Dadurch lässt sich zumindest der Kritikpunkt des rein privaten Gebrauchs entkräften. Die restlichen Probleme bleiben hingegen bestehen:

  • Der Begriff der personenbezogenen Daten wird ebenso eigenwillig definiert, wie in den iCloud Nutzungsbedingungen.
  • Apple gibt zwar an, Auftragsverarbeiter zu sein. Jedoch deuten diverse Regelungen im Vertrag nicht darauf hin, dass sich Apple an die Vorgaben des Art. 28 DSGVO halten möchte. Ein Beispiel ist die Rückgabe der Daten nach Vertragsende, in der Apple sich das Recht vorbehält, Daten ohne Herausgabe zu löschen:

„Sie erkennen an und stimmen zu, dass Sie nach Ablauf oder Kündigung dieses Vertrags nicht auf den Dienst zugreifen können und dass Apple sich das Recht vorbehält, den Zugriff auszusetzen oder Daten bzw. Informationen zu löschen, die Sie, Ihre Administratoren, berechtigten Benutzer, berechtigten juristischen Personen oder zugelassenen Benutzer im Zuge Ihrer Nutzung des Diensts gespeichert haben.“

  • Im Vertragstext finden sich noch weitere Beispiele, die im Ergebnis eine Stellung als Auftragsverarbeiter nicht zulassen.
  • Unter Punkt 10.2 findet sich eine „Einwilligung in die Erhebung, Verarbeitung und Nutzung von Daten“. Da es sich hierbei um die personenbezogenen Daten der Nutzer handelt, ist auch eine solche Einwilligung nicht wirksam, da sie nicht von der betroffenen Person selbst abgegeben wurde. Konkret lautet diese Einwilligung im Wortlaut:

„Sie erkennen an und willigen ein in die Erhebung, Verarbeitung, Nutzung und Speicherung von Diagnose-, Technik- und Nutzungsdaten und zugehörigen Informationen, insbesondere eindeutige System- oder Hardwarekennungen, Cookies oder IP-Adressen, Informationen über Ihre Nutzung des Diensts, Ihren MDM-Server, Ihre Geräteregistrierungseinstellungen, Ihre Computer, Ihre Geräte, Ihre System- und Anwendungssoftware sowie andere Software und Peripheriegeräte durch Apple und seine Partner und Vertreter, die regelmäßig erhoben werden, um die Bereitstellung von Diensten im Zusammenhang mit dem Dienst für Sie zu vereinfachen, um Geräte und Dienste von Apple bereitzustellen, zu testen und zu verbessern, für interne Zwecke wie Auditing, Datenanalyse und Recherche zur Verbesserung von Geräten, Diensten und Kundenkommunikation von Apple, um die Bereitstellung von Software und Softwareupdates, Gerätesupport und anderer Dienste für Sie (sofern vorhanden) in Verbindung mit dem Dienst oder etwaiger solcher Software zu vereinfachen, zu Sicherheits- und Accountverwaltungszwecken und um die Einhaltung der Bestimmungen dieses Vertrags zu überprüfen.“

Durch den Apple Business Manager-Vertrag lässt sich zumindest der Kritikpunkt der rein privaten Nutzung beseitigen. Alle anderen datenschutzrechtlichen Probleme bleiben bestehen, weswegen das in diesem Artikel ursprünglich getroffene Fazit Bestand hat.

Die Nutzungsbedingungen für iCloud

Wenn ein Unternehmen Daten in die Cloud verlagern möchte, bietet die iCloud von Apple einen vermeintlich günstigen und praktischen Dienst an. Allerdings lauert bereits in den Nutzungsbedingungen das erste Problem für Unternehmen. Inmitten des Dokuments findet sich folgende Aussage:

„Außerdem stimmst du zu, dass der Dienst nur für den privaten Gebrauch bestimmt ist […].“

Bereits an dieser Stelle hat sich die Thematik für die meisten Unternehmen erledigt. Offiziell darf iCloud aus Apples Sicht nicht in betrieblichem Kontext eingesetzt werden. Daraus ergibt sich auch, dass Apple in diesem Bereich kein Auftragsverarbeiter sein möchte. Im privaten Bereich findet die Datenschutz-Grundverordnung (DSGVO) gem. Art. 2 Abs. 2 lit. c DSGVO keine Anwendung, weswegen auch ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) gem. Art. 28 DSGVO nicht notwendig wird. Da bei der Nutzung im Unternehmen an Apple jedoch personenbezogene Daten übermittelt und dort verarbeitet werden, müsste ein solcher Vertrag abgeschlossen werden.

Apple und der Datenschutz

Das führt uns zum zweiten Problemfeld, dem Datenschutz. Da es sich offiziell lediglich um private und nicht unternehmerische Daten handelt, nimmt sich Apple gewisse Freiheiten. Und die kann kein Unternehmen akzeptieren, ohne sich nicht datenschutzrechtlich angreifbar zu machen.

Während für Unternehmen sicherlich auch Geschäftsgeheimnisse eine gewisse Relevanz aufweisen, sind aus Sicht des Datenschutzes nur personenbezogene Daten interessant. Daher stellt Apple zunächst klar, was unter personenbezogenen Daten verstanden wird. Apple hat hier bereits ein anderes Verständnis als die DSGVO: Während Art. 4 Nr. 1 DSGVO die Identifizierbarkeit einer Person genügen lässt, fallen für Apple nur Daten darunter, die eine Identifikation auch tatsächlich zulassen. Des Weiteren enthalten die Apple-Dokumente des Öfteren die Formulierung „Du willigst ein“ oder „Du stimmst zu“. Darauf wiederum stützt Apple einen Teil der Datenverarbeitung. Derartige Formulierung genügen jedoch nicht den Anforderungen der DSGVO an eine Einwilligung. Art. 7 DSGVO setzt voraus, dass eine Einwilligung informiert abgegeben wird. Das ist gerade nicht der Fall, wenn sie inmitten eines Fließtextes erfolgt. Zudem ist zumindest fraglich, ob nicht auch das Kopplungsverbot greift. Jedenfalls werden laut Datenschutzrichtlinie Daten von Apple für eigene Zwecke verarbeitet und auch an Dritte weitergegeben. Da die Einwilligung jedoch nicht wirksam ist, erfolgt (aus Sicht der DSGVO) eine widerrechtliche Datenverarbeitung. Für Unternehmen kommt erschwerend hinzu, dass sie nicht die Einwilligung für ihre Kunden, Mitarbeiter, etc. abgeben können.

Auch zu bedenken ist, dass Apple nicht alle übertragenen Daten verschlüsselt. Während Dienste wie iMessage und der Schlüsselbund Ende-zu-Ende-verschlüsselt sind, gilt dies nicht für den Kalender oder die Kontakte. Es ist also anzunehmen, dass Apple auch hier personenbezogene Daten zu eigenen Zwecken verarbeitet. Damit kommen bei der Nutzung von iCloud die gleichen Bedenken wie bei der Verwendung von WhatsApp im Unternehmen.

Fazit: Nutzen Sie Alternativen zu iCloud

Nach aktuellem Stand bietet Apple keinen Cloudservice an, der den Anforderungen eines Unternehmens entspricht. Zum einen ist eine Nutzung im Unternehmen von Apple ausdrücklich nicht gewünscht, zum anderen sind die datenschutzrechtlichen Probleme nicht wegzudiskutieren. Vielleicht ist Letzteres der Grund, weswegen Apple seinen Service nicht für Unternehmen anbieten möchte.

Nutzt ein Unternehmen dennoch iCloud, droht aufgrund diverser Datenschutzverstöße die Gefahr einer Beanstandung durch die Aufsichtsbehörde. Schließlich verarbeiten Unternehmen auch die Daten ihrer Mitarbeiter und Kunden, die gerade nicht ohne Weiteres bei einem Dritten gespeichert werden dürfen (Stichwort AV-Vertrag). Glücklicherweise gibt es ausreichend Alternativen, die sowohl aus Compliance- als auch aus Datenschutzsicht die notwendigen Voraussetzungen mitbringen.

Dieser aktualisierte Artikel erschien zuerst am 22. August 2012.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Datenschutz bei Bewerberdaten

Um eine gewünschte Stelle zu erhalten, stellt ein Bewerber dem potenziellen Arbeitgeber umfangreiche und teils sensible Informationen über sich zur Verfügung. Darum muss er darauf vertrauen können, dass mit seinen personenbezogenen Daten verantwortungsbewusst umgegangen wird. Das neue Datenschutzrecht versucht dies durch strenge Regelungen zum Umgang mit Bewerberdaten sicherzustellen. Grundsätzlich müssen Unternehmen Bewerberdaten im gleichen Maße schützen, wie die Daten von Angestellten. Die Neufassung des Bundesdatenschutzgesetzes (BDSG) trägt diesem Umstand auch weiterhin Rechnung. Demnach fallen Bewerber unter dem Beschäftigtenbegriff des § 26 Abs. 1 BDSG.

Welche Daten dürfen von Bewerbern erhoben werden?

Auch bei der Erhebung von Informationen über einen Bewerber gelten die Prinzipen der Datensparsamkeit und Zweckbindung im Sinne der Datenschutz-Grundverordnung (DSGVO). Es dürfen also nur solche personenbezogenen Daten erhoben, gespeichert und verarbeitet werden, die für den vorgesehenen Zweck tatsächlich erforderlich sind. Dies gilt für das Bewerbungsgespräch ebenso wie für die Eingabefelder in Formularen bei einer Online-Bewerbung.

Dabei dürfen nur personenbezogene Informationen abgefragt werden, die für eine Entscheidung über die Begründung des konkreten Beschäftigungsverhältnisses erforderlich sind. Der Begriff der Erforderlichkeit der DSGVO ist sehr eng gefasst. Er schließt keineswegs alle Informationen ein, die für einen Arbeitgeber interessant wären, sondern nur solche Angaben, ohne die eine sachgerechte Entscheidung über eine mögliche Einstellung des Bewerbers unmöglich wäre.

Werden darüber hinaus Daten erhoben, gilt dies als Verletzung des Persönlichkeitsrechts des Bewerbers – selbst dann, wenn er diese Angaben scheinbar freiwillig macht. Bei einer Bewerbungssituation ist von einem Abhängigkeitsverhältnis auszugehen, in der ein Bewerber gegebenenfalls mehr Informationen über sich preisgibt, als ihm eigentlich recht ist, um die gewünschte Stelle zu bekommen. Darum dürfen entsprechende Fragen gar nicht erst gestellt werden.

Beispiel: Werden über ein Bewerberformular auch Hobbys abgefragt, so ist diese Information in aller Regel für ein Auswahlverfahren nicht notwendig. Selbst wenn dies als freiwillige Angabe erhoben wird, ist der Bewerber hier in einer gewissen Zwangslage, so dass er sich ggf. unter Druck gesetzt fühlt, hier etwas anzugeben, um seine Bewerbungschancen zu steigern.

Dürfen von Dritten Informationen über den Bewerber eingeholt werden?

Wie für jede Verarbeitung von personenbezogenen Daten, bedarf es auch im Bewerbungsverfahren einer Rechtgrundlage. Da in aller Regel die Daten direkt beim Bewerber erhoben werden, wird man sich hier auf § 26 Abs. 1 BDSG – der auch für die vorvertraglichen Maßnahmen zur Begründung eines Arbeitsverhältnisses gilt – stützen können.

Allerdings kann es auch vorkommen, dass ein potentieller Arbeitgeber die Daten nicht direkt vom Bewerber, sondern von einem Dritten bekommt. Auch hier gelten wieder die bestehenden Rechtgrundsätze der Datenverarbeitung, also ob die Verarbeitung für die Entscheidungsfindung im Bewerbungsverfahren (unbedingt) notwendig ist. Ein Nachfragen bei dem ehemaligen Vorgesetzten des Bewerbers oder das „Durchleuchten“ des Bewerbers auf beruflichen Social-Media-Plattformen sind sicherlich nicht für die Entscheidungsfindung notwendig, auch wenn aus Arbeitgebersicht durchaus dienlich. Dies ist durch den § 26 Abs. 1 BDSG sicherlich nicht mehr gedeckt.

Will ein Arbeitgeber solche Informationsquellen nutzen, so darf er dies nur dann, wenn der Bewerber ausdrücklich darin eingewilligt hat. Dabei gelten die gleichen Beschränkungen, wie für das direkte Gespräch mit dem Bewerber: Auch über Dritte dürfen nur die Informationen eingeholt werden, die auch als Frage gegenüber dem Kandidaten selbst zulässig wären.

Wie ist die Sicherheit von Bewerberdaten zu gewährleisten?

Speichert und verarbeitet ein Unternehmen personenbezogene Daten, dann ist es auch für deren Sicherheit verantwortlich. Dies gilt selbstverständlich auch für Bewerberdaten. Es müssen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO getroffen werden, die sicherstellen, dass die Daten nicht durch Unberechtigte eingesehen, verändert oder gelöscht werden können.

Besondere Kategorien personenbezogener Daten

Bewerbungsunterlagen enthalten eine Vielzahl von personenbezogenen Daten. Darunter können auch sog. besondere Kategorien von personenbezogenen Daten im Sinne von Art. 9 Abs. 1 DSGVO sein, wie z.B. Daten, die auf die rassische oder ethnische Herkunft von Personen schließen lassen. Dies kann durch sowohl durch ein Bewerberbild als auch durch die Angabe des Geburtsortes geschehen. Auch Gesundheitsdaten können ggf. im Rahmen von Bewerbungsunterlagen vorliegen.

Die Erlaubnis zur Verarbeitung ergibt sich hierbei auch durch die Spezialregelung des § 26 Abs. 3 BDSG, wobei der Verarbeiter, sprich der potentielle Arbeitgeber gem. § 26 Abs. 5 BDSG geeignete Maßnahmen ergreifen muss, um die Grundsätze der Verarbeitung von personenbezogenen Daten gem. Art. 5 DSGVO, also Verarbeitung nach Treu und Glauben, Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung sicherzustellen. Hier gilt es also genau aufzupassen.

Im Rahmen der technisch-organisatorischen Maßnahmen hat der Verarbeiter  beispielsweise sicherzustellen, dass Bewerbungsunterlagen ausschließlich von den verantwortlichen Entscheidern eingesehen, sicher aufbewahrt und nach Ablauf der entsprechenden Fristen gelöscht werden. Es sollte auch sichergestellt werden, dass keine unüberschaubare Anzahl an Kopien durch das Unternehmen kreisen, weil die Bewerbungsunterlagen beispielsweise als E-Mail-Anhang und somit beliebig oft kopierbar und weiterleitbar an mehr Mitarbeiter als absolut notwendig versandt wurden.

Technische Maßnahmen beinhalten unter anderem eine verschlüsselte Datenübermittlung etwa bei Online-Bewerbungen, eine sichere Speicherung und eine ebenso sichere Löschung beziehungsweise Aktenvernichtung, die sicherstellt, dass die Daten nach ihrer Entsorgung nicht wiederherstellbar und somit durch Unbefugte einsehbar sind.

Bewerbung per E-Mail oder Onlineformular

Um die Papierflut bei Bewerbungsunterlagen auf Seiten des Unternehmens zu minimieren und andererseits die Kosten für den Bewerber für die Bewerbungsunterlagen klein zu halten, hat sich in den letzten Jahren der Versand von elektronischen Bewerbungsunterlagen per E-Mail etabliert. Online-Bewerbungen per E-Mail stellen allerding das Unternehmen datenschutzrechtlich immer vor spezielle Herausforderungen. Selbst wenn das Unternehmen eine verschlüsselte E-Mail-Übermittlung (entweder über s/mime oder PGP-Verschlüsselung) anbietet, so ist der Bewerber in den meisten Fällen nicht in der Lage, eine verschlüsselte Mail zu versenden oder zu empfangen. Bewerbungsunterlagen werden also regelmäßig unverschlüsselt per Mail über das Internet versendet.

Auch wenn sich dies insbesondere bei Initiativbewerbungen nicht immer verhindern lässt, sollte das Unternehmen doch auf diese unsichere Übermittlungsmethode hinweisen und Alternativen für den sicheren Versand von Bewerbungsunterlagen anbieten. Ob dies nun der Rückfall auf die papierhafte Bewerbungsmappe ist, sei dahingestellt.

Eine zeitgemäßere Variante ist sicherlich, ein Online-Bewerbertool zur Verfügung zu stellen. Hier kann der Bewerber über eine verschlüsselte Webseite seine Unterlagen hochladen. Gleichzeitig besteht auf diesem Weg die Möglichkeit, den Bewerber – bevor er seine Unterlagen hochgeladen hat – über die Verarbeitung seiner personenbezogenen Daten gem. Art. 13 DSGVO zu informieren. Auch dies ist eine Anforderung, die die verantwortliche Stelle, also das Unternehmen, bei dem sich die betroffene Person bewirbt, zu erfüllen hat.

Was gilt bei der Nutzung von Dienstleistern im Bewerbungsverfahren?

Wenn Sie die Leistungen von externen Unternehmen wie beispielsweise einem strikt weisungsgebundenen Recruiting-Dienstleister in Anspruch nehmen, bleibt Ihr Unternehmen als verantwortliche Stelle für die Sicherheit der Daten verantwortlich. Sie müssen also sicherstellen, dass der Dienstleister datenschutzkonform mit den Bewerberdaten umgeht. Nach Art. 28 DSGVO liegt eine sogenannte Auftragsverarbeitung vor, weil der Dienstleister in Ihrem Auftrag personenbezogene Daten Ihrer Bewerber verarbeitet. In einem solchen Fall ist bereits vor Beginn der Tätigkeit ein Vertrag zur Auftragsverarbeitung zu schließen. Darin wird festgehalten, in welcher Weise der Dienstleister die Sicherheit der verarbeiteten Daten gewährleistet.

Dies ist in aller Regel dann nicht erforderlich, wenn Sie den Recruiter bzw. Headhunter beauftragen, den Auswahlprozess ohne vorgegebene Kriterien, also weisungsfrei in seinem eigenen Namen durchzuführen. In diesem Fall liegt wohl eine sog. Datenweitergabe an Dritte vor.

Der Recruiter seinerseits hat natürlich alle datenschutzrechtlichen Bestimmungen einzuhalten. Für die Weiterleitung der Daten an Sie als Unternehmen ist dann jedoch eine Rechtsgrundlage notwendig. Dies wird im Allgemeinen die die Einwilligung gem. Art. 6 Abs. 1 lit. a) DSGVO des Bewerbers zur Weiterleitung seiner Bewerbung an Sie sein. Durch den Übergang der Bewerberdaten an das Unternehmen wird dieses zum Verantwortlichen und hat somit auch vollumfänglich  die  Sicherheit der Daten und die entsprechenden Betroffenenrechte zu gewährleisten.

Wie lange dürfen Bewerberdaten gespeichert werden?

Als Konsequenz aus der Zweckbindung im Umgang mit personenbezogenen Daten ergibt sich, dass Daten zu löschen sind, sobald der vorgesehene Zweck erfüllt oder entfallen ist. Wenn die ausgeschriebene Stelle besetzt ist, entfällt der Grund für die weitere Speicherung der Bewerbungsdaten.

Es ist jedoch möglich und ratsam, Bewerberdaten von abgelehnten Kandidaten bis zu sechs Monate nach Zusendung der Absage aufzubewahren. Nach § 15 AGG kann ein abgelehnter Bewerber einen Entschädigungsanspruch geltend machen, wenn eine Benachteiligung nach § 7 AGG vorliegt. Um sich gegen einen entsprechenden Vorwurf verteidigen zu können, dürfen Bewerberdaten entsprechend länger aufbewahrt werden. Die Klagefrist beträgt zwei Monate nach Eingang der Ablehnung. Da die Zustellung einer möglichen Klage durch das Gericht ebenfalls einige Zeit in Anspruch nehmen kann, ist eine Aufbewahrungsdauer von bis zu sechs Monaten nach Zusendung der Ablehnung vertretbar.

Dieser aktualisierte Artikel erschien zuerst am 2. Dezember 2012.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Datenschutzprüfungen von Smartphone-Apps

Der Datenschutz kommt bei Smartphone-Apps bisher entscheidend zu kurz: Darüber sind sich Datenschützer weitgehend einig. Das Landesamt für Datenschutzaufsicht in Bayern (LDA) hat daher automatisierte Verfahren entwickelt, um die Anwendungen mit geringem Aufwand auf die Einhaltung der datenschutzrechtlichen Anforderungen hin zu überprüfen.

Problematischer Datenhunger von App-Anbietern

Die Durchsetzung eines akzeptablen Datenschutz-Niveaus bei Smartphone-Apps war bisher relativ schwierig. Die kleinen Programme schienen sich zu schnell in zu unübersichtlicher Menge zu verbreiten. Schließlich gibt es für jede Kleinigkeit im Lebensalltag – vom Feststellen des Sonnenstands bis hin zum Auspusten von Kerzen – inzwischen eine entsprechende Anwendung für mobile Geräte.

Gleichzeitig sind sie relativ einfach und schnell zu beziehen. Zahlreiche Apps werden kostenlos angeboten und sind ohne großen Aufwand über den App Store auf dem Gerät installiert. So gab Apple an, im Jahr 2016 erstmals mehr als zwei Millionen Apps in seinem App Store anzubieten. Auch Googles Play Store bietet aktuell über zwei Millionen Apps zum Download an. Völlig unverhältnismäßig zur Flut der Programme erscheint im Vergleich dazu den meisten Nutzern der Aufwand, eine seitenlange Datenschutzerklärung für jedes Programm durchzulesen und nachzuvollziehen.

Diesen Umstand haben einige Anbieter ausgenutzt, um Daten ihrer Kunden in einem Umfang zu sammeln, der den meisten Nutzern nicht bewusst war. Zwar müssen sich Apps mittlerweile den Zugriff auf Teile des Smartphones oder Tablets vom Nutzer freigeben lassen, aber dabei lassen sich immer wieder Apps Berechtigungen einräumen, die sie für den eigenen Betrieb gar nicht benötigen. Wer kommt schon auf die Idee, dass eine einfache Spiele-App Adressbuchdaten, Standortinformationen, Anruflisten und gespeicherte Bilder auswertet? Wie viele Anwender sind sich darüber im Klaren, dass einige Programme umfangreiche persönliche Daten nicht nur an den Hersteller der Anwendung, sondern gleich an ein Dutzend weiterer Unternehmen weiterleiten? Eine Studie von Forschern der Universität Oxford ergab beispielsweise, dass 42,55 Prozent der Apps im Google Play Store den Facebook-Tracker enthalten. Wie viele Anwender haben einen Überblick darüber, welche App auf welche teils sehr privaten Informationen wie den Inhalt von Textnachrichten oder Fotos zugreift?

Landesbehörde entwickelt automatisiertes Prüfverfahren

Dass seitens der Datenschützer Handlungsbedarf besteht, ist offensichtlich. Das LDA in Bayern prüfte 2013 stichprobenartig 30 Apps und 2014 noch einmal 60 weitere – und fand zahlreiche Verstöße gegen das Datenschutzrecht. Keine App erfüllte die Anforderungen an den Datenschutz. Das Verhalten der Apple- und Android-Apps wurde dabei mithilfe von Methoden aus der IT-Forensik und Erkenntnissen aus aktuellen Forschungsprojekten im Bereich der Mobile Security analysiert.

Untersucht wurden dabei Informationen wie die übermittelten Netzwerkdaten, die beteiligten Datenempfänger, die eingesetzte Verschlüsselung und die Methoden zur Reichweitenmessung.

Worauf sollten App-Anbieter achten?

Die Datenschutz-Grundverordnung (DSGVO) macht auch vor Apps nicht Halt. Daraus ergeben sich unter anderem folgende Erfordernisse:

  • Der Anwender ist vor der erstmaligen Nutzung der App darüber zu informieren, welche seiner personenbezogenen Daten erhoben, zu welchem konkreten Zweck diese genutzt, in welche Länder und an welche genau bestimmten Unternehmen oder sonstigen Stellen diese übermittelt werden. Jede App sollte über eine entsprechende Datenschutzerklärung verfügen, die für den Nutzer schon vor der Installation und beim erstmaligen Start der App einsehbar sein muss. Der Inhalt der Datenschutzerklärung muss darüber hinaus für den Anwender jederzeit abrufbar vorliegen.
  • Die alleinige Existenz einer Datenschutzerklärung ist jedoch nicht ausreichend. Der Anbieter muss nachprüfbar im Rahmen des Möglichen und Zumutbaren sicherstellen, dass der Anwender den Inhalt verstanden hat. Das beinhaltet auch, dass die Erklärung verständlich formuliert und übersichtlich gestaltet ist.
  • Erhebt der Anbieter Daten, die über die gesetzlich geregelten Zwecke beispielsweise zur Durchführung des Rechtsgeschäftes hinaus gehen, ist eine ausdrückliche und freiwillige Einwilligung des betroffenen Nutzers erforderlich. Eine solche Einwilligung muss konkret nennen, welche Daten zu welchen eindeutig definierten Zwecken genutzt werden. Die Erteilung der Einwilligung ist zu protokollieren.
  • Eine Einwilligung ist nur dann gültig, wenn es dem Betroffenen jederzeit möglich ist, diese für die Zukunft zu widerrufen. Der Anbieter muss entsprechende Möglichkeiten und Wege dazu anbieten und ist dazu verpflichtet, den Nutzer ausdrücklich auf sein Widerrufsrecht hinzuweisen.
  • Richten sich Apps an Kinder und Jugendliche unter 16 Jahren, so ist darauf zu achten, dass die Einwilligung der Eltern vorliegen muss, damit personenbezogene Daten verarbeitet werden können.
  • Wird das Nutzerverhalten von der App getrackt, so muss auch hier die Einwilligung vor dem Tracking eingeholt werden. Auch über das Tracking muss in der Datenschutzerklärung informiert werden.
  • Der Anbieter muss geeignete technische Maßnahmen ergreifen, um die Nutzerdaten vor einem Zugriff Dritter zu schützen. Insbesondere muss eine verschlüsselte Datenübermittlung sichergestellt sein. Das LDA Bayern stellt einen Prüfkatalog zur Verfügung, um die Umsetzung der technischen Maßnahmen zu erfassen. Dieser wurde zwar noch nicht auf die Anforderungen der DSGVO aktualisiert, bietet aber dennoch eine wertvolle Auflistung der notwendigen technischen Maßnahmen.
  • Dem Anwender muss die Möglichkeit angeboten werden, Bezahlvorgänge im Zusammenhang mit dem Erwerb oder der Nutzung der App, soweit möglich und zumutbar, anonym oder unter Pseudonym zu tätigen.
  • Anbieter sollten die Einhaltung der datenschutzrechtlichen Bestimmungen sowohl im Hinblick auf den Datenfluss im Rahmen der eigentlichen Anwendung als auch der Reichweitenanalyse kontrollieren. Das LDA nennt diesen Bereich explizit als einen Gegenstand seiner Prüfungen.
  • Der Anbieter ist dazu verpflichtet, sich gegenüber dem Nutzer eindeutig kenntlich zu machen. Daher sollten Apps nicht nur über ein ordnungsgemäßes Impressum verfügen. Der für die Datenverarbeitung verantwortliche Anbieter muss auch in der Datenschutzerklärung erwähnt werden.

Für App-Entwickler und -anbieter hat der Düsseldorfer Kreis einen Leitfaden herausgegeben, damit der Datenschutz bereits in der Planungsphase berücksichtigt werden kann. Aktuell gibt es zwar keine Fassung, welche konkret auf die DSGVO zugeschnitten wurde, allerdings gibt der Leitfaden wichtige Anhaltspunkte über zu berücksichtigende Aspekte bei der App-Entwicklung.

Dieser aktualisierte Artikel wurde zuerst am 24. April 2013 veröffentlicht.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Datenschutzkonforme Internetwerbung für Kinder und Jugendliche

Kinder und Jugendliche sind eine stark umworbene Zielgruppe für Werbung – insbesondere online. Denn Minderjährige verfügen nicht nur selbst über eine gewisse Kaufkraft, sondern beeinflussen in beachtlichem Maße auch Kaufentscheidungen der Erwachsenen in ihrem Umfeld. Der Gesetzgeber stellt Kinder und Jugendliche jedoch unter einen besonderen Schutz, weshalb bei allen Erhebungen und Verarbeitungen personenbezogener Daten von Minderjährigen besondere Datenschutzregeln gelten.

Warum gelten für Minderjährige zusätzliche Datenschutzvorgaben?

Marketing bzw. Werbung soll zum einen die Kaufentscheidungen von Kindern und Jugendlichen bzw. der zugehörigen Erwachsenen beeinflussen. Zum anderen wird versucht, junge Menschen so früh wie möglich an Marken zu binden, um in ihnen im Erwachsenenalter treue Kunden zu haben. Darum entwickeln Unternehmen spezielle Strategien, um insbesondere Kinder und Jugendliche so tief wie möglich beeinflussen zu können. Sehr begeisterungsfähig und selten kritisch, bilden diese schließlich eine denkbar attraktive Zielgruppe.

Werbung will Wünsche wecken und die Konsumenten dazu in eine Fantasiewelt entführen, wo ihnen teilweise wahre Wunder versprochen werden. Erwachsene können zwischen diesen Fantasien und der Realität unterscheiden. Kinder besitzen die nötige kritische Unterscheidungsfähigkeit dagegen zunächst überhaupt nicht, sondern bilden diese erst nach und nach aus.

Insbesondere im Internet fällt es Kindern schwer, Werbung als solche zu identifizieren. Hier tarnt sie sich in kostenlosen Online-Games, Gewinnspielen, Kinderklubs und vermeintlichen „Empfehlungen“ von Freunden in sozialen Netzwerken.

Es ist auch unklar, ab wann Minderjährige vollumfänglich verstehen, was es bedeutet, wenn sie eine Einwilligungserklärung abgeben, um Zugang zum gewünschten Ziel zu erhalten. Denn selbst für Volljährige sind die Datenschutzbestimmungen in Einwilligungserklärung nicht selten zu kompliziert.

Außerdem setzen Unternehmen im Internet auf stark personalisierte Werbung. Um an die Wünsche und Vorlieben eines konkreten Nutzers angepasste Werbung platzieren zu können, müssen Anbieter ihre Anwender so genau wie möglich kennen. Das artet in einer wahren Datensammelwut aus, die auch vor Kindern und Jugendlichen nicht Halt macht.

Deshalb sieht der Gesetzgeber für Werbetreibende im Umgang mit Minderjährigen besondere Regeln vor. Die Grundlagen dafür finden sich im Gesetz gegen den unlauteren Wettbewerb (UWG), im Telemediengesetz (TMG), im Jugend-Medienschutz-Staatsvertrag (JMStV) sowie in der EU-Datenschutz-Grundverordnung (DSGVO).

Datenschutzvorgaben für Onlineangebote für Minderjährige

Wie können Onlineinhalte und insbesondere Werbung, die sich an Kinder und Jugendlich richten, also so gestaltet werden, dass sie datenschutzrechtliche Kriterien erfüllen? Auf folgende Punkte sollten Sie besonders achten:

Datenvermeidung und Datensparsamkeit

Art. 5 Abs. 1 lit c) DSGVO nennt die Prinzipien der Datenvermeidung und Datensparsamkeit mit der zentralen Fragestellung: Welche Daten brauche ich, um den angebotenen Dienst erbringen zu können? Nicht wenige Anbieter beantworten diese Frage mit „so viel wie möglich“. Je mehr man weiß, umso besser kann man seine Leistung schließlich an einen Nutzer anpassen. Aber auch schon bei erwachsenen Anwendern hat das Gesetz eine strenge Definition der Erforderlichkeit einer Datenerhebung.

Das bedeutet: erforderlich sind nur diejenigen Daten, ohne deren Kenntnis die Bereitstellung der Dienstleistung nicht möglich wäre. Erst recht bei Angeboten für Kinder dürfen darüber hinaus keine Daten erhoben werden.

Das TMG konkretisiert in § 13 Abs. 6, dass die Nutzung von Onlineangeboten und deren Bezahlung soweit möglich und zumutbar anonym oder unter Nutzung eines Pseudonyms ermöglicht werden muss. Für die meisten Dienste reicht die Angabe einer E-Mail-Adresse völlig aus. Davon, zur Angabe von personenbezogenen Daten von Freunden aufzufordern, sollte völlig abgesehen werden.

Einwilligung

Experten sind sich nicht einig, ab wann Kinder einschätzen können, was es bedeutet, in die Nutzung von persönlichen Daten einzuwilligen. Viele sind der Ansicht, dass dieser Reifeprozess sehr individuell sein kann. Damit eine Einwilligung gültig ist, muss sie informiert und freiwillig erfolgen. Der Betroffene muss umfänglich verstehen, welche Daten genau von ihm erhoben werden und was damit geschieht. Die Information darüber darf also nicht zu übersehen und klar verständlich sein.

Durch Art. 8 Abs. 1 DSGVO wurde nun erstmals ein Mindestalter für Einwilligungen festgelegt. Ein besonderer Schutz soll erst dann nicht mehr notwendig sein, wenn die einwilligende Person das 16. Lebensjahr vollendet hat.

Richtet sich demnach das Angebot direkt an Kinder bzw. Jugendliche, so können diese selbst nur dann eine informierte und freiwillige Einwilligung abgeben, soweit sie das sechzehnte Lebensjahr vollendet haben. Ist dies nicht der Fall, bedarf es der Zustimmung durch die Eltern bzw. deren Beisein.

Hiervon abweichend können die Mitgliedstaaten Regelungen treffen, die das Mindestalter senken. Jedoch darf das Mindestalter nie unter dem vollendeten dreizehnten Lebensjahr liegen. Deutschland hat bisher nicht von dieser Öffnungsklausel der DSGVO Gebrauch gemacht. Anders zum Beispiel Österreich, das in § 4 Abs. 4 DSG (Datenschutzgesetz) ein Mindesteinwilligungsalter von 14 Jahren vorsieht.

Art. 8 DSGVO modifiziert die Anforderungen an eine wirksame Einwilligung nach Art. 7 DSGVO. Alle Voraussetzungen müssen kumulativ vorliegen. Eingegrenzt wird der Anwendungsbereich des Art. 8 DSGVO durch das Erfordernis eines Angebots von Diensten der Informationsgesellschaft. Bezüglich der Begrifflichkeit wird hierzu in Art. 4 Nr. 25 DSGVO auf Art. 1 Nr. 1 lit b) der Richtlinie 2015/1535 verwiesen. Dienst meint dabei jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung. Insbesondere fallen darunter E-Commerce, Streaming-Dienste, der Download von Onlineinhalten, aber auch der Beitritt zu sozialen Netzwerken.

In der Praxis ist vor allem interessant, welche Anforderungen an die Nachweispflicht des Einwilligungsempfängers gestellt werden. Hierzu wird in Art. 8 Abs. 2 DSGVO eine Aussage getroffen. Demnach werden von dem für die Datenverarbeitung Verantwortlichen angemessene Anstrengungen unter Berücksichtigung der verfügbaren Technik abverlangt, um herauszufinden, ob die Einwilligung durch die Eltern oder in deren Beisein erteilt wurde. Hieraus lässt sich der Schluss ziehen, dass ein bloßer Hinweis auf das notwendige Mindestalter vor elektronischer Einholung einer Einwilligung nicht ausreicht. Es empfiehlt sich, stets das Alter abzufragen. Sollte dann die Einwilligung der Eltern eingeholt werden müssen, kann dies z. B. durch Zusendung eines Dokuments oder dem Double-opt-in-Verfahren mit der E-Mail-Adresse der Eltern realisiert werden. Ein wirklich praxistaugliches Legitimationsverfahren besteht jedoch nicht.

Schwierig wird künftig auch zu beurteilen sein, ob sich ein Angebot direkt an ein Kind richtet oder nicht. Dem Wortlaut „direkt“ muss hierbei Rechnung getragen werden. Nicht umfasst werden folglich Angebote, die zwar einen Bezug zu Minderjährigen haben, diese aber nicht direkt ansprechen (z. B. Dienstleistungen und Waren für Kinder, die sich eigentlich auf unbeschränkt geschäftsfähige Personen beziehen). Es ist stets danach zu fragen, ob sich das Angebot typischerweise auch an Kinder richtet bzw. ob dieses regelmäßig von Kindern in Anspruch genommen wird.

Verbot unlauterer und aggressiver geschäftlicher Handlungen

Das UWG spricht in § 3 Abs. 4 und 4a Abs. 2 S. 2 vom Verbot unlauterer und aggressiver geschäftlicher Handlungen. Beide lauterkeitsrechtlichen Vorschriften stellen auch auf das Alter des Adressaten ab. Hierbei darf die geschäftliche Unerfahrenheit aufgrund des Alters nicht durch unlautere oder aggressive Handlungen beeinflusst werden.

Fazit: Die kindgerechte Gestaltung von Onlineinhalten ist möglich

Internetangebote sollten immer so gestaltet sein, dass der Nutzer Herr der Situation und seiner Daten bleibt. Das bedeutet, dass er jederzeit bewusst entscheiden kann, bestimmte Angebote zu nutzen oder nicht – und dafür eindeutig darüber informiert ist, was ihn bei der Nutzung erwartet.

Erst recht bei Kindern ist eine besondere Sorgfalt notwendig, um diese nicht in unfreiwillig entstandene Situationen zu führen. Damit ist nicht nur gemeint, dass Websites und andere Onlineinhalte für Kinder und Jugendliche nicht irreführend gestaltet sein dürfen. Dies beinhaltet unter anderem auch, dass Werbung deutlich erkennbar vom redaktionellen Inhalt getrennt sein muss und Links eindeutig erkennen lassen, zu welchem Ziel sie führen.

Es ist auch notwendig, dass die Informationen, die ein Betreiber zu seinem Angebot bereitstellt – wie etwa die Datenschutzbestimmungen und die Allgemeinen Geschäftsbedingungen – für Kinder verständlich formuliert sind.

Dieser aktualisierte Artikel wurde zuerst am 27. September 2012 veröffentlicht.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Private E-Mail- und Internetnutzung im Unternehmen

Die Versuchung zur privaten Nutzung des betrieblichen E-Mail-Accounts oder des Internetzugangs in der Arbeitszeit ist für Beschäftigte groß. Gerade weil es die Kommunikation bequemer macht und das private Datenvolumen des Smartphones schont, nutzen viele Angestellte die Betriebsmittel zu eigenen Zwecken. Ob damit eine vertragswidrige Zweckentfremdung einhergeht, sollten Arbeitgeber durch Regelungen zur IT-Nutzung klarstellen. Dies bringt zahlreiche weitere Vorteile mit sich, wie unser Praxistipp zeigt.

Private Nutzung des geschäftlichen E-Mail-Accounts

Es sollte eine Selbstverständlichkeit sein, dass Arbeitnehmer ihre Arbeitszeit dafür verwenden, ihren vertraglichen Pflichten nachzukommen. Andernfalls drohen Konsequenzen. Für Arbeitgeber ist es deshalb unter gewissen Umständen zulässig, E-Mails von Mitarbeitern auszuwerten, um eine Pflichtverletzung nachzuweisen und darauf gestützt sogar eine Kündigung auszusprechen.

Selbst die fristlose Kündigung eines langjährig beschäftigten Arbeitnehmers kann gerechtfertigt sein, wenn dieser einen bedeutenden Teil seiner Arbeitszeit für den Austausch privater E-Mails nutzt. So entschied es das Landesarbeitsgericht Niedersachsen in seinem Urteil vom 31. Mai 2010 (AZ: 12 SA 875/09).

Der Arbeitgeber konnte nachweisen, dass der Kläger in einem Zeitraum von sieben Wochen mehrere Stunden pro Arbeitstag mit dem Schreiben privater E-Mails verbrachte. Die dem Kläger im betreffenden Zeitraum zugegangenen E-Mails umfassten im konkreten Fall fast 800 DIN A4-Seiten.

Die private Nutzung der Dienst-IT war zwar nicht ausdrücklich geregelt, eine Dienstanweisung aus dem Jahr 1997 gab aber vor, dass das Unterbrechen der Arbeitszeit zur Erledigung privater Angelegenheiten nicht erlaubt sei.

Problematisch war auch, dass der Arbeitgeber es in der Vergangenheit geduldet hatte, dass sein E-Mailsystem zumindest in den Pausen für private Zwecke genutzt wurde. Mit einer eindeutigen Regelung zur E-Mail-Nutzung wäre es vielleicht gar nicht erst zum Prozess gekommen, da dem Arbeitnehmer seine unmittelbare Pflicht zur Unterlassung bewusst gewesen wäre.

Private Nutzung des geschäftlichen Internetzugangs

In einer Zeit, in der viele Angestellte mit eigenen Smartphones surfen und mit Whatsapp kommunizieren, ist die Anziehung des geschäftlichen E-Mail-Accounts hinter die der Internetnutzung über den arbeitgebereigenen Zugang gefallen. Die private Nutzung des geschäftlichen Internetzugangs ist jedoch ein großer Produktivitätskiller, Grund vieler Abmahnungen und begründet deutliche Einbußen für den Arbeitgeber bei Missbrauch.

Zum Vorteil der Arbeitgeberseite hat das Bundesarbeitsgericht schon 2005 entschieden, dass die private Nutzung des Internets während der Arbeitszeit eine Verletzung der arbeitsvertraglichen Pflichten darstellen kann (BAG, Urteil vom 7. Juli 2005, AZ: 2 AZR 581/04). Genauer gesagt befand das Gericht, dass die private Nutzung des Internets die Erbringung der arbeitsvertraglich geschuldeten Arbeitsleistung nicht erheblich beeinträchtigen darf. Die Pflichtverletzung wiegt dabei umso schwerer, je mehr der Arbeitnehmer bei der privaten Nutzung des Internets seine Arbeitspflichten in zeitlicher und inhaltlicher Hinsicht vernachlässigt. Letztlich wurde durch das Gericht sogar festgestellt, dass im Falle einer exzessiven Privatnutzung des Internets während der Arbeitszeit es keiner Abmahnung vor der Kündigung bedarf.

Doch was ist genau mit einer „erheblichen“ Beeinträchtigung oder „exzessiven“ Privatnutzung gemeint? Rechtliche Unsicherheit bleibt bestehen, da diese Begriffe großen Interpretationsspielraum zulassen. Erschwerend kommt hinzu, dass dem Arbeitgeber grundsätzlich kein Kontroll- und Einsichtsrecht bei Internetaktivitäten von Mitarbeitern zusteht, weil er als Dienstanbieter gemäß TKG gilt. Um für beide Seiten Sicherheit zu schaffen und dem Arbeitgeber Kontrollmöglichkeiten einzuräumen, ist deshalb eine Richtlinie zur IT-Nutzung hilfreich.

Richtlinie zur IT-Nutzung bringt Klarheit

Rechtliche Sicherheit für Arbeitgeber und Gewissheit für Arbeitnehmer lässt sich durch eine Richtlinie zur IT-Nutzung schaffen. Indem klar vorgegeben wird, was dem Arbeitnehmer erlaubt ist und was nicht, können Streitfälle vermieden werden. Zudem sind Übertritte durch Arbeitnehmer leichter zu ahnden, weil die Grenzen deutlich abgesteckt wurden.

Die Richtlinie zur IT-Nutzung sollte den privaten Gebrauch der geschäftlichen E-Mail ausschließen. Dies maximiert zum einen die Arbeitszeit, zum anderen birgt das Verbot praktische Vorteile: Wenn etwa ein Mitarbeiter kurzfristig erkrankt, kann der Arbeitgeber dem Vertreter erlauben, das E-Mail-Postfach einzusehen, da sich dank des Verbots keine privaten Daten darin befinden.

Ein anderer Fall ist ein Mitarbeiter, der das Unternehmen im Schlechten verlässt. Sollte die private Nutzung nicht ausgeschlossen sein, könnte der Ex-Mitarbeiter den Arbeitgeber durch die Abwesenheit einer Rechtsgrundlage (Art. 6 Abs. 1 DSGVO) vom Zugriff auf die E-Mails hindern.

In manchen Berufen kann der Browserverlauf eines Mitarbeiters eine Information sein, mit der die Krankheitsvertretung arbeiten muss. Wurde die private Nutzung nicht ausgeschlossen oder nicht wenigstens auf Pausenzeiten begrenzt, kann das Fernmeldegeheimnis bzw. das Bundesdatenschutzgesetz (BDSG) den Arbeitgeber hindern, den Verlauf einzusehen.

Einige praktische Hinweise bei Einführung einer Richtlinie zur IT-Nutzung:

  • Auch wenn Sie private Internet- und E-Mailnutzung schriftlich verboten/eingeschränkt haben, kann eine faktische Duldung Ihre Richtlinie arbeitsrechtlich unwirksam machen.
  • Das Recht des Arbeitnehmers auf Privatsphäre kann die berechtigten Interessen des Arbeitgebers zur Überwachung überwiegen. Deshalb ist trotz Ausschluss der privaten Internet- und E-Mail-Nutzung darauf hinzuweisen, dass stichprobenhafte Kontrollen durch den Arbeitgeber durchgeführt werden. Dies ist mit dem jüngsten Urteil des EGMR vom 5. September 2017 im Einklang und berücksichtigt die neusten Tendenzen in der europäischen Rechtslandschaft.
  • Sofern Sie die Internetnutzung in Pausenzeiten erlauben, holen Sie eine DSGVO-konforme Einwilligung ein, damit Sie die Einhaltung kontrollieren können.
  • Sie sollten sich die Kenntnisnahme der IT-Nutzungsrichtlinie von allen Mitarbeitern unterschreiben lassen.
  • Legen Sie Arbeitnehmern die Richtlinie jährlich zur Erinnerung vor.
  • Klären Sie Arbeitnehmer darüber auf, welche Sanktionen bei Zuwiderhandlungen drohen.
  • Treffen Sie Regelungen zu „Bring-your-own-device“ (BYOD), weil arbeitnehmereigene Geräte die interne Informationssicherheit in der Regel unterwandern.

Dieser aktualisierte Artikel wurde zuerst am 18. April 2011 veröffentlicht.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Sicherer Umgang mit mobilen Endgeräten im Unternehmen

Mobile Endgeräte wie Smartphones oder Tablets ermöglichen mit ihren zugehörigen Anwendungen ein ortsunabhängiges Arbeiten. Viele Unternehmer sind sich jedoch selten der erheblichen Risiken für den Datenschutz bewusst, die der Einsatz mobiler Endgeräte in der Praxis mit sich bringt.

Datenschutzprobleme resultieren sehr oft aus der Nutzung von Dienstprogrammen (Apps), die automatisiert und vom Nutzer unentdeckt auf die Datenbanken des Geräts zugreifen. Darüber hinaus besteht die Gefahr, dass sensible Daten ungewollt das Unternehmen verlassen, wenn mobile Endgeräte abhanden kommen. Damit sind auch Haftungsrisiken der Unternehmensleitung verbunden. Um diese zu vermeidenl, ist es unerlässlich, Regelungen im technischen und organisatorischen Bereich zu treffen.

Der konkrete Regelungsbedarf orientiert sich daran, um welche Art von mobilen Endgeräten es sich handelt, die das Unternehmen dem Mitarbeiter überlässt. Bei den sogenannten “nicht intelligenten mobilen Endgeräten”, zu denen externe Datenträger und Speichermedien zählen, sind die Sicherheitsrisiken für gewöhnlich mittels technischer Vorkehrungen gut kontrollierbar. Durch die Sperrung von USB-Ports oder den Einsatz von Virenschutzprogrammen lassen sich die Risiken wesentlich minimieren.

Ein sicherer und datenschutzkonformer Umgang mit sogenannten “intelligenten Mobilgeräten” wie Notebooks, Tablets und Smartphones erfordert dagegen vor der Ausgabe und Inbetriebnahme der Geräte die Festlegung einer Nutzungsrichtlinie. Wegen der unterschiedlichen Nutzungsmöglichkeiten ist eine Rahmenregelung nicht sinnvoll. Mobile Endgeräte lassen sich in die Untergruppen der “Notebooks und Laptops” sowie “Tablets und Smartphones” einteilen. Es empfiehlt sich, für jede Untergruppe jeweils eine eigene Richtlinie zu erstellen.

Klare Regeln für die dienstliche Nutzung von mobilen Geräten

Allein durch technische Maßnahmen ein ausreichendes Sicherheitsniveau herstellen zu wollen, würde zu kurz greifen. Außerdem würde das Bemühen, jedes mögliche Risiko durch entsprechende technische Schranken zu beheben, die Mitarbeiter unangemessen in ihrer praxisgerechten Nutzung der mobilen Geräte einschränken. Sinnvoller ist es, die Mitarbeiter über den sicheren Umgang mit mobilen Geräten aufzuklären und verbindliche Regeln für die Bereiche aufzustellen, die durch rein technische Mittel nicht praktikabel abzusichern sind. Die Aufgabe des betrieblichen Datenschutzbeauftragten ist es, die Unternehmensleitung dabei zu unterstützen, ein solches Regelwerk zu entwickeln, das dem Risiko angemessen und zugleich für die Mitarbeiter nachvollziehbar und praktikabel ist.

Eine solche Richtlinie zum sicheren Umgang mit mobilen Geräten sollte insbesondere folgende Aspekte berücksichtigen:

Zentrale Verwaltung

Es ist empfehlenswert, die unternehmenseigene IT-Abteilung als die verantwortliche Stelle für die Verwaltung vorzusehen und sie mit der Unterstützung der technischen Umsetzung zu betrauen, wie der Durchführung der Vorkonfiguration der Geräte, der Aktivierung der Sicherheitsfunktionen, der Installation von geprüften Apps und der Ausgabe der Geräte.

Dokumentation

Um nicht Gefahr zu laufen, die Übersicht über die ausgegebenen Geräte zu verlieren, ist die Ausgabe an den Mitarbeiter in einer Inventarliste zu dokumentieren und vom Mitarbeiter per Unterschrift zu bestätigen. Ferner sollten in dem Formular weitere Informationen über das ausgegebene Gerät (Gerätehersteller und -typ), die zugeordnete Rufnummer und die Spezifikationen des Geräts (Version des Betriebssystems, Patch-Level, verwendete und zugelassene Apps) festgehalten werden.

Zentrale Rücknahme und datenschutzkonforme Vernichtung

Dadurch soll sichergestellt werden, dass sich bei einer etwaigen Weitergabe der Geräte nach deren Rückgabe keine personenbezogenen Daten mehr auf dem Gerät befinden und eine Wiederherstellung ausgeschlossen ist.

Maßnahmen bei Verlust

Um einen unbefugten Zugriff durch Dritte zu vermeiden, sind technische und organisatorische Maßnahmen für den Fall eines Verlustes zu treffen. Auf der technischen Seite besteht die Möglichkeit, eine zentrale Sperrung (Remote-Lock-Funktion) oder eine zentrale Löschung (Remote-Wipe-Funktion) einzurichten. Empfehlenswert ist es, zusätzlich eine ständige Verschlüsselung beim Abspeichern sämtlicher Daten vorzusehen. Auf der organisatorischen Seite ist die Einrichtung einer Hotline sinnvoll, an die ein Verlust des Gerätes gemeldet werden kann. Auf jeden Fall ist der Mitarbeiter angehalten, den betrieblichen Datenschutzbeauftragten über den Verlust in Kenntnis zu setzen, damit dieser die Art und Weise einer Datenschutzverletzung beurteilen kann und ggfs. erforderliche Maßnahmen nach § 42 a BDSG einleiten kann, falls die Daten für Unberechtigte zugänglich wurden.

Wir beraten Sie gerne bei der Ausgestaltung der erforderlichen Maßnahmen, um einen sicheren Umgang mit mobilen Endgeräten zu gewährleisten. Die Herausforderungen, die sich bei einer beruflichen Nutzung privater Geräte ergeben (Stichwort: Bring Your Own Device) sind in einem gesonderten Blog-Eintrag dargestellt: Bring Your Own Device: So begegnen Sie den Herausforderungen

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Datenschutz beim Einsatz von RFID-Chips

Unternehmen und Behörden dürfen RFID-Chips nur nach einer Datenschutz-Folgenabschätzung (DSFA) einsetzen. Bereits seit 2011 gilt eine Selbstverpflichtung, wodurch für Unternehmen Rechtssicherheit bei Investitionen in die RFID-Technik geschaffen wurde. Seit 2018 ist die Pflicht zur Datenschutz-Folgenabschätzung sogar gesetzlich in der Datenschutz-Grundverordnung (DSGVO) verankert.

Datenschutzbedenken bei der RFID-Technik

RFID-Chips sind vor allem aus der modernen Logistik nicht mehr wegzudenken. Aber sie werden nicht nur beim Warentransport eingesetzt, sondern auch in Ausweisdokumenten, bei elektronischen Bezahlverfahren sowie zur Kennzeichnung von Fahrzeugen oder Nutztieren. Weil mit der RFID-Technik Daten berührungslos, unauffällig und zuverlässig übertragen werden können, wachsen die Anwendungsgebiete beständig.

Es verwundert allerdings nicht, dass die RFID-Technik nicht nur Begeisterung hervorruft, sondern auch Besorgnis erregt. Wer die Vorteile der kleinen Chips nutzen möchte, kann nicht darauf verzichten, die Datenschutzbedenken von Kunden, Mitarbeitern und Behörden zu berücksichtigen.

Um für Rechtssicherheit zu sorgen, hat sich die Wirtschaft daher bereits 2011 gegenüber der EU-Kommission dazu verpflichtet, für jede RFID-Anwendung vor deren Inbetriebnahme eine so genannte Datenschutz-Folgenabschätzung durchzuführen. Dabei werden mögliche Datenschutz-Risiken in Zusammenhang mit dem RFID-Projekt sowie die jeweilige Eintrittswahrscheinlichkeit für die Risiken ermittelt. Erst wenn geeignete Vorkehrungen zur Abwendung aller bestehenden Risiken definiert und eingeleitet worden sind, darf die Anwendung in Betrieb genommen werden.

Die Vorgehensweise für die Folgenabschätzung ist im „Privacy Impact Assessment Framework“ (PIA) festgeschrieben.

Beim Einsatz von RFID folgt die Pflicht zur DSFA schnell aus der DSGVO

Seit Anwendbarkeit der DSGVO regelt Art. 35 DSGVO regelt die Datenschutz-Folgenabschätzung. Er sieht eine DSFA in den Fällen vor, in denen eine Verarbeitung ein hohes Risiko für Betroffene darstellen kann. Zur konkreten Anwendung dieser offen formulierten Pflicht sind die Aufsichtsbehörden gehalten, Listen mit Verfahren herauszugeben, die zwingend der DSFA unterliegen (siehe die Blacklist der DSK für DSFA).

Sieht man sich diese Liste an, landet man beim Einsatz von RFID je nach Einsatzszenario schnell Treffer:

  • Umfangreiche Verarbeitung von personenbezogenen Daten über den Aufenthalt von Menschen
  • Zusammenführung von personenbezogenen Daten aus verschiedenen Quellen und Weiterverarbeitung der Daten zu bestimmten Zwecken
  • Erfassung personenbezogener Daten in öffentlichen Bereichen durch mehrere Erfassungssysteme, die zentral zusammengeführt werden
  • Umfangreiche Erhebung, Veröffentlichung oder Übermittlung von personenbezogenen Daten zur Bewertung von Verhalten oder anderer persönlicher Aspekte von Menschen
  • Verarbeitung von personenbezogenen Daten über das Verhalten von Beschäftigten
  • Erstellung von Profilen über Interessen und persönliche Beziehungen sowie Persönlichkeit von Menschen
  • Erhebung personenbezogener Daten über Schnittstellen elektronischer Geräte ohne Kenntnis des Betroffenen
  • Erstellung umfassender Profile über Bewegung und Kaufverhalten von Personen

Die DSGVO erzeugt damit im Zweifel ohnehin die Pflicht, eine DSFA vor dem Einsatz von RFID-Chips durchzuführen. Die Selbstverpflichtung war vorausschauend, ist nun aber gar nicht mehr notwendig, da die Pflicht nun direkt aus dem Datenschutzrecht folgt.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Datenschutz bei WLAN Zugängen von Gästen

Viele Unternehmen bieten den Gästen Ihres Hauses als Service einen kostenlosen WLAN-Zugang an. Aus rechtlicher Sicht ist dies nicht ganz unbedenklich, da das Unternehmen für rechtswidrige Handlungen verantwortlich ist, die über diesen WLAN-Anschluss begangen werden. Unternehmen sollten daher darauf achten, stets individuelle Zugangskennungen zu vergeben.

Die Sicherung des WLAN-Anschlusses

Derzeit werden die Forderungen, nach einer Lockerung der Haftung für WLAN-Anschlüsse immer lauter. Nichts desto trotz haftet nach aktueller Rechtslage noch der Anschlussinhaber grundsätzlich für alle rechtswidrigen Handlungen, die über dessen Internetanschluss begangen werden. Dies gilt selbstverständlich auch für Internetanschlüsse eines Unternehmens.

Primär haftet zwar derjenige, der die rechtswidrige Handlung tatsächlich begangen hat. Diese Person herauszufinden ist jedoch meistens sehr schwierig, da die die Rückverfolgung der IP-Adresse durch den Provider nur bis zum „Unternehmenstor“ möglich ist. Deshalb wird im Regelfall die Suche des Schuldigen auf den Anschlussinhaber beschränkt, da dieser ja auch in Anspruch genommen werden kann.

Um der Haftung zu entgehen, sollte ein Unternehmen seinen WLAN-Anschluss zwingend verschlüsseln. Dabei ist die zur Zeit der Einrichtung des WLANs sicherste Verschlüsselungsmethode zu wählen, derzeit ist dies WPA2. Notwendig ist es zudem, die Verschlüsselungsmethode ständig aktuell zu halten und stets dem technischen Fortschritt anzupassen. Von ungesicherten WLAN-Netzwerken ist dringend abzuraten.

Individuelle Kennungen der WLAN-Zugänge

Daneben sollten auch stets individuelle Kennungen vergeben werden. Diese haben zumindest einen psychologischen Effekt, denn ein Nutzer mit individuellem Zugang dürfte wohl gehemmter sein, rechtswidrige Taten zu begehen, als ein Nutzer mit einer Gruppenkennung. Eine Aufzeichnung der Zuordnung der Accounts zu den Nutzern ist aus datenschutzrechtlicher Sicht problematisch, weshalb vor Speicherung der Daten eine Einwilligung eingeholt werden sollte.

Das Mitloggen der Aktivitäten der einzelnen Nutzeraccounts ist technisch zwar grundsätzlich möglich, jedoch kommt den Log-Files in der Praxis kein hoher Beweiswert zu, weshalb dies nicht zwingend nötig erscheint. Auch können hier datenschutzrechtliche Probleme entstehen, wenn die Nutzeraccounts einzelnen Personen zugeordnet werden können.

Ebenso besteht für die Unternehmen die Möglichkeit, bestimmte Ports zu sperren, beispielsweise die typischerweise für Filesharing verwendeten Ports. Auch eine Beschränkung der Bandbreite ist möglich.
Die Nutzer sollten hierüber jedoch vorab informiert werden.

Wesentlich wichtiger ist jedoch, die Nutzer ausdrücklich darauf hinzuweisen, dass bei der Nutzung des Accounts keinerlei rechtswidrige Handlungen begangen werden dürfen. Aus Gründen der Nachweisbarkeit sollte der Hinweis nicht nur öffentlich ausgehängt werden, sondern von den Nutzern vor der WLAN-Nutzung durch Anklicken bestätigt werden müssen.

Eine 100%ige Sicherheit, nicht haften zu müssen, können jedoch auch diese Maßnahmen nicht gewährleisten, da es derzeit kein Patenzrezept für ein rechtskonformes öffentliches WLAN gibt.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Dropbox: Datenschutz und Datensicherheit

An der Dropbox scheiden sich die Gemüter: Wer schon eimal ausprobiert hat, wie praktisch das Tool für die tägliche Arbeit ist, will kaum wieder darauf verzichten. Andererseits ist nach zahlreichen Negativschlagzeilen immer ein mulmiges Gefühl dabei, wenn man an die Sicherheit der Daten denkt, die man dem Unternehmen anvertraut. Sie müssen aber nicht auf die Vorteile der Dropbox verzichten, wenn Sie mit eigenen Maßnahmen für die Sicherheit ihrer persönlichen Daten sorgen.

Im Web-Interface von Dropbox kann man Dateien hochladen, kopieren, umbenennen und mit anderen teilen. Kopiert man Dateien in diesen Ordner, sind diese für von überall über den Browser abrufbar.

Die eigentliche Stärke von Dropbox liegt aber in der Integration ins Betriebssystem. Dropbox lässt sich in Mac OS X, in Windows und in Linux integrieren und ist damit sehr einfach zu benutzen. In der Stärke liegt aber auch zugleich die große Schwäche.

Wird nun eine Datei von jemanden hochgeladen, dann prüft Dropbox, ob diese Datei bereits von jemand anderem hochgeladen wurde. Existiert eine Datei mit der Prüfsumme, dem passenden Datum und Namen schon auf den Servern von Dropbox, dann muß Dropbox die eigentliche Datei gar nicht mehr bekommen, denn Dropbox hat ja bereits passende Daten. Es genügt also serverseitig, die Datei auf dem Dropbox-Server für diesen Kunden sichtbar zu machen. Das ist schnell, spart Bandbreite und für Dropbox spart es Speicherplatz.

Durch die Installation des Dropbox-Clients wird auf dem Rechner ein neuer Ordner erstellt: die Dropbox. Alle darin gespeicherten Dateien werden auf einen zentralen Server kopiert. Bei Änderungen innerhalb einer Datei werden nur die geänderten Bereiche übertragen. Als zentrales Speichersystem wird hierbei S3 von Amazon verwendet. Serverseitig werden die Dateien mit einer AES-Verschlüsselung versehen. Die Nutzer können für diese Verschlüsselung keine eigenen Schlüssel anlegen.

Bis vor einiger Zeit hatten die Betreiber von Dropbox noch behauptet, dass die hochgeladenen Dateien von niemandem eingesehen werden könnten und somit die anvertraute Daten sicherer seien als auf dem eigenen Computer. Nach einer massiven Datenpanne ist das Unternehmen vorsichtiger mit solchen Aussagen geworden.

Wenn aber Dropbox schon staatlichen Behörden uneingeschränkten Zugang zu den Daten der Kunden gestattet, sollte man generell skeptisch sein. Jetzt hat sich aber auch noch das Onlinemagazin Weird bei der amerikanischen Handelsbehörde Federal Trade Commision (FTC) über das Geschäftsgebaren und den offensichtlich mangelhaften Datenschutz bei Dropbox beschwert, wie hier im PDF dokumentiert ist.

Dropbox selbst ist aktuell auch nicht nach gängigen internationalen Normen zertifiziert. Auf der Webseite sagt das Unternehmen dazu folgendes:

Frage: “Is Dropbox HIPAA, FERPA, SAS 70, Safe Harbor, ISO 9001, ISO 27001, or PCI compliant?”

Antwort: “Unfortunately, Dropbox does not currently have any of these certifications. We are working on getting EU Safe Harbor certification. We’ll update this page with any new certifications as we receive them, so please do check back.”

Wer seine persönlichen Daten einem Onlinespeicherdienst anvertraut, geht generell ein Risiko ein und somit ist es auch nicht verwunderlich, dass die Betreiber von Dropbox allen möglichen Behörden und staatlichen Institutionen Zugriff auf die gespeicherten Dateien seiner Nutzer gewährt.

Aber wie macht man die Dropbox sicherer?

Ist es nötig, jedesmal abzuwägen, ob die Daten, mit denen ich heute arbeite zu sensibel sind, um sie in die Dropbox zu kopieren? Besser ist es, die Daten egal wie wichtig sie sind, grundsätzlich immer zu verschlüsseln.

Es besteht die Möglichkeit, beispielsweise mit Truecrypt verschlüsselte Dateien über den Dropbox-Dienst zu synchronisieren. Dieses systemübergreifende Programm ist open source und kostenlos. Im einfachsten Fall verschlüsselt man seine Daten, bevor man sie in den Dropbox-Ordner legt und entschlüsselt sie, wenn man sie wieder lesen will. Der Umgang mit den Dateien wird dadurch nur ein wenig umständlicher, der Schutz der eigenen Informationen sollte es aber Wert sein, sich diesen kleinen Umweg anzugewöhnen. Dropbox selbst empfiehlt, mit wichtigen Daten so umzugehen.

Nachtrag im Februar 2014:
Aktuell plant ein Team von Sicherheitsforschern, Truecrypt einer umfassenden Prüfung zu unterziehen. Sie haben keinen konkreten Verdacht, aber wollen kontrollieren, ob die von Truecrypt bereitgestellten Binärversionen tatsächlich ausschließlich aus dem veröffentlichten Quellcode bestehen. Vielen Dank an unseren Leser Martin für den Hinweis!

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am: