Editorial : Steine statt Brot – Videokonferenz in der Coronakrise aus Sicht der Aufsichtsbehörden : aus der RDV 3/2020, Seite 109 bis 110
Hals über Kopf mussten die Unternehmen und Behörden wegen der Coronakrise die Arbeitsorganisation auf Homeoffice umstellten. Schulen und Hochschulen mussten kurzfristig die Lehre online anbieten. Notwendiges Werkzeug ist der Einsatz von Tools, mit denen man die Arbeit digital organisieren und die Zusammenarbeit mit Videokonferenzen ermöglichen kann.
Insbesondere KMU mussten schnell und effektiv reagieren. Dabei musste auch die Kommunikation der Mitarbeiter organisiert und nach Möglichkeit die persönliche Zusammenarbeit virtualisiert werden. Dabei lag die Nutzung der am Markt gängigen Produkte auf der Hand. Für eine intensive Prüfung der Tools auf sämtliche Datenschutz- und Datensicherheitsaspekte war keine Zeit. Es musste schnell gehen und funktional sein.
Erst ab Mitte April begannen verschiedene Datenschutzaufsichtsbehörden mit der Veröffentlichung von Stellungnahmen und „Empfehlungen“ zum Einsatz von Video- oder Telefonkonferenzsystemen. Diesen Stellungnahmen ist gemein, dass zunächst ein umfangreicher Anforderungskatalog zur Datenschutzkonformität vorangestellt wird. Sodann wird ausgeführt, dass die insbesondere von KMU, Schulen und Hochschulen kurzfristig angepassten und genutzten Tools wie Zoom, Skype oder Mircosoft Teams diese Anforderungen sämtlich nicht erfüllen. Der BfDI weist darauf hin, dass „in der Praxis es derzeit leider so ist, dass diese Anforderungen von den verfügbaren Angeboten nur teilweise erfüllt werden“. Datenschutzfreundlicher sei es, so der LfDI Baden-Württemberg, Systeme zu nutzen, die selbst betrieben werden können („On Premises“), beispielsweise auf eigenen Servern oder mit Hilfe von Dienstleistern mit Auftragsverarbeitungsverträgen. Dass dies nicht einfach umzusetzen ist, belegt ein bei Twitter veröffentlichter Sceenshot einer Videokonferenz der europäischen Aufsichtsbehörden unter Teilnahme des BfDI, die erkennbar mittels Zoom(!) durchgeführt wurde. Ein Tool, dass der BfDI mangels geeigneter Verschlüsselung für den geschäftlichen Einsatz für datenschutzwidrig erachtet. Nur bedingt hilfreich sind auch so weitreichende Ratschläge, wonach „Videokonferenzen nur dann genutzt werden sollten, wenn es wirklich notwendig ist, zum Beispiel wenn Präsentationen mit einer Bildschirmfreigabe gehalten werden sollen“, so der LfDI Baden-Württemberg. Videokonferenzen sollen sicherlich unter Beachtung der Privatsphäre der Betroffenen statt finden, jedoch darf die soziale Komponente des Kontaktes der Kollegen, Mitschüler und Geschäftsfreunde in Zeiten von Abstandsregelungen nicht unberücksichtigt bleiben.
Die meisten Unternehmen und öffentlichen Stellen sind redlich bemüht, den Anforderungen des Datenschutzes gerecht zu werden und sie leisten viel. Was dürfen sie von der Datenschutzaufsicht erwarten? Vor allem praktische Hilfe bei der Umsetzung der Pflichten. Gerade jetzt kommt es nicht darauf an, in einer Vielzahl von Stellungnahmen zu erklären, was beim Einsatz von Videokonferenzsystemen und anderen digitalen Anwendungen grundsätzlich zu beachten ist und dafür hohe Hürden aufzustellen. Entscheidend ist es jetzt, konkret zu erklären und im Dialog mit der Wirtschaft konstruktiv zu erarbeiten, welcher Dienst wie verbessert werden muss, damit er guten Gewissens eingesetzt werden kann. Das soll nicht von der Verantwortung der Unternehmen ablenken, die die DS-GVO zu Recht diesen überträgt. Die Aufsichtsbehörden sind aber in der Pflicht, die Praxis durch einheitliche und umsetzbare Impulse positiv zu prägen, um Sicherheit zu erzeugen.
Prof. Dr. Rolf Schwartmann
RA Andreas Jaspers