Source: https://www.datenschutzbeauftragter-info.de/teamviewer-datenschutzrechtliche-grenzen-im-unternehmenseinsatz/
Timestamp: 2019-04-21 17:16:56+00:00

Document:
Viele IT-Abteilungen wollen TeamViewer bei der Analyse und Lösung von IT-Problemen der Mitarbeiter im Umgang mit deren Arbeitscomputern als Hilfsmittel nutzen. Datenschutzrechtlich ist dies jedoch nicht uneingeschränkt möglich. Im Folgenden werden die wesentlichen Punkte zum datenschutzkonformem Einsatz von TeamViewer am Beispiel des genannten Falls dargestellt. IT-Sicherheitsaspekte werden nicht beleuchtet.
TeamViewer ist eine Desktop-Sharing-Software, welche Fernwartungen, Online-Präsentationen, Onlinemeetings, Webkonferenzen, Dateitransfer und VPN-Verbindungen ermöglicht. Die Software wird auf dem jeweiligen Rechner, dessen Desktop geteilt werden soll, installiert. Ist TeamViewer auf einem anderen Rechner innerhalb desselben Netzwerks installiert, findet der Zugriff auf den jeweiligen Rechner wie folgt statt:
Neben einer automatisch generierten PartnerID erzeugt TeamViewer ein Sitzungskennwort, das sich bei jedem Start ändert.
Daneben besteht jedoch auch die Möglichkeit, Teamviewer mit Windows automatisch starten zu lassen und so einen Zugriff ohne einer aktiven Freigabe zu ermöglichen. Zusätzlich kann TeamViewer so konfiguriert werden, dass dieser als Hintergrundprozess für den Nutzer unsichtbar arbeitet. Diese Konfiguration ist jedoch nicht standardmäßig aktiviert sondern muss von dem jeweiligen Administrator vorher eingestellt werden.
Datenschutzrechtlich ist TeamViewer vor allem deshalb problematisch, weil die Software grundsätzlich auch dazu eingesetzt werden kann, das Verhalten und/oder die Leistung der Arbeitnehmer (heimlich) zu überwachen. Damit fällt TeamViewer unter den Wortlaut des § 87 Abs. 1 Nr. 6 BetrVG. Danach hat
der Betriebsrat bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, mitzubestimmen (Mitbestimmungsrecht des Betriebsrats).
Bevor dem Betriebsrat jedoch die Anwendung zur Mitbestimmung vorgelegt werden kann, muss geprüft werden, ob TeamViewer datenschutzkonform eingesetzt werden kann.
§ 32 BDSG als Rechtsgrundlage
Da es TeamViewer in dem hier geschilderten Fall innerhalb des Beschäftigtenverhältnisses eingesetzt werden soll, ist zunächst an § 32 BDSG als mögliche Rechtsgrundlage zu denken. Fraglich ist hierbei jedoch, ob die Anwendung tatsächlich zur „Durchführung“ eines Beschäftigungsverhältnisses erforderlich ist, wie es § 32 BDSG fordert.
Hieran bestehen erhebliche Zweifel. Die Arbeiten, die der Mitarbeiter im Zusammenhang mit seinem Computer zu erledigen hat, sind auch ohne eine entsprechende Fernwartungssoftware möglich. Die Software dürfte daher in den überwiegenden Fällen nicht zur Durchführung des Beschäftigungsverhältnisses erforderlich sein. Auch die Mitarbeiter in der IT-Abteilung können Ihre Aufgaben auf andere Art und Weise wahrnehmen und sind nicht zwingend auf den Einsatz von TeamViewer angewiesen.
Somit dürfte die Anwendung des § 32 BDSG vorliegend ausscheiden.
§ 28 Abs. 1 BDSG als Rechtsgrundlage
Als Rechtsgrundlage käme jedoch weiterhin § 28 Abs. 1 Nr.2 BDSG in Betracht, der nach der hier vertretenen Auffassung auch neben § 32 BDSG anwendbar ist. Nach § 28 Abs. 1 Nr.2 BDSG ist
das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke zulässig, soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt.
Interessen der verantwortlichen Stelle (Arbeitgeber)
Das Interesse des Arbeitgebers an einer effektiven und zeitnahen Bearbeitung von IT-Problemen über eine Fernwartungssoftware kann durchaus als berechtigtes Interesse im Sinne der Vorschrift gewertet werden. Eine Verarbeitung ist jedoch nur dann möglich, wenn die schutzwürdigen Interessen der Betroffenen nicht überwiegen.
Interessen der Betroffenen (Arbeitnehmer)
Das Interesse der Betroffenen besteht darin, keiner Überwachung am Arbeitsplatz ausgesetzt zu sein, da dies ein nicht unerheblichen Eingriff in Ihre Persönlichkeitsrechte darstellen würde. Das Merkmal der Erforderlichkeit i.S.d. § 28 Abs. 1 Nr. 2 BDSG setzt voraus, dass für die Erreichung des geplanten Zwecks kein gleich geeignetes, milderes Mittel zur Verfügung steht und der Einsatz von Fernwartungssoftware zur Erreichung des verfolgten Zwecks verhältnismäßig ist.
Als milderes Mittel käme die Analyse und Problemlösung durch die IT-Mitarbeiter an den jeweiligen Arbeitsplätzen in Betracht. Soweit es sich um kleinere Unternehmen handelt, kann man hier unter Umständen schon dazu kommen, dass dies tatsächlich das weniger einschneidende Mittel zur Zweckerreichung darstellt. Eine Fernwartungssoftware, wie TeamViewer, wäre sodann nicht mehr erforderlich.
Zweifelhaft ist dies aber in großen Unternehmen mit einer Vielzahl von Mitarbeitern. Hier kann tatsächlich die Fernwartungssoftware das mildeste Mittel darstellen. In diesem Fall muss der Einsatz von TeamViewer aber insgesamt noch verhältnismäßig sein. Hierzu müssten die schutzwürdigen Interessen der Betroffenen ausreichend gewahrt sein.
Wahrung der Rechte der Betroffenen
Zur Interessenwahrung ist es nach der hier vertretenen Auffassung unabdingbar, dass die folgenden Maßnahmen eingehalten werden:
Deaktivierung der (unbemerkten) Hintergrundaktivität (Der Mitarbeiter muss bemerken, wann die Fernwartung erfolgt.)
Möglichkeit für den Mitarbeiter die Fernwartung jederzeit zu unterbrechen
Erstellung einer Betriebsvereinbarung zum Schutz vor Leistungs- und Verhaltenskontrollen
Werden diese Maßnahmen eingehalten, wäre nach der hier vertretenen Auffassung auch die Verhältnismäßigkeit im Rahmen der Erforderlichkeitsprüfung gewahrt. An dieser Stelle sei noch darauf hingewiesen, dass auf Grund der Mitbestimmungsrechte des Betriebsrats hier ein zeitnaher und konstruktiver Dialog gesucht werden sollte, um Missverständnissen vorzubeugen. Ist kein Betriebsrat vorhanden, so sind die Mitarbeiter entsprechend ins Boot zu holen.
Auf diesen Beitrag meldete sich TeamViewer und verlangte eine Gegendarstellung, da der Beitrag wohl falsche Tatsachenbehauptungen enthalte. Weitere Informationen finden Sie hier.
Mehr zum Thema: Arbeitnehmer, Arbeitnehmerdatenschutz, Arbeitsplatz, Betriebsrat, Fernwartung, Mitbestimmungsrecht, Überwachung
Seit wann stehen denn die Namen der Autoren am Artikel? Ist das neu? Soweit ich sehen kann, ist das aber nicht durchgängig so, sondern der „Dr. Datenschutz“-Sammelaccount tritt parallel auf.
Namenstag am 12. September 2014, 22:16 Uhr
Seit dem Relaunch haben unsere Autoren die Möglichkeit, Artikel unter ihrem eigenen Namen zu veröffentlichen.
Dr. Datenschutz am 15. September 2014, 14:14 Uhr
Wieso „empfehlen“ Sie Produkte wie TeamViewer?
Mal ganz ab von groben Programmier-Schnitzern der Firma in 2007: Wieso würde eine Datenschutz-aware Entity (Firma/Person) einen „Dienst“ nutzen, der fremde Server erfordert?
Es gibt einige solcher Produkte (z.B. Echogent), wo Sie ihren eigenen Server zur Vermittlung von Client und Viewer betreiben und den grossen Unsicherheitsfaktor „3rd party“ nicht haben.
Schon weil dort Menschen arbeiten ist *jede* 3rd party ein (unnötiges!) Risiko.
Paranoider am 16. September 2014, 16:11 Uhr
Der Artikel beleuchtet eine sehr häufig von Unternehmen aufgeworfene Frage und soll genau diese Zielgruppe über den datenschutzkonformen Einsatz von TeamViewer informieren. Daneben bietet TeamViewer auch die Möglichkeit einen TeamViewer Server im eigenen Unternehmen aufzusetzen. Damit ist dann auch keine „3rd Party“ involviert.
Dr. Datenschutz am 30. September 2014, 15:56 Uhr
Wir korrigieren die Aussage aus dem Kommentar. Man kann keinen TeamViewer Server im eigenen Unternehmen aufzusetzen. Hierbei handelt es sich um einen bedauerlichen redaktionellen Fehler unsererseits.
Weitere Infos hier: Gegendarstellung zu TeamViewer: Datenschutzrechtliche Grenzen im Unternehmenseinsatz
Dr. Datenschutz am 31. Oktober 2014, 11:38 Uhr
Wieso Wake-On-Lan deaktivieren?
Gerade wenn ich einen Rechner wecken muss, kann ich davon ausgehen, dass er gerade nicht in Verwendung ist. TV logged sich dann auch nicht in die zuletzt offenen Session (zuletzt angemeldeter User) sondern mit einem Adminaccount ein. Es ist im Sinne des betriebes und des Anwenders sogar sehr freundlich hier außerhalb der üblichen Betriebszeiten zu agieren.
In großen Unternehmen müsste mann dann die Frage stellen ob Wake-on-Lan (über TV hinaus gedacht) grundsätzlich datenschutzrechtlich problematisch wäre. Wake-on-Lan kommt dort aber regelmäßig zum Einsatz um während der Nachtzeiten zu Patchen oder Full-Scans mit den Virenscannern durchzuführen. Was sehr sinnvoll ist.
Im Übrigen halte ich die gesamte Betrachtung für akademisch. Ohne Zweifel darf das Tool nicht dazu bestimmt sein Verhaltenskontrollen durchzuführen. Die Konfiguration dass sich der Admin nicht unbemerkt aufschalten kann ist geboten (nicht nur zum Schutz des Arbeitnehmers, sondern auch davor dass der Admin nichts zu sehen bekommt was ihn nichts angeht: von der Gehaltsliste über die Abmahnung an bis hin zu Geschäftsgeheimnissen die nur die GF was angeht).
Aber grundsätzlich eine Datenschutzerwägung daraus zu machen, mit Show-Stopper-Qualitäten halte ich für zu weit gegriffen. Überspitzt würde sich so auch argumentieren lassen dass eine GF keine Computer einführen darf um die Arbeit zu erledigen….
TJ am 21. November 2014, 14:42 Uhr
– Wake-on-LAN deaktivieren: Bin ich bei Ihnen, bei einer sicheren Software (also *nicht* bei TeamViewer!) ist das unnötig/kontraproduktiv.
Aber Sie übersehen da verschiedene Punkte:
– 200%iger ShowStopper: *zwingender* Einsatz eines 3rd party servers (mW selbst bei Kontakt Viewer->’Server‘ *innerhalb* der eigenen Unternehmung!). Also kann die Firma TeamViewer (theoretisch) Vollzugriff auf Maschinen nehmen.
– „Die Konfiguration dass sich der Admin nicht unbemerkt aufschalten kann ist geboten ([…]sondern auch davor dass der Admin nichts zu sehen bekommt was ihn nichts angeht: von der Gehaltsliste über die Abmahnung an bis hin zu Geschäftsgeheimnissen die nur die GF was angeht).“
Das ist doch Pillepalle. Solange die GF keine verschlüsselten Laufwerke benutzt, für die *nur* sie die Passworte kennt (LANCrypt, Crypt-Container auf SMB-Shares, etc) ist dieses Risiko vernachlässigbar. Der interessierte Admin scant die GL-Shares nach interessanten Stichworten.
– „Aber grundsätzlich eine Datenschutzerwägung daraus zu machen, mit Show-Stopper-Qualitäten halte ich für zu weit gegriffen.“
Nö. Eben nicht. Den ShowStopper baut TeamViewer selbst ein (und nur sie werden beantworten können, WARUM!). Man kann und darf einer Firma, die Kunden *zwingt* ihnen (der 3rd party) Vollzugriff auf jeden Computer zu geben (bewehrt nur mit einem „Vertrag“ oder einer Zusage) nicht vertrauen. So ein Verhalten ist von Seiten des Anbieters (TeamViewer) wie des Anwenders (Unternehmen) *hochgradig* unseriös.
Nicht nur wegen Persönlichkeitsschutz der Mitarbeiter, sondern wegen Daten- und Geheimnisschutz der Unternehmung.
Bad case scenario: Ein virus schleicht sich ein und wird übertragen
Worse case scenario: Ein ‚disgruntled worker‘ verkauft daten oder Zugriffe
Worst case scenario: Die TeamViewer-Server werden geknackt und übernommen. Unbemerkt.
Wie gesagt, *kein* seriöser, fähiger Mitarbeiter eines seriösen Unternehmens würde so etwas wie TeamViewer als RemoteSupport-Tool in seiner Untenehmung einsetzen.
Einzige Ausnahme: Notbehelf zum Support von Road-Warriors, wo Beide (Supporter, Road-Warrior) TV *ausschliesslich* während der gewünschten Supportsitzung einsetzen.
Selbst da gibt es Besseres (schneller, sicherer).
sec-aware Admin am 23. November 2014, 14:28 Uhr
Hallo sec-aware Admin!
Du hast Alternativen zu TeamViewer angedeutet, die „besser“ seien. Da ich gerade eine Art Marktübersicht von remote-Tools zusammenstelle, wäre es super, wenn Du die Alternativen benennen würdest! ;-)
Ich bin heute Morgen auf den 7. Tätigkeitsbericht des Landesbeauftragten für Datenschutz und die Informationsfreiheit des Landes Mecklenburg-Vorpommern gestoßen (https://www.datenschutz-mv.de/datenschutz/publikationen/taetberi/tb12/lfdmvtb12.pdf ) der sich ebenfalls zu TeamViewer äußert und dort statuiert, dass TeamViewer nicht für hochsensible, sondern lediglich für „einfache“ Daten zum Einsatz gelangen darf.
Der LBfDI MEck-Pomm führt aber auch eine Lösung mit an: So könnte der Einsatz von TeamViewer über ein „kryptographisches Virtual Private Network (VPN)“ durchaus zur Anhebung der Sicherheit und der Zulässigkeit von Fernwartung im Zusammenhang mit hochsensiblen Daten führen. (7. TB, a.a.O., dort Punkt 4.1.4. a.E.)
Ulysses Niemand am 13. Januar 2017, 09:28 Uhr
Lass ich gelten soweit wir von TeamViewer reden. Aber aus der Überschrift und der Einleitung des Artikels gehen die Szenarien nicht grundsätzlich um TV sondern um RemoteAdministration allgemein. Darauf wollte ich im Speziellen eingehen.
TJ am 24. November 2014, 16:12 Uhr
War die Überschrift nicht schon immer „TeamViewer: Datenschutzrechtliche Grenzen im Unternehmenseinsatz“?
War die ‚Einleitung‘ nicht schon immer „Viele IT-Abteilungen wollen TeamViewer bei der …“
Kann ich mir nicht vorstellen (Kosten vs. Nutzen).
Hat datenschutzbeauftragter-info.de da echt getrickst (s.o. wäre mir nicht aufgefallen und kann ich mir nicht vorstellen)? Oder will sich da eher jemand rausreden?
sec-aware Admin am 25. November 2014, 20:44 Uhr
Zunächst einmal freuen wir uns über diese lebhafte Diskussion. Der Titel wurde nie geändert. Wenn wir Änderungen vornehmen, dann sind diese immer nachvollziehbar und wir schreiben ein entsprechendes Update.
Dr. Datenschutz am 1. Dezember 2014, 13:43 Uhr
SORRY, Dr. Datenschutz!
„Kann ich mir nicht vorstellen“ war saublöd/irrtümlich formuliert. Ich meinte natürlich „EINE nachträgliche ÄNDERUNG kann ich mir nicht vorstellen (Kosten vs. Nutzen).“
sec-aware Admin am 1. Dezember 2014, 16:41 Uhr
wie ist das denn bei den ganzen Softwarefirmen die für Ihre Software TeamViewer Wartung anbieten? Müssten die Kunden einer Softwarefirma, die Support in Anspruch nehmen, einen ADV-Vertrag abschließen. Wie machen das dann die Softwarefirmen. Es wäre nicht praktikabel für jeden Kunden einen ADV-Vertrag unterschreiben zu müssen. Wäre hier eine Nutzungsvereinbarung für TeamViewer, die man auf die Homepage stellt die Lösung?
sardokan am 21. Oktober 2015, 14:09 Uhr
Sie haben recht, das Verhältnis zwischen Softwarefirma und Ihren Kunden ist ein Auftragsdatenverarbeitungsverhältnis, bei dem die Softwarefirma per Fernwartung auf die Systeme seiner Kunden zugreift. Das ist der klassische Fall des § 11 Abs. 5 BDSG. In diesen Fällen wären auch ADVs abzuschließen. Praktikabel wird das ganze erst dann, wenn die Softwarefirma selbst die ADVs bereitstellt und am besten den eigentlichen Dienstleistungsverträgen mit ihren Kunden anfügt.
Am besten Sie lassen sich hierzu einmal von Ihrem Datenschutzbeauftragten oder Ihrer Rechtsabteilung ausführlich beraten.
Dr. Datenschutz am 21. Oktober 2015, 17:48 Uhr

References: § 87

§ 32
 § 32
 § 32
 § 32

§ 28
 § 28
 § 32
 § 28
 § 28
 § 11