Source: https://kirchenrecht-westfalen.de/document/6033
Timestamp: 2018-03-23 10:48:19
Document Index: 44747221

Matched Legal Cases: ['§ 3', '§ 9', '§ 5', '§ 36', '§ 7', '§ 7', '§ 9', '§ 3']

4. Merkblatt für eine sichere E-Mail-Nutzung
Eine rechtlich einwandfreie Lösung erfordere die Einwilligung aller privaten Nutzerinnen und Nutzer in die Verarbeitung ihrer Daten (§ 3 TDDSG).1# In der mit jeder Mitarbeiterin oder jedem Mitarbeiter abzuschließenden Vereinbarung über die Bedingungen der Nutzung der E-Mail für private Zwecke wäre festzulegen, welche Überprüfungen von der DV-Systemadministration oder von der Dienststellenleitung wahrgenommen werden müssten. Die Vereinbarung müsste – gegebenenfalls durch Verweis auf eine Nutzungsordnung – den Umfang des Verzichts auf die Rechte beschreiben (z. B. die mögliche Kenntnisnahme des Inhalts privater E-Mails durch die DV-Systemadministration, soweit dies zur Missbrauchskontrolle oder durch dienstliche Vertretungspersonen, soweit dies zur Wahrnehmung der Vertretungsaufgaben notwendig ist). Mitarbeiterinnen und Mitarbeiter, die die Einwilligung hierzu verweigern, wären von der privaten Nutzung auszuschließen.
Bei dem Bereitstellen eines Internet-Zugangs für die ausschließliche dienstliche Nutzung handelt es sich nicht um einen Teledienst im Sinne des Teledienstegesetzes (TDG). Die kirchliche Stelle bietet dem Arbeitnehmer keinen Dienst an, sondern stellt ihm lediglich ein Arbeitsmittel zur Verfügung.2# Damit finden die Vorschriften des TDDSG auf die Protokollierung einer ausschließlich dienstlichen Nutzung von Telediensten keine Anwendung.
Für die Aufrechterhaltung eines regelgerechten Firewall-Betriebs (z. B. für die Fehlersuche und -behebung) können Protokollierungen aus technischer Sicht unabdingbar sein. Die Notwendigkeit kann auf § 9 des Kirchengesetzes über den Datenschutz der EKD (DSG-EKD)3# nebst Anlage gestützt werden. Die Zweckbindung der erhobenen Daten ist insbesondere für eine weitergehende Datenverarbeitung und -nutzung zu beachten (siehe § 5 DSG-EKD4#).
wird folgende Dienstvereinbarung nach § 36 Mitarbeitervertretungsgesetz (MVG)5# geschlossen:
7 Finden sich bei einer erneuten Kontrolle wiederum Anhaltspunkte für eine missbräuchliche Nutzung, so werden auch die nach § 7 Abs. 3 Nr. 1 gespeicherten Protokolldaten herangezogen, um festzustellen, welche Mitarbeiterin oder welcher Mitarbeiter für den Missbrauch verantwortlich ist. 8 Es wird sichergestellt, dass auf diese Daten nur durch Vertreter der Dienststellenleitung, die für den Datenschutz fachlich zuständigen Personen (zukünftig die oder der Behördenbeauftragte für den Datenschutz), die oder der Betriebsbeauftragte für den Datenschutz/Vertreterinnen und Vertreter der Mitarbeitervertretung6# gemeinsam zugegriffen werden kann. 9 Technisch wird dies dadurch realisiert, dass der zusätzliche Zugriff nur bei Verwendung zweier Passwörter oder eines geteilten Passworts (Vier-Augen-Prinzip) möglich ist.
An die Stelle von § 7 Abs. 3 und § 9 kann folgende wesentlich vereinfachte Regelung treten: „Bei eingehenden Daten werden nur die abgewiesenen Verbindungen protokolliert. Es erfolgt keine Protokollierung der ausgehenden Daten. Zusätzliche Protokollierungen werden im Einzelfall vorgenommen, wenn sicherheitskritische Ereignisse eintreten, insbesondere, wenn konkrete Angriffe auf das System erkennbar werden. In diesen Fällen erfolgt unverzüglich die Benachrichtigung der Mitarbeitervertretung sowie der für den Datenschutz zuständigen Personen (zukünftig der oder des Behördenbeauftragten für den Datenschutz) / der oder des Betriebsbeauftragten für den Datenschutz. Der Mitarbeitervertretung und die für den Datenschutz zuständigen Personen (zukünftig die oder der Behördenbeauftragte für den Datenschutz)/die oder der Betriebsbeauftragte für den Datenschutz/die Vertreterinnen und Vertreter der Mitarbeitervertretung7#sind zur Auswertung der Protokolldaten heranzuziehen.“
Die Einhaltung der Datenverarbeitungsbestimmungen dieser Dienstvereinbarung wird durch die für den Datenschutz zuständigen Personen (zukünftig der oder die Behördenbeauftragte/r für den Datenschutz), die Betriebsbeauftragte oder den Betriebsbeauftragten für den Datenschutz8# und durch die Mitarbeitervertretung überwacht.
Merkblatt der Ev. Kirche von Westfalen9#
1 ↑ Das TDDSG verbietet dem Diensteanbieter zwar, die Erbringung des Teledienstes von der Einwilligung der nutzenden Personen in zusätzliche Datenverarbeitung abhängig zu machen, das gilt jedoch nur, soweit der Diensteanbieter eine Monopolstellung innehat. Letzteres trifft auf kirchliche Stellen nicht zu, denn sie sind nicht verpflichtet, den Bediensteten die Nutzung des Internets überhaupt zu ermöglichen.
2 ↑ Bei diesem „In-Sich-Verhältnis“ fehlt das von § 3 TDG vorausgesetzte Merkmal, dass es sich bei dem Diensteanbieter und der nutzenden Person um zwei unterschiedliche Rechtssubjekte handelt.
6 ↑ Unzutreffendes streichen
8 ↑ Unzutreffendes streichen.
9 ↑ Das Merkblatt ist den technischen und organisatorischen Gegebenheiten vor Ort anzupassen.