Source: https://lindemedia.at/news/news-gesrz/heimarbeitsplaetze-als-datensicherheitsrisiko-in-der-corona-krise
Timestamp: 2020-08-11 01:06:42
Document Index: 141783745

Matched Legal Cases: ['Art 32', 'Art 32', 'Art 5', 'Art 33', 'Art 4', 'Art 33', 'Art 33', 'Art 33', 'Art 34', 'Art 32', 'Art 32', 'Art. 32', 'Art. 33', 'Art. 33', 'Art. 33']

Heimarbeitsplätze als Datensicherheitsrisiko in der Corona-Krise - Linde Media
(Bild: © IrynaDanyliuk)
Allgemein zur Datensicherheit
Telearbeit oder auf Neudeutsch Home Office sind mittlerweile zu Buzzwords der Corona-Krise geworden. Unter Telearbeit versteht man im Allgemeinen Tätigkeiten, die räumlich entfernt vom Standort des Arbeitgebers durchgeführt werden und deren Erledigung durch eine kommunikationstechnische Anbindung an die IT des Arbeitgebers unterstützt wird.1
Home Office ermöglicht dem Arbeitgeber, den Arbeitnehmern die Erledigung ihrer dienstlichen Pflichten von zu Hause aus zu erlauben, was sich als Maßnahme zur Eindämmung der Ausbreitung des Corona-Krise etabliert hat. Wie viele Unternehmen davon Gebrauch gemacht haben, zeigt auch eine von Statista durchgeführte Online-Umfrage unter Berufstätigen in Österreich zur Arbeit im Home Office während der Corona-Krise im März 2020; so waren danach insgesamt 46 Prozent der Befragten (fast) ausschließlich oder überwiegend von zuhause aus tätig.2
Es ist nun allerdings, selbst wenn der Arbeitgeber die physische Dispositionsfreiheit und Kontrolle über die EDV-Geräte verliert, weiterhin uneingeschränkt seine Aufgabe, dafür Sorge zu tragen, dass Datensicherheit im Sinne des Art 32 DSGVO verwirklicht ist, wofür Maßnahmen zur Sicherstellung eines ordnungsgemäßen Ablaufs der Datenverarbeitung ebenso erforderlich sind wie die Sicherung von Hard- und Software sowie der Schutz der Daten vor Verlust, Schädigung und Missbrauch3. An diese Maßnahmen werden aufgrund der Verlagerung der Arbeitsplätze sogar höhere Anforderungen gestellt werden müssen, um eine mit einem Büroraum vergleichbare Sicherheitssituation erreichen zu können.
Auf organisatorischer Ebene sind etwa vielgeübte Maßnahmen die Vorgabe an die Arbeitnehmer, dass nur autorisierte Personen auf den Telearbeitsrechner zugreifen dürfen und dafür Sorge zu tragen ist, dass diese vor Zugriff durch unberechtigte Dritte geschützt sind (zB nicht frei zugänglich und ungesichert zu Hause stehen zu lassen) sowie die Erlassung des Verbots der privaten Nutzung der für den Heimarbeitsplatz bereitgestellten betrieblichen Geräte oder Zugangsmöglichkeiten (insbesondere Notebook und Internetzugang). Das deutsche Bundesamt für Sicherheit in der Informationstechnik empfiehlt aus technischer Sicht unter anderem folgende Maßnahmen vorzusehen: Identifizierungs- und Authentisierungsmechanismen sowie Zugriffskontrolle zur Effektuierung der Vergabe von Zugriffsrechten auf organisatorischer Ebene, Protokollierung aller Aktionen über den Telearbeitsrechner, Einsatz von Verschlüsselung (zB Festplattenverschlüsselung bei Notebooks), Zugriff auf Geschäftsanwendungen nur über eine sichere VPN-Remoteverbindung (zB Citrix), bestenfalls mittels Token-Authentifizierung.4
Die durch die Corona-Krise vielfach über Nacht eingerichteten Telearbeitsplätze mussten mittels solcher Maßnahmen hinsichtlich der von ihnen ausgehenden Sicherheitsrisiken beherrscht werden. Die DSGVO verlangt jedoch nicht nur, dass die Maßnahmen getroffen sind, sondern vielmehr auch deren Dokumentation (Art 32 iVm Art 5 Abs 2 DSGVO).5 Die vom Verantwortlichen vorzusehenden Daten- und IT-Sicherheitsmaßnahmen sollten daher auch Bestandteil eines allgemeinen Datensicherheitsmanagements sein, bestehend aus Daten- und IT-Sicherheitskonzept, Risikoanalyse und Dokumentation.6
Anlass zur Meldung einer Datenschutzverletzung
Art 33 DSGVO bestimmt, dass im Falle einer Verletzung des Schutzes personenbezogener Daten der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde melden muss. Art 4 Z 12 DSGVO definiert die Verletzung des Schutzes personenbezogener Daten als eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden. Was eine Verletzung der Sicherheit sein soll, ist in der DSGVO hingegen nicht näher definiert.7 Es soll im Kern um Verletzungen der drei bekannten Schutzziele der Informationssicherheit gehen: Vertraulichkeit, Integrität und Verfügbarkeit; es müssen jedoch nicht alle drei Schutzziele verletzt worden sein.8 Daraus muss ein Verletzungserfolg entstehen, und zwar die Vernichtung, der Verlust, die Veränderung, oder die unbefugte Offenlegung von oder Zugang zu Daten.
Unklar ist nun bei vielen Sicherheitsvorfällen, ob es tatsächlich auch zu einer solchen Beeinträchtigung kommt und damit die Meldepflicht überhaupt anwendbar ist. In Ansehung des Wortlauts der Vorschrift ist daher die Frage aufgeworfen, ob es für eine Verletzung der Sicherheit erforderlich ist, dass tatsächlich etwa eine Kenntnisnahme der personenbezogenen Daten durch Dritte erfolgt – oder ob vielmehr bereits die Möglichkeit der Kenntnisnahme ausreicht. Da das Entstehen der Meldepflicht nicht von der für den Verantwortlichen häufig nicht überprüfbaren, da außerhalb seiner Kontrollsphäre befindlichen und zufälligen tatsächlichen Kenntnisnahme abhängig gemacht werden sollte, spricht vieles dafür, bereits die Möglichkeit der Kenntnisnahme durch Dritte für eine Datenschutzverletzung ausreichen zu lassen.9 Dieses Ergebnis wird dadurch gestützt, dass eine Risikoabwägung gesondert nach Art 33 Abs 1 Satz 1 2. Halbsatz DSGVO10 angeordnet ist, die zu einem Entfall der Meldepflicht führen würde, und im Zuge dessen die Kenntniserlangung berücksichtigt werden kann.
Insgesamt sollte es daher für die Meldung nicht zur Voraussetzung gemacht werden, dass die Datenschutzverletzung bereits endgültig feststeht.11 In diesem Sinn legt die Artikel 29-Datenschutzgruppe geradezu nahe, auch mutmaßliche Datensicherheitsvorfälle zu melden und zwar mit dem Hinweis, dass die DSGVO ein schrittweises Vorgehen bei der Meldung in Art 33 Abs 4 DSGVO vorsieht. Wenn sich daher aus Anlass der weiteren IT-forensischen Untersuchungen herausstellen sollte, dass keine Datenschutzverletzung vorliegt, wären diese neuen Erkenntnisse nur der Aufsichtsbehörde ergänzend mitzuteilen, sodass der Vorfall nicht als Datenschutzverletzung verzeichnet wird. Die Artikel 29-Datenschutzgruppe verweist explizit darauf, dass es keine Strafe für die Meldung eines Vorfalls, der sich letztlich nicht als Datenschutzverletzung erweist, gibt.12
Relevant ist der Zeitpunkt des Bekanntwerdens einer Datenschutzverletzung auch für die Frist zur Meldung. Nach Auffassung der Artikel-29-Datenschutzgruppe ist anzunehmen, dass einem Verantwortlichen eine Datenschutzverletzung „bekannt“ wurde, wenn der betreffende Verantwortliche eine hinreichende Gewissheit darüber hat, dass ein Sicherheitsvorfall aufgetreten ist, der zu einer Beeinträchtigung des Schutzes personenbezogener Daten geführt hat.13 Es wird demnach für die Auslösung der Meldepflicht genügen, wenn die dem Verantwortlichen vorliegenden tatsächlichen Anhaltspunkte für die hohe Wahrscheinlichkeit einer Schutzverletzung sprechen.14
Sobald der Verantwortliche etwa erfährt, dass ein Mitarbeiter seine Zugangsdaten zu einer Applikation im Netzwerk des Unternehmens über einen Link, der in einem Phishing-Email dazu aufgefordert hat, an den Angreifer bereitgestellt hat, muss die Meldung nach Art 33 DSGVO binnen 72 Stunden ernsthaft in Betracht gezogen werden. Für die unverzügliche15 Benachrichtigung an die Betroffenen müsste jedoch voraussichtlich ein hohes Risiko entstehen; weshalb nicht auch jede denkbar mit einem Risiko verbundene Situation an den Betroffenen zu melden ist. Die Prognose nach Art 34 DSGVO muss daher schon ein eindeutig spezifizierbares Risiko betreffen.
Zweifel über die Meldepflicht
Dr. Sonja Dürager LL.M., Partner, Head of IP/IT/Data Protection bei bpv Hügel RAe
Sonja Dürager ist spezialisiert auf die Beratung zu Immaterialgüterrecht (speziell Urheberrecht und Markenrecht), IT-Recht, Datenschutzrecht und Medienrecht.
1 Vgl Österreichisches Informationssicherheitshandbuch, Version 4.1.1, https://www.sicherheitshandbuch.gv.at/downloads/sicherheitshandbuch.pdf
2 https://de.statista.com/statistik/daten/studie/1109368/umfrage/arbeit-im-home-office-waehrend-der-corona-krise-in-oesterreich/
3 Vgl zB Paulus in Wolff/Brink, BeckOK Datenschutzrecht (2019) DS-GVO Art 32 Rz 4
4 Vgl BSI, IT-Grundschutz, Umsetzungshinweise zum Baustein OPS.1.2.4 Telearbeit, https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKompendium/umsetzungshinweise/OPS/Umsetzungshinweise_zum_Baustein_OPS_1_2_4_Telearbeit.html
5 Vgl auch Mantz in Sydow, Europäische Datenschutzgrundverordnung (2018) Art 32 Rz 29
6 Spindler/Schuster/Laue, DS-GVO (2019) Art. 32 Rz 23
7 Fritz, Melde- und Benachrichtigungspflichten bei Verletzungen des Schutzes personenbezogener Daten, in Jahnel, Jahrbuch Datenschutzrecht 2018, 89
8 Artikel-29-Datenschutzgruppe, Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679, WP 250, S 7.
9 Vgl Becker, Meldungen nach Art. 33 DS-GVO, ZD 2020, 175,178.
10 „… es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“.
11 Vgl zB Paal, Meldepflicht bei Datenschutzverstößen nach Art. 33 DS-GVO, ZD 2020, 119, 121.
12 Artikel-29-Datenschutzgruppe, Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679, WP 250, S 18.
13 Artikel-29-Datenschutzgruppe, Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU) 2016/679, WP 250, S 18.
14 Vgl Dix in Simitis/Hornung/Spiecker gen. Döhmann (2019) Datenschutzrecht, DSGVO Art. 33 Rn. 7
15 Erwägungsgrund 86 zur DSGVO sagt dazu: Solche Benachrichtigungen der betroffenen Person sollten stets so rasch wie nach allgemeinem Ermessen möglich, in enger Absprache mit der Aufsichtsbehörde und nach Maßgabe der von dieser oder von anderen zuständigen Behörden wie beispielsweise Strafverfolgungsbehörden erteilten Weisungen erfolgen.
SchlagwörterCoronavirus • COVID-19 • Datensicherheit • Heimarbeit • Home Office
0 Kommentare zu “Heimarbeitsplätze als Datensicherheitsrisiko in der Corona-Krise”