Source: https://datenschutz-generator.de/dsgvo-video-konferenzen-online-meeting/?fbclid=IwAR3SRPIrlMk_m2o9Si7VIDaKl8ud5V8Bchf8AhqzTmVl7JnSapbksfZxWgA
Timestamp: 2020-07-05 01:39:19
Document Index: 208094311

Matched Legal Cases: ['Art. 2', 'Art. 25', '§ 87', 'Art. 44', '§ 26', 'Art. 28', 'Art. 32', 'Art. 25', 'Art. 12', 'Art. 30', 'Art. 28']

DSGVO-sicher? Videokonferenzen, Onlinemeetings und Webinare (mit Anbieterübersicht und Checkliste) - Datenschutz-Generator.de - DSGVO-Datenschutzerklärung und weitere Vorlagen vom Experten
27. Mai 2020 10. Juni 2020
Zum Schutz vor Infektion durch das Corona-Virus, müssen viele Mitarbeiter*innen ihre Arbeit vom Home-Office aus verrichten.
Trotzdem muss die Kommunikation untereinander, als auch mit den Kunden oder Geschäftspartnern aufrechterhalten werden. Daher wird der Einsatz von Diensten für Video- und Onlinekonferenzen, -Meetings oder Webinaren, wie z. B. Zoom, Skype oder Slack häufig zwingend notwendig.
Bei deren Nutzung müssen jedoch, auch trotz Krisenzeiten, die Vorgaben der DSGVO eingehalten werden. Wie Sie die Vorgaben erfüllen können und warum Sie schon bei der Auswahl der Dienste an sie denken sollten, erfahren Sie im folgenden Beitrag. Am Ende des Beitrags erhalten Sie eine Übersicht der Anbieter sowie eine zusammenfassende Checkliste.
Hinweis: Werden Video- und Konferenzdienste ausschließlich für persönliche und familiäre Zwecke eingesetzt (also nicht beruflich, amtlich, zu Vereinszwecken, etc.), dann kommt die DSGVO nicht zur Anwendung (Art. 2 Abs. 2 lit. c. DSGVO). Aus Gründen Ihrer Sicherheit und der von Teilnehmern, empfehlen wir dennoch die folgenden Hinweise entsprechend zu beachten.
Vorüberlegungen und Auswahl der Dienstleister
Beteiligung Betriebs- oder Personalrat sowie Datenschutzbeauftragte
Datenschutzniveau bei Anbietern aus Drittländern (z. B. USA) sicherstellen
Beispiele: Erforderlichkeitsprüfung
Kritik und Einzelfallprüfung
Video mit FAQ zum Einsatz von Konferenztools
Die DSGVO schreibt einen “Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen” vor (Art. 25 DSGVO). In der Praxis müssen Sie daher die folgenden zwei Punkte schon bei der Auswahl des passenden Konferenzdienstes beachten:
EU-Dienste vorziehen – Gehen Sie immer den sichersten Weg und wenn z. B. ein Dienst aus den USA und ein gleichwertiger Dienst aus der EU zur Auswahl stehen, wählen Sie lieber den Dienst aus der EU.
Dienste mit datenschutzfreundlichsten Einstellungen wählen – Sie sollten Dienste mit den datenschutzfreundlichsten Verfahrens- und Einstellungsmöglichkeiten auswählen, u.a.:
Verschlüsselung – Übertragungen sollten verschlüsselt erfolgen.
Geschäftsnutzung – Die geschäftliche Nutzung sollte erlaubt sein (da datenschutzrechtliche Zusicherungen auf Geschäftskunden beschränkt sein können). Unter Umständen bieten auch nur bezahlte Versionen die erforderlichen Datenschutzfunktionen.
Freigaben – Bildschirmübertragung oder Aufzeichnung sollte eine ausdrückliche Zustimmung voraussetzen.
Protokolle und Aufzeichnungen – Gesprächsverläufe und Aufzeichnungen sollten grundsätzlich nach Gesprächsende gelöscht werden.
Profiling – Es sollten keine Verhaltensprofile der Teilnehmer gebildet werden oder diese Funktion sollte abgeschaltet werden können.
Datenschutzbeauftragte sollten schon bei der Auswahl des passenden Dienstes involviert werden.
Dasselbe gilt, soweit vorhanden, für den Betriebs- oder den Personalrat, da sie dem Einsatz der Dienste am Ende zustimmen müssen (s. § 87 Abs. 1 Nr. 6 BetrVG). Die Zustimmung ist gesetzlich vorgeschrieben, da die Konferenzdienste sich zur Überwachung der Mitarbeiter objektiv eignen (auch wenn tatsächlich keine Überwachung geplant ist).
Als Drittländer werden Länder außerhalb der EU bezeichnet. Wenn Sie Anbieter aus Drittländern einsetzen, müssen Sie sicherstellen, dass das Datenschutzniveau in diesen Ländern den Anforderungen der DSGVO entspricht (Art. 44 bis 49 DSGVO).
Das können Sie zwar selten selbst überprüfen. Jedoch existieren formelle Verfahren, die eine für die Praxis hinreichende Verlässlichkeit des Datenschutzniveaus bieten:
EU-Kommission hat ein angemessenes Datenschutzniveau festgestellt – derartige Angemessenheitsbeschlüsse existieren z. B. für die Schweiz, Neuseeland, Andorra, Argentinien, die Faröer Inseln, Guernsey, Japan, Kanada und Israel (z.T.)
Privacy-Shield-Zertifikat – Ein angemessenes Datenschutzniveau können Sie bei Unternehmen aus den USA, die über ein Privacy-Shield-Zertifikat verfügen, annehmen.
Abschluss sog. „Standard Contractual Clauses (SCC)” – Diese vorgefertigten Standardschutzklauseln verpflichten den Vertragspartner zur Einhaltung des Europäischen Datenschutzniveaus (Standardschutzklauseln sind häufig mit Auftragsverarbeitungsverträgen verbunden).
Vertraglich erforderliche Datentransfers – Auch wenn es eher selten der Fall sein wird, kann die Nutzung einer bestimmten Software mit einem Vertragspartner auch vertraglich vereinbart werden (wobei sichergestellt werden muss, dass der Vertragspartner auch weiß, dass die Daten in einem Drittland verarbeitet werden).
Einwilligungen der Betroffenen – Es ist zwar möglich, dass Sie Einwilligungen der Teilnehmer, z. B. der Kunden und Mitarbeiter einholen. Allerdings sind Mitarbeiter besonders geschützt und deren Einwilligungen grundsätzlich nur dann wirksam, wenn keine datenschutzfreundlicheren Dienste in Frage kamen (§ 26 Abs. 2 BDSG). D.h. Sie werden daher nachweisen müssen, dass ein EU-Dienst oder ein Dienst mit einem Privacy-Shield-Zertifikat oder Standardschutzklauseln nicht in Frage kam. Das dürfte eher selten der Fall sein.
Hinweis: Dieser Beitrag orientiert sich an pragmatischen Anforderungen. Datenschutzpolitische Diskussionen (z. B. zur Wirksamkeit des Privacy-Shields) können wir leider, ebenso wie die unterschiedlich strengen Ansichten im Datenschutz, nicht in ihrer vollen Bandbreite abbilden.
Als Auftragsverarbeiter werden Dienstleister bezeichnet, die personenbezogene Daten Ihrer Kunden oder Mitarbeiter entsprechend Ihreren Weisungen nur für Sie verarbeiten.
Auch Anbieter von Video- und Onlinekonferenzdiensten sind grundsätzlich als Auftragsverarbeiter anzusehen, so dass Sie die folgenden Punkte beachten müssen:
Abschluss Auftragsverarbeitungsvertrag – Mit Auftragsverarbeitern müssen Sie Auftragsverarbeitungsverträge nach Maßgabe des Art. 28 DSGVO abschließen. Die meisten Anbieter bieten derartige Vereinbarungen, die Sie in der nachfolgenden Übersicht der Video- und Onlinekonferenzdienste finden, an.
Prüfung technischer und organisatorischer Maßnahmen sowie Subunternehmer – Ferner müssen Sie die Angaben zu technischen und organisatorischen Maßnahmen (z. B. Pseudonymisierung, Backupverfahren, Verschlüsselungen, etc., Art. 32 DSGVO) sowie eingesetzten Subunternehmern prüfen (in der Praxis wird Ihnen an dieser Stelle sehr wahrscheinlich keine Unregelmäßigkeit auffallen, aber Sie sollten die Prüfung dennoch durchführen).
Hinweis: Manche Anbieter bieten zwar eine Plattform an, aber keine Kontrolle über die Daten Ihrer Kommunikationspartner (z. B. Discord oder Twitch). In dem Fall liegt keine Auftragsverarbeitung vor und es müssen keine Auftragsverarbeitungsverträge geschlossen werden. Es könnte jedoch eine Vereinbarung über gemeinsame Verantwortlichkeit erforderlich sein (insbesondere wenn jedoch Nutzerstatistiken zur Verfügung gestellt werden), die jedoch unseres Wissens derzeit von keiner dieser Plattformen angeboten wird.
Wenn Sie die Dienste einsetzen, sollten Sie die Einstellungen möglichst datenschutzfreundlich auswählen (“Datenschutz durch datenschutzfreundliche Voreinstellungen“, Art. 25 Abs. 2 DSGVO).
Insbesondere sollten Sie sich bei jeglichen Tracking-, Beobachtungs-, Protokoll-, Screen-Sharing- und Aufzeichnungs-Funktionen immer fragen, ob diese Funktionen wirklich erforderlich sind. Dazu sollten Sie bei jeder Funktion eine sog. Erforderlichkeitsprüfung durchführen.
Sie sollten in jedem Fall das folgende Prüfungsmuster anwenden und zu Nachweiszwecken wie in dem folgenden Beispiel protokollieren (d.h. niederschreiben).
Angenommen Sie möchten Gespräche mit einem Mitarbeiter als Gedächtnisstütze aufzeichnen:
Zu welchem (zulässigen) Zweck benötigen wir diese Funktion? – Um sich bei eventuellen Fragen an das Gespräch erinnern zu können (Anm.: die meisten Zwecke werden zulässig sein, unzulässig wäre z .B. eine heimliche Totalüberwachung der Mitarbeiter).
Ist die Funktion geeignet, um den Zweck zu erfüllen? – Ja, man kann zu Stellen des Gesprächs springen.
Gibt es nicht datenschutzfreundlichere Wege, die zum gleichen Ziel führen? – Ja, man könnte sich das Wichtigste protokollieren und bei Fragen zurückrufen.
Welche Schutzmaßnahmen sollten ergriffen werden? – Entfällt, da Aufzeichnung nicht erforderlich.
Zwar könnten Sie auch eine Einwilligung der Mitarbeiter in die Aufzeichnung einholen. Allerdings müsste auch die Einwilligung auf ihre Erforderlichkeit geprüft werden, womit Sie zum gleichen Ergebnis kämen.
Anders könnte es aussehen, wenn z. B. Texte in einer Konferenz diktiert und wortgetreu, z. B. in einem Schreiben oder einer Pressemitteilung wiedergegeben werden sollen:
Zu welchem Zweck benötigen wir diese Funktion? – Um die diktierten Texte abtippen zu können.
Ist die Funktion geeignet, um den Zweck zu erfüllen? – Ja, man kann so sicherstellen, das Gesagte genau erfasst zu haben.
Gibt es nicht datenschutzfreundlichere Wege, die zum gleichen Ziel führen? – Nein, man könnte zwar alles protokollieren und zurückrufen. Allerdings wäre die Häufigkeit der möglichen Fehler bei einem genau wiederzugebenden Text zu hoch.
Welche Schutzmaßnahmen sollten ergriffen werden? Aufzeichnung nur im Audioformat, d.h. ohne Bild, wenn technisch möglich, Hinweis auf die Aufzeichnung und Rückfrage ob Mitarbeiter einverstanden ist (Die Bestätigung sollte mitaufgezeichnet werden). Löschung sofort nach Niederschrift (bzw. falls erforderlich, nach Freigabe) der Texte.
D.h. Sie sehen, dass der Einsatz von Video- und Onlinekonferenzdiensten kann nicht einheitlich, sondern muss pro Funktion und Zweck ihrer Nutzung beurteilt werden.
Hinweis: Sie können Sie sich unseres Erachtens auf die Corona-Krise als Argument berufen, wenn Sie die Protokollierung der Zulässigkeitsprüfung Ihrer Video- und Onlinekonferenzsoftware erst nachholen, wenn die Umstrukturierungen dazu Zeit lassen. Da diese Maßnahmen ebenfalls dem Schutz der Rechte Ihrer Kunden, Geschäftspartner und Mitarbeiter dienen, dürfen Sie jedoch nicht ganz auf sie verzichten.
Sie sind dazu verpflichtet die Kommunikationsteilnehmer unter anderem über die Zwecke, Arten und den Umfang der Verarbeitung ihrer personenbezogenen Daten im Rahmen der Konferenzen oder Webinare zu informieren (Art. 12, 13 DSGVO).
Da Sie sowohl Ihre Mitarbeiter wie auch Ihre Kunden oder Geschäftspartner belehren müssen, empfiehlt sich diese Informationen in Ihrer regulären Datenschutzerklärung aufzunehmen. Auf die Datenschutzerklärung können Sie dann per Link z. B. auf Loginseiten oder in Einladungen zu einem Onlinemeeting hinweisen.
Wenn Sie eine Datenschutzerklärung mit unserem Datenschutz-Generator erstellen, können Sie die von Ihnen eingesetzten Dienste auswählen. Die Hinweise beinhalten Links zu den jeweiligen Datenschutzerklärungen und Bestätigungen des Datenschutzniveaus in Drittländern (z . B. Links zu den Privacy-Shield-Zertifikaten).
Als Unternehmen sollten Sie ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO). Dort sollten Sie im Rahmen der aufgeführten Verarbeitungsprozesse auch den eingesetzten Konferenzdienst aufnehmen. Im Prinzip gehören dieselben Informationen hinein, wie in die Datenschutzerklärung.
Mit der folgenden Übersicht erhalten Sie die, für Ihre Prüfung der Nutzung der gewünschten Konferenzdienste erforderlichen Angaben:
Name Land Sicherstellung Datenschutzniveau im Drittland AV-Vertrag/DPA Datenschutzerklärung
Adobe Connect USA Privacy Shield Auf Anfrage Link
AnyMeeting USA Privacy Shield Auf Anfrage Link
Arkadin De – Auf Anfrage Link
Cisco WebEx USA Privacy Shield und Standardschutzklauseln (SCC) Link Link
ClickMeeting Pl – Im Kundenkonto Link
Discord USA Privacy Shield nicht angeboten Link
ecosero De – Auf Anfrage Link
edudip De – Im Kundenkonto Link
fastviewer De – Link Link
Facebook Messenger Rooms IRL Privacy Shield (Bei Datentransfers in die USA) nicht angeboten Link, Link
Google Hangouts / Meet IRL Privacy Shield (Bei Datentransfers in die USA) Link (automatisch mit AGB akzeptiert) Link
GoToMeeting USA Privacy Shield Link Link
Intercall Unified Meeting USA Privacy Shield Link Link
meetgreen De – Auf Anfrage Link
meetyoo De – Auf Anfrage Link
Microsoft Teams USA Privacy Shield Link Link, Link
OnConsult De – Im Kundenkonto Link
RED connect De – Link Link
Skype for Business USA Privacy Shield Link Link, Link
Slack USA Privacy Shield Link Link
SocialHub Meet De – Auf Anfrage Link
TeamViewer De – Link (automatisch mit AGB akzeptiert) Link
Telekom – Conferencing & Collaboration DE – Link Link
Twitch USA – nicht angeboten Link
Whereby Nor – (EWR/DSGVO gilt auch in Norwegen) Link (automatisch mit AGB akzeptiert) Link
Wire Ch Anerkanntes Datenschutzniveau nicht angeboten Link
Zoom USA Privacy Shield und Standardschutzklauseln (SCC) In SCC enthalten Link
Hinweis: Bitte beachten Sie, dass wir nicht alle Datenschutzhinweise und Verträge en detail geprüft haben (auch wenn diese der Erfahrung nach in der Regel ausreichend sind). Des Weiteren heißt, dass ein AV-Vertrag nicht angeboten wird, nicht alleine, dass ein Dienst unwirksam ist. Er wird dann nicht “im Auftrag” erbracht, sondern ähnlich einer Telefonleitung zur Verfügung gestellt (auch wenn der Vergleich nicht streng juristisch gemeint ist). Dann ist kein AV-Vertrag erforderlich. Das gilt auch, wenn Sie ein Konferenztool selbst hosten (wie z. B. Jitsi) und somit keine Daten an externe Anbieter übermittelt werden (daher sind die sebstgehosteten Konferenztools nicht in der obigen Liste vorhanden). Ferner ist die Liste nicht abschließend. Wir haben uns hier an den von unseren Nutzern und Kunden gewünschten Tools orientiert.
Die folgenden Prüfungsmaßnahmen müssen Sie vor dem Einsatz von Video- und Onlinekonferenzanbietern beachten:
EU-Dienste vorziehen.
Dienste mit datenschutzfreundlichsten Einstellungen wählen.
Angemessenes Datenschutzniveau (z. B. Schweiz, Israel, Kanada, Neuseeland).
Privacy-Shield-Zertifizierung eines US-Dienstes.
Abschluss von “EU Model Contract Clauses” (Standardschutzklauseln).
Einwilligung (kommt selten in Frage).
Prüfung, ob weisungsgebundene Auftragsverarbeitung vorliegt.
Prüfung technischer und organisatorischer Maßnahmen.
Prüfung Subunternehmer.
Datenschutzfreundliche Voreinstellungen und Erforderlichkeitsprüfung
Je Funktion und Zweck prüfen und protokollieren:
(Zulässiger) Zweck der Funktion.
Eignung der Funktion für den Zweck.
Keine gleich geeigneten, aber datenschutzfreundlicheren Alternativen.
Mögliche Schutzmaßnahmen.
Aufnahme in das Verzeichnis von Verarbeitungstätigkeiten
Hinweis: Bitte beachten Sie, dass die Checkliste Ihnen helfen soll, die Grundanforderungen zu erfüllen und häufig ausreichen wird. Allerdings empfehlen wir die Prüfung durch eine Fachperson, die auch die Umstände eines Einzelfalls berücksichtigen kann. Wir haben ferner nicht alle Datenschutzhinweise und Verträge geprüft.
Auch wenn in Zeiten der Corona-Pandemie Vieles wichtiger ist als die DSGVO, so müssen Sie als Unternehmen oder Organisationen dennoch die gesetzlichen Vorgaben beachten.
Wenn Sie jedoch die Prüfung der Zulässigkeit der gewählten Dienste protokollieren, sofern erforderlich die Bestätigung der Mitarbeitervertretung einholen, Auftragsverarbeitungsverträge abschließen, die datenschutzfreundlichsten Einstellungen wählen und die Datenschutzerklärung ergänzen, wird der Einsatz der vorstehend genannten Konferenzdienste in der Praxis hinreichend sicher sein.
Allerdings müssen Sie mit Kritik seitens der Datenschützer rechnen, wenn Sie US-Dienste einsetzen, obwohl (aus deren Sicht gleichwertige) EU-Alternativen existieren. Daher sollten Sie genau begründen können, warum es gerade der US-Dienst sein soll.
Um im Einzelfall ganz sicher zu sein, sollten Sie die Prüfung daher am besten von einer Fachperson durchführen lassen (z. B. von Datenschutzbeauftragten oder spezialisierten Rechtsanwältinnen).
31.03.2020 – Hinweis auf das Verzeichnis von Verarbeitungstätigkeiten ergänzt. Neue Dienste “Adobe Connect” und “eudip”.
04.04.2020 – Neue Dienste: “Telekom – Conferencing & Collaboration”.
07.04.2020 – Neuer Link zum AV-Vertrag (DPA) von Zoom.
16.04.2020 – Neuer Dienst Whereby.
17.05.2020 – Teamviewer, Verweis auf AV-Vertrag in EULA; Link zum AV-Vertrag von Cisco Webex aktualisiert.
27.05.2020 – ecosero und RED connect neu aufgenommen.
08.06.2020 – SocialHub Meet neu aufgenommen.
10.06.2020 – OnConsult, Facebook Messenger Rooms und Wire neu aufgenommen.
Videokonferenz-Tools: Tipps zur Auswahl und Verwendung – Vertiefende Hinweise, vor allem zur Prüfung von Sicherheitsmaßnahmen bei Datenschutz-Beauftragter.info.
Covid-19 als „höhere Gewalt“ im Datenschutzrecht? Unternehmen sind nicht in der Haftung – bei RA Dr. Carlo Piltz.
Hilfe…ist „zoom“ etwa eine Datenschleuder? – bei RA Stephan Hansen-Oest.
Vernetzt bleiben trotz Corona – datensparsame Tools fürs Homeoffice – Datenschutzfreundliche Alternativen bei Digitalcourage e.V. (auch wenn häufig für betriebliche Nutzung, z. B. wegen Teilnehmereinschränkungen, weniger geeignet).
GDD-Praxishilfe DS-GVO XVI – Videokonferenzen und Datenschutz.
Kompendium Videokonferenzsysteme – Bundesamt für Sicherheit in der Informationstechnik (BSI).
“Rechtssicher Videokonferieren” – Dr. Schwenke zu Gast in der Folge 11 des Podcasts “Auslegungssache” der C’t.
Wir brauchen Ihre Zustimmung, um diesen Inhalt anzuzeigen. Dieser Inhalt wird von Facebook bereitgestellt. Wenn Sie den Inhalt aktivieren, werden unter Umständen personenbezogene Daten verarbeitet und Cookies gesetzt, die auchzur Bildung von Nutzerprofilen und zu Marketingzwecken verwendet werden können. Informationen sowie Hinweise zu Einstellungs-, Widerrufs- und Widerspruchsmöglichkeiten, erhalten Sie in unserer Datenschutzerklärung sowie der Datenschutzerklärung von Facebook
Mit unserer DSGVO-Datenschutzerklärung können Sie Video- und Konferenztools generieren. Für den Nachweis über eine DSGVO-gerechte Unterrichtung der Mitarbeiter*innen über Datenschutzvorgaben, empfehlen wir eine “Vereinbarung über Datenschutz im Home- und Mobile-Office (Telearbeit)” abzuschließen.
Schlagwörter: arbeitnehmer, bdsg, corona, discord, dsgvo, home-office, homeoffice, onlinekonferenz, sicherheit, skype, slack, twitch, videokonferenz, webinar, zoom
Zoom ist unter dem EU-U.S.-Privacy Shield zertifiziert
Dankeschön lieber Michael, ist ergänzt.
RA Kolyvas sagt:
Christian Süßenguth sagt:
Zum Selbsthosten und sozusagen als OpenSource-Alternativen gibt es noch Jitsi Meet (https://jitsi.org/jitsi-meet/) mit Tutorial (https://andersgood.de/blog/jitsi-meet-sichere-und-kostenfreie-videokonferenzen-im-browser) und BigBlueButton (https://bigbluebutton.org/) mit Tutorial (https://andersgood.de/blog/bigbluebutton-eine-selbstgehostete-gotowebinar-alternative).
Beides – wenn korrekt eingestellt – datenschutztechnisch sicher und zuverlässig zu betreiben. Und es macht sogar Spaß, diese Tools zu verwenden 🙂
Uwe Nolte sagt:
Moin Herr Schwenke,
Die Verarbeitungstätigkeit muss noch im VVT aufgenommen werden.
31. März 2020 um 11:48 Uhr
Dankeschön für den Hinweis, ich habe den Hinweis auf das Verzeichnis von Verarbeitungstätigkeiten ergänzt.
Susanne Plaumann sagt:
Bitte auch Adobe Connect ergänzen, https://www.adobe.com/de/privacy.html, ist unter Privacy Shield zertifiziert, https://www.privacyshield.gov/participant?id=a2zt0000000TNo9AAG&status=Active, AVV im Datenschutzzentrum aufrufbar
Bitte auch edudip next ergänzen, https://www.edudip.com/de/datenschutz, DE, AVV im Kundenbereich aufrufbar
Vielen herzlichen Dank, ich habe Adobe Connect und edudip ergänzt.
Vielen Dank für den Artikel und die gute Übersicht.
Ulrich Zimmer sagt:
Hallo, danke für diese Info. Haben Sie auch was zu dem von Telekom angebotenen Conferencing und Collaboration?
Werner L. Kuhnert sagt:
Videokonferenz Lösungen, um die Arbeit aus dem Homeoffice zu ermöglichen, gibt es viele. Von kostenlos bis billig und von unsicher bis sicher. Viele Anbieter sagen ihre Lösung ist durch Ende-zu-Ende-Verschlüsselung geschützt. Das ist schon mal besser als gar nichts. Grundsicherung sozusagen. Was aber alle Anbieter verschweigen ist, wie sich ihre Lösung bei Mehrpunkt-Videokonferenzen verhält. In dem Sie also mit mehreren Teilnehmern gleichzeitig konferieren, ist dann allen Cyberattacken Tür und Tor geöffnet und nur die verschlüsselte Kommunikationsverbindung zwischen Client und Server nützt nichts mehr.
Nur Tixeo bietet die sicherste Videokonferenz-Technologie im Markt und ist von der CSPN (Nationale Cybersecurity Agentur Frankreich) und der ANSSI qualifiziert und zertifiziert. Kein anderer Anbieter hat vergleichbare Sicherheitsmechanismen, um ein bisher unerreichtes Vertraulichkeitsniveau für eine Multipoint-Kommunikation zu gewährleisten. Die Schwachstellen liegen bei anderen Lösungen trotz Verschlüsselung im Betrieb von Multipoint-Brücken, da dort die End-to-End-Verschlüsselung unterbrochen wird. Dies gilt ins besonders für ältere H.323 Lösungen, bzw. SIP basierten Videokonferenzsystemen. Tixeo’s einmalige SVC on Demand (Scalable Video Coding on Demand) Technology hat diese Schwachstelle nicht. Außerdem gibt es keine Notwendigkeit die Sicherheitsrichtlinien des Unternehmens zu ändern, da sich die Tixeo Lösung automatisch den vorhandenen Richtlinien anpasst. D.h., dass keine zusätzlichen Ports auf den Endgeräten (Windows oder MacOS) oder Netzwerkgeräten geöffnet werden müssen.
Mehr unter https://www.tixeo.com/sichere-videokonferenzen/
John Olford sagt:
Is Apple FaceTime included?
auch ich danke erst einmal für die Übersicht!
Interessant finde ich auch “Jami” (früher Ring): https://jami.net/
Viber erklärt in seinen “Datenschutz”-Bestimmungen, dass es die Kontaktdaten des Telefons ausliest, obwohl die Firma in Luxemburg sitzt – allerdings eine Tochter von Rakuten ist. Was ist davon zu halten? (Wobei der gleiche Rechtsverstoß bei What’sApp ja offenbar keines für irgendjemanden ist).
Zum Privacy Shield: Meines Wissens ist dieser, wenn es einem wirklich um den Schutz von Daten und nicht um rechtliche Aspekte geht, löchrig wie ein Schweizer Käse. Ist das richtig?
nach What’sApp muss es natürlich heißen: “kein Problem” statt “keines”, sorry!
Habe Interesse an einer sicherem Tool für Videokonferenzen, jetzt wg. Corona.
Könnt ihr nicht einfach eine sichere einfache und kostengünstiges Programm, APP empfehlen?
Das was oben geschrieben wird, das ist sicher gut und richtig; aber vieles davon ist für mich völlig unverständlich und gerade jetzt: ich habe echt andere Sorgen, exixtenzielle, als das obige zu verstehen!
Ich brauche ein sicheres Tool, installieren, 5 Funktionen und fertig,
für alles andere habe ich keine Zeit!
mit besten Grüßen und bleibt gesund! WB
1. April 2020 um 11:59 Uhr
Meine Frage geht Richtung Zoom.
Kann man, angesichts der aufgetauchten Löcher und Datenübermittlungen, ein solches Tool weiterhin als DSGVO Konform ansehen?
Der Tabelle nach wäre dem ja so – ehrlich gesagt, wäre ich derzeit komplett gegenteiliger Ansicht.
Ja, man kann es als DSGVO-Konform ansehen, man kann aber auch einer anderen Meinung sein. Dann kommt es noch darauf an, welche Löcher und Datenübermittlungen gemeint sind. Pauschale Aussagen sind im Datenschutz selten möglich und vor allem, wenn sich die Sachlage so schnell wie bei Zoom ändert (Entfernung Facebook-SDK aus der App, Nachbesserung Datenschutzhinweise, etc.). Dann ist es auch eine Frage, in welchem Kontext der Einsatz erfolgt (Geschäftspartner, Kunden, Mitarbeiter oder gar Patienten) und ob welche Art der Nutzung (App, Desktop) gemeint ist.
Hastrich sagt:
Besten Dank für die prägnante Übersicht.
Wintel sagt:
Bei Cisco Webex steht in der Spalte AV-Vertrag “in SCC enthalten”.
Bedeutet das, dass durch die Standard-Schutzklauseln (Dokname: MASTER DATA PROTECTION AGREEMENT) kein AV-Vertrag geschlossen werden muss, sondern durch die einseitige Erklärung von Cisco zustande kommt?
3. April 2020 um 16:25 Uhr
Richtig, hier gilt Art. 28 Abs. 7 DSGVO, wonach die AV-Regelungen in den SCC enthalten sein dürfen: “Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 93 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.“
Danke für die gute Übersicht. Ich finde auf folgende Frage trotz intensiver Recherche keine Antwort:
Nehmen wir an ich bin Veranstalter*in von Webinaren/Online-Trainings und nutze dafür einen Dienst wie gotowebinar oder Zoom. Beide installieren ja eine Anwendung auf dem Gerät der Teilnehmenden. Selbst wenn ich selbst den Datenaustausch mit den Diensten minimiere – um teilzunehmen müssen von den TN z.b. die E-Mailadressen beim Betreten des Meetingraumes angegeben werden. Mein Gefühl sagt mir, dass ich das potentiellen Teilnehmenden im Anmeldeformular und der Datenschutzerklärung mitteilen muss.
Wie kann/muss ich Datenschutzerklärung und Teaser (im Anmeldeformular) richtig gestalten? Ich finde einfach keine Beispielformulierungen…
Wie ist bei TeamViewer das “Nicht angeboten” in der Spalte “Sicherstellung Datenschutzniveau im Drittland” zu verstehen?
Gibt es keine Verarbeitung in einem Drittland und ist damit alls gut?
Oder gibt es eine Verarbeitung in einem Drittland und TeamViewer bietet nichts zur Sicherstellung des Datenschutzniveaus, also nicht gut?
a) Danke hierfür
b) Sehe ich das Richtig, das bei Teamviewer auch das Angebot Blizz mitgemeint ist? (Ist ja der gleiche Anbieter)
c) Gibt es auch etwas, das nicht nur der DSGVO konform sondern auch den Verschwiegenheitspflichten von Rechtsanwälten/Wirtschatfsprüfer/Steuerberatern gerecht wird? Sprich E2E Verschlüsselung und möglichst wenig Metadatenrauschen? Weil sowas richtiges habe ich noch nicht gefunden… …oder ich denke zu kompliziert.
Bellm sagt:
26. April 2020 um 13:18 Uhr
Jitsi und BBB sollte dringend ergänzt werden, durch das eigene Hosting ist man selbst Anbieter und ist der eigene Herr der Daten.
27. April 2020 um 17:39 Uhr
Dann entfallen jedoch die meisten Prüfungsschritte, da es in diesem Beitrag um den Einsatz von fremdgehosteten Diensten geht. Wenn man den Dienst selbst betreibt, dann muss man sich (als Herr der Daten) letztendlich nur um die Datensicherheit kümmern.
27. April 2020 um 12:07 Uhr
Dankeschön für die ausführlich Übersicht. ich setzte momentan auf Jitsi Meet. In der Standardkonfiguration werden Logfiles mit IP-Adressen erstellt, die kann aber einfach angepasst werden:
https://scheible.it/datenschutzfreundliche-konfiguration-jitsi-meet/
Nicholas Vollmer sagt:
28. April 2020 um 07:15 Uhr
Der CISCO-Link zu SCC ist eventuell nicht ganz passend. Adressiert sind “supplier” und “affiliates”. Auch in dem EU-Standardvertrag. Mir scheint, die Kunden sind hier nicht adressiert.
Allerdings habe ich auch nach langer Suche keinen wirklich passenden AV-Vertrag gefunden. Muss ich erst einen Account für Webex erstellen?
17. Mai 2020 um 20:11 Uhr
Danke für den Hinweis (und entschuldigung für die verspätete Antwort), der Link zum Auftragsverarbeitungsvertrag lautet: https://help.webex.com/en-us/pdz31w/Cisco-Webex-Compliance-and-Certifications
Martin Scham sagt:
Bitte Slow Food Fast (https://www.slowfoodfast.de) nachtragen. Gibt es als PaaS Angebot, da erhält man seinen eigenen Server und kann alles den eigenen Wünschen entsprechend anpassen.
Ein SaaS Angebot – also einfach nur einen Account wie bei Zoom, etc. – gibt es auch noch, auf Infos zum AV Vertrag warte ich noch. Die Datenschutzerklärung sieht angenehm übersichtlich aus!
Hallo, es ist eine sehr gute Übersicht, es fehlt noch das Konferenztool von ecosero, das recht gut ist und auf deutschen Servern läuft. Eine Ergänzung wäre super. http://www.ecosero.com
25. Mai 2020 um 12:35 Uhr
Danke für den Vorschlag, ich habe ecosero aufgenommen.
Dr. Gwendolin Rugen sagt:
24. Mai 2020 um 18:18 Uhr
Vielen Dank für die tolle Übersicht und die detaillierten Infos! Super, das macht es deutlich einfacher auf die DSGVO Konformität zu achten. 👍
WHEREBY ist ein norwegischer und kein amerikanischer Dienst (mit Sitz in Norwegen) : Whereby will comply with Norwegian and EU privacy regulations. (siehe Webseite)
Vielen herzlichen Dank für den Hinweis. Ich habe die Angabe zu WHEREBY angepasst.
9. Juni 2020 um 21:11 Uhr
Ein weiterer Anbieter aus Deutschland ist https://onconsult.de
Das Tool ist webbasiert und für die Teilnahme an Online Meetings ist keine Registrierung nötig, so fallen keine persönlichen Daten an. Einen AV Vertrag kann im Kundenkonto heruntergeladen werden
10. Juni 2020 um 13:44 Uhr
Danke für den Hinweis, ich habe OnConsult aufgenommen.