Je höher das Schutzniveau in einer Organisation ist, desto eher sind Zusatzmaßnahmen wie die Verschlüsselung der Daten auch in ruhendem Zustand zu treffen. Durch die Stellungnahme bleibt die Lage für die Verantwortlichen, die Daten mittels Microsoft 365 verarbeiten, weiterhin schwierig. Eine umfassende oder abschließende rechtliche Prüfung durch die Aufsichtsbehörden steht weiterhin aus.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 15.03.2022 in einer Pressemitteilung vor dem Einsatz von Sicherheitsprodukten des russischen Hersteller Kaspersky gewarnt:

https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2022/220315_Kaspersky-Warnung.html

Das sicherheitstechnische Problem bei diesen Programmen ist, dass Sie meist mit den höchsten Rechten im IT-System ausgestattet sind und ändernd auf alle Ressoucen, Daten und Systemeinstellungen zugreifen können.

Das BSI zeigt an, dass der Hersteller Kaspersky auf Grund nationaler russischer Gesetzgebung gezwungen werden kann an Cyberangriffen auf Institutionen und Unternehmen teilzunehmen, bzw. diese zu unterstützen.

Auf Grund der BSI-Warnung sollten betroffene Unternehmen möglichst rasch einen Wechsel der Sicherheitssoftware durchführen.

Zusammenfassung / Stand: 10.01.2022

Viele Einrichtungen im Gesundheits- und Sozialbereich sind verpflichtet worden Nachweise zum Impf- oder Genesungsstatus, bzw. zur Kontra-Indikation Ihrer Beschäftigten, ehrenamtlichen Mitarbeiter:innen, Praktikant:innen, Schüler:innen usw. zu verlangen, zu prüfen und die Prüfung zu dokumentieren. Diese Personen müssen die Nachweise spätestens zum 15.03.2021 erbringen.

Der Verarbeitung erfolgt u.a. im Rahmen des jeweiligen Beschäftigungsverhältnisses auf Grundlage von §20a IfSG. Eine gesonderte Einwilligung der betreffenden Personen ist nicht notwendig. Es besteht eine Nachweispflicht seitens der betreffenden Personen.

Die Regelung ist aktuell bis zum 31.12.2022 befristet.

Mustervorlage Erhebung Nachweispflicht gem. §20a IfSG

Datenschutzrechtlicher Hintergrund

Zum 15.03.2022 wird für viele Einrichtungen im Gesundheits- und Sozialbereich eine Impfpflicht für alle Beschäftigten eingeführt. Datenschutzrechtlich erfüllen die Vorgaben gem. §20a IfSG die Anforderungen an eine Rechtsgrundlage zur Verarbeitung der Daten. 

Dabei ist nach wie vor die Speicherung der Nachweise und Zertifikate unzulässig. 

Wir empfehlen Ihnen bei Zweifeln an der Echtheit, bzw. Gültigkeit von Zertifikaten (Fälschungen) dennoch eine Dokumentation anzufertigen, um etwaige rechtliche Schritte einleiten zu können.

Eine Einwilligung der Beschäftigten in die Datenverarbeitung ist nicht erforderlich. Die bestehenden Datenschutzinformationen müssen nicht angepasst werden.

Welche Einrichtungen sind betroffen?

Diese sind in §20a IfSG aufgeführt:

• Gesundheitsbereich (Leistungen gem. SGB V),
• Einrichtungen zur Betreuung und Unterbringung älterer, behinderter oder sonstwie pflegebedürftiger Menschen und
• ambulante Dienste zur Betreuung und Unterbringung älterer, behinderter oder sonstwie pflegebedürftiger Menschen.

Bitte schauen Sie sich die genaue Aufstellung gem. §20a IfSG an. Bei Fragen hierzu sprechen Sie uns einfach an. Wir unterstützen Sie gerne bei der Zuordnung.

Personen, die der Nachweispflicht unterliegen

Die Nachweisdaten folgender Personen sind zu erheben:

• Arbeitnehmer:innen,
• ehrenamtliche Mitarbeiter:innen,
• Mitarbeiter:innen aus der Arbeitnehmer:innenüberlassung, bzw. Zeitarbeiter,
• Schüler:innen, Praktikant:innen, 
• Leistende der Freiwilligendienste,
• Auszubildende usw.

aller Bereiche der jeweiligen Unternehmen. 

Es findet keine Beschränkung auf die Behandlung, Pflege oder Betreuung statt. Es sind auch die Leitungen, die Verwaltung und unterstützende Leistungen miterfasst.

Personen, die nicht der Nachweispflicht unterlegen

Ausgenommen von der Impfpflicht sind alle Personen, in als Empfänger:innen der Leistungen der Einrichtungen angesehen werden (z.B. Bewohner:innen, betreute Personen usw.).

Verfahren zur Verarbeitung der personenbezogenen Daten

Dabei gibt das Infektionsschutzgesetz folgenden Verfahren zur Verarbeitung der personenbezogenen Daten vor:

• Person legt Nachweis vor
  • Impfnachweis
  • Immunisierungsnachweis
  • Ärztl. Attest Kontra-Indikation
• Einrichtung prüft den Nachweis auf Gültigkeit
• Einrichtung dokumentiert die Prüfung und die Daten der Person
  • Name, Vorname, Geburtsdatum, weitere Daten zur Identifikation (z.B. Arbeitsbereich, Personalnummer usw.)
  • Dokumentation Impfdatum, Immunisierungsdaten usw.
• Im Fallen des Nichtnachweises der betroffenen Person / eines ungültigen oder gefälschten Nachweises muss die Einrichtung die oben genannten Daten der betroffenen Person und zudem die Privatadresse an die zuständige Aufsichtsbehörde (z.B. Gesundheitsamt) übermitteln.

Speicherung / Kopieren der Nachweisdokumente

Aus datenschutzrechtlicher Sicht ist eine Speicherung / das Anfertigen von Kopien der Nachweisdokumente durch die Arbeitgeber:innen unzulässig.

Zoom verboten? So nutzen Sie rechtssicher die Meeting-Software

Videokonferenzen via Zoom & Co. haben es während der Corona-Pandemie gerade im Gesundheits- und Sozialbereich überhaupt ermöglicht, den Geschäftsbetrieb aufrechtzuerhalten. Die Datenschutzaufsicht in Berlin hat nun Alarm geschlagen. Denn Zoom nutzt verschiedene Daten zu eigenen Zwecken und präsentiert sich erneut als wenig transparent. Zwar werden die Inhalte Ihrer Meetings nicht ausgewertet, doch ist es höchste Zeit, zu handeln. Wir zeigen Ihnen nicht nur die datenschutzrechtlichen Herausforderungen auf, sondern auch, wie Sie die beliebte Meeting-Software in Zukunft rechtssicher nutzen.

Sicherheitslücken bei Zoom sind kein neues Thema

Immer wieder geriet Zoom in der Vergangenheit rund um das Thema Datensicherheit in die Schlagzeilen. Sicherheitsexperten hatten 2020 ermittelt, dass Zoom personenbezogene Daten an Dritte weitergibt. Daten landeten unter anderem bei Facebook – selbst dann, wenn sich bei Apple iOS nicht via Facebook-Account bei dem Dienst eingeloggt wurde. Aufgedeckt wurden außerdem weitere Sicherheitslücken. Fremde konnten sich in laufende Konferenzen einloggen oder hatten die Möglichkeit, ein Meeting mit Werbung zu fluten. An den Admin der Konferenz erfolgte zudem eine Weiterleitung der Daten der Nutzer. Unter anderem IP-Adresse, Standort und Information über verwendete Geräte. Um die Privatsphäre zu wahren, mussten User dieses Feature manuell deaktivieren. Ein heißes Eisen war auch die Verschlüsselung. Die Transportverschlüsselung erfolgte nur mit TLS. Das heißt: Inhalte waren bei der Übertragung geschützt, Zoom kann allerdings darauf zurückgreifen.

Wie Zoom auf die Vorwürfe reagierte

Zoom nahm die Vorwürfe ernst und justierte entsprechend nach. Die Weitergabe der Daten an Facebook wurde beendet, wenn sich die User nicht über das soziale Netzwerk anmelden. Eine neue Passwortfunktion und eine insgesamt bessere Verschlüsselung sollten dafür sorgen, Sicherheitslücken während der Meetings zu entschärfen. Für jede Konferenz wird automatisch ein Passwort generiert, was Zoom-Bombing mit Werbung und aller Art Spam in Zukunft vermeiden sollte. So wurde für die Transportverschlüsselung auf AES 265 Bit GCM gesetzt – vorausgesetzt, Anwender haben die jeweils neueste Zoom-Version installiert. Zahlende Zoom-User können zudem den Server-Standort auswählen. Entweder in den USA oder Kanada, Australien, Europa, China, Indien, Hongkong, Japan oder Lateinamerika. Standardmäßig wurde zudem das Aufmerksamkeitstracking deaktiviert. Ende gut, alles gut bei Zoom?

Rotes Licht für Zoom aus Berlin

Offensichtlich nicht. Denn die Berliner Beauftragte für Datenschutz und ihr Team kamen im Rahmen einer Überprüfung verschiedener Anbieter von Videokonferenzdiensten zu einem ganz anderen Ergebnis. Geprüft wurde zunächst die rechtskonforme Verarbeitung der Daten. Fiel die positiv aus, kamen in einem nächsten Schritt die technischen Eigenschaften der Dienste unter die Lupe. Bewertet wurden die Ergebnisse mit einem Ampelsystem. Für Zoom gab es Dunkelrot von den Datenschützern. Das bedeutet, es liegen Mängel bei dem Dienst vor, die eine rechtskonforme Nutzung ausschließen. Im Detail wären das die Verarbeitung personenbezogener Daten zu eigenen Zwecken, verspätete oder eingeschränkte Datenlöschungen, nicht ausreichend gestaltete vertragliche Anforderung für die Einbindung von Subunternehmern und unzulässige, während der Nutzung nicht vermeidbare Datenexporte.

Gravierende Verstöße von Zoom gegen die DS-GVO

Es blieb den Prüfern beispielsweise unklar, inwieweit Zoom als Auftragsverarbeiter agiert – alleine verantwortlich oder in gemeinsamer Verantwortung mit den Kunden. Denn das “Zoom Privacy Statement” vom August 2020 erklärt sich im Falle der Auftragsverarbeitung explizit für unanwendbar. Außerdem genügt Zoom nicht den Anforderungen von Art. 28 Abs. 3 lit. a DS-GVO und präsentiert sich auch im Hinblick auf die Rechenschaftspflicht gemäß Art. 5 Abs. 2 DS-GVO als problematisch. Ein Abgleich mit der Ziffer 9.3. des Privacy Statements offenbart eine gravierende Einschränkung der Kontrollrechte seitens der Kunden, was Art. 28 Abs. 3 DS-GVO widerspricht. Zudem sind Sub-Auftragsverarbeiter nicht ausreichend benannt und ihre Zuständigkeiten für den User nicht transparent. Neue Unterauftragsverarbeiter erfordern ein aktives Handeln, was Art. 28 Abs. 2 Satz 2 DS-GVO widerspricht. Die Details machen es schwierig, gegen neue Sub-Auftragsverarbeiter Einspruch einzulegen. Die Frist beträgt hier ohnehin nur zehn Tage. Erschwerend kommt hinzu, dass die neuen Auftragsverarbeiter nicht mehr dieselben Datenschutzpflichten auferlegt werden und es muss nicht zwingend das Unionsrecht oder das der Mitgliedsstaaten angewendet werden. Auch hier liegt ein Verstoß gegen Art. 28 Abs. 4 S. 1 DS-GVO vor. Zoom behält sich zudem das einseitige Recht zu einer Vertragsänderung vor bei bestimmten Bedingungen. Aufgrund dieser gravierenden rechtlichen Mängel schaffte es Zoom gar nicht erst in die zweite Runde der technischen Überprüfung.

Das Aus für Zoom? Es gibt einen Weg!

Die Ergebnisse aus Berlin mögen wie ein Schock wirken, wenn Sie für Ihre Videokonferenzen auf die beliebte Software Zoom setzen. Die gute Nachricht: Sie müssen nicht auf einen anderen Dienst umsteigen. Wir sind in der Lage, Ihre Zoom-Konfiguration anzupassen. Das erlaubt, nicht im Einklang mit der DS-GVO stehende problematische Funktionen entweder direkt abzuschalten oder so zu konfigurieren, dass Sie auf der sicheren Seite sind.
Wir bieten Ihnen einen einzigartigen Service an: wir zeigen Ihnen direkt in den Einstellungen von Zoom, wie Sie den Dienst sicher nutzen. Nutzen Sie hierzu unsere 1:1-online Beratung persönlich und speziell für Sie.