04/2020 – Fachartikel Swiss Infosec AG

Aus aktuellem Anlass informieren wir Sie über die Tücken und Risiken bei Home Office aus datenschutzrechtlicher Sicht.

Ausgangslage

Die heutige Lage in der Schweiz und weltweit führt dazu, dass Social Distancing auch im Beruf ausgeübt wird und viele Menschen mit Bürotätigkeit von zuhause aus arbeiten. Die plötzliche Umstellung auf Home Office birgt jedoch nicht nur Unannehmlichkeiten wie fehlende gemeinsame Kaffeepausen oder nicht funktionierende Mikrofone bei Skype-Meetings; auch wichtige Datenschutzprinzipien müssen weiterhin eingehalten werden und können bei Missachtung Konsequenzen nach sich ziehen.

Angemessene technische und organisatorische Massnahmen

Auch wenn der Arbeitnehmer von zuhause aus arbeitet, so bearbeitet er dennoch Personendaten für und im Auftrag des Arbeitgebers. Der Arbeitgeber bleibt somit Verantwortlicher für den datenschutzkonformen Umgang mit diesen Daten. Entsprechend hat er nach Art. 7 Datenschutzgesetz (DSG) die Datensicherheit durch angemessene technische und organisatorische Massnahmen sicherzustellen. Ist auf Ihre Tätigkeit die Datenschutz-Grundverordnung (DSGVO) anwendbar, so sieht Art. 24 Abs. 1 DSGVO dieselben Regeln vor.

Bei der Bearbeitung von Personendaten ist beispielsweise darauf zu achten, dass Familienmitglieder keine Einsicht in diese Daten erhalten – Bildschirmsperre bei Verlassen des Arbeitsplatzes gilt somit auch zuhause. Dokumente in Papierform müssen sicher aufbewahrt werden, entweder in einem abschliessbaren Schrank oder zumindest in einem separaten, abschliessbaren Zimmer. Keinesfalls dürfen nicht mehr benötigte Akten im heimischen Altpapier landen; diese sind sicher aufzubewahren und anschliessend im Büro des Arbeitgebers gemäss interner Vorschrift zu vernichten. Sie können im Home Office vernichtet werden, wenn ein Aktenvernichter mit entsprechender Sicherheitsstufe verwendet wird. Für den Zugriff auf die Systeme des Arbeitgebers verwenden Sie am besten ein Virtual Private Network (VPN), um eine verschlüsselte Datenübertragung sicherzustellen.

Je nach Branche, in der Sie tätig sind, werden unterschiedliche Daten mit einem unterschiedlichen Grad an Sensibilität verarbeitet. Bei der Bearbeitung besonders schützenswerter Personendaten wie Gesundheitsdaten haben die Regeln zur Datensicherheit einen besonders hohen Stellenwert und dürfen keinesfalls vernachlässigt werden.

Um genug hohe Sicherheitsstandards zu gewährleisten, sollte der Arbeitgeber klare Nutzungsregelungen in eindeutigen geschäftlichen Richtlinien wie einer Benutzerweisung, schriftlich regeln. Dadurch wissen die Angestellten, welche Massnahmen sie für ihr Home Office ergreifen müssen.

Tools für die digitale Zusammenarbeit

Der Datenschutzbeauftragte des Kantons Zürich hat einige der beliebtesten Instrumente für die digitale Zusammenarbeit auf ihre Datenschutzkonformität geprüft. Die Liste kann unter folgendem Link konsultiert werden: https://www.datenschutz.ch/datenschutz-in-oeffentlichen-organen/digitale-zusammenarbeit

Arbeiten auf eigenen Geräten

Wenn Sie den Angestellten das Arbeiten auf eigenem Smartphone und/oder Laptop erlauben, sind zusätzliche Datenschutzvorkehrungen zu beachten. Dazu konsultieren Sie am besten unseren News-Beitrag «BYOD – Private Arbeitsgeräte im Geschäft» vom Juli 2019.

Unser Fazit

Zusammengefasst kann festgehalten werden, dass Home Office durchaus datenschutzkonform ausgestaltet werden kann. Wichtig ist, dass Ihre Mitarbeitenden wissen, welche Massnahmen sie zu treffen haben, um die Datensicherheit zuhause zu gewährleisten. Auch ist darauf zu achten, dass datenschutzkonforme Kommunikationskanäle gewählt werden.

Grundsätzlich sind alle datenschutzrelevanten Punkte zu klären, bevor ein Arbeitgeber Home Office zulässt. Die jetzige ausserordentliche Lage führte wohl regelmässig zum Home Office-Einsatz, noch bevor die Arbeitnehmer mit den entsprechenden Vorschriften vertraut gemacht wurden. Es ist also zwingend notwendig, entsprechende Weisungen unverzüglich zu erlassen. Gerne unterstützen wir Sie umgehend bei der Erstellung einer solchen Weisung.

Gerne beantworten wir Ihre Fragen und unterstützen Sie bei der Einhaltung von Schweizer Datenschutz und DSGVO.  

03/2020 – Fachartikel Swiss Infosec AG

Die dänische Datenschutzbehörde Datatilsynet hat in einem aktuellen Beschwerdefall am 11. Februar 2020 die meisten aktuellen Cookie-Banner auf Webseiten für rechtswidrig und als einen DSGVO-Verstoss eingestuft.

Ausgangslage

Es ging dabei um den Cookie-Banner auf der Webseite www.dmi.dk.

Dieser war wie folgt ausgestaltet: in Form eines Pop-Ups erschien der Text

„DMI und Dritte verwenden Cookies, um dmi.dk nützlicher zu machen und Ihnen eine bessere Erfahrung sowie Statistiken und gezieltes Marketing zu bieten. Wenn Sie auf OK klicken, stimmen Sie dem zu. Sie können Cookies auswählen und abwählen, indem Sie auf Cookie-Einstellungen klicken. Sie können Ihre Einwilligung jederzeit widerrufen. Lesen Sie mehr darüber und über Cookies auf dmi.dk in unserer Cookie-Richtlinie“.

Darunter gab es zwei Buttons:

„[ OK ]           [ Cookie Einstellungen ]“

Klickte der User auf „Cookie Einstellungen“ öffnete sich eine neue Seite, auf der die Cookies einzeln nach Rubriken unterteilt waren:

„erforderlich
funktional
statisch
Marketing
nicht klassifiziert“

Es ging bei der Auseinandersetzung nun um die Frage, ob durch das Pop-Up-Fenster eine wirksame Einwilligung eingeholt wurde.

Begründung der dänischen Datenschutzbehörde

Fehlende Transparenz für wirksame Einwilligung

Die dänische Aufsichtsbehörde verneinte dies mit der Begründung, es fehle an der erforderlichen Transparenz, damit der Verbraucher eine wirksame Einwilligung abgeben könne:

Nach Ansicht der Datenaufsichtsbehörde wird im Cookie-Banner der Webseitenbesucher nicht ausreichend informiert. Für die betroffenen Personen seien nicht genügend klare Informationen über die (gemeinsame) Verarbeitung personenbezogener Daten der Verantwortlichen, Google, vorhanden, da DoubleClick und AdSense genannt werden und nicht Google. Dies sei für die Nutzer intransparent, da diese Produktnamen den betroffenen Personen nicht geläufig seien.

Kritik ebenfalls an der Darstellung im Pop-Up

Ebenso kritisieren die Datenschützer die Darstellung der Buttons im Pop-Up selbst: Nach Ansicht der Datenaufsichtsbehörde erfüllt die derzeitige Struktur der Einwilligungslösung des DMI (bei der dem erstmaligen Besucher zwei Möglichkeiten in Bezug auf die Verarbeitung personenbezogener Daten angeboten werden; „OK“ und „Details anzeigen“) die Anforderungen an die Transparenz nicht.

Einem Besucher der Website ist es nicht möglich, die Verarbeitung personenbezogener Daten durch Cookies direkt abzulehnen. Der Besucher muss sich dafür zunächst die „Cookie-Einstellungen“ anzeigen lassen. Ein solcher „One-Click-Away“-Ansatz ist nach Ansicht der Datenschutzaufsichtsbehörde nicht transparent, da er einen zusätzlichen Schritt erfordert, damit die betroffene Person die Einwilligung zur Verarbeitung personenbezogener Daten verweigern kann.

Ebenso ist es nach Ansicht der Datenschutzaufsichtsbehörde mit dem Grundsatz der Transparenz nicht vereinbar, dass die Möglichkeit, keine Einwilligung in die Verarbeitung personenbezogener Daten zu erteilen, nicht auf den ersten Blick so klar kommuniziert wird wie die Möglichkeit, eine Einwilligung zu erteilen. Hierdurch würde die betroffene Person indirekt dazu gedrängt, eine Einwilligung in die Verarbeitung personenbezogener Daten zu erteilen.

Und jetzt?

Nicht klar ist jetzt, wie dies die anderen Datenschutzbehörden in anderen Ländern handhaben werden. Schliesslich ist die jeweilige nationale Aufsichtsbehörde nach Art. 55 DSGVO für Unternehmen zuständig. Der Entscheid bildet allerdings zumindest ein erstes Anzeichen, in welche Richtung die Datenschutzbehörden beim Einholen einer Einwilligung zum Setzen von Cookies nach den Vorgaben der DSGVO gehen könnten.

Gerne beantworten wir all Ihre spezifischen Fragen zum Cookie-Banner und zu allen weiteren datenschutzrechtlichen Fragen in Ihrem Unternehmen. Wir unterstützen Sie bei der Einhaltung des DSG und der DSGVO nach Best Practice: «Genau so viel, wie Sie brauchen und angemessen ist!»