datenschutz - faq

Datenschutz-FAQ

DieFragen1bis6

IneinemDokument

Version1/April2020

Vorstandsmaterialien

Datenschutz–FAQ(komplett)

© D G O B – V o r s t a n d 2 0 2 0 S e i t e 2|25

2 Datenschutz-FAQ

Datenschutz-FAQ

IndenDatenschutz–FAQwerdendieFragenbeantwortet,dieamhäufigstenimZusammenhangmitvertraulicherKommunikationmitRatsuchendenunterNutzungvonDigitalmedien(eMail,Video-Toolsetc.)gestelltwerden.

FragenzudenFAQsbittenwirandieGeschäftsstelle([email protected])zurichten.

ÜberIhrFeedbackzudenFAQsfreuenwiruns.

WichtigerHinweis:DieInhaltewurdennachbestemWissenrecherchiertundzusammengestelltundersetzenkeinefachkundigeUnterweisung.FürdiehierveröffentlichtenInhalteübernimmtdieDGOBkeineGewährundkeineHaftung.

WegenderschnellentechnischenEntwicklungundderdaraufreagierendenGerichtsentscheidungenbleibtderhiervorgelegteÜberblickunvollständigundvorläufig.DieTexteorientierensichandenvonPraktiker*innenhäufiggestellteFragen(FAQs)undreflektierenrechtlicheAuflagenausSichtderAnforderungen,dieanBerufsgeheimnisträger*innengestelltsind.

IstvonBDSG(Bundesdatenschutzgesetz)dieRede,istimmerdiejeweilsgültigeFassungab2018gemeint.

Versionsstand:1.0(2020)


3 Datenschutz-FAQ

Frage1:Eswirdbehauptet,handelsüblicheeMail-ProgrammedürfenfürdievertraulicheKommunikationmitRatsuchendennichtgenutztwerden.Stimmtdas?

Handelsübliche,d.h.indieBetriebssystemeintegrierte,eMail-ProgrammewieOutlook,Apple-Mail,Android-Messenger(ProgrammeaufderBasisderProtokollepop,smtp,imap)tauscheninderStandardkonfigurationeMailsohneEnde-zu-Ende-Verschlüsselungaus.DadurchwirdeineinfacherAustauschvoneMailsüberBetriebssystemgrenzenhinweg(Windows,ApplemacOS/iOS,Androidetc.)möglich.KommteszurÜbermittlungpersonenbezogenerDaten,müssendieKund*innenderÜbermittlungvorabzustimmen(AnerkennungderAGBsundderDatenschutzrichtliniendesAnbieters).

Beratungsfachkräftezählengemäß§203StGB1zudenBerufsgeheimnisträger*innen.FürsiegeltenbesondereAuflagenimUmgangmitPrivatgeheimnissen.SiewerdendurchdieNormdes§203StGBeinseitigverpflichtet,ihnenanvertrautePrivatgeheimnissezuwahren(Schweigeverpflichtung).Berufsgeheimnisträger*innenistauferlegt,durchgeeigneteorganisatorischeundtechnischeMaßnahmensicherzustellen,dassdieKommunikationzujedemZeitpunktundüberjedengenutztenKommunikationsweg/-kanalvertraulicherfolgtundeineOffenbarungderanvertrautenGeheimnissenichtunbefugt2erfolgt.

Berufsgeheimnisträger*innenundvertraulicheKommunikation:

EineVerschlüsselungvoneMailssetztdenEinsatzspeziellerZusatzprogrammeoderPlugInsvoraus3.EineeinwandfreieFunktionerfordertnotwendigerweise,dassdasgewähltetechnischeVerfahrenaufbeiden(!)Seiten,d.h.beimSenderundEmpfänger,korrektimplementiertist.IstdiesaufeinerSeitenichtderFall,gibteszweiMöglichkeiten:imbestenFallwirdderVersanddereMailunterbunden,imschlimmstenFallwirddieeMailunverschlüsseltversendet,ohnedassderSenderdarüber(explizit)informiertwird.Weilkein*eBerufsgeheimnisträger*ineinseitigsicherstellen4kann,dassRatsuchendea)zuihremBetriebssystemkompatibleVerschlüsselungstechnikeinsetzenundb)inderLagesind,dereneinwandfreieFunktionsicherzustellen,verbietetsichwegendieserUnwägbarkeitenderVersandsensiblerInformationenviaeMail.BeimEinsatzvoneMail-Kommunikationnimmtder/dieBerufsgeheimnisträger*inbilligendoder(grob)fahrlässiginKauf,dassanvertrauteGeheimnisseoffenbartwerden(können),weilmiteMailübertrageneInformationenprinzipiellabgefangenwerdenkönnen.WenndieInformationendannnochunverschlüsselt

1https://www.gesetze-im-internet.de/stgb/__203.html2EineunbefugteOffenbarungliegtvor,wenna)dasfremdeGeheimnisDritten(Person,Institution)mitgeteiltwird,ohnedasseineEinwilligungvorliegtoderb)ein(technischer)Kommunikationsweggewähltwurde,derdieVertraulichkeitderKommunikationnichtdurchgehend(!)gewährleistet.3z.B.PGP/sMIMEetc.4„Sicherstellen“bedeutetindiesemZusammenhang,dassbereitsvorderersten(undspontanen)KontaktaufnahmeviaeMailgeprüftwerdenmüsste,obdereMail-Austauschverschlüsselterfolgt.


4 Datenschutz-FAQ

vorliegen,nimmtder/dieBerufsgeheimnisträger*indieOffenbarunginKauf5.Selbstdiezufällige6OffenbarungdesanvertrautenPrivatgeheimnissesstellteineStraftatdarundkannmiteinerGeld-oderGefängnisstrafegeahndetwerden.

EinigetechnischeAnmerkungenzureMail-Kommunikation:

VieledereinseitigbeimSenderinstalliertenPlugInsverschlüsselnlediglichdenAnhang(Anlagen)dereMail.EnthältdieeMailpersonenbezogeneDaten,werdendieseunverschlüsseltübertragen.TechniklösungendieserArtsindfüreinevertraulicheKommunikationgänzlichungeeignet.

DiehäufigbeworbeneverschlüsselteÜbertragungvoneMailsinklusiveallerAnhängevermittelsTLS/SSL(sogenannteTransportverschlüsselung)garantiertzunächstnurdieverschlüsselteÜbertragungzwischenClient(hier:RechnerderBerufsgeheimnisträger*in)undServer(RechnerdesService-oderMailproviders7).ObdersichanschließendeWeitertransportdereMailaufdemWegzum/zurEmpfänger*inausschließlichüberTLS-verschlüsselteNetzknoten(Hubs/Relais)führt,istdagegennichtgarantiert8.SelbstwennesaufnureinerTeilstreckezueinerunverschlüsseltenÜbertragungdereMailkommt,könnenunbefugteDrittedenInhaltmitlesen,speichernundsogarmanipulieren.Außerdemkannessein,dassabjetztdieeMailunverschlüsseltübertragenwird.TLSistnichtgleichbedeutendmitEnde-zu-Ende-Verschlüsselung!

Ende-zu-Ende-Verschlüsselungen9erforderndenzeitlichvorgängigenAustauscheinesöffentlichenSchlüssels(publickey)zwischendenClientsundsetzendie(kostenpflichtige)InstallationeinesSicherheitszertifikats10voraus.AuchderUmwegübersogenannteSchlüsselserverfunktioniertnurfürvorabbeimSchlüsselserverregistrierteClients.Einespontane,aberdennochvertrauliche

5Esgilt,zwischengrobfahrlässiger,fahrlässigerundbilligenderInkaufnahmezuunterscheiden.GrobfahrlässigwäreeinunverschlüsselterAustauschvonInformationenimZusammenhangmiteinervomRatsuchendenbegangenenStraftat,derenBekanntwerdennegativeFolgenfürdiebetroffenePersonhat.FahrlässigwäreeinunverschlüsselterAustausch,wennnichtsichergestelltist,dassdersensibleInhaltdereMailnurvonderAdressat*ingelesenwerdenkann.BilligendeInkaufnahmederOffenbarungliegtvor,wenndieBerufsgeheimnisträger*inaufihrerWebsitedaraufhinweist,dassdieÜbermittlungsensiblerInformationenviaeMailunsicherist,imFallederWahldiesesKommunikationswegesdieRatsuchendenselbstfüreineevtl.erfolgendeOffenbarungverantwortlichsind.Eine(individuelle)EntpflichtungausdenAuflagendes§203StGBistnichtmöglich.6ZufälligwäreeineOffenbarungaufGrundtemporärertechnischerFehler(z.B.versehentlicherVersanddereMailohneVerschlüsselung,weildieFehlfunktionzudiesemZeitpunktunentdecktblieb).7Esseierwähnt,dassWeb-Dienstleisterwiez.B.web.deausdrücklichdaraufhinweisen,dassdieNutzungdieseskostenlosenDienstesausschließlichfürprivateZweckeerlaubtist.8DieswärenurdannderFall,wennbeideSeiteneinVPNnutzen,wasaberimZugeeinerspontanenKontaktaufnahmenichtfunktioniert.FürdieNutzungeinesVPNmüssendieVerschlüsselungs-undAnmeldeparametervor(!)AufbauderVPN-VerbindungbeidenSeitenbekanntsein.9durchEinsatzspeziellerProgrammewiebeispielsweisePGP,sMIMEoderspeziellerPlugIns10AngriffeaufZertifikatsstellen(certificateauthority)sinddokumentiert.Zudemgilteszubedenken,dassnichtjederSSL-ZertifikatstypfürjedenEinsatzzweckgleichgutgeeignetist.


5 Datenschutz-FAQ

KontaktaufnahmederRatsuchendenistmitkeinemderbisheraufgezähltenVerfahrendatensichermöglich.

WiebeijederTechnikfindensichauchbeiVerschlüsselungssoftwareSchwachstellen(EinfallstorefürHackerundSchadsoftwaredurchfehlerhafteSoftwareupdate,FehlfunktionenderSoftware,Hardwarefehler).InformationenzubekanntgewordenenSchwachstellenfindensichu.a.beiEFAIL(efail.de).AufPortalenwiediesenfindensichauchInformationen,obundwannderFehlerbehoben(gepatcht)wurde.

UmdenzentralenAnforderungenandieInformationssicherheit11zugenügen,sindausschließlichsolcheVerfahrenzuwählen,die1)eineverschlüsselteEnde-zu-Ende-Kommunikationgestatten(VertraulichkeitdurchVerschlüsselung)und2)sicherstellen,dasseineManipulationderübermitteltenInformationenerkanntwerdenkann(VertraulichkeitdurchDatenintegrität).DatenintegritätkannunterEinsatzqualifizierterelektronischerSignaturensichergestelltwerden.DieseTechnikgestattetdieverschlüsselteÜbertragungundmachtVeränderungendesInhaltswährenddesTransportsundnachträglichbeimEmpfängersichtbar.„ElektronischeSignatur“isteinRechtsbegriffausderSignaturrichtlinie12.ImGegensatzdazunutztdie„digitaleSignatur“einebeimVersanderzeugtePrüfsumme(Hash-Wert),mitdemsichzwarebenfallsVeränderungenderübermitteltenInformationfeststellenlassen,allerdingsbleibtunaufgeklärt,anwelcherStelledieManipulationenderOriginaldatenerfolgten.DieEmpfänger*inkannalsonurwissen,dassessichnichtumdieOriginaldatenhandelt.

VorallemwenninderKommunikationmitdenRatsuchendenInformationenvonrechtlicherBedeutungausgetauschtwerden(sollen),istderNachweisderDatenintegritätvonbesondererBedeutung(z.B.beiBeratungzuStraftateninVerbindungmiteinemlaufendenoderdrohendenGerichtsverfahren).

Erwähntseinoch,dassdieeMaildasEinfallstorfürdieVerbreitungvonSchadroutinen(Viren,Trojaner,Keyloggeretc.)darstellt.GefahrgehtvorallemvoneMailsaus(bisdato)unbekanntenQuellenaus.WährendDesktop-BetriebssystemedurchdenEinsatzvon(aktueller)Anti-Viren-Softwaregutgeschütztwerdenkönnen,giltdasfürdieaufMobilgeräten(Smartphones,Tablets)installiertenBetriebssysteme13nureingeschränkt.

WerdenSchadroutinenübereMaileingeschleust,ergebensichAnschlussgefahrenfürdielokaleIT-InfrastrukturdurchBeschädigungundDiebstahlvonlokalgespeichertenDaten,durchdasböswilligeSperrendesComputersoderBeschädigungenamlokalenNetzwerk(verbundenmitderForderungnachLösegeldzahlung)unddurchSchadroutinen,mitdenendieAktionenderNutzer*innen

11geregeltinderISO/IEC-27000-Reihe.12Richtlinie1999/93/EGv.13.Dezember1999übergemeinschaftlicheRahmenbedingungenfürelektronischeSignaturen,ABl.L13v.19.1.200013WiebeidenDesktop-Systemengiltauchhier,dasseinigeBetriebssystemaufGrundihrerArchitekturverwundbarersindalsandere.


6 Datenschutz-FAQ

ausgespähtwerden(KeyloggerzumAusspähenvonPassworteingaben).AufdieseWeisegelingtUnbefugtenderZugriffaufdiegesamteComputer-Infrastruktur,selbstwennsichere14PasswörterzumEinsatzkommen.BesondersgefährdetsindComputersysteme,diemitvomHerstellerabgekündigtenBetriebssystem-Versionenbetriebenwerden,wasimZusammenhangmitderVerarbeitungbesondererKategorienpersonenbezogenerDaten15(Art.9DS-GVO)eingrobfahrlässigesVerhaltendarstellt.

Fazit:

SolangeamtlichzertifizierteVerfahren,wiesieimDe-Mail-Gesetz16(vom28.4.2011)beschriebensind,nichtallgemeinverfügbarund–zusätzlich–allgemeinakzeptiertinNutzungsind,scheidetdieeMailfürdieKommunikationzwischenRatsuchendenundBerufsgeheimnisträger*innenaus.

Der/dieBerufsgeheimnisträger*inhaftet,wennsieKommunikationswegenutzt,diefüreinevertraulicheKommunikationungeeignetsind.Umesnocheinmalzubetonen:Berufsgeheimnisträger*innenkönnensichausdenAuflagendes§203StGBnichtentpflichten,etwaindemsiedieRatsuchendenaufdieGefahrendereMail-Kommunikationhinweisenund(paradoxerweise)diesenWegzurKontaktaufnahmedennochanbieten.

Ganzgrundsätzlichgilt,dassdieKontrolleüberverschlüsselteunddaten-integreKommunikationviaeMailnurdannalsgegebenunterstelltwerdendarf,wenntechnischaufwendigeVerschlüsselungsverfahrenzumEinsatzkommen.EinespontaneKontaktaufnahmevonRatsuchendenmitderBeratungsstelleüberdieaufderWebsiteveröffentlichteeMail-Adresseistdadurchaberausgeschlossen,weshalbdieaufwendigeneMail-Verschlüsselungsverfahrennichtpraxistauglichsind.DerEinsatzzweckderveröffentlichteneMail-AdressedientjainersterLiniedazu,dassRatsuchendeKontaktmitdem/derBerater*in(Berufsgeheimnisträger*in)aufnehmenkönnen.

WollenBerufsgeheimnisträger*innenauch(odergerade)inZeiteneinerungeregeltenelektronischenKommunikationallermitallenglaubhaftvermitteln,dassdiedenRatsuchendenzugesicherteVertraulichkeitauchaußerhalbdesf2f-KontaktesdurchgeeigneteorganisatorischeundtechnischeMaßnahmenumgesetztundkontinuierlichsichergestelltwird,scheidetdie(vertrauliche)Kommunikationüberden(technisch)unsichereneMail-Kanalaus.WiedieserSachverhaltdenRatsuchendengegenüberkommuniziertwerdenkann,istInhaltderFrage2.

14SicherePasswörtersindnicht-triviale,nicht-lexikalischeKombinationenvonGroß-undKleinbuchstaben,ZahlenundSonderzeichenwieSemikolon,Raute,Unterstrichetc.15ImZusammenhangmitpsychosozialerBeratungkommteshäufigzurErhebungundVerarbeitungbesondererKategorien.16https://www.gesetze-im-internet.de/de-mail-g/BJNR066610011.html.Zudemgiltgemäß§13Absatz7TMGderHaftungsübergangaufdenDiensteanbieterfürunerlaubteZugriffe,VerletzungendesSchutzespersonenbezogenerDatenundStörungennachAngriffenvonaußen.


7 Datenschutz-FAQ

Frage2:ÜberdieaufderWebsiteveröffentlichteeMail-AdressehabenRatsuchendeKontaktaufgenommenundumBekanntgabeeinesBeratungsterminsgebetenbzw.ihrAnliegengeschildert.DarfichaufdieseAnfrageantworten?

Am13.1.1987entschieddasBundesarbeitsgericht(BAG)rechtskräftig,dassbereitsdieBekanntgabe(Mitteilung)desWunschesnachpsychosozialerBeratungeinPrivatgeheimnisdarstellt17.FolglichsindBerufsgeheimnisträger*innenverpflichtet,aufdenVortragdesWunschesineinerWeisezureagieren,diedasPrivatgeheimniswahrt.

ErfolgtdieKontaktaufnahmemitderBerufsgeheimnisträger*intelefonisch,istdieKommunikationdurchdieVorgabendes§88TKG(Fernmeldegeheimnis)sowiedienachfolgendeNormdes§89TKG(Abhörverbot)geschützt.GleichesgiltfürdieKontaktaufnahmemiteinemMobilgerätdurcheine(kostenpflichtige)SMS,dennbeiderSMShandeltessichebenfallsumeinenTelekommunikationsdienst,derdurchdievorstehendgenanntenNormengeschütztist.AllerdingsisthierhöchsteSorgfaltaufSeitenderBerufsgeheimnisträger*innengeboten.AufMobiltelefonenkommenproprietäre(vomHerstellervorinstallierte)Messaging-SystemezumEinsatz18.DiedamitversendetenNachrichtensindkeineSMSimSinnedesTKG(Telekommunikationsgesetz).BeimanchenMobilsystemenwerden„echte“SMSvonproprietärenNachrichtendienstendurcheineandereFarbe19unterschieden.

NehmenRatsuchendeviaunverschlüsseltereMailKontaktauf,verbundenmitdemWunschnacheinemBeratungsterminodereinemRatschlag,stelltdieBeantwortungderFragenunterNutzungdesgleichen(unverschlüsselten)KommunikationswegeseinenVerstoßgegendieAuflagendes§203StGBdar.EineKommunikationviaeMailistnurdannzulässig,wenndieBerufsgeheimnisträger*innendurchEinsatzgeeigneterTechnik(sieheFrage1)sicherstellenkann,dassabderAntwortderAustauschvertraulich20erfolgt.DerWechselvonunverschlüsselterzuverschlüsselterKommunikationerzwingtjedocheineÄnderungdestechnischenVerfahrens,worüberdieGegenseite–zunächstüberdenunverschlüsseltenKanal–informiertwerdenmuss,waszueinerparadoxenSituationführt:derunverschlüsseltenAntwortdes/derBerufsgeheimnisträger*inkannentnommenwerden,dassderKontaktaufnahmeeinBeratungswunschzugrundeliegt,aufdengemäßBAGnurmitvertraulicherKommunikationreagiertwerdendarf.WiekanndiesesParadoxaufgelöstwerden?

17„SchondieTatsache,dassjemanddieBeratungdesKlägersinseinerEigenschaftalsBerufspsychologeinAnspruchnimmt,isteinGeheimnisimSinnevon203StGBundnichterstdasProblem,dasAnlassfürdieInanspruchnahmedesBerufspsychologenist.“(AZR267/85,Seite8,Absatz35).18z.B.iMessage,WhatsAppetc.19SowerdenSMSbeiiOS-Systemengrüneingefärbt,dasproprietäreNachrichtenformatiMessagewirdblaudargestellt.20WieinFrage1verdeutlicht,erfordertdasGebotderVertraulichkeitnichtnurdieVerschlüsselungdergesendetenNachrichten,esmussdarüberhinaussichergestelltsein,dassnurdiebetroffenePerson(exklusiven)ZugangzudenNachrichtenhat.


8 Datenschutz-FAQ

FormalkorrektisteineAntwortderBerufsgeheimnisträger*innenviaunverschlüsseltereMail,indersiedieRatsuchendeninallgemeinerWeiseüberihreVerpflichtungzurWahrungdesPrivatgeheimnisses(Schweigeverpflichtung)informierenund–sofernvorhanden–aufeinensicherenKommunikationsweghinweisen,beispielsweisedieKommunikationübereinessl-gesicherteWebsiteodereinedatensichereOnline-Beratungsplattform–ohneaufdieindereMailgestelltenFrageneinzugehen.EinAntworttextkönntewiefolgtaussehen:„SiehabenmirübermeineeMail-AdresseeineNachrichtzukommenlassen.IchmöchteSiehiermitinformieren,dassichinmeinerFunktionalsBerufsgeheimnisträger*inzurWahrungdesPrivatgeheimnissesverpflichtetbin(§203StGB,Verschwiegenheitspflicht)unddeshalbaufdiesemWegkeineFragenimZusammenhangmiteinergewünschtenoderlaufendenBeratungbeantwortendarf.DiesgeschiehtauchzuIhremSchutz,weileinevertraulicheKommunikationunterEinsatzvoneMailnichtsichergestelltwerdenkann.IchdarfSiedaheraufdiefolgendeMöglichkeitaufmerksammachen:…(miteinemLinkzudemgeschütztenAngebot).ÜberdiesenWegkönnenSiemitmirvertraulichkommunizieren,weilhierIhreundmeineNachrichtenverschlüsseltübertragenwerden.Ichwürdemichfreuen,wennSievondieserMöglichkeitGebrauchmachen,dienureinenMausklickentferntliegt.BitteschützenSieIhrePrivatsphäre.“

NachteiligandiesemVerfahrenist,dasseinigeRatsuchendesichnacheinersolchenAntwortnachMöglichkeitenumsehenwerden,dieausihrerSichteinen„einfacheren“ZugangzudengewünschtenInformationen/Hilfestellungenbieten.UndweilesdieseAngebotegibt,dieinUnkenntnisderhiervorgetragenenSachlagepsychosozialeBeratungviaeMailanbieten,werdensiefündig.

ObwohldashiervorgeschlageneVerfahren(scheinbar)inWiderspruchzurForderungsteht,Beratungmüsseniedrigschwelligerreichbarsein,verdeutlichtseriösepsychosozialeBeratungnichtnurausstrafrechtlichen,sondernauchausberufsethischenGründen,dassdieVertraulichkeitderBeratungihrMarkenzeichenistunddaherabsolutePrioritäthat.BereitsimJahr1977stelltdasBundesverfassungsgerichtineinemUrteilfest:„DiegrundsätzlicheWahrungdesGeheimhaltungsinteressesderKlientenistVorbedingungdesVertrauens,dassieumihrerselbstwillendemBeraterentgegenbringenmüssen,unddamitzugleichGrundlagefürdiefunktionsgerechteTätigkeitderBeratungsstelle,derenBeistanddieKlientenbrauchen“21Demistnichtshinzuzufügen!

DieFeststellunggiltnichtnurfürBeratungsstellen,sondernfüralleim§203StGBgenanntenBerufsgeheimnisträger*innenundallen,diedurchdieZusammenarbeitmitBerufsgeheimnisträger*innenzuberuflichtätigenGehilf*innenwerden.

21BVerfG44/353(https://www.servat.unibe.ch/dfr/bv044353.html)


9 Datenschutz-FAQ

Frage3:WenndieKommunikationviaeMailausscheidet,welchetechnischenWegestehenalternativfürdievertraulicheKommunikationmitdenRatsuchendenzurVerfügung?

BetreibenBerufsgeheimnisträger*inneneineverschlüsselteWebsite(https),stehengünstigetechnischeVoraussetzungenfürVerfahrenzurVerfügung,dieeinevertraulicheKommunikationmitRatsuchendenermöglichen.

EineWebsite,dieeinKontaktformularvorhält,mussdiedorterfassten(personenbezogenen)DatengemäßArt.32DS-GVO22verschlüsseltübermitteln.Willder/dieBerufsgeheimnisträger*indieDateneinsehen,kanndasaufzweierleiArterfolgen:

a)er/siemeldetsichamssl-verschlüsseltenWebserveranundsiehtdieDatendorteinoder

b)er/sierichteteineverschlüsselteeMail-VerbindungzwischenServerundComputerein23,welchedieFormulardatenverschlüsseltaufihrenRechnerüberträgt.

BeiZuwiderhandlunggegendieAuflagenderDS-GVOdrohenbeachtlicheBußgelder,wenndie/derGeschädigtenachweisenkann,dasseinideellerodermateriellerSchadenentstandenist(Art.82DS-GVO).

DietechnischenVoraussetzungenfürdieEinrichtungunddenBetriebeinesverschlüsseltenWebserverssindkeineswegstrivialundsollteIT-Spezialist*innen24überlassenwerden.EsbietensichdienachfolgendenMöglichkeitenan:

a) manbeauftragteineIT-FirmamitderEinrichtungderfürdieOnline-BeratungbenötigtenTools25,dieidealerWeisenachISO/IEC27001zertifiziertistoder

b) mangreiftaufzertifizierteBranchensoftware26zurück,dieinderRegelaufeinfacheWeiseindiebestehendeWebsite„eingehängt“werdenkann.

22inVerbindungmitdemArt5DS-GVO,vergl.,https://dsgvo-gesetz.de/23DieserWegsetztvoraus,dassdieaufdemServereingesetzteSoftwareeineAufbereitungdesInhaltsdesKontaktformularsalseMailzulässtunddassdieVerbindungzwischenServerundClient-Computerssl-verschlüsseltist.AuchhieristeinSSL-Zertifikat(Port993beiimap,Port995beipop)erforderlichunddaslokaleMailprogrammdarfeineungesicherteAuthentifizierungnichterlauben.FürtechnischnichtversierteBerufsgeheimnisträger*innenistderWegüberdasWeb-InterfacedesServerszuempfehlen.24WerselbsteinenDS-GVO-konformenWeb-Servereinrichtet,haftetvollumfänglichfürdatenschutzrechtlicheVerstöße,etwawennalsFolgetechnischunzureichenderMaßnahmenpersonenbezogeneDatenungeschütztübertragenwerdenund/odereszueinerOffenbarungdieserDatenkommt.25(z.B.MöglichkeitenzurtextgestützteEinzelberatung,EinzelchatoderVideo-Konferenz)26InFragekommendeAnbieterwerdenunterEingabederSuchworte„SoftwareOnlineberatung“oder„Onlineberatungssoftware“gefunden.AlsFolgederraschentechnischenEntwicklungkommenimmerwiederneueAnbieterdazu,währendanderewegfallen.AuswahlderSoftwarewiedievertraglicheAbsicherungder


10 Datenschutz-FAQ

DieAnbieterzertifizierterBranchensoftwareübernehmenvielfachauchdieInstallationderSoftwareaufeinemssl-verschlüsseltenWebserver27.MitdemEinsatzeinesssl-verschlüsseltenWeb-ServersgelingtdieZwangsverschlüsselungdergesamtenKommunikationzwischenWeb-ServerundClientganzohneZutunderBesucher*innenderWebsite.

Mittlerweilehaben(fach-)verbandlicheZusammenschlüssedazugeführt,trägerübergreifendesichereeMailsystemeaufzusetzen28.BislangvorliegendeErfahrungenzeigen,dassRatsuchendesichvonden„Umständen“(Registrierungszwang,AbholenderAntwortenjeweilsnurnachAnmeldungamServerusw.)nichtabhaltenlassen,mitderBeratungsstelleinKontaktzutreten.GegendasgängigeVorurteil,dassRatsuchendeesbevorzugten,viaeMailKontaktmitdem/derBerufsgeheimnisträger*inoderderBeratungsstelleaufzunehmen,könnteaufGrundlagederErfahrungenmiteMail-Hostingargumentiertwerden:WirdRatsuchendensofortundausschließlich(!)eineabgesicherteMöglichkeitderKontaktaufnahmeangeboten,wirddieseganzselbstverständlichgenutzt.

SteheneMail-HostingsystemealsmandantenfähigeVersionenzurVerfügung,werdensieauchfürEinzelpersonen(Selbstständige)interessant.

Abschließendbleibtanzumerken,dasseinmalgetroffenetechnischeVerfahrensentscheidungennichtfürdieEwigkeitsind.DiezueinemZeitpunktXinstalliertenVerschlüsselungstechnikensindkontinuierlichaufAktualitätzuüberprüfen(privacybydefault,Art.5DS-GVOinVerbindungmitArt.25DS-GVO),ebensowiedieeingesetztenSkriptversionen(z.B.php)undWebserver-Versionen(z.B.Apache-Webserver).

BeauftragungalsberufsmäßigtätigerGehilfe(AV-Vertrag)liegenimVerantwortungsbereichderBerufsgeheimnisträger*innen,diefürVersäumnissehaften.27SSL-ZertifikatwerdenvoneinerZertifizierungsstelle(trustcenter)ausgestelltundsindkostenpflichtig.NurZertifikatebekannterTrustCenterswerdenvondenhandelsüblichenBrowsernerkannt.ExotischeoderselbsterstellteZertifikatebewirkendieAnzeigedesHinweises:„DieseWebsiteistnichtsicher“,obwohlderDatenaustauschzwischenClientundSerververschlüsselterfolgt.28eMail-Hosting,http://lag-bw.net/wp-content/uploads/2020/01/sicherEmail_Kommunikation.pdf.


11 Datenschutz-FAQ

Frage4:WarumkönnenVideo-ChatsmitRatsuchendennichtmitProgrammenwieSkype,Zoomdurchgeführtwerden,obwohldieHerstellereineEnde-zu-Ende-Verschlüsselungzusichern?

DieDS-GVOgestattetdieVerarbeitung(Erfassung,Speicherung,Verarbeitung)personenbezogenerDatenbeieinemCloud-DienstleisterohnebesondereNachweiseüberdieEinhaltungderVorgabenderDS-GVO,wennderDiensteanbieterseinenSitzinderEUhatunddadurchebenfallsdenAuflagenderDS-GVOunterworfenist.AuchwenndieseFirmendaraufhinweisen,dasssiedieAnforderungendes(amerikanischen)privacyshield(http://privacyshield.gov/list)erfüllen,istderEinbezugvonNicht-EU-Firmenals„berufsmäßigtätigerGehilfe“nurdannDS-GVO/BDSG-konform,wennder/dieBerufsgeheimnisträger*ingegenüberderzuständigenDatenschutzbehördedenschriftlichenNachweiserbringenkann,dasssichdieFirmazurEinhaltungdereuropäischenundinsbesonderedeutschenDatenschutznormen(BDSG2018)verpflichtetundeineZertifizierunggemäßISO/IEC27001nachweisenkann.EinesolcheVereinbarungdürftenurimAusnahmefallmöglichseinundbleibtmitrechtlichbedeutsamenRestunsicherheitenverbunden.Firmen,dieinihrenAGBsdieZustimmungzurSammlungbestimmterpersonenbezogenerDatenverlangen(selbstwenndies„nur“inFormsogenannterMetadatenerfolgt29),scheidenfürdievertraulicheKommunikationzwischenRatsuchendenundBerufsgeheimnisträger*innenohnehinaus.UmesineinemSatzzusagen:FürBeratungszweckescheidenalleFirmenaus,derenFirmensitzaußerhalbderEUliegt,diesichnichtperAV-VertragalsberufsmäßigtätigerGehilfeverpflichtenlassen.

Berufsgeheimnisträger*innensinddurchdieVorschriftendes§203StGBeinseitigzurWahrungdesPrivatgeheimnissesverpflichtetundesvorunbefugter,versehentlicheroderungewollterOffenbarungzuschützen.DasverlangtadäquateorganisatorischeundtechnischeVerfahren/Prozeduren.MitBlickauftechnischeVerfahrengilt,dassdieVerarbeitungpersonenbezogenerDatendurchDrittenurinVerbindungmiteinemAuftragzurDatenverarbeitung(kurz:AV-Vertrag,Art.28DS-GVO,§62BDSG,§203Absatz4Satz1StGB)erfolgendarf.SeitderÄnderungdes§203StGBam30.Oktober201730stelltderEinbezugberufsmäßigtätigerGehilfenzurordnungsgemäßenAusübungderDiensttätigkeitkeineOffenbarungdar(bzw.stellteineOffenbarungdar,diestraffreibleibt31).DerrechtskonformeEinbezugberufsmäßigtätigerGehilfenistjedochanVoraussetzungengeknüpft,einedavonistdervertraglicheEinschlussdesDrittendurchAbschlusseinesAV-Vertrages,indemder/dieAuftraggeber*in(=Berufsgeheimnisträger*in)demAuftragnehmer(z.B.Cloud-Dinestleister)vorschreibt,wiediepersonenbezogenenDaten„imAuftrag“verarbeitetwerden(dürfen).ImFalleinerPrüfungderBerufsgeheimnisträger*in,derBeratungseinrichtungoderdesTrägersdurcheine*nBeauftragte*nderzuständigenLandesdatenschutzbehörde,mussdievertraglicheEinbindungzwingendnachgewiesenwerden.

29TypischfürsolcheGeschäftsmodelleist,dassdieZustimmungbereitsvoreingestelltist(sogenanntes‚optout’),d.h.dieZustimmungmussaktivabgewähltwerden.EinsolchesVorgehenwidersprichtderaktuellenePrivacy-Richtlinie(StandDezember2019).30Bundesgesetzblatt2017TeilINr.71:GesetzzurNeuregelungdesSchutzesvonGeheimnissenbeiderMitwirkungDritteranderBerufsausübungschweigepflichtigerPersonen31DeutscherBundestag,Drucksache18/11936,Seite19.


12 Datenschutz-FAQ

Firmen,dieProgrammewieSkype,WhatsAppetc.zurkostenfreienNutzunganbieten,schließenkeine(individuellen)AV-Verträge,weil–wiebereitserwähnt–dieAGBsdieSammlungvonMetadatenvorsehen,diedurchProtokollierungundAuswertungderindividuellen32AktivitätenderNutzer*innenentstehen.AußerdemschließendieseFirmeneineHaftungimFalleinesDatenverstoßesausundverweigernsomiteinezentraleVerpflichtungeinesdatenschutzkonformenAV-Vertrages.DiealleinigeTatsacheeinerEnde-zu-Ende-verschlüsseltenÜbermittlungderInhaltereichtalsNachweiseinervertraulichgeführtenKommunikationimSinnederAuflagendes§203StGBnichtaus.Firmen,dieimRahmenihresGeschäftsmodellsMetadatensammeln,scheidennichtnurausdatenschutzrechtlichen,sondernauchausberufsethischenGründenaus.AusSichtderCOREPER(ständigeVertretungderEU-Mitgliedsstaaten)istdasVorgehendieserFirmenrechtlichbedenklich,weilu.a.dievoreingestellteZustimmung(opt-out)zueinerdatenschutzrechtlichproblematischenVerarbeitungpersonenbezogeneroderpersonenbeziehbarerDatenführtunddiesesVorgehengegendienochzuverabschiedendee-privacyRichtlinie33derEUverstößt.

Allgemeingilt:derEinsatztechnischerMaßnahmenistrechtlichundberufsethischnurgerechtfertigt,wenndiesedergesetzlichgeforderten,zumutbarenDatensicherheitentspricht(vergl.Art.25DS-GVOinVerbindungmitden§§64und35BDSG).FürdieKommunikationmitRatsuchendendürfennursolcheDienstleisterherangezogenwerden,die

a)eineZertifizierung(bevorzugtderISO/IEC-27000erReihe)nachweisenkönnen,

b)ihrenFirmensitzinnerhalbderEUhaben,

c)dieTechnik(Server-Standort)ebenfallsinnerhalbderEUbetreibenund

d)mitdenEinzelkundenDS-GVO/BDSG-konformeAV-Verträgeabschließen(zumInhaltsolcherAV-VerträgesieheFrage5).

EineZuwiderhandlungstellteineneklatantenVerstoßgegendieVorschriftenderDS-GVOunddesBDSGdar,dermitGeldstrafengeahndetwirdund-jenachSchweredesVerstoßes-eineVeröffentlichungaufderWebsitedeszuständigenLandesdatenschützersnachsichziehenkann.Berufsgeheimnisträger*innen,diegegendieVorgabendes§203StGBverstoßen,machensichstrafbar.EsgenügtdieverdachtsweiseAnzeigeeinerberatenenPerson,durchdie(vermutete)OffenbarungihresPrivatgeheimnisseseinenideellenodermateriellenSchadenerlittenzuhaben.Ganzgleich,wiedasGerichtamEndeurteilt:dasVertrauenindieVertraulichkeitderBeratungskommunikationwirdinderÖffentlichkeitbeschädigt,nichtnurinBezugaufden/die

32DasArgument,dassMetadateneinzelnenNutzer*innennichtmehrzugeordnetwerdenkönnen,stimmtinsofern,dasszwardieRealidentitätderNutzer*innichtunbedingtbekanntist,aberdieKennungdesvonihm/ihrgenutztenRechners(MAC-Adresse,IP-Adresse,Fingerprint,Geotargetingetc.).BenutzenBerufsgeheimnisträger*innenProgramme,beideneninVerbindungmitderNutzungMetadatengesammeltwerden,riskierensiedieVertraulichkeitderKommunikationundnehmendieOffenbarungvonPrivatgeheimnissenbilligendinKauf.33DiederzeitigeRichtliniehatdenStatuseinesEntwurfs,derallerdingszeigt,welcheAuflagendieDiensteanbieterkünftigerfüllenmüssen.


13 Datenschutz-FAQ

Berufsgeheimnisträger*in,der/diegegendieVorschriftenverstoßenhat,sondernauchinBezugaufdiegesamteProfession.Dasgilteszubedenken.


14 Datenschutz-FAQ

Frage5:WelcheAnforderungensindaneinenAV-Vertragzustellen,derdieAuflagendes§203StGBerfüllt?PersonenundInstitutionen,diepersonenbezogeneDatenerfassenundzurDurchführungdereigenenTätigkeiteinen(odermehrere)Auftragsverarbeitereinbeziehen,müssenArtundUmfangdiesesEinbezugsinsogenanntenTOMs(technisch-organisatorischeMaßnahmen)dokumentieren.IndenTOMswirdimDetailfestgelegt,wieder/dieAuftragverarbeiter*indievonderAuftraggeber*inerhobenenpersonenbezogenenDatenverarbeitendarf(Art.30Absatz2DS-GVOinVerbindungmitArt.28DS-GVOundErwägungsgrund78,§§62und64BDSG).WeshalbdieimVertragzurDatenverarbeitungimAuftrag(nachfolgendAV-Vertraggenannt)dokumentiertenAnforderungenhinreichendgenauformuliertseinmüssen,damitersichtlichist,wasdem/derAuftragverarbeiter*inerlaubtundwasverbotenist.DiePrüfung,obder/dieAuftragverarbeiter*indieGewährfüreinetechnischwieorganisatorischeinwandfreieVerarbeitungderpersonenbezogenenDatenbietet,obliegtderSorgfaltspflichtderAuftraggeber*in(Art.28Absatz1DS-GVO).Er/SiehaftetfürdieWahldes/derAuftragverarbeitersunddamitauchfürdenFall,dassder/dieeinbezogeneberufsmäßigtätigeGehilf*in(§203StGBAbsatz3)nichtüberdieerforderliche(technisch-organisatorischen)Qualifikationenverfügt.ObwohlsichdiehierzuklärendenFragenmitdemEinzugDritteralsberufsmäßigtätige*rGehilf*inbeschäftigen,seiderVollständigkeitdaraufhingewiesen,dassfürjedePersonoderInstitution,diepersonenbezogeneDatenverarbeitet,dieVorgabendesArt.30Absatz1DS-GVOgelten.SiehabeneinVerzeichnisderVerarbeitungstätigkeitenzuführen,ausdemsichdiePflichtenableiten,dieanden/dieberufsmäßigtätigenGehilf*inenausgelagertwerdenkönnen.InUmkehrungheißtdies:eskönnenkeineTätigkeitenausgelagertwerden,dieimVerzeichnisderAuftraggeber*innennichtgelistetsind.ErinnertseiauchandendatenschutzrechtlichenGrundsatz,dasspersonenbezogeneDatennurerhobenwerdendürfen,wenndieErhebungrechtmäßigistundzweckgebundenerfolgt.WeshalbimVerarbeitungsverzeichnisaufgeführtseinsollte,aufwelcher(Rechts-)GrundlagedieDatenerhebungerfolgtundzuwelchemZweckunddurchwelcheorganisatorisch-technischeMaßnahmendieweisungsgebundeneVerarbeitungdererhobenenDatensichergestelltwird.VieleAuftragverarbeiterbietenihrenKund*inendieMöglichkeit,einenStandard-AV-Vertragelektronischzuschließen.Der/dieAuftragverarbeiter*insigniertdenAusdruckdesAV-Dokuments,der/dieAuftraggeber*inunterzeichnetdasausgedruckteDokumentundnimmteszuihrenAkten.Istder/dieAuftragverarbeiter*inaufdieVerarbeitungpersonenbezogenerDatenspezialisiert,wiesieüblicherweiseimUmfeldmedizinischer,sozialpädagogischeroderpsychologischerDienstleistungenentstehen,dürftederstandardisierteAV-VertragdengeltendenAnforderungen(zumindestimPrinzip)entsprechen.WerdendienachfolgendaufgezähltenPunktedurchdenStandardvertragnichtodernurunzureichendabgedeckt,isteinzusätzlicher(individueller)AV-Vertragmitdem/derAuftragverarbeiter*inabzuschließen.EsempfiehltsichdieschriftlicheFixierungunddiepostalischeZustellungdesZusatzvertrages,damitbeieinerPrüfungdasvom/vonderAuftragverarbeiter*inhändigunterzeichneteDokumentvorgelegtwerdenkann.


15 Datenschutz-FAQ

InArt.28DS-GVO(Erwägungsgrund81)sinddieverpflichtenden(Mindest-)InhaltevonAV-Verträgengelistet:§ Gegenstand,DauerderVerarbeitung,§ ArtundZweckderVerarbeitungdererhobenenDaten§ KategorienderpersonenbezogenenDaten(vorallem,wennbesondereKategorienerhoben

werden,vergl.Art9DS-GVO),KreisderbetroffenenPersonen,§ AuflistungallerDaten,dieerhobenwerden,zugeordnetzudenZwecken,derentwegensie

erhobenwerden(z.B.vollständigerNamen,vollständigeAdresse,AngabenzumAnlassderBeratungetc.),

§ PflichtenundRechtederBerufsgeheimnisträger*innen(alsVerantwortliche),§ SchriftlichfixierteWeisung,wieder/dieAuftragverarbeiter*indieDatenzuverarbeitenhat

(UmfangderAuftragsverarbeitung,Pflichtende/dersAuftragverarbeiter*in),§ SchriftlicherNachweis,dassder/dieAuftragsnehmer*inallemitderVerarbeitungbetrauten

(befugten)PersonenzurVertraulichkeitverpflichtethatundNachweisdarüber,dassdieVerpflichtungdengesetzlichenAnforderungenandieVerschwiegenheitspflichtentspricht,

§ NachweisüberdieArtundWeisederUmsetzungderSicherheitderDatenverarbeitungdurchden/dieAuftragnehmer*in,

§ sofernder/dieAuftragnehmer*inweitereAuftragnehmer*innenimUntervertragsverhältniseinbezieht:Nachweis,dassdiemitdem/derHauptauftragsverarbeiter*infestgelegtenBedingungenauchbeidenUntervertragsverarbeiter*innen34Anwendungfinden,

§ Verpflichtungdes/derAuftragverarbeiter*in,VerletzungendesSchutzespersonenbezogenerDatenunverzüglichanzuzeigen,sowohlgegenüberderbetroffenenPerson(Ratsuchende*r)wiegegenüberdem/derAuftraggeber*in,

§ IndiesemZusammenhang:evtl.BenachrichtigungderzuständigenAufsichtsbehörde(Landesdatenschützer*in)durchden/dieAuftraggeber*in,wennmitderVerletzungderSchutzrechtehoheRisikenfürdieBetroffenenund/oderdieAuftraggeber*inneneinhergehen35,

§ DurchführungeinerDatenschutz-Folgeabschätzungdurchden/dieAuftragverarbeiter*in,§ Festlegung,wiedieLöschungbzw.Rückgabederbeim/beiderAuftragverarbeiter*in

gespeichertenDatennachBeendigungdesAV-Vertrageserfolgt,§ VereinbarungderMöglichkeit,dieEinhaltungdergefordertenVerarbeitungsprinzipienvorOrt(in

denRäumen)des/derAuftragverarbeiter*inzuprüfenggfs.durcheine*nkundige*nVertreter*indes/derAuftraggeber*inprüfenundbescheinigenzulassen.

AV-VerträgeenthaltendenInhaltderWeisungendetailliertunderhaltendadurcheinengewissenUmfang36.BestandteildesAV-Vertrages(Anlage)sindauchdievom/vonderAuftragverarbeiter*inausgewiesenenTOMs.

34DieDGOBempfiehlt,aufUntervertragsverhältnissezuverzichten,weilsichdarauseineReiherechtlicherUnwägbarkeitenergeben.35ZumBeispielbeiBeratungenimZusammenhangmitlaufendenoderanstehendenStrafverfahren(Drogendelikte,Kindeswohlgefährdungetc.)36BeispielefürMusterverträgefindensichhier:https://www.lda.bayern.de/media/muster_adv.pdf,https://datenschutz.hessen.de/infothek/hinweise-und-muster-ds-gvo,https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2018/01/muster_adv.pdf


16 Datenschutz-FAQ

KommteszueinemVerstoßgegendieauferlegtenPflichtendurchnachweislichesVerschuldendes/derAuftragverarbeiter*in,haftetdiese*rfürdenevtl.entstandenen(undgerichtlichfestgestellten)Schaden,sofernderAV-VertrageindeutigeRegelungzumkritisiertenVerstoßenthält.AußerdemmüssenRegelungenzufolgendenFragengetroffenwerden:§ Liegendievom/vonderAuftraggeber*inerhobenenDatenbeidem/derAuftragverarbeiter*in

verschlüsseltvor,sodasssievonDritten(ohnebesondereErlaubnis37derAuftraggeber*in)nichteingesehenwerdenkönnen?

§ LiegteinewirksameEinwilligungderBetroffenenzurDatenspeicherungvorundsinddieBetroffenenineindeutigerWeiseüberdenUmfang,denRechtsgrundunddenZweckderErhebungundSpeicherunginformiert?

§ IstdieWeitergabederDatenfürdieVertragserfüllungerforderlich(z.B.beiAbrechnungdererbrachtenLeistungmiteinemSozialversicherungsträger)undhabendieRatsuchendendieserWeitergabezugestimmtbzw.(fallseineZustimmungrechtlichnichterforderlichist)werdendieRatsuchendenüberjedeWeitergabefürjedenEinzelfallinformiert?

KönnendiefürTätigkeitnotwendigenDatenohnekonkretenPersonenbezugerhobenwerden(anonymisiert/pseudonymisiert),sinddieDS-GVO-Vorgabennichtmehreinschlägig.

AbschließendnocheinigeStichwortefüreineGliederungdertechnisch-organisatorischenMaßnahmen:

• KönnendienotwendigenDatenvonBeginnananonymisiert/pseudonymisierterhobenwerden(vorallemdann,wennbesondereKategorieni.S.desArtikels9DS-GVOerhobenwerden)?

• DurchwelchetechnischenVorkehrungengelingtdieverschlüsselteSpeicherungpersonenbezogenerDatenbeim/beiderAuftragverarbeiter*in?

• Werhatbeidem/derBerufsgeheimnisträger*inundbeidem/derAuftragverarbeiter*inZugangzudenDaten(namentlicheNennungderZugangsberechtigtenisthilfreich)undwieistderZuganggeregelt(dieseFragespieltvorallemdanneineRolle,wenndieBeratunginPrivaträumenstattfindet,zudenenauchanderePersonenZuganghaben)?KannderZugangprotokolliertwerdenundwennja,inwelchernachprüfbarenundmanipulationsgeschütztenForm?WieistderDienstrechnergesichert,umUnbefugtendenZugangzuverwehren?WerdenprivaterundberuflicherGebrauchdurchdieNutzungunterschiedlicherHardwareunterstützt?

• WieistderZugangzumCloud-Systemgeregelt(ausreichendsicheresPasswort,getrennteZugängefürweitereberechtigteBenutzer*innen)?

• WiesinddieSchreib-undLeserechtegeregelt,wennmehralseinePersonZugangzudeninderCloudgespeichertenDatenhat(Rechteverwaltung)undwerhatdasRecht,dieseRechtezuadministrieren?

• WiewerdenDatenzugriffeundDatenänderungenfälschungssicherprotokolliert?• WennCloud-DienstleisteralsberufsmäßigtätigeGehilf*ineneinbezogenwerden:wiewirddie

VerfügbarkeitdesSystemssichergestellt(z.B.beiStromausfall,technischeWartungsarbeitenetc.)?

• WiewirddasCloud-SystemgegentechnischeFehlerundAngriffevonaußengeschützt(Vulnerabilität/Stabilität)?

37EinErlaubnisgrundwärezumBeispieltechnischerSupportfüreinenbestimmten(!)FallundnurfürdieDauerderLösungdestechnischenProblems.DieErteilungeinerpauschalenErlaubnisistrechtswidrig.


17 Datenschutz-FAQ

• IstdiekompletteWiederherstellungdergespeichertenDatenimFalletechnischerFehler,AngriffevonaußenoderZerstörungsichergestellt,durchwelcheMaßnahmen?

• WieerfolgtdieregelmäßigeÜberprüfung,BewertungundEvaluierungdesgefordertenSicherheitsniveausundderWirksamkeitdereingesetztentechnischenVerfahren?

• WieerfolgtdieDokumentationdertechnisch-organisatorischenMaßnahmen(elektronisch,papiergestützt)?

Fazit:

DerAbschlusseinesAV-VertragesistinjederBeziehungvoraussetzungsreich:

1)Jede*rBerufsgeheimnisträger*in,der/diepersonenbezogeneDatenautomatisierterfasstundverarbeitet,musseinVerarbeitungsverzeichnisführen,ausdemhervorgeht,welcheDatenaufwelcher(Rechts-)GrundlageerhobenundverarbeitetwerdenunddurchwelcheorganisatorischenundtechnischenMaßnahmensichergestelltwird,dassdieZweckbindunggewahrtwird.

2)DasVerarbeitungsverzeichnisistdieGrundlageundVoraussetzungderEntscheidung,welcheTätigkeitenanden/dieberufsmäßigtätigenGehilf*inen(„Dritten“)ausgelagertwerdensollenundausgelagertwerdendürfen.

MitderVerpflichtungzurumfangreichenunddetailliertenDokumentationkonkretisierensichdiehohenVoraussetzungen,dieandenEinbezugberufsmäßigtätigerGehilf*inengestelltsind(§203Absatz3StGB).


18 Datenschutz-FAQ

Frage6:WelcheAnforderungensindaneineDS-GVO/BDSG-konformeWebsitezustellen?

WermangelstechnischerKenntnissedieErstellungeinerWebsite38aneinUnternehmendelegiert,unterstellt,dasfertigeProduktentsprechedeneinschlägigendatenschutzrechtlichenAnforderungen(DS-GVO,BDSG,TMKundTKG).OftmalsstehennurschmaleBudgetsfürdieErstellungeinerWebsitezurVerfügung,weshalbvieleDienstleister*innenaufsogenannteWebsiteBuilderzurückgreifen39.MitkeinemdieserVerfahrenistohnezusätzlicheAnpassungensichergestellt,dassdasfertigeProduktdeneuropäischenundnationalenDatenschutzvorschriftenentspricht.

ZuunterscheidensindWebsiteundWebserver.AnbeidenEndenlauerndatenschutzrelevanteGefahren,diefürtechnischeLaiennichtsoforterkennbarsind.WebsitesbeinhalteneineMischungausStruktur-undScriptcode.Währendhtmlvorgibt,wiederBrowserdieInhalteanzeigt,werdenkomplexereAufgaben(z.B.dieErfassungundÜbermittlungvonDatenineinemKontaktformular)mitScriptsprachenwieJavascript,php,VBScriptrealisiert.WeildieDS-GVOimZusammenhangmitderErfassungundVerarbeitungpersonenbezogenerDaten„privacybydesign“fordert(Art.5DS-GVOinVerbindungmitArt.25,§71BDSG),dürfennuraktuelle(d.h.vondenHerstellerngepflegte)VersionenzumEinsatzkommen,wasfürTechniklaienschwerkontrollierbarist.Kommenichtlängerunterstützte(abgekündigte)VersionenvonScriptsrpachen(php,JavaScriptetc.)oderDatenbank-Maschinen(MySQLetc.)zumEinsatz,habenAngreiferleichtesSpiel:personenbezogeneDatenkönneneingesehenund/oderentwendetwerden.EineWebsitemitveraltetemCodeverstößtineklatanterWeisegegendieAnforderung„privacybydesign“undmussalsgrobfahrlässigbewertetwerden.

UmdiesemProblemzuentgehen,mussder/dieBerufsgeheimnisträger*indiebeauftragteFirmaschriftlichverpflichten,dieForderungnach„privacybydesign“zuerfüllenundsichdieUmsetzungbeiAbnahmedesfertigenProduktsbescheinigenlassen,undzwarimDetail.NurdannkannimFalleinesdatenrechtlichenVerstoßesdieHaftung(zumindestteilweise)andasUnternehmenabgetretenwerden.

WebserversindProgramme,dieaufeinemöffentlicherreichbarenComputerinstalliertsind.VonaußenerreichbaretechnischeSystemesindprinzipiellangreifbar.WeshalbWebserverimmeraufdemtechnischaktuellenStandzuhaltensindundsichergestelltwerdenmuss,dassdieKonfigurationshinweisevonExpert*innenfürDatensicherheitBeachtungfinden.EsnutztderaktuellsteWebservernichts,wenneineFehlkonfigurationeinensicherenBetriebunterläuft.EineAufgabe,diefürLaienkaumzubewältigenist.ZusätzlichsolltederWebserverdurcheineFirewallgeschütztwerden,derenKonfiguration(Regeln)Spezialkenntnisseerfordert.Eineverschlüsselte

38UntereinerWebsite(site=Grundstück,Baustelle)verstehtmandieAnsammlungallerKonfigurations-undSkriptdateieneinesInternetauftritts,derenöffentlicheInhalteunterEingabeeinerindividuellenInternetadresse(z.B.dg-onlineberatung.de=Domain)aufgerufenwerdenkönnen.DieAnzeigedieserInhalteerfolgtineinemBrowser.39z.B.Wordpress,Wix,Jimdoetc.


19 Datenschutz-FAQ

AuslieferungderInhaltedesWebserverssetztdieInstallationeineskostenpflichtigenssl-Zertifikats40voraus,dasvondengängigenBrowsernakzeptiertwerdenmuss,wenndieMeldung„DieseWebsiteistunsicher“vermiedenwerdensoll-wasdazuführendürfte,dassRatsuchendedieserWebsitenichtvertrauen.

WernichtüberdieerforderlichenIT-KenntnissefüreinekorrekteImplementierungeinesWebserversundeinerFirewallverfügt,istgutberaten,einensogenannten„managedserver“zumieten.HiersorgtderHoster41füreinendatensicherenBasisbetriebdesWebservers(stateoftheart).ImFalleinesVerstoßesgegendatenschutzrechtlicheAuflagengehtdieHaftung(zumindestteilweise)aufdenHosterüber,immervorausgesetzt,mitdemHosterwurdeeinAV-Vertraggeschlossen(vergl.Frage5).VerzichtetwerdenkannaufeinenAV-Vertragnurdann,wenndieWebseitekeinerleiInteraktion42mitdem/derBesucher*inderWebsitevorsieht(statischeWebsite).

Grundsätzlichgilt:werdenaufeinerWebsitepersonenbezogeneDatenerhoben(z.B.Kontaktformular),mussderDatenaustauschzwischenClientundServerssl-verschlüsselt43erfolgen(Art.25DS-GVO,§64BDSG).MittlerweilesindverschlüsselteWebsitesStandardundISO-zertifizierteHosterwerdenunverschlüsselteServerumgebungennurnochausnahmsweiseanbieten.

NebendenAnforderungenvonDS-GVO/BDSGverpflichtenzweiweitereGesetzePersonenundInstitutionen,dieTele-Diensteanbieten:dasTelemediengesetz(TMG)unddasTelekommunikationsgesetz(TKG).

WelcheDatenüberdie(natürlicheoderjuristische)PersonderAnbieter*innenveröffentlichtwerdenmüssen(Anbieterkennzeichnung/Impressum),regeltder§5desTMG.

AußerdemverpflichtetdasTMGdieAnbieter*innen,dasssieeindeutigkenntlichmachen,abwannRatsuchendeeinenVertragmitdem/derAnbieter*ineingehen(Transparenzgebot).D.h.RatsuchendemüsseneinemVertragsschlussexplizitzustimmen.EswirdausderkurzenAufzählungdeutlich,dassdasTMGundDS-GVO/BDSGineinemErgänzungsverhältniszueinanderstehen.

WeiterhinregeltdasTMGim§14denUmgangmitBestandsdaten.UnterdieBestandsdatenfallenalleDaten,diea)derinhaltlichenAusgestaltungdesVertragsverhältnissesdienen(z.B.vollständigerName,Bankverbindung,Rechnungsadresseetc.)undb)fürdieNutzungdereingesetztenTelemedienerforderlichsind(z.B.Anmeldeinformationen,Accountdatenetc.).

Im§15TMGwirdderUmgangmitdenNutzungsdatengeregelt.NutzungsdatensindDaten,dieauftechnischemWegezustandekommen,z.B.dieindenLogfilesdesWebserversgespeichertenDaten,diefüreinenbestimmten/bestimmbarenZeitraumgespeichertwerdenmüssen(vergl.§76BDSG).WirdbeispielsweisedasOnline-AngebotaufderGrundlagederjeweiligenNutzungsdauer(in40z.B.ComSign,DigiTrust,GlobalSign41z.B.1&1,Hetzner,HostEuropeetc.42ReinstatischeWebsitesdürftenimZusammenhangmitBeratungsangebotenseltenvorkommen,weilseitensderRatsuchendenein(datensicheres)AngebotzurKontaktaufnahmeerwartetwird.43Einefunktionierendessl-Verschlüsselungwirddurchdasvorgestellte„https://“signalisiert.


20 Datenschutz-FAQ

Minuten)bepreist,fälltdieProtokollierungderVerbindungsdauerunterdieNutzungsdaten.Nutzungsdatendürfenausschließlichzweckgebundenerhobenwerden.

ZumThema„Speicherung“vonpersonenbezogenen(Nutzungs-/Bestands-)Datengilt:nursovielundsolangespeichern,wieesfürdieberuflichen/vertraglichenZweckenotwendigist.

DieDatenschutzkonferenzempfiehlt,alleVerbindungsdaten(insbesonderedieIP-Adresse,Session-Cookies)nachEndederSitzungaufdemWebserverautomatischzulöschen.MüssendieDatenzuvertraglichenZweckenzwischengespeichertwerden,gibtdieDatenschutzkonferenzeineSpeicherfristvonderzeit7TagenalsRichtlinievor(https://www.datenschutzkonferenz-online.de/datenschutz.html).

Berufsgeheimnisträger*innenoderInstitutionenmüssenbeachten:Wirdgespeichert,könnenDritte(Rechtsanwält*innen,Gerichteetc.)AuskunftüberdiegespeichertenDatenverlangen.Umgekehrtgilt:„Wasnichtgespeichertist,mussauchnichtbeauskunftetwerden!“

DasTKGistinBezugaufdie§§88und89relevant.§88regeltdasFernmeldegeheimnis,dasauchalsBrief-oderPostgeheimnisbekanntist.SchondieAuskunft,objemandaneinerTelekommunikationbeteiligtwar,unterliegtdemFernmeldegeheimnis.RuftjemandbeispielsweisedieTelefonseelsorgean,darfdieRufnummerdes/derAnrufer*innichtgespeichertwerden(dasAngebotistkostenlos,einwichtigerGrundzurtemporärenSpeicherungvonNutzungsdatenentfällt).ErgänzendzurVerpflichtungdes§88TKGregeltder§89TKG,dassdemFernmeldegeheimnisunterliegendeInformationenauchdannnichtveröffentlichtwerdendürfen,wennmanzufälliginderenBesitzgelangt(z.B.alsFolgetechnischerÜbermittlungsfehleretc).

WerdasAbhörverbotmissachtet,indemerfremdeDatenausspäht(z.B.Hacker),wirdgemäß§202aStGBmitGeldstrafenoderFreiheitsentzugbestraft.GleichesgiltfürdasunbefugteAbfangenvonDaten(§202bStGB).WerrechtswidrigDatenlöscht,unbrauchbarmachtoderverändert,wirdebenfallsbestraft(§303aStGB).FürdieseFälledesDatendiebstahlsundderDatenspionagehaftendieBerufsgeheimnisträger*inneninihrerRollealsDiensteanbieter*innennicht.

AusderAufzählungdereinschlägigenRegelungenwirddeutlich,dassesfürBerufsgeheimnisträger*innenvieleguteGründegibt,imZusammenhangmitderErhebungundSpeicherungpersonenbezogenerDatenunbedingtdiedatenschutzrechtlichenGrundprinzipienzubeachten:

1)DatenvermeidungundDatensparsamkeitund

2)ZweckbindungundRechtmäßigkeit.


21 Datenschutz-FAQ

UmeinenaufgerufenenInhalt(imDeutschenvielfachals„Webseite“44bezeichnet)ausliefernzukönnen,brauchtderWebserverdieIP-AdressedesClient.EineIP-AdresseistbeiprivaterNutzungvonNetzserviceseineaufZeit45vergebeneKennung(z.B.192.130.34.222),bestehendausvierTrippelnmit1bis3Ziffern,diedenRechner,abernichtdiedenRechnerbedienendePersonidentifiziert.HandelsüblicheRouterbenutzenaußerdemeinVerfahrennamensNAT(netaddresstranslation),weshalbnurdieöffentlicheIP-AdressedesRoutersmitgeteiltwird.ImOktober2016hatderEuGHgeurteilt,IP-AdressensindalspersonenbezogeneDateneinzustufenunddaherentsprechendzuschützen.MüssenIP-Adressenlängerfristiggespeichertwerden,istdiesnurerlaubt,wenndieIP-Adresseverschlüsselt46gespeichertwird.VerbotenistdieanlassloseunverschlüsselteSpeicherungvonIP-Adressen.WerdieseAdressenunverschlüsseltspeichernwill,mussguteGründevortragen,warumundwozudieseAngabenbenötigtwerden,beispielsweisezurGefahrenabwehrimZusammenhangmitdenVorschriftendes§138StGB(NichtanzeigegeplanterStraftaten).

EinweitererPunktistdergesetzeskonformeEinsatzvonCookies47.DieInformationspflichtengegenüberdenWebsite-Besucher*innensindabhängigvonderArtdeszusetzendenCookies:

a) Session-Cookies/essentielleCookies:siewerdengesetzt,wenneineVerbindungzueinerDatenbankaufgebautwerdenmuss(z.B.nachderAnmeldungmitseinen/ihrenZugangsdaten),b) Konfigurations-Cookies,z.B.zurSpeicherungderAuswahlderangezeigtenSprache,wenndieWebsitemehrsprachigist,c) First-party-CookiesdienenderWiedererkennbarkeitdes/derBesucher*in(genauer:desComputers),d) Third-party-CookiessindCookies,dieaufAngeboteDritterverweisen(z.B.diehäufigsichtbarenVerweiseaufWerbeangeboteDritter),e) SuperCookiesoderEvercookies:wiederletzteNameschonsagt,werdendieseCookiesdauerhaftundvorallemverstecktgespeichert,dasssievondenNutzendennichtsoleichtentdecktundentferntwerdenkönnen.DatenrechtlichhandeltessichumrechtswidrigeCookies,weilsiealleNutzungsaktivitätenspeichernundanDritteübermitteln.SiesindeineechteBedrohungderPrivatsphäre.EineweitereUnterscheidungbetrifftdieDauerderSpeicherungvonCookies:44„Webseite“istdieumgangssprachlicheBezeichnungfüreineScriptdatei,dieInhaltezwischeneinemöffnenden<hmtl>-Tagundeinemschließenden</html>-TagcodiertunduntereinemNamenineinemOrdnerabgespeichertwird.DerAufrufeinesScripterfolgtübereinenLink.45StatischeIP-AdressenwerdeninderRegelnurvonFirmenodergroßenInstitutionengenutzt.HieristderPersonenbezugeingeschränkt,weildieRechnerimFirmennetzwerküberprivateIP-Adressenangesprochenwerden,dienichtimInternetgeroutetwerdenunddieinjedemLANvorkommenkönnen(NAT=netaddresstranslation).46EineverschlüsselteSpeicherungliegtdannvor,wenndasletzteTripeldurch„xxx“ersetztwird,weilderkonkreteKundenbezug(NameundAnschriftderKund*in,NutzungsdauerundDokumentation,welcheWebsitesaufgerufenwurdenetc.)überdasletzteTripelherstelltwird.47Cookies(auchhttp-Cookies)sindkleineTextdateien,diezwischenServerundClientsausgetauschtwerden,umWebanwendungennutzerfreundlicherzugestalten.CookiesspeichernzumBeispieldieAdresseeineraufgerufenenWebsite,dieSuchanfragenoderdieZeit,wielangejemandeineWebsitebesuchtusw.CookiesdienenvorallemdemInternet-MarketingunddienenderWiedererkennungderNutzenden(genauer:derWidererkennungdesComputers).HatjemandaufeinerWebsitenachLaptopsgesuchtunddanachfüreinebestimmteZeitbeimAufrufdesBrowsers(ungefragt)WerbungfürLaptopserhalten,hater/siediesCookieszuverdanken.CookiessindjedochkeineSchadroutinen,auchwenndiesimmerwiederbehauptetwird.


22 Datenschutz-FAQ

a) TransienteCookies48(z.B.Session-Cookies)werdennurfürdieDauerderSession(Browsersitzung)gespeichertundnachBeendenderSession(Logout)ausSicherheitsgründengelöscht,damitnichtunbefugteDrittedasSession-CookiekapernkönnenundsichsoZugangzumAccountdes/derNutzend*enverschaffenkönnen.b) PersistenteCookiesbesitzeneinelangeLebensdaueroderbleibendauerhaftgespeichert.DasSetzenpersistenterCookiesverstößtgegendieAuflagenderDS-GVO/BDSG,weilmitpersistentenCookiesinderRegeldiePrivatsphäreausgespähtwird.

ObundwelcheCookiesgesetztwerden,mussder/dieWebsite-Betreiber*ininderDatenschutzerklärungmitteilenundfürzustimmungspflichtigeCookieseinesolcheMöglichkeitvorhalten.Technischnotwendige„essentielle“Cookies(z.B.Session-Cookies)dürfenauchohneexpliziteZustimmungderWebsite-Besucher*innengesetztwerden.Esisthilfreich,denBegriff„essentiell“sehrengauszulegen.AlleanderenCookies(z.B.CookieszuStatistikzwecken)dürfenerstnach(!)expliziterZustimmung(opt-in)derWebsite-Besucher*innengesetztwerden.Wasvoraussetzt,dassfüralleCookiesdieStandardeinstellungauf„nein“gesetztist(default)49.

HäufigistaufWebservernsogenannteTracking-Software50installiert.DatenschutzrechtlichistgegenstatischeErhebungennichtseinzuwenden,soweitdiedazunotwendigenDatenrechtskonformerhobenundohnePersonenbezuggespeichertwerden.VieledervonUSA-FirmenentwickeltenWeb-TrackererhebenDaten,diedasNutzungsverhaltenderWebsite-Besucher*innenausspähenunddamitanderenZweckendienen.IndenAGBsderTracking-Softwareistfestgelegt,dasseineNutzungandieZustimmungderÜbertragungdergesammeltenDatenanWebserveraußerhalbderEUgekoppeltist(verglKopplungsverbot,Art.7Absatz4DS-GVO,§28Absatz3bBDSG).DerEinsatzvonTrackernwirdseitensderdeutschenDatenschützerkritisiertundhatineinemerstenSchrittdazugeführt,dassallestaatlichenundhalbstaatlichenEinrichtungenverpflichtetwurden,aufdieInstallationsolcherTrackerzuverzichten.

UmRatsuchendendasAuffindenderBeratungsräumlichkeitenzuerleichtern,wirdhäufigaufOnline-KartendienstewieGoogle-Mapszurückgegriffen.BeiderEinbindungwirdvielfachübersehen,dassdieAktionenderWebsite-Besucher*innenabAufrufderWebsiteerfasstundungefragtanGoogleUSAübermitteltwerden,ohnedassdieWebsite-Besucher*innendavonKenntnishabenunddiesemVorgehenwidersprechenkönnten.ZusätzlichsetztGooglebeiderNutzungvonMapsNID-Cookies51

48https://www.datenschutzbeauftragter-bayern.com/de/glossar/!/29/transiente-cookies/49DerVollständigkeithalberseierwähnt,dassdieaktuelleAuslegungdergeltenden§§12und15TMGdasSetzenvonCookiesmitvoreingestellterZustimmungfürrechtmäßigansieht.DieDatenschutzkonferenzsiehtindieserAuslegungeinenWiderspruchzurgeplantenePrivacy-RichtliniederEUundempfiehlt,aufeinopt-outVerfahren(=voreingestellteZustimmung)vorsorglichzuverzichten(https://www.datenschutzkonferenz-online.de/media/oh/20190405_oh_tmg.pdfundhttps://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32002L0058&from=DE).50BekanntesterVertretersolcherSoftwaredürfteGoogle-Analyticssein.SynonymistderBegriff„Webalizer“.51InderGoogle-Datenschutzerklärungheißtes:„GoogleverwendetCookieswiedasNID-unddasSID-Cookie,umWerbunginGoogle-ProduktenwiederGoogle-Sucheindividuellanzupassen.MithilfesolcherCookieserfassenwirzumBeispielIhreneuestenSuchanfragen,IhrebisherigenInteraktionenmitdenAnzeigen


23 Datenschutz-FAQ

zuWerbezwecken.AusSichtderDGOBistesberufsethischbedenklich,wennBerufsgeheimnisträger*innenaufihrerWebsitePlugInsinstallieren,mitdenendieAktivitätenderWebsite-Besucher*innenausgespähtundungefragtanDritteübermitteltwerden.ErinnertseiandasUrteildesBundesarbeitsgerichts(BAG,inFrage2zitiert),wonachbereitsderWunschnachpsychosozialerBeratungeinPrivatgeheimnisdarstellt,dasvonBerufsgeheimnisträger*innengemäß§203StGBzuschützenist.WeraufdieIdeekommt,stattdesKarten-PlugInslediglicheinenScreenshotdesKartenausschnittszuveröffentlichen,verstößtgegendieNutzungsbedingungenundUrheberrechtevonGoogle,waszurAbmahnungderWebsite-Betreiber*innenführenkann.

DieEinbindungvonOpenStreetMap(OSM)hatzumindestdenVorteil,dassderenServeranStandorteninnerhalbderEU(aberauchinGroßbritannien,dasdemnächstkeinEU-Mitgliedmehrist)betriebenwerden.AllerdingswerdenauchbeiOSMdieIP-AdressenderWebsite-Besucher*innengespeichert.MitseinemUrteilhatdasEuGH-Urteilklargestellt,dassdieanlassloseSpeicherungvonIP-Adressen52rechtswidrigist.FürdieunverschlüsselteSpeicherungvonIP-AdressenmüssenWebsite-Betreiber*innentriftigeGründevorweisen.

Wiesooftgilt:wenigeristmehr,d.h.wenigerKomfortfürdieWebsite-Besucher*innenträgtzumeinemMehranDatenschutzbei.

Fazit:

AlleinederUmfangderAusführungenzurFrage6machtdeutlich:DiedatenschutzrechtskonformeGestaltungeinerWebsiteisteinevoraussetzungsvolleAngelegenheit,diemanentwederinZusammenarbeitmitspezialisiertemFachpersonaldurchführensollteodererstnacheingehenderRecherchederaktuellgültigendatenschutzrechtlichenVorgaben(DS-GVOundBDSG).DiehieraufgezähltenPunkterhebennichtdenAnspruchaufVollständigkeit,nichtzuletzt,weiljedesneueGerichtsurteilaufnationalerundeuropäischerEbeneneueVerhältnisseschafftundneueVerpflichtungendefiniertoderbestehendeVerpflichtungenneudefiniert.

einesWerbetreibendenoderdenSuchergebnissenundIhreBesucheaufderWebsiteeinesWerbetreibenden.AufdieseWeisekönnenwirIhnenindividuellzugeschnitteneWerbungaufGoogleanzeigen.“(https://policies.google.com/technologies/types?hl=de).52DasVorgehenstellteinenVerstoßdar,auchwenndieunverschlüsseltenIP-Adressennichtbeidem/derBerufsgeheimnisträger*inselbstgespeichertwerden,sondernbeiDritten.DurchdieEinbindungsolcherPlugInswieGoogle-MapsmachensichdieBerufsgeheimnisträger*innenzurErfüllungsgehilf*innenfüreinenimPrinziprechtswidrigenVorgang.


24 Datenschutz-FAQ

Kontakt:DGOBGeschäftsstelleErnstReuterStr.8a67373DudenhofenTel.06232/3128633

Zitationshinweis:

DGOB:Datenchutz-FAQs2020

Webabruf:https://


25 Datenschutz-FAQ

datenschutz - faq

Documents