News Datenschutz-Aufsichtsbehörde: Teams und Zoom lassen sich nicht DSGVO-konform nutzen

[Botcruscher]

Klassisches Nein! Doch! Oh! Und wenn die Behörden noch Eier hätten würde es für W10, Playdienste bei Android, Apple oder die Autoherstellern nicht anders aussehen.

 

[Snowknight]

Mal kurz über den Tellerrand gucken für die ganzen Anti-DSGVO Meinungen:
Spätestens wenn Daten (Bilder, Mitschnitte, Notizen, Logins etc.) im großen Stil entwendet werden oder durch was auch immer im Umlauf sind ist der Aufschrei groß - das war bisher immer so.
Einher gehen dann immer die üblichen Kommentare: "Warum wurde das auch dort gespeichert", "Wieso wurde das nicht nach XXX verschlüsselt" und auch "Warum speichert man auch so lange Daten".

Die DSGVO ist nicht dafür da jedem die Suppe zuversalzen, sie ist dafür da um zum Beispiel Datenpannen zu verhindern, falsche Verarbeitungsprozesse zu unterbinden oder zumindest Verantwortliche und Datenverarbeiter zu sensibilisieren und anzuhalten Standards und Gesetze einzuhalten.
Das mag alles gerne mal als kleinkarriert und übertrieben wahrgenommen werden, aber IT ist auch komplex.

Oder einfacher:
Würde das Gesundheitsamt nicht Restaurants, Kühlhäuser etc. kontrollieren, wäre der Aufschrei auch groß. Das die täglich unzähligen Betrieben aufn Kecks gehen wird aber in der Gesellschaft vorausgesetzt. Also warum sich dann über die DSGVO beschweren.

Innovation und Sicherheit gehen selten Hand in Hand - lehrt zu mindest die Geschichte.

Zu einem anderen Thema:
Es ist in der Tat ein Unding, dass es in vielen Bereichen keine DSGVO konforme Lösung gibt. Instant-Messenger, Videokonferenz-Dienst und auch Cloud-Lösung könnte man nach DSGVO relativ einfach aufziehen. Aber dann erlischt ja mehr oder minder sofort der momentane Wirschaftsansatz - der Nutzer als Ware.

 

[MadCat[me]]

Das ist schon sehr salopp formuliert, aber bringt es durchaus auf den Punkt.
Fakt ist, die DSGVO macht das Leben für Betreiber von Websites und ähnlichen Angeboten sehr kompliziert, teilweise komplizierter als es sein müsste.

In einigen Bereichen würde ich sogar so weit gehen und sagen: die DSGVO ist mit dem Internet in seiner aktuellen Form nicht vereinbar.

Vor allem ist die DSGVO bei weitem über das hinausgeschossen, was die ursprüngliche EU GDPR eigentlich will. Darum hat man in anderen EU-Ländern auch weit weniger Probleme. Das BDSG vor der DSGVO entsprach schon weitgehend der EU GDPR. Kleinere Anpassungen hätten gereicht und wir hätten diesen Irrsinn jetzt nicht am Hals.

 

[Knuddelbearli]

Wieso hat das keinerlei Konsequenzen das sie nicht DSGVO konform sind? Ist ja immerhin ein Gesetz

 

[JamesCarter]

Ach, bei uns in der Firma achten die bei einigen Dingen ganz penibel hin, also dass die kleinen Angestellten nichts dürfen und schlechter arbeiten können, bei anderen Sachen, was dann von der Führungsriege gemacht wird, wird mit persönlichen Daten nur um sich geworfen, und dort ist alles wie immer erlaubt.

Erstaunlicherweise erinnert mich das an mein Unternehmen (arbeite in der IT).
Wir versuchen unsere Nutzer möglichst einzuschränken, da sehr viele leider wenig bis kein Wissen bezüglich Computer oder irgendeiner Software besitzen. Bei der oberen Etage lassen sich solche Einschränkungen leider nicht durchsetzen, da muss das eingeführt werden, was denen gerade gefällt und Ihnen irgendwie eingeredet wurde.
Also im Prinzip genau gleich, wir (die IT) versuchen den Rechner (und damit nunmal auch den Nutzer) möglichst einzuschränken, um ein Möglichstes für die Sicherheit zu tun, aber wenn die Chefetage kommt, ist dieses Thema leider vollkommen uninteressant.

@topic:
Habe mich schonmal mehr mit Kollaborationssoftware auseinander gesetzt und bin leider ein wenig verzweifelt, da man ja leider doch nicht allzu viel findet (mal abgesehen von den "großen" Playern). Ein eigenes hosten eines solchen Dienstes ist für viele IT-Abteilungen einfach nicht möglich und da ist es leider ziemlich enttäuschend so wenige Optionen zu finden, die nicht direkt nach Datendiebstahl "aussehen".

 

[Snowknight]

Wieso hat das keinerlei Konsequenzen

Das kann die Datenschutzbeauftrage nun selbst entscheiden.
Bzw. wenn sich nun ein Nutzer oder auch Betroffener aufn Schlips getreten fühlt und eine Beschwerde einreicht, muss was passieren.

Aber so einfach ist das nicht:
1. Bekommt das Unternehmen ein Problem welches die fragliche Software nutzt.
2. Wenn der Hersteller der Software nun in einem anderen Land sitzt, wird die Beschwerde dort hin weitergeleitet und damit war es das.

Bedeutet:
Der Unternehmen welches eine solche Software für den normalen Arbeitsaltag benötigt bekommt wahrscheinlich ein Bußgeld und ein Verbot das weiterhin zu nutzen - doppelt angeschmiert.
Das eigentliche Problem wird damit aber nicht beseitigt, denn die Software wird daraufhin wohl kaum angepasst.

Somit ist dies im weitesten Sinne ein Problem für den europäischen Datenschutbeauftragten. Die EU hat dort effizientere Möglichkeiten.

 

[Termy]

Wieso hat das keinerlei Konsequenzen das sie nicht DSGVO konform sind? Ist ja immerhin ein Gesetz

Das Gesetz verbietet ja nicht, dass es solche Software gibt. Es geht ja darum, dass diese nicht-konforme Software eben eigentlich nicht in Firmen (bzw Prozessen) eingesetzt werden darf, wo Kundendaten mit im Spiel sind.

 

[Cool Master]

Bis es DSGVO Urteile gibt ist die gesamte DSGVO nicht zu gebrauchen weil keiner wirklich versteht was man machen kann, darf und soll. Hier auch ein gutes Video in Bezug auf Zoom von WBS-Law:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[riloka]

Problem ist halt jitsi meet hat halt ein Performance Problem mit mehr als 30 Teilnehmer.

Liegt das am fehlenden Support für moderne Codecs wie VP9 so dass einfach die Leitung voll läuft?
Theoretisch müsste alles in Hardware bei den Teilnehmern dekodiert und enkodiert werden und der Server nur die nötigsten Daten weiterschieben. Wo ist der Flaschenhals?

 

[riloka]

Ein eigenes hosten eines solchen Dienstes ist für viele IT-Abteilungen einfach nicht möglich und da ist es leider ziemlich enttäuschend so wenige Optionen zu finden, die nicht direkt nach Datendiebstahl "aussehen".

Wenn man selbst nicht das Wissen und das Geld und die Infrastruktur hat, kann man immer noch jemand anderes damit beauftragen. Vorrausgesetzt die Anwendung ist nicht mit der Infrastruktur des Herstellers zwangsverheiratet.

 

[Serana]

Die Frage ist dabei doch auch, inwiefern die Ansichten der Berliner Beauftragten für Datenschutz und Informationsfreiheit außerhalb Berlins überhaupt relevant sind. Datenschutz ist in Deutschland meines Wissens Ländersache, insofern ist das Votum von Frau Smoltczyk für ein Unternehmen in z.B. Baden-Württemberg zunächst einmal nur eine Meinungsäußerung.

Interessant würde es dann werden wenn z.B. die Datenschutzbeauftragten in mehreren Bundesländern sich gleichlautend über das Thema äußern.

 

[DavidMay]

Die Mängel in den ganzen Privacy Policies bzw. Auftragsdatenverarbeitungen scheinen ja echt zahlreich zu sein, bei den kommerziellen Anbietern durch die Bank weg. Meine Erwartung an diese Dienste, insb. die großen bekannten ist, dass die sowas DSGVO-konform auf die Kette kriegen. Scheinbar hat man sich da versucht irgendwie durchzuwurschteln, damit man sein eigenes Vorgehen bloß nicht bzw. möglichst minimal DSGVO konform gestalten muss.

Sowie bestimmte AGBs häufig vor Gericht mal einkassiert werden (z.B. etliche male bei Reiseanbietern) wäre das bei diesen Policies auch mal nötig, damit diese endlich rechtskonform werden. Man wird es ja wohl hinkriegen ein gutes UND gleichzeitig rechtskonformes Produkt anbieten zu können

 

[Tanzmusikus]

Super Sache so ein Test - gerade in solchen Zeiten, damit das Homeoffice & andere Meetings nicht zur Gefahr werden.
Allgemein sollte man also vorsichtig mit seinen persönlichen Daten in solchen Online-Meetings sein.

Zoom hat in letzter Zeit viele technische Updates & Bugfixes rausgegeben.
Schade, dass es an den rechtlichen Grundlagen hapert.

 

[Mordi]

Vor allem ist die DSGVO bei weitem über das hinausgeschossen, was die ursprüngliche EU GDPR eigentlich will.

Das ist einfach falsch.
Die DSGVO/GPDR ist eine EU-Verordnung die so wie sie ist unmittelbar rechtlich wirksam für die Mitgliedsstaaten ist. Die DSGVO ist einfach nur die deutsche ÜBersetzung von ihr. Das einzige was mich an der DSGVO stört ist die teilweise etwas schwierige Übersetzung, deswegen arbeite ich gern mit der englischen Fassung.

 

[Samez]

Was mir an jitsi meet so gut gefallen hat ist die Option rein über den Browser zu arbeiten und kein Benutzerkonto zu benötigen.
Die Qualität war bei Videoübertragungen mehrerer Leute gleichzeitig in der Regel mies, aber solange etwas "Funkdisziplin" herrscht, oder nur einer zentral vorträgt hat es eigentlich ganz gut und unkompliziert funktioniert.
Davon abgesehen hatte ich vor einiger Zeit Mal gehört, dass Skype for business nächstes Jahr zu Gunsten von Teams eingestellt wird. Ist da was dran?

 

[Berry2k]

--- Fullquote entfernt ---
bitte Zitierregeln beachten

„Nutzer als Ware“ trifft es bestens, wenn man bedenkt, dass die Masse an Leuten halt nicht gewillt ist, für vieles einfach ein paar Euros zu bezahlen, selbst wenn sie den Service / das Produkt oder sonst was sehr schätzen und einen wirklichen Nutzen bzw. Mehrwert daraus ziehen. Am besten alles ist immer kostenlos!
Sieht man doch gerade bei Services ( aka Dienstleistungen ) bzw. Programme oder Apps die somit quasi einen Service bieten. Egal ob auf Windows oder iOS / Android. Die beliebtesten und meist genutzten Dinge dort sind die „kostenlosen“, da bezahlen die Nutzer halt mit ihren Daten. Weil so die Unternehmen dahinter noch Geld verdienen und/oder einen Mehrwert daraus ziehen.
Datenschutzrechtlich-konform ( nicht nur DGSVO ) geht aus meiner Sicht nur mit Produkten / Services / Apps / Programmen ( whatsoever ), wenn diese genug Kosten, sodass es sich für die Unternehmen dahinter lohnt. Da die meisten Nutzer aber “kostenlose“ Dinge bevorzugen, wird halt mit den Daten bezahlt. Geht wie gesagt aus meiner Sicht nur entweder oder...

 

[Evilc22]

Wird doch wohl eine Software geben die man selbst hosten kann und dann per VPN zum Server ...?
Oder sind alle nur mehr Datenminer

 

[riloka]

Wird doch wohl eine Software geben die man selbst hosten kann und dann per VPN zum Server ...?
Oder sind alle nur mehr Datenminer

Das Problem is Stabilität und Funktionsumfang und da sind die kommerziellen eben besser aufgestellt.

 

[new Account()]

Und jetzt? Welche Wahl hat man jetzt groß? Jitsi gibt's noch, aber das taugt nur, wenn man sein Mikrofon selbst nochmal durch einen Filter schleift:
https://wiki.archlinux.org/index.php/PulseAudio/Troubleshooting#Enable_Echo/Noise-Cancellation

Das ist ein reines Arch- oder Linux-Problem.

Fakt ist, die DSGVO macht das Leben für Betreiber von Websites und ähnlichen Angeboten sehr kompliziert, teilweise komplizierter als es sein müsste.
In einigen Bereichen würde ich sogar so weit gehen und sagen: die DSGVO ist mit dem Internet in seiner aktuellen Form nicht vereinbar

Dagegen spricht, dass es Alternativen gibt, welche DSGVO-Konform sind.
Welche Bereiche sind denn das?

Das Problem is Stabilität und Funktionsumfang und da sind die kommerziellen eben besser aufgestellt

kommerziell != closed source != nicht dsgvo konform einsetzbar
Und, wenn keiner für Open Source zahlen will, braucht man sich auch nicht wundern, wenn die nicht so gut sind.

 

[Samez]

@ Berry2k
Das ist ja irgendwie das absurde bei jitsi meez. Es ist kostenlos und in der Bewertung deutlich besser durch gekommen als Zoom oder Teams.

Was mich ansonsten wundert ist WebEx. Einer unserer Geschäftspartner arbeitet auch im Rüstungs- und Space Bereich und ist dem entsprechenden sehr sensibel wenn es um externe Software und Datenschutz geht (z.b. haben die Google deaktiviert), aber WebEx ist eines der wenigen Programme, dass sie benutzen dürfen.
Die Unterscheidung zwischen WebEx und WebEx Telekom verstehe ich auch noch nicht ganz.