Materialien und Mustervordrucke im Datenschutz

Wenn Ihr/e Vorgesetzte/r  entschieden hat, dass Sie von zu Hause aus arbeiten können und Ihr Antrag auf einen Fernzugang zum Bistumsnetzwerk vom SB 2 genehmigt wurde, beachten Sie bitte folgendes:

• Sofern möglich die Unterlagen mit personenbezogenen Daten aller drei Datenschutzklassen in den Büros des BGV oder Ihrer Dienststelle einscannen und über das geschützte BGV-Netz an die dienstlichen E-Mail-BGV-Adressen der Kollegen/Kolleginnen im Home-Office senden.

• Wenn Ihr/e Vorgesetzte/r entschieden hat, dass Sie die zur Arbeit benötigten Akten mit nach Hause nehmen müssen, bedürfen diese einer besonderen Sorgfaltspflicht. Die unberechtigte Kenntnisnahme dieser Akten durch Dritte muss ausgeschlossen werden.

Es empfehlen sich in diesem Fall besondere Schutzmaßnahmen, wie z.B.

• Virtualisierter Arbeitsplatz über Fernzugriff im geschützten BGV- Netzwerk sowie die dienstliche Mailadresse zum Arbeiten nutzen,
• Transport der Unterlagen in einem geschlossenen Umschlag oder einem anderen Behältnis,
• nicht mehr mitnehmen als unbedingt erforderlich,
• dienstliche Unterlagen sollen auch zu Hause sicher aufbewahrt werden, bestenfalls in einem abschließbaren Schrank,
• das Arbeitszimmer sollte nach Möglichkeit separat, und, bei eigener Abwesenheit, abschließbar sein,
• wenn der Partner/Kinder oder andere Dritte sich im Haus aufhalten, sollte der Computer auch bei kurzzeitigem Verlassen gesperrt werden,
• berufliche E-Mails sind nicht auf private E-Mail Postfächer weiterzuleiten,
• sensibler und datenschutzkonformer Umgang mit der Vernichtung von Unterlagen und Ausdrucken, falls kein privater Schredder (keine Streifen bitte!) vorhanden ist, bitte Papiere mit zurück ins BGV bringen und über die silberne Tonne datenschutzkonform entsorgen (BITTE NICHT über den Hausmüll!!!)
• im Einzelfall kann es erforderlich sein, dem Arbeitgeber und der zuständigen Datenschutzaufsicht zu Kontrollzwecken eine Zugangsmöglichkeit einzuräumen.

Datenschutzrechtliche Hinweise zum Umgang mit personenbezogenen und sensiblen Daten/Gesprächsinhalten während einer Heimarbeitsphase (z.B. bei Telefonkonferenzen) im Rahmen der dienstgeberseitigen Corona-Maßnahmen:

Wenn Ihr/e Vorgesetzte/r  bzw. Weisungsbefugte/r entschieden hat, dass Sie von zu Hause aus arbeiten können und Ihr Antrag auf einen Fernzugang zum Bistumsnetzwerk vom SB 2 genehmigt wurde, beachten Sie zur Realisierung von Telefonkonferenzen bitte folgendes:

• Nutzen Sie, wann immer es möglich ist, die für Sie kostenfreien und gesicherten IT- und Kommunikationssysteme des Bistums Trier. Telefonkonferenzen mit bis zu 15 Teilnehmenden sind möglich. Die Anleitung hierzu befindet sich im Portal unter „Arbeitsplatz > Bibliothek > Corona > Telefonkonferenz“

• Die Gewährleistung der technischen und organisatorischen Maßnahmen innerhalb der kirchlichen Dienststellen gehört zu den Verantwortungsbereichen der/des jeweiligen Vorgesetzten bzw. Dienststellenleitungen. (vgl. §§ 26 und 27 KDG).

• Wenn Ihr/e Vorgesetzte/r bzw. Dienststellenleiter/in oder ein von ihm/ihr beauftragte/r Weisungsbefugte/r entschieden hat, mit einem anderen, auf dem freien Markt verfügbaren Anbieter zu arbeiten (z.B. für Telefonkonferenzen) ergehen folgende Hinweise:
  • Nutzen Sie zur Registrierung  Ihre dienstliche Mail Adresse ( BGV- bzw. Bistums-E-Mail-Adresse oder E-Mail-Adresse des Pfarrbüros bzw. der kirchlichen Dienststelle/Einrichtung)
  • Achten Sie bitte darauf, dass Sie einen Anbieter wählen, der ein EU-DSGVO bzw. KDG-konformes Produkt anbietet. Hinweise hierzu finden Sie in der jeweiligen Datenschutzerklärung. Der Unternehmenssitz und die Server des Anbieters sollte in Deutschland oder im europäischen Wirtschaftsraum liegen. Eine gültige ISO Zertifizierung ist ein weiteres positives Indiz für eine Vertrauenswürdigkeit.  Businessversionen bieten oft höhere Sicherheitsstandards. Bitte erkundigen Sie sich unbedingt vorher in den AGBs und FAQs des Anbieters zu den Registrierungsmodalitäten und den personenbezogenen Daten, die an den Anbieter übertragen werden (z. B. IP Adresse, Telefonnummer, Name, Vorname).
  • Bei der Beauftragung des Anbieters kann der Abschluss eines Vertrages zur Auftragsverarbeitung notwendig sein, der die Voraussetzungen des § 29 KDG erfüllen muss.
  • Bitte prüfen Sie ob alle Inhalte und Informationen (Ihre personenbezogenen Daten UND die Gesprächsinhalte) vom Anbieter geschützt werden (z.B. Ende-zu-Ende-Verschlüsselung, Firewalls, NAT-Router, Verschlüsselung, SOC-2-Compliance und die Bereitstellung über IP VPN). Je sensibler die Inhalte der Telefonkonferenz desto höher der Schutzbedarf. Bitte nutzen Sie in diesen Fällen z.B.  Pseudonyme, um die Identität der betroffenen Personen zu schützen (z.B. Frau S., Herr K., die Teilnehmer des Seminars).  
  • Es können auch Kosten für die Teilnehmenden an Telefonkonferenzen entstehen. Bitte erkundigen Sie sich auch hierzu vorher in den AGBs und FAQs des Anbieters.
  • Die Einwilligung des Mitarbeiters zur Nutzung des privaten Telefons ist auch aus datenschutzrechtlicher Sicht erforderlich. Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung der betroffenen Personen beruht. Sie bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.

• Videokonferenzen müssen aus datenschutzrechtlicher Sicht zur Durchführung der jeweiligen Aufgaben erforderlich sein. Dabei sind unbedingt auch die Grundsätze  der Datenverarbeitung (§ 6 und 7 KDG) zu beachten (= Rechtmäßigkeit, Datensparsamkeit, dem Zweck angemessen und auf das notwendige Maß beschränkt). Deshalb ergeht die datenschutzrechtliche Empfehlung im Normalfall auf Videokonferenzen zu verzichten. Erforderlich können Videoberatungen, z.B. im Falle der Lebensberatung, sein. Hier stehen den Lebensberatungsstellen die erforderlichen Informationen und zertifizierten Anbieter zur Verfügung.

Wir bitten um Ihr Verständnis, dass wir seitens des Bischöflichen Generalvikariates zu technischen Fragen sowie etwaiger entstehender Kosten der jeweiligen auf dem freien Markt befindlichen Anbieter derzeit keinerlei Auskunft, Unterstützungs- oder Serviceleistungen anbieten können.

Anfragen zur Unterstützung für IT-Systeme des Bistums Trier richten sie bitte an helpdesk(at)bgv-trier.de. Bitte haben sie Verständnis dafür, dass Fragen zu Fremd- und Privat-Systemen nicht beantwortet werden können.

Die Gewährleistung der technischen und organisatorischen Maßnahmen innerhalb der kirchlichen Dienststellen gehört zu den Verantwortungsbereichen der/des jeweiligen Vorgesetzten bzw. Dienststellenleitungen (vgl. §§ 26 und 27 KDG).

Manchmal reicht es nicht aus, in einer Telefonkonferenz miteinander zu arbeiten, in diesen Fällen ist eine Videokonferenz zur Erfüllung der Aufgaben erforderlich.

Wenn Sie zu einer solchen Videokonferenz durch verantwortliche Stellen, etwa aus anderen (Erz-)Diözesen, eingeladen werden, können Sie davon ausgehen, dass dort für die datenschutzrechtliche Prüfung und Rechtskonformität gesorgt wurde. Diese Verantwortung liegt bei der einladenden Stelle. Für den Fall, dass Sie sich darüber weiter informieren möchten, könnten Sie sich, sofern diese nicht mitgeliefert wird, die entsprechende Datenschutzerklärung anfordern.

In den Fällen, in der Sie selbst zu einer Videokonferenz einladen möchten, obliegt Ihnen, als verantwortliche Stelle, die Prüfung der Erforderlichkeit. Sie erfolgt in Absprache mit der/dem jeweiligen Vorgesetzten bzw. Weisungsbefugten. Für diese Fälle geben wir folgende Entscheidungs- und Verfahrenshinweise vor der Realisierung von Videokonferenzen:

1. Der/Die Veranstalter/in der Videokonferenz prüft, in Absprache mit der/dem Vorgesetzen bzw. Weisungsbefugten, die „Erforderlichkeit“ einer Videokonferenz unter Beachtung des § 7 Abs. 1 c) KDG und den Grundsätzen für die Verarbeitung personenbezogener Daten, (…dem Zweck angemessen und auf das notwendige Maß beschränkt/
   Datensparsamkeit/Datenvermeidung). Stellt der/die Veranstalter/in, in Absprache mit dem/der Vorgesetzen bzw. Weisungsbefugten, nach dieser Prüfung fest, dass tatsächlich eine Videokonferenz zur Erfüllung der jeweiligen Aufgaben erforderlich ist, sind die Risiken abzuwägen. Es gilt durch kluge Überlegungen zu verhindern, dass bei der Videokonferenz unbefugt mitgehört wird, und mit vorausschauender Planung dafür zu sorgen, dass in der Videokonferenz keine sensiblen Informationen bzw. sensible personenbezogene Daten zu bestimmten oder bestimmbaren Personen, weder im gesprochenen Wort noch im Bild, geteilt werden. Hinweise hierzu vgl. Nr. 7.
2. Während einer Videokonferenz werden etliche personenbezogene Daten erhoben und verarbeitet (z.B. Videobilder der Teilnehmer/innen, Teilnehmer-/-Kontaktdaten der genutzten Rechner, ggf. Telefonnummer, das gesprochene Wort, Informationen und Gesprächsinhalte, etc.). Deshalb prüft der/die Veranstalter/in der Videokonferenz vorab die Rechtmäßigkeit für die Verarbeitung dieser Daten (z.B. Einwilligung der Teilnehmer/innen nach § 6 Abs. 1 b KDG).
    
3. Nun zur Schaffung der technischen und der in jedem Fall notwendigen rechtlichen Voraussetzungen, zum Thema „Auftragsverarbeitung“ und zur „Beteiligung der MAV“.

• Nutzen Sie, wann immer es möglich ist, die für Sie kostenfreien und gesicherten IT- und Kommunikationssysteme des Bistums Trier. Sowohl der notwendige Vertrag zur Auftragsverarbeitung als auch das Beteiligungsverfahren der Gesamt-MAV sind bereits abgeschlossen. Die Technik für Videokonferenzen steht zur Verfügung. Bitte beachten Sie hierzu auch die ‚Nutzungsbedingungen IT-Systeme Bistum Trier vom 28.04.2020 und die Anlage 1 Datenschutzerklärung‘ und das Beantragungsverfahren für den erforderlichen Service. Für Beschäftigte des Bistums Trier im Sinne des § 4 Nr. 24 KDG sowie darüber hinaus auch für sonstige Beschäftigte mit arbeitsrechtlichen Rechtsverhältnissen zum Bistum Trier ist die Nutzung der IT-Systeme des Bistums Trier verpflichtend.
  Die Bekanntmachung der Nutzungsbedingungen erfolgte im Portal, zu finden unter: > Arbeitsplatz > Bibliothek > Dokumente-Verzeichnis > Informationssysteme > Nutzungsbedingungen IT-BISTUM) und im Kirchlichen Amtsblatt (KA Juni 2020).
  Die Formulare zur Beantragung finden Sie ebenfalls im Portal unter: > Arbeitsplatz > Bibliothek > Dokumente-Verzeichnis > Informationssysteme > Anträge Bistum IS.
   
• Bei anderen Produkten bzw. Anbietern des freien Marktes steht für die verantwortliche Stelle/den/die Vorgesetzte/n, neben der Schaffung der oben genannten rechtlichen Voraussetzungen, auch die Klärung der Kostenfrage vor einer möglichen Nutzung noch an. Evtl. muss auch eine Datenschutz-Folgenabschätzung durchgeführt werden. Die alleinige Verantwortung für die Entscheidung, einen Auftragsverarbeiter des freien Marktes zu wählen, und sich evtl. daraus ergebende Folgen trägt die jeweils verantwortliche Stelle. Einige Beurteilungskriterien zur Prüfung eines geeigneten Anbieters finden Sie unter diesem Link.

4. Eine Videokonferenz im IT-System des Bistums Trier kann nur von internen Nutzerinnen und Nutzern angelegt/gestartet werden (Interne Nutzende=Beschäftigte des Bistums Trier im Sinne des § 4 Nr. 24 KDG sowie darüber hinaus auch sonstige Beschäftigte mit arbeitsrechtlichen Rechtsverhältnissen zum Bistum Trier). Diese haben, sofern die Zugangsberechtigung noch nicht vorliegt, vorher über den/die Vorgesetzten bzw. Weisungsbefugten einen Benutzerantrag gestellt und ein Benutzerkonto erhalten.

Es können auch externe Personen zur Videokonferenz eingeladen werden. Die Teilnahme von externen Personen an einer Videokonferenz ist von deren Einwilligung abhängig. Eine Teilnahme ist auch ohne Bildübertragung möglich.

Im Falle von minderjährigen externen Teilnehmerinnen und Teilnehmern ist die revisionsfähige Einwilligung der Personensorgeberechtigen Voraussetzung. Die Nachweisführung obliegt der verantwortlichen Stelle, Dienststelle oder Einrichtung des Bistums Trier. Für externe bzw. auswärtige Teilnehmerinnen und Teilnehmer wird ein Link zur Verfügung gestellt. Hierzu verweisen wir auf die Datenschutzerklärung, zu lesen unter diesem Link (PDF-Download).

5. Sofern die Videokonferenz vom Veranstalter/von der Veranstalterin in Absprache mit der/dem Vorgesetzten bzw. Weisungsbefugten als erforderlich erkannt wurde, empfiehlt es sich, auch wenn der Teilnehmerkreis aus internen Nutzerinnen und Nutzern besteht, vorher die Einwilligung der Teilnehmenden einzuholen. Eine Einwilligung ist in jedem Fall erforderlich, wenn der/die Mitarbeiter/in im Homeoffice arbeitet und bei der Videokonferenz u. U. persönliche Verhältnisse oder Videoaufnahmen von Familienmitgliedern mit übertragen werden könnten (Einwilligung vgl. 7.1 f).
    
6. Die Teilnehmer/innen sollten sich bei Bedarf vorher mit dem Tool vertraut gemacht haben. Hierzu stehen Einweisungen zur Verfügung. Nutzen Sie hierzu gerne die Unterstützungsseite, wo Sie Anleitungen, Tipps und Tricks zum Cloud-Computing finden (https://cloud.bistum-trier.de). Dort erhalten Sie auch die Möglichkeit der freiwilligen Teilnahme zu kurzen Einweisungen per Webinar (Videokonferenz) und können sich hierzu jeweils unter Einweisungen anmelden. Zusätzlich stehen Ihnen auf dieser Webseite Einweisungsvideos sowie weiteres Lernmaterial zur Verfügung.
   
   Lesen Sie weiter im nächsten Punkt 7 : Checkpunkte bei Videokonferenzen zwischen internen Nutzerinnen und Nutzern aus datenschutzrechtlicher Sicht.

Checkpunkte bei Videokonferenzen zwischen internen Nutzerinnen und Nutzern aus datenschutzrechtlicher Sicht. Ausführliche Tipps und Hinweise zu Videokonferenzen mit den IT-Systemen des Bistums Trier finden Sie unter: https://cloud.bistum-trier.de.

Punkt 7 (1): Die verantwortliche Stelle bzw. der/die Veranstalter/in...

• ...definiert den Teilnehmerkreis (z.B.: Achten Sie auf die Autorisierung der Teilnehmer zu den beabsichtigten Gesprächsthemen). Die Teilnehmerliste versenden Sie bitte nicht mit der Einladung. Sie dient zunächst einmal dazu, dass Sie bzw. der Moderator/Organisator die Kontrolle darüber hat, wer alles eingeladen wurde und wer sich letztlich alles zur Konferenz hinzuschalten möchte.
   
• ...klärt das grundsätzliche Einverständnis der Kolleginnen und Kollegen zur gemeinsamen Videokonferenz und klärt darüber auf, dass eine aktive Teilnahme auch ohne Übertragung der Videoaufnahmen, falls gewünscht, möglich ist (bei der hier beschriebenen Videokonferenzschaltung ist es möglich, dass der/die einzelne Teilnehmer/in die Kamera wie gewünscht ein- und ausschalten kann. Darüber hinaus ist es in den IT-Systemen des Bistums Trier möglich, neben der Kamera-Live-Schaltung, ein Bild einzuscannen, welches dann während der Konferenz angezeigt wird. Dieses Bild kann auch ein Foto des/der Teilnehmers/in sein. Die Einwilligung zur Verwendung der Abbildung der jeweiligen Person gilt als erteilt, wenn der/die Teilnehmer/in darüber aufgeklärt ist und anschließend persönlich die Abbildung dort einstellt oder auch das Foto wieder entfernt bzw. austauscht.
   
• ...informiert ggf. den/die Teilnehmer/in darüber, dass in den IT-Systemen des Bistums Trier eine Aufzeichnung standardmäßig unterbunden ist, also technisch gar nicht stattfinden kann.
  Bei Auftragsverarbeitern anderer Systeme des freien Marktes informiert und vereinbart die verantwortliche Stelle, egal ob im Büro oder zu Hause, bestenfalls schriftlich in der Einladung die Teilnehmenden, ob eine Aufzeichnung erfolgen wird, wo diese anschließend für den benötigten Zeitraum von … (wenige Stunden oder ein Tag) zum Download zur Verfügung steht und dass sie danach, bestenfalls automatisch, sofort gelöscht wird.
   
• ...klärt die Moderations- und Gesprächsregeln und führt eine Klärung herbei, welche Arten von Dokumenten nicht in der Videokonferenz geteilt werden dürfen (z. B. Dokumente mit personenbezogenen Daten und/oder sensiblen Informationen). Falls über Fälle von bestimmten oder bestimmbaren Personen gesprochen werden muss, sind Pseudonyme nach § 4 Nr. 6 KDG vor der Konferenz festzulegen und zu verwenden. Bitte achten Sie darauf, keine Leistungsbewertungen/-benotung einzelner Teilnehmer/innen in der Videokonferenz vorzunehmen.
   
• ...terminiert die Videokonferenz.
   
• ...lädt zur Videokonferenz ein. Hinweise zum Verfahren der Einladung mit den IT-Systemen des Bistums Trier finden Sie unter:  https://cloud.bistum-trier.de.
  Für den Fall, dass die verantwortliche Stelle einen anderen Anbieter/Auftragsverarbeiter gewählt hat, müssten die Zugangsmodalitäten entsprechend selbstständig geklärt und angepasst werden.
  Zugewiesene Zugangsdaten dürfen in keinem Fall ohne Genehmigung der für die Organisation der Videokonferenz verantwortlichen Stelle weitergegeben werden.
   

Punkt 7 (2) Einwilligung, Einloggen und Identifikation:

1.  Einwilligung von externen Teilnehmerinnen und Teilnehmern ist erforderlich. Die Teilnehmerinnen und Teilnehmer sind durch den Veranstalter darauf hinzuweisen, dass die Einwilligung auf jeden Fall freiwillig ist. Fls erforderlich, oder auf Verlangen der betroffenen Person, muss der/die Veranstalter/in auf die möglichen Folgen der Verweigerung der Einwilligung hinweisen (→ zunächst einmal kann er/sie nicht teilnehmen).
2. Die Einwilligung der Teilnehmenden erfolgt im IT-System des Bistums Trier elektronisch, durch den Teilnehmer unmittelbar vor der Konferenz. Im Falle der Einladung von auswärtigen Teilnehmer/innen kann auch eine zusätzliche schriftliche Einwilligung erforderlich sein. Darüber informiert Sie die jeweils verantwortliche Stelle.
3. Der/Die Teilnehmer/in nutzt den übersandten Link oder Berechtigungscode und schaltet sich zur Videokonferenz hinzu.
4. Der/Die Moderator/in identifiziert den/die Teilnehmer/in in der Videokonferenz und bestätigt oder lehnt ggf. die Teilnahme ab.
    

Punkt 8:

Es ist durch die verantwortliche Stelle eine Verfahrensbeschreibung nach § 31 KDG „Videokonferenz“ anzufertigen (aber nicht zwingend vor Einführung). Obwohl wir es als sinnvoll erachten und empfehlen, dass sich die verantwortliche Stelle die sich aus dem Verzeichnis ergebenden Fragen vor der Einführung der Videokonferenzen (für sich) klärt.

Wir bitten um Ihr Verständnis, dass wir seitens des Bischöflichen Generalvikariates zu technischen Fragen sowie etwaiger entstehender Kosten der jeweiligen auf dem freien Markt befindlichen Anbieter derzeit keinerlei Auskunft, Unterstützungs- oder Serviceleistungen anbieten können.

Anfragen zur Unterstützung für IT-Systeme des Bistums Trier richten sie bitte an helpdesk(at)bgv-trier.de. Bitte haben Sie Verständnis dafür, dass Fragen zu Fremd- und Privat-Systemen nicht beantwortet werden können.