DSGVO und mobile Geräte

[Legolas]

Hallo,

Wir hatten gestern den Workshop bezüglich Android und Mobileiron. In diesem Zusammenhang sind wir über das o. g. Thema nochmal informiert worden und sind u. a. auf folgendes hingewiesen worden: jede App die auf einem Firmendevice installiert und genutzt wird und der Zugriff auf die Kontakte / Adressbuch gewährt wird und die Inhalte aus dem Adressbuch an Dritte weitergibt verstößt eindeutig gegen die DSGVO. D. h davon sind u. a. Apps wie WhatsUP und Facebook betroffen.

Wie wird das bei Euch in der Firma gehändelt?

Danke
SW

 

[Chopchop]

Wie das bei uns in der Firma gehandhabt wird ist erstmal Geschäftsgeheimnis , auf einem Firmendevice hat Facebook gar nichts zu suchen, und das Hochladen von Kontaktdaten ist zwar nicht dsgvo konform aber leider ist Whatsapp so etwas wie "stand der Technik" und vermutlich im selben Zusammenhang wie Office 365 (siehe NL Aufsichtsbehörde und Microsoft aus November 2018? ) und Windows 10 Telemetriedaten (siehe BSI Telemetriedaten Windows 10) zu sehen und sollte intern geprüft und dokumentiert werden. Schau in eure Datenschutzrichtlinien im Unternehmen zu mehr.
Auch dies ist keine Rechtsberatung und erhebt auch keinen Anspruch an diese.

 

[Legolas]

Ich will keine Rechtsberatung, habe ich mich so ausgedrückt?

 

[Chopchop]

Nene, ich schreibe das nur dazu.
Das Thema hat glaube ich ziemlich jedes Unternehmen auf dem Tisch und der Verzicht auf Whatsapp stellt in der Regel keine brauchbare Lösung dar. Euer Chef hat sich dazu hoffentlich schon Gedanken gemacht und eine interne Richtlinie im Umgang mit Social Media usw. gegeben.

 

[BlubbsDE]

Was möchtest Du denn? Du hast doch alles relevante erkannt. Was andere Unternehmen machen ist doch irrelevant. Will man sich an die DSGVO halten, sind solche Dienste Tabu.

 

[konkretor]

Die Exchange Kontakte und Mails in einen Container packen

https://www.giritech.de/soliton/soliton-securecontainer.html
https://www.virtual-solution.com/securepim/

Securepim wird auch bei Sophos angewendet dort als OEM

 

[Cat Toaster]

Für BYOD-Szenarien gibt es mit WorkspaceOne oder eben MobileIron und Co. entsprechende Container-Lösungen. Bei Android bietet sich insbesondere Android Enterprise mit Work Profile an. Hier können die Business-Kontakt getrennt von der privaten Kontakte-App gehalten werden. Der Nutzer kann also privat Tinder, WhatsAPP und Facebook nutzen, die kommen an dienstlichen Kontakte nicht dran. Beide Kontakte-Apps können wiederum nativ mit der Bluetooth-Freisprecheinrichtung reden.

Bei iOS kann man Mailclients wie den Boxer via Workspace One verteilen und die Kontaktesynchronisation mit dem lokalen Adressbuch unterbinden.

 

[Chopchop]

Was möchtest Du denn? Du hast doch alles relevante erkannt. Was andere Unternehmen machen ist doch irrelevant. Will man sich an die DSGVO halten, sind solche Dienste Tabu.

"Firmendevice" überlesen, entschuldige. Darauf hat WA wirklich nichts verloren.

Aber wir haben ein Dilemma: Windows 10 und Office 365 von Microsoft ?
https://www.borncity.com/blog/2018/12/01/bsi-einstufung-windows-10-ist-ein-datenschutz-unfall/

https://www.t-online.de/digital/sof...t-office-verstoesst-gegen-eu-datenschutz.html

Glaube die dsgvo sollte im relativen Zusammenhang gesehen werden, und die Unternehmer haben ja auch ein Interesse daran Ihren Betrieb aufrechtzuhalten

 

[Cool Master]

Wie wird das bei Euch in der Firma gehändelt?

Die genannten Apps sind nicht erlaubt, so einfach ist das Btw. die Apps waren auch schon unter dem BDSG nicht erlaubt.

 

[xxMuahdibxx]

ehrlich darum macht sich die Firmen IT Gedanken

... wenn man dann ein Firmenhandy bekommt dann kommt das vorprogrammiert und vorinstalliert zum User ... und ein Hinzufügen neuer App´s ist sicher in der Entsprechenden Firmenrichtlinie geregelt.. ( untersagt ).

 

[h00bi]

Wie wird das bei Euch in der Firma gehändelt?

Zitat eines bekannten Geschäftsführers: Mit is das scheissegal ich nutz das trotzdem.
Der zuständige DSB hat dann kurz drauf das Handtuch geworfen.

 

[Cat Toaster]

Die Frage war, wie Unternehmen das handhaben (sollten), nicht die ausnahmsweise relativ eindeutige Rechtslage zu klären. Aus Datenschutzsicht handelt JEDER private WhatsApp-Nutzer deliktisch, wenn er von seinen sämtlichen Kontakten kein Einverständnis zur Datenübermittlung an Facebook hat.

Das ist ja der Witz, dass ich selbst gar kein Konto bei irgendeinem asozialen Netzwerk benötige, um bekannt zu sein, weil andere Leute schon meine Daten x-fach hochgeladen und mich auf ihren "privaten" Fotos "identifiziert" haben.

Auf BYOD-Geräten kann man natürlich gar nichts untersagen, die Geräte gehören den Leuten, nicht den Unternehmen. Hier gilt es technische Maßnahmen zu treffen, was möglich ist. Letztlich handelt es sich dabei immer um irgendeine Art von mehr oder weniger transparentem Container.

Auf Company-Owned-Geräten kann man natürlich alles mögliche "aufschreiben und untersagen". Wer jedoch die geeigneten und existierenden "technisch möglichen Maßnahmen zur Durchsetzung" unterlässt, ist damit nicht aus der Haftung.

Zur technischen Umsetzung ist ein EMM/MDM/UEM praktisch unerlässlich. Ob man dafür SecurePIM, MobileIron, Workspace One (AirWatch), Sophos Mobile Connect, Intune etc. nutzt ist erstmal nachgelagert.

Will man die Akzeptanz der Nutzer haben, sollte man schon einen Weg gehen, der nicht übermäßig gängelt. Etwas anstrengend ist dabei, dass der Aufwand für so ein Thema unabhängig davon ist, ob ich 100, 1000, 10000 oder 100.000 Geräte verwalten will. Da kann man die Kuh schon ganz schön fliegen jenseits von Email und Kontakten, Active-Sync-Proxy, Per-App-VPN, SSO, Zugriff auf unternehmensinterne Ressourcen von File-Shares über Sharepoint bis zu OneDrive.

Bei dem Thema geht es also nicht nur darum die Anwender zu beschränken, sondern einiges an Unternehmenszugriffen zu ermöglichen selbst auf "Privatgeräten" und die Compliance trotzdem gewährleisten. Ohne mit zwei Geräte rumlaufen zu müssen. Gerade weil man mit WorkspaceOne heute neben Mobilgeräten auch Windows-Clients (eigentlich so ziemliche alles) verwalten und vom SCCM migrieren kann, ist das ein sehr spannendes Umfeld.

Natürlich gibt es in der Praxis ISO 27001+ zertifizierte Unternehmen, deren Mitarbeiter ungehemmt Firmendaten mit WhatsApp in die Cloud pusten...mutmaßlich die Mehrzahl. Das macht es aber nicht "richtig".

 

[Mustis]

Aus Datenschutzsicht handelt JEDER private WhatsApp-Nutzer deliktisch, wenn er von seinen sämtlichen Kontakten kein Einverständnis zur Datenübermittlung an Facebook hat.

deliktisch auf Basis welcher Rechtsgrundlage?

 

[Cat Toaster]

Etwa in einem Fall:

§ 1666 BGB

§ 823 BGB

§ 1004 BGB

§ 828 BGB

§ 832 BGB

§ 677 BGB

§ 683 BGB

Art. 1 Abs. 1, Art. 2 Abs. 1 GG

§ 27 BDSG

§ 28 BDSG

§ 13 TMG
_________________________

https://www.heise.de/newsticker/mel...-wird-meist-rechtswidrig-genutzt-3983437.html
_________________________

Wie gesagt, war hier aber nicht die Frage. Naiv könnte auch gesunder Menschenverstand herhalten, dass ich nicht anderer Leute Daten ungefragt an Dritte übermittle ohne jede Kenntnis, was die damit machen.

Alternativ könntest Du mir ja erklären, auf welcher Rechtsgrundlage das erlaubt sein soll.

 

[Mustis]

1666 dreht sich ums kindeswohl... sind die restlichen angaben genauso gehaltvoll bevor ich meine zeit verschwende?

Also die stichproben zeigen, dass es keine verwendbare gesetzbasis ist die hier angegeben wird. Und erlsubt ist, was nicht verboten ist. Somit erledigt sich der nachweis, was erlaubt ist. Ich kann nachweisen, was verboten ist.

 

[Cat Toaster]

Gut das Rechtsprechung nicht auf "Stichproben" von "irgendwem im Internet" basiert.

 

[Mustis]

Gut das mein Wissen auf zertifizierte Ausbildung fusst und zudem durch erfahrung von mir und kollegen aus der praxis gedeckt ist. Wer whatsapp privat nutzt, handelt keineswegs deliktisch. Kannst du dir gern von einem Fachanwalt/Juristen deiner Wahl bestätigen lassen. Zum Fall Bad Hersfeld. Ein Amtgericht. Damit für niemanden bindend ausser dem konkreten Betroffenen in dem Fall. Zudem ist der Fall speziell. Es wurde die Mutter eines unter 13 Jährigen dazu verdonnert.

Das BDSG ist nicht ständig, siehe paragraf 1. Die DSGVO greift nicht, private Personen sind hier explizit ausgenommen, siehe Art. 2c. Das BGB ist an dem Punkt nicht zuständig. Und wieso das TMG auf einen Privatmensch Anwendung finden sollte, kannst du sicher ebenso wenig erklären. Hauptsache mal wild Paragrafen zusammenkopiert.