Webex und die DSGVO

[Myki]

Da es mMn leider in den letzten Monaten einige Entwicklungen in die falsche Richtung gegeben hat, wollte ich mal kurz den Stand der Dinge bzgl. Webex (meinetwegen auch andere Anbieter) nachfragen.
Unter anderem ist es seit Oktober so, dass nur noch dsgvo zertifizierte Programme bei Videoberatungen von Hebammen und Ärzten erlaubt sind:

Liste

Meine Frau als Hebamme hat hierbei bei bis zu 12 Teilnehmern (zehn Paare + ich + sie) das Problem, dass es so wie ich das sehe nur vier zugelassene und mögliche Anbieter gibt. Einen davon nutzt sie seit Oktober: Ammely Videobeartung von Keleya. Die Browseroberfläche ist ganz gut, leider gibt es seit dem Wechsel von GoToMeeting vermehrt technische Probleme was die Video- und Audioerkennung der Teilnehmer und von uns selber angeht, manchmal klappt es bei gewissen Teilnehmern gar nicht, das Mikro zum laufen zu bringen. in 2,5 Jahren ist das bei GoToMeeting mWn nur zwei mal passiert, hier schon mehrere Male in drei Monaten. Auch wenn meine Frau aus der Pause kommt, muss öfter mal die Sitzung neu gestartet werden. Super Nervig. Und fast doppelt so teuer wie GoToMeeting.

Jetzt ist mir aber aufgefallen, dass es einen neuen Anbieter in der Liste gibt, der auf Webex setzt: CaryMedical powered by Webex von der Avodaq AG. Ich bin gerade in der Klärung, wie genau da die Umsetzung ist, vor allem ob die Webex Apps benutzt werden können und was das kostet. Avodaq bietet wohl ein Portal zur Benutzeranmeldung/Organisation, ich denke die Meetings laufen über die App.

Habe nun etwas recherchiert und gesehen, dass Webex selber sagt, dass sie dsgvo konform sind. Konträr dazu diese Nachricht, die das Gegenteil behauptet. Was stimmt denn nun?

Ich frage mich, warum wir auf die Lösung der Avodaq AG setzen sollen, wenn sie im Endeffekt sowieso Webex nutzen. Andererseits will ich auch nicht riskieren, dass ein fehlendes Zertifikat dafür sorgt, dass meine Frau Ärger bekommt. Kann mir aber kaum vorstellen, dass nur die Firma, die Webex nutzt zertifiziert wird, wenn es im Endeffekt darum geht, Webex als Grundlage zu nutzen.

Treppenwitz an der ganzen Sache ist übrigens, dass man sich für die neuen Lösungen unter der dsgvo anmelden/registrieren muss, während dies bei GoToMeeting nie nötig war. Im Endeffekt spielt es für meine Frau auch gar keine Rolle, ob die Daten jetzt außerhalb der EU verarbeitet werden, weil bis auf den Vornamen keine persönlichen Daten, auch nicht im Meeting, abgefragt werden. Auch werden keine persönlichen medizinischen Probleme erörtert, weil es ein Geburtsvorbereitungskurs ist. Es ist einfach nur lächerlich und an der Realität vorbei.

Habt ihr eine Meinung zu dem Thema oder könnt fur Erläutung sorgen?

Danke, Myki

 

[madmax2010]

Habe nun etwas recherchiert und gesehen, dass Webex selber sagt, dass sie dsgvo konform sind. Konträr dazu diese Nachricht, die das Gegenteil behauptet. Was stimmt denn nun?

Beide. DSGVO konform vbedeutet vor allem, dass gewisse Vorgaben an die Datenhaltung erfuellt werden.
Unternehmen sind verpflichtet ueber ihre Datenhaltung, welche daten erhoben werden, warum diese erhoben werden und bis wann sie gespeichert werden informieren. Dazu noch den Kunden ueber seine rechte aufklaeren. Schon ist man DSGVO konform. Die Unis und anbieter mussten halt ihre Vertraegr / DSEs anpassen damit minderjaehrige die tools nutzen koennen.

gescheit wird es mit end 2 end encryption -> https://help.webex.com/en-us/articl...with-identity-verification-for-Webex-meetings

Pers. Meinung: Cisco hat eine Historie von Backdoors und schlampigkeit bei Sicherheitsfeatures. Vertrauen wuerde ich denen nicht.
Da Cisco und Co stehen im ueberigen noch immer unter US Jurisdiktion

 

[Myki]

Jetzt ist es aber so, dass besagte Firma Webex nutzt und dafür sogar ein Zertifikat bekommen hat im medizinischen Sektor nutzbar zu sein. Irgendwas müssen die also richtig machen. Mir würde es ja reichen, dass man Webex nutzen kann ohne damit in Trouble zu kommen bzgl. der DSGVO. Wie bereits erwähnt, werden keinerlei persönliche Daten von meiner Frau über Webex oder andere Programme ausgetauscht. Insofern ist mir das auch egal, wer da mithört/mithören kann. Ich finde es halt nur nervig, dass meine Frau 35€/Monat für eine Browser-App bezahlt, die im Endeffekt nichts besser kann, aber dafür mehr Probleme bereitet. Webex kostet 19€ Monat, GoToMeeting vorher 20€.

Der größte Vorteil einer app-basierten Lösung ist übrigens, dass man nicht für jede OS/Browser Kombi nach einer Lösung suchen muss. Alleine gestern hatte ich drei Teilnehmer, wo die einen Windows hatten, die anderen MacOS, dann Chrome und Safari. Kenne mich auch null bei Apple aus und will das auch nicht. GoToMeeting war da echt tausend mal einfacher, egal welches OS.

 

[Mente]

Hi
bei Webex kannst du auch einen "Eigenen" Server betreiben ohne Cloud damit kann man sehr wohl auch DSGVO Konform sein. Es geht im Übrigen nicht nur um die Registrier Daten sondern auch das die Video Streams sicher sind und nicht aufgezeichnet bzw. weiter verarbeitet werden.
lg

 

[Ja_Ge]

Cisco Webex bzw. Cisco Meeting Server gibt es auch On-Premise. Wenn die Server selber gehostet werden, können diese frei konfiguriert werden, so dass die App z.B. kein Video zulässt oder keine Mitschnitte möglich sind oder nur der Browser genutzt werden kann.

EDIT: Mente war schneller .

 

[Myki]

Offensichtlich ist Webex auch so dsgvo konform, sonst hätten sie ja keine TÜV Zertifikat bekommen und keine Zulassung der kassenärztlichen Vereinigung.

 

[Snowi]

Ich denke die Frage, ob Webex DSGVO-Konform ist oder nicht, erst dann abschließend geklärt ist, wenn auch die ganzen Klagen bzgl. Office365 durch sind.
Denn letztlich hängt das alles aktuell an folgender Frage/Tatsache: In den USA sind die Rechte der Bürger gegenüber den Firmen relativ hoch, aber gegenüber "Ausländern" sind sie das nicht. Microsoft oder CISCO können von US Behörden angewiesen werden, ohne einen EU Gerichtsbeschluss Daten von EU Bürgern von deren EU Servern an die US Behörden raus zu geben, und das macht diese Dienste streng genommen nicht DSGVO Konform. Das wurde lange von den ganzen Offiziellen Stellen und Firmen so gesehen, bis das Schrems II Urteil vom EuGH gefallen ist. Denn die ganze Datenübertragung an US Firmen fiel unter das "Privacy Shield" der EU, welches mit genau diesem Urteil für ungültig erklärt wurde.
"Mit Urteil vom 16. Juli 2020 (Rechtssache C 311/18 – „Schrems II“) hat der EuGH diesen Durchführungsbeschluss zum Privacy Shield für unwirksam erklärt. Eine Übergangsfrist hat das Gericht nicht eingeräumt."
Landesdatenschutzbeauftragte von Niedersachsen

Wichtig ist hier auch:
"Bezüglich der Standarddatenschutzklauseln (Standardvertragsklauseln) hat der EuGH im Schrems II-Urteil entschieden, dass diese grundsätzlich weiterhin genutzt werden können. Allerdings muss tatsächlich ein Schutzniveau für die personenbezogenen Daten sichergestellt sein, das dem in der Europäischen Union entspricht."

Um auf den Punkt zu kommen: Pauschale Aussagen zum Datentransfer ins Ausland sind aus Sicht des EuGH in der Theorie durchaus möglich, praktisch muss das Datenschutzniveau für Daten von EU Bürgern in den betroffenen Drittländern aber auf einem ähnlichen Niveau liegen wie bei uns mit der DSGVO, und das ist in den USA eben nicht der Fall, wie der EuGH im Urteil festgestellt hat.

Das heißt im Endeffekt: Seit dem Urteil (Es gibt keine Übergangsfrist, das Urteil war "sofort" gültig mit dem absägen der Privacy Shield Verordnung) darfst du theoretisch keine Kundendaten mehr mit Anwendungen verarbeiten, von denen du nicht sicher nachweisen kannst, dass diese Daten nicht in die USA abfließen, bzw. von dort abgerufen werden können, ohne dass eine Europäische Justizbehörde das absegnen könnte.
In der Praxis wird das leider nicht umgesetzt, was zu 2 Problemen führt:
1) Die DSGVO ist als Papiertiger enttarnt, der nur bei kleineren oder Europäischen Firmen Geltung findet, aber nicht bei US Konzernen wie Microsoft oder CISCO
2) Es besteht nun eine riesige Rechtsunsicherheit innerhalb der EU, weil in der Theorie kein Europäisches Unternehmen irgendwelche "Cloud-Funktionen" von Microsoft, AWS, CISCO & Co. nutzen darf, wenn darauf Daten von EU Bürgern liegen.
Denn theoretisch (Und auch praktisch) kann jeder betroffene gegen jedes so handelnde Unternehmen juristisch vorgehen, so wie es beispielsweise auch mindestens ein offenes Verfahren beim zuständigen Landgericht gegen meinen AG gibt, weil wir Office365 einsetzen.
Das könnte also genau so auch deine Frau treffen.
Und die Spannende Frage zum Schluss ist: Wie wird damit später umgegangen? Soweit ich informiert bin, gibt es hier noch kein endgültiges Urteil, das tatsächlich irgendwelche Strafen ausgesprochen hat. Die Gerichte hängen hier alle in einer Art Winterschlaf, denn der rechtliche Sachverhalt ist durch den EuGH aktuell eigentlich ganz klar: Solange die Anwendungen von US Firmen betrieben werden, auch innerhalb der EU, sind diese NICHT DSGVO Konform.

Lösungsvorschläge für dich/deine Frau, wenn ihr rechtlich absolut sicher sein wollt:
Falls Webex selbst gehostet werden kann, wie hier jemand schrieb, wäre das möglicherweise eine DSGVO Konforme Lösung. Bedeutet aber vermutlich technischen Aufwand.
https://www.rewion.com/webinar-tools-im-dsgvo-check/
Für Jitsi Meet gibt es bsp. auch Firmen die das Hosting übernehmen, zB
https://www.4-mynd.de/online-training-plattform/

Alternativ: Ich glaube nicht, dass es größere Strafen für die Verstöße geben wird was MS Teams & Co. angeht, weil es aktuell einfach so dermaßen verbreitet ist und eingesetzt wird. Insofern könnte man auch damit weiter machen, und hoffen, dass am Ende nicht viel passiert, was aus meiner Sicht wahrscheinlich ist. Aber rechtlich sicher ist man damit nicht.

 

[Myki]

Ich kann es mir natürlich einfach machen. Die kassenärztliche Vereinigung hat ein Zertifikat ausgestellt für den Webex Dienst der Firma Avodaq bis 2025. Dahingehend ist meine Frau 100% auf der sicheren Seite.
Sollte ich in den nächsten Tagen eine Antwort der Firma bekommen, dass diese die App von Webex benutzen und nur die Organisation über die selber läuft, dann müsste man mal schauen, ob man das direkt über Webex macht. Ehrlich gesagt fehlt es mir da an Argumenten, warum das eine strafbar nach DSGVO und GKV ist und das andere nicht. Webex selber sagt halt, das man deutsche und niederländische Server benutzt und dementsprechend auch DSGVO konform ist, naja.

Die Frage der Bestrafung wäre natürlich noch interessant. Einerseits vom Datenschutzbeauftragten andererseits von den Krankenkassen, die unter Umständen Zahlungen einbehalten. Auch wenn das natürlich unrechtmäßig wäre mMn, weil ja die Leistung erbracht wurde. Aber wahrscheinlich gilt sowieso: wo kein Kläger, da kein Angeklagter.

Ich warte mal auf die Antwort der Firma und berichte.

Weiterhin komplett unverständlich für mich ist, dass mehr Daten unter dem Deckmantel der DSGVO angefragt werden (email, voller Name, Krankenkassenstatus, also privat oder gesetzlich versichert und mMn auch Geburtsdatum) als vorher (Vorname). Außerdem Registrierungszwang, der anfangs bei unserem jetzigen Anbieter Ammely übrigens nicht bestand, da hat man einfach einen direkten Link geschickt.

 

[Myki]

Just heute kam die E-Mail von Ammely, dass es keinen Registrierungszwang mehr gibt, immerhin.

Habe mich am Arbeits-Rechner meiner Frau nochmal mit Webex befasst und was mir sofort (!) aufgefallen ist: wie bei GoToMeeting filtert auch Webex das Mausgeklicke raus. Das bekommen die Browser-Videotools nicht hin und das ist super nervig.

Ich warte weiterhin auf eine Antwort von Avodaq, mal schauen ob die sich rühren.