Der Bayerische Landesbeauftragte für den Datenschutz; Stand: 25.06.2020

Sonderinformationen zum mobilen Arbeiten mit Privatgeräten zur Bewältigung der Corona-Pandemie

Übergang zum Regelbetrieb nach Aufhebung des Katastrophenfalls

Da der Katastrophenfall in Bayern am 16. Juni 2020 offiziell beendet wurde, die Schulen wieder vermehrt zum Präsenzbetrieb übergehen und die Krankenhäuser derzeit nur noch in geringem Umfang Corona-Patienten behandeln müssen, werden die Ausnahmeregelungen der bisherigen "Sonderinformationen zum mobilen Arbeiten mit Privatgeräten zur Bewältigung der Corona-Pandemie" nicht weiter verlängert. Dies bedeutet:

• Die Nutzung von Privatgeräten sowie von "Outlook on the web" (OWA) sind auf das vor Corona übliche Maß unter Beachtung der datenschutzrechtlichen Regelungen zu reduzieren. Sollte sich zeigen, dass die im Katastrophenfall verwendeten zusätzlichen Anwendungen, Dienste, Apps etc. auch für einen Regelbetrieb sinnvoll und notwendig sind, so sollte dies zukünftig über Dienstgeräte erfolgen. Hierzu sind entsprechende Konzepte zu erstellen und mit dem behördlichen Datenschutzbeauftragten abzustimmen. Zudem sind die gesetzlich vorgegebenen Anforderungen wie Erstellung einer Beschreibung der Verarbeitungstätigkeit nach Art. 30 Datenschutz-Grundverordnung (DSGVO) sowie die Prüfung der Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, insbesondere bei der Verarbeitung sensibler Daten nach Art. 9 DSGVO, umzusetzen.
• Im Rahmen der Behandlung von Corona-Patienten erweiterte Zugriffsberechtigungen im Krankenhausinformationssystem (KIS) sind auf das zuvor gültige Berechtigungskonzept zu beschränken. Sollte sich gezeigt haben, dass beispielsweise für gewisse Personengruppen andere Berechtigungen als die bisher vergebenen erforderlich sind, so sind diese revisionsfähig zu beantragen und durch die Vergabe von Rollen und Rechten entsprechend zu ändern. Grundsätzliche Änderungen am Berechtigungskonzept sind mit dem behördlichen Datenschutzbeauftragten abzustimmen und müssen sich an den bisher üblichen Vorgaben orientieren (z.B. Orientierungshilfe KIS 2. Fassung).
• Sollen zukünftig , Messenger, Cloud-Dienste etc. genutzt werden, so ist spätestens jetzt insbesondere zu prüfen, welchen Schutzbedarf die übermittelten Daten haben, welche Risiken bestehen und welche technisch-organisatorischen Maßnahmen wie beispielsweise Ende-zu-Ende-Verschlüsselung hierbei erforderlich sind. Zudem sind Verfahren und Dienstleister zu verwenden, die den gesetzlichen Anforderungen insbesondere der Datenschutz-Grundverordnung genügen.

Insgesamt hat die Krisensituation gezeigt, wie wichtig eine gesicherte, digitale Kommunikationsinfrastruktur sowohl im Gesundheitswesen, im Bereich der Schulen und Universitäten als auch bei allen anderen öffentlichen Stellen ist. Daher sollten spätestens jetzt in den jeweiligen Sektoren Lösungen erarbeitet und umgesetzt werden, wie alle relevanten Personengruppen schnell und sicher erreicht werden können, insbesondere ohne den Einsatz von unverschlüsselter E-Mails, Fax oder provisorischer Notlösungen.

Einheitliche Systeme insbesondere zur Durchführung von Videokonferenzen können sowohl einen datenschutzkonformen Betrieb erleichtern als auch die Komplexität bei der Nutzung reduzieren.

Ebenso wichtig ist es, Ärzte, Krankenhäuser, Labore und Gesundheitsämter miteinander sicher und zuverlässig zu vernetzen, um in Zukunft einen schnellen Austausch von Testergebnissen, Infektionsmeldungen etc. zu ermöglichen.