Digitale Zusammenarbeit
Die Datenschutzbeauftragte prüfte datenschutzrechtliche und informationssicherheitstechnische Aspekte der folgenden Produkte.
Überlegungen vor dem Einsatz eines Produkts
Nicht jedes Produkt eignet sich zum Bearbeiten von Personendaten. Vor jedem Einsatz eines Produkts ist zu überlegen, welches am besten für den Zweck geeignet ist und welche Schutzmassnahmen zur Verfügung stehen.
Die Verantwortung für die Personendaten liegt in jedem Fall beim öffentlichen Organ, das die Dienste und Produkte einsetzt.
4 grundlegende Auswahlkriterien
- Immer das datenschutzfreundlichste Produkt nutzen
- Telefon oder Messenger nutzen statt eine Videokonferenz durchführen
- ein System eines schweizerischen oder europäischen Anbieters nutzen statt eines aus Ländern mit nicht angemessenem Datenschutzniveau. Speicherung der Daten im europäischen Raum wählen. - Das Produkt lokal einsetzen, also auf eigenen Systemen betreiben
- Bei Videokonferenzen keine Dokumente mit Personendaten auf Fremdsystemen abspeichern - Dienste mit angemessener Authentifizierung nutzen
- Wenn die Kommunikation besondere Personendaten beinhaltet, muss eine Zwei-Faktor-Authentifizierung gewählt werden - Ausschliesslich notwendige Funktionen aktivieren respektive nicht notwendige deaktivieren
- Attention Tracking deaktivieren
- Allenfalls Dokumentenablage sperren
- Aufnahmemöglichkeit sperren
7 Fragen zur Risikoabschätzung
Vor dem Einsatz eines Produktes muss eine Risikoabschätzung durchgeführt werden.
- Zu welchem Zweck wird das Produkt eingesetzt (interne oder externe Kommunikation, nur Speicherung von Dokumenten, Anzahl Teilnehmende)?
- Welche Art von Informationen soll ausgetauscht werden respektive welchem Schutzbedarf unterliegen sie (Sachdaten, Personendaten, besondere Personendaten)? Je sensitiver die Daten sind, desto höher ist der Schutzbedarf und desto mehr Schutzmassnahmen müssen umgesetzt werden.
- In welchem Bereich soll die Software eingesetzt werden (Strafverfolgung, Gerichte, Schule)? Gibt es besondere Geheimnispflichten wie das Berufsgeheimnis zu berücksichtigen?
- Wo werden die Informationen gespeichert? Sind dies Länder mit angemessenem Datenschutzniveau?
- Ist schweizerisches Recht anwendbar und ein schweizerischer Gerichtsstand verankert? Werden Dokumente mit Personendaten gespeichert, ist dies zwingend.
- Ist die Datenübermittlung und/oder die Datenspeicherung verschlüsselt? Besondere Personendaten müssen immer verschlüsselt übermittelt und gespeichert werden.
- Gibt es eine Zwei-Faktor-Authentifizierung? Bei sensitiven Personendaten und solchen, die einer speziellen Geheimnispflicht unterliegen, wird die Zwei-Faktor-Authentifizierung vorausgesetzt
Produkteliste
Anton
Anton ist eine Lern-App für die Schule, in der für unterschiedliche Fächer Lerninhalte digital zur Verfügung gestellt werden.
Die Nutzung ist nur mit Nickname / Avatar sowie ohne Angabe von Schule und Kontaktdaten datenschutzkonform.
Apple School Manager
Der Apple School Manager ist eine einfache Lösung, um zusammen mit einem Mobile Device Management Apple-Geräte bereitzustellen, Apps und E-Books zu kaufen sowie zu verteilen.
Der Apple School Manager, die iCloud und die von Apple stammenden Apps können in der Schule uneingeschränkt verwendet werden, wenn der Sideletter unterzeichnet wurde.
Alle Voraussetzungen für die datenschutzkonforme Nutzung sind im Leitfaden Apple School Manager beschrieben.
Beekeeper
Plattform zur internen Kommunikation mit Messaging und Dokumentenaustausch.
Beekeeper kann datenschutzkonform eingesetzt werden.
Öffentliche Organe müssen die Verträge für öffentliche Dienstleister abschliessen.
Beekeeper eignet sich nicht für den Austausch von sensitiven, das heisst besonderen Personendaten.
Weitere Informationen zum datenschutzkonformen Einsatz von Beekeeper finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
Classtime
Classtime ist eine webbasierte Lösung, die es Lehrpersonen ermöglicht, den Unterricht digital zu ergänzen. Lernende können die Plattform anonym nutzen.
Classtime kann datenschutzkonform eingesetzt werden.
Classtime eignet sich nicht für den Austausch von sensitiven, das heisst besonderen Personendaten.
Confluence
Confluence ist eine Plattform für die Online-Zusammenarbeit von Teams.
Confluence kann datenschutzkonform genutzt werden, wenn die Software auf einem eigenen Server installiert ist.
Escola
Escola ist eine Schulplattform, in der Aufträge, Tests und Wochenpläne erstellt werden können. Lehrpersonen, Schülerinnen und Schüler sowie Eltern können sich über Video, Chat, Mail oder Pinwand austauschen.
Weitere Informationen zum datenschutzfreundlichen Einsatz von Escola finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
Escola eignet sich nicht für den Austausch von Personendaten, die dem Berufsgeheimnis unterstehen.
Google Workspace for Education
Google Workspace for Education umfasst eine Sammlung an Online-Werkzeugen, die den Fernunterricht unterstützen.
Google Workspace for Education kann von Primar-und Sekundarschulen, Schulen der Sekundarstufe II, der höheren Berufsbildung sowie von Hochschulen und Universitäten datenschutzkonform eingesetzt werden.
Die Voraussetzungen sind im Leitfaden Google Workspace for Education beschrieben.
G/On Virtual Access
G/On Virtual Access ist eine virtualisierte Access-Lösung für mobilen IT-Zugriff.
isTest
isTest ist eine Online-Plattform für Prüfungen und Trainings mit automatischer Korrektur.
isTest kann datenschutzkonform eingesetzt werden.
Für Schülerinnen, Schüler und Lehrpersonen sind Pseudonyme zu verwenden. Ansonsten kann es nur für einzelne Prüfungen genutzt werden.
Itslearning
Itslearning ist ein Lernmanagementsystem zum Planen und Durchführen des Online-Unterrichts.
Itslearning ist nicht datenschutzkonform.
Jitsi und Jitsi meet
Jitsi und Jitsi meet sind Opensource-Softwares für Instant Messaging und (Video-)Telefonie.
Sie können auf einem lokalen Server in der Schweiz oder der EU installiert und datenschutzkonform eingesetzt werden.
Auf switch.ch kann Jitsi Meet kostenlos genutzt werden.
Klapp
Kommunikationsplattform für Schulen mit Möglichkeit zum Chat und zum Teilen von Dokumenten.
Weitere Informationen zum datenschutzfreundlichen Einsatz von Klapp finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
LMVZ digital
Lernplattform des Lehrmittelverlags Zürich
LMVZ digital kann uneingeschränkt eingesetzt werden.
Microsoft 365
Microsoft 365 stellt eine Reihe von Diensten zur Verfügung, beispielsweise Teams für Chat, Meetings, Telefonieren und Teamarbeit.
Microsoft 365 kann im Bildungsbereich datenschutzkonform eingesetzt werden.
Die Voraussetzungen sind im Leitfaden Microsoft 365 im Bildungsbereich beschrieben.
Für die Nutzung in anderen öffentlichen Organen siehe Leitfaden Nutzung externer Cloud-Dienste.
Weitere Informationen zum datenschutzfreundlichen Einsatz von Microsoft Teams finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
MyMeeting
MyMeeting ist eine Video- und Audiokonferenzplattform für das Gesundheits- und Justizwesen sowie für Behörden.
MyMeeting kann datenschutzkonform eingesetzt werden.
Weitere Informationen zum datenschutzkonformen Einsatz von MyMeeting finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
OpenOlat
OpenOlat ist ein Open-Source-Lernmanagementsystem für das schulische Umfeld unter anderem mit E-Testing-System und Absenzenmanagement.
OpenOlat ist nicht geeignet für die Bearbeitung von besonderen Personendaten, da keine Zwei-Faktor-Authentifizierung möglich ist.
OpenVPN
OpenVPN ist eine Software zum Aufbau eines VPN (virtuelles privates Netzwerk) über eine verschlüsselte TLS-Verbindung.
PrivaSphere
Secure-Messaging-Plattform zum Versand von sicheren, vertraulichen und eingeschriebenen E-Mails.
Öffentliche Organe können PrivaSphere datenschutzkonform einsetzen.
Dafür muss bei PrivaSphere direkt ein angepasster Vertrag verlangt werden, der folgende Punkte beinhaltet: Gerichtsstand Zürich für beide Parteien, Änderungen der AGB oder Vertragsbedingungen werden veröffentlicht mit Möglichkeit der Kündigung, Übertragung der Kundenbeziehung nur nach vorgängiger Information und unter dem Vorbehalt des Kündigungsrechts.
Schabi
Multitool für Lehrpersonen und Lernende zum Teilen von Dokumenten, Bearbeiten von Aufgaben und Verwalten von Ergebnissen.
Mit Schabi können Personendaten datenschutzkonform bearbeitet werden.
Schabi eignet sich nicht zur Bearbeitung von besondere Personendaten.
Schoolfox
Messenger für Schulen für die sichere Kommunikation zwischen Schulleitung, Lehrpersonen, Schülerinnen und Schüler sowie Eltern. Schoolfox ermöglicht Videokonferenzen und Mitteilungen sowie die Erstellung von Checklisten, Schulevents, Umfragen etc.
Schoolfox kann datenschutzkonform genutzt werden.
Es ist ein schriftlicher Vertrag zur Auftragsdatenbearbeitung gemäss Muster auf der Schoolfox-Website abzuschliessen.
Schoolfox eignet sich nicht für den Austausch von sensitiven, das heisst besonderen Personendaten.
Weitere Informationen auf schoolfox.com
Mehr zum Datenschutz inkl. Vorlage Vertrag zur Auftragsdatenverarbeitung
SecureSafe
SecureSafe ist ein Cloud-Speicher für Dokumente, die auch Teams zur Verfügung gestellt werden können.
Achtung: Die kostenlose Version für Privatkunden bietet keine Zwei-Faktor-Authentifizierung und keinen sicheren Dateiversand an.
Signal
Signal ist eine Software für Instant Messaging und Telefonie mit Verschlüsselung.
TeamDrive
TeamDrive ist ein Cloud-Service für Datenspeicherung und Datenaustausch mit kundenseitiger Verschlüsselung.
Teamviewer Meeting
Online-Zusammenarbeit per Video, Audio, Chat oder Bildschirmübertragung.
Weitere Informationen zum datenschutzfreundlichen Einsatz von Teamviewer Meeting finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
Threema
Threema ist eine Software für Instant Messaging und Telefonie mit Verschlüsselung.
Tresorit
Tresorit ist ein Cloud-Service, mit dem Dokumente mit kundenseitiger Verschlüsselung gespeichert, synchronisiert und geteilt werden können.
Veeting
Veeting ist ein in der Schweiz betriebenes Audio- und Videokonferenzsystem.
Veeting kann datenschutzkonform eingesetzt werden, wenn die Technologien korrekt implementiert werden.
Webex Meetings und Webex Teams
Webex Meetings und Webex Teams sind Kollaborationslösungen für Dokumententeilen, Chat, Audio- und Videokonferenzen.
Webex Meetings kann mit der Webex-Meetings-Applikation durch eine Ende-zu-Ende-Verschlüsselung datenschutzkonform verwendet werden.
Der Administrator hat die Aufzeichnungsmöglichkeit zu blockieren, die Cookies zu deaktivieren und erhöhte Passwortanforderungen zu aktivieren. Passwörter sind für alle Sitzungen zwingend.
Webex Teams Messages und Files können datenschutzkonform verwendet werden, unter der Voraussetzung eines eigenen Schlüsselmanagements.
Audio- und Video-Meetings in Webex Teams sind nicht Ende-zu-Ende verschlüsselt und daher nicht zu empfehlen.
Wire
Wire ist eine Software für Instant Messaging und Telefonie.
Zoom
Zoom ist eine Zusammenarbeitslösung für Audio- und Videokonferenzen sowie das Teilen von Inhalten.
Zoom bietet eine Ende-zu-Ende-Verschlüsselung von Videokonferenzen an.
Wenn Aufnahmen aufgezeichnet werden, ist eine lokale Speicherung zu wählen. Wenn ein Speicherort in der Cloud gewählt wird, ist der Speicherort Europa zu wählen. Vor dem Einsatz von Zoom ist das Attention Tracking zu deaktivieren. Videokonferenzen sind mit einem Passwort zu schützen. Die Verwendung der Zoom-App ist der browsergestützten Nutzung vorzuziehen. Die Teilnahme an Zoom-Konferenzen über Telefon erfolgt unverschlüsselt und ist deshalb nicht zu empfehlen.
Zoom kann über Switch.ch datenschutzkonform genutzt werden.
Die Lizenzierung erfolgt mit einem Mail an procurement@switch.ch.
Weitere Informationen zum datenschutzfreundlichen Einsatz von Zoom finden Sie im Merkblatt Messenger und Videokonferenzsysteme.
Weitere Informationen auf zoom.us
Ende-zu-Ende-Verschlüsselung einrichten: Anleitung auf datenschutz-notizen.de