TeamViewer: Datenschutzrechtliche Grenzen im Unternehmenseinsatz

internet 04
Fachbeitrag

Viele IT-Abteilungen wollen TeamViewer bei der Analyse und Lösung von IT-Problemen der Mitarbeiter im Umgang mit deren Arbeitscomputern als Hilfsmittel nutzen. Datenschutzrechtlich ist dies jedoch nicht uneingeschränkt möglich. Im Folgenden werden die wesentlichen Punkte zum datenschutzkonformem Einsatz von TeamViewer am Beispiel des genannten Falls dargestellt. IT-Sicherheitsaspekte werden nicht beleuchtet.

Was kann TeamViewer?

TeamViewer ist eine Desktop-Sharing-Software, welche Fernwartungen, Online-Präsentationen, Onlinemeetings, Webkonferenzen, Dateitransfer und VPN-Verbindungen ermöglicht. Die Software wird auf dem jeweiligen Rechner, dessen Desktop geteilt werden soll, installiert. Ist TeamViewer auf einem anderen Rechner innerhalb desselben Netzwerks installiert, findet der  Zugriff auf den jeweiligen Rechner wie folgt statt:

  1. Neben einer automatisch generierten PartnerID erzeugt TeamViewer ein Sitzungskennwort, das sich bei jedem Start ändert.
  2. Nach einer aktiven Freigabe durch den Nutzer, wird eine verschlüsselte Verbindung zwischen den jeweiligen Rechnern aufgebaut.

Daneben besteht jedoch auch die Möglichkeit, Teamviewer mit Windows automatisch starten zu lassen und so einen Zugriff ohne einer aktiven Freigabe zu ermöglichen. Zusätzlich kann TeamViewer so konfiguriert werden, dass dieser als Hintergrundprozess für den Nutzer unsichtbar arbeitet. Diese Konfiguration ist jedoch nicht standardmäßig aktiviert sondern muss von dem jeweiligen Administrator vorher eingestellt werden.

Weiterhin besteht die Möglichkeit, dass der Rechner im Rahmen der so genannten Wake-on-LAN-Funktion automatisch eingeschaltet und anschließend aus der Ferne gesteuert werden kann. Auch hier ist jedoch eine gesonderte Konfiguration nötig.

Datenschutzrechtliche Problemstellung

Datenschutzrechtlich ist TeamViewer vor allem deshalb problematisch, weil die Software grundsätzlich auch dazu eingesetzt werden kann, das Verhalten und/oder die Leistung der Arbeitnehmer (heimlich) zu überwachen. Damit fällt TeamViewer unter den Wortlaut des § 87 Abs. 1 Nr. 6 BetrVG. Danach hat

der Betriebsrat bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, mitzubestimmen (Mitbestimmungsrecht des Betriebsrats).

Bevor dem Betriebsrat jedoch die Anwendung zur Mitbestimmung vorgelegt werden kann, muss geprüft werden, ob TeamViewer datenschutzkonform eingesetzt werden kann.

§ 32 BDSG als Rechtsgrundlage

Da es TeamViewer in dem hier geschilderten Fall innerhalb des Beschäftigtenverhältnisses eingesetzt werden soll, ist zunächst an § 32 BDSG als mögliche Rechtsgrundlage zu denken. Fraglich ist hierbei jedoch, ob die Anwendung tatsächlich zur „Durchführung“ eines Beschäftigungsverhältnisses erforderlich ist, wie es § 32 BDSG fordert.

Hieran bestehen erhebliche Zweifel. Die Arbeiten, die der Mitarbeiter im Zusammenhang mit seinem Computer zu erledigen hat, sind auch ohne eine entsprechende Fernwartungssoftware möglich. Die Software dürfte daher in den überwiegenden Fällen nicht zur Durchführung des Beschäftigungsverhältnisses erforderlich sein. Auch die Mitarbeiter in der IT-Abteilung können Ihre Aufgaben auf andere Art und Weise wahrnehmen und sind nicht zwingend auf den Einsatz von TeamViewer angewiesen.

Somit dürfte die Anwendung des § 32 BDSG vorliegend ausscheiden.

§ 28 Abs. 1 BDSG als Rechtsgrundlage

Als Rechtsgrundlage käme jedoch weiterhin § 28 Abs. 1 Nr.2 BDSG in Betracht, der nach der hier vertretenen Auffassung auch neben § 32 BDSG anwendbar ist. Nach § 28 Abs. 1 Nr.2 BDSG ist

das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke zulässig, soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt.

Interessen der verantwortlichen Stelle (Arbeitgeber)

Das Interesse des Arbeitgebers an einer effektiven und zeitnahen Bearbeitung von IT-Problemen über eine Fernwartungssoftware kann durchaus als berechtigtes Interesse im Sinne der Vorschrift gewertet werden. Eine Verarbeitung ist jedoch nur dann möglich, wenn die schutzwürdigen Interessen der Betroffenen nicht überwiegen.

Interessen der Betroffenen (Arbeitnehmer)

Das Interesse der Betroffenen besteht darin, keiner Überwachung am Arbeitsplatz ausgesetzt zu sein, da dies ein nicht unerheblichen Eingriff in Ihre Persönlichkeitsrechte darstellen würde. Das Merkmal der Erforderlichkeit i.S.d. § 28 Abs. 1 Nr. 2 BDSG setzt voraus, dass für die Erreichung des geplanten Zwecks kein gleich geeignetes, milderes Mittel zur Verfügung steht und der Einsatz von Fernwartungssoftware zur Erreichung des verfolgten Zwecks verhältnismäßig ist.

Erforderlichkeit

Als milderes Mittel käme die Analyse und Problemlösung durch die IT-Mitarbeiter an den jeweiligen Arbeitsplätzen in Betracht. Soweit es sich um kleinere Unternehmen handelt, kann man hier unter Umständen schon dazu kommen, dass dies tatsächlich das weniger einschneidende Mittel zur Zweckerreichung darstellt. Eine Fernwartungssoftware, wie TeamViewer, wäre sodann nicht mehr erforderlich.

Zweifelhaft ist dies aber in großen Unternehmen mit einer Vielzahl von Mitarbeitern. Hier kann tatsächlich die Fernwartungssoftware das mildeste Mittel darstellen. In diesem Fall muss der Einsatz von TeamViewer aber insgesamt noch verhältnismäßig sein. Hierzu müssten die schutzwürdigen Interessen der Betroffenen ausreichend gewahrt sein.

Wahrung der Rechte der Betroffenen

Zur Interessenwahrung ist es nach der hier vertretenen Auffassung unabdingbar, dass die folgenden Maßnahmen eingehalten werden:

  • Deaktivierung der (unbemerkten) Hintergrundaktivität (Der Mitarbeiter muss bemerken, wann die Fernwartung erfolgt.)
  • Deaktivierung der Wake-On-LAN-Funktion
  • Sicherstellung, dass der Mitarbeiter bei der Fernwartung stets anwesend ist (z.B. paralleles Telefonat mit dem zuständigen Mitarbeiter aus der IT)
  • Möglichkeit für den Mitarbeiter die Fernwartung jederzeit zu unterbrechen
  • Erstellung einer Betriebsvereinbarung zum Schutz vor Leistungs- und Verhaltenskontrollen

Werden diese Maßnahmen eingehalten, wäre nach der hier vertretenen Auffassung auch die Verhältnismäßigkeit im Rahmen der Erforderlichkeitsprüfung gewahrt. An dieser Stelle sei noch darauf hingewiesen, dass auf Grund der Mitbestimmungsrechte des Betriebsrats hier ein zeitnaher und konstruktiver Dialog gesucht werden sollte, um Missverständnissen vorzubeugen. Ist kein Betriebsrat vorhanden, so sind die Mitarbeiter entsprechend ins Boot zu holen.

 

Update 03.11.2014:

Auf diesen Beitrag meldete sich TeamViewer und verlangte eine Gegendarstellung, da der Beitrag wohl falsche Tatsachenbehauptungen enthalte. Weitere Informationen finden Sie hier.

Sie haben Fragen?

Unsere Berater helfen Ihnen dabei, den Umgang mit personenbezogenen Daten in Ihrem Unternehmen rechtssicher und praxisgerecht zu gestalten. Dabei unterstützen wir Sie u.a. bei folgenden Themen:

  • Datenschutzkonformer Umgang mit Beschäftigtendaten
  • Fragen zum Bewerbungsverfahren, zur Videoüberwachung oder zum Outsourcing
  • Erstellung von erforderlichen Dokumenten, insbesondere Betriebsvereinbarungen

Informieren Sie sich hier über unser Leistungsspektrum: Arbeitnehmerdatenschutz

13 Kommentare zu diesem Beitrag

  1. Seit wann stehen denn die Namen der Autoren am Artikel? Ist das neu? Soweit ich sehen kann, ist das aber nicht durchgängig so, sondern der „Dr. Datenschutz“-Sammelaccount tritt parallel auf.

  2. Wieso „empfehlen“ Sie Produkte wie TeamViewer?
    Mal ganz ab von groben Programmier-Schnitzern der Firma in 2007: Wieso würde eine Datenschutz-aware Entity (Firma/Person) einen „Dienst“ nutzen, der fremde Server erfordert?

    Es gibt einige solcher Produkte (z.B. Echogent), wo Sie ihren eigenen Server zur Vermittlung von Client und Viewer betreiben und den grossen Unsicherheitsfaktor „3rd party“ nicht haben.
    Schon weil dort Menschen arbeiten ist *jede* 3rd party ein (unnötiges!) Risiko.

  3. Wieso Wake-On-Lan deaktivieren?
    Gerade wenn ich einen Rechner wecken muss, kann ich davon ausgehen, dass er gerade nicht in Verwendung ist. TV logged sich dann auch nicht in die zuletzt offenen Session (zuletzt angemeldeter User) sondern mit einem Adminaccount ein. Es ist im Sinne des betriebes und des Anwenders sogar sehr freundlich hier außerhalb der üblichen Betriebszeiten zu agieren.
    In großen Unternehmen müsste mann dann die Frage stellen ob Wake-on-Lan (über TV hinaus gedacht) grundsätzlich datenschutzrechtlich problematisch wäre. Wake-on-Lan kommt dort aber regelmäßig zum Einsatz um während der Nachtzeiten zu Patchen oder Full-Scans mit den Virenscannern durchzuführen. Was sehr sinnvoll ist.

    Im Übrigen halte ich die gesamte Betrachtung für akademisch. Ohne Zweifel darf das Tool nicht dazu bestimmt sein Verhaltenskontrollen durchzuführen. Die Konfiguration dass sich der Admin nicht unbemerkt aufschalten kann ist geboten (nicht nur zum Schutz des Arbeitnehmers, sondern auch davor dass der Admin nichts zu sehen bekommt was ihn nichts angeht: von der Gehaltsliste über die Abmahnung an bis hin zu Geschäftsgeheimnissen die nur die GF was angeht).

    Aber grundsätzlich eine Datenschutzerwägung daraus zu machen, mit Show-Stopper-Qualitäten halte ich für zu weit gegriffen. Überspitzt würde sich so auch argumentieren lassen dass eine GF keine Computer einführen darf um die Arbeit zu erledigen….

  4. – Wake-on-LAN deaktivieren: Bin ich bei Ihnen, bei einer sicheren Software (also *nicht* bei TeamViewer!) ist das unnötig/kontraproduktiv.

    Aber Sie übersehen da verschiedene Punkte:
    – 200%iger ShowStopper: *zwingender* Einsatz eines 3rd party servers (mW selbst bei Kontakt Viewer->’Server‘ *innerhalb* der eigenen Unternehmung!). Also kann die Firma TeamViewer (theoretisch) Vollzugriff auf Maschinen nehmen.
    – „Die Konfiguration dass sich der Admin nicht unbemerkt aufschalten kann ist geboten ([…]sondern auch davor dass der Admin nichts zu sehen bekommt was ihn nichts angeht: von der Gehaltsliste über die Abmahnung an bis hin zu Geschäftsgeheimnissen die nur die GF was angeht).“
    Das ist doch Pillepalle. Solange die GF keine verschlüsselten Laufwerke benutzt, für die *nur* sie die Passworte kennt (LANCrypt, Crypt-Container auf SMB-Shares, etc) ist dieses Risiko vernachlässigbar. Der interessierte Admin scant die GL-Shares nach interessanten Stichworten.

    – „Aber grundsätzlich eine Datenschutzerwägung daraus zu machen, mit Show-Stopper-Qualitäten halte ich für zu weit gegriffen.“
    Nö. Eben nicht. Den ShowStopper baut TeamViewer selbst ein (und nur sie werden beantworten können, WARUM!). Man kann und darf einer Firma, die Kunden *zwingt* ihnen (der 3rd party) Vollzugriff auf jeden Computer zu geben (bewehrt nur mit einem „Vertrag“ oder einer Zusage) nicht vertrauen. So ein Verhalten ist von Seiten des Anbieters (TeamViewer) wie des Anwenders (Unternehmen) *hochgradig* unseriös.
    Nicht nur wegen Persönlichkeitsschutz der Mitarbeiter, sondern wegen Daten- und Geheimnisschutz der Unternehmung.

    Bad case scenario: Ein virus schleicht sich ein und wird übertragen
    Worse case scenario: Ein ‚disgruntled worker‘ verkauft daten oder Zugriffe
    Worst case scenario: Die TeamViewer-Server werden geknackt und übernommen. Unbemerkt.
    Wie gesagt, *kein* seriöser, fähiger Mitarbeiter eines seriösen Unternehmens würde so etwas wie TeamViewer als RemoteSupport-Tool in seiner Untenehmung einsetzen.
    Einzige Ausnahme: Notbehelf zum Support von Road-Warriors, wo Beide (Supporter, Road-Warrior) TV *ausschliesslich* während der gewünschten Supportsitzung einsetzen.
    Selbst da gibt es Besseres (schneller, sicherer).

  5. Lass ich gelten soweit wir von TeamViewer reden. Aber aus der Überschrift und der Einleitung des Artikels gehen die Szenarien nicht grundsätzlich um TV sondern um RemoteAdministration allgemein. Darauf wollte ich im Speziellen eingehen.

    • War die Überschrift nicht schon immer „TeamViewer: Datenschutzrechtliche Grenzen im Unternehmenseinsatz“?
      War die ‚Einleitung‘ nicht schon immer „Viele IT-Abteilungen wollen TeamViewer bei der …“
      Kann ich mir nicht vorstellen (Kosten vs. Nutzen).

      Hat datenschutzbeauftragter-info.de da echt getrickst (s.o. wäre mir nicht aufgefallen und kann ich mir nicht vorstellen)? Oder will sich da eher jemand rausreden?

      • Zunächst einmal freuen wir uns über diese lebhafte Diskussion. Der Titel wurde nie geändert. Wenn wir Änderungen vornehmen, dann sind diese immer nachvollziehbar und wir schreiben ein entsprechendes Update.

        • SORRY, Dr. Datenschutz!
          „Kann ich mir nicht vorstellen“ war saublöd/irrtümlich formuliert. Ich meinte natürlich „EINE nachträgliche ÄNDERUNG kann ich mir nicht vorstellen (Kosten vs. Nutzen).“

  6. Hallo,
    wie ist das denn bei den ganzen Softwarefirmen die für Ihre Software TeamViewer Wartung anbieten? Müssten die Kunden einer Softwarefirma, die Support in Anspruch nehmen, einen ADV-Vertrag abschließen. Wie machen das dann die Softwarefirmen. Es wäre nicht praktikabel für jeden Kunden einen ADV-Vertrag unterschreiben zu müssen. Wäre hier eine Nutzungsvereinbarung für TeamViewer, die man auf die Homepage stellt die Lösung?
    Grüße

    • Sie haben recht, das Verhältnis zwischen Softwarefirma und Ihren Kunden ist ein Auftragsdatenverarbeitungsverhältnis, bei dem die Softwarefirma per Fernwartung auf die Systeme seiner Kunden zugreift. Das ist der klassische Fall des § 11 Abs. 5 BDSG. In diesen Fällen wären auch ADVs abzuschließen. Praktikabel wird das ganze erst dann, wenn die Softwarefirma selbst die ADVs bereitstellt und am besten den eigentlichen Dienstleistungsverträgen mit ihren Kunden anfügt.

      Am besten Sie lassen sich hierzu einmal von Ihrem Datenschutzbeauftragten oder Ihrer Rechtsabteilung ausführlich beraten.

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.