Der Europäische Datenschutzbeauftragte hat sich mit cloudbasierten Videokonferenzdiensten auseinandergesetzt, welche der EuGH einsetzt. Der Einsatz von Cisco Webex wurde hierbei als datenschutzkonform eingestuft. Die Entscheidung ist insofern auch für Unternehmer interessant, als dass man genau sehen kann, wie der Europäische Datenschutzbeauftragte bestimmte Maßnahmen bewertet.

Hintergrund der Entscheidung

Zum Hintergrund: Bei Verhandlungen des EuGH wird Cisco Webex eingesetzt. Es wird die sogenannte “data residency” von Cisco verwendet, das heißt es wird vertraglich garantiert, dass die Daten nur im EWR verarbeitet werden. Das allein reicht aber noch nicht aus, denn es sind weitere Maßnahmen ergriffen worden:

Die User des Gerichts und auch externe User müssen sich nicht bei Cisco registrieren.
Es wird auch bei externen Usern außerhalb des EWR sichergestellt, dass diese über einen EWR-Node mit dem Netzwerk verbunden werden.
Bestimmte Funktionalitäten werden standardmäßig geblockt und stehen bei Videokonferenzen mit dem EuGH nicht zur Verfügung.
Als technisches Maßnahme kommt eine Ende-zu-Ende-Verschlüsselung zum Einsatz.
Außerdem gibt es noch organisatorische Maßnahmen seitens des Gerichts:

Die Identifizierung der Teilnehmer an der Videokonferenz wurde einem externen Provider übertragen. Cisco selbst erhält nur sehr eingeschränkte personenbezogene Daten.
Beim Meeting selbst müssen keine Usernamen oder Telefonnummern angegeben werden.
Eine Vorabgenehmigung durch den Europäischen Datenschutzbeauftragten nach Art 48 Abs 3 lit a der Verordnung (EU) 2018/1725 (ähnlich zur DSGVO, für EU-Organe gültige VO) war also nicht erforderlich.

Der Europäische Datenschutzbeauftragte prüft jedoch auch die allgemeine Datenschutz-Compliance, abseits von einer Vorabgenehmigungspflicht. Der Europäische Datenschutzbeauftragte weist hierbei darauf hin, dass die Risiken von potenziellen Übermittlungen in Drittstaaten, die sich aus der Anwendung von Gesetzen dieser Staaten auf im EWR ansässige Auftragsverarbeiter ergeben, Teil der Analyse und Bewertung des für die Verarbeitung Verantwortlichen im Einklang mit dem Grundsatz der Rechenschaftspflicht sein müssen.

Im vorliegenden Fall bestehe diese Gefahr laut Europäischen Datenschutzbeauftragen aber nicht. Hatte man bei der ersten Analyse im Dezember 2022 noch Zweifel (vgl dort Punkt 3.11). Nach der Analyse des Europäischen Datenschutzbeauftragten sind die potenziellen Übermittlungen von Daten in den EWR-Datenzentren, die sich aus der Anwendung der Rechtsvorschriften von Drittländern ergeben, nicht von Kapitel V der Verordnung erfasst, und der Gerichtshof muss für sie keine Vertragsklauseln angemessene Garantien vorzusehen. Sollte Cisco jedoch solche Auskunftsbegehren aus Drittstaaten erhalten, wäre die Compliance nach Kapitel V der VO sicherzustellen.

Außerdem beschäftigt sich der Europäische Datenschutzbeauftragte noch mit Datenschutzfragen rund um den Support, welcher eingeschränkt wurde (zum Beispiel kein “follow the sun”-Support).

In unserem Blog, haben wir hierzu noch ein paar Praxishinweise zusammengefasst.