Aufgrund der Corona-Krise arbeiten viele nun verstärkt von zuhause aus. Das birgt natürlich auch Datenschutz- und IT-Risiken. Der BayLfDI, erteilt daher für öffentliche Stellen (speziell auch im Gesundheitssektor) Sonderinformationen mit Gültigkeit vorerst bis zum 5.4.2020.

Insbesondere die effiziente Behandlung von Corona-Patienten sowie die Schulschließungen machen in deutlich größerem Umfang elektronische Kommunikation zwingend erforderlich. Da es in der Kürze der Zeit für die öffentlichen Stellen schwierig ist, hierfür dienstliche Geräte zur Verfügung zu stellen, akzeptiert der Bayerische Landesbeauftragte vorübergehend die Verwendung von Privatgeräten sowie die Nutzung von Messengern und Clouddiensten unter gewissen Rahmenbedingungen:

Videokonferenzen und Messengerdienste zur Kommunikation von Beschäftigten in öffentlichen Stellen (Ärzte, Pflegepersonal, Lehrer etc.) untereinander sowie mit Personen außerhalb öffentlicher Einrichtungen (Patienten, Schüler, Studierende, Antragsteller etc.): Diese dürfen auch auf nicht-dienstlichen Geräten genutzt werden, wenn folgende technische Bedingungen eingehalten werden:

• Idealerweise sollte keine Speicherung von sensiblen Daten auf dem Privatgerät erfolgen, ansonsten muss die Möglichkeit zur unkomplizierten Löschung der Daten bestehen.
• Die Kommunikation sollte möglichst datensparsam erfolgen.
• Mobile Geräte müssen mindestens durch eine PIN oder ein Passwort geschützt werden.
• Sobald die Nutzung dieser Dienste nicht mehr erforderlich ist, sind die damit verarbeiteten personenbezogenen Daten zu löschen, insbesondere die zu diesem Zweck gespeicherten Telefonnummern von privaten Geräten.

Krankenhäuser, Gesundheitsbereich

Für Krankenhäuser und den Gesundheitsbereich gibt es darüber hinaus folgende Einschränkungen:

• Für die Verarbeitung von sensiblen Daten ist in jedem Fall ist eine Ende-zu-Ende-Verschlüsselung der Kommunikation umzusetzen.
• Die Anforderungen des „Whitepaper“ der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 07.11.2019 „Technische Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich“ sollte weitestgehend umgesetzt werden.
• Es darf in Abweichung zu Nr. IV.8 keine Anbindung an die sonstigen IT-Systeme des Krankenhauses, Gesundheitsamts etc. erfolgen, um die IT-Sicherheit nicht zu gefährden.
• Zugriff auf das KIS und Fachverfahren der öffentlichen Stelle:
  • In Abweichung zu den Ausführungen im 25. Tätigkeitsbericht unter Nr. 2.2.5 dürfen Privatgeräte genutzt werden, wenn die dort formulierten Anforderungen auf den Privatgeräten umgesetzt werden.
  • Insbesondere muss eine zugriffsgeschützte virtuelle Arbeitsumgebung zum Einsatz kommen, so dass auf dem Privatgerät keine medizinischen Daten gespeichert werden können.
  • Ein Zugriff auf den E-Mail-Server kann auf Privatgeräten (z.B. OWA) ermöglicht werden, wenn sichergestellt ist, dass keine Speicherung der E-Mails oder von Anhängen auf dem Privatgerät möglich ist.
  • Vor einer Nutzung auf Privatgeräten muss die IT-Abteilung oder der IT-Sicherheitsbeauftragte prüfen, ob damit Sicherheitsrisiken für die IT der öffentlichen Stellen entstehen, z.B. durch Schadsoftware auf dem Privatgerät. Der behördliche Datenschutzbeauftragte ist frühzeitig zu beteiligen.
  • Die Mitarbeiter müssen eine Erlaubnis zur Nutzung von Privatgeräten beantragen und die Erforderlichkeit dokumentiert werden. Der Zugang soll nicht pauschal allen Mitarbeitern eröffnet werden. Zudem sind Regelungen aufzustellen, um die Pflichten für die Nutzer festzulegen.