Informationen zur Datenverarbeitung bei der Durchführung von Online-Meetings über die Plattform „Teams“

Verantwortlicher für Datenverarbeitung ist die

Augustinerinnen Krankenhäuser gGmbH
Jakobstraße 27-31
50678 Köln
Telefon 0221 3308-0
Fax 0221 3308-1005
kh@severinskloesterchen.de

Bei Fragen zur Datenverarbeitung wenden Sie sich an unseren betrieblichen Datenschutzbeauftragten, den Sie unter folgenden Kontaktdaten erreichen können:
Herr David Große Dütting
CURACON GmbH
Am Mittelhafen 14
48155 Münster
Telefon 0251 92208-238
Fax 0251 99208-650255
David.Grosse-Duetting@curacon.de

Wir verwenden „Teams“, um Ihnen einen besseren Einblick in unserer Leistungsspektrum und die Einrichtung zu ermöglichen. Sollten wir Online-Meetings aufzeichnen wollen, werden wir Ihnen das im Vorwege transparent mitteilen und – soweit erforderlich – um eine Zustimmung bitten. Die Tatsache der Aufzeichnung wird Ihnen zudem in der Teams-App angezeigt.

Wenn es für die Zwecke der Protokollierung von Ergebnissen eines Online-Meetings erforderlich ist, werden wir die Chatinhalte und des Fragen- und Antworten-Bereichs protokollieren. Das wird jedoch in der Regel nicht der Fall sein.

Wenn Sie bei Teams als Benutzer registriert sind, dann können Berichte über Online-Meetings (Meeting-Metadaten, Daten zur Telefoneinwahl, Fragen und Antworten in Webinaren, Umfragefunktion in Webinaren) bis zu einem Monat bei Teams gespeichert werden.

Die in „Online-Meeting“-Tools wie Teams bestehende Möglichkeit einer softwareseitigen „Aufmerksamkeitsüberwachung“ („Aufmerksamkeitstracking“) ist deaktiviert.

Bei der Nutzung von Teams werden verschiedene Datenarten verarbeitet. Der Umfang der Daten hängt dabei auch davon ab, welche Daten Sie vor bzw. bei der Teilnahme an einem Online-Meeting machen.

Folgende personenbezogene Daten sind Gegenstand der Verarbeitung:

• Angaben zum Benutzer: z.B. Vorname, Nachname, Profilbild, Unternehmen, Abteilung, Funktion
• Authentifizierungsdaten: z.B. Benutzername, Kennwort oder PIN-Code, Sicherheitsfrage, Audit-Trail
• Kontaktinformationen z.B. Adressen, E-Mail-Adressen, Telefonnummern, Social-Media-Kennungen, Notfallkontaktdaten
• Eindeutige Identifikationsnummern und Signaturen: z. B. IP-Adressen, Personalnummer, Studentennummer, Patientennummer, Signatur, eindeutige Kennung bei der Verfolgung von Cookies oder ähnliche Technologien
• Pseudonymisierte Kennungen
• Standortdaten: z.B. Mobilfunk-ID, Geolokalisierungsdaten, Standort bei Beginn/Ende des Anrufs; Standortdaten, die aus der Nutzung von WLAN-Zugriffspunkten abgeleitet werden
• Internetaktivitäten: z.B. Browserverlauf, Suchverlauf, Lesen, Fernsehen, Radiohören
• Geräteidentifikation: z.B. IMEI-Nummer, SIM-Kartennummer, MAC-Adresse
• Profilierung: z. B. basierend auf beobachteten kriminellen oder antisozialen Verhaltensweisen oder pseudonymisierten Profilen anhand von aufgerufenen URLs, Click-Streams, Surfprotokolle, IP-Adressen, Domänen, installierten Anwendungen oder Profilen basierend auf Marketingpräferenzen
• Support-/Feedbackdaten: Informationen im Zusammenhang mit Problembehandlungstickets oder an Microsoft gesendetem Feedback.
• Diagnose- und Dienstdaten (Telemetriedaten): Diagnosedaten im Zusammenhang mit der Dienstnutzung. Diese personenbezogenen Daten ermöglichen es Microsoft, den Dienst bereitzustellen (Problembehandlung, Sicherung und Aktualisierung des Produkts sowie Überwachung der Leistung) sowie einige interne Geschäftsvorgänge auszuführen, z.B. Ermitteln des Umsatzerlöses, Entwickeln von Metriken, Ermitteln der Dienstnutzung, Durchführen der Produkt- und Kapazitätsplanung
• Inhalte: z.B. Besprechungen, Chats, Voicemails, freigegebene Dateien, Aufzeichnungen und Transkriptionen.
• Anrufverlauf: Ein detaillierter Verlauf der Telefongespräche, die Sie vornehmen, ermöglicht es Ihnen, Ihre eigenen Anrufaufzeichnungen zu einem späteren Zeitpunkt zu durchsuchen.
• Daten zur Anrufqualität: Ihren Systemadministratoren stehen Details zu Besprechungen und Anrufdaten zur Verfügung. Damit können Ihre Administratoren Probleme im Zusammenhang mit schlechter Anrufqualität und der Nutzung des Dienstes diagnostizieren.

Um an einem Online-Meeting teilzunehmen, müssen Sie zumindest ein Pseudonym angeben, um den „Meeting-Raum“ zu betreten. Je nach Veranstaltungsart können auch weitere Informationen wie Name und Vorname, E-Mail-Adresse, Wohnort und PLZ erforderlich sein.

Für Teilnehmende an unseren Online-Meetings ist – soweit die Meetings im Rahmen von Vertragsbeziehungen durchgeführt werden – §. 6 Abs. 1 lit. c) KDG die Rechtsgrundlage der Datenverarbeitung.

Sollte keine vertragliche Beziehung bestehen, ist die Rechtsgrundlage Ihre Einwilligung nach § 6 Abs. 1 lit. b) KDG bzw. im Zuge der Verarbeitung besonderer Datenkategorien § 11 Abs. 2 lit. a) KDG. Um eine mögliche Übermittlung von Daten in die USA zu legitimieren, stützen wir uns auf die informierte Einwilligung der Betroffenen nach § 41 Abs. 1. KDG.

Sollten im Zusammenhang mit der Nutzung von „Teams“ Daten nicht für die Datenverarbeitung erforderlich, gleichwohl aber elementarer Bestandteil bei der Nutzung von Teams sein, so ist § 6 Abs. 1 lit. g) KDG die Rechtsgrundlage für die Datenverarbeitung. Unser Interesse besteht in diesen Fällen an der effektiven Durchführung von Online-Meetings.

Personenbezogene Daten, die im Zusammenhang mit der Nutzung von Teams verarbeitet werden, können im Zusammenhang des konkreten Einzelfalls der Verarbeitung von den Nutzern selbst an Dritte weitergegeben werden. 

Zur Bereitstellung und Nutzung der Dienste von Teams ist die Übermittlung personenbezogener Daten an die Auftragsverarbeiter weitergegeben werden. Mit diesem Dienstleister hat die Augustinerinnen Krankenhäuser gGmbH eine Vereinbarung zur Datenverarbeitung geschlossen (sog. „Auftragsverarbeitung“ nach § 29 KDG); konkret nutzen wir den nachstehenden Auftragsverarbeiter:

Microsoft Ireland Operations, Ltd.One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521.

Nähere Informationen zu der Datenverarbeitung durch Microsoft und den datenschutzrechtlichen Angaben finden Sie unter: https://privacy.microsoft.com/en-us/privacystatement

Teams ist ein Dienst, der von einem Anbieter aus den USA erbracht wird. Eine Verarbeitung der personenbezogenen Daten findet damit auch in einem Drittland statt. Wir haben mit dem Dienstleister über welchen wird die Meeting-Plattform Teams beziehen, einen Auftragsverarbeitungsvertrag geschlossen, der den Anforderungen von § 29 KDG entspricht.

Wir weisen Sie daraufhin, dass aktuell kein Angemessenheitsbeschluss der EU-Kommission i.S.d. § 40 Abs. 1 KDG besteht. Das bedeutet, dass die EU-Kommission bislang nicht positiv festgestellt hat, dass das landesspezifische Datenschutzniveau der USA dem der Europäischen Union aufgrund der Datenschutzgrundverordnung entspricht.

Das KDG setzt für eine Datenübermittlung in ein Drittland oder an internationale Organisationen, sog. geeignete Garantien voraus, § 40 Abs. 2 KDG. So sind beispielsweise unternehmensinterne, von einer Aufsichtsbehörde genehmigte Datenschutzvorschriften, Standardverträge der EU aktuell von dem Subunternehmen nicht umgesetzt. Mögliche Risiken, die sich im Zusammenhang mit den vorgenannten aktuell nicht ausschließen lassen, sind insbesondere:

• Ihre personenbezogenen Daten könnten möglicherweise über den eigentlichen Zweck der Auftragserfüllung hinaus durch die Anbieter an andere Dritte weitergegeben werden, die z.B. Ihre Daten zu Werbezwecken verwenden.
• Sie können Ihre Auskunftsrechte gegenüber den Anbietern möglicherweise nicht nachhaltig geltend machen bzw. durchsetzen.
• Es besteht möglicherweise eine höhere Wahrscheinlichkeit, dass es zu einer nicht korrekten Datenverarbeitung kommen kann, da die technischen und organisatorischen Maßnahmen der Anbieter zum Schutze personenbezogener Daten quantitativ und qualitativ nicht vollumfänglich den Anforderungen des KDG entsprechen.

Sie erklären sich daher nach § 41 Abs. 1 KDG einverstanden, dass wir die Daten an den Anbieter der Meeting-Plattform Teams übermitteln dürfen.

Die Daten, die im Zuge der Nutzung von „Microsoft 365“ verarbeitet werden, unterliegen definierten Löschungsfristen.

Kundendaten: Microsoft speichert die Kundendaten (Daten, die durch die Beschäftigen der Augustinerinnen Krankenhäuser gGmbH mit Hilfe der Dienste von Microsoft 365 verarbeitet werden) die Dauer der Nutzung des Dienstes durch den Kunden und bis zu dem Zeitpunkt, an dem alle Kundendaten gelöscht oder gemäß den Kundenanweisungen oder den Online-Service-Nutzungsbedingungen zurückgegeben werden. Nach Ablauf oder Kündigung des Abonnements des Kunden speichert Microsoft die Daten auf einem eingeschränkten Konto, so dass die Daten noch extrahiert werden können. Nach Ablauf dieses 90-tägigen Aufbewahrungs-zeitraums wird Microsoft die Daten löschen.

Vom System generierte Daten: Diese Daten werden standardmäßig bis zu 180 Tage nach Erfassung gespeichert; längere Aufbewahrungszeiträume sind möglich, wenn dies zur Sicherheit der Dienste oder zur Erfüllung rechtlicher und behördlicher Vorschriften erforderlich ist.

Sie haben das Recht auf Auskunft (§ 17 KDG) über die Sie betreffenden personenbezogenen Daten. Sie können sich für eine Auskunft jederzeit an uns wenden. 

Ferner haben Sie ein Recht auf Berichtigung (§ 18 KDG), Löschung (§ 19 KDG) oder auf Einschränkung (§ 20 KDG) der Verarbeitung, soweit Ihnen dies gesetzlich zusteht.

Ein Recht auf Datenübertragbarkeit (§ 22 KDG) besteht ebenfalls im Rahmen der datenschutzrechtlichen Vorgaben.

Schließlich haben Sie ein Widerspruchsrecht (§ 23 KDG) gegen die Verarbeitung im Rahmen der gesetzlichen Vorgaben. Die Wahrnehmung des Widerspruchsrechts kann jedoch unmittelbare Auswirkungen auf die Art und Weise, in der Sie Ihre Tätigkeit durchführen, und kann auch die Beendigung des Dienstverhältnisses bedeuten.

Sie haben das Recht, sich über die Verarbeitung personenbezogener Daten durch uns bei einer Aufsichtsbehörde (§ 48 KDG) für den Datenschutz zu beschweren. Die Beschwerde bei der Aufsichtsbehörde kann formlos erfolgen: 

Katholisches Datenschutzzentrum – Körperschaft des öffentlichen Rechts
Brackeler Hellweg 144
44309 Dortmund
Telefon: 0231 138985-0
Telefax: 0231 138985-22
E-Mail: info@kdsz.de