Collaboration-Werkzeuge auswählen: Kriterien für Datenschutz und Integration

Vom Sonderfall zur Grundausstattung: Warum Collaboration-Werkzeuge heute zur Basis-Infrastruktur gehören

Remote Work steht und fällt mit guter Kommunikation und reibungslosem Austausch. Fehlen passende Werkzeuge, stossen Teams schnell an Grenzen.

Social-Collaboration-Tools bündeln Informationen, erleichtern Abstimmungen und halten Zusammenarbeit über Distanz effizient und transparent.

Für Schweizer KMU gehören Chat, Videokonferenzen, Dokumentenmanagement und Projektplanung zur Basis-Infrastruktur, nicht mehr zu den Nischenlösungen.

Zu den zentralen Auswahlkriterien gehören Datenschutz und Integration; hinzu kommen Nutzerfreundlichkeit, Skalierbarkeit und der Ressourcenverbrauch.

Zuerst den Arbeitsablauf klären, dann das Werkzeug wählen

Welche Software passt, hängt vom konkreten Bedarf und Budget ab, nicht vom Funktionsumfang.

Wer zuerst den Arbeitsablauf klärt – wer mit wem an welchen Daten in welchen Schritten arbeitet –, leitet daraus die relevanten Kriterien ab.

Typische Einsatzfelder sind Chat, Videokonferenzen, Dokumentenmanagement und Projektplanung; nicht jedes Team braucht alle vier.

Ein Team mit viel Abstimmung setzt andere Schwerpunkte als eines, das vor allem Dokumente versioniert.

Wichtige Kriterien sind Nutzerfreundlichkeit, Datensicherheit und Skalierbarkeit; je nach Einsatzfeld sind sie unterschiedlich zu gewichten.

Beim Datenschutz sind drei Aspekte besonders zu prüfen: der Einsatz von Auftragsbearbeitern und Unterauftragsbearbeitern, die Sicherheit der Datenbearbeitung und die Übermittlung von Personendaten in Drittländer.

Auswahl in fünf Schritten: vom Arbeitsablauf zum begründeten Entscheid

Wer bearbeitet wessen Daten? Auftragsbearbeitung als Kernfrage bei Cloud-Diensten

Bei Cloud-Diensten handelt die Anbieterin in der Regel als Auftragsdatenbearbeiterin des Kunden im Sinne von Art. 9 DSG.

Der Kunde kann selbst Verantwortlicher für die Datenbearbeitung oder seinerseits Auftragsbearbeiter sein.

Als Verantwortlicher trägt der Kunde die Verantwortung, dass die Datenbearbeitungen datenschutzkonform erfolgen und die Rechte der betroffenen Personen durch die Auslagerung nicht geschmälert werden.

Der Cloud-Nutzer muss sich vergewissern und vertraglich absichern, dass er die Anforderungen an eine Auftragsbearbeitung gemäss Art. 9 DSG einhält.

Der EDÖB verweist dafür auf seine Erläuterungen zum Outsourcing bzw. zur Auftragsbearbeitung.

Unterauftragsbearbeiter gehören zu dieser Kette. Der EDÖB nennt den Einsatz von Auftragsbearbeitern und Unterauftragsbearbeitern als einen datenschutzrechtlichen Aspekt, der bei Cloud-Diensten besondere Aufmerksamkeit verlangt.

Zur Sicherheit der Datenbearbeitung gehören Ende-zu-Ende-Verschlüsselung während der Übertragung und im Ruhezustand sowie Data At Rest Encryption auf den Servern.

Zugriffskontrolle und Authentifizierung umfassen 2FA/MFA, individuelle Zugriffseinstellungen und Passwortkontrolle sowie rollenbasierten Zugriff.

Bei Microsoft Teams sind Phishing-Dateien in Chats, Social Engineering und die Manipulation von MFA bekannte Risiken. Gegenmassnahmen sind phishing-resistente Authentifizierung mit Nummernabgleich, bedingte Zugriffsregeln, Beschränkung auf genehmigte Domänen und geprüfte Gastzugriffe.

Bei Slack kommen 2FA/MFA und Domain-Whitelists infrage; extern geteilte Kanäle sind zu überwachen.

Datenschutz-Checkliste für Cloud-Collaboration-Werkzeuge

Speicherort und Datenbekanntgabe ins Ausland: Was vor der Einführung geklärt sein muss

Erfolgt bei der Nutzung von Cloud-Diensten eine Datenbekanntgabe ins Ausland, ist vor der Bekanntgabe zu prüfen, ob sie den gesetzlichen Anforderungen genügt.

Der EDÖB hebt bei Cloud-Diensten nebst der Auftragsbearbeitung die Sicherheit der Datenbearbeitung und die Übermittlung von Personendaten in Drittländer hervor.

Für die Beurteilung eines Werkzeugs ist konkret zu klären: Wo werden die Daten gespeichert? Wer kann darauf zugreifen? Welche Unterauftragsbearbeiter sind beteiligt?

Für die Prüfung der Datenbekanntgabe ins Ausland verweist der EDÖB auf seine entsprechenden Erläuterungen.

Nutzerfreundlichkeit und Skalierbarkeit: Kriterien, die über Akzeptanz und Wachstum entscheiden

Nutzerfreundlichkeit entscheidet, ob ein Werkzeug im Alltag tatsächlich genutzt wird.

Prüffragen: Wie schnell können neue Mitarbeitende beitreten? Funktioniert die Bedienung auf den Geräten, die im Team tatsächlich verwendet werden? Wie viele Schritte braucht eine typische Abstimmung?

Skalierbarkeit entscheidet, ob ein Werkzeug mit dem Unternehmen mitwächst.

Prüffragen: Lassen sich weitere Teams oder Standorte ohne Wechsel aufnehmen? Bleiben Kosten und Administration bei wachsender Nutzerzahl beherrschbar?

Zusammenspiel mit bestehenden Anwendungen prüfen

Collaboration-Werkzeuge stehen selten allein.

Der EDÖB nennt als Beispiele für Cloud-Dienste mit Personenbezug Office-365-Tools für die Online-Zusammenarbeit, Online-Verwaltungstools von E-Mail-Adressen, Online-CRM-Systeme sowie das Hochladen von Dateien auf einen über das Internet abrufbaren Server.

Fehlen Schnittstellen zwischen einem Collaboration-Werkzeug und bereits genutzten Anwendungen wie E-Mail, CRM oder Dokumentenablage, werden Daten doppelt geführt oder es entstehen Umwege.

Das erhöht den Aufwand und kann die Datenqualität beeinträchtigen.

Aus Datenschutzsicht ist zu prüfen, welche Personendaten zwischen welchen Anwendungen fliessen, ob diese Flüsse für den jeweiligen Zweck erforderlich sind und wer darauf Zugriff hat.

Vor der Einführung ist daher zu klären, welche bestehenden Anwendungen angebunden werden müssen und welche Daten dabei wohin gelangen.

OAuth ist eine Authentifizierungsplattform, über die Anwendungen Anmeldeinformationen freigeben oder auf andere Dienste zugreifen. OAuth-Berechtigungen sind oft dauerhaft und können unbeabsichtigte Sicherheitslücken verursachen.

Ungesicherte Integration von Drittanbietern zählt zu den Sicherheitsrisiken von Collaboration-Tools wie Slack, Microsoft Teams oder Zoom.

Mangelnde Integration mit Altsystemen, dezentrale Kommunikation und menschliches Versagen erhöhen das Risiko.

Für die Compliance sind Datenaufbewahrung, Zugriff und Archivierung nach festgelegten Standards zu regeln.

Energie- und Datenverbrauch: ein selten beachtetes Auswahlkriterium

Greenspector untersuchte 2021 insgesamt 19 Videokonferenz-Anwendungen auf einem Samsung S7 mit Android 8.

Getestet wurden drei Szenarien von je einer Minute Dauer: reine Audiokonferenz, Audio mit Video auf beiden Seiten sowie Audio mit Bildschirmfreigabe.

Gemessen wurden Stromverbrauch, Datenfluss und geschätzter CO2-Ausstoss.

Microsoft Teams verbrauchte in allen Szenarien am wenigsten Strom pro Minute (27,27 mAh), gefolgt von Go To Meeting (28,79 mAh) und Google Meet (30,11 mAh).

Teams benötigte nur die Hälfte der Energie des Schlusslichts Discord.

Die Schweizer App Infomaniak kMeet belegte über alle drei Szenarien den 12. Rang.

Eine Minute reine Audiokonferenz verbraucht durchschnittlich 39 Prozent weniger Energie als eine Konferenz mit eingeschalteter Kamera; gegenüber dem Szenario mit Bildschirmfreigabe sind es 1,5 Prozent weniger.

Beim Datenfluss führte Bigbluebutton in allen Szenarien (4,49 Megabyte pro Minute), gefolgt von Tixeo (6,21 MB) und Google Meet (6,30 MB).

Bigbluebutton erzeugte 10-mal weniger Daten als das Schlusslicht Discord.

Infomaniak kMeet lag hier auf Rang 17, beim Bildschirmteilen mit Audio aber auf dem zweiten Platz.

In der geschätzten CO2-Bilanz lag Google Meet vorn (0,164 Gramm CO2-Äquivalent), gefolgt von Tixeo (0,166 gEqCO2) und Microsoft Teams (0,167 gEqCO2).

Google Meet verursachte 2,5-mal weniger CO2 als Discord.

Diese Zahlen ergänzen Datenschutz, Nutzerfreundlichkeit, Skalierbarkeit und Integration als Auswahlkriterium. Der Ressourcenbedarf unterscheidet sich je nach Nutzungsszenario und Anwendung messbar.

Stromverbrauch pro Minute der sparsamsten Videokonferenz-Apps (in mAh)

Energie, Datenfluss und CO2: weitere Messwerte aus dem Greenspector-Test 2021

Nachweisbarkeit: Verarbeitungsaktivitäten, Massnahmen und Verträge aktuell halten

Die Auswahl eines Werkzeugs zieht Dokumentationsarbeit nach sich.

Der Cloud-Nutzer muss sich als Verantwortlicher vergewissern und vertraglich absichern, dass die Auftragsbearbeitung die Anforderungen gemäss Art. 9 DSG erfüllt.

Datenschutzmanagement-Software kann diese Arbeit unterstützen.

Die ELIZA Datenschutzmanagement App erlaubt es laut Anbieterin, Verarbeitungsaktivitäten zu dokumentieren und zu verwalten, Datenschutzfolgenabschätzungen (DPIAs) durchzuführen, technische und organisatorische Massnahmen (TOMs) zu definieren und zu verfolgen sowie Rechtsgrundlagen festzulegen.

Sie dient ausserdem dazu, Untervertragspartner zu verwalten und zu dokumentieren, Anfragen von Datensubjekten zu bearbeiten und Auftragsverarbeitungsverträge (AVVs) automatisiert im Word-Format zu erstellen.

Eine aktuelle Dokumentation erleichtert Audits und die Bearbeitung von Auskunftsbegehren betroffener Personen, weil Verarbeitungen, Massnahmen und Verträge nachvollziehbar festgehalten sind.

Zu den wiederkehrenden Aufgaben gehören: neue Verarbeitungen erfassen, TOMs überprüfen, Unterauftragsbearbeiter aktuell halten und Auftragsbearbeitungsverträge bei Änderungen nachführen.

Wiederkehrende Aufgaben für die Nachweisbarkeit

Kriterien gewichten und den Entscheid begründen

Jedes Unternehmen gewichtet die Kriterien nach eigenem Bedarf und Budget.

Datenschutz, Nutzerfreundlichkeit, Skalierbarkeit, Integration und Ressourcenverbrauch haben nicht für jedes Team dasselbe Gewicht.

Der Entscheid sollte dokumentiert werden: Welche Kriterien waren ausschlaggebend? Welche Anforderungen an Auftragsbearbeitung und Datenbekanntgabe sind geklärt? Welche Schnittstellen werden benötigt?

Für einen späteren Wechsel bleibt das Unternehmen anschlussfähig, wenn Daten exportierbar sind, Verträge die Rückgabe oder Löschung regeln und die Dokumentation die Verarbeitungen und Unterauftragsbearbeiter nachvollziehbar festhält.

Für den Datenschutz sind Verschlüsselung, Zugriffskontrolle und Authentifizierung vor der Einführung zu klären.

Bei der Integration ist zu prüfen, welche OAuth-Berechtigungen bestehen und ob sie begrenzt sind.