Video-Exploration: Wie ergänze ich die Datenschutzerklärung?

Der Justiziar des BDP äußert sich dazu wie folgt:

Schon bislang wird eine Datenschutzerklärung empfohlen, in der Selbstverständlichkeiten der Datenverarbeitung erwähnt werden, z.B. dass man die Explorationsdaten erhebt, um das Gutachten fachgerecht erstellen zu können, aber auch die nicht ganz einfache Frage, wie lange die Daten nach Abschluss des Gerichtsverfahrens gespeichert werden (hier bereits veröffentlichter Vorschlag: bis zum Ablauf der Verjährungspflichten, um ggf. Rechenschaft über die Sorgfalt der Auftragserfüllung ablegen zu können, Art. 6 Abs. 1 f) DSGVO).

Diese Datenschutzerklärung müsste nun um die technische Datenverarbeitung in Folge einer Video-Exploration ergänzt werden. Das sind nun keine lapidaren Informationen mehr, sondern betrifft technische Vorgänge, von denen man in der Regel recht wenig versteht und bei denen man sich darauf verlassen muss, dass die Angaben des Anbieters, dessen Video-Service genutzt wird, zutreffen.

Es ist also vor allem zu schauen, was der Anbieter an Beschreibung des technischen Vorgangs und den dabei getroffenen Datenschutzmaßnahmen beschreibt. Sofern das plausibel erscheint, ist ratsam, diese Beschreibung in die eigene Datenschutzerklärung zu übernehmen.

Plausibel ist eine solche Beschreibung z.B., wenn der Video-Service von anerkannten Stellen zertifiziert ist, z.B. vom BSI oder von DAkkS-akkreditierten Zertifizierern. Optimal wäre eine Bestätigung des Anbieters, dass das Datenschutzaudit die Maßstäbe erfüllt hat, wie sie im Krankenkassensystem für die sog. Videosprechstunde vorgesehen sind (§ 5 der Anlage 31b zum Bundesmantelvertrag-Ärzte).

Wenn auf diese oder andere Weise bei sorgfältig-kritischer Prüfung der Eindruck entsteht, dass eine end-to-end-Verschlüsselung über in der EU situierte Server gewährleistet ist, kann die Formulierung dieser Anbieter übernommen werden.

Die Ergänzung der eigenen Datenschutzerklärung könnte etwa folgendermaßen lauten: „Das Angebot der Exploration über eine Videoschaltung wird über das Produkt X der Firma Y erbracht. Dieses Produkt ist vom Z-Zertifizierer als DSGVO-konform zertifiziert worden (Link). Die hier angebotene Video-Exploration erfolgt über eine sog. end-to-end-Verschlüsselung, die Verbindung wird nach Angaben von Y nur über EU-Server erbracht. Auf diese Weise ist der Datenschutz in hohem Maße gewährleistet.“

Es ist eine Frage der persönlichen Abwägung, ob man die Datenschutzerklärung auch dafür nutzt, transparent zu machen, welche Restrisiken nicht ausgeschlossen werden können. Soweit ersichtlich ist das in Datenschutzerklärungen leider eher selten festzustellen. Allerdings wäre das in der streitaffinen Situation der Rechtspsycholog*innen auch zweischneidig: Allzu gerne könnten solche Hinweise als Einladung für spätere Vorwürfe genutzt werden.

Es bleibt also jeder Rechtspsychologin bzw. jedem Rechtspsychologen selbst überlassen, ob sie oder er eine Ergänzung mit in etwa diesen Worten anfügt: „Der Datenfluss im Rahmen einer Video-Exploration kann jedoch Restrisiken nicht vermeiden, wie sie generell in der Internetkommunikation bestehen. So wird diskutiert, ob einige wenige Stellen, z.B. Geheimdienste nicht doch in der Lage sind, die hier verwendete standardmäßige Verschlüsselung zu entschlüsseln. Auch bestehen Restrisiken in den beiden letzten Teilstücken der weitgehend verschlüsselten Kommunikation: Die end-to-end-Verschlüsselung ist von Browser-Software zu Browser-Software gewährleistet, die letzten Schritte innerhalb der beteiligten Endapparate (Computer, Tablet, Handy) bleiben theoretisch Angriffspunkte, zu der jedenfalls was die technische Ausstattung auf Seite der explorierten Person angeht keine Sicherheitsaussagen gemacht werden können. Was die eigene Seite angeht, sind die verwendeten Geräte auf Seite der Rechtspsychologen standardgemäß im Sinne der DSGVO datenschutzgemäß geschützt (z.B. regelmäßige Softwareupdates, keine Privatnutzung, ggf. verschlüsselte Speicherung usw.).“