Datenschutzrechtliche Risiken beim Terminplanungsdienst „Doodle“

Doodle Datenschutz

Die Verwendung des Dienstes „Doodle“, zur unkomplizierten, kostenlosen Terminkoordination im Internet, hat sich schnell in den privaten Bereich eingefügt. Nie war es so einfach seine Termine schnell, unkompliziert und kostenlos abzustimmen. Der Gedanke ist daher nicht weit hergeholt, dass Unternehmen für die Koordination der Termine überlegen, diesen Dienst in ihre Unternehmensroutine einzuführen. Doch sollte vorab Vorsicht geboten sein und eine datenschutzrechtliche Prüfung vorgenommen werden. Eine unachtsame Aktion, die einen möglichen datenschutzrechtlichen Verstoß mit sich führt, kann nicht nur mit hohen Sanktionen belegt werden, sondern auch schwerwiegende Imageverluste für das Unternehmen bedeuten.

Ihr externer Datenschutzbeauftragter klärt Sie über die datenschutzrechtlichen Risiken auf und eröffnet Ihnen – für eine Terminplanung ohne Datenschutz-Risiken – alternative Lösungsansätze.

Was ist „Doodle“?

Doodle ist ein vom Schweizer Informatiker Michael Näf entwickelter Onlinedienst, bei dem die Nutzer kostenlose Terminumfragen oder einfache Online-Umfragen erstellen können. Die Doodle AG, die ihren Hauptsitz in der Schweiz hat, finanziert sich durch Werbeanzeigen, welche innerhalb ihres Terminkoordinationsdienstes angezeigt werden.

Wie funktioniert Doodle und was kann es?

Mit Doodle werden wie erwähnt Umfragen vom Nutzer erstellt, die auf dem Server des Unternehmens gespeichert werden. Zugang zu der Umfrage erhält der Nutzer durch eine – von ihm zufällig – generierte Adresse. Die Adresse der Umfrage kann daraufhin per E-Mail an die Umfrageteilnehmer weitergeleitet werden. Mit Erhalt der Adresse zur Umfrage ist es den Teilnehmer möglich, abgefragte Angaben in die Umfrage zu integrieren. Der Teilnehmer hat die Möglichkeit die Umfrage jederzeit einzusehen und kann etwaige Statusänderungen erfassen. Unberechtigte Dritte können im Regelfall ohne Kenntnis der Umfrage-Adresse nicht auf die entsprechende Umfrage zugreifen.

Doddle und der Datenschutz

Bei näherer Betrachtung des Dienstes Doodles zeigen sich datenschutzrechtliche Risiken in den Bereichen:

  • Übertragung personenbezogener Daten
  • Verschlüsselung der Daten bei Übertragung
  • Zugriffsschutz sowie
  • der Nutzung von Werbetools

Was Ihnen in den dazugehörigen Abschnitten näher erläutert werden soll.

Übertragung personenbezogener Daten

Grundsätzlich steht es jedem Nutzer frei seine eigenen personenbezogenen Daten (z.B. Name, Termin, Beschreibung des Termins, …) bei einer Doodle-Umfrage zu verbreiten. Es sollte jedoch vor der Integration von Doodle in den Unternehmensablauf beachtet werden, dass weder genaue Angaben über den Speicherort bekannt sind, auf dem die personenbezogenen Daten liegen, noch eine genaue Speicherdauer der Daten von Doodle benannt wird. Weiterhin fehlt es dem Dienst an einer rechtlichen Übermittlungsbefugnis, welche sich aus dem Sitz des Unternehmens ergibt.

Doodle hat seinen Sitz in der Schweiz, wo sich auch die Server befinden dürften.

Möchten Sie mehr über Datenschutz in der Schweiz erfahren, dann informieren Sie sich in unserem Beitrag: „Betrieblicher Datenschutzverantwortlicher in der Schweiz“.

Nach Angaben der Doodle-Homepage werden die Daten – zur Ausfallsicherung – zusätzlich auf Servern in Irland bereitgehalten.

Bei der Nutzung von Doodle innerhalb eines Unternehmens werden die eingehenden Daten, durch die Doodle-Umfrage, als beschäftigungsbezogene Daten sowie ggf. auch Kundendaten gewertet. Diese Daten werden bei der Nutzung von Doodle höchstwahrscheinlich auf einen Doodle-Server in der Schweiz gespeichert. Da die Schweiz kein Mitglied der Europäischen Union ist, wird der benannte Vorgang nicht als Auftragsdatenverarbeitung (ADV) angesehen und ist nach § 3 Abs. 8 Bundesdatenschutzgesetz (BDSG), eine Weitergabe personenbezogener Daten an einen „Dritten“. Eine solche Weitergabe ist nur dann zulässig, wenn der Betroffene (Nutzer) vorab seine Zustimmung erteilt hat oder eine Rechtsgrundlage dies erlaubt (§ 4 BDSG).

Eine Rechtsgrundlage für die Übermittlung personenbezogener Daten der Beschäftigten dürfte hier auch nicht gegeben sein, allerdings dürfte auch das Einholen einer Einwilligung durchaus schwierig sein, da innerhalb eines Arbeitsverhältnisses Zweifel an der „Freiwilligkeit“ der Zustimmung bestehen könnten.

Keine Verschlüsselung bei der Übertragung personenbezogener Daten

Doodle verwendet das unverschlüsselte Übertragungsprotokoll „http“ statt der verschlüsselten Variante „https“, womit alle gesendeten Daten unverschlüsselt durch das Internet geleitet werden. Eine manuelle Änderung der URL kann dieses Problem nicht beheben, da die Anfrage automatisch auf http zurückgeführt wird. Folglich kann nicht ausgeschlossen werden, dass die Daten von einem unbefugten Dritten gelesen, kopiert und verändert werden könnten (vergleichbar mit einer Postkarte), was wiederum den Vorgaben des § 9 BDSG i.V.m. dessen Anlange (Weitergabekontrolle) entgegen läuft.

Kein wirksamer Zugriffsschutz

Doodle-Umfragen sind ohne einen Doodle-Account nicht ausreichend gegen den Zugriff unberechtigter Dritter geschützt und möglichen Manipulationen ausgesetzt.

Jeder, der an den Link zur Umfrage gelangt, sei es auf legitimen Weg oder dem unrechtmäßigen Weg (z.B. durch unberechtigten Zugriff auf einen fremden PC oder tatsächlich durch Zufall), kann die darin enthaltenen Einträge einsehen und ändern.

Webtrackingtools – Google Analytics und Co.

Die Doodle AG erklärt innerhalb ihrer Datenschutzbestimmungen Webtrackingtools, wie Google Analytics, auf deren Websites einzusetzen. Neben diesem werden auch andere Tools genutzt, wie etwa Double Click, KISSmetrics, Facebook Custom Audiences, etc.

Webtrackingtool dienen dazu Besucherbewegungen zu protokollieren. Der Website-Betreiber kann beispielsweise dadurch feststellen, von welcher anderen Website die Besucher auf die Website kommen, welche Suchbegriffe in eine Suchmaschine eingeben werden, wie lange diese auf der Website bleiben und wie sich durch die Website bewegen. Neben diesen Daten können ebenso Daten über die Spracheinstellung des Nutzers, die IP-Adresse mit dem der Nutzer die Website aufgerufen, aber auch Informationen über den eingesetzten Browser gespeichert werden. Je nach eingesetzten Tools variieren die Funktionen, die die Daten des Nutzers erfassen.

Datenschutzrechtlich problematisch ist die Verwendung solcher Tools, insbesondere dann, wenn der Nutzer keine Informationen hierüber erhält, keine Rechtsgrundlage oder informierte Einwilligung vorliegt und keine Möglichkeit besteht, der Erfassung zu widersprechen.

Wie sich die Datenschutz-Grundverordnung (DS-GVO) sowie die dazugehörige ePrivacy-Verordnung (VO) tatsächlich auf den Umgang mit Analyse-Tools auswirkt, bleibt abzuwarten.

Mehr Informationen zur ePrivacy-VO erhalten Sie in unserem Beitrag „ePrivacy-Verordnung (ePrivacy-VO) – Bewertung der Ergänzung zur Datenschutz -Grundverordnung (DS-GVO)„.

Datenschutz-Grundverordnung (DS-GVO)

Die ab dem 25. Mai 2018 anzuwendende Datenschutz-Grundverordnung wird die bisher geltende Datenschutzrichtlinie (RL 95/46 EG) ablösen und zu datenschutzrechtlichen Änderungen führen.

Unternehmen, welche sich noch nicht auf die bald geltende Datenschutz-Grundverordnung umgestellt haben, sollten so schnell wie möglich damit anfangen und ihren Datenschutzbeauftragten konsultieren. Werden die Änderungen durch die Datenschutz-Grundverordnung nicht rechtzeitig umgesetzt, kann dies zu datenschutzrechtlichen Verstößen führen, welche nicht nur einen Geldverlust durch Sanktionen, sondern auch Imageverluste bedeuten können.

Informationen über die Änderungen durch die DS-GVO erhalten Sie in unserem Beitrag: „Europäische Datenschutzgrundverordnung (DS-GVO) – 365 Tage Countdown bis zu den datenschutzrechtlichen Neuerungen am 25.05.2018“

Was bei der Nutzung von Doodle beachtet werden sollte

Falls Sie trotz benannter Probleme Doodle innerhalb ihres Unternehmens nutzen wollen, sollten Sie folgende Punkte beachten und umsetzen, die jedoch nur zu einer Risikominimierung führen können:

  • Umfrageteilnehmer sollten darauf hingewiesen werden, dass diese nicht zwingend über Doodle eine Rückmeldung zu der Umfrage geben müssen, sondern dies auch via E-Mail oder Handy tätigen können.
  • Die Titelbeschreibung der Umfrage sollte keine personenbezogenen Daten enthalten.
  • Es sollte den Teilnehmer der Umfrage vermittelt werden, dass eine Registrierung bei Doodle nicht notwendig ist und eine Angabe des Namens freiwillig ist, aber vorzugsweise ein aussagekräftiges Pseudonym verwendet werden sollte.
  • Die Terminanfragen sollten über die eigene E-Mail-Software versendet werden und nicht über Doodle.
  • Am Ende des Abstimmungsverfahrens sollte die Umfrage durch den Terminkoordinator von Doodle aktiv gelöscht werden.

Alternativen?

Neben Doodle gibt es eine Vielzahl anderer Dienstleister mit vergleichbaren Funktionen, wie

  • Deutsches Forschungsnetz – DFN
  • Dudle (ein Dienst der TU-Dresden)

, die ebenso wie Doodle kostenlos sind und weniger Risiken für Nutzer bedeuten dürften. Allerdings sollte auch bei Nutzung dieser Alternativen der betriebliche Datenschutzbeauftragte eingebunden werden.

Fazit

Wir raten Unternehmen eine Alternative zu Doodle zu nutzen, damit Werbung, eine Datenübermittlung außerhalb der EU oder EWR sowie Webtracking ohne informierter Einwilligung und Widerspruch umgangen werden kann. Weiterhin sollten Unternehmen vorab prüfen, ob der Abschluss eines Vertrags zur Auftragsdatenverarbeitung (ADV-Vertrag) für die Nutzung des externen Dienstes erforderlich ist.

Haben Sie weitere Fragen bezüglich dieses oder eines anderen datenschutzrechtlichen Themas?

Brands Consulting steht Ihnen gerne als kompetenter und fachkundiger Ansprechpartner in Sachen Datenschutz zu Seite.

Kontaktieren Sie uns und holen Sie sich ein unverbindliches und kostenloses sowie auf Ihre Bedürfnisse abgestimmtes Datenschutz-Angebot bei uns ein.

Nützliche Dienstleistungen können z. B. sein:

Unser Dienstleistungsangebot offerieren wir:

  • Unternehmen / Firmen [Einzelunternehmen, kleine und mittelständische Unternehmen (KMU) und Konzerne]
  • Behörden und Körperschaften des öffentlichen Rechts
  • Stiftungen bzw. Gesellschaften in kirchlicher Trägerschaft [unter Anwendung des Datenschutzgesetzes der Evangelischen Kirche in Deutschland (DSG-EKD) bzw. der Anordnung über den Kirchlichen Datenschutz (KDO)]
  • Vereinen / Verbänden
  • sowie in Einzelfällen interessierten Privatpersonen.