Verräterische Metadaten in Teams-Berichten: Was bei vertraulichen Betriebsrats-Besprechungen zu beachten ist

Teams sammelt bei Besprechungen einiges an Metadaten und erzeugt daraus Auswertungen wie Teilnahmeprotokolle. Aus Microsoft-Sicht helfen die Analysen bei der Qualitätsverbesserung. Doch wer kann alles von intern und extern auf solche Daten zugreifen, wenn Betriebsräte oder Betriebsärzte Meetings halten? Der folgende Beitrag identifiziert die Datenschutzrisiken durch Nutzungsspuren in Teams und zeigt Lösungsmöglichkeiten für eine geschützte Kommunikation auf.
Autor: Forbit PartG Datenschutzberatung*

Virtuelle Betriebsratssitzungen sind erlaubt, aber…

Der Bundestag hat mit dem neuen §129 BetrVG die rechtliche Grundlage für virtuelle Betriebsratssitzungen geschaffen. Viele Besprechungen, auch Sitzungen des Betriebsrats und seiner Ausschüsse, werden inzwischen als Video-Konferenz durchgeführt. Häufig wird dabei Microsoft Teams benutzt. Neben allgemeinen Datenschutzfragen im Zusammenhang mit Teams stellt sich insbesondere für Betriebsräte die Frage: Kann jemand nachverfolgen, wer wie lange an welcher Sitzung teilgenommen hat?

Kurzfassung: Betriebsräte müssen sich mit Teams-Datenschutz befassen

Microsoft stellt den Teams-Administratoren des Unternehmens eine Funktion zur Verfügung, die dafür gedacht ist, technische Mängel in der Anrufqualität zu beheben. Aber es gibt da eine Ansicht, auf der man in einem Balkendiagramm übersichtlich nachsehen kann, wer an der Sitzung beteiligt war, wer wann beigetreten oder sich abgemeldet hat sowie weitere technische Details:

Hier könnte man also sehen, wer verspätet teilgenommen hat, wer sich früher verabschiedet hat, ob der Gewerkschaftssekretär dabei war, wann die Rechtsanwältin sich eingewählt hat und so weiter. Alles Informationen, die nur den Betriebsrat etwas angehen, die aber auf diesem Weg auch die Administratoren erfahren.

Und nicht nur die eigenen Administratoren: Wenn Externe an der Sitzung teilgenommen haben, können auch deren Teams-Admins diese Daten sehen. Wenn ein Betriebsrat also zum Beispiel einen externen Sachverständigen zur Sitzung hinzuzieht, und dieser sich über den eigenen Microsoft-Account seiner Firma an der Sitzung anmeldet, kann ein Teams-Admin des Sachverständigen auch all diese Daten der Betriebsratssitzung sehen.

Betriebsräte sollten sich überlegen, ob sie unter diesen Bedingungen Teams für ihre Sitzungen nutzen wollen. Eine Regelung dieser Funktionen in einer Betriebsvereinbarung erscheint jedenfalls sinnvoll.

Wo Teams-Konferenzen überall Datenspuren hinterlassen

Über Teams-Besprechungen können durchaus noch mehr Spuren zurückbleiben. Deshalb sollten sich Betriebsräte gut überlegen, ob sie Teams für ihre Sitzungen nutzen wollen. Die Zugriffsmöglichkeiten auf Besprechungsdetails lassen sich in folgende Bereiche einordnen:

1. Anwesenheitsliste: Alle Namen und Zeiten der Besprechungsteilnehmer einsehbar
2. Verräterische Verwendungsberichte im Microsoft Teams Admin Center
3. Bei externen Teilnehmern können auch die externen Administratoren mitlesen

1. Anwesenheitsliste: Alle Namen und Zeiten der Besprechungsteilnehmer einsehbar

Microsoft hat die Möglichkeit geschaffen, während einer Besprechung eine Anwesenheitsliste herunterzuladen. Für eine Organisator einer Sitzung gibt es bei der Liste der Teilnehmer einer Besprechung einen Button „Anwesenheitsliste herunterladen“. Andere Teilnehmer haben diese Funktion nicht.

In der heruntergeladenen CSV-Datei sind Datensätze mit Namen, Benutzeraktion wie etwa „Beigetreten“ und Zeitstempel gespeichert.

Zusätzlich ist es für eine Organisator möglich, die Anwesenheitsliste nach der Sitzung einzusehen, in dem in der Besprechung in Teams auf den Reiter Anwesenheit geklickt wird. Dort findet sich eine Zusammenfassung der Besprechungsdetails zusätzlich mit einer Übersicht über alle Teilnehmer der Besprechung sowie den Zeiten, wann diese der Besprechung beigetreten sind und sie verlassen haben.

Handelt es sich um eine Serienbesprechung kann das Datum der Besprechung ausgewählt werden (siehe zweite Zeile, Pfeil nach unten), um die Anwesenheitsliste der jeweiligen Besprechung rückwirkend anzeigen zu lassen.

Es ist möglich die Dokumentation der Anwesenheit über Microsoft Teams Besprechungsrichtlinien zu deaktivieren. Darauf wird an dieser Stelle aber nicht tiefer eingegangen

2. Verräterische Verwendungsberichte im Microsoft Teams Admin Center

Microsoft stellt für die Administratoren der Microsoft 365-Dienste eine Reihe von Administrationsseiten zur Verfügung, es gibt auch ein spezielles Admin-Center für Teams.

Darin gibt es zum einen die Verwendungsberichte, in denen man sehen kann, wer an wie vielen Besprechungen teilgenommen hat, wie viele Besprechungen ein Nutzender organisiert hat oder wie viele Chat-Nachrichten jemand verschickt hat. Details zu einzelnen Sitzungen sieht man hier erstmal nicht.

Wenn man auf einen Namen klickt, gelangt man zur Benutzeranzeige im Teams Admin-Center und dort gibt es eine Seite „Besprechungen und Anrufe“, wo alle Besprechungen und Anrufe der Teilnehmer aufgeführt sind.

Klickt man weiter zu einer Besprechung, sieht man auch die anderen Teilnehmer.

Einige Teilnehmer werden als „Anonymer Benutzer“ angezeigt, je nachdem, ob sie sich über einen Browser oder über die Teams-App eingewählt haben und welches Microsoft-Konto verwendet wurde. Nutzer, die sich über ein Telefon eingewählt haben, werden mit einer verkürzten Telefonnummer angezeigt.

Die „Zeitachse“ zeigt den zeitlichen Verlauf der Teilnahmen in dieser Besprechung: Wer sich wann an- und abgemeldet hat, ob Audio, Video oder Bildschirmpräsentation möglich war und wie die Audioqualität der Verbindung war.

Zusätzlich kann die Perspektive „Teilnehmerdetails“ ausgewählt werden, die es ermöglicht Besprechungsdetails der einzelnen Teilnehmer einzusehen.

Im Fall von BR-Sitzungen können hier Details zum Ablauf der Sitzung an Personen außerhalb des Gremiums gelangen, die sie nichts angehen.

Das Klicken auf auf  „Sitzungsdetails anzeigen“ in der Zeitachse beziehungsweise auf die Startzeit in den „Teilnehmerdetails“ und der Klick auf „Erweitert“ enthüllen bis zu 120 verschiedene technische Daten zur Sitzung, vom Namen des verwendeten Computers („Mikes-MacbookPro.fritz.box“) über die Geschwindigkeit des Netzwerkes bis zum Typ der verwendeten Kamera.

Daten sind nützlich, erlauben jedoch die Identifizierung anonymer Teilnehmer

Diese Daten sind sicherlich nützlich, wenn man Mängel in der Qualität der Verbindung aufspüren will, verraten aber auch viel über die benutzte Ausstattung und erlauben unter Umständen die Bestimmung von bis dahin anonymen Nutzer. Bei der Nutzung im Home-Office geben diese Daten zumindest teilweise auch private Konfigurationen preis. (Ist zuhause eine Fritz!Box oder ein anderer Router installiert?).

Für diese technischen Daten gibt es auch eine praktische Download-Möglichkeit („Bericht exportieren“). Diese Funktionen stehen für die Sitzungen der letzten 30 Tage zur Verfügung.

3. Bei externen Teilnehmern können auch die externen Administratoren mitlesen

Wenn an einer Sitzung außer den internen Teilnehmer der eigenen Organisation auch Externe teilgenommen haben, stehen diese Daten auch den Teams-Dienstadministratoren des externen Unternehmens zur Verfügung.

Voraussetzung ist, dass das externe Unternehmen eine eigene Microsoft-365-Umgebung (Tenant) bei Microsoft gemietet hat und dass sich die externen Teilnehmer über diese Umgebung an der Sitzung angemeldet haben. In diesem Fall kann ein Teams-Admin des externen Sachverständigen, den der Betriebsrat zur Sitzung hinzuzieht, auch all diese Daten zur BR-Sitzung sehen.

Ob diese Übermittlung von personenbezogenen Daten datenschutzrechtlich in Ordnung ist, ist sehr zweifelhaft.

Fazit: Betriebsräte und Betriebsärzte sollten den Teams-Einsatz hinterfragen

Betriebsräte sollten sich überlegen, ob sie unter diesen Bedingungen Teams für ihre Sitzungen nutzen wollen. Das gilt besonders auch für andere Personen, deren Kontakte einer besonderen Vertraulichkeit unterliegen, wie Betriebsärzte oder Suchtbeauftragte.

Alternative 1: Separater Tenant

Eine Alternative könnte sein, dass der Betriebsrat eine eigene Microsoft-365-Umgebung (Tenant) bei Microsoft nutzt. Damit wäre allerdings das Problem mit dem Zugriff von Administratoren externer Teilnehmer noch nicht gelöst.

Alternative 2: Anderer Konferenz-Dienst

Oder der Betriebsrat benutzt einen der vielen anderen Konferenz-Dienste für seine Sitzungen. Der wäre allerdings auf seine Qualität im Hinblick auf Datenschutz und Sicherheit zu prüfen. In jedem Fall sind kritische Funktionen wie zum Beispiel Transparenz über die Teilnehmer, Aufzeichnungen, Einwilligungsverfahren und Datenverschlüsselung von Ende zu Ende zu untersuchen und zu bewerten, bevor man sich einem Dienstleister anvertraut (siehe dazu Digitalcourage: Videokonferenzen müssen keine Datenschleudern sein).

Alternative 3: Betriebsvereinbarung über Admin-Zugriff

Auch der Abschluss einer Betriebsvereinbarung zu dem Thema könnte das Problem abmildern. Darin müsste geregelt werden, wer Zugriff auf diese Protokolle im Admin-Center hat und dass sie nur für technische Zwecke (Behebung von Problemen mit der Anrufqualität) benutzt werden dürfen. Ob das allerdings ausreicht, um im eigenen Betrieb dem Problem zu begegnen, müsste der Betriebsrat entscheiden.

*Quelle: Der Originalbeitrag wurde auf dem Blog der Forbit PartG Datenschutzberatung veröffentlicht.