Prozessdokumentation und Datenschutz: Screenshots nach DSGVO

Warum Screenshots in einer Anleitung eine Datenschutzfrage sind

Prozessdokumentation entsteht in Live-Systemen. Eine Support-Mitarbeiterin bei Northwind, einer erfundenen Firma, nimmt auf, wie man im CRM eine Bestellung erstattet, und der Screenshot der Erstattungsmaske zeigt Name, Lieferadresse und Bestellhistorie des Kunden. Die Anleitung handelte vom Erstattungsknopf; das Bild trägt zusätzlich einen Kundendatensatz.

• Es sind personenbezogene Daten. Art. 4 Nr. 1 DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Ein Bild zählt, wenn es jemanden direkt oder indirekt identifiziert, wie GDPR Local es für Fotos formuliert; ein Name und eine Adresse auf dem Bildschirm tun das.
• Nur aufnehmen, was der Schritt braucht. Art. 5 Abs. 1 lit. c verlangt Datenminimierung und Art. 25 Datenschutz durch datenschutzfreundliche Voreinstellungen. Für eine Anleitung heißt das: zuerst ein Testkonto oder Demodaten, erst dann Schwärzen.
• Auch Kollegen zählen. Avatare, Spalten wie „Zugewiesen an“ und Protokolle nennen die Menschen, die im System arbeiten. Sie behalten ihr Auskunftsrecht nach Art. 15, und ein Screenshot kann ihre Zeit im Unternehmen überdauern.

Dieser Abschnitt wendet die Artikel auf die Dokumentationsarbeit an. Er ist keine Rechtsberatung: Über den konkreten Fall entscheiden der oder die Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde. Wie Sie einen Screenshot richtig weichzeichnen, zuschneiden und schwärzen, steht unter Screenshots in der Dokumentation.

Wohin der Screenshot geht, entscheidet über die Papierarbeit

Dieselbe Northwind-Erstattungsanleitung, mit zwei Arten von Aufnahmewerkzeug erstellt: eines speichert die Dateien auf dem Rechner, auf dem es läuft, das andere lädt sie in die Cloud seines Anbieters.

Ein Upload ist nicht verboten. Er bedeutet Papierarbeit und Vertrauen: Nach Art. 28 wird der Anbieter Auftragsverarbeiter und braucht einen Vertrag (AVV), und eine Übermittlung außerhalb der EU fällt unter Kapitel V. Ein Aufnahmewerkzeug, das nichts hochlädt, beseitigt die Frage der Auftragsverarbeitung für die Screenshots selbst. Die Frage, was auf den Screenshots zu sehen ist, bleibt.

Was eine Browsererweiterung sehen kann

Eine Browsererweiterung ist ein kleines Programm, das im Browser läuft, mit den Berechtigungen, die es in einer Manifest-Datei angibt. Chrome zeigt einige davon bei der Installation als Warnung an. Für ein Aufnahmewerkzeug sind diese wichtig, mit dem Warntext laut Chromes Berechtigungsliste:

• activeTab: vorübergehender Zugriff auf den aktuellen Tab, nur nach einem Klick auf die Erweiterung. Keine Warnung.
• tabs: Titel und Adressen offener Tabs. Warnung: „Browserverlauf lesen“.
• scripting: Code in einer Seite ausführen, auf die die Erweiterung Zugriff hat. Für sich allein keine Warnung.
• Host-Berechtigungen: Zugriff auf Websites ohne Klick. Für alle Websites lautet die Warnung „Alle Ihre Daten auf allen Websites lesen und ändern“.
• downloads: Dateien speichern. Warnung: „Downloads verwalten“.
• storage: Einstellungen und Daten im Browser speichern. Keine Warnung.

Host-Berechtigungen können erforderlich sein, also bei der Installation erteilt, oder optional, also erst angefragt, wenn eine Funktion sie braucht, und später widerrufbar, wie Chromes Leitfaden zu Berechtigungswarnungen empfiehlt. In chrome://extensions lässt sich unter Details der Websitezugriff auf „Bei Klick“, „Auf bestimmten Websites“ oder „Auf allen Websites“ stellen.

Was Berechtigungen nicht verraten: ob Daten den Rechner verlassen. Die Berechtigung, eine Seite zu lesen, sagt, was die Erweiterung erreichen kann, nicht, wohin sie es sendet. Dafür braucht es die Prüfung unten.

Prüfen, was eine Erweiterung sendet

Drei Minuten, kein Werkzeug außer Chrome:

1. Öffnen Sie chrome://extensions und die Details der Erweiterung. Lesen Sie Berechtigungen und Websitezugriff, und stellen Sie den Websitezugriff auf „Bei Klick“.
2. Schalten Sie oben rechts den Entwicklermodus ein. Klicken Sie unter „Ansichten überprüfen“ auf den Link „Service Worker“: Er öffnet DevTools für den Hintergrundcode der Erweiterung, wie Chromes Anleitung zum Debuggen zeigt. Öffnen Sie das Netzwerk-Panel und lassen Sie es aufzeichnen.
3. Erledigen Sie die echte Aufgabe einmal: eine kurze Aufgabe aufnehmen und exportieren. Lesen Sie dann die Liste der Anfragen. Eine Erweiterung, die hochlädt, zeigt Anfragen an ihre eigenen Server; eine, die es nicht tut, lässt die Liste leer.
4. Öffnen Sie auch die eigenen Seiten der Erweiterung, etwa Popup und Editor, und untersuchen Sie sie: Jede hat eigene DevTools und ein eigenes Netzwerk-Panel.

Was die Prüfung abdeckt, und was nicht:

• Sie gilt für die Version, die Sie ausgeführt haben, an diesem Tag, für die Aufgabe, die Sie erledigt haben. Ein Update kann das Verhalten ändern; wiederholen Sie die Prüfung danach.
• Code, den eine Erweiterung in einer Webseite ausführt, zeigt seine Anfragen in den DevTools dieser Seite, gemischt mit den Anfragen der Website.
• Für alles, was der Browser in einer Sitzung sendet, schreibt chrome://net-export ein vollständiges Protokoll in eine Datei.

Wie die IT eine Erweiterung freigibt und verteilt

Üblich ist, alle Erweiterungen zu blockieren und freigegebene per ID zuzulassen. In der Google Admin-Konsole führt der Weg laut Googles Hilfe zu Apps und Erweiterungen über Geräte > Chrome > Apps & Erweiterungen, und die Einstellung für den Chrome Web Store bietet drei Modi:

• alle Apps zulassen, der Admin verwaltet eine Sperrliste;
• alle Apps blockieren, der Admin verwaltet eine Zulassungsliste;
• alle Apps blockieren, der Admin verwaltet eine Zulassungsliste, Nutzer können Erweiterungen anfragen.

Jede freigegebene Erweiterung wird dann über ihre ID hinzugefügt und entweder zugelassen oder für alle installiert. Ohne die Admin-Konsole werden dieselben Regeln als Richtlinien gesetzt: ExtensionInstallBlocklist auf * plus ExtensionInstallAllowlist mit den freigegebenen IDs, über Gruppenrichtlinien oder die Registry unter Windows und Konfigurationsprofile auf dem Mac, wie Googles Leitfaden zur Verwaltung von Erweiterungen und die Chrome-Richtlinienliste beschreiben.

Zwei weitere Stellschrauben lohnen sich. Admins können Erweiterungen nach den angefragten Berechtigungen blockieren und alle Erweiterungen mit „runtime blocked hosts“ von bestimmten Websites fernhalten, etwa vom HR-System. Außerdem kann eine Erweiterung Einstellungen lesen, die ein Admin per Richtlinie setzt, über Chromes verwalteten Speicher (managed storage), den die Erweiterung lesen, aber nicht ändern kann.

Ein Freigabeblatt für die IT

Füllen Sie es für das Werkzeug aus, bevor Sie fragen. Es beantwortet das meiste, was IT und Datenschutzbeauftragte zuerst fragen.

Erweiterung

Name, Version, Link zum Chrome Web Store, Erweiterungs-ID (32 Buchstaben, unter Details zu sehen)

Berechtigungen

Wie im Manifest aufgeführt, mit der Warnung, die jede anzeigt

Host-Berechtigungen

Welche Websites; bei der Installation erforderlich oder optional bei Bedarf

Datenschutz im Store

Was der Datenschutzabschnitt im Web-Store-Eintrag als erhoben angibt

Gespeicherte Daten

Wo Screenshots und Anleitungen liegen: auf dem Rechner oder auf den Servern des Anbieters (und wo)

Verwaltete Richtlinie

Ob die Erweiterung Admin-Einstellungen aus dem verwalteten Speicher liest

Netzwerkprüfung

Datum, getestete Version, erledigte Aufgabe, gesehene Anfragen (keine, oder an welche Hosts)

Wo fertige SOPs liegen sollten

Nach dem Export ist eine Anleitung eine Datei, und sie ist so geschützt wie der Ort, an dem sie liegt. Ein Dateiserver oder eine Intranetseite mit Zugriffsrechten schützt sie; ein öffentlicher Freigabelink nicht.

• Prüfen Sie Anleitungen mit personenbezogenen Daten, wenn die gezeigten Personen gehen oder sich der Prozess ändert. Ersetzen Sie den Screenshot, statt einen veralteten zu behalten.
• Bevorzugen Sie in sich geschlossene Exporte, etwa ein PDF oder eine einzelne HTML-Datei. Was in der Datei steckt, ist sichtbar, und nichts verweist zurück auf eine Kopie beim Anbieter.

Mit einem Aufnahmewerkzeug, das nichts hochlädt

Jede Prüfung auf dieser Seite funktioniert mit jedem Werkzeug. Die Tabelle oben zeigt, warum die einfachste Antwort auf die Frage der Auftragsverarbeitung ein Aufnahmewerkzeug ist, das die Screenshots nirgendwohin sendet.

Quellen