Homeoffice und Compliance: DSGVO und Québec Law 25

Das Homeoffice hat zur Normalität gemacht, dass Support-Teams auf Rechner mit personenbezogenen Daten zugreifen: Kundenmails, Gehaltsdaten, Gesundheitsinformationen. In Europa fällt dieser Zugriff unter die DSGVO. In Québec stellt Law 25 eigene Anforderungen. Beide Regelwerke verlangen im Kern dasselbe: dokumentieren, minimieren, schützen. Dieser Artikel zeigt, was das für den Fernzugriff bedeutet.

Was die DSGVO verlangt

Die DSGVO behandelt Fernzugriff als das, was er ist: eine Verarbeitung personenbezogener Daten. Drei Anforderungen greifen unmittelbar:

• Datenminimierung und Zweckbindung. Der Zugriff muss sich auf das Nötige beschränken, nicht unbegrenzt das ganze Gerät umfassen.
• Technische Sicherheit. Artikel 32 verlangt angemessene Maßnahmen: Verschlüsselung, Zugriffskontrolle und die Fähigkeit, die Verfügbarkeit wiederherzustellen. Eine unverschlüsselte Sitzung ist keine Option.
• Dokumentation und Reaktion. Es muss nachvollziehbar sein, wer wann zugegriffen hat, und eine Verletzung ist der Aufsichtsbehörde innerhalb von 72 Stunden zu melden.
• Auftragsverarbeitung. Wer für andere unterstützt, braucht einen Vertrag, der die Rollen festlegt.

In der Praxis macht das aus jeder Support-Sitzung einen prüfbaren Vorgang: Wer nicht sagen kann, wer wann auf welche Daten zugegriffen hat, kann Compliance nicht belegen.

Erbringt ein Dritter den Support, handelt er als Auftragsverarbeiter, und ein entsprechender Vertrag ist nötig. Fernzugriff ist keine Ausnahme von der DSGVO, sondern einer ihrer alltäglichsten Anwendungsfälle. Wer sich unsicher ist, sollte den eigenen Anbieter fragen, bevor der erste Vorfall passiert.

Was Québec Law 25 ergänzt

Law 25 hat den Datenschutz in Québec modernisiert, mit Pflichten, die den europäischen ähneln und einen eigenen Akzent tragen:

• Transparenz und Einwilligung. Betroffene müssen wissen, welche Daten zu welchem Zweck erhoben werden, mit klaren Datenschutzerklärungen.
• Datenschutz-Folgenabschätzungen. Projekte mit personenbezogenen Daten sind vor dem Start zu bewerten.
• Gestärkte Rechte. Auskunft, Berichtigung und Löschung, mit Pflicht zur Beantwortung innerhalb definierter Fristen.
• Bußgelder. Die Aufsichtsbehörde von Québec kann Verstöße direkt sanktionieren.
• Verantwortlichkeit. Unternehmen müssen nachweisen können, dass ihre Prozesse dem Gesetz entsprechen.

Für ein Unternehmen, das Beschäftigte oder Kunden in Québec betreut, ist das Fernwartungs-Tool Teil der Compliance, kein technisches Detail. Das Gesetz gilt unabhängig davon, wo die Server stehen.

Wo der Fernzugriff hineinspielt

Eine Support-Sitzung zeigt den ganzen Bildschirm: E-Mail, Banking, Kundendaten. Dateiübertragungen bewegen Dokumente zwischen Geräten. Ein unbeaufsichtigter Agent hält einen dauerhaften Zugang offen. All das ist Verarbeitung personenbezogener Daten und braucht dieselben Garantien. Eine Sitzung, die solche Daten zeigt, ist damit ein Fall für die Datenschutzprüfung, nicht nur für das Ticket-System:

• Ausdrückliche Bestätigung der Nutzer vor jeder Übertragung, ohne Ausnahme.
• Verpflichtendes MFA für die Technikerkonten.
• Sitzungsprotokolle, um nachzuweisen, wer was getan hat.
• Ende-zu-Ende-Verschlüsselung: TLS 1.3 mit AES-256-GCM und ECDH.

Kriterien für ein konformes Werkzeug

Die folgenden Kriterien lassen sich in einer Demo in fünf Minuten prüfen:

• Wählbarer Datenspeicherort: EU, Kanada oder USA, je nach Einsatzgebiet. Details auf der Seite Datenspeicherort.
• Ehrlich kommunizierte Zertifizierungen: ISO 27001, SOC 2 und HIPAA sind bei Ubidesk in Bearbeitung und werden so ausgewiesen. Siehe die Seite Compliance.
• Ein Auftragsverarbeitungsvertrag, den Sie Ihren Kunden vorlegen können.
• Ein Anbieter, der den Datenspeicherort konkret benennt, statt “Cloud” als Ort anzugeben.
• Kontrollen, die das menschliche Risiko senken: Die Trust Layer von Ubidesk verpixelt Bank- und Passwortfelder automatisch und warnt vor unaufgeforderten Sitzungen.

Was Sie nicht akzeptieren sollten

• Zugriff ohne MFA, so dringend die Sitzung auch ist.
• Stille Dateiübertragungen ohne Rückfrage.
• Datenspeicherort “in der Cloud” ohne konkretes Land.
• Ein Anbieter, der keine Auftragsverarbeitungsverträge unterschreibt.

Compliance entscheidet sich in der Routine: Jede sauber konfigurierte Sitzung ist ein Beleg zu Ihren Gunsten. Der Remote-Support von Ubidesk ist genau darauf ausgelegt, und die Lösung für Homeoffice bündelt die Maßnahmen in einem Ablauf. Prüfen Sie die Kriterien vor dem Einsatz, nicht danach: Ein Anbieterwechsel mitten im Betrieb ist selbst ein Compliance-Risiko. Für Fachbegriffe lohnt ein Blick ins Glossar.