LibreOffice-DSGVO-Konformität

ENTWURF!
Diese Beschreibung ist in Arbeit

Vorwort

DSGVO ist die Abkürzung für Datenschutz-Grundverordnung.

Viele Anwenderinnen und Anwender von LibreOffice stellen die Frage: Ist LibreOffice DSGVO konform?

Da es hier keine einfache Antwort gibt, wurde das Thema auf der discuss-Mailingliste befragt.

Die Antworten sind weiter unten als "Inhalte aus den E-Mail-Antworten" und den "Links der E-Mails aus dem Archiv" aufgeführt.

Jemand mit fundierten Kenntnissen sollte bitte daraus möglichst eine gegliederte Gesamtbeschreibung zum Thema entweder hier direkt rein schreiben oder auf der discuss-Mailingliste bereitstellen. Vielen Dank.

DSGVO

Die DSGVO kann abgerufen werden beim Bundesministerium der Justiz:

DSGVO

BSI veröffentlicht Empfehlungen zur sicheren Konfiguration von LibreOffice

Die Empfehlungen des Bundesamt(es) für Sicherheit in der Informationstechnik (BSI):

BSI veröffentlicht Empfehlungen zur sicheren Konfiguration von LibreOffice

LibreOffice-DSGVO-Konformität

...bearbeiteten Text bitte hier einfügen.

Untertitel 1

...bearbeiteten Text bitte hier einfügen.

...und weitere

Bisherige Erkenntnisse

Inhalte aus den E-Mail-Antworten

Hier ohne Bezugnahme des/der Beitragenden.

auf Mastodon hat jemand https://moppels.bar/notes/9efnbh3zo2 die indirekte Frage gestellt:

"Ich vermisse die Zeile, wo steht das Libre Office DSGVO Konform ist, gerade das halte ich im Kontext von Schulen als sehr wichtiges Merkmal"

Scheinbar herscht bei Lehrkäften eine große Unsicherheit. Einerseits möchte man von Microsoft weggehen und möchte vielleicht gerne zu LibreOffice, unter der oben genannten Voraussetzung. Da will nicht jede Lehrkraft irgendwo lange nachlesen bzw. dafür die Verantwortung übernehmen.

Schon wäre ein Menüpunkt (oder Link) in den Komponente bei "Hilfe", in dem eine solche Bestätigung gegeben wird.

Das was ich auf der TDF-Webseite gefunden habe, scheint sich "nur" auf die Webseite selber zu beziehen und nicht auf LibreOffice.

Habe ich etwas übersehen? Ist so etwas umsetzbar?

im ersten Moment dachte ich, da will uns jemand auf den Arm nehmen. Wie kann man für ein Office Programm sagen, es sei (nicht) DSGVO-konform? Aber dann ist es mir eingefallen: Office 365 ist NICHT DSGVO-konform, weil es in der Cloud "liegt", d.h. alle Daten die in entsprechende Office-Dokumente eingegeben werden, landen in der Cloud und diese besteht aus Servern in den USA oder anderen Ländern, die Datenverarbeitung nicht DSGVO-konform betreiben (ganz vorsichtig ausgedrückt, nicht umsonst hat MS gerade zum wiederholten Male den BigBrotherAward für sein Lebenswerk erhalten, mit besonderem Verweis auf Office 365).

LibreOffice hingegen wird immer noch lokal installiert (okay, es gibt online Versionen, ich weiß, die heißen dann aber anders) und ist deswegen so DSGVO-konform, wie die es die Nutzer*innen halt sind bzw. wie sie mit ihren Rechner umgehen.

Leider kann man deswegen m.E. trotzdem pauschal weder sagen, dass LO DSGVO-konform ist, noch dass es das nicht ist. Bei Online-Versionen hängt es noch dazu davon ab, in welcher Umgebung, auf welcher Cloud, etc. sie installiert sind und wo die Server stehen. Oder seht Ihr das anders?

entscheidend ist im Bezug auf Datenschutzkonformität doch, ob von dem Programm Daten abfließen bzw. das Programm mit externen Servern kommuniziert und diese Kommunikation nicht abgestellt werden kann. Das ist doch beispielsweise nicht nur ein Problem mit einem Programm, das in der Cloud auf einem fremden Server läuft, sondern auch in den Fällen, wo ein Programm z.B. Metadaten an einen externen Dienst oder den Hersteller übermittelt und sich dies nicht wegkonfigurieren lässt.

LibreOffice kommuniziert nach meiner Kenntnis allein wegen Updates mit dem entsprechenden Server. Dies lässt sich aber abstellen und beispielsweise in den Versionen der Linux-Distributionen ist dies so eingestellt.

Eine Online-Version von LibreOffice (oder eine auf LibreOffice Technologie basierende Online-Version) kann in der eigenen "Cloud" gehostet werden (z.B. zusammen mit NextCloud) und so datenschutzkonform betrieben werden.

Es besteht keine Notwendigkeit, die Online-Version (und z.B. NextCloud) auf einem fremden Server zu hosten oder als Service bei einem Anbieter einzukaufen (nach meiner Kenntnis gibt es auch das Angebot für eine professionelle Einrichtung / Betreuung von LibreOffice Online Technologie auf einem eigenen Server).

vielleicht sollte in die Beschreibung mit aufgenommen werden (Entwurf) Um LibreOffice DSGVO Konform zu betreiben/installieren , deaktivieren Sie das Autoupdate zu deaktivieren. Wie: "Hier beschrieben"

Vielleicht auch eine Hinweis auf die Empfehlungen des BSI? https://www.allianz-fuer-cybersicherheit.de/Webs/ACS/DE/Home/_/infos/20220819_BSI-CS_146_147.html

DSGVO/GDPR kümmert sich um personenbezogene Daten. Beim Versioncheck werden m.E. keine personenbezogenen Daten gesendet. Insofern spielt das im Kontext DSGVO/GDPR keine Rolle.

Datenschutz findet auf Ebene Benutzung/Betriebsumgebung statt.

---

Zu LibreOffice Online/Collabora Online/CODE hat Andreas ja schon geschrieben. Hier kann der Eigenbetrieb oder der Bezug als SaaS bei einem Provider des Vertrauens mit ADV und Betrieb in EU Konformität herstellen. Da sind einige Anbieter verfügbar: https://www.collaboraoffice.com/collabora-online-hosting-partners/

Der Bezug zu MS muss man im Bereich Online-Anwendung gezogen werden. Da liegt das DSGVO/GDPR-Problem bei MS. Lesenswert aktuell dazu: https://www.golem.de/news/datenschutz-laender-verheimlichen-rechtsgutachten-zu-microsoft-365-2305-173916.html

> DSGVO/GDPR kümmert sich um personenbezogene Daten. Beim Versioncheck werden m.E. keine personenbezogenen Daten gesendet. Insofern spielt das im Kontext DSGVO/GDPR keine Rolle. >

An dieser Stelle möchte ich respektvoll widersprechen. Es werden selbst bei einem Versionscheck personenbezogene Daten wie beispielsweise die IP-Adresse mit versendet (Wie soll der Server sonst wissen, woher die Anfrage gekommen ist?) Außerdem werden Informationen wie beispielsweise das Betriebssystem etc. mit übermittelt.

Gerade bei der Erst-genannten IP-Adresse gibt’s lt. Datenschutz.org <http://datenschutz.org/> (genauer Link => https://www.datenschutz.org/ip-adresse-datenschutz/ <https://www.datenschutz.org/ip-adresse-datenschutz/>) ein Urteil des EuGH, welches die IP-Adresse (sowohl statisch als auch dynamisch) als personenbezogene Daten ansieht.

Wer sich gerne mal genauer mit der Begriffsbestimmung „personenbezogene Daten“ auseinandersetzen möchte, dem verlinke ich mal §46 Abs. 1 (https://dsgvo-gesetz.de/bdsg/46-bdsg/ <https://dsgvo-gesetz.de/bdsg/46-bdsg/>) wo eine gesetzlich festgelegte Definition des Begriffs erfolgt.

> Beim Versioncheck werden m.E. keine personenbezogenen Daten gesendet. Insofern spielt das im Kontext DSGVO/GDPR keine Rolle.

Eine IP-Adresse wird von deutschen Gerichten als pesonenbezogenes Datum aufgefasst. Von daher übermittelt *jede* Kommunikation im Internet personenbezogene Daten.

- Zum Seitenanfang -