Dokumentations-Erweiterungen im Browser: die Prüfung, die IT und Datenschutz verlangen

Die Erweiterung ist das Produkt: Sie drücken im Browser auf Aufnahme, klicken den Prozess einmal durch, und am Ende steht eine Anleitung. Genau daran scheitert der Kauf regelmäßig an IT und Informationssicherheit. Ein Werkzeug, das jeden Bildschirm in ein Dokument verwandeln kann, kann konstruktionsbedingt auch jeden Bildschirm lesen. Dieses Gespräch läuft schlecht am Ende der Beschaffung und gut, wenn Sie mit den Antworten hineingehen.

Offenlegung: Wir bauen Loopyback, ein in der EU (Belgien) gehostetes Dokumentationswerkzeug mit Chrome-Erweiterung. Wir sind nicht neutral. Alles Folgende ist so geschrieben, dass Sie es genauso gut gegen uns richten können wie gegen jeden anderen Anbieter.

Die Berechtigungen lesen, nicht die Verkaufsunterlagen

Die Installationswarnung von Chrome ist bewusst beunruhigend. "Alle Ihre Daten auf allen Websites lesen und ändern" ist schlicht, wie eine breite Host-Berechtigung von außen aussieht; was die Erweiterung damit tut, sagt der Satz nicht. Fordern Sie den Berechtigungsblock der `manifest.json` an — die Datei liegt in jeder veröffentlichten Erweiterung offen. Wer hier zögert, beantwortet eine andere Frage als die gestellte.

Manifest V3 hat die blockierende `webRequest`-API entfernt. Das begrenzt, was eine Erweiterung mit Ihrem Datenverkehr tun kann, nicht was sie auf einer Seite liest. "Wir sind MV3" ist keine Antwort auf eine Datenschutzfrage.

Vier Fragen, die die Berechtigungsliste nicht beantwortet

Wann beginnt und endet die Erfassung? Erfasst wird nur zwischen explizitem Start und Stopp, oder läuft ein rollierender Puffer, damit die Aufnahme sich "sofort" anfühlt? Schriftlich beantworten lassen.

Wohin geht der Screenshot, und wann wird geschwärzt? Wird erst serverseitig geschwärzt, ist das ungeschwärzte Original übertragen und irgendwo geschrieben worden. Schwärzung im Browser vor dem Upload hält es aus der Kette heraus: der Unterschied zwischen einem und zwei Verarbeitungsvorgängen.

Was ist standardmäßig ausgeschlossen? Die meisten Anbieter erklären, Passwortfelder nicht zu erfassen. Tango etwa erklärt öffentlich, weder Tastatureingaben noch Text in Passwortfeldern zu erfassen, und weist zugleich darauf hin, nicht steuern zu können, was Nutzende bewusst aufnehmen. Der zweite Teil ist der ehrliche und gilt für jedes Werkzeug dieser Kategorie, unseres eingeschlossen.

Wer ist Verantwortlicher, wer Auftragsverarbeiter? Für alles, was Ihre Beschäftigten aufzeichnen, sind Sie Verantwortlicher. Daraus folgen AVV, aktuelle Unterauftragsverarbeiter-Liste und eine klare Auskunft zum Speicherort.

Die europäische und die deutschsprachige Ebene

Art. 28 DSGVO. Kein Auftragsverarbeitungsvertrag, kein Kauf. Ist die Liste der Unterauftragsverarbeiter veröffentlicht und versioniert statt "auf Anfrage"? Werden Änderungen vorab mitgeteilt, mit Widerspruchsrecht?

Art. 35 DSGVO. Die deutschen Aufsichtsbehörden haben nach Art. 35 Abs. 4 DSGVO Muss-Listen veröffentlicht. In der Liste für den nicht-öffentlichen Bereich steht unter anderem die umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, mit der zentralen Aufzeichnung von Aktivitäten am Arbeitsplatz als Beispiel. Ob Ihr Einsatz darunter fällt, hängt an Umfang und Ausgestaltung, und die Länderlisten unterscheiden sich: Klären Sie, welche Fassung Ihre Aufsichtsbehörde anwendet. Kalkulieren Sie die Datenschutz-Folgenabschätzung lieber ein, als sie wegzudiskutieren.

§ 87 Abs. 1 Nr. 6 BetrVG. Besteht ein Betriebsrat, ist die Einführung technischer Einrichtungen mitbestimmungspflichtig, die geeignet sind, Verhalten oder Leistung zu überwachen. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt die objektive Eignung, eine Überwachungsabsicht ist nicht erforderlich. Bildschirmaufzeichnung erfüllt das ohne Umschweife. Der Ablauf steht in Mitbestimmung des Betriebsrats bei Dokumentationssoftware; er läuft meist parallel zur DSFA und dauert länger. In Österreich klären Sie mit Ihrer Rechtsabteilung, ob eine nach ArbVG zustimmungspflichtige Kontrollmaßnahme vorliegt.

NIS2. Deutschland hat die Richtlinie mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, in Kraft seit dem 6. Dezember 2025; Aufsichts- und Meldebehörde ist das BSI. § 30 Abs. 2 BSIG nennt die Mindestmaßnahmen, darunter ausdrücklich die Sicherheit der Lieferkette. Ein Dokumentationsanbieter verwahrt Anleitungen zu Ihren Zugriffs- und Notfallverfahren; als wichtige oder besonders wichtige Einrichtung haben Sie ihn damit in der Lieferkette — siehe NIS2 und Sicherheitsverfahren dokumentieren. Für Österreich gilt das NISG 2026, im Dezember 2025 beschlossen und zeitversetzt in Kraft tretend; prüfen Sie Stand und Registrierungsfristen.

Zu Drittlandtransfers: US-Hosting ist keine Sackgasse, sondern eine Frage nach Kapitel V DSGVO. Fragen Sie nach dem Transferinstrument, nach einer Zertifizierung unter dem EU-US Data Privacy Framework und nach dem Ergebnis des Transfer Impact Assessment. EU-Hosting beseitigt die Frage, statt sie zu beantworten — ein Argument über Papierlage und Kontrolle, kein politisches.

Maßnahmen ohne Mitwirkung des Anbieters

Mit Chrome Enterprise schränken Sie eine freigegebene Erweiterung ein, statt pauschal zu vertrauen. Die Richtlinie heißt `ExtensionSettings`.

`runtime_blocked_hosts` wird am seltensten genutzt. Es macht aus "wir vertrauen dem Anbieter" den Satz "die Erweiterung kann das HR-System technisch nicht sehen", und der lässt sich vor Betriebsrat und Datenschutzbeauftragtem leichter vertreten. Ergänzend verlangen die zum 1. August 2026 wirksamen Chrome-Web-Store-Richtlinien, dass nur Daten erhoben werden, die für den offengelegten Einzelzweck zwingend erforderlich sind, und dass Änderungen der Datenverarbeitung auch nach der Installation offengelegt werden.

Wo Loopyback ehrlicherweise steht

Wir hosten in der EU, in Belgien, und erkannte personenbezogene Daten werden im Browser geschwärzt, bevor der Screenshot hochgeladen wird. Preise in Euro: kostenloser Plan, 16 € pro Monat für Einzelpersonen, 24 € pro Platz für Teams. Zur Einordnung gegenüber anderen europäischen Anbietern: Übersicht europäischer SOP-Software.

Was wir nicht tun: Wir sind kein Enterprise-Browser und keine Governance-Plattform für Erweiterungen, wir bieten keinen On-Premise-Betrieb, und unsere Schwärzung arbeitet musterbasiert. Strukturierte Kennungen erkennt sie zuverlässig, frei geschriebene Namen in einem Support-Ticket deutlich weniger. Dafür gibt es die manuelle Schwärzung — und jeder Prozess, der Bildschirme aufzeichnet, braucht vor der Veröffentlichung eine menschliche Kontrolle.

Häufige Fehler

Einmal freigeben und nie erneut prüfen. Erweiterungen aktualisieren sich automatisch; der geprüfte Build ist nicht der des nächsten Quartals.

Die Installationswarnung für die Risikobewertung halten. Sie beschreibt Fähigkeiten, nicht Verhalten, und liest sich bei sorgfältigen wie bei nachlässigen Anbietern gleich.

Die DSFA überspringen, weil "die Beschäftigten selbst starten". Eine Einwilligung im Beschäftigungsverhältnis ist selten tragfähig, und Freiwilligkeit ändert nichts an der Systematik.

Jede Abteilung installiert ihr eigenes Werkzeug. Drei Erweiterungen bedeuten drei Auftragsverarbeiter, drei AVV und niemanden, der die Prüfung verantwortet.

SOC 2 als Antwort auf die DSGVO-Frage nehmen. Ein Kontroll-Audit sagt nichts über Rechtmäßigkeit, Speicherort oder Unterauftragsverarbeiter. Beides ist nützlich, keines ersetzt das andere.

FAQ

Ist es keine Überwachung, wenn Beschäftigte selbst auf Aufnahme drücken?

Nicht allein deshalb. Für die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG kommt es auf die objektive Eignung zur Überwachung an, nicht auf die Absicht des Arbeitgebers.

Können wir die Browser-Erweiterung ganz vermeiden?

Manche Anbieter bieten Desktop-Anwendung oder manuellen Upload. Das tauscht ein Risiko gegen ein anderes, denn ein Desktop-Agent sieht mehr, nicht weniger. Gewonnen ist nur, dass er nicht in derselben Browsersitzung sitzt wie Ihre SaaS-Zugangsdaten.

Daten sind verschlüsselt übertragen und gespeichert. Reicht das?

Notwendig, nicht hinreichend. Verschlüsselung adressiert Vertraulichkeit gegenüber Dritten, sagt aber nichts darüber, wo die Daten liegen, wer beim Anbieter zugreifen kann und welche Unterauftragsverarbeiter beteiligt sind.

Was gehört spezifisch für diese Werkzeugklasse in die DSFA?

Auslöser der Erfassung, Ort der Schwärzung (Browser oder Server), Aufbewahrungsfrist für etwaige ungeschwärzte Originale, Freigabemodell veröffentlichter Anleitungen und die Liste der Systeme, auf denen die Erweiterung laufen darf. Beim letzten Punkt zahlt sich `runtime_blocked_hosts` aus.