Orientieren Sie sich an der Zielgruppe
Bei allen Awareness-Aktivitäten sollten Sie einen schlauen Spruch beherzigen: Der Köder muss dem Fisch schmecken und nicht dem Angler. So ist es auch, wenn Sie Datenschutzwissen an den Mann oder die Frau in der IT-Abteilung bringen wollen.
Überlegen Sie zunächst, welchen Bedarf es gibt und wie Sie beim Vermitteln am besten vorgehen können. Sind Sie sich hier unsicher, gibt es eine ganz einfache Möglichkeit, um Licht ins Dunkel zu bringen:
Fragen Sie neben den zuständigen Führungskräften auch die „normalen“ Mitarbeiter. Das kann nicht nur Themen hervorbringen, die Sie bislang nicht auf Ihrer Liste hatten. Eventuell fallen die Sichtweisen von Führungskräften und Mitarbeitern auseinander
Sensibilisieren Sie die IT-Abteilung für Ihr Thema
In der IT-Abteilung arbeiten häufig Profis und Spezialisten, die sich mit ganzem Herzen dafür einsetzen, die beste Lösung für eine meist technische Herausforderung zu finden.
Manchmal empfinden sie den Datenschutz vielleicht als etwas Störendes, das Kosten verursacht und eine effektive Lösung zu erschweren scheint.
Hier ist es wichtig, dass Sie nicht mit Unverständnis reagieren. Besser beraten sind Sie, wenn Sie die Interessenlage der Kollegen nachvollziehen.
Zeigen Sie aber dennoch auf, dass es sich für alle Beteiligten lohnt, im Datenschutz an einem Strang zu ziehen.
Sie sind kein Spielverderber
Für die Kollegen ist vielleicht nicht klar, welche Rolle Sie spielen. Machen Sie klar: Sie sind Berater, Wissensvermittler und Kontrolleur im Datenschutz. Dabei berücksichtigen Sie einerseits die Interessen der Betroffenen und lassen andererseits dennoch nicht die wirtschaftlichen Aspekte des Unternehmens außer Acht. Müssen Sie zu etwas Nein sagen, ist das keine Gängelei. Vielmehr tragen Sie dazu bei, dass sich Ihr Unternehmen regelkonform und gesetzestreu verhält. Nimmt man es mit Recht und Gesetz nicht so genau, rächt sich das meist – mal früher, mal später. Gewonnen ist am Ende jedoch nichts. Im Gegenteil: Verstöße bedeuten in der Regel viel Arbeit, Ärger und Kosten.
Backen Sie zunächst kleine Brötchen
Wollen Sie bei der IT-Abteilung für ein Grundverständnis für den Datenschutz sorgen, müssen Sie nicht gleich mit einer längeren Schulung für die Mitarbeiter starten. Das kann eher schaden als nutzen, gerade wenn die Zielgruppe etwas schwierig ist oder mit dem Thema an sich fremdelt. Beginnen Sie hier lieber mit einer kurzen Information.
Klären Sie per E-Mail über einige grundlegende Aspekte auf, die jeder beachten sollte, der mit personenbezogenen Daten zu tun hat. Doch auch eine kurze Schulung haben Sie mit dem Muster schnell erstellt.
Verwenden Sie für jeden Tipp eine Folie und fassen Sie den Text in Aufzählungspunkten zusammen. Im Handumdrehen können Sie loslegen und bei den Kollegen Awareness schaffen.
Musterschreiben: 7 Tipps zum Datenschutz
Liebe Kolleginnen und Kollegen,
bei der Mustermann GmbH legen wir großen Wert auf den Schutz aller Daten, beispielsweise die unserer Kunden und Beschäftigten. Aber auch unsere Unternehmensinformationen und Geschäftsgeheimnisse sind schützenswert.
Als Mitarbeiter der IT-Abteilung kommt Ihnen hier besondere Verantwortung zu. Schließlich unterstützen Sie alle im Unternehmen bei der Verarbeitung von Daten, indem Sie Systeme, Datenbanken, Hard- und Software entwickeln und/oder bereitstellen. Auch Sie können viel dazu beitragen, dass alles in bester Ordnung ist.
Damit Ihnen das auch im Arbeitsalltag leicht von der Hand geht, möchte ich Ihnen einige Tipps vorstellen. Orientieren Sie sich an den Tipps und das Thema Datenschutz ist gar nicht so kompliziert, wie es vielleicht auf den ersten Blick erscheint.
Tipp 1: Bedenken Sie immer: Alle tragen Verantwortung
Die Verantwortung für den Datenschutz und damit die Einhaltung der Datenschutz- Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes trifft nicht nur das Unternehmen an sich. Wir alle sind das Unternehmen.
Daher müssen wir und auch Sie im Rahmen Ihrer Aufgaben darauf achten, dass das Unternehmen und Sie den gesetzlichen und betrieblichen Anforderungen gerecht werden. Dabei ist klar: Wenn es zu Datenschutzverstößen kommt, ist das für das Unternehmen und alle Beteiligten immer ein Problem.
Haben Sie den Verstoß verursacht, müssen Sie die Verantwortung dafür übernehmen. Sind die Verstöße oder Ihr Fehlverhalten besonders schwerwiegend, können arbeitsrechtliche Konsequenzen, Bußgelder oder Schadensersatzforderungen auf Sie zukommen.
Tipp 2: Ohne Rechtsgrundlage keine Verarbeitung
Besonders wichtig ist die datenschutzrechtliche Regel, dass es für jede Verarbeitung personenbezogener Daten einer Erlaubnis, sprich einer Rechtsgrundlage, bedarf. Nur wenn eine Rechtsgrundlage das Verarbeiten´personenbezogener Daten vorschreibt oder erlaubt, ist dies zulässig.
Rechtsgrundlagen finden Sie beispielsweise in Art. 6 DSGVO.
Tipp 3: Ohne Zweck keine Verarbeitung personenbezogener Daten
Auch wenn mit künstlicher Intelligenz vieles machbar scheint: Einfach personenbezogene Daten sammeln oder verarbeiten – das ist datenschutzrechtlich nicht drin.
Generell müssen schon bei der Datenbeschaffung die Zwecke festgelegt sein, für die das Verarbeiten erfolgen soll.
Und diese festgelegten Zwecke sind verbindlich. Von wenigen Ausnahmen abgesehen, dürfen die für einen bestimmten Zweck verarbeiteten Daten nicht für andere Zwecke verwendet werden. Hinterfragen Sie also immer: Wofür werden die Daten gebraucht? Ist der Zweck (rechtlich) in Ordnung?
Tipp 4: Weniger ist mehr
Es gibt Grundprinzipien, die bei jeder Verarbeitung personenbezogener Daten zu beachten und einzuhalten sind. Diese ergeben sich aus Art. 5 DSGVO. Besonders wichtig für Ihre Arbeit ist der Grundsatz der Datenminimierung. Der ist schnell erklärt: Je weniger personenbezogene Daten verarbeitet werden, desto besser.
Gestalten Sie beispielsweise ein Registrierungsformular für die Webseite, überlegen Sie bitte kritisch, welche Informationen für den verfolgten Zweck wirklich nötig sind. Mindestens genauso wichtig ist: Auch im Hinblick auf Berechtigungen fahren Sie gut mit dem Minimalprinzip.
Nur wer wirklich Kenntnis von bestimmten Informationen benötigt, sollte auch entsprechenden Zugriff erhalten (Need-toknow-Prinzip).
Tipp 5: Datenschutzfreundlichkeit ist das A und O
Wie gut Datenschutz funktioniert, haben auch Sie in der Hand. Geht es um die Entwicklung und die Gestaltung von Datenverarbeitungsverfahren, sollten Sie ein Auge auf Art. 25 DSGVO haben. Dieser macht „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ zur Pflicht.
Das heißt: Datenverarbeitungsverfahren, etwa Apps, Webseiten oder Datenbanken, müssen so gestaltet werden, dass es problemlos möglich ist, den Betroffenenrechten gemäß Art. 12 ff. DSGVO zu entsprechen.
Diese Betroffenenrechte (z. B. auf Auskunft und Löschung) sind unabdingbar und dürfen nicht ignoriert oder ausgeschlossen werden. Außerdem sollten Sie Wahlmöglichkeiten und Voreinstellungen so gestalten, dass sie dem Datenschutz am besten entsprechen – auch hier gilt das Minimalprinzip.
Tipp. 6: Sicherheit ist wichtig, wichtig, wichtig!
Dass Daten angemessen geschützt werden müssen, kann nicht genug betont werden. Dabei müssen die technischen und organisatorischen Schutzmaßnahmen Hand und Fuß haben. Sie müssen einerseits risikoangemessen sein.
Andererseits müssen sie dem Stand der Technik entsprechen, um etwa Cyberkriminellen das Leben möglichst schwer zu machen. Daher gilt: Je schutzwürdiger oder sensibler die Informationen sind, desto mehr müssen wir alle zu deren Schutz unternehmen.
Die Sicherheit darf nie auf die leichte Schulter genommen werden oder aus Praktikabilitäts- oder Kostengründen auf der Strecke bleiben.
Tipp 7: Ihr Beitrag ist besonders wichtig
Daten zu schützen ist keine einmalige Sache, sondern ein fortlaufender Prozess. Das gilt für uns alle. Hinterfragen Sie regelmäßig, ob Daten noch angemessen geschützt sind, ob beispielsweise Zugriffsrechte noch den Erfordernissen entsprechen. Überlegen Sie auch, was wir besser machen
können. Haben Sie Ideen zur Verbesserung des Datenschutzes, greifen Sie zum Telefonhörer. Ich bin auf Ihre Vorschläge gespannt. Übrigens: Bei Fragen zum Datenschutz stehe ich Ihnen gerne mit Rat und Tat zur Verfügung!
Ihr Datenschutzbeauftragter
Dennis Platz
