Mit einem Fuß im Gefängnis, mit dem anderen auf der Bananenschale
Der Schutz persönlicher Daten wird für die Unternehmen immer wichtiger. Kein Konzern will in einen Datenskandal verwickelt sein. Diesen Datenschutz-Check sollten Unternehmen durchführen.
Wie viele technische und organisatorische Vorkehrungen Unternehmen treffen, sagt viel über den Stellenwert des Datenschutzes aus. Fehlt es an bestimmten Mindestanforderungen, drohen Bußgelder in Höhe bis 300.000 Euro. Die personenbezogenen Daten werden damit leichte Beute für Hacker, Spione und Cyberkriminelle. Und die informationelle Selbstbestimmung der Betroffenen ist gefährdet.
Mit der zu erwartenden EU-Datenschutzgrundverordnung werden die Bußgelder sogar noch steigen. Nach Paragraf 44 Bundesdatenschutzgesetz können Freiheitsstrafen von bis zu zwei Jahren drohen.
Anhand von zehn Merkmalen lässt sich feststellen, wie gut oder schlecht der Datenschutz in einem Unternehmen verankert ist. Auch Mitarbeiter können sich damit ein besseres Bild über das Unternehmen machen, für das sie arbeiten.
1. Horch, wer kommt von draußen rein
Fremde stehen plötzlich im Büro, da kein Empfang vorhanden ist und die Eingangstüren zu den Bürozeiten nicht verschlossen sind. Es ist nicht geregelt, wer Besucher empfängt. Diese stehen unvermittelt im Büro und fragen nach einem Kollegen oder nach dem Namen eines bestimmten Besprechungsraums. Auch wenn in diesen Büroräumen keine personenbezogenen Daten direkt am Computer oder auf den Schreibtischen eingesehen werden können, ist die Geheimhaltung gefährdet.
Lösungsansatz: Kunden und Lieferanten, darunter auch der Pizza-Lieferservice, müssen klingeln und werden von einem verantwortlichen Mitarbeiter im Eingangsbereich abgefertigt beziehungsweise nach einer Identifikation zum gewünschten Kollegen geleitet.
2. Guter Empfang – Freies WLAN für alle
Das Passwort für das Gäste-WLAN (oder noch schlimmer für das Unternehmensnetzwerk) ist im Empfangsbereich oder im Konferenzraum niedergeschrieben. In dieser Situation ist es für das Unternehmen schwierig, im Nachhinein mögliche verbotene Downloads prüfen zu lassen. Reicht der Empfang bis auf die Straße, bietet Wardriving, das unerlaubte Einloggen, eine einfache Gelegenheit, verbotene Aktivitäten über das Unternehmensnetzwerk bequem aus dem Auto durchzuführen.
Lösungsansatz: Falls ein Gästenetzwerk notwendig ist, kann dies ein externer Dienstleister installieren, der im Falle von Rechtsstreitigkeiten die Verantwortung trägt.
3. Keine Ahnung, keine Datenschutzrichtlinie, keine IT-Sicherheitsrichtlinie
Wenn Mitarbeiter nicht wissen, ob Sie die Firmen-E-Mail-Adresse für den privaten Gebrauch benutzen dürfen oder ob die Installation von Software aus dem Internet auf dem Arbeitsplatzrechner erlaubt ist, fehlt es an Regeln und Richtlinien. Dies kann teuer für ein Unternehmen werden. Bei Fehlverhalten von Mitarbeitern fehlen entsprechende Vorschriften.
Lösungsansatz: Erstellen Sie Richtlinien, die die Standard-Fallstricke klären. Lassen Sie diese von Geschäftsleitung und vom Betriebsrat absegnen.
4. Die Personalien bitte: Der Ausweis wird gescannt
Laut Personalausweisgesetz ist das Kopieren oder das Scannen des Personalausweise nicht grundsätzlich verboten, jedoch sind einige Regeln zu beachten: Die Erstellung einer Kopie muss erforderlich sein, aber nicht benötigte Informationen des Personalausweises müssen geschwärzt werden. Der Betroffene ist darauf hinzuweisen.
Lösungsansatz: Beschränken Sie sich auf Sichtkontrolle des Personalausweises oder prüfen Sie ein anderes Ausweisdokument.
5. Fünf sind geladen, 10 sind gekommen, gieß Wasser zur Suppe, heiß alle willkommen
Kein Besucherbuch bedeutet: keine Identifizierung der Gäste. Bei einer später benötigten Rückverfolgbarkeit müssten Kalender des Einladenden mit aufgenommenen Videoaufnahmen verglichen werden. Das bedeutet einen unverhältnismäßig hohen Aufwand.
Lösungsansatz: Ein ausgedrucktes Besucherbuch – bestehend aus den Spalten Unternehmen, Name, Datum, Uhrzeit-Kommt, Zweck, gegebenenfalls Autokennzeichen, Unterschrift Besucher, Uhrzeit-Geht, Unterschrift Mitarbeiter – hilft.
6. Datenschutz macht der Chef
Auch wenn nicht alle Unternehmen einen Datenschutzbeauftragten haben müssen – der Chef darf es jedenfalls nicht sein. Hier gibt es Interessenkonflikte.
Lösungsansatz: Prüfen, ob ein Datenschutzbeauftragter laut Gesetz vorhanden sein muss und falls ja, einen externen Datenschutzbeauftragten beauftragen.
7. Was kostet die Welt: Probleme beim Nutzen von kostenlosen E-Mail-Adressen
Nicht nur bei Anwälten oder Ärzten macht die Verwendung von Freemailern einen unprofessionellen Eindruck. Sie lassen auf eine nicht gut durchdachte oder nicht vorhandene IT-Infrastruktur schließen. Vertrauliche Informationen sind vom Freemailern einsehbar.
Lösungsansatz: Verbot des Einsatzes von Freemailern für die geschäftliche Korrespondenz und Erstellen von E-Mail-Adressen mit der Unternehmensdomain. Schließen einer Auftragsverarbeitung mit dem Provider.
8. Shouldersurfen im Stehen
Die Monitore der Mitarbeiter sind für Dritte einsehbar. Hierbei können Unternehmensfremde die Inhalte auf den Monitoren der Mitarbeiter lesen, ohne dass diese es bemerken. In besonders schlimmen Fällen ist dies sogar von außen möglich. Dieses sogenannte Shouldersurfen ist bei Banken im Bereich der Geldautomaten bekannt.
Lösungsansatz: Monitore drehen, um die Einsicht zu verhindern oder Monitore mit Blickschutzfolien versehen, falls das Drehen nicht möglich ist.
9. Datenverarbeitung auf Zuruf
Verarbeiten externe Dienstleister personenbezogene Daten des eigenen Unternehmens oder kann ein Zugriff nicht ausgeschlossen werden, muss ein Auftragsdatenverarbeitungsvertrag oder – neu nach der EU-Datenschutzgrundverordnung – eine Auftragsverarbeitung geschlossen werden. Ansonsten drohen empfindliche Bußgelder.
Lösungsansatz: Laden einer Vorlage aus dem Internet, prüfen der eigenen technischen und organisatorischen Maßnahmen plus Abschluss einer Auftragsverarbeitung. Wichtig: Prüfen lassen durch den Datenschutzbeauftragten.
10. Keine Verschlüsselung der Kontaktformulare
Bewerber erhalten nur eine E-Mail-Adresse, über die sie sich bewerben können. Mit einem Kontaktformular ohne SSL-Verschlüsselung wird keine sichere Übertragung angeboten. Besonders heikel ist das, wenn über das Kontaktformular Bewerbungsunterlagen hochgeladen werden sollen.
Lösungsansatz: Mit der IT-Abteilung und/oder dem IT-Dienstleister eine SSL-Verschlüsselung realisieren.
Diese Merkmale und noch viele weitere lassen auf einen besonders schlechten Datenschutz schließen. Wer kein Fan von schwedischen Gardinen ist, und auch nicht auf Affensteaks ausrutschen möchte, für den gibt es eine Lösung: Unternehmen, die sich wiedererkennen, können einen Datenschutz-Check durchführen lassen, bei dem auch hier nicht genannte Merkmale geprüft werden, die zu einem großen Schaden führen könnten. Datenschutz-Checks können von einem Datenschutzauditoren über suhling management consulting, suhling.biz, beauftragt werden.
suhling management consulting bietet externe Datenschutzbeauftragung, Managementberatung, Datenschutzaudits, Begleitung zur Zertifizierung und Siegelerteilung durch Implementierung von ISO 9001, ISO 14001, ISO 27001, BDSG, EU-DSGVO und Datenschutzstandards, Integration von Managementsystemen und Auditierung von Managementsystemen.
Kontakt
suhling management consulting – Datenschutz intelligent integriert
Peter Suhling
Nördliche Hauptstraße 1
69469 Weinheim
+49 6201 8725124
info@suhling.biz