Wie Unternehmen sensible Daten gesetzeskonform schützen

Anbieter zum Thema

SYMA-SYSTEM AG

Ramseier

Wegmüller AG

DHPG Dr. Harzem & Partner mbB

conovo media GmbH

Schon einfache Schutzvorkehrungen können große Wirkung haben

Schon einfache Schutzvorkehrungen können eine große Wirkung haben. Nur befugte Mitarbeiter sollten Zutritt zu Büros haben, in denen Daten aufbewahrt und verarbeitet werden. Zunächst geht es um physische Schutzmaßnahmen. Unternehmen sollten dafür sorgen, dass die Räume abschließbar sind. Zudem ist dafür Sorge zu tragen, dass Datenverarbeitungssysteme nicht von Unbefugten genutzt werden können. Konkret heißt das, dass etwa die Rechner mit Passwörtern abgesichert und diese Zugangscodes sicher aufbewahrt werden.

Außerdem ist darauf zu achten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten nur auf die für sie bestimmten Daten zugreifen können. Es ist sicherzustellen, dass Personendaten bei der elektronischen Übertragung, während ihres Transports oder ihrer Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Bei der Weitergabe von Daten muss nachvollziehbar gemacht werden, an welche Stellen personenbezogene Daten übermittelt werden. Damit nicht genug: Wenn personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, muss erkennbar sein, wer dies wann veranlasst hat. Bei dieser sogenannten Eingabekontrolle geht es um die Nachvollziehbarkeit von Datenzugriffen und Änderungen.

Auftragsdatenverarbeitung bedarf der Verfügbarkeitskontrolle

Bei der Auftragsdatenverarbeitung sind weitere Punkte zu beachten. Es ist sicherzustellen, dass personenbezogene Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Die sogenannte Verfügbarkeitskontrolle soll dafür sorgen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Konkret bedeutet dies, Maßnahmen zur Datensicherung, zum Virenschutz oder für Notfälle zu ergreifen. Zu unterschiedlichen Zwecken erhobene Daten müssen getrennt verarbeitet werden können.

Das Bundesdatenschutzgesetz schreibt auch vor, wann Unternehmen einen Datenschutzbeauftragten (DSB) bestellen müssen. Grundsätzlich ist dieser einen Monat nach Aufnahme der Tätigkeit zu bestellen. Ein Datenschutzbeauftragter ist ab einer dauernden Beschäftigung von mehr als neun Personen bei der automatisierten Verarbeitung von personenbezogenen Daten verpflichtend, bei der nicht automatisierten Verarbeitung der entsprechenden Daten ab einer Zahl von 20 mit der Verarbeitung beschäftigten Personen.

Kleinere Unternehmen sind somit nicht verpflichtet, eine Person als Datenschutzbeauftragten einzusetzen. Das entbindet sie jedoch nicht vom Datenschutz. Bei kleineren Betrieben ist der Unternehmer selbst in der Pflicht, die gesetzlichen Vorschriften zu beachten und einzuhalten.

Nicht nur IT-Mitarbeiter können zum Datenschutzbeauftragten ernannt werden

DerDatenschutzbeauftragte kann sowohl extern beauftragt werden als auch aus dem Unternehmen selber stammen (betrieblicher Datenschutzbeauftragter). Voraussetzung ist, dass die Person über das notwendige Fachwissen und Zuverlässigkeit verfügt und in keinem Interessenkonflikt zu der Tätigkeit steht.

Insbesondere muss der Datenschutzbeauftragte das Datenschutzrecht sowie die Grundzüge der automatisierten Datenverarbeitung kennen. Eine Fachausbildung ist vom Gesetzgeber nicht vorgeschrieben, deshalb können nicht nur IT-Mitarbeiter zum Datenschutzbeauftragten ernannt werden. Zu beachten ist bei intern bestellten Datenschutzbeauftragten, dass kein Interessenkonflikt mit den anderen Aufgaben im Unternehmen entstehen darf.

Deshalb kann etwa ein Geschäftsführer die Aufgabe nicht selbst übernehmen, da er sich ansonsten selbst kontrollieren müsste. Ähnliches gilt für Leiter der EDV, der Personalabteilung oder den Vertriebsleiter. Hat die Geschäftsleitung einen Datenschutzbeauftragten gefunden, so muss dieser mit einem schriftlichen Bestellungsschreiben ernannt werden.

Verstöße gegen das Datenschutzgesetz können folgenschwer sein

Die wesentliche Aufgabe des Datenschutzbeauftragten besteht darin, dass das Bundesdatenschutzgesetz und andere relevante Datenschutzvorschriften beachtet werden. Verstöße gegen das Datenschutzgesetz können folgenschwer sein.

Neben zusätzlichen Verfahrens- und Aufsichtsbefugnissen sieht das reformierte Bundesdatenschutzgesetz nicht nur eine Reihe neuer Ordnungswidrigkeiten vor, sondern hebt auch den Bußgeldrahmen auf bis zu 300.000 Euro pro Verstoß an. Bereits die Nichtbestellung eines Datenschutzbeauftragten kann bis zu 50.000 Euro kosten. Zudem gibt es erstmals die Möglichkeit, Gewinne abzuschöpfen, die mit einer unbefugten Datenweitergabe erzielt wurden.

* Markus Feinendegen ist Rechtsanwalt, Fachanwalt für Steuerrecht und gewerblichen Rechtsschutz bei der Kanzlei DHPG in 53175 Bonn.

(ID:34280930)