Zu den Schutzmaßnahmen, die die Datenschutz-Grundverordnung (DSGVO) fordert, gehört auch der Schutz
der Daten vor Vernichtung. Dass jemand aus Versehen personenbezogene Daten vernichtet, ist noch einzusehen.
Aber wie kann es sein, dass jemand absichtlich Daten vernichtet?

Welches sind die wichtigsten Punkte, die Datenschutzbeauftragte und Verantwortliche prüfen müssen, bevor sie sich für einen Messenger-Dienst einscheiden?

Im besten Fall sind Datenschutzbeauftragte (DSB) im Vorfeld beteiligt, wenn ein Verantwortlicher einen Messenger auswählt und einführt. Doch auch wenn Sie bereits einen Dienst vorfinden, gilt es, die folgenden Aspekte aus Datenschutzsicht zu prüfen.

Im Gegensatz zu den unbewusst handelnden Innentätern (siehe Heft 11/21) stoßen wir bei den bewusst handelnden die Tür zu illegalen bzw. zu kriminellen Akten auf. Gar nicht so selten wird dann die Staatsanwaltschaft aktiv. Welche Typen gibt es, wie erkennt man diese Täter, was lässt sich im Vorfeld gegen sie tun?

Viele Beschäftigte wünschen sich, auch im beruflichen Umfeld Messenger nutzen zu können. Dafür müssen aber zahlreiche Punkte im Vorfeld geklärt sein. Zunächst die rechtliche Grundlage. Dann: Was soll der Messenger können, wofür soll er genau zum Einsatz kommen?

Wann wurde in Ihrer Organisation das letzte Mal über Innentäter gesprochen? Falls Sie sich nicht erinnern können: War das überhaupt schon einmal Thema? Ist man sich des Risikos bewusst oder wird es verdrängt? Da etwa zwei Drittel der Angriffe von innen erfolgen, setzen Sie den Punkt unbedingt auf die Tagesordnung.

Wie verhindern Verantwortliche, dass es bei Wartungsarbeiten zu Datenpannen kommt, weil Techniker auf Daten zugreifen, die nicht für sie bestimmt sind? Wir stellen weitere Maßnahmen zur Absicherung der Fernwartung vor und beleuchten, wie es sich mit der Sicherheit bei IoT-Geräten verhält.

Maschinen in der Produktion müssen gewartet werden. Dazu sind entweder Wartungsintervalle vorgegeben oder es erfolgt eine Ad-hoc-Wartung, wenn es zu einer Störung kommt. Wie verhindern Verantwortliche, dass es dabei zu Datenpannen kommt, weil Techniker auf Daten zugreifen, die nicht für sie bestimmt sind?

Jeder kann nach Wartungsarbeiten plötzlich die Gehaltsabrechnung aller anderen Kolleginnen und Kollegen einsehen – was ist da bloß passiert? Lesen Sie, wie Sie solche Datenschutzvorfälle umschiffen.

Wie überwacht der DSB den Datenschutz im Homeoffice? Denn grundsätzlich ist ja bei einer Begehung z.B. das Grundrecht der Unverletzlichkeit der Wohnung zu beachten oder Hygienevorschriften. Wie so oft derzeit gilt auch hier: besser virtuell als gar nicht.

Ein Kollege ist krank. Sein Vorgesetzter leitet die Information weiter – aus Versehen per Mailverteiler an alle Empfänger im Unternehmen. Wie lassen sich solche Datenschutzpannen effektiv verhindern?

So gut wie alle Unternehmen haben Kundenkontakt. Früher oder später trifft die heute übliche Eigenart, alles Mögliche zu filmen und zu posten, daher auch jeden Betrieb und jede Behörde. Bereiten Sie Ihre Kolleginnen und Kollegen mit den folgenden Hinweisen auf diese Situation vor.

Auch wenn Beschäftigte gut geschult sind: Verantwortliche können sich nicht darauf verlassen, dass niemand mehr auf gefährliche Links klickt. Technische Maßnahmen müssen daher die Sensibilisierung flankieren.

Trojaner der neuesten Generation sind eine möglicherweise existenzbedrohende Gefährdung für Unternehmen. Sensibilisierte Mitarbeiter sind das A & O, um solchen Angriffen keine Chance zu geben.

Um kontrollieren zu können, ob eine Verarbeitungstätigkeit die datenschutzrechtlichen Anforderungen erfüllt, reicht meist der eher kurze Überblick im Verzeichnis der Verarbeitungstätigkeiten nicht aus. Daher heißt es, die Prozesse einer näheren Beschreibung zu unterziehen und sie detaillierter zu prüfen.

Kontrollieren Sie als Datenschutzbeauftragte oder Datenschutzbeauftragter vor Ort die Arbeitsplätze, gilt es, eine Menge Details unter die Lupe zu nehmen. Darunter findet sich Vieles, an das Sie vielleicht nicht auf den ersten Blick denken.

Ein DSB, der nicht auch einmal vor Ort erscheint und einen Blick auf die Praxis wirft, kann seinen umfangreichen gesetzlichen Aufgaben kaum nachkommen, gerade was die Kontrolle betrifft. Daher gilt: Schauen Sie öfter mal genau hin!

Der Auftakt hat geklappt. Das Kick-off-Meeting ist erfolgreich über die Bühne gegangen. Als DSB benötigen Sie jetzt umfangreiche Informationen: Kennen müssen Sie v.a. die Prozessabläufe und welche personenbezogenen Daten dabei für welche Zwecke auf welcher Rechtsgrundlage verarbeitet werden.

„Herzlichen Glückwunsch! Sie sind der/die neue Datenschutzbeauftragte der abc-GmbH! Wann können Sie loslegen, und womit beginnen wir?“ Hören Sie das, haben Sie den interessantesten Job der Welt angetreten …

USB-Sticks sind als Massenspeicher auf der einen Seite überaus praktisch. Auf der anderen Seite sind sie eine nicht zu unterschätzende Gefahrenquelle für Datenschutz und IT-Sicherheit. Welche Möglichkeiten gibt es, Risiken zu minimieren?

Ein Unternehmen sucht eine IT-Führungskraft. Es melden sich nur wenige Bewerber, darunter jemand, der noch in den USA arbeitet. Er bietet an, die Gespräche per Skype for Business zu führen. Der Verantwortliche bittet seinen DSB, zu prüfen, welche Voraussetzungen zu erfüllen sind.

Viele Datenpannen, die Verantwortliche derzeit an die Aufsichtsbehörden melden, sind Fehlversendungen von Unterlagen mit personenbezogenen Daten. Besonders fehleranfällig sind dabei E-Mails.

Die meisten Datenpannen, die Verantwortliche derzeit an die Aufsichtsbehörden melden, sind Fehlversendungen von Unterlagen mit personenbezogenen Daten. Zweifellos also ein wichtiges Thema für Schulungen, aber auch für die Geschäftsprozesse, die dahinterstecken.

Sind Monitore für Unbefugte einsehbar, müssen Beschäftigte sie vor unliebsamen Blicken schützen. Bildschirmsperren und Blickschutzfolien sind dabei immer noch die wichtigsten Helfer.

Derzeit stehen AV-Verträge hoch im Kurs. Es lohnt jedoch ein Check, ob es sich tatsächlich um Auftragsverarbeitung handelt. In vielen Fällen kommt man nämlich auch mit geringerem Aufwand zu einem sauberen Ergebnis.

Was sich trivial anhört, ist doch einer der Klassiker: Wer kennt nicht die vergessenen Kopien oder Unterlagen? Die vertraulichen Schreiben, die aus Versehen an eine externe Faxnummer oder E-Mail-Adresse gingen?

Bietet sich partout keine andere Rechtsgrundlage für eine Datenverarbeitung, bleibt als letzte Möglichkeit die Einwilligung. Hier warten allerdings so einige Stolpersteine, die es zu beachten gilt.

Wer bisher dafür gesorgt hat, dass eingeholte Einwilligungen rechtskonform sind, ist auch für die DSGVO schon auf einem guten Weg. Im Idealfall suchen sich Verantwortliche aber eine andere Rechtsgrundlage.

Die Datenlöschung ist ein wesentlicher Bestandteil der Betroffenenrechte, die die DSGVO zukünftig noch stärker betont. Ein durchdachtes Löschkonzept ist also wichtiger denn je. Was gehört alles dazu?

Sind die Hardware-Komponenten und alle Software-Systeme inventarisiert, beginnt für Datenschutzbeauftragte erst die eigentliche Arbeit: Es gilt, alle datenschutzrechtlichen Fragen zu klären, die im Zusammenhang mit Software oder Hardware entstehen, etwa bei der Wartung.

Provokante Frage für Datenschutzbeauftragte: Glauben Sie, dass Sie eine realistische Chance haben, jemals einen vollständigen Überblick über alle im Unternehmen vorhandenen und zum Einsatz kommenden Programme zu haben?

Kaum ein Unternehmen verfügt über eine aktuelle und v.a. vollständige Liste der gesamten Hardware. Zu oft können DSBs so ihren Prüfungspflichten – gleich ob nach BDSG oder DSGVO – nur schwer nachkommen. Ändern Sie diesen Zustand.

Unternehmen verarbeiten wesentlich mehr Gesundheitsdaten, als sie gemeinhin denken. Verschaffen Sie sich als DSB in einem Audit einen Überblick.

Operationslisten, Bewerbungsmappen, Passwörter, … – das und vieles mehr können Sie bei einer Vor-Ort-Kontrolle in Besprechungsräumen finden. Worauf müssen Sie achten?

Fragt man im Personalbereich nach Gesundheitsdaten, heißt es in der Regel: „Bei uns gibt es keine!“ Auf den Arbeitsunfähigkeits-Bescheinigungen stehen ja keine Diagnosen. Die Daten aus der arbeitsmedizinischen Betreuung hat nur der Arbeitsmediziner, und sonst – so glauben viele Beschäftigte – gibt es keine Gesundheitsdaten. Das kann ein fataler Trugschluss sein. Lesen Sie, auf welche Gesundheitsdaten Sie stoßen könnten und wie Sie sich einen Überblick verschaffen.

Die Mai-Ausgabe hat sich mit einem Teilbereich der Videoüberwachung beschäftigt: der Kennzeichnung. Nun geht es um das große Ganze. Auf welche Punkte müssen Sie ein Auge haben? Und zwar am besten höchstpersönlich vor Ort. Denn Papier ist bekanntlich geduldig.

Wo gehobelt wird, da fallen Späne – und wo ein Büro ist, da fallen Daten an. Bei der täglichen Arbeit im Büro gibt es viele kleine und große Datenschutzfallen. Das Gemeine dabei ist, dass sie den dort tagtäglich Arbeitenden kaum auffallen. Besuchern dagegen schon. Beschäftigen Sie sich als Datenschutzbeauftragter also auch mit den kleinen Datenschutzfallen im Büro.