☰☖Awareness & SchulungenErstelle, verwalte und absolviere Awareness- und andere Schulungen mit Wissensüberprüfung und Links zu den entsprechenden Prüfungen.

1. Datenschutz beginnt mit der Frage: Um wessen Daten geht es?

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen nicht nur Name und Anschrift, sondern je nach Kontext auch E-Mail-Adresse, Telefonnummer, Kundennummer, IP-Adresse, Standortdaten oder interne Personalinformationen. Mehrere für sich harmlose Angaben können zusammen ebenfalls eine Person identifizierbar machen.

Besonders sensible Daten – beispielsweise Gesundheitsdaten – benötigen erhöhten Schutz. Im Arbeitsalltag betrifft Datenschutz deshalb weit mehr als Personalakten. Auch CRM-Einträge, Supporttickets, Bewerbungsunterlagen, Teilnehmerlisten, Fotos oder Protokolldaten können personenbezogene Informationen enthalten. Die zentrale Denkweise lautet: Daten nicht nur technisch betrachten, sondern immer Zweck, betroffene Personen und mögliche Folgen eines Missbrauchs berücksichtigen.

2. Zweckbindung, Rechtsgrundlage und Datenminimierung

Personenbezogene Daten dürfen nicht einfach gesammelt werden, weil sie vielleicht später nützlich sein könnten. Eine Verarbeitung benötigt einen legitimen Zweck und eine geeignete Rechtsgrundlage. Je nach Situation kann das etwa ein Vertrag, eine gesetzliche Verpflichtung, ein berechtigtes Interesse oder eine wirksame Einwilligung sein. Eine Einwilligung muss informiert und freiwillig erfolgen und kann nicht pauschal jedes denkbare Vorhaben abdecken.

Datenminimierung bedeutet: Nur die Informationen erheben und nutzen, die für den konkreten Zweck tatsächlich benötigt werden. Soll ein vorhandener Datenbestand später für einen neuen Zweck eingesetzt werden, muss erneut geprüft werden, ob dies zulässig ist. Gerade bei neuen Tools oder KI-Anwendungen ist „Die Daten sind doch schon da“ keine ausreichende Begründung.

Praxisbeispiel: Für die Anmeldung zu einer internen Schulung werden Name und geschäftliche E-Mail benötigt. Die private Telefonnummer oder das Geburtsdatum wären ohne zusätzlichen Zweck unnötig und sollten nicht erhoben werden.

3. Need-to-know: Berechtigungen und Zugriff

Auch intern dürfen personenbezogene Daten nicht automatisch für alle sichtbar sein. Zugriff erhalten nur Personen, die die Informationen für ihre Aufgabe benötigen. Rollen und Berechtigungen sollten nachvollziehbar vergeben und regelmäßig überprüft werden. Verlässt jemand ein Team oder verändert sich die Aufgabe, müssen nicht mehr benötigte Rechte entzogen werden.

Passwörter und persönliche Konten werden nicht geteilt. Gemeinsame Funktionszugänge sollten nur verwendet werden, wenn sie organisatorisch vorgesehen und nachvollziehbar abgesichert sind. Bildschirme werden bei Abwesenheit gesperrt, vertrauliche Unterlagen nicht offen liegen gelassen und Ausdrucke zeitnah abgeholt.

Vor einer telefonischen oder schriftlichen Auskunft sollte die Identität und Berechtigung des Empfängers geprüft werden. Eine glaubwürdig klingende Anfrage ist noch kein Berechtigungsnachweis.

4. E-Mail, Verteiler und sichere Übermittlung

Viele Datenschutzvorfälle entstehen durch falsche Empfänger. Autovervollständigung kann dazu führen, dass eine Nachricht an eine ähnlich benannte Person geht. Vor dem Versand sensibler Informationen lohnt deshalb ein bewusster Empfänger- und Anhangcheck. Große externe Verteiler sollten so adressiert werden, dass Empfängeradressen nicht unnötig offengelegt werden, beispielsweise mit BCC, sofern dies zum Anwendungsfall passt.

Für besonders schützenswerte Inhalte sind die freigegebenen sicheren Übertragungswege zu nutzen. Private E-Mail-Konten, nicht freigegebene Messenger oder beliebige Cloud-Dienste können organisatorische und rechtliche Anforderungen verletzen. Auch der Inhalt eines Dateinamens kann bereits personenbezogene Informationen offenbaren.

Praxisbeispiel: Eine Gehaltsübersicht soll intern weitergegeben werden. Prüfe nicht nur die Empfängeradresse, sondern auch ob der Empfänger diese Daten wirklich benötigt und ob die Datei angemessen geschützt übertragen wird.

5. Dienstleister, Cloud und Auftragsverarbeitung

Externe Dienstleister können personenbezogene Daten im Auftrag des Unternehmens verarbeiten, zum Beispiel Hosting-, Support- oder Softwareanbieter. Vor einer solchen Nutzung müssen Datenschutz und Informationssicherheit geprüft werden. Je nach Rolle des Dienstleisters ist insbesondere eine Vereinbarung zur Auftragsverarbeitung erforderlich.

Mitarbeitende sollten deshalb nicht eigenständig neue Online-Dienste mit echten Kunden- oder Personaldaten „ausprobieren“. Kostenlose Accounts können Daten in Regionen oder zu Zwecken verarbeiten, die nicht freigegeben sind. Dass ein Dienst technisch funktioniert oder populär ist, ersetzt keine Freigabe.

Bei der Auswahl und Nutzung sind unter anderem Zweck, Datenarten, Zugriffsmöglichkeiten, Löschung, Unterauftragnehmer und technische Schutzmaßnahmen relevant. Bestehende Unternehmensprozesse für Beschaffung und Freigabe sind Teil des Datenschutzes.

6. Aufbewahrung, Löschung und Altgeräte

Datenschutz endet nicht nach Abschluss eines Vorgangs. Daten dürfen nicht unbegrenzt gespeichert werden. Gesetzliche Aufbewahrungspflichten können eine Speicherung verlangen; nach Ablauf müssen nicht mehr benötigte Daten nach den vorgesehenen Löschregeln entfernt werden. Gleichzeitig darf eine gesetzlich notwendige Aufbewahrung nicht durch voreiliges Löschen verletzt werden.

Auch lokale Kopien, Exportdateien, alte Freigaben und Papierunterlagen müssen berücksichtigt werden. Eine Datei im Papierkorb ist nicht zwingend endgültig gelöscht. Vor Entsorgung oder Weitergabe von Datenträgern und Geräten müssen Daten sicher entfernt bzw. Geräte nach Unternehmensvorgabe zurückgesetzt oder vernichtet werden.

Merke: „Nicht mehr sichtbar“ ist nicht automatisch „datenschutzkonform gelöscht“.

7. Rechte betroffener Personen

Die DSGVO gibt betroffenen Personen verschiedene Rechte, unter anderem auf Auskunft und unter bestimmten Voraussetzungen auf Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit. Solche Anfragen sollten nicht improvisiert beantwortet werden. Sie müssen an die dafür vorgesehenen internen Stellen oder Prozesse weitergeleitet werden, damit Identität, Fristen und Umfang korrekt geprüft werden können.

Eine Auskunftsanfrage kann selbst ein Sicherheitsrisiko darstellen, wenn die anfragende Person nicht zuverlässig identifiziert wurde. Deshalb dürfen Daten nicht allein aufgrund einer E-Mail mit passendem Namen herausgegeben werden. Datenschutz und Informationssicherheit greifen hier direkt ineinander.

8. Datenschutzverletzungen und Meldewege

Eine Datenschutzverletzung kann Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten betreffen. Typische Beispiele sind eine E-Mail an den falschen Empfänger, ein verlorenes unverschlüsseltes Gerät, ein kompromittiertes Konto oder ein unberechtigter Datenzugriff. Nicht jeder Vorfall führt automatisch zu einer Meldung an die Aufsichtsbehörde, aber jeder Verdacht sollte intern unverzüglich gemeldet werden, damit die Bewertung rechtzeitig erfolgen kann.

Es ist wichtig, keine Zeit mit der Hoffnung zu verlieren, der Empfänger werde die Datei schon löschen. Die zuständige Datenschutz- oder Sicherheitsstelle benötigt Fakten: Welche Daten waren betroffen? Wie viele Personen? Wer hatte möglicherweise Zugriff? Wann wurde der Vorfall bemerkt und welche Sofortmaßnahmen wurden getroffen?

Praxisbeispiel: Eine Kundenliste ging versehentlich an einen falschen externen Empfänger. Sofort melden, Rückholung bzw. Löschbestätigung anstoßen und die interne Bewertung ermöglichen – nicht erst bis zum nächsten Arbeitstag warten.

9. Datenschutz als praktische Entscheidungsregel

Bei neuen Situationen helfen fünf Fragen: Welche personenbezogenen Daten sind betroffen? Wofür werden sie benötigt? Darf ich sie für diesen Zweck verarbeiten? Wer darf darauf zugreifen? Wann und wie werden sie wieder gelöscht? Wenn eine dieser Fragen unklar ist, sollte vor der Verarbeitung die zuständige Stelle eingebunden werden.

Die Datenschutz-Prüfung variiert ihre Szenarien. Wer Zweckbindung, Datenminimierung, Need-to-know, sichere Übertragung, Löschung und schnelle Meldung verstanden hat, kann auch unbekannte Fragen aus diesen Grundprinzipien ableiten.