Datenschutz am Arbeitsplatz – das ist kein einfaches Thema. Meist schon deshalb, weil man in der Regel nicht alleine dafür sorgen kann, dass er eingehalten wird, sondern stattdessen das Engagement von zahlreichen Beteiligten gefragt ist. Denn nur, wenn zwei Bedingungen erfüllt sind, kann Datenschutz im Büro auch wirklich korrekt umgesetzt werden:
Zum einen müssen sich Arbeitgeber:innen ihrer Verantwortung bewusst sein und zusammen mit dem / der Datenschutzbeauftragten für die nötigen Vorgaben, Konzepte und Infrastruktur im Bereich Datenschutz sorgen.
Zum anderen müssen aber auch alle Beschäftigen ihren Beitrag leisten und die Vorgaben und Konzepte einhalten bzw. umsetzen, um einen Verstoß gegen den Datenschutz zu vermeiden.
Damit es für beide Seiten etwas einfacher wird, dem Datenschutz in der Arbeit so gut wie möglich gerecht zu werden, haben wir im Folgenden drei hilfreiche Tipps zusammengestellt:
1. Entsorgung von Datenträgern
Ob Festplatten, USB-Sticks, CDs/DVDs oder gar Disketten – wie entsorgt man eigentlich Datenträger, die man nicht mehr braucht? Eins ist klar: Wem daran gelegen ist, eine Datenschutzverletzung zu vermeiden, indem personenbezogene Daten in falsche Hände gelangen, der darf Datenträger (egal welcher Art) nicht einfach im Restmüll entsorgen. Denn abgesehen davon, dass es für unterschiedliche Datenträger unterschiedliche Entsorgungswege gibt, wären die Daten so schließlich immer noch lesbar. Also heißt es: erst einmal persönliche und personenbezogene Daten unleserlich machen. Gesagt, getan? Nicht unbedingt, denn auch hierbei kann noch einiges schief gehen. Was also tun?
So geht’s richtig:
Wer in Bezug auf die Datenträgerentsorgung alles richtig machen will mit dem Datenschutz am Arbeitsplatz, der sollte pro Medium unbedingt zwei Dinge beachten: die korrekte Zerstörung der Daten und die korrekte Entsorgung des Trägers. Befinden sich auf den Datenträgern personenbezogene Daten, so müssen diese nach DIN 66399 entsprechend zerstört werden. Die Daten, die auf dem zu zerstörenden Datenträger sind, müssen nach der DIN 66399 in eine entsprechende Schutzklasse kategorisiert werden und angemessen aufwändig zerstört werden. So sollten beispielsweise USB-Sticks erst überschrieben und dann bei Bedarf noch physisch zerstört werden. Ähnlich sieht es bei Festplatten aus: Nachdem alle (persönlichen) Daten gelöscht sind, geht es ans Überschreiben und dann kann – unter angemessenen Schutzmaßnahmen – noch das Device an sich unbrauchbar gemacht werden. Weitere Details und Infos zu anderen Datenträgerarten finden Sie in unserem Beitrag „Datenträger und CDs entsorgen“.
2. Arbeitsplatz aufgeräumt halten
Wo gehobelt wird, fallen Späne. Wo gearbeitet wird, fallen Daten an. Hier ein Ausdruck mit personenbezogenen Daten, dort der Schreibtischblock mit Telefonnotizen und nebenan stapeln sich die Aktenordner. Das ist sicher nicht in jedem Unternehmen der Normalzustand, doch dass geschäftliche Informationen und / oder personenbezogene Daten auf dem Schreibtisch liegen, während daran gearbeitet wird, kommt sicher überall gelegentlich vor. Das ist per se noch nicht schlimm – erst dann, wenn die Informationen unbeaufsichtigt sind oder auch wenn Publikumsverkehr herrscht. Denn dann kann der Datenschutz im Büro schnell durch unberechtigten Zugriff und möglichen Missbrauch von Daten gefährdet sein.
So geht’s richtig:
Die Lösung ist einfach: Achten Sie generell auf einen aufgeräumten Schreibtisch (Clean Desk Policy). Wo nichts herumliegt, kann auch nichts im Vorbeigehen gelesen oder mitgenommen werden. Eine Clean Desk Policy beinhaltet zudem auch abschließbare Schränke / Rollcontainer und dass der Bildschirm beim Verlassen des Raumes gesperrt wird. Da Sie natürlich trotzdem Unterlagen zum Arbeiten brauchen, denken Sie besonders an diesen Punkt, wenn Sie gerade nicht am Schreibtisch sind – etwa wenn Sie auf die Toilette müssen, eine Kaffeepause einlegen oder natürlich bevor Sie in den Feierabend gehen. Bei Publikumsverkehr kann ein Sichtschutz den grundsätzlich aufgeräumten Schreibtisch noch ergänzen.
3. Berufliche Nutzung privater Endgeräte
„Bring your own device“ ist der moderne Begriff dafür, wenn private mobile Endgeräte auch für berufliche Zwecke genutzt werden. Dabei stellt das BYOD-Konzept den Datenschutz am Arbeitsplatz vor verschiedenste Herausforderungen. Nichtsdestotrotz kann das Modell funktionieren, wenn einige Punkte beachtet werden.
So geht’s richtig:
Wer seinen Mitarbeiter:innen ermöglichen will, private Geräte auch beruflich zu nutzen, der sollte einige Vorkehrungen treffen. So werden Sie etwa dem Datenschutz im Büro gerecht, wenn Sie als Arbeitgeber:in die technischen und organisatorischen Sicherheitsmaßnahmen (TOM) einhalten:
Klar an Ihre Angestellten kommunizieren, was in Bezug auf BYOD erlaubt ist und was nicht,
verschiedene Sicherheitsvorkehrungen treffen, zum Beispiel die Verschlüsslung geschäftlicher Daten oder die Vereinbarung von Kontrollrechten, sodass Sie Unternehmensdaten im Notfall per Fernzugriff löschen können,
die Datentrennung privater und geschäftlicher Daten sicherstellen,
Ihre Mitarbeiter:innen umfassend schulen und
den nach Art. 24 Abs. 1 DSGVO verpflichtenden Nachweis über den rechtskonformen Umgang mit personenbezogenen Daten erbringen.
Werden diese drei Tipps im Arbeitsalltag beachtet, sind Sie dem korrekten Umgang mit Datenschutzvorgaben im Büro schon einen deutlichen Schritt näher.
Autorin: Kathrin Strauß
Artikel veröffentlicht: 06.10.20
