Datensicherheit ist ein fundamentaler Aspekt des Datenschutzes und bezieht sich auf den Schutz von Daten vor Verlust, Zerstörung, unbefugtem Zugriff, unberechtigter Offenlegung, Veränderung oder Missbrauch. Die DSGVO legt in Artikel 32 fest, dass Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen (TOM) ergreifen müssen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dies beinhaltet die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste dauerhaft zu gewährleisten. Vertraulichkeit bedeutet, dass Daten nur befugten Personen zugänglich sind. Integrität sichert die Richtigkeit und Vollständigkeit der Daten. Verfügbarkeit stellt sicher, dass Daten und Systeme bei Bedarf zugänglich sind.

Zu den technischen Maßnahmen gehören beispielsweise die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, sowie Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Dies umfasst den Einsatz von Firewalls, Antivirensoftware, Intrusion Detection Systems und sicheren Netzwerkkonfigurationen. Auch die Nutzung von VPNs für den Fernzugriff und die Implementierung von Multi-Faktor-Authentifizierung (MFA) sind wichtige technische Schutzmechanismen.

Organisatorische Maßnahmen umfassen interne Richtlinien und Verfahren, wie z.B. Zugangskontrollen, Schulungen für Mitarbeiter, regelmäßige Sensibilisierungskampagnen, das Erstellen von Backup-Strategien und Notfallplänen. Eine klare Rollenverteilung und Zuständigkeiten innerhalb der Organisation sind ebenfalls entscheidend. Die "Clean Desk Policy" ist ein gutes Beispiel für eine einfache, aber effektive organisatorische Maßnahme, die sicherstellt, dass sensible Dokumente oder Datenträger bei Verlassen des Arbeitsplatzes nicht offen liegen bleiben. Auch die regelmäßige Überprüfung und Anpassung der TOMs an neue technologische Entwicklungen und Bedrohungsszenarien ist von großer Bedeutung, um ein kontinuierlich hohes Sicherheitsniveau zu gewährleisten.

Ein wesentlicher Bestandteil der Datensicherheit ist auch das Risikomanagement. Unternehmen müssen Risikobewertungen durchführen, um potenzielle Bedrohungen und Schwachstellen zu identifizieren und geeignete Gegenmaßnahmen zu ergreifen. Dies beinhaltet die Bewertung der Wahrscheinlichkeit und Schwere von Risiken für die Rechte und Freiheiten natürlicher Personen. Bei schwerwiegenden Risiken ist oft eine Datenschutz-Folgenabschätzung (DSFA) erforderlich. Letztendlich ist Datensicherheit keine einmalige Aufgabe, sondern ein fortlaufender Prozess, der ständige Aufmerksamkeit und Anpassung erfordert, um den Schutz personenbezogener Daten in einer sich ständig wandelnden digitalen Landschaft zu gewährleisten und somit das Vertrauen der Betroffenen zu sichern und rechtliche Konsequenzen zu vermeiden.

Jeder Mitarbeiter spielt eine entscheidende Rolle beim Datenschutz am Arbeitsplatz. Die Verantwortung für den Schutz personenbezogener Daten liegt nicht allein bei der IT-Abteilung oder dem Datenschutzbeauftragten, sondern bei jedem Einzelnen, der mit Daten umgeht. Ein bewusster und sorgfältiger Umgang mit Informationen ist unerlässlich, um Datenpannen zu vermeiden und die Vorgaben der DSGVO einzuhalten. Eine der grundlegendsten Maßnahmen ist die Bildschirmsperre: Wenn Sie Ihren Arbeitsplatz auch nur für kurze Zeit verlassen, sperren Sie Ihren Computer (z.B. mit Windows-Taste + L oder der macOS-Sperrfunktion). So verhindern Sie, dass Unbefugte auf sensible Informationen zugreifen können.

Ein weiterer wichtiger Punkt ist der sichere Umgang mit Passwörtern. Verwenden Sie starke, einzigartige Passwörter für alle beruflichen Konten und vermeiden Sie es, Passwörter aufzuschreiben oder mit Kollegen zu teilen. Nutzen Sie, wo immer möglich, eine Zwei-Faktor-Authentifizierung (2FA). Seien Sie zudem äußerst vorsichtig bei E-Mails von unbekannten Absendern oder solchen mit verdächtigen Anhängen und Links (Phishing). Öffnen Sie niemals ungeprüft Anhänge und klicken Sie nicht auf Links in solchen E-Mails. Informieren Sie im Zweifelsfall immer die IT-Abteilung oder den Datenschutzbeauftragten.

Die "Clean Desk Policy" (Saubere-Schreibtisch-Richtlinie) ist eine einfache, aber effektive organisatorische Maßnahme. Stellen Sie sicher, dass vertrauliche Dokumente, Notizen oder Datenträger am Ende des Arbeitstages oder bei längerer Abwesenheit sicher verstaut oder in abschließbaren Schränken aufbewahrt werden. Entsorgen Sie sensible Dokumente ausschließlich über den Aktenvernichter oder in dafür vorgesehenen Sicherheitsbehältern. Im Großraumbüro ist es wichtig, vertrauliche Gespräche diskret zu führen, idealerweise in separaten Besprechungsräumen, um das Mithören durch Unbefugte zu verhindern.

Auch beim Umgang mit mobilen Geräten ist Vorsicht geboten. Schützen Sie dienstliche Smartphones, Tablets und Laptops mit Passwörtern oder biometrischen Verfahren und melden Sie Datenverluste oder -diebstahl umgehend. Laden Sie keine unerlaubten Programme oder Apps auf dienstliche Geräte und nutzen Sie nur offizielle Software. Regelmäßige Updates von Apps und Betriebssystemen sind ebenfalls unerlässlich, da diese oft Sicherheitslücken schließen, die von Cyberkriminellen ausgenutzt werden könnten. Durch einen verantwortungsbewussten Umgang mit Apps und Kommunikationsmitteln tragen Sie aktiv zum Schutz der Daten und zur Sicherheit des Unternehmens bei.

Die Zuständigkeiten im Datenschutz sind vielschichtig und erstrecken sich über verschiedene Ebenen, um die Einhaltung der DSGVO zu gewährleisten. An erster Stelle steht der Verantwortliche im Sinne der DSGVO. Das ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. In einem Unternehmen ist dies in der Regel die Geschäftsführung oder der Vorstand. Der Verantwortliche trägt die primäre Rechenschaftspflicht und ist dafür verantwortlich, dass die Datenverarbeitung gemäß den Vorgaben der DSGVO erfolgt.

Eine zentrale Rolle spielt oft der Datenschutzbeauftragte (DSB). Viele Unternehmen und Organisationen sind gesetzlich dazu verpflichtet, einen DSB zu bestellen, insbesondere wenn sie regelmäßig und systematisch personenbezogene Daten verarbeiten oder bestimmte sensible Datenkategorien handhaben. Der DSB agiert als unabhängiger Berater und Überwacher. Zu seinen Aufgaben gehören die Information und Beratung des Verantwortlichen und der Mitarbeiter in Fragen des Datenschutzes, die Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften, die Zusammenarbeit mit den Aufsichtsbehörden und die erste Anlaufstelle für Betroffene, die ihre Rechte geltend machen möchten. Der DSB ist intern weisungsfrei und direkt der höchsten Managementebene unterstellt.

Neben dem Verantwortlichen und dem DSB tragen auch alle Mitarbeiter, die mit personenbezogenen Daten arbeiten, eine Mitverantwortung. Sie müssen die internen Datenschutzrichtlinien befolgen und die im Rahmen ihrer Tätigkeit anfallenden Daten sicher und datenschutzkonform verarbeiten. Dies erfordert regelmäßige Schulungen und eine kontinuierliche Sensibilisierung für Datenschutzthemen. Darüber hinaus gibt es Auftragsverarbeiter, die im Auftrag des Verantwortlichen personenbezogene Daten verarbeiten. Dies können externe Dienstleister wie Cloud-Anbieter, IT-Dienstleister oder Marketingagenturen sein. Der Verantwortliche muss sicherstellen, dass auch die Auftragsverarbeiter die DSGVO einhalten, und dies durch entsprechende Verträge (sog. Auftragsverarbeitungsverträge) regeln.

Die Datenschutzaufsichtsbehörden sind die externen Überwachungsinstanzen. In Deutschland gibt es für jedes Bundesland eine eigene Landesdatenschutzbehörde, die für die Kontrolle der Einhaltung der DSGVO zuständig ist. Sie gehen Beschwerden von Betroffenen nach, führen Prüfungen bei Unternehmen durch und können Bußgelder bei Verstößen verhängen. Die Zusammenarbeit mit den Aufsichtsbehörden und die Transparenz gegenüber diesen ist ein wichtiger Bestandteil des Datenschutzmanagements. Letztendlich ist Datenschutz eine Gemeinschaftsaufgabe, bei der jeder Beteiligte, von der Unternehmensleitung bis zum einzelnen Mitarbeiter, seinen Beitrag leisten muss, um den Schutz der Grundrechte und Freiheiten natürlicher Personen zu gewährleisten.

Die Definition von personenbezogenen Daten ist der Kern der DSGVO und entscheidet darüber, welche Informationen unter den Schutz der Verordnung fallen. Gemäß Artikel 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person gilt als identifizierbar, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Dies ist eine sehr weitreichende Definition, die weit über den klassischen Namen und die Adresse hinausgeht. Beispiele für personenbezogene Daten sind: direkte Identifikatoren wie Vor- und Nachname, Geburtsdatum, Adresse, E-Mail-Adresse, Telefonnummer, Personalausweisnummer, Sozialversicherungsnummer. Aber auch indirekte Identifikatoren, die in Kombination mit anderen Informationen eine Person identifizierbar machen können, wie z.B. IP-Adressen, Cookies, Geräte-IDs, Geolokalisierungsdaten, Kfz-Kennzeichen, Fotos oder Videoaufnahmen einer Person. Sogar die Stimme einer Person kann unter bestimmten Umständen ein personenbezogenes Datum sein.

Besondere Kategorien personenbezogener Daten, oft auch als sensible Daten bezeichnet (Artikel 9 DSGVO), genießen einen noch höheren Schutz. Dazu gehören Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Die Verarbeitung dieser Daten ist grundsätzlich untersagt, es sei denn, es liegt eine ausdrückliche Einwilligung vor oder eine der Ausnahmen des Artikels 9 Absatz 2 DSGVO trifft zu, beispielsweise zur Erfüllung arbeitsrechtlicher Pflichten.

Es ist entscheidend zu verstehen, dass auch scheinbar unbedeutende Informationen in ihrer Kombination zu personenbezogenen Daten werden können. Unternehmen müssen daher genau prüfen, welche Daten sie erfassen, speichern und verarbeiten. Die Kenntnis darüber, was personenbezogene Daten sind, ist die Grundlage für die Einhaltung der DSGVO und für die Entwicklung eines Bewusstseins für den Datenschutz im täglichen Arbeitsleben. Der Schutz dieser Daten ist nicht nur eine rechtliche Verpflichtung, sondern auch ein Ausdruck des Respekts vor der Privatsphäre der Menschen, deren Daten verarbeitet werden.

In der heutigen Arbeitswelt sind Apps und digitale Kommunikationsmittel allgegenwärtig. Sie erleichtern die Zusammenarbeit, ermöglichen flexible Arbeitsmodelle und beschleunigen Prozesse. Doch gerade im Umgang mit diesen Technologien lauern erhebliche Datenschutzrisiken, die oft unterschätzt werden. Viele Apps, insbesondere solche, die für den privaten Gebrauch konzipiert sind, sammeln umfangreiche Daten – von Standortinformationen über Kontakte bis hin zu Nutzungsverhalten. Wenn solche Apps auf dienstlichen Geräten oder für dienstliche Zwecke genutzt werden, können sensible Unternehmensdaten oder personenbezogene Daten von Kunden und Mitarbeitern unbeabsichtigt preisgegeben werden. Daher ist es von größter Bedeutung, nur vom Unternehmen freigegebene und geprüfte Apps zu verwenden.

Bei der Nutzung von Apps sollten Sie stets die angeforderten Berechtigungen kritisch prüfen. Eine App, die beispielsweise auf Ihre Kontakte, Ihr Mikrofon oder Ihre Kamera zugreifen möchte, obwohl dies für ihre Kernfunktion nicht notwendig ist, sollte Misstrauen wecken. Im Zweifel sollten Sie solche Berechtigungen nicht erteilen oder die App nicht nutzen. Achten Sie auch auf die Datenschutzerklärung der App und des Anbieters. Diese gibt Aufschluss darüber, welche Daten gesammelt, wie sie verarbeitet und ob sie an Dritte weitergegeben werden. Bei der Installation von Apps auf privaten Geräten, die auch dienstlich genutzt werden (BYOD – Bring Your Own Device), gelten oft strenge Unternehmensrichtlinien, die unbedingt einzuhalten sind.

Die digitale Kommunikation, sei es über E-Mail, Messenger-Dienste oder Videokonferenzen, erfordert ebenfalls besondere Aufmerksamkeit. E-Mails, insbesondere unverschlüsselte, sind keine sichere Kommunikationsform für vertrauliche Informationen. Achten Sie darauf, keine sensiblen personenbezogenen Daten per unverschlüsselter E-Mail zu versenden. Für interne Kommunikation oder den Austausch mit externen Partnern sollten, wenn möglich, vom Unternehmen bereitgestellte und sichere Kommunikationsplattformen genutzt werden, die Ende-zu-Ende-Verschlüsselung bieten. Auch bei der Nutzung von Cloud-Diensten für die Speicherung und den Austausch von Dokumenten müssen die Unternehmensrichtlinien und die Einhaltung der DSGVO gewährleistet sein, insbesondere in Bezug auf den Serverstandort und die Sicherheitsstandards des Anbieters.

Seien Sie sich der Risiken bewusst, wenn Sie private Messaging-Dienste oder soziale Medien für dienstliche Zwecke nutzen. Informationen, die dort ausgetauscht werden, können außerhalb der Kontrolle des Unternehmens liegen und ein Sicherheitsrisiko darstellen. Es ist ratsam, dienstliche und private Nutzung strikt zu trennen. Regelmäßige Updates von Apps und Betriebssystemen sind ebenfalls unerlässlich, da diese oft Sicherheitslücken schließen, die von Cyberkriminellen ausgenutzt werden könnten. Durch einen verantwortungsbewussten Umgang mit Apps und Kommunikationsmitteln tragen Sie aktiv zum Schutz der Daten und zur Sicherheit des Unternehmens bei.

Eine Datenpanne, auch als Datenschutzverletzung oder Sicherheitsverletzung bezeichnet, ist ein Ereignis, das im Kontext der DSGVO eine erhebliche Bedeutung hat und klare Handlungspflichten für Unternehmen auslöst. Gemäß Artikel 4 Nr. 12 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten "eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden". Dies umfasst eine breite Palette von Vorfällen, die die Vertraulichkeit, Integrität oder Verfügbarkeit von personenbezogenen Daten beeinträchtigen können.

Datenpannen können vielfältige Ursachen haben. Dazu gehören technische Fehler, wie z.B. Systemausfälle, Softwarefehler oder Fehlkonfigurationen. Häufig sind sie jedoch auch auf menschliches Versagen zurückzuführen, beispielsweise das Versenden einer E-Mail mit sensiblen Daten an den falschen Empfänger, der Verlust eines unverschlüsselten Laptops oder USB-Sticks mit personenbezogenen Daten, oder das Offenlegen von Passwörtern. Cyberangriffe stellen eine weitere große Gefahr dar, darunter Phishing-Angriffe, Malware-Infektionen, Ransomware, Hackerangriffe oder Denial-of-Service-Angriffe. Auch physische Vorfälle wie Einbruch, Diebstahl von Akten oder Brand können zu einer Datenpanne führen, wenn dabei personenbezogene Daten betroffen sind.

Die DSGVO sieht klare Meldepflichten für Datenpannen vor. Gemäß Artikel 33 DSGVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Meldung muss detaillierte Informationen über die Art der Verletzung, die betroffenen Datenkategorien und Personen, die wahrscheinlichen Folgen und die ergriffenen oder beabsichtigten Abhilfemaßnahmen enthalten.

Zusätzlich zur Meldepflicht gegenüber der Aufsichtsbehörde besteht unter bestimmten Umständen auch eine Pflicht zur Benachrichtigung der betroffenen Personen. Gemäß Artikel 34 DSGVO muss der Verantwortliche die betroffenen Personen unverzüglich informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge hat. Diese Benachrichtigung muss die Art der Verletzung in klarer und einfacher Sprache beschreiben und Informationen zu den Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle enthalten. Eine angemessene Reaktion auf eine Datenpanne, einschließlich einer schnellen Meldung und transparenter Kommunikation, ist entscheidend, um den Schaden zu begrenzen und das Vertrauen der Betroffenen zu erhalten. Unternehmen sollten daher Notfallpläne für den Umgang mit Datenpannen entwickeln und regelmäßig testen.

Die Datenschutz-Grundverordnung (DSGVO) stärkt die Position der Personen, deren Daten verarbeitet werden, erheblich. Sie stattet sie mit umfassenden Rechten aus, die es ihnen ermöglichen, Kontrolle über ihre eigene personenbezogenen Daten auszuüben. Diese sogenannten Betroffenenrechte sind in den Artikeln 12 bis 22 der DSGVO verankert und müssen von jedem Verantwortlichen, der Daten verarbeitet, respektiert und umgesetzt werden. Unternehmen müssen entsprechende Prozesse etablieren, um Anfragen von Betroffenen schnell und transparent bearbeiten zu können. Die Nichtbeachtung dieser Rechte kann zu erheblichen Bußgeldern führen.

Eines der wichtigsten Rechte ist das Recht auf Auskunft (Art. 15 DSGVO). Betroffene haben das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob personenbezogene Daten, die sie betreffen, verarbeitet werden. Ist dies der Fall, haben sie ein Recht auf Auskunft über diese Daten und eine Vielzahl weiterer Informationen, wie z.B. die Verarbeitungszwecke, die Kategorien personenbezogener Daten, die Empfänger, die Speicherdauer und das Bestehen weiterer Rechte. Das Recht auf Berichtigung (Art. 16 DSGVO) ermöglicht es Betroffenen, die unverzügliche Berichtigung unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung haben sie auch das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

Das Recht auf Löschung (Art. 17 DSGVO), oft als „Recht auf Vergessenwerden" bezeichnet, erlaubt es Betroffenen, die unverzügliche Löschung ihrer Daten zu verlangen, wenn bestimmte Gründe vorliegen, z.B. wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind oder die Einwilligung widerrufen wird. Dem gegenüber steht das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO). Dies bedeutet, dass Daten zwar weiterhin gespeichert, aber nur noch unter bestimmten Bedingungen verarbeitet werden dürfen, z.B. wenn die Richtigkeit der Daten bestritten wird oder die Verarbeitung unrechtmäßig ist, der Betroffene aber keine Löschung wünscht.

Das Recht auf Datenübertragbarkeit (Art. 20 DSGVO) ermöglicht es Betroffenen, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen ohne Behinderung zu übermitteln. Schließlich gibt es das Widerspruchsrecht (Art. 21 DSGVO), das es Betroffenen ermöglicht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten Widerspruch einzulegen, insbesondere gegen Verarbeitungen zum Zweck der Direktwerbung. Diese Rechte sind essenziell, um die Selbstbestimmung über die eigenen Daten zu gewährleisten und sicherzustellen, dass die Verarbeitung von Daten stets fair, transparent und rechtmäßig erfolgt.