Die Datenschutz-Grundverordnung (DSGVO) ist seit dem 25. Mai 2018 in der gesamten EU gültig. Sie regelt, wie personenbezogene Daten verarbeitet werden dürfen und schützt die Grundrechte und Grundfreiheiten natürlicher Personen.

Die DSGVO gilt seit dem 25. Mai 2018 EU-weit einheitlich. Datenschutz ist keine Sache der IT allein – jeder Mitarbeiter trägt täglich Verantwortung.

Die DSGVO ersetzt alte nationale Datenschutzgesetze und gilt einheitlich in allen 27 EU-Mitgliedstaaten sowie in Island, Liechtenstein und Norwegen (EWR). Sie umfasst 99 Artikel und besteht aus 173 Erwägungsgründen.

Wichtigste Ziele der DSGVO: • Schutz personenbezogener Daten aller EU-Bürger • Transparenz bei der Datenverarbeitung durch Unternehmen und Behörden • Stärkung der Rechte Betroffener (Auskunft, Löschung, etc.) • Vereinheitlichung des Datenschutzes in der EU • Stärkung der Datensicherheit und Vermeidung von Datenlecks • Förderung verantwortungsvoller Datenverarbeitung

Warum ist die DSGVO wichtig? Verstöße können zu Bußgeldern bis 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes führen - je nachdem, welcher Betrag höher ist. Jeder Mitarbeiter trägt Verantwortung für den Datenschutz im Unternehmen.

Seit 2018 wurden bereits Milliardenstrafen verhängt! Die höchsten Bußgelder gingen an: • Amazon: 746 Mio. € (Luxemburg, 2021) • Meta/WhatsApp: 225 Mio. € (Irland, 2021) • Google: 90 Mio. € (Frankreich, 2020) Auch kleinere Unternehmen können betroffen sein - bereits Bußgelder ab 5.000 € wurden verhängt!

Für Sie als Mitarbeiter bedeutet das: Sie verarbeiten täglich personenbezogene Daten - ob in E-Mails, Dokumenten, Kundengesprächen, Bewerbungsverfahren oder in der Buchhaltung. Ein falscher Klick, eine E-Mail an den falschen Empfänger, ein unverschlossener Schrank oder ein verlorener USB-Stick kann bereits einen DSGVO-Verstoß darstellen.

Praxisfall: E-Mail mit falschem Empfänger Ein Mitarbeiter verschickt eine E-Mail mit Gehaltsabrechnungen von 50 Kollegen versehentlich an einen externen Dienstleister statt an die Personalabteilung. Dies ist eine meldepflichtige Datenpanne!

Folgen: ✗ Meldung an Aufsichtsbehörde (innerhalb 72 Stunden) ✗ Information aller 50 betroffenen Mitarbeiter ✗ Mögliches Bußgeld für das Unternehmen ✗ Vertrauensverlust bei den Mitarbeitern[/EXAMPLE]

Best Practice für den Alltag: ✓ Vor jedem E-Mail-Versand: Empfänger prüfen! ✓ Bei sensiblen Daten: Immer BCC statt An/CC verwenden ✓ Zweimal überlegen, einmal klicken ✓ Im Zweifel den Vorgesetzten oder Datenschutzbeauftragten fragen

Wer ist für die DSGVO verantwortlich?

Geschäftsführung

Trägt die Gesamtverantwortung für den Datenschutz im Unternehmen.

Datenschutzbeauftragter

Berät und überwacht den Datenschutz.

IT-Abteilung

Setzt die technischen Schutzmaßnahmen um.

Jeder Mitarbeiter

Muss die Datenschutzregeln im Alltag beachten.

Die DSGVO ist keine "Sache der IT" - sie betrifft ALLE Abteilungen: Marketing, Vertrieb, Personal, Buchhaltung, Kundenservice, Produktion, etc.

Warum ist die DSGVO wichtig? Verstöße können zu Bußgeldern bis 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes führen - je nachdem, welcher Betrag höher ist. Jeder Mitarbeiter trägt Verantwortung für den Datenschutz im Unternehmen.

Bußgelder reichen bis 20 Mio. € oder 4% des weltweiten Jahresumsatzes – der höhere Betrag zählt. Und auch kleine Unternehmen und kleine Fehler sind betroffen.

Seit 2018 wurden bereits Milliardenstrafen verhängt! Die höchsten Bußgelder gingen an: • Amazon: 746 Mio. € (Luxemburg, 2021) • Meta/WhatsApp: 225 Mio. € (Irland, 2021) • Google: 90 Mio. € (Frankreich, 2020) Auch kleinere Unternehmen können betroffen sein - bereits Bußgelder ab 5.000 € wurden verhängt!

Für Sie als Mitarbeiter bedeutet das: Sie verarbeiten täglich personenbezogene Daten - ob in E-Mails, Dokumenten, Kundengesprächen, Bewerbungsverfahren oder in der Buchhaltung. Ein falscher Klick, eine E-Mail an den falschen Empfänger, ein unverschlossener Schrank oder ein verlorener USB-Stick kann bereits einen DSGVO-Verstoß darstellen.

Praxisfall: E-Mail mit falschem Empfänger Ein Mitarbeiter verschickt eine E-Mail mit Gehaltsabrechnungen von 50 Kollegen versehentlich an einen externen Dienstleister statt an die Personalabteilung. Dies ist eine meldepflichtige Datenpanne!

Folgen: ✗ Meldung an Aufsichtsbehörde (innerhalb 72 Stunden) ✗ Information aller 50 betroffenen Mitarbeiter ✗ Mögliches Bußgeld für das Unternehmen ✗ Vertrauensverlust bei den Mitarbeitern[/EXAMPLE]

Best Practice für den Alltag: ✓ Vor jedem E-Mail-Versand: Empfänger prüfen! ✓ Bei sensiblen Daten: Immer BCC statt An/CC verwenden ✓ Zweimal überlegen, einmal klicken ✓ Im Zweifel den Vorgesetzten oder Datenschutzbeauftragten fragen

Wer ist für die DSGVO verantwortlich? • Geschäftsführung: Trägt die Gesamtverantwortung • Datenschutzbeauftragter: Berät und überwacht Datenschutz • IT-Abteilung: Setzt technische Maßnahmen um • Jeder Mitarbeiter: Muss Datenschutzregeln im Alltag beachten

Die DSGVO ist keine "Sache der IT" - sie betrifft ALLE Abteilungen: Marketing, Vertrieb, Personal, Buchhaltung, Kundenservice, Produktion, etc.

Was sind personenbezogene Daten? Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. "Identifizierbar" bedeutet: Die Person kann direkt oder indirekt zugeordnet werden.

Entscheidend ist nicht, ob Sie die Person erkennen, sondern ob irgendwer sie zuordnen könnte. Im Zweifel gilt: als personenbezogenes Datum behandeln.

Wichtig: Es kommt nicht darauf an, ob SIE die Person identifizieren können, sondern ob IRGENDWER sie identifizieren könnte. Auch pseudonymisierte Daten (z.B. "Kunde Nr. 12345") sind personenbezogene Daten, wenn sie mit zusätzlichen Informationen einer Person zugeordnet werden können.

Kategorisierung personenbezogener Daten:

Direkte Identifikatoren

Name, Ausweis-/Reisepassnummer, Sozialversicherungs-/Steuernummer, E-Mail mit Namen, Telefonnummer.

Indirekte Identifikatoren

Geburtsdatum + PLZ + Geschlecht, IP-Adresse + Zeitstempel, Kfz-Kennzeichen, Kunden-/Mitarbeiternummer.

Kontakt- & Adressdaten

Privat-/Geschäftsadresse, E-Mail, Telefon/Handy/Fax, Social-Media-Profile.

Digitale Identifikatoren

IP-Adresse (auch dynamisch), Cookies, Gerätekennungen (IMEI, MAC), Logins, Standortdaten, Browser-Fingerprints.

Physisch & biometrisch

Fotos, Videos, Gesichtsbilder, Stimme, Fingerabdrücke, Iris-Scans, Körpermerkmale.

Finanziell & wirtschaftlich

Bankverbindung/IBAN, Kreditkarte, Gehalt, Vermögen, Zahlungshistorie, Bonität/Schufa.

Beschäftigungsdaten

Lebenslauf, Zeugnisse, Arbeitsvertrag, Gehaltsabrechnung, Zeiterfassung, Beurteilungen.

Grenzfälle - ACHTUNG, das sind auch personenbezogene Daten! • Auto-Kennzeichen (über Halterdatenbank identifizierbar) • Firmen-E-Mail bei Einzelunternehmen (z.B. max.mustermann@mustermann-gmbh.de) • "Anonymisierte" Umfragen, wenn Kombination von Antworten Rückschlüsse zulässt • Metadaten von E-Mails (Absender, Zeitstempel, IP-Adresse) • Zugangsprotokolle, Serverlog-Dateien mit IP-Adressen

Besondere Kategorien (Art. 9 DSGVO) - höchster Schutz: Diese "sensiblen Daten" dürfen grundsätzlich NICHT verarbeitet werden, außer es liegt eine besondere Rechtsgrundlage vor:

• Gesundheitsdaten: Krankheiten, Diagnosen, Medikamente, Arztbesuche, Krankmeldungen, Behinderungen, Impfstatus, Covid-Tests
• Ethnische Herkunft: Hautfarbe, Abstammung, nationale Zugehörigkeit
• Politische Meinungen: Parteizugehörigkeit, politisches Engagement, Petitionen
• Religiöse oder weltanschauliche Überzeugungen: Religionszugehörigkeit, Kirchenmitgliedschaft
• Gewerkschaftszugehörigkeit: Mitgliedschaft in Arbeitnehmerorganisationen
• Genetische Daten: DNA-Analysen, Vaterschaftstests, genetische Risiken
• Biometrische Daten zur Identifizierung: Fingerabdruck-Scanner, Gesichtserkennung, Iris-Scans
• Daten zum Sexualleben oder zur sexuellen Orientierung: Sexuelle Vorlieben, Partnerschaft

Praxisfall: Krankmeldung per E-Mail Situation: Ein Mitarbeiter schreibt eine E-Mail an seinen Vorgesetzten: "Ich bin heute krank, habe hohes Fieber und kann nicht kommen. Anbei das ärztliche Attest."

Problem: ✗ Die E-Mail enthält Gesundheitsdaten (Art. 9 DSGVO) ✗ E-Mails sind oft unverschlüsselt ✗ Das ärztliche Attest per E-Mail ist problematisch

Richtige Vorgehensweise: ✓ Krankmeldung ohne Diagnose: "Ich bin erkrankt und kann heute nicht arbeiten." ✓ Ärztliches Attest per sicherer Post oder über geschütztes Portal übermitteln ✓ Keine Details zur Erkrankung in E-Mails[/EXAMPLE]

Entscheidungsbaum: Ist es ein personenbezogenes Datum?

1. Bezug zu einer natürlichen Person? – NEIN → keine personenbezogenen Daten (z.B. Wetterdaten, Firmendaten). JA → weiter.
2. Direkt identifizierbar? – JA → personenbezogene Daten (z.B. Name + Adresse). NEIN → weiter.
3. Indirekt identifizierbar (mit Zusatzinfos)? – JA → personenbezogene Daten (z.B. IP-Adresse + Zeitstempel). NEIN → keine personenbezogenen Daten.
4. Im Zweifel – Immer als personenbezogene Daten behandeln!

Was sind KEINE personenbezogenen Daten? • Wetterdaten, Statistiken ohne Personenbezug • Juristische Personen (GmbH, AG) - aber Einzelunternehmen schon! • Anonyme Daten (wenn keine Rückführbarkeit mehr möglich ist) • Verstorbene Personen (in Deutschland aber oft durch Landesdatenschutzgesetze geschützt)

Achtung bei Anonymisierung: Echte Anonymisierung ist schwierig! Oft reichen 3-4 Datenpunkte (z.B. PLZ + Alter + Geschlecht + Beruf), um eine Person in einem Datensatz zu identifizieren. Pseudonymisierung (Ersetzung durch Kennungen) ist KEINE Anonymisierung!

Besondere Kategorien (Art. 9 DSGVO) - höchster Schutz: Diese "sensiblen Daten" dürfen grundsätzlich NICHT verarbeitet werden, außer es liegt eine besondere Rechtsgrundlage vor:

Sensible Daten nach Art. 9 (Gesundheit, Religion, Herkunft u.a.) sind grundsätzlich verboten – erlaubt nur mit besonderer Rechtsgrundlage.

Gesundheitsdaten

Krankheiten, Diagnosen, Medikamente, Arztbesuche, Krankmeldungen, Behinderungen, Impfstatus, Covid-Tests.

Ethnische Herkunft

Hautfarbe, Abstammung, nationale Zugehörigkeit.

Politische Meinungen

Parteizugehörigkeit, politisches Engagement, Petitionen.

Religion & Weltanschauung

Religionszugehörigkeit, Kirchenmitgliedschaft.

Gewerkschaftszugehörigkeit

Mitgliedschaft in Arbeitnehmerorganisationen.

Genetische Daten

DNA-Analysen, Vaterschaftstests, genetische Risiken.

Biometrie zur Identifizierung

Fingerabdruck-Scanner, Gesichtserkennung, Iris-Scans.

Sexualleben & Orientierung

Sexuelle Vorlieben, Partnerschaft.

Praxisfall: Krankmeldung per E-Mail Situation: Ein Mitarbeiter schreibt eine E-Mail an seinen Vorgesetzten: "Ich bin heute krank, habe hohes Fieber und kann nicht kommen. Anbei das ärztliche Attest."

Problem: ✗ Die E-Mail enthält Gesundheitsdaten (Art. 9 DSGVO) ✗ E-Mails sind oft unverschlüsselt ✗ Das ärztliche Attest per E-Mail ist problematisch

Richtige Vorgehensweise: ✓ Krankmeldung ohne Diagnose: "Ich bin erkrankt und kann heute nicht arbeiten." ✓ Ärztliches Attest per sicherer Post oder über geschütztes Portal übermitteln ✓ Keine Details zur Erkrankung in E-Mails[/EXAMPLE]

Grenzfälle - ACHTUNG, das sind auch personenbezogene Daten! • Auto-Kennzeichen (über Halterdatenbank identifizierbar) • Firmen-E-Mail bei Einzelunternehmen (z.B. max.mustermann@mustermann-gmbh.de) • "Anonymisierte" Umfragen, wenn Kombination von Antworten Rückschlüsse zulässt • Metadaten von E-Mails (Absender, Zeitstempel, IP-Adresse) • Zugangsprotokolle, Serverlog-Dateien mit IP-Adressen

Entscheidungsbaum: Ist es ein personenbezogenes Datum?

1. Bezieht sich die Information auf eine natürliche Person? → NEIN: Keine personenbezogenen Daten (z.B. Wetterdaten, Firmendaten) → JA: Weiter zu 2

2. Kann die Person direkt identifiziert werden? → JA: Personenbezogene Daten (z.B. Name + Adresse) → NEIN: Weiter zu 3

3. Kann die Person indirekt identifiziert werden (mit zusätzlichen Infos)? → JA: Personenbezogene Daten (z.B. IP-Adresse + Zeitstempel) → NEIN: Keine personenbezogenen Daten

Bei Zweifel: Immer als personenbezogene Daten behandeln![/TIP]

Achtung bei Anonymisierung: Echte Anonymisierung ist schwierig! Oft reichen 3-4 Datenpunkte (z.B. PLZ + Alter + Geschlecht + Beruf), um eine Person in einem Datensatz zu identifizieren. Pseudonymisierung (Ersetzung durch Kennungen) ist KEINE Anonymisierung!

Die DSGVO definiert sechs wichtige Grundsätze (Art. 5 DSGVO), die bei jeder Datenverarbeitung - egal ob manuell oder automatisiert - beachtet werden müssen:

Alle sechs Grundsätze müssen gleichzeitig erfüllt sein. Wird auch nur einer verletzt, liegt ein DSGVO-Verstoß vor.

Diese Grundsätze gelten immer und überall! Jede Verarbeitung personenbezogener Daten muss alle sechs Grundsätze gleichzeitig erfüllen. Sie sind die Basis für rechtskonformes Handeln.

Die sechs Grundsätze im Überblick:

1. Rechtmäßigkeit & Transparenz

Rechtmäßig, fair und transparent verarbeiten. Betroffene müssen wissen, was mit ihren Daten passiert.

2. Zweckbindung

Nur für festgelegte, eindeutige und legitime Zwecke erheben. Keine Vorratsspeicherung.

3. Datenminimierung

Nur die Daten, die für den Zweck wirklich erforderlich sind. Kein "nice to have".

4. Richtigkeit

Daten müssen sachlich richtig und aktuell sein; falsche berichtigen oder löschen.

5. Speicherbegrenzung

Nur so lange speichern, wie es der Zweck erfordert; danach löschen.

6. Integrität & Vertraulichkeit

Vor Verlust, Zerstörung und unbefugtem Zugriff schützen (technisch & organisatorisch).

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz Daten müssen rechtmäßig, fair und transparent verarbeitet werden. Betroffene müssen wissen, was mit ihren Daten passiert, wer sie verarbeitet und wofür.

Was bedeutet das konkret? • Es muss eine Rechtsgrundlage vorliegen (siehe Kapitel 4) • Betroffene müssen informiert werden (Datenschutzerklärung) • Keine "heimliche" Datenverarbeitung • Klare, verständliche Sprache (kein Juristendeutsch) • Betroffene müssen ihre Rechte ausüben können

Negativ-Beispiel - Intransparenz: Ein Unternehmen sammelt E-Mail-Adressen von Kunden für den Versand von Rechnungen. Ohne Information werden diese Adressen auch für Werbe-Newsletter verwendet.

Problem: Zweck wurde nicht mitgeteilt, keine Transparenz!

Richtig: Bei der Erhebung klar mitteilen: "Ihre E-Mail-Adresse nutzen wir für Rechnungen und - mit Ihrer Einwilligung - für unseren Newsletter."[/EXAMPLE]

2. Zweckbindung Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Verarbeitung für andere Zwecke ist grundsätzlich nicht erlaubt. Keine "Vorratsdatenspeicherung" für eventuelle spätere Verwendung!

Was bedeutet das konkret? • Zweck vor der Erhebung festlegen • Zweck dem Betroffenen mitteilen • Nur für diesen Zweck verwenden • Bei Zweckänderung: neue Rechtsgrundlage oder Einwilligung erforderlich

Häufiger Fehler: Zweck-Ausweitung • Kundendaten aus Vertrag für Werbung nutzen → VERBOTEN ohne neue Einwilligung • Bewerberdaten für anderes Stellenangebot nutzen → VERBOTEN ohne Zustimmung • Mitarbeiterdaten aus Personalakte für Marketingstudie → VERBOTEN

Praxis-Tipp zur Zweckbindung: Dokumentieren Sie bei jeder Datenerhebung: ✓ WOFÜR werden die Daten gesammelt? ✓ WIE LANGE werden sie benötigt? ✓ WER hat Zugriff? ✓ WANN werden sie gelöscht?

3. Datenminimierung Es dürfen nur die Daten erhoben werden, die für den festgelegten Zweck tatsächlich erforderlich sind. "Nice to have" oder "könnte mal nützlich sein" ist nicht erlaubt!

Was bedeutet das konkret? • Nur das Nötigste erheben • Keine "vorsorgliche" Datenspeicherung • Jedes Datenfeld muss begründet sein • Regelmäßig prüfen: Werden alle Daten noch benötigt?

Datenminimierung in der Praxis:

Newsletter-Anmeldung: ✓ Erforderlich: E-Mail-Adresse ✗ Nicht erforderlich: Geburtsdatum, Telefonnummer, Adresse

Online-Shop (Versand): ✓ Erforderlich: Name, Lieferadresse, Zahlungsdaten ✗ Nicht erforderlich: Hobbys, Familienstand, Beruf

Bewerbung: ✓ Erforderlich: Lebenslauf, Zeugnisse, Anschreiben ✗ Nicht erforderlich: Familienstand, Konfession (außer bei kirchlichen Arbeitgebern), Foto (außer für bestimmte Berufe)[/EXAMPLE]

4. Richtigkeit Daten müssen sachlich richtig und aktuell sein. Falsche Daten müssen unverzüglich gelöscht oder berichtigt werden.

Was bedeutet das konkret? • Daten regelmäßig aktualisieren • Bei Hinweisen auf Fehler: sofort prüfen und korrigieren • Betroffene können Berichtigung verlangen (Art. 16 DSGVO) • Alte, überholte Daten löschen

Best Practice - Datenqualität sicherstellen: ✓ Regelmäßige Aufforderung zur Aktualisierung (z.B. jährlich) ✓ Bei jedem Kontakt: "Sind Ihre Daten noch aktuell?" ✓ Dubletten vermeiden und bereinigen ✓ Plausibilitätsprüfungen bei der Eingabe

5. Speicherbegrenzung Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Danach müssen sie gelöscht werden. "Für immer speichern" ist nicht erlaubt!

Was bedeutet das konkret? • Löschfristen festlegen und dokumentieren • Automatische Löschroutinen einrichten • Regelmäßig prüfen: Wird noch benötigt? • Aufbewahrungspflichten beachten (z.B. 10 Jahre Steuerrecht)

Wichtig: Gesetzliche Aufbewahrungspflichten gehen vor! • Rechnungen: 10 Jahre (Steuerrecht) • Geschäftsbriefe: 6 Jahre (Handelsrecht) • Arbeitsverträge: 3 Jahre nach Vertragsende • Bewerbungsunterlagen (abgelehnt): 6 Monate

Typische Löschfristen in der Praxis:

• Bewerbungsunterlagen (abgelehnt): 6 Monate nach Absage
• Kundendaten (keine Aktivität): 3 Jahre nach letztem Kontakt
• Log-Dateien (Server): 7-30 Tage
• Videoüberwachung: 72 Stunden (max. 10 Tage)
• Vertragsdaten: Vertragslaufzeit + gesetzliche Aufbewahrungspflicht
• Newsletter-Abonnenten (inaktiv): 2 Jahre nach letzter Interaktion[/EXAMPLE]

6. Integrität und Vertraulichkeit (Datensicherheit) Daten müssen vor unbefugter oder unrechtmäßiger Verarbeitung, vor Verlust, Zerstörung oder Schädigung geschützt werden. Dies erfordert angemessene technische und organisatorische Maßnahmen (TOMs).

Was bedeutet das konkret? • Zugriffskontrolle (nur Berechtigte haben Zugang) • Verschlüsselung (insbesondere bei Übertragung) • Sichere Passwörter und Authentifizierung • Regelmäßige Backups • Schulung der Mitarbeiter • Sicherheit auch bei Papierakten (abschließbare Schränke)

Typische Sicherheitslücken: ✗ Unverschlüsselte E-Mails mit sensiblen Daten ✗ Passwörter auf Post-Its am Monitor ✗ Keine Bildschirmsperre ✗ Öffentliches WLAN für Firmendaten ✗ Keine Backups ✗ Veraltete Software mit Sicherheitslücken ✗ USB-Sticks unverschlüsselt ✗ Dokumente auf dem Drucker liegen lassen

Checkliste Datensicherheit für Mitarbeiter: ✓ Starke Passwörter verwenden (min. 12 Zeichen) ✓ Bildschirmsperre bei Abwesenheit ✓ E-Mails verschlüsseln bei sensiblen Daten ✓ Clean-Desk-Policy (Schreibtisch aufräumen) ✓ Dokumente im Aktenvernichter entsorgen ✓ Keine Firmendaten auf privaten Geräten ✓ Verdächtige E-Mails nicht öffnen (Phishing) ✓ Software-Updates installieren

Zusammenfassung: Alle sechs Grundsätze müssen gleichzeitig erfüllt sein! Die Verletzung auch nur eines Grundsatzes kann zu einem DSGVO-Verstoß führen.

Datenverarbeitung ist nur erlaubt, wenn mindestens eine der folgenden Rechtsgrundlagen vorliegt. Ohne Rechtsgrundlage ist jede Verarbeitung verboten!

Verbot mit Erlaubnisvorbehalt: Ohne eine der sechs Rechtsgrundlagen ist jede Verarbeitung verboten. Fragen Sie immer: Auf welcher Grundlage tun wir das?

Das "Verbot mit Erlaubnisvorbehalt": Nach der DSGVO ist die Verarbeitung personenbezogener Daten grundsätzlich verboten - außer, es liegt eine der sechs Rechtsgrundlagen vor. Sie müssen also IMMER prüfen: Auf welcher Rechtsgrundlage verarbeiten wir diese Daten?

Die sechs Rechtsgrundlagen im Überblick (Art. 6 DSGVO):

a) Einwilligung

Die Person hat ausdrücklich zugestimmt – freiwillig, informiert, widerrufbar.

b) Vertragserfüllung

Daten sind zur Erfüllung eines Vertrags mit der Person nötig.

c) Rechtliche Verpflichtung

Ein Gesetz verpflichtet zur Verarbeitung (z.B. Aufbewahrungspflichten).

d) Lebenswichtige Interessen

Nur in echten Notfällen zum Schutz von Leben und Gesundheit.

e) Öffentliches Interesse

Aufgaben von Behörden und öffentlichen Stellen.

f) Berechtigtes Interesse

Eigenes Interesse überwiegt – nur mit dokumentierter Interessenabwägung.

1. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) Die betroffene Person hat ausdrücklich in die Datenverarbeitung eingewilligt.

Voraussetzungen für eine wirksame Einwilligung: • Freiwillig: Keine Zwangslage, keine negativen Folgen bei Ablehnung • Informiert: Betroffener muss wissen, was mit seinen Daten passiert • Eindeutig: Aktive Handlung erforderlich (Checkbox, Unterschrift, Klick) • Widerrufbar: Einwilligung kann jederzeit zurückgezogen werden • Dokumentiert: Nachweis der Einwilligung muss aufbewahrt werden • Bestimmt: Für jeden Zweck separate Einwilligung

Unwirksame Einwilligungen: ✗ Vorangekreuzte Checkboxen (Opt-out statt Opt-in) ✗ Stillschweigen oder Untätigkeit ✗ "Koppelungsverbot": Vertragserfüllung an Einwilligung knüpfen (z.B. "Sie müssen Newsletter akzeptieren, um zu kaufen") ✗ Einwilligung in AGB "verstecken" ✗ Unklare Formulierungen ("Wir können Ihre Daten weitergeben...")

Einwilligung in der Praxis:

Richtig ✓: "□ Ich willige ein, dass die Firma XY meine E-Mail-Adresse für den Versand eines monatlichen Newsletters zu Produktneuheiten nutzt. Diese Einwilligung kann ich jederzeit per E-Mail an info@xy.de widerrufen." [Checkbox ist nicht vorangekreuzt, Zweck ist klar, Widerruf ist möglich]

Falsch ✗: "☑ Ich akzeptiere die Datenschutzerklärung." [Zu unspezifisch, vorangekreuzt, kein klarer Zweck][/EXAMPLE]

2. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) Die Verarbeitung ist erforderlich zur Erfüllung eines Vertrags, bei dem die betroffene Person Vertragspartei ist.

Wann gilt diese Rechtsgrundlage? • Daten sind notwendig, um den Vertrag zu erfüllen • Ohne diese Daten könnte der Vertrag nicht durchgeführt werden • Auch vorvertragliche Maßnahmen (z.B. Angebot erstellen)

Vertragserfüllung - typische Anwendungen:

Online-Shop: ✓ Name, Adresse für Lieferung ✓ Zahlungsdaten für Bezahlung ✓ E-Mail für Bestellbestätigung

Arbeitsvertrag: ✓ Bankverbindung für Gehaltsüberweisung ✓ Steuer-ID für Lohnabrechnung ✓ Sozialversicherungsnummer

Dienstleistungsvertrag: ✓ Kontaktdaten für Terminvereinbarung ✓ Technische Daten für Service[/EXAMPLE]

Häufiger Fehler: Zu weite Auslegung! Die Rechtsgrundlage "Vertragserfüllung" berechtigt NICHT zu: ✗ Werbung (hier ist Einwilligung erforderlich) ✗ Datenanalyse für andere Zwecke ✗ Weitergabe an Dritte (außer notwendige Dienstleister) ✗ Profiling ohne Bezug zur Vertragserfüllung

3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.

Typische gesetzliche Verpflichtungen: • Aufbewahrungspflichten nach Steuerrecht (10 Jahre für Rechnungen) • Aufbewahrungspflichten nach Handelsrecht (6 Jahre für Geschäftsbriefe) • Sozialversicherungsmeldungen • Lohnsteueranmeldungen • Anti-Geldwäsche-Gesetz (Identitätsprüfung) • Arbeitsschutzgesetze (Unfallmeldungen)

Bei rechtlicher Verpflichtung ist keine Einwilligung erforderlich - das Gesetz verpflichtet zur Verarbeitung! Die Rechtsgrundlage muss aber konkret benannt werden können.

4. Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d DSGVO) Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen Person zu schützen.

Wann gilt diese Rechtsgrundlage? • Nur in echten Notfallsituationen • Wenn keine andere Rechtsgrundlage möglich ist • Zum Schutz von Leben und Gesundheit

Lebenswichtige Interessen - seltene Anwendung: ✓ Notarzt gibt Gesundheitsdaten an Krankenhaus weiter ✓ Erste Hilfe: Weitergabe von Notfalldaten ✓ Pandemie: Gesundheitsämter tracken Infektionsketten

5. Öffentliches Interesse / Ausübung öffentlicher Gewalt (Art. 6 Abs. 1 lit. e DSGVO) Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.

Anwendung: • Gilt hauptsächlich für Behörden und öffentliche Stellen • Z.B. Meldebehörden, Finanzämter, Polizei, Schulen • Für Privatunternehmen meist nicht relevant

6. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

ACHTUNG: Hier ist eine Interessenabwägung erforderlich! Sie müssen dokumentieren: 1. Welches berechtigte Interesse verfolgen wir? 2. Ist die Verarbeitung dafür erforderlich? 3. Überwiegen die Interessen der Betroffenen?

Typische Anwendungsfälle für berechtigtes Interesse: • Direktwerbung für eigene Produkte (Bestandskunden) • Videoüberwachung zum Schutz vor Einbruch (eng begrenzt) • Bonitätsprüfung vor Vertragsschluss • IT-Sicherheit (Protokollierung von Zugriffen) • Geltendmachung rechtlicher Ansprüche

Berechtigtes Interesse - Interessenabwägung:

Szenario: Videoüberwachung des Firmengeländes

Berechtigtes Interesse: ✓ Schutz vor Einbruch und Diebstahl ✓ Sicherung von Beweisen bei Straftaten

Interessen der Betroffenen: ✗ Recht auf Privatsphäre ✗ Vermeidung ständiger Überwachung

Ergebnis der Abwägung: → Videoüberwachung im Eingangsbereich: ZULÄSSIG (hoher Schutz erforderlich) → Videoüberwachung von Arbeitsplätzen: UNZULÄSSIG (zu starker Eingriff) → Aufzeichnung nur bei Verdacht: ZULÄSSIG → Dauerhafte Speicherung: UNZULÄSSIG (max. 72 Std. bis 10 Tage)[/EXAMPLE]

Faustregel für die Praxis: 1. Einwilligung: Unsicherster Weg (widerrufbar), aber flexibelst 2. Vertrag: Nur für das, was zur Vertragserfüllung wirklich nötig ist 3. Rechtliche Pflicht: Sicherer Weg, wenn Gesetz es vorschreibt 4. Berechtigtes Interesse: Immer Interessenabwägung dokumentieren!

Im Zweifel: Datenschutzbeauftragten fragen![/TIP]

Besonderheit: Sensible Daten (Art. 9 DSGVO) Für besondere Kategorien personenbezogener Daten (Gesundheit, Religion, etc.) gelten noch strengere Anforderungen! Hier reichen die normalen Rechtsgrundlagen meist nicht aus.

Bei sensiblen Daten (Art. 9) ist die Verarbeitung grundsätzlich VERBOTEN, außer es liegt eine Ausnahme vor: • Ausdrückliche Einwilligung (nicht nur einfache Einwilligung!) • Arbeitsrecht (z.B. Schwerbehindertenausweis) • Lebenswichtige Interessen (Notfall) • Gesundheitsversorgung (Arzt, Krankenhaus) • Öffentliches Interesse

Personen haben umfassende Rechte bezüglich ihrer personenbezogenen Daten. Diese Rechte müssen Sie als Mitarbeiter kennen und ernst nehmen!

Betroffene haben starke Rechte – Auskunft, Berichtigung, Löschung u.a. Wichtigste Reaktion: Anfrage sofort weiterleiten, denn es läuft eine 1-Monats-Frist.

Die Betroffenenrechte sind zentrale Bestandteile der DSGVO. Sie geben den Personen Kontrolle über ihre Daten und verpflichten Unternehmen zu transparentem Handeln. Die Missachtung dieser Rechte kann zu hohen Bußgeldern führen!

Die Betroffenenrechte im Überblick:

Auskunft (Art. 15)

Welche Daten sind gespeichert, wofür, an wen weitergegeben, wie lange?

Berichtigung (Art. 16)

Unrichtige oder unvollständige Daten korrigieren lassen.

Löschung (Art. 17)

"Recht auf Vergessenwerden", wenn kein Grund zur Speicherung mehr besteht.

Einschränkung (Art. 18)

Daten "einfrieren": speichern, aber nicht mehr verwenden.

Datenübertragbarkeit (Art. 20)

Daten in maschinenlesbarem Format erhalten und mitnehmen.

Widerspruch (Art. 21)

Verarbeitung widersprechen – bei Werbung immer erfolgreich.

Keine autom. Entscheidung (Art. 22)

Nicht allein durch Algorithmen/KI bedeutend entschieden werden.

1. Auskunftsrecht (Art. 15 DSGVO) Jede Person kann kostenlos Auskunft darüber verlangen, welche Daten über sie gespeichert sind.

Umfang der Auskunft: • Welche personenbezogenen Daten werden verarbeitet? • Für welche Zwecke? • An wen wurden die Daten weitergegeben? • Wie lange werden sie gespeichert? • Woher stammen die Daten? • Gibt es automatisierte Entscheidungen (Profiling)? • Welche Rechte hat die Person?

Auskunftsanfrage in der Praxis:

Anfrage eines Kunden: "Sehr geehrte Damen und Herren, ich möchte Auskunft gemäß Art. 15 DSGVO über alle bei Ihnen gespeicherten Daten zu meiner Person. Bitte übermitteln Sie mir eine vollständige Kopie."

Ihre Aufgabe als Mitarbeiter: ✓ Anfrage unverzüglich an Datenschutzbeauftragten weiterleiten ✓ Nicht selbst antworten! ✓ Frist notieren: 1 Monat ab Eingang[/EXAMPLE]

2. Recht auf Berichtigung (Art. 16 DSGVO) Betroffene können verlangen, dass unrichtige oder unvollständige Daten korrigiert werden.

Proaktiv Fehler vermeiden: ✓ Bei Kundenkontakt regelmäßig nachfragen: "Sind Ihre Daten noch aktuell?" ✓ Umzüge, Namensänderungen zeitnah erfassen ✓ Falsche Schreibweisen sofort korrigieren ✓ Systeme mit Plausibilitätsprüfungen ausstatten

3. Recht auf Löschung - "Recht auf Vergessenwerden" (Art. 17 DSGVO) Betroffene können in bestimmten Fällen die Löschung ihrer Daten verlangen.

Löschpflicht besteht, wenn: • Der Zweck der Verarbeitung weggefallen ist • Die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage existiert • Die Person Widerspruch eingelegt hat (z.B. gegen Werbung) • Die Daten unrechtmäßig verarbeitet wurden • Eine gesetzliche Löschpflicht besteht

Ausnahmen - Löschung NICHT erforderlich: ✗ Gesetzliche Aufbewahrungspflichten (z.B. 10 Jahre Steuerrecht) ✗ Geltendmachung rechtlicher Ansprüche (z.B. laufende Gerichtsverfahren) ✗ Archivierung im öffentlichen Interesse ✗ Gesundheitsversorgung (z.B. Patientenakten beim Arzt)

Löschanfrage - komplexer Fall:

Ein ehemaliger Kunde verlangt Löschung aller Daten. Sie haben: • Bestellhistorie (Rechnungen) → NICHT löschen (Aufbewahrungspflicht 10 Jahre) • Marketing-E-Mails → LÖSCHEN (Zweck entfallen) • Newsletter-Abo → LÖSCHEN (auf Wunsch) • Kundenbewertung auf Website → Kompliziert (ggf. Anonymisierung)

Daher: Nicht selbst entscheiden, sondern an Datenschutzbeauftragten weiterleiten![/EXAMPLE]

4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) Betroffene können verlangen, dass ihre Daten "eingefroren" werden - also gespeichert, aber nicht verwendet.

Wann gilt dieses Recht? • Richtigkeit der Daten wird bestritten (während der Prüfung) • Verarbeitung ist unrechtmäßig, aber Betroffener will keine Löschung • Daten werden für rechtliche Ansprüche benötigt • Widerspruch wurde eingelegt (während der Interessenabwägung)

Einschränkung bedeutet: Die Daten dürfen gespeichert bleiben, aber nicht mehr verarbeitet werden (außer mit Einwilligung oder für rechtliche Ansprüche). Das System sollte diese Daten entsprechend markieren.

5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO) Betroffene können verlangen, ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten, um sie an einen anderen Anbieter zu übermitteln.

Voraussetzungen: • Verarbeitung beruht auf Einwilligung oder Vertrag • Verarbeitung erfolgt automatisiert • Technisch machbar

Beispiele: • Kontakte von einem Social Network zu anderem übertragen • Gesundheitsdaten von einer Gesundheits-App zur anderen • Kundenprofil von einem Online-Shop zu anderem

Dieses Recht soll Anbieterwechsel erleichtern und "Lock-in-Effekte" vermeiden. Format: meist CSV, JSON oder XML.

6. Widerspruchsrecht (Art. 21 DSGVO) Betroffene können der Verarbeitung ihrer Daten widersprechen, insbesondere bei: • Direktwerbung (immer erfolgreich!) • Verarbeitung aufgrund berechtigten Interesses (Interessenabwägung erforderlich) • Profiling für Werbezwecke

Werbewiderspruch = sofortige Einstellung! Wenn jemand der Werbung widerspricht, muss die Verarbeitung für Werbezwecke SOFORT gestoppt werden. Keine Abwägung, keine Ausnahmen!

"Bitte keine Werbung mehr" → SOFORT in Sperrliste eintragen![/WARNING]

7. Recht, nicht einer automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO) Personen dürfen nicht ausschließlich aufgrund automatisierter Verarbeitung (z.B. Algorithmen, KI) bedeutenden Entscheidungen unterworfen werden.

Beispiele: • Kreditablehnung nur durch automatisierte Bonitätsprüfung • Bewerbungsablehnung durch KI ohne menschliche Prüfung • Preisdifferenzierung durch Algorithmen

Reaktionsfristen:

WICHTIG: 1-Monats-Frist! Betroffenenanfragen müssen innerhalb von 1 Monat beantwortet werden (Frist beginnt mit Eingang der Anfrage).

Bei komplexen Anfragen: Verlängerung um 2 weitere Monate möglich, aber: • Betroffenen innerhalb 1 Monat über Verlängerung informieren • Gründe für Verlängerung angeben[/WARNING]

Was tun bei Betroffenenanfragen?

1. Sofort weiterleiten – Anfrage direkt an Datenschutzbeauftragten oder zuständige Stelle geben – nicht liegen lassen.
2. Eingangsdatum notieren – Die 1-Monats-Frist läuft ab Eingang der Anfrage.
3. Nicht selbst antworten – Außer Sie sind ausdrücklich autorisiert – Fehlergefahr!
4. Identität prüfen lassen – Die Identität des Anfragenden muss geprüft werden (Datenschutz!).
5. Kolleg:innen informieren – Falls weitere Personen betroffen oder zuständig sind.
6. Dokumentieren – Wer hat wann was beantragt? Alles festhalten.

Typische Fehler - so NICHT:

✗ "Ich bearbeite das nächste Woche" (Frist läuft!) ✗ "Ich weiß nicht, wer zuständig ist" (trotzdem sofort weiterleiten!) ✗ "Das ist zu viel Arbeit" (kein Grund zur Ablehnung!) ✗ Anfrage per E-Mail löschen, weil lästig (Verstoß gegen DSGVO!) ✗ Selbst Auskunft erteilen ohne Abstimmung (Fehlergefahr!)[/EXAMPLE]

Kosten: Die Ausübung der Betroffenenrechte ist grundsätzlich KOSTENLOS. Nur bei offenkundig unbegründeten oder exzessiven Anfragen (z.B. 10 identische Anfragen pro Woche) dürfen angemessene Gebühren verlangt werden.

Was ist eine Datenpanne ("Data Breach")? Eine "Verletzung des Schutzes personenbezogener Daten" (Art. 33, 34 DSGVO) - also ein Sicherheitsvorfall, bei dem personenbezogene Daten verloren gehen, unbefugt offengelegt, verändert oder zerstört werden.

Bei einer Datenpanne zählt jede Minute: Die 72-Stunden-Frist zur Meldung läuft ab dem Moment, in dem Sie davon erfahren. Sofort melden, nie vertuschen.

Die DSGVO unterscheidet drei Arten von Datenpannen: • Vertraulichkeitsverletzung (Unbefugte erhalten Zugriff) • Integritätsverletzung (Daten werden verändert oder manipuliert) • Verfügbarkeitsverletzung (Daten gehen verloren oder sind nicht mehr zugänglich)

Typische Beispiele für Datenpannen:

Digitale Vorfälle: • Verlust eines Laptops mit Kundendaten • USB-Stick mit Personaldaten verloren oder gestohlen • Hackerangriff auf Server mit Kundendaten • Ransomware-Angriff mit Datenverschlüsselung • Phishing-Angriff erfolgreich (Passwörter abgegriffen) • Unbefugter Zugriff durch ehemaligen Mitarbeiter (Zugang nicht gesperrt) • Versehentliche Veröffentlichung von Daten im Internet • Datenbank mit Schwachstelle im Internet erreichbar

E-Mail-Pannen: • Versand einer E-Mail mit sichtbaren E-Mail-Adressen (statt BCC) • E-Mail mit Anhang an falschen Empfänger (z.B. Gehaltslisten) • Versehentliches "Antworten an alle" mit sensiblen Infos • Weiterleitung interner Mails an externe Personen

Physische Vorfälle: • Diebstahl von Aktenordnern aus dem Büro oder Auto • Fehlgeleitete Briefe mit sensiblen Informationen • Dokumente im Papiermüll statt Aktenvernichter • Ausdrucke auf dem Drucker liegen gelassen und entwendet • Akten in öffentlichen Verkehrsmitteln vergessen

Auch "kleine" Vorfälle sind Datenpannen! ✗ Eine einzige E-Mail an falschen Empfänger = Datenpanne ✗ Ein verlorener USB-Stick = Datenpanne ✗ Ein Ausdruck im Papiermüll = Datenpanne ✗ BCC vergessen bei 10 E-Mail-Adressen = Datenpanne

Alle müssen gemeldet und dokumentiert werden![/WARNING]

Die 72-Stunden-Regel:

KRITISCH: 72-Stunden-Frist! Datenpannen müssen innerhalb von 72 Stunden nach Kenntnisnahme an die zuständige Aufsichtsbehörde gemeldet werden - WENN ein Risiko für die Rechte und Freiheiten der Betroffenen besteht.

Die Frist beginnt ab dem Zeitpunkt, an dem das Unternehmen von der Panne erfährt - also auch, wenn SIE als Mitarbeiter davon erfahren!

Bei verspäteter Meldung: Zusätzliche Bußgelder![/WARNING]

Wann muss an die Aufsichtsbehörde gemeldet werden?

Meldepflicht besteht, wenn: • Ein Risiko für die Rechte und Freiheiten der Betroffenen wahrscheinlich ist • Z.B. Identitätsdiebstahl, finanzielle Verluste, Rufschädigung, Diskriminierung

Keine Meldepflicht, wenn: • Kein Risiko für Betroffene besteht • Z.B. verschlüsselte Daten verloren, Schlüssel aber sicher • Daten waren bereits öffentlich • Nur interne technische Störung ohne Datenverlust

Im Zweifel immer melden! Die Aufsichtsbehörde entscheidet, ob ein Risiko besteht. Lieber eine Meldung zu viel als eine zu wenig - bei Nicht-Meldung drohen hohe Strafen!

Benachrichtigung der Betroffenen:

Bei HOHEM Risiko müssen die betroffenen Personen direkt informiert werden: • Unverzüglich (ohne unangemessene Verzögerung) • In klarer und verständlicher Sprache • Mit Beschreibung des Vorfalls • Mit Maßnahmen zur Schadensbegrenzung • Mit Kontaktdaten für weitere Informationen

Praxisfall: E-Mail-Panne

Situation: Ein Mitarbeiter sendet um 14:30 Uhr eine E-Mail mit Gehaltsabrechnungen von 50 Kollegen versehentlich an einen externen Dienstleister (statt an Personalabteilung). Er bemerkt den Fehler 10 Minuten später.

Sofort-Maßnahmen (14:40 Uhr): ✓ Vorgesetzten und Datenschutzbeauftragten SOFORT informieren ✓ Empfänger kontaktieren: Bitte um Löschung der E-Mail ✓ Vorfall dokumentieren: Wer, was, wann, wie viele Betroffene?

Frist berechnen: • Kenntnisnahme: 14:40 Uhr • 72-Stunden-Frist endet: 3 Tage später, 14:40 Uhr • Meldung an Behörde muss bis dahin erfolgen!

Benachrichtigung Betroffene: • Alle 50 Kollegen müssen informiert werden (hohes Risiko: Gehaltsdaten!) • Per E-Mail oder Brief • Mit Entschuldigung und Maßnahmen

Mögliche Folgen: • Bußgeld für Unternehmen • Schadensersatzansprüche der Betroffenen • Reputationsschaden[/EXAMPLE]

Dokumentationspflicht:

Alle Datenpannen müssen intern dokumentiert werden - auch wenn KEINE Meldung an die Behörde erforderlich ist!

Das Verzeichnis muss enthalten: • Art der Verletzung • Zeitpunkt der Verletzung • Betroffene Kategorien und Anzahl der Betroffenen • Wahrscheinliche Folgen • Ergriffene Maßnahmen

Die Aufsichtsbehörde kann jederzeit Einsicht in dieses Verzeichnis verlangen![/INFO]

Was müssen SIE als Mitarbeiter tun?

1. Sofort melden – Datenschutzbeauftragten und Vorgesetzten kontaktieren – auch nach Feierabend, notfalls über Notfallkontakt. Nicht warten, nicht vertuschen!
2. Schaden begrenzen – Falschen Empfänger um Löschung bitten, verlorenes Gerät sperren lassen (IT), bei Hackerverdacht Passwörter ändern, weitere Verbreitung verhindern.
3. Dokumentieren – Was ist passiert, wann (Uhrzeit!), wie viele Personen und welche Art von Daten betroffen, wer hat es bemerkt, gibt es Zeugen?
4. Fehler vermeiden – Nicht selbst mit Betroffenen kommunizieren, nicht abwarten, nicht vertuschen, nicht erst am nächsten Tag melden, nicht aus Angst schweigen.

Häufige Fehler:

✗ "Das ist doch nur eine E-Mail-Adresse" → FALSCH! Auch eine einzige ist eine Datenpanne ✗ "Ich melde das morgen" → FALSCH! 72-Stunden-Frist läuft! ✗ "Der Empfänger hat die Mail sicher schon gelöscht" → FALSCH! Kann nicht überprüft werden ✗ "Das merkt doch keiner" → FALSCH! Aufsichtsbehörden prüfen regelmäßig ✗ "Ich bekomme Ärger, wenn ich das melde" → FALSCH! Mehr Ärger bei Nicht-Meldung![/WARNING]

Folgen bei Verstößen:

Bußgelder bei Verstoß gegen Meldepflichten: • Nicht-Meldung oder verspätete Meldung: Bis 10 Mio. € oder 2% des Jahresumsatzes • Zusätzlich: Bußgeld für ursprünglichen Verstoß (z.B. unzureichende Sicherheit)

Reale Bußgelder für Meldepflichtverstöße:

• H&M: 35,3 Mio. € (2020) - u.a. wegen Datenpanne-Meldung
• Österreichische Post: 18 Mio. € (2019) - Datenweitergabe ohne Rechtsgrundlage
• British Airways: 22,5 Mio. € (2020) - Datenpanne betraf 400.000 Kunden, verzögerte Meldung[/EXAMPLE]

Präventionsmaßnahmen:

So vermeiden Sie Datenpannen:

✓ Doppelt prüfen vor E-Mail-Versand (Empfänger, Anhänge) ✓ BCC statt An/CC bei Mehrfachempfängern ✓ Bildschirmsperre bei Abwesenheit ✓ Laptops und USB-Sticks verschlüsseln ✓ Clean-Desk-Policy (nichts liegen lassen) ✓ Aktenvernichter nutzen statt Papiermüll ✓ Starke Passwörter, regelmäßig ändern ✓ Vorsicht bei Phishing-Mails ✓ Schulungen besuchen und ernst nehmen ✓ Bei Unsicherheit nachfragen

Denken Sie daran: Prävention ist billiger als Bußgelder![/TIP]

Datenschutz ist keine abstrakte Theorie - er betrifft jeden Mitarbeiter täglich! Hier finden Sie konkrete Regeln für Ihren Arbeitsalltag.

Datenschutz ist Teamarbeit und Teil jeder Aufgabe: Zweimal denken, einmal klicken – im Zweifel nachfragen.

Datenschutz ist Teamarbeit! Jeder einzelne Mitarbeiter trägt zum Schutz personenbezogener Daten bei. Die besten technischen Sicherheitsmaßnahmen nützen nichts, wenn Mitarbeiter unachtsam handeln.

Die sieben Alltagsfelder im Überblick:

E-Mail & Kommunikation

BCC statt An/CC, Empfänger prüfen, sensible Daten verschlüsseln.

Arbeitsplatz & Dokumente

Clean-Desk, Bildschirmsperre, Aktenvernichter statt Papierkorb.

Passwörter & Zugänge

Min. 12 Zeichen, für jeden Dienst eigenes Passwort, 2FA, nie teilen.

Mobil & Home-Office

Verschlüsselung, kein öffentliches WLAN für Firmendaten, VPN.

Telefon & Videokonferenz

Vertraulich sprechen, Identität prüfen, Hintergrund und Teilnehmer kontrollieren.

Social Media

Keine Kunden-/Projektdaten posten, keine Fotos mit sichtbaren Dokumenten.

Besondere Situationen

Besucher, Externe, Whiteboards: Zugriff begrenzen, sensible Infos wegräumen.

1. E-Mail & Elektronische Kommunikation

Do's - So geht's richtig: ✓ BCC bei Massen-E-Mails verwenden (niemals alle E-Mail-Adressen sichtbar!) ✓ Empfänger VOR dem Senden doppelt prüfen ✓ Betreff und Anhang kontrollieren ✓ Bei sensiblen Daten: Verschlüsselte E-Mails oder sichere Plattform nutzen ✓ E-Mail-Signatur mit Vertraulichkeitshinweis verwenden ✓ Auto-Complete bei E-Mail-Adressen vorsichtig nutzen (Verwechslungsgefahr!)

Don'ts - Das sollten Sie vermeiden: ✗ "Allen antworten" bei sensiblen Informationen ✗ Weiterleitungen ohne Prüfung des Inhalts ✗ Private E-Mail-Accounts für geschäftliche Zwecke ✗ Sensible Daten im Betreff (Betreff wird oft unverschlüsselt übertragen) ✗ Automatische Weiterleitung an externe E-Mail-Adressen

Typische E-Mail-Fehler vermeiden:

Situation 1: Newsletter-Versand ✗ FALSCH: Alle 200 Empfänger im "An"-Feld → Jeder sieht alle E-Mail-Adressen ✓ RICHTIG: Alle 200 Empfänger im "BCC"-Feld → Adressen bleiben verborgen

Situation 2: Vertrauliche Dokumente ✗ FALSCH: Gehaltsabrechnung per E-Mail an Max.Mustermann@firma.de ✓ RICHTIG: Verschlüsselter Upload in geschütztes Portal mit Zugangscode

Situation 3: "Alle antworten" ✗ FALSCH: Bei interner Diskussion versehentlich externen Kunden in CC ✓ RICHTIG: Empfängerliste vor jeder Antwort prüfen[/EXAMPLE]

Häufigste E-Mail-Pannen: • Verwechslung ähnlicher E-Mail-Adressen (Auto-Complete!) • "Alle antworten" statt "Antworten" • Falscher Anhang (z.B. persönliche statt anonymisierte Daten) • BCC vergessen bei Sammel-E-Mails → Bei Fehler: SOFORT Datenschutzbeauftragten informieren!

2. Arbeitsplatz & Dokumente (Clean-Desk-Policy)

Clean-Desk-Regeln: ✓ Schreibtisch aufräumen vor Feierabend und bei längerer Abwesenheit ✓ Dokumente mit personenbezogenen Daten in abschließbaren Schrank ✓ Bildschirmsperre bei Abwesenheit aktivieren (auch nur 2 Minuten!) ✓ Keine sensiblen Ausdrucke auf dem Drucker liegen lassen ✓ Besucher sollten keine Dokumente auf Ihrem Schreibtisch lesen können ✓ Whiteboard mit sensiblen Infos nach Meeting löschen

Schreibtisch-Check vor Feierabend: □ Alle Dokumente weggeschlossen? □ Bildschirm gesperrt oder heruntergefahren? □ Keine Notizzettel mit sensiblen Daten sichtbar? □ Post-its mit Passwörtern entfernt? □ Aktenordner im Schrank? → Erst dann: Guten Feierabend! ✓

Entsorgung: ✓ Papier mit personenbezogenen Daten: Aktenvernichter (Sicherheitsstufe P-4 oder höher) ✓ Nicht in den normalen Papierkorb! ✓ CDs, DVDs, USB-Sticks: Professionelle Vernichtung ✓ Festplatten: Spezielle Datenlöschung oder physische Zerstörung

Dumpster Diving ist real! Kriminelle durchsuchen Papiermüll nach wertvollen Daten. Schon eine weggeworfene Kundenliste oder ein Organigramm kann für Identity Theft oder Social Engineering genutzt werden.

3. Passwörter & Zugangskontrollen

Passwort-Regeln: ✓ Mindestens 12 Zeichen (besser: 16+) ✓ Kombination aus Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen ✓ Keine Wörterbuch-Wörter ✓ Kein Geburtsdatum, Name von Angehörigen ✓ Für jeden Dienst ein anderes Passwort ✓ Passwort-Manager nutzen (empfohlen!) ✓ Zwei-Faktor-Authentifizierung (2FA) aktivieren

Merktechnik für sichere Passwörter: Methode: Anfangsbuchstaben eines Satzes + Zahlen + Sonderzeichen

Beispiel: "Ich fahre jeden Morgen um 7 Uhr mit dem Fahrrad zur Arbeit!" → Passwort: IfjMu7UmdFzA!

So ist das Passwort sicher UND merkbar![/TIP]

Passwort-Verbote: ✗ Passwörter niemals teilen (auch nicht mit Kollegen!) ✗ Nicht auf Zetteln notieren (auch nicht "versteckt") ✗ Nicht in Excel-Tabellen speichern ✗ Nicht per E-Mail oder Chat versenden ✗ Nicht bei fremden Computern speichern (z.B. Hotel-Business-Center) ✗ Gemeinsame Accounts vermeiden - jeder braucht eigenen Zugang!

Typische Fehler: ✗ Post-it mit Passwort am Monitor ✗ Passwort unter Tastatur oder Schreibtischunterlage ✗ Passwortliste im ungeschützten Ordner "Passwörter" ✗ Passwort: "Passwort123" oder "Sommer2024" ✗ Kollegen das eigene Passwort geben, weil "schneller"

Bei Ausscheiden von Mitarbeitern: ✓ IT sofort informieren ✓ Alle Zugänge sperren lassen (E-Mail, Systeme, Gebäude) ✓ Firmeneigene Geräte zurückfordern ✓ Passwörter von Shared-Accounts ändern

4. Mobile Arbeit, Home-Office & Unterwegs

WLAN-Sicherheit: ✓ Nur sichere, verschlüsselte Netzwerke (WPA2/WPA3) ✓ Kein öffentliches WLAN für sensible Firmendaten! ✓ Bei Zweifel: VPN nutzen (Virtual Private Network) ✓ Home-Office-WLAN: Starkes Passwort, regelmäßig ändern

Öffentliches WLAN ist gefährlich! Flughafen, Café, Hotel: Hacker können Datenverkehr abfangen. ✗ Niemals: Online-Banking, Firmen-E-Mails, Kundendaten ✓ Stattdessen: Handy-Hotspot oder VPN verwenden

Gerätesicherheit: ✓ Festplattenverschlüsselung aktivieren (Windows: BitLocker, Mac: FileVault) ✓ Bildschirmsperre nach 5 Minuten Inaktivität ✓ Aktuelle Antivirensoftware ✓ Regelmäßige Software-Updates ✓ Firmen-Laptop niemals unbeaufsichtigt lassen (auch nicht "nur kurz") ✓ Blickschutzfolie für Bildschirm bei Arbeiten in Zug/Flugzeug

Unterwegs: ✓ Nicht in öffentlichen Verkehrsmitteln über sensible Projekte telefonieren ✓ Nicht über Schulter schauen lassen (Shoulder Surfing) ✓ Laptop im Kofferraum statt sichtbar im Auto ✓ Bei Hotelübernachtung: Laptop im Safe ✓ Keine Firmendaten auf privatem USB-Stick

Praxisfall: Laptop-Diebstahl

Situation: Mitarbeiter arbeitet in Café, geht kurz zur Toilette, lässt Laptop unbeaufsichtigt. Laptop wird gestohlen.

Problem: ✗ Laptop nicht verschlüsselt → Daten lesbar ✗ Automatische Anmeldung aktiviert → Zugriff auf alles ✗ Kundendaten auf Desktop gespeichert

Folgen: • Datenpanne-Meldung erforderlich (72 Stunden!) • Benachrichtigung aller betroffenen Kunden • Mögliches Bußgeld • Reputationsschaden

Richtig wäre gewesen: ✓ Laptop mitnehmen (auch zur Toilette) ✓ Festplatte verschlüsselt ✓ Bildschirmsperre aktiv ✓ Sofort IT informieren bei Verlust (Remote-Löschung)[/EXAMPLE]

Home-Office-Besonderheiten: ✓ Separater Arbeitsbereich (wenn möglich) ✓ Dokumente für Familienmitglieder nicht zugänglich ✓ Bei Video-Calls: Hintergrund prüfen (keine sensiblen Dokumente sichtbar) ✓ Drucker-Sicherheit: Ausdrucke sofort entnehmen ✓ Keine Firmendaten auf privaten Cloud-Speichern (Dropbox privat, etc.) ✓ Nach Feierabend: Laptop zuklappen und wegschließen

5. Telefon & Videokonferenzen

Telefon-Regeln: ✓ Vertrauliche Gespräche in geschlossenen Räumen (nicht Großraumbüro) ✓ Nicht in öffentlichen Bereichen (Bahnhof, Café) über sensible Daten sprechen ✓ Bei Rückruf: Identität des Anrufers prüfen (Social Engineering!) ✓ Nicht sofort alle Informationen herausgeben

Social Engineering per Telefon: "Hallo, hier ist Thomas aus der IT-Abteilung. Ich muss kurz Ihr Passwort prüfen..." → STOP! Das ist ein Betrugsversuch!

IT wird NIEMALS nach Passwörtern fragen! ✓ Auflegen und bei IT zurückrufen (offizielle Nummer)[/WARNING]

Videokonferenzen: ✓ Hintergrund prüfen vor Meeting-Start (keine Whiteboards mit sensiblen Infos) ✓ Aufzeichnung nur mit Einwilligung ALLER Teilnehmer ✓ Teilnehmerliste prüfen (keine Unbefugten im Call?) ✓ Warteraum-Funktion nutzen ✓ Bildschirmfreigabe: Nur das Fenster freigeben, das nötig ist (nicht ganzer Desktop) ✓ Nach Meeting: Aufzeichnung löschen, wenn nicht mehr benötigt

Video-Call-Checkliste: □ Kamera-Hintergrund geprüft? (keine sensiblen Dokumente sichtbar) □ Nur notwendige Teilnehmer eingeladen? □ Warteraum aktiviert? □ Aufzeichnung wirklich nötig? Wenn ja: Einwilligung eingeholt? □ Bildschirmfreigabe: Benachrichtigungen ausgeschaltet? □ Privater Chat geschlossen?

6. Social Media & Online-Verhalten

Verboten: ✗ Keine Kundeninformationen in sozialen Medien posten ✗ Keine Fotos vom Arbeitsplatz mit sichtbaren Daten/Dokumenten ✗ Keine Details zu Kundenprojekten (auch nicht "allgemein") ✗ Keine internen Diskussionen in öffentliche Gruppen ✗ Keine Screenshots von Systemen mit Kundendaten

Beliebte Fehler auf Social Media: ✗ LinkedIn-Post: "Heute tolles Meeting mit Firma XY zur Implementierung von..." → Kunde nicht öffentlich! ✗ Facebook-Foto: Schreibtisch mit sichtbarer Kundenliste im Hintergrund ✗ Twitter: "Kunde Z hat schon wieder Probleme mit..." → Rufschädigung! ✗ Instagram-Story: Büro mit Whiteboard voll Projektdetails

WhatsApp, Messenger & Co: ✓ WhatsApp/Signal für geschäftliche Kommunikation nur nach Rücksprache ✓ Keine sensiblen Kundendaten per Messenger ✓ Geschäftliche und private Kontakte trennen ✓ Bei Ausscheiden: Alle geschäftlichen Chats löschen

7. Besondere Situationen

Besucher im Büro: ✓ Bildschirm sperren bei Besuchern ✓ Dokumente umdrehen oder wegschließen ✓ Besucherausweis prüfen ✓ Fremde Personen nicht unbeaufsichtigt lassen

Dienstleister/Externe: ✓ Nur notwendige Zugänge gewähren ✓ Zugang zeitlich begrenzen ✓ Nach Projektende: Zugang sofort entziehen ✓ Auftragsverarbeitungsvertrag (AVV) prüfen

Notizen & Mindmaps: ✓ Keine personenbezogenen Daten auf Whiteboards in öffentlichen Bereichen ✓ Nach Meeting: Whiteboard fotografieren und dann löschen ✓ Flipcharts mit Kundendaten nicht im Flur stehen lassen

MERKSÄTZE für den Alltag:

Die goldenen Regeln: ✓ "Zweimal denken, einmal klicken" ✓ "Im Zweifel nachfragen" ✓ "Lieber zu vorsichtig als zu nachlässig" ✓ "Was auf dem Bildschirm ist, gehört nicht in Social Media" ✓ "Clean Desk = Protected Data" ✓ "Datenschutz ist keine Extraaufgabe, sondern Teil jeder Aufgabe"

Denken Sie daran: Datenschutz schützt nicht nur das Unternehmen und Ihre Kunden, sondern auch SIE selbst! Ihre eigenen Daten verdienen denselben Schutz, den Sie den Daten anderer geben.