6 Datenschutz-Tipps, die viel Ärger ersparen

Datenschutz und Datensicherheit gehören bei jedem Unternehmen, das personenbezogene Daten verarbeitet und in diesem Sinn auch Vertrags- und/oder Personalakten führt, auf die Agenda. Ende April 2017 hat der Bundestag ein neues Bundesdatenschutzgesetz (BDSG) verabschiedet. Damit richtet sich Deutschland rechtlich auf die EU-Datenschutz-Grundverordnung (DSGVO) aus, die am 25. Mai 2018 in Kraft tritt.

Für Unternehmen ergeben sich aus der veränderten Gesetzeslage etliche Neuerungen, die es unter allen Umständen zu berücksichtigen gilt. Ansonsten drohen schwerwiegende rechtliche Konsequenzen - einschliesslich empfind­licher Geldstrafen. Durch den Einsatz eines modernen Dokumentenmanagement-Systems (DMS) erhalten Unternehmen eine wirkungsvolle Unterstützung bei der rechtskonformen Umsetzung von Datenschutz- und Datensicherheitsanfor­derungen.

Unabhängig davon, ob es sich um Verträge, Prozessdokumentationen oder Personalunterlagen handelt - alle Dokumente, die personenbezogene Daten enthalten, erfordern aus datenschutzrechtlicher Sicht einen besonders sensiblen Umgang. Zunächst einmal legt die DSGVO einige Grundsätze hinsichtlich der Erhebung, Verarbeitung und Speicherung solcher Daten fest. Unternehmen müssen alle aktuellen Prozesse und bestehenden Systeme einer eingehenden Prüfung unterziehen und gegebenenfalls anpassen beziehungsweise neue Prozesse und Systeme gleich unter Einhaltung aller Datenschutzbedingungen etablieren.

Die folgenden Tipps helfen dabei, das Daten- und Dokumentenmanagement rechtskonform zu gestalten.

Richten Sie ein Datenschutzmanagementsystem ein. Die DSGVO beziehungsweise das neue BDSG enthält strukturierte Anforderungen dazu, wie Datenschutz im Unternehmen aussehen soll. Hierbei ist von "geeigneten technischen und organisatorischen Massnahmen" die Rede, die die Einhaltung der Datenschutzgrundsätze garantieren sollen, um einerseits Daten vor unrechtmässiger Verarbeitung, Verlust, Zerstörung oder Beschädigung zu schützen und andererseits die Betroffenenrechte zu wahren.

Um diese Anforderungen gewährleisten zu können, müssen Unternehmen ein Datenschutzmanagementsystem einführen, das alle Prozesse und Regelungen, die das Unternehmen zur Einhaltung von Datenschutz und Datensicherheit festlegt, dokumentiert und verwaltbar macht.

An dieser Stelle kann ein modernes Dokumentenmanagementsystem dafür sorgen, dass alle erforderlichen Datenschutzunterlagen vorliegen. Dazu gehören nicht nur Dokumente wie Vertrags- und Personalakten, die direkt personenbezogene Daten enthalten, sondern auch Vorgabe- und Nachweisdokumente, beispielsweise Prozessdokumentationen wie Arbeitsanweisungen oder Einwilligungserklärungen.

Entscheidend für die Einhaltung der Datenschutzanforderungen ist dabei stets die Aktualität dieser Dokumente: Arbeiten die betroffenen Mitarbeiter noch im Unternehmen? Sind die Verträge noch gültig? Haben sich unter Umständen Zuständigkeiten geändert? Ein DMS kann die regelmässige Überprüfung automatisch veranlassen. Für die Durchführung von Zertifizierungs-Audits, die die DSGVO anzustreben empfiehlt, schafft ein DMS zudem die optimale Basis, um die Einhaltung von Datenschutz- und Datensicherheitsbestimmungen gegenüber dem Prüfer nachzuweisen.

Gewährleisten Sie die sichere Verfügbarkeit von Daten. Die Systeme im Unternehmen, die personenbezogene Daten speichern und verarbeiten, müssen zuverlässig betriebsbereit sein, damit ausschliesslich der berechtigte Zugriff auf relevante Daten gewährleistet ist. Ein DMS sorgt beispielsweise dafür, dass Mitarbeiter auf die für ihre Arbeit notwendigen Dokumente, beispielsweise Kundenverträge, verlässlich zugreifen können.

Auch aus datenschutzrechtlicher Sicht ist die Verfügbarkeit wichtig: Hintergrund sind zum einen die Rechte der Betroffenen, also jener Personen, deren Daten verarbeitet werden. Mitarbeiter, Vertragspartner und Kunden haben ein Informationsrecht, wo das Unternehmen welche Daten über sie vorliegen hat und zu welchem Zweck es sie verwendet. Dank Such- und Filterfunktionen ermöglicht ein DMS den Unternehmen, schnell und einfach den Überblick über die vorhandenen Datenbestände zu behalten und damit auch die Einhaltung datenschutzrechtlicher Vorschriften belegen zu können.

Zum anderen müssen laut DGSVO jedwede Vorfälle, bei denen die Sicherheit personenbezogener Daten gefährdet ist, unverzüglich der jeweiligen Datenschutzbehörde angezeigt werden. Die geforderte sorgfältige Dokumentation dieser Vorfälle lässt sich nur dann fristgerecht und unkompliziert erstellen und an die Behörde übermitteln, wenn zuvor alle Prozess-Schritte der Datenverarbeitung - etwa mit Hilfe eines DMS - festgehalten wurden.

Sichern Sie die Vertraulichkeit und Integrität Ihrer Daten. So wichtig der Zugriff auf personenbezogene Daten ist, um Unternehmens- und Arbeitgeberaufgaben adäquat erfüllen zu können, so unverzichtbar ist es auch, den Zugang zu beschränken, damit die Daten nur für diejenigen verfügbar sind, die sie tatsächlich benötigen (Vertraulichkeit). Auch wer Daten eingibt, verändert oder löscht, muss zum Schutz der Betroffenenrechte und zur Gewährleistung der Datensicherheit nachvollziehbar sein (Integrität).

Dies lässt sich beispielsweise über ein DMS lösen, das alle Versionierungen von Dokumenten protokolliert und erfasst, wer wann welche Änderungen vorgenommen hat. In einem DMS lassen sich daher rollenbasierte Zugriffsberechtigungen für bestimmte Personen oder Personengruppen einrichten. Im Sinne der Vertraulichkeit gehört beispielsweise auch dazu, dass Protokolle der Eingabekontrolle etwa nur zur Gewährleistung von Informationssicherheit und Datenschutz und nicht zur Arbeitszeitkontrolle verwendet werden.

Erheben und verarbeiten Sie Daten ausschliesslich recht- und zweckmässig. Rechtmässig ist die Erhebung und Verarbeitung personenbezogener Daten nur dann, wenn eine Einwilligung des Betroffenen vorliegt oder ein gesetzlicher Erlaubnis-Tatbestand besteht und die Verarbeitung für die dort bestimmten Zwecke erforderlich ist. Erforderlich ist eine solche Verarbeitung beispielsweise für die Erfüllung eines Vertrags.

Entscheidend ist, dass die Datenerhebung und -verarbeitung stets an einen bestimmten Zweck gebunden ist. Damit einhergeht, dass Art und Umfang dem Zweck angemessen sein müssen, also Unternehmen nicht mehr Daten verarbeiten, als notwendig ist, um einen bestimmten Zweck zu erfüllen.

Mit einem DMS können Sie durch rechtskonforme Dokumentenvorlagen beziehungsweise durch die Voreinstellung bestimmter Felder dafür sorgen, dass die Datenerhebung dieser Zweckbindung recht- und zweckmässig entspricht. Indem Unternehmen wirklich nur jene Daten erheben und verarbeiten, die für den Vorgang – zum Beispiel für die Ausgestaltung eines Arbeits- oder Kaufvertrags - relevant sind, können sie dokumentenbasierte Prozesse nicht nur effizienter steuern, sondern bleiben zudem in Sachen Datenschutz auf der sicheren Seite.