Richtlinien zum Datenschutz und zur Informationssicherheit im Unternehmen schaffen Klarheit über gewünschtes Verhalten, Pflichten und Verbote für Mitarbeiter. Mit gut implementierten und durch das Management vorgelebten Richtlinien beugen Sie Datenmissbrauch vor und schaffen ein transparentes Arbeitsklima. Welche Richtlinien Sie dafür benötigen, was diese enthalten sollten und wie Sie die Richtlinien am besten umsetzen, zeigt Ihnen unsere Anleitung.
Warum brauchen Unternehmen Sicherheits- und Datenschutzrichtlinien?
Wenn es um den Schutz von Daten geht, kommen Verantwortlichen oft zuerst Hacker-Angriffe von außen als mögliche Bedrohung in den Sinn. Doch häufig ist das Aussickern von Informationen oder der Datenverlust durch Unternehmensangehörige verschuldet – oft eher aus Unwissenheit, denn aus böser Absicht. Gut durchdachte Sicherheits- und Datenschutzrichtlinien sind ein effektives Mittel, um ein Bewusstsein für den richtigen Umgang mit vertraulichen Informationen zu schaffen.
Sie können sogar dazu beitragen, den absichtlichen Missbrauch von Daten zu verhindern. Denn leider kann auch aus dem ehemals treuen Mitarbeiter unter Umständen ein Innentäter werden, der seine Zugangsberechtigungen ausnutzt und sensible Informationen in Hände spielt, in die sie nicht gehören. Wiegen solche Risiken in einer Organisation besonderes schwer, mag es nahe liegen, strikte Überwachungsmechanismen einzuführen. Doch dem steht nicht nur entgegen, dass das Betriebsklima hierdurch leiden könnte, es sind auch gesetzliche Regelungen zu beachten, die eine Überwachung von Mitarbeitern nur eingeschränkt zulassen.
Auch hier können Richtlinien helfen. Zwar wird eine Sicherheits- oder Datenschutzrichtlinie an der grundsätzlichen Motivation eines potenziellen Innentäters nicht unbedingt etwas ändern. Aber geschickt umgesetzt, können Richtlinien im Unternehmen ein Umfeld schaffen, das den vorsätzlichen Missbrauch zumindest deutlich erschwert und die Mitarbeiteraufmerksamkeit schult.
Zudem schreibt die europäische Datenschutz-Grundverordnung (DSGVO) vor, dass das Mitarbeiterverhalten in Richtlinien z. B. zur Informationssicherheit und IT-Nutzung vorgegeben werden soll. Dies lässt sich aus Art. 32 Abs. 4 DSGVO sowie der Rechenschaftspflicht gem. Art. 5 Abs. 2 DSGVO ableiten.
Wie können Richtlinien effektiv eingesetzt werden?
Der entscheidende Punkt dabei ist, die Unternehmensmitglieder davon zu überzeugen, dass der Schutz vertraulicher Daten ihrem eigenen Wohl dient. In der Richtlinie sollte daher glaubhaft aufgezeigt werden, welche Bedeutung der Datenschutz für die Existenz des Unternehmens und damit auch der Arbeitsplätze hat. Auch sollte ausgeführt werden, dass die Regelungen zu einem wesentlichen Teil dazu dienen, die persönlichen Daten der Beschäftigten selbst zu schützen.
Eine sinnvoll ausgearbeitete Richtlinie motiviert die Mitarbeiter dazu, sie einzuhalten und darauf zu achten, dass sie von anderen Organisationszugehörigen eingehalten wird. Gleichzeitig macht sie von Anfang an klar, welche Strafen drohen, wenn gegen sie verstoßen wird. Im Rahmen eines Whistleblowing-Verfahrens können Mitarbeiter aktiv und anonym dabei helfen, geschäftsschädigendem Verhalten vorzubeugen und sich damit gleichzeitig selbst einen Gefallen tun. Somit kann eine durchdachte Sicherheitsrichtlinie schwer durchsetzbare und aufwendige Überwachungsmechanismen überflüssig machen.
Was sind die wichtigsten Richtlinien für Ihr Unternehmen?
- Sicherheitsrichtlinie: enthält Grundsätze, Ziele, Maßnahmen und Verantwortlichkeiten für die Gewährleistung der IT-Sicherheit
- IT-Nutzungsrichtlinie: regelt die ordnungsgemäße Nutzung von Endgeräten und Datenträgern durch Mitarbeiter
- Datenschutznotfallrichtlinie: beugt der unrechtmäßigen Offenlegung von persönlichen Informationen vor und gibt Handlungsanweisungen im Schadensfall
- Datenschutzkonzept: beschreibt die konkreten technischen und organisatorischen Maßnahmen, die zur Daten- und Informationssicherheit beitragen (Nutzen Sie unsere kostenlose Vorlage für ein Datenschutzkonzept)
Was sind die wichtigsten Inhalte für Ihre Richtlinien?
- Betroffene Arbeitsprozesse und Verfahren
- Bedarf und Ziele des Schutzes
- Gesetzliche Verordnungen und Standards
- Kurze und prägnante Ausformulierung der Schutzmaßnahmen
- Konsequenzen der Nichtbeachtung
- Kontaktdetails der Verantwortlichen und Ansprechpartner
- Verweis auf Vertraulichkeit von Missstandsmeldungen
Wie werden Richtlinien erfolgreich implementiert?
- Der Nutzen der Regelungen für die Mitarbeiter selbst sollte deutlich werden (Schutz von Arbeitsplätzen, Schutz der personenbezogenen Daten der Mitarbeiter)
- Die Mitarbeiter sollten mit ins Boot geholt werden, um die gemeinsamen Ziele zu erreichen. Die Richtlinie sollte dazu animieren, sich für die Sicherheit von unternehmenseigenen Informationen einzusetzen.
- Es sollte deutlich sein, dass die Geschäftsleitung voll und ganz hinter der Sicherheitsrichtlinie steht. Sonst wird sie auch von den Mitarbeitern nicht ernst genommen.
- Die Richtlinie sollte im Unternehmen von Vorgesetzten vorgelebt werden. Eine allgemeine Nichtbeachtung kann ansonsten dazu führen, dass sich der Arbeitgeber bei arbeitsrechtlichen Sanktionen nicht mehr auf die Richtlinie stützen kann.
- Es sollte detaillierte Prozess- und Verfahrensanweisungen geben, die den operativen Mitarbeitern zur korrekten Ausführung der Richtlinieninhalte verhelfen.
- Den Mitarbeitern sollte klar sein, wie Sie sich verhalten sollen, wenn sie relevante Vorfälle beobachten. Die Hürde, um aktiv zu werden, sollte so gering wie möglich sein.
- Die Einhaltung der Richtlinie sollte in regelmäßigen Abständen von einem festgelegten Zuständigen überprüft werden, Inhalte der Richtlinien sind ggfs. zu aktualisieren.
Dieser aktualisierte Artikel wurde zuerst am 13. Juni 2012 veröffentlicht.
In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.