EU-Regeln im Griff

Wann die neue EU-Datenschutzgrundverordnung in Kraft tritt, weiß niemand genau. Experten rechnen allerdings damit, dass spätestens 2015 der Datenschutz in der Europäischen Union länderübergreifend einheitlich geregelt wird. „Zwar zählt Deutschland hier sicher zu den Vorreitern“, sagt Stefan Janssen. Genügend Handlungsbedarf sieht der Europachef des E-Learning-Anbieters Skillsoft dennoch. Denn: Speziell der Datenschutz ist ein so heißes Thema, dass etliche Mittelständler sich weigern, offen darüber zu reden.

Nicht so Andreas Nau. Der Geschäftsführer von Easysoft ist sensibilisiert durch den Markt, in dem sich sein Unternehmen bewegt. „In der Gesundheitsbranche ist der Datenschutz sakrosankt“, so der 47-jährige Chef der Softwareschmiede aus St. Johann in Baden-Württemberg. Heilig deshalb, weil Krankenhäuser oder Kliniken richtig Ärger bekommen, wenn publik wird, dass sie fahrlässig mit Krankendaten umgehen. Nau hält sich darum sehr genau an die gesetzlichen Vorgaben und hat etwa einen externen Rechtsanwalt als Datenschutzbeauftragten bestellt. Seine Mitarbeiter schult der IT-Unternehmer einmal im Jahr und lässt sie die eigens ausgearbeiteten Datenschutzrichtlinien der Firma unterschreiben. Darin ist etwa geregelt, wie sie mit Firmensoftware und Passwörtern umzugehen haben. Oder dass beim Firmenhandy alle Internetverbindungen gekappt werden, sobald es sich in das WLAN des Betriebes einloggt. Geregelt ist auch die private Nutzung von Plattformen wie Facebook und Xing sowie der Umgang mit privaten E-Mails während der Arbeitszeit.

In Sachen Datenschutz hält Nau seinen Betrieb für vorbildlich – zumindest was den aktuellen Stand der Technik angeht. „Falls morgen Neuheiten auftauchen, haben auch wir Handlungsbedarf“, so der Chef, der beobachtet, dass nicht alle Kunden oder Dienstleister auf die er trifft, so genau mit dem Datenschutz umgehen. Dabei sind die Regeln klar: Ein Blick in Paragraph neun des Bundesdatenschutzgesetzes hilft. Dort steht, dass derjenige, der Daten erhebt, verarbeitet oder nutzt, die technischen und organisatorischen Maßnahmen zu treffen hat, um einen Missbrauch zu vermeiden. Übersetzt heißt das etwa bei einem Onlineshop: Daten der Kunden müssen unveränderbar sein, die Internetverbindung sollte verschlüsselt sein (https) und Bankabbuchungsermächtigungen müssen vor Missbrauch geschützt werden. „Leichter gesagt als getan“, meint Herbert Wolf, der für Firmen als deren Datenschutzbeauftragter agiert. Ein offenes Fenster im EDV-Raum reiche schon, um hier eine Sicherheitslücke zu verursachen. Oder der Administrator einer Firma ist in Personalunion Datenschutzbeauftragter. „Ein No Go“, wie der Experte findet. Denn der Mann könne sich schließlich nicht selbst kontrollieren. Sicherheitslücken seien nach wie vor etwa Passwörter, die am Bildschirm kleben. Oder Gespräche, die im persönlichen Kundenverkehr von Dritten mitgehört werden können. Etwa am Schalter einer Bank oder in der Beratung in einem Reisebüro. Fatal seien ebenso einsehbare Bildschirme in Arztpraxen, „weil hier Gesundheitsdaten offen liegen“, wie Wolf erklärt.

Rechtssicherer Umgang mit Bewerberdaten

Damit Chefs und Mitarbeiter überhaupt wissen, wie sie mit persönlichen Daten von Kunden oder Patienten umgehen müssen und wo Lecks entstehen können, helfen Schulungen. Janssen weiß um die Dringlichkeit. Spätestens seitdem die EU 2006 das Allgemeine Gleichbehandlungsgesetz (AGG) eingeführt hat, werden Mittelständler immer wieder verklagt, weil sie etwa im Umgang mit Bewerberdaten Fehler begehen, so der Europachef. Das gelte auch für den Umgang mit Onlinebewerbungen. Hat ein Unternehmen dafür beispielsweise ein eigenes Internetportal eingerichtet, muss die IT gewährleisten, dass Daten der Bewerber vertraulich bleiben. Dazu gehört grundsätzlich, dass nur die Personen darauf zurückgreifen können, die am Einstellungsverfahren beteiligt sind. „Also nicht der Pförtner oder Sachbearbeiter XY“, wie Janssen verdeutlicht.

Abhilfe schaffen sogenannte Compliance-Kurse. Diese gibt es zu Themen wie Datenschutz und Telegesetz oder dem AGG. Darunter können aber genauso Schulungen fallen zum Arbeitsrecht, zum Insiderhandel, zur Geldwäsche, zur Produkthaftung oder zum  Medizinproduktegesetz. „Das Angebot ist breit“, sagt Janssen. Vor allem für Unternehmen wie Easysoft, die bei Kunden IT-Zertifikate oder Sicherheitssiegel vorlegen müssen, um in die Lieferantenliste aufgenommen zu werden, sind ständige Schulungen Pflicht.

Bildquelle: © Wandersmann/pixelio.de