eblmedium DATENSCHUTZ Ausgabe 3 SICHERHEIT FÜRSORGEPFLICHT RECHT Datenschutz In der Region. Für die Region.

Transkript

1 In der Region. Für die Region. SICHERHEIT DATENSCHUTZ FÜRSORGEPFLICHT RECHT eblmedium 2013 Ausgabe 3 Eine Informationsbroschüre des ebusiness-lotsen Mittelhessen Datenschutz Diese Broschüre vermittelt Basisinformationen zum Thema Datenschutz in kleinen und mittleren Unternehmen (KMU) und gibt Ihnen anhand von Beispielen Handlungsempfehlungen, wie Sie den Datenschutz in Ihrem Unternehmen mit wenig Aufwand effektiv steigern können.

2 Redaktion Janine Lauster Gießen Bildnachweis Fotolia Guido Vrola, Elnur, Sergey Nivens, olly, ruigsantos, reka100, Kirill Kedrinski Druck Druckhaus Marburg Auflage 500 Impressum Herausgeber ebusiness-lotse Mittelhessen Gießen Stand August 2013

3 Inhalt Kapitel 1: Warum Datenschutz?... 6 Kapitel 2: Datenschutz am Arbeitsplatz... 9 Kapitel 3: Datenschutz beim -Versand Kapitel 4: Datenschutz lernen Kapitel 5: Datenschutzgerechte Datenträgervernichtung... 17

4

5 1 Warum Datenschutz?

6 1 Gründe 1 Die Gründe für den Datenschutz Datenschutz wird als Schutz des Rechts auf informationelle Selbstbestimmung bzw. als Schutz des Persönlichkeitsrechts bei der Verarbeitung personenbezogener Daten ( 1 Bundesdatenschutzgesetz, BDSG) angesehen. Durch die fortschreitende Entwicklung der Digitaltechnik ist die Bedeutung des Datenschutzes gestiegen, auch weil die Erfassung, Verarbeitung und Weitergabe personenbezogener Daten technisch immer einfacher wird. Per , SMS, Facebook, Whatsapp und Chats verteilen und verbreiten wir immer öfter teils sehr persönliche Daten. Im Unternehmen fallen eine Vielzahl personenbezogener Daten von Kunden, Lieferanten oder Mitarbeitern an, die auf einen vertrauenswürdigen und korrekten Umgang mit ihren Daten hoffen. Für den Fall, dass in Ihrem Unternehmen mehr als neun Mitarbeiter regelmäßig mit automatisierter personenbezogener Datenverarbeitung befasst sind, legt 4f Bundesdatenschutzgesetz fest, dass ein betrieblicher Datenschutzbeauftragter (intern oder extern) bestellt werden muss. Abgesehen von zahlreichen gesetzlichen Verpflichtungen zum Datenschutz ist mittlerweile eine hohe Sensibilität zum Thema Datenschutz in der Gesellschaft festzustellen. Die nachfolgende Abbildung macht deutlich, dass die Bedeutung von IT-Sicherheit auch in kleinen und mittelständischen Unternehmen verstärkt anwächst. Abbildung 1: Bewertung der Bedeutung von IT-Sicherheit im Unternehmen 1 1 WIK-Consult Studie IT-Sicherheitsniveau in KMU 2011/12 6

7 Gründe 1 So belegt eine repräsentative Studie 2 mit 6400 teilnehmenden Unternehmen, dass 71 % der Befragten auf Kundenseite im Falle des Datenverlusts ernsthaft darüber nachdenken würden, dem entsprechenden Unternehmen den Rücken zu kehren. Die Studie zeigt weiter auf, dass das Training von Mitarbeitern und erforderliche Technologien zum Datenschutz im Unternehmen oftmals vernachlässigt würden. Datenschutz muss daher nicht nur Pflichtaufgabe sein - der korrekte Umgang mit dem Datenschutz kann auch als Marketinginstrument und zur Imagepflege genutzt werden. 71% Abbildung 1: Bewertung der Bedeutung von IT-Sicherheit im Unternehmen 1 2 Edelmann Privacy Risk Index,

8 2 Datenschutz am Arbeitsplatz

9 Datenschutz am Arbeitsplatz 2 2 Der Mensch im Mittelpunkt - Datenschutz am Arbeitsplatz Die aufgeführten Datenpannen sind Beispiele, die zeigen, wie schnell aus Unachtsamkeit oder Unwissenheit Pannen passieren können, die nicht nur einen Datenschutzverstoß darstellen, sondern auch verheerende und unabsehbare Folgen für Ihr Unternehmen und seinen Ruf haben können. Panne 1 // Eine Mitarbeiterin versendet eine an alle Kunden des Unternehmens mit allen Empfängeradressen im sichtbaren Adressfeld cc:. Hintergrund // Eine schreiben kann doch jeder, sicherer Umgang mit Office-Programmen wird schließlich in jeder Stellenanzeige vorausgesetzt, denken Sie. Aber haben Sie schon einmal kontrolliert, ob Ihre Mitarbeiter die s Ihres Unternehmens professionell und datenschutzgerecht versenden? Und wie reagieren Sie bei festgestellten Mägeln? Empfehlung // Bieten Sie Ihren Mitarbeitern Schulungen oder Workshops zu diesem Thema an! Ihre Unterstützung gibt Ihren Mitarbeitern Sicherheit im täglichen Umgang mit den neuen Medien. Panne 2 // Ein Mitarbeiter probiert den auf dem Betriebsgelände gefundenen USB-Stick auf dem Dienst-PC aus. Hintergrund // Ein PC in der Firma ist sicher besser gegen Schadsoftware geschützt als der heimische Privat-PC, denkt sich der Mitarbeiter, nichts Böses ahnend. Es besteht in solchen Situationen jedoch die große Gefahr, dass der USB-Stick nicht nur zufällig dort lag, sondern womöglich dort platziert wurde, um unbemerkt Schadsoftware in Ihr Firmennetz zu schleusen. Empfehlung // Weisen Sie Ihre Mitarbeiter auf solche scheinbaren Zufälligkeiten und IT-Sicherheitsgefahren hin, insbesondere, wenn die USB-Sticks mit neugierig machenden Begriffen beschriftet sind, wie etwa Streng geheim, Urlaubsfotos FKK-Strand oder schlicht XXX. 9

10 2 Datenschutz am Arbeitsplatz Panne 3 // Ein Außendienstmitarbeiter verliert seinen Laptop mit Unternehmensdaten auf dem Flughafen. Hintergrund // Ihre Mitarbeiter passen schon auf? Der Wert eines verlorenen Laptops lässt sich verschmerzen, der Verlust von Unternehmensdaten kann unbezahlbar sein. Dazu ein paar Zahlen: Laptops gehen pro Woche in den 106 größten Flughäfen der USA verloren 3. Ca Laptops gehen pro Woche in den sieben größten Flughäfen Europas verloren, dabei allein 300 in Frankfurt am Main - pro Woche! Mehr als die Hälfte der abhanden gekommenen Laptops enthielten dabei vertrauliche Daten. Sicherungsmaßnahmen haben jedoch nur ca. ein Drittel der Laptop-Besitzer ergriffen. Empfehlung // Sichern Sie Ihre Laptops z. B. mit einer vollständigen Festplattenverschlüsselung, so sind Ihre Daten im Verlustfall vor Missbrauch geschützt. Panne 4 // Vertrauliche Vertragsunterlagen werden im Altpapier entsorgt, ohne diese vorher im Aktenvernichter zu schreddern. Hintergrund // Es müssen nicht einmal gezielte Angriffe auf Ihr Unternehmen sein, die meist - harmlos aussehend - in Ihrem Altpapiercontainer beginnen, aber auch schon das zufällige Bekanntwerden von sensiblen personenbezogenen Daten, z. B. einer Krankmeldung eines Mitarbeiters, ein Arztbericht oder ein Mahnschreiben eines Anwalts, kann für Ihr Unternehmen peinlich sein. Nebenbei verstoßen Sie auch gegen zahlreiche gesetzliche Datenschutzregeln. Empfehlung // Stellen Sie Ihren Mitarbeitern Papier- und CD-Schredder zur Verfügung und weisen Sie sie in die Benutzung ein. Gehen Sie mit gutem Beispiel voran und vernichten nicht mehr benötigte Unterlagen so, dass niemand Abbildung 1: sie Bewertung wiederherstellen Bedeutung kann. von IT-Sicherheit im Unternehmen 1 3 Studie des Ponemon Instituts,

11 ? NUR VERSCHLÜSSELT. 3 Datenschutz beim -Versand

12 3 -Versand 3 Sichere Kommunikation - Datenschutz beim -Versand s sind aus der Unternehmenskommunikation nicht mehr wegzudenken. Sie sind praktisch, schneller als ein Brief oder Fax, kostengünstig und platzsparend. Begleitet wird die umfangreiche Nutzung der elektronischen Post immer öfter durch Datenschutzrisiken. Wie Sie die wichtigsten Datenpannen bei der -Nutzung vermeiden, zeigen folgende Hinweise. -Adressen offen verteilt // Wer ein- und dieselbe an einen größeren Adressatenkreis verschicken will, muss sich genau überlegen, wie er das tut. Wenn jeder Adressat sehen kann, wer die noch erhalten hat, liegt im Regelfall ein Verstoß gegen den Datenschutz vor. Die Devise bei Adresslisten muss deshalb lauten: Versand per bcc: statt cc:! Wer alle Empfänger einer in das An: - oder das cc: -Feld der schreibt, liefert den Empfängern nicht nur die Information, wer außerdem alles diese empfangen hat, sondern gibt gleichzeitig dazugehörige -Adressen weiter - mit anderen Worten also schützenswerte personenbezogene Daten, deren Verarbeitung und Verbreitung nur mit einer gesetzlichen Grundlage oder einer Einwilligung des Betroffenen zulässig ist. Offen verschickte Adresslisten ermöglichen zudem den Einblick in Kundenkontakte des Konkurrenten. Ferner entlarvt sich der Versender als Laie im Umgang mit neuen Kommunikationsformen, was sowohl peinlich als auch unseriös sein kann. Links Sicherer -Versand 12 1) 2)

13 -Versand 3 Ihre Datensicherheit ist gefährdet! // Oft wird übersehen, dass es nachhaltige Probleme der Datensicherheit nach sich zieht, wenn s in der beschriebenen Art und Weise verschickt werden. Einige Schadprogramme verschicken sich selbstständig an jede -Adresse, die sie auf dem befallenen PC finden. Sie können Funktionen beeinträchtigen, vertrauliche Daten ausspionieren oder Spam versenden. Wird das oben empfohlene Verfahren (Versand über bcc: ) angewendet, können höchstens zwei -Adressen betroffen sein. Ganz anders sieht dies im Fall einer Massen- mit offenem Adressatenkreis aus. Hinzu kommt, dass durch die Versendung mittels einer offen gelegten Adressliste die erhaltenen -Adressen von den Empfängern für unverlangte Werbe- s genutzt werden können ( Spamming ). Haftungsrechtliche Konsequenzen können die Folge sein. Verschlüsseln - aber sicher // Vor dem Versand vertraulicher Informationen sollten Sie überlegen, ob ein Versand per wirklich sicher genug ist oder was der Verlust dieser Inhalte auf dem Übermittlungsweg für Folgen haben könnte - für den Empfänger, für den Ruf Ihres Unternehmens und für Sie selbst. Stellen Sie sich eine Vergleichsfrage für die analoge Welt: Würden Sie eine komplette Bewerbungsmappe, eine Erfindung oder Ihre EC-Karte nebst PIN, auf eine Postkarte geklebt, einfach so ungeschützt versenden? Würde Ihnen der Verlust etwas ausmachen? Sie zögern? Dann zögern Sie zu Recht. Vertrauliche s sollten Sie verschlüsseln, um den Inhalt möglichst sicher zu übermitteln. Mit einem -Zertifikat in Ihrem -Programm können s und Dateien einfach und kostenlos ver- und entschlüsselt, sowie ihre Integrität (Unverändertheit) und Authentizität (Herkunft) mittels digitaler Signaturen abgesichert und überprüft werden. 13

14 4 Datenschutz lernen

15 Lernen 4 4 Datenschutz lernen Datenschutz in Unternehmen entsteht nicht in erster Linie durch technische Lösungen wie etwa Router, Firewalls oder Virenscanner. Um Ihr Unternehmen vor den Gefahren aus dem Internet, vor Datenverlust und unbefugtem Zugriff zu schützen, müssen Sie noch einen Schritt früher beginnen. Wenn Ihre Mitarbeiter sorglos oder nachlässig mit Ihren Daten oder den Daten Ihrer Kunden umgehen, im Umgang mit Computern unsicher sind oder Ihnen wichtige Funktionen in Programmen nicht klar sind, helfen auch die besten technischen Schutzmaßnahmen nichts. Erforderlich ist daher ein grundlegendes Verständnis für die Bedeutung von IT-Sicherheit und Datenschutz. Weisen Sie Ihre Mitarbeiter in die von Ihnen bereitgestellte Technik ein, führen Sie regelmäßig Weiterbildungen oder Auffrischungsworkshops durch und informieren Sie sie über mögliche Gefahrenquellen, damit sie lernen, sich richtig zu verhalten. Wählen Sie zur Motivation Ihrer Mitarbeiter anschauliche Beispiele, am besten aus Ihrer betrieblichen Praxis. Engagieren Sie für Schulungen externe Fachleute. Sie als Geschäftsführer sollten sich aktiv beteiligen, Datenschutz und IT-Sicherheit vorleben und Ihre Mitarbeiter einbinden. Links Datenschutz-Selbstauskunft für KMU 1) DSiN Sicherheits-Check für KMU 2) 15

16 5 Datenträgervernichtung

17 Datenträgervernichtung 5 5 Datenschutzgerechte Datenträgervernichtung Unternehmen, die personenbezogene Daten verarbeiten, haben die datenschutzgerechte Verarbeitung der Daten sicherzustellen. 20 Abs. 2 Bundesdatenschutzgesetz (BDSG) schreibt vor, dass personenbezogene Daten zu löschen sind, sobald ihre Kenntnis für die verantwortliche Stelle zur Erfüllung ihrer Aufgaben nicht mehr erforderlich ist. Die letzte Phase der Datenverarbeitung ist das Löschen gespeicherter Daten und das Vernichten von Datenträgern. Datenträger sind u.a. Festplatten, CDs, Chipkarten, USB-Sticks, Disketten, optische Speicher, Thermobänder oder auch Papier. Soweit es sich um personenbezogene Daten handelt, sind die gesetzlichen Regelungen über den Zeitpunkt und die Art und Weise der Löschung zu beachten, z. B. handelsrechtliche oder steuerrechtliche Aufbewahrungsfristen. Vertrauliche Schriftstücke, Vertragsentwürfe etc. gehören niemals ins Altpapier, sondern in den Aktenvernichter. Das stark zerkleinerte Papier kann dann noch dem Papierrecycling zugeführt werden. Mit Aktenvernichtern können Papierdokumente, aber auch Chipkarten und CDs so zerschnitten werden, dass aus den Fragmenten die ursprünglichen Informationen nicht mehr ohne Weiteres ausgelesen werden können. Konkrete Aussagen über eine gesicherte Vernichtung von Informationsträgern enthält die DIN Diese Norm unterscheidet sieben Sicherheitsstufen bei der Vernichtung und berücksichtigt bei der Festlegung den Grad der Schutzwürdigkeit von Informationen, die physikalischen Eigenschaften von Informationsträgern und die zur Anwendung kommenden technischen Verfahren. 5 Tipps zur Datenträgervernichtung 1) Bewusst entsorgen! 2) Keine vertraulichen Unterlagen ins Altpapier! 3) Zerknüllen und Zerreißen reicht nicht! 4) Einzelne Blätter im Aktenvernichter schreddern! 5) Ganze Akten gehören in den Aktenvernichtungs-Container! Eine datenschutzgerechte Vernichtung von Papierunterlagen mit personenbezogenen Daten setzt eine Vernichtung nach DIN voraus, empfohlen wird mindestens Sicherheitsstufe 3, besser 4. Handelsübliche Crosscutter erfüllen üblicherweise schon die Sicherheitsstufe 5. 17

18 Datenschutzprojekt DACH Datenschutz - Awareness - Compliance - Hochschule Das Datenschutzprojekt DACH (Datenschutz - Awareness - Compliance - Hochschule) an der Technischen Hochschule Mittelhessen ist für vier Jahre angelegt und analysiert systematisch, welche Auswirkungen neue Instrumente wie zum Beispiel Internet-Plattformen und -Foren auf Datenschutz und Datensicherheit haben. Ferner will das Projektteam eine Awareness- und Compliance-Kampagne für die Beschäftigten der Hochschule entwickeln. Deren Ziel ist die Sensibilisierung der Mitarbeiter in Fragen des Datenschutzes und der Datensicherheit. Ein Anforderungskatalog für den gesetzeskonformen Datenschutz an einer Hochschule wird ein weiteres Arbeitsresultat des Projekts sein. Kooperationspartner sind der Hessische Datenschutzbeauftragte und die Zentrale Datenschutzstelle der baden-württembergischen Universitäten. Die Erfahrungen und Ergebnisse des Projektes werden vom ebusiness-lotsen Mittelhessen für Unternehmen in der Region aufbereitet. Andreas Heines, Assessor jur. Stellvertretender Datenschutzbeauftragter der Technischen Hochschule Mittelhessen Projekt Datenschutz - Awareness - Compliance - Hochschule andreas.heines@verw.thm.de

19 Besuchen Sie uns auch im Social Web unter: facebook.com/eblmittelhessen gplus.to/eblmittelhessen twitter.com/eblmittelhessen xing.com/companies/ebusiness-lotsemittelhessen

20 Das ekompetenz-netzwerk für Unternehmen Kiel Lübeck Hamburg Schwerin Neubrandenburg Bremen Lingen Osnabrück Münster Dortmund Iserlohn Paderborn Hannover Brandenburg a.d.h. Magdeburg Leipzig Berlin Potsdam Cottbus Frankfurt (Oder) Aachen Köln Gießen Ilmenau Chemnitz Dresden Koblenz Hof Darmstadt Würzburg Saarbrücken Kaiserslautern Nürnberg Stuttgart Regensburg Augsburg Weingarten Freilassing ebusiness-lotsen Das ekompetenz-netzwerk für Unternehmen ist eine Förderinitiative des Bundes ministeriums für Wirtschaft und Technologie (BMWi). 38 regionale ebusiness-lotsen haben die Aufgabe, insbesondere mittelstän dischen Unternehmen deutschlandweit anbieter neutrale und praxisnahe Informationen für die Nutzung moderner Informations- und Kommunikationstechnologien (IKT) und möglichst effiziente ebusiness-prozesse zur Verfügung zu stellen. Die Förderinitiative ist Teil des Förderschwerpunkts Mittelstand-Digital IKT-Anwendungen in der Wirtschaft. Zu Mittelstand-Digital gehören ferner die Förderini tiativen estandards: Geschäftsprozesse standardisieren, Erfolg sichern und Einfach intuitiv Usability für den Mittelstand. Unter können Unternehmen sich über die Aktivitäten der ebusiness- Lotsen informieren, auf die Kontaktadressen der regionalen Ansprechpartner sowie aktuelle Veranstaltungs termine zugreifen oder auch Publikationen einsehen und für sich herunterladen.