Datenschutzkriterien und Wiederverwendung Empfehlungen und Vorschriften

Transkript

1 Wiederverwendung von PCs / Datenträgern Dokumentiert ist hier ein erprobtes, eingeführtes und zertifizierbares Verfahren zur Wieder- oder Weiterverwendung von PCs in einem Wiederverwendungszentrum / Reparaturzentrum. Handreichungen finden Sie hier: Festplatte_loeschen_Doku PC_Eingangsliste PC_Laufzettel Aufgabe Kontrolle _des_bereiches_datenloeschung Aufgabenprofil Mitarbeiter EDV Aufgabenprofil Abteilungsleitung Aufgabenprofil LoNak Betriebsltg BDSG Bundesdatenschutzgesetz Bestaetigung über die Teilnahmebestaetigung Unterweisung Datenloeschung Besucherbuch Datenschutz_Loeschung Datengeheimnis Verpflichtung auf das Datenloeschung Film_Skript_Ablauf Datenloeschung Technischer Ablauf Doku Liste LoNaK Rechner Haendling ein Video zum technischen Ablauf der Datenlöschung finden Sie unter Datenschutzkriterien und Wiederverwendung Empfehlungen und Vorschriften Das künftige Kreislaufwirtschaftsgesetz KrWG und auch das ElektroG ( Gesetz über das Inverkehrbringen, die Rücknahme und die umweltverträgliche Entsorgung von Elektro- und Elektronikgeräten ) treffen zwar Bestimmungen zur Wiederverwendung und Vorbereitung zur Wiederverwendung. Allerdings werden keine Aussagen zum datenschutzmäßigen Umgang mit wiederverwendungsfähigen Gegenständen wie PCs/Datenträgern getroffen, die in die allgemeine Elektrosammlung für Altgeräte gegeben werden müssen. Und die wenn möglich - einer Wiederverwendung zugeführt werden sollen. In welchem Zustand (gelöscht oder nicht gelöscht) ausgemusterte Geräte in die Elektrosammlung gegeben werden, liegt in der Verantwortung der Besitzer/innen von Altgeräten. Dennoch erscheint es allein aus allgemeinen Datenschutzgründen und aus Gründen eines seriösen Umgangs für ein Wiederverwendungs- / Reparaturzentrum selbstverständlich und notwendig, für die Wiederverwendung von PCs und anderen digitalen Datenträgern ein Verfahren zu etablieren, das dem Datenschutz Rechnung trägt. Und man glaubt es im Zeitalter von Twitter und Facebook kaum noch: Aber ein Datenträger ist nicht nur eine Festplatte. Ein Datenträger ist auch ein Brief, ein Tagebuch, ein Sparbuch... Auch hierbei handelt es sich um persönliche

2 Daten(-Träger) und Angaben, die entsprechend datenschutzmäßig vertraulich gehändelt werden sollten, wenn sie beispielsweise bei Haushaltsauflösungen, in Kleidersammlungen oder bei der Wiederverwendung von Büchern usw. vorgefunden werden.. Definitionen des Bundesdatenschutzgesetzes BDSG 3 Weitere Begriffsbestimmungen (1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). (2) Automatisierte Verarbeitung ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen. Eine nicht automatisierte Datei ist jede nicht automatisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann. (3) Erheben ist das Beschaffen von Daten über den Betroffenen. (4) Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten. Im Einzelnen ist, ungeachtet der dabei angewendeten Verfahren:(...) Löschen das Unkenntlichmachen gespeicherter personenbezogener Daten. (...) Verantwortliche Stelle ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt. (10) Mobile personenbezogene Speicher- und Verarbeitungsmedien sind Datenträger, (...) auf denen personenbezogene Daten über die Speicherung hinaus durch die ausgebende oder eine andere Stelle automatisiert verarbeitet werden können. Verpflichtung auf das Datengeheimnis Datenschutz und Datengeheimnis umfassen nicht nur den Aufgabenbereich etwa einer Personalverwaltung und Buchhaltung, sondern alle Beschäftigten, siehe 3 (11) des Bundesdatenschutzgesetzes BDSG: (11) Beschäftigte sind: 1. Arbeitnehmerinnen und Arbeitnehmer, 2. zu ihrer Berufsbildung Beschäftigte, 3. Teilnehmerinnen und Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärungen der beruflichen Eignung oder Arbeitserprobung (Rehabilitandinnen und Rehabilitanden), 4. in anerkannten Werkstätten für behinderte Menschen Beschäftigte, 5. nach dem Jugendfreiwilligendienstegesetz Beschäftigte, 6. Personen, die wegen ihrer wirtschaftlichen Unselbständigkeit als arbeitnehmerähnliche Personen anzusehen sind; zu diesen gehören auch die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten, 7. Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, 8. Beamtinnen, Beamte, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende.

3 Das Thema Datenschutz und Datengeheimnis betrifft damit auch den allgemeinen Arbeitsalltag und Umgang mit personenbezogenen Daten. So beginnt Datenschutz bereits am Telefon. Zum Beispiel bei einer Nachfrage nach der Privat-Telefonnummer eines/einer Mitarbeiter/in: Diese Weitergabe ist nicht erlaubt, denn es betrifft die Privatsphäre. Auch dürfen zum Beispiel die Arbeitszeiten von Kollegen/innen nur dann mitgeteilt werden, wenn es sich um eine betrieblich bedingte Nachfrage handelt. Auch fällt der Grund für eine Krankmeldung ( gelber Schein ) unter den Datenschutz. Dies auch, wenn der/die Mitarbeiter/in den Grund vielleicht gegenüber der Personalabteilung oder einer/einem Vorgesetzten erwähnt hat. Auch dann gilt: Verschwiegenheit. Dies auch, wenn es sich um das freudige Ereignis einer Schwangerschaft handelt. Generell: Persönliche Daten/Angaben usw. sollen wenn überhaupt - nur von der betroffenen Person selbst weiter gegeben werden. Im Betrieb gilt besonders für Vorgesetzte die Verschwiegenheit. Grundsätzlich wird also empfohlen, im Betrieb das Thema Datenschutz allgemein und auch im Kleinen zu etablieren. Ingesamt wird deshalb auch empfohlen, eine Verpflichtung aller Mitarbeiter/innen auf den Datenschutz und das Datengeheimnis als betrieblichen Standard einzuführen. Hierzu gibt es standardisierte Dokumente (siehe Anlange Beispiel Verpflichtung ). Die Verpflichtung auf das Datengeheimnis und den Datenschutz sollte unterschrieben in der Personalakte liegen. Datenschutz und Datenlöschung bei der Wiederverwendung von Gegenständen aus dem Haushalt oder aus dem Büro allgemein und von PCs/Datenträgern Finden sich im Rahmen der Wiederverwendung in Büchern, in Schubladen, in Kleidungsstücken usw. - Briefe und Notizen usw., dann fallen auch diese Dinge unter den Datenschutz. Sie sollten ebenso einem geordneten Verfahren im Betrieb übergeben werden wie dies für das Händling von PCs eingeführt werden sollte. Verfahrensabläufe zum Datenschutz bei der Wiederverwendung von PCs Für entsprechende Zertifizierungen (etwa Datenschutz und Datensicherheit ) gibt es leine Reihe von Anbietern, die Verfahren für einen datensicheren Umgang mit PCs/Datenträgern in der Vorbereitung zur Wiederverwendung bzw. in der Wiederverwendung zertifizieren. Der organisatorische Verfahrensablauf ähnelt im Überbau in fast allem dem, was aus anderen Bereichen der betrieblichen Organisation bekannt und normaler Betriebsalltag ist bzw. sein sollte: Definition und Dokumentation von Verantwortlichkeiten und Zuständigkeiten regelmäßige Prüfung notwendiger technischer Gerätschaften

4 Darstellung von Verfahrensabläufen Kontrolle der Einhaltung und der Effizienz von Abläufen regelmäßige Unterweisung von Mitarbeiter/innen. Die Maßgaben zum Datenschutz beginnen und enden nicht an der Werkstatttür : Sie gelten auch für den Umgang mit Geräten bei der Sortierung und für den Transport. Stichworte für ein geordnetes, zertifierbares Verfahrens sind: Benennung der verantwortlichen Mitarbeiter/innen und Beschreibung von deren Zuständigkeiten (Abteilungsleitung, weitere Mitarbeiter/innen) Verpflichtung aller im Arbeitsablauf des Umgangs mit PC/Datenlöschung einbezogenen Mitarbeiter/innen auf das Datengeheimnis (Mitarbeiter/innen im Transport, Mitarbeiter/innen im sonstigen allgemeinen Händling von PCs, Mitarbeiter/innen im Händling der Geräte zur Wiederverwendung von der Registrierung der Geräte bis zur Datenlöschung) Einrichtung eines separaten und abgesperren/abschließbaren Raumes für Datenlöschung schematische Darstellung und Festlegung eines Arbeits- /Händlingsablaufs: Transport bzw. mindestens Zwischenlagerung vor der Datenlöschung in verschlossenen Behältnissen (z.b. Gitterboxen) oder verschlossenen Betriebsräumen ( gesicherter Bereich ) Erfassung jedes zur Wiederverwendung vorgesehenen Gerätes d.h. aus dem verschlossen Transportbehälter entnommenen Gerätes in einer Eingangsliste (laufende Nummer in Liste und auf Gerät, Dokumentation des Händlings durch welchen Mitarbeiter/in (Namenskürzel), Datum etc.) Erstellen einer Prüfliste mit laufender Gerätenummer, Datum, Name des/der Mitarbeiter/in (Kürzel) Darstellung des Verfahrensablaufs/Arbeitsschritte Dokumentation des gesamten Händlings: D.h. jede Liste und jedes Protokoll wird abgeheftet regelmäßige Überprüfung von Protokollen und damit der Einhaltung des Verfahrensablaufs am Beispiel eines oder mehrerer Geräte Dokumentation der regelmäßigen Überprüfung und stichwortartig des Ergebnisses (auch im Fall des Falles der Lücken und der Reaktion darauf) Regelmäßige Unterweisung der beteiligten Mitarbeiter/innen und schriftliche Bestätigung der Mitarbeiter/innen zur Teilnahme an der Unterweisung Regelmäßige Überprüfung der tatsächlichen Funktion des eingesetzten digitalen Löschprogramms Anlegen eines Besucherbuches (einfache Kladde ist ausreichend), d.h. Besucher/innen, die sich in den sensiblen Bereich des Betriebs begeben, müssen sich hier eintragen Einrichtung einer Überwachung des Betriebsraumes EDV-Löschung außerhalb der Betriebszeiten. Dies kann eine Alarmanlage sein oder eine Kameraüberwachung, die unbefugtes Eindringen etwa im Zehn- Sekunden-Takt aufzeichnet.

5 In den weiteren Dokumenten finden Sie Verfahrensschritte und Händlingsabläufe beschrieben und beispielhaft Dokumentationslisten. Alle Anlagen stehen zur Weiternutzung zur freien Verfügung.