Christiane Steinmetz erklärt die größten Fallen – und wie man sie vermeidet

Der Missbrauch geschützter Daten passiert nicht nur in Gesetzestexten, sondern mitten im Arbeitsalltag – oft ohne, dass wir es merken. Eine nicht geprüfte E-Mail, ein unbedacht geteiltes Foto und schon wird es heikel. Unsere Datenschutzbeauftragte Christiane Steinmetz erklärt im Interview, welche Fälle wirklich kritisch sind, worauf jeder ganz einfach achten kann und was im Falle eines echten Datenschutzverstoßes zu tun ist.

Haben Sie privat schon mal gegen Datenschutz verstoßen und wenn ja, was war das Vergehen? 

Ich denke, jeder von uns hat schon einmal die Situation erlebt, dass sich jemand erkundigt hat, wo denn ein Kollege oder eine Kollegin ist. „Er/Sie ist krank“, ist dabei eine gängige Antwort, die uns nicht allzu schwer über die Lippen kommt, so auch mir manchmal. Da dies aber streng genommen eine Preisgabe von Gesundheitsdaten einer Person ohne deren Einverständnis darstellt, könnte man hier schon von einem Verstoß gegen die DSGVO sprechen. Ein Bußgeld ist dabei allerdings wohl nicht zu befürchten.

Was ist der größte Irrtum, den Mitarbeiter beim Thema Datenschutz haben?

Viele denken beim Thema Datenschutz sofort an geheime Unternehmensdaten wie Patente, Arbeitsanweisungen oder Forschungsergebnisse. Tatsächlich schützen die Gesetze zum Datenschutz aber nur Daten von Menschen – also personenbezogene Daten. Das können z.B. Informationen sein wie Krankheitstage eines Mitarbeiters, Religionszugehörigkeit, Gehaltsgruppe, private Telefonnummer, Notfallkontakt oder wieviele Kinder ein Mitarbeiter hat. Unternehmensgeheimnisse sind natürlich trotzdem zu wahren, dafür gelten aber vor allem unternehmensinterne Richtlinien und Regelungen.

Was ist das „Gefährlichste“, das man im Arbeitsalltag aus Versehen tun kann ohne es zu merken?

Die gefährlichsten Situationen in Zusammenhang mit Datenschutz entstehen, wenn Dinge einfach gemacht werden, ohne an die Regelungen des Datenschutzes zu denken. Ein gutes Beispiel dafür ist die Veröffentlichung von Fotos in Social Media: Schnell ein Foto vom Firmenevent gemacht und auf LinkedIn hochgeladen, ohne die Abgebildeten zu fragen, ob das ok ist. Das kann schnell zu Unmut führen. Daher gilt grundsätzlich: Erst an Datenschutz denken, dann handeln. Für viele Sachverhalte gibt es bereits interne Regelungen und Arbeitsanweisungen, so auch für Social Media. Und im Zweifel stehe ich gern bei Fragen parat. Dafür bin ich da.

Welche Aufgaben gehören konkret zu Ihrem Arbeitsalltag als Datenschutzbeauftragte? 

Als Datenschutzbeauftragte sorge ich dafür, dass wir beim Umgang mit personenbezogenen Daten auf der sicheren Seite bleiben und keine Bußgelder riskieren. Ich berate Fachabteilungen bei Projekten und erkläre, was laut Datenschutz-Grundverordnung erlaubt ist und worauf geachtet werden muss. Besonders spannend ist dabei, dass Datenschutz wirklich überall im Unternehmen eine Rolle spielt: vom Personal und Marketing über den Vertrieb bis hinein in die Produktion. Selbst auf Maßprodukten können personenbezogene Daten auftauchen, die geschützt werden müssen. Einen großen Teil meiner Arbeit machen außerdem Schulungen und die Erstellung von E-Learnings aus, damit Datenschutz im Arbeitsalltag präsent bleibt. Ich unterstütze auch bei Datenschutzerklärungen und prüfe Dienstleister, vor allem im IT-Bereich. Und weil ständig neue Gesetze und Urteile dazukommen, wird es nie langweilig.

Wie läuft es praktisch ab, wenn ein Datenschutzvorfall passiert? 

Wenn ein Datenschutzvorfall passiert, z.B. wenn es zu einem Fehlversand einer E-Mail mit sensiblen Daten kommt, ist vor allem eines wichtig: sofort Bescheid sagen, egal ob man selbst den Fehler gemacht hat oder diesen zufällig bemerkt hat. Denn ab dem Moment, in dem der Vorfall bekannt wird, läuft eine gesetzliche Frist von 72 Stunden, in der wir den Fall bewerten und gegebenenfalls der Aufsichtsbehörde melden müssen. Dabei zählt wirklich jede Stunde, auch an Wochenenden oder Feiertagen. Viele denken erst mal: „Ach, das war doch nur eine kleine Sache.“ Aber oft kommt es auf die Details an. Eine E-Mail mit sichtbarem Verteiler kann harmlos sein oder eben sensible Daten enthalten. Deshalb rate ich immer: lieber einmal zu viel anrufen als einmal zu wenig. Melden Sie daher Vorfälle mit Bezug zu Personendaten unverzüglich und wir kümmern uns gemeinsam um die notwendigen Schritte. Übrigens können Sie für anonyme Meldungen auch das Hinweisgeberportal auf unserer Website nutzen.

Gibt es eine einfache Regel, die Sie jedem Mitarbeiter mitgeben können, egal ob Verwaltung oder Produktion, wie man Datenschutzverstöße am besten vermeidet?

Es sind tatsächlich zwei Grundsätze, die jeder mitnehmen kann. Das eine ist gesunder Menschenverstand mit einem angemessenen Perspektivwechsel: Wie würde ich mich fühlen in der Lage der Person, deren Daten ich gerade vor mir habe? Die zweite Regel heißt: so wenig Daten wie möglich, so viel wie nötig. Fragen Sie sich also: „Brauche ich wirklich alle diese Daten, die ich gerade versuche über ein Online-Formular von meinem Gegenüber abzufragen? Oder kann ich hier und da doch Abstriche machen oder vielleicht auch auf Freiwilligkeit setzen?