Sie sind hier: Home » Markt » Hinweise & Tipps

Bewusstsein für den Datenschutz schärfen


Klare Regeln erleichtern den Umgang mit von Mitarbeitern verursachten Datenlecks
Viele Brüche der Datenintegrität erfolgen fahrlässig und ohne schädigende Absicht

(26.04.13) - Beim Datenschutz sind Unternehmen in einer Zwickmühle. Gelangen vertrauliche Informationen an die Öffentlichkeit, sind Kunden wie Geschäftspartner verunsichert. Wird die Sicherheit hingegen effektiv durchgesetzt, gelten die Methoden schnell als rüde, was ebenfalls den seriösen Ruf ruinieren kann. "Als Ausweg aus diesem Dilemma bieten sich feste Regeln an, die Missbrauchsfälle möglichst verhindern und zugleich eine konsequente Verfolgung ermöglichen, sollte es doch dazu kommen", empfiehlt Rechtsanwalt Nils Kassebohm von der Anwaltssozietät Eimer Heuschmid Mehle in Bonn.

Die Grundlage, um Datenmissbrauch durch Mitarbeiter schon im Vorfeld zu verhindern, können im Arbeitsvertrag beziehungsweise in einer Betriebsvereinbarung festgeschrieben werden. "Dort muss klar und deutlich stehen, dass der Mitarbeiter Betriebsgeheimnisse auch in Form von Computerdaten zu wahren hat", betont Kassebohm, "und auch die arbeitsrechtlichen Konsequenzen eines Fehlverhaltens sollten im Arbeitsvertrag aufgeführt sein." So kann z.B. bereits im Arbeitsvertrag der Gebrauch privater Datenträger, die zu Datensicherheitslücken führen können, wie z.B. USB-Sticks oder externer Festplatten, im Unternehmen untersagt werden.

"Viele Brüche der Datenintegrität erfolgen fahrlässig und ohne schädigende Absicht", weiß der Strafrechtler aus der Praxis. Unternehmen rät er daher, die Mitarbeiter entsprechend zu schulen. "Weiß der Mitarbeiter aufgrund einer Schulung, dass das Benutzen portabler Speichermedien durch IT-Routinen regelmäßig protokolliert wird, wird er eher dieses riskante Verhalten unterlassen", kommentiert Kassebohm, "so kann schon dem Anfangsverdacht eines Datenmissbrauchs entgegen gewirkt werden."

Heikel wird es immer, wenn innerhalb des Unternehmens ein Verdacht auf Datenmissbrauch auftaucht. Denn dann steht die Frage an, was zu tun ist. Das schärfste Schwert wäre das Erstatten einer Strafanzeige, schließlich hat die Staatsanwaltschaft die weitestgehenden Ermittlungsbefugnisse. "In vielen Fällen hat das Unternehmen tatsächlich die Freiheit, selbst zu entscheiden, ob es die Staatsanwaltschaft einschaltet. So wird zum Beispiel der Verrat von Geschäftsgeheimnissen im Regelfall nur auf Antrag verfolgt", erläutert Kassebohm. Wird Anzeige erstattet, sollten auch die als Verfahrens- und Prozessvoraussetzung notwendigen und an sehr kurze Fristen gebundenen Strafanträge ausdrücklich gestellt werden.

Das staatsanwaltliche Ermittlungsverfahren ist zwar grundsätzlich vertraulich, doch verdeutlicht der Blick in die Tagespresse schnell den Unterschied zwischen Theorie und Praxis. "Zu bedenken ist, dass spätestens die Hauptverhandlung, wenn sie denn nach den Ermittlungen eröffnet wird, öffentlich ist", warnt Kassebohm. Zum Schutz ihrer Reputation ziehen deshalb viele Unternehmen betriebsinterne Ermittlungen dem Staatsanwalt vor. Kassebohm: "Betriebsinterne Ermittlungen und Strafanzeige schließt sich nicht aus. Schließlich will auch eine Strafanzeige gut begründet sein, denn gerade eine falsche Verdächtigung kann den Betriebsfrieden beschädigen."

Mit den internen Ermittlungen sollen zwei Ziele erreicht werden, nämlich die interne Aufklärung des Verdachtes eines Datenmissbrauchs sowie das Gewinnen von Beweismitteln. Kassebohm mahnt: "Es muss unbedingt darauf geachtet werden, dass sich die gewonnenen Beweise sowohl strafrechtlich als auch vor den Arbeitsgerichten verwerten lassen." Gerade für das Strafverfahren ist zu bedenken, dass nicht rechtsstaatlich gewonnene Beweise unverwertbar sein können. "Insofern muss insbesondere auf technisch mögliche, aber rechtlich unzulässige Überwachungsmaßnahmen mit Hilfe der Firmen-IT geachtet werden", warnt der Fachanwalt für Strafrecht.

Als Mittel zur Aufklärung eines Verdachts bewährt hat sich die formelle Mitarbeiterbefragung. "Hierbei sind zwei Dinge zu beachten: Die Rechte des Mitarbeiters dürfen nicht verletzt werden und die gewonnenen Beweise müssen gegebenenfalls vor Gericht verwertbar sein", stellt Kassebohm klar. So sind Drohungen mit arbeitsrechtlichen Konsequenzen unbedingt zu vermeiden.

"Angesichts der möglichen erheblichen arbeits- wie strafrechtlichen Konsequenzen soll dem Mitarbeiter ermöglicht werden, einen Anwalt hinzuzuziehen", rät Kassebohm, "dabei sollte den Beteiligten bewusst sein, dass das Mandatsverhältnis zum Mitarbeiter auch dann bestehen bleibt, wenn der Arbeitgeber die Anwaltskosten tragen sollte." Die Befragung selbst muss schriftlich dokumentiert werden, das erstellte Protokoll ist von beiden Seiten zu unterschreiben.

Gute Vorbereitung, eine konsequente Schulung der Mitarbeiter, die gründliche Untersuchung möglicher Vorfälle und eine der Situation angemessene Ahnung tatsächlicher Verstöße werden schnell dafür sorgen, das Bewusstsein für den Datenschutz zu schärfen. "So lassen sich zumindest die Datenlecks vermeiden, die aus Unachtsamkeit entstehen", gibt Kassebohm den Unternehmen mit auf den Weg. (Eimer Heuschmid Mehle: ra)

Eimer Heuschmid Mehle: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Invests

  • Stresstest der Europäischen Zentralbank

    Am 2. Januar 2024 hat der Stresstest der Europäischen Zentralbank für große Institute im Euroraum begonnen. Insgesamt sind mehr als 100 Banken betroffen, ein tiefer gehender Test steht im Nachgang für über 20 dieser Banken an. Mit der "Trockenübung" eines Cyberangriffs möchte die EZB Melde- und Wiederherstellungsprozesse der Banken prüfen. Welche größeren Schwachstellen wird die EZB dabei identifizieren?

  • Compliance, Regulierung und betriebliche Risiken

    Betriebsleiter jonglieren täglich mit unterschiedlichen Risiken. Es ist ihre Aufgabe, bestehende Risiken zu bewerten und abzuschwächen sowie Strategien zur Vermeidung künftiger Risiken zu entwickeln. Dabei steht viel auf dem Spiel: Risikofolgen reichen von Produktivitätsverlusten - während die Mitarbeiter mit der Behebung von Fehlern beschäftigt sind - bis hin zu Geldverschwendung, wenn Fristen und Fortschritte nicht eingehalten werden.

  • An der Quelle der Informationen beginnen

    Im Kontext steigender Cyberbedrohungen gewinnt die strikte Einhaltung bzw. Umsetzung entsprechender Compliance-Vorschriften stetig an Bedeutung. Als Bereitsteller kritischer Infrastruktur gilt insbesondere für Finanzunternehmen, IT-Ausfälle und sicherheitsrelevante Vorfälle zu verhindern, um für die Aufrechterhaltung des Betriebs zu sorgen.

  • DORA-Compliance komplex

    Bereits im Januar 2023 ist der Digital Operational Resilience Act (DORA), eine Verordnung der europäischen Union, in Kraft getreten. Umzusetzen ist das EU-Gesetz bis zum 17.01.2025. Obwohl es sich vorrangig an den Finanzsektor richtet, können auch andere Unternehmen, wie beispielsweise IT-Dienstleister davon betroffen sein.

  • Umsetzung der ESG-Verordnung

    Im Sommer 2021 wurde von der EU das "Europäische Klimagesetz" verabschiedet. Es soll helfen, den Klimaschutz spürbar voranzutreiben. Eine der beschlossenen Maßnahmen ist das sogenannte ESG-Reporting, das viele Unternehmen erst einmal vor Herausforderungen stellt.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen