Datenschutzschulung

Was ist Datenschutz?

• Schutz von personenbezogenen Daten, die

• Automatisiert und nicht automatisiert verarbeitet werden

Was sind personenbezogene Daten?

• Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche bzw. betroffene Person beziehen

Sprich: Alle Daten, mit denen man eine Person direkt oder indirekt identifizieren kann

Korrekte Antworten:

• E-Mail Adressen

• Namen

• IP-Adressen

• Mitarbeiterdaten

Falsche Antworten:

• Firmenadressen

• Firmennamen

• Gerätenummern

• Analysendaten

Was ist das Verarbeiten von Daten?

• Erheben (Besorgen von Daten, Datensammlung)

• Speichern (PC, Online)

• Ändern (Korrektur einer Adresse, Mailadresse)

• Nutzen (Abfragen, suchen)

• Übermitteln (Weitergabe an Dritte, Einsicht gewähren)

• Kombination (Kombination mit anderen Daten)

• Löschen (Datenlöschung, Datenträgervernichtung)

• Umgang mit personenbezogenen Daten

Sprich: alles, was man mit personenbezogenen Daten macht, ist eine Verarbeitung

Was bedarf es, um Daten verarbeiten zu dürfen?

• Einwilligung

• Erfüllung eines Vertrages

• Rechtliche Verpflichtungen

• Berechtigte Interessen des Verantwortlichen (Interessenabwägung)

Bei FLUXANA: häufig die Erfüllung eines Vertrages z.B. Arbeitsvertrag (Verarbeitung Mitarbeiterdaten in Lohnbuchhaltung) oder Kaufverträge (Kundenbestellungen). In einigen Fällen auch berechtigtes Interesse.

Diese Rechte haben Personen an den eigenen Daten:

• Aufklärung

• Auskunft

• Widerspruchsrecht

• Berichtigung

• Löschung

• Einschränkung

• Datenübertragbarkeit

• Anrufung Datenschutzbehörde

• Recht auf Rechtsbehelf

• Schadenersatz

Sprich: Jede Person hat das Recht, über ihre eigenen Daten zu bestimmen. Wer Daten verwendet, muss dabei viele Rechte beachten.

Die folgenden Aussagen sind korrekt:

• mangelnder Datenschutz kann den Ruf schädigen

• Bei schlechtem Datenschutz drohen hohe Geldstrafen für Unternehmen

• Datenschutz ist ein Qualitätsmerkmal für Kunden

• Datenschutz schützt vor Angriffen von außen

Die folgenden Aussagen sind nicht korrekt (mit Erläuterung):

Im Unternehmen ist hauptsächlich die IT-Abteilung für Datenschutz zuständig

 -> alle Mitarbeiter sind für die Daten, die sie nutzen, zuständig. Die IT kümmert sich hauptsächlich um die technische Sicherheit

Datenschutz sorgt dafür, dass wir Kundendaten verlieren und weniger Werbung machen dürfen

 -> Kundendaten, die gelöscht werden müssen, sind fast immer veraltet und direkte Werbung (Newsletter) durfte man schon vor der DSGVO nur mit Einverständnis machen

Durch Datenschutz gibt es nur Mehrarbeit und keine Vorteile

 -> angepasst Prozesse verursachen kaum Mehrarbeit. Vorteile durch Datenschutz sind Sicherheit, Schutz vor Klagen/Strafen, verbesserte Reputation und höheres Qualitätsbewusstsein

Datenschutz muss hauptsächlich im Internet stattfinden

 -> Datenschutz findet überall statt, auch schon auf dem Server und dem Bürotisch

Was sind Datenschutzpannen?

• Verlust von Daten

Laptop, USB-Stick oder Smartphone mit Kundendaten geht verloren oder wurde gestohlen

• Unbefugter Zugriff

Hackerangriff auf Kundendatenbank oder E-Mail-Konten

• Fehlversand 

E-Mail mit personenbezogenen Daten wird versehentlich an den falschen Empfänger geschickt

• Offenlegung von Daten

Dokumente mit personenbezogenen Daten liegen offen im Büro oder werden falsch entsorgt

• Technische Panne

Serverausfall oder Softwarefehler führt zum Verlust oder zur Offenlegung von Daten

Bei einer Datenpanne muss immer unverzüglich der Datenschutzbeauftragte informiert werden!

Korrekte Antwort:

Innerhalb von 72 Stunden

Grundregeln für jeden Mitarbeiter:

Jeder Mitarbeiter ist verpflichtet sich an folgende Datenschutz-Grundregeln zu halten. Diese Grundregeln sind auch nachzulesen in der FXAW_0014_Datenschutz Datensicherheit und Datensicherung:

1. Beruf und Privates trennen

 • Keine private Nutzung des E-Mail-Kontos (FXBAW_1007_Verbot_Versenden_ Empfangen_private_E-Mail)

 • Keine privaten Daten und Software im Büro verwenden

 • Keine privaten und unbekannten Datenträger (USB-Sticks) oder Geräte verwenden

Korrekte Antworten: 

• Die Daten landen im Backup und können schwer gelöscht werden

• Private Daten und Systeme sind anfällig für Computerviren

• Die Daten werden nicht vom Datenschutzkonzept erfasst

• Unternehmen müssen alle E-Mails speichern, private E-Mails lassen sich nicht herausfiltern

Nicht zutreffende Antworten:

• Urlaubsfotos können die Kollegen neidisch machen

• Es wurden zu viele private E-Mails verschickt

• Private Daten verbrauchen zu viel Speicherplatz

2. IT sorgfältig behandeln / nicht eigenmächtig konfigurieren

Bei IT-Problemen oder wenn Software installiert werden muss, immer die IT-Abteilung informieren

3. Dateien mit personenbezogenen Daten nicht auf dem PC/ Gem. Dokumente liegen lassen

Nur die kurzzeitige Speicherung zum Transfer der Daten ist erlaubt.

Wenn Speichermöglichkeiten fehlen: IT-Abteilung informieren

4. Keine Auskunft von personenbezogenen Daten an unbefugte Personen

• Nur berechtigte Personen

• Identität der Person überprüfen

• Wenn personenbezogene Daten erfragt werden: immer über den Datenschutzbeauftragen gehen

5. Korrekter Umgang mit E-Mails

• Immer Absender, Empfänger und Inhalte prüfen

• Nur erlaubte E-Mail Anhänge öffnen (PDF)

• Keine Links in E-Mails anklicken, deren Herkunft und Ziel nicht bekannt sind

Im Zweifel IT-Abteilung informieren. 

Daran erkennt man Phishing oder Spam-Emails:

- an der Absenderadresse (kein @fluxana.de und kein bekanntes Adressenschema)

- ungewöhnlicher Betreff, der Zeitdruck oder Angst ausnutzt

- verdächtige Links

- unerwartete Anhänge

- sprachliche Auffälligkeiten

- unpersönliche oder unübliche Anrede

- fehlende Signatur (Signaturen können aber auch gut nachgemacht sein)

- ungewöhnliche, unerwartete Anfrage

In solchen Fällen: Nichts anklicken, öffnen oder antworten.

Im Zweifel: Kurz zum Telefon greifen und mit der Person sprechen oder die IT fragen.

6. Sichere Passwörter verwenden

• Geheim halten und nicht aufschreiben/offen ablegen

• Siehe FXAW_1001_Passwortrichtlinie_Datenschutz

7. Schutz wichtiger Daten vor Unbefugten

•„Clean Desk Policy“

• Akten verschließen

• Keine Dokumente im Drucker lassen

• Fehldrucke/alte Dokumente mit personenbezogenen Daten schreddern

Korrekte Antwort:

Der Schreibtisch soll am Ende des Arbeitstages frei von Dokumenten sein

8. Den PC bei längeren Abwesenheiten sperren

9. Anweisungen zu Besuch und Gäste-W-LAN befolgen

10. Nutzung von KI-Tools ist ohne Freigabe und Schulung verboten!

11. Beim Posten von Social Media Inhalten (FXAW-0047 Erstellen von Postings auf LinkedIn) muss beachtet werden, dass alle Personen auf Bildern und Texten der Verwendung eingewilligt haben (FXBAW-1004 Einwilligungserklaerung Fotos Werbung Daten)

Büroregeln gelten auch im Homeoffice!

Zusatz: Vertraulichkeit, Unparteilichkeit, etc.:

Nachzulesen in der FXBAW-1002 Vertraulicher Umgang mit kundenbezogenen Daten und Gegenständen, Unparteilichkeit der Mitarbeiter, Verhaltenskodex

Ihr verpflichtet euch zu: Vertraulichkeit

• Daten/Gegenstände der Kunden vor Dritten schützen

• Kenntnisse über betriebsinterne Vorhaben oder Vorgänge dürfen ausschließlich für betriebliche Zwecke genutzt und nicht an Dritte weitergegeben werden

Ihr verpflichtet euch zu: Unparteilichkeit

• Heißt, dass wir unsere Entscheidungen und Arbeiten immer objektiv und unabhängig von persönlichen, finanziellen oder geschäftlichen Interessen treffen müssen

• Mitarbeiter müssen die Geschäftsführung unverzüglich informieren, wenn sie sich in einer Situation befinden, in der ihre Unabhängigkeit oder Unparteilichkeit beeinträchtigt sein könnte.

Vereinbarung mit Kunden/Lieferanten/Dienstleister

• Beim Austausch von vertraulichen Informationen muss eine Vertraulichkeitsvereinbarung zwischen den Parteien unterschrieben werden

Umgang mit Besuchern

• Besucher müssen am Empfang der Arbeitsstätte eine aktuelle Vertraulichkeitsvereinbarung / Besucherliste ausfüllen

• siehe FXAW_0080_Umgang_mit_Besuchern