Datenschutz mit System

Mit Regina Mühlich, Holger Bleich und Joerg Heidrich Datenschutz funktioniert nicht nur mit vollgeschriebenem Papier, das in der Schublade verschwindet. Unternehmen müssen festlegen, wer welche Aufgaben übernimmt, wie sie Daten schützen und wie Beschäftigte auf Anfragen oder Datenpannen reagieren. Ein Datenschutz-Management-System bündelt diese Regeln und Abläufe. Es sorgt dafür, dass alle Beteiligten wiederkehrende Aufgaben einheitlich und nachvollziehbar erledigen. In Episode 167 der Auslegungssache sprechen c’t-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich darüber mit Regina Mühlich. Die Wirtschaftsjuristin und Geschäftsführerin der AdOrga Solutions GmbH berät Unternehmen an der Schnittstelle von Organisation, Technik und Datenschutz. Sie betont: Fast jedes Unternehmen hält bereits irgendeine Form von Datenschutzorganisation vor. Die entscheidende Frage lautet, ob sie tatsächlich funktioniert. Am Anfang stehen klare Zuständigkeiten. Geschäftsführung, Fachabteilungen. IT und Datenschutzbeauftragte müssen wissen, welche Aufgaben sie übernehmen. Je nach Größe und Geschäftsmodell kann ein interner Beauftragter, ein externer Dienstleister oder eine Mischform mit internen Ansprechpartnern sinnvoll sein. Gerade bei kleinen Unternehmen sollte sich der Aufwand am tatsächlichen Risiko orientieren. Wer etwa Finanz- oder Gesundheitsdaten verarbeitet, muss mehr investieren als ein Betrieb mit wenigen Kundendaten. Anschließend braucht das Unternehmen einen Überblick über seine Datenverarbeitung: Welche Daten kommen herein, wer nutzt sie, an welche Dienstleister gehen sie und wann werden sie gelöscht? Auch Verträge mit Cloud-Anbietern, Steuerberatern und anderen Partnern gehören auf den Prüfstand. Auf dieser Grundlage lassen sich einfache Abläufe für Auskunftsanfragen, Datenpannen, neue IT-Systeme und die Entsorgung alter Geräte oder Unterlagen entwickeln. Dabei gilt: Ein kleiner Betrieb benötigt keine komplizierten Verfahren für seltene Fälle. Die Regeln müssen vor allem verständlich sein und im Alltag greifen. Schulungen spielen dabei eine zentrale Rolle. Beschäftigte müssen erkennen, wenn jemand Auskunft verlangt, sich über Werbung beschwert oder ein Rechner auffällig reagiert. Solche Meldungen dürfen nicht in einzelnen Postfächern stecken bleiben. Ebenso wichtig sind regelmäßige Prüfungen. Unternehmen können etwa testen, ob Anfragen zuverlässig beim zuständigen Ansprechpartner landen oder ob ihre Übersicht über die Datenverarbeitung noch aktuell ist. Wie oft sie kontrollieren sollten, hängt vom Risiko und vom Tempo der Veränderungen ab. Ein Audit beziehungsweise ein Zertifikat allein garantieren laut Mühlich noch keinen guten Datenschutz. Sie können aber helfen, Dokumente sauber zu verwalten und Entscheidungen nachzuweisen. Mühlichs Kernbotschaft lautet deshalb: Unternehmen sollten Datenschutz weder unnötig aufblasen noch vernachlässigen. Ein gutes Management-System passt zum Geschäftsmodell, verbessert sich laufend und schafft klare Abläufe, und damit auch Vertrauen bei Kunden und Beschäftigten.