Betriebliche Datenschutz- und Datensicherheitsregelungen

Ein Screenshot, der teuer werden kann

Was würdest du tun? Deine Kollegin Mia schickt dir per WhatsApp einen Screenshot: Kundenname, Adresse, kompletter Bestellverlauf. Dazu die Nachricht: "Kannst du kurz prüfen, ob die Retoure schon verbucht ist?" Du willst helfen. Aber auf dem Bild stehen personenbezogene Daten. Die liegen jetzt auf deinem privaten Handy, auf WhatsApp-Servern und vielleicht bald in einem Cloud-Backup.

Dein Ausbildungsvertrag ist die Grundlage für diese Pflicht: Er verpflichtet dich zur Verschwiegenheit über Betriebsgeheimnisse und Kundendaten. Die betrieblichen Datenschutzregelungen gehen noch weiter. Sie legen fest, wie du mit diesen Daten im Arbeitsalltag umgehst. Welche Regeln schützen Kundendaten - und was droht, wenn du sie brichst?

Vier Vorgaben, die jeder Betrieb vorschreibt

Die DSGVO (Datenschutz-Grundverordnung) und das BDSG (Bundesdatenschutzgesetz) verpflichten Unternehmen, personenbezogene Daten durch technische und organisatorische Maßnahmen zu schützen. Vier Vorgaben betreffen dich direkt:

1. Passwortrichtlinie: Mindestens 12 Zeichen, Groß-/Kleinbuchstaben, Ziffern, Sonderzeichen. Passwörter nie teilen, nie aufschreiben, regelmäßig ändern.
2. Kundendaten nur über dienstliche Systeme verarbeiten - kein privates Handy, kein privater E-Mail-Account, kein Messenger.
3. Datenträger und Übertragungswege müssen verschlüsselt sein: Festplattenverschlüsselung am Laptop, TLS bei E-Mails, VPN im Homeoffice.
4. Datenweitergabe nur an berechtigte Personen über freigegebene Kanäle. Kein Screenshot per WhatsApp, kein CC an private Adressen.

⚖️ Vergleich im Kopf: Eine dienstliche E-Mail mit Kundendaten und Mias WhatsApp-Screenshot enthalten denselben Inhalt. Warum ist das eine erlaubt und das andere ein Verstoß?

Drei Verstöße, die im Alltag passieren

Mias WhatsApp-Screenshot war kein Einzelfall. Drei Verstöße, die in fast jedem Betrieb vorkommen:

Fall 1 - Messenger-Screenshot: Mia hat Kundendaten auf einen nicht freigegebenen Kanal gebracht. WhatsApp speichert Bilder automatisch in der Cloud. Die Kontrolle über die Daten ist weg.

Fall 2 - Post-it-Passwort: Ein Kollege klebt sein Shop-Backend-Passwort an den Monitor. Jede Person im Büro hat damit Zugang zu Bestellungen, Adressen und Zahlungsdaten. Verstoß gegen Passwortrichtlinie und Zugriffskontrolle.

Fall 3 - Ungesicherter USB-Stick: Eine Kollegin kopiert eine Kundenliste auf einen privaten, unverschlüsselten USB-Stick für die Arbeit zu Hause. Geht er verloren, liegt eine meldepflichtige Datenpanne vor.

Was droht bei einem Verstoß?

Alle drei Fälle können eine Meldepflicht an die Aufsichtsbehörde auslösen - innerhalb von 72 Stunden (Art. 33 DSGVO). Der Bußgeldrahmen reicht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). In der Praxis liegen Bußgelder für fahrlässige Verstöße oft im fünfstelligen Bereich.

Für dich persönlich bedeutet ein Verstoß: Abmahnung, im Wiederholungsfall Kündigung. Die Verantwortung trifft nicht nur die Person, die den Fehler gemacht hat, sondern auch den Betrieb, der seine Beschäftigten nicht ausreichend geschult hat.

🤔 Frage dich: Wie würdest du reagieren, wenn du in der Mittagspause bemerkst, dass ein Kollege seinen Bildschirm mit geöffneter Kundenbestellung nicht gesperrt hat - und er gerade nicht am Platz ist?

Sechs Maßnahmen für sicheres Arbeiten zu Hause

Im Homeoffice gelten dieselben Datenschutzregeln wie im Büro. Aber die Kontrolle ist schwieriger: kein abgeschlossener Serverraum, kein gesichertes Firmennetzwerk, dafür Mitbewohnende und ein privater Router. Sechs Maßnahmen bilden das Grundgerüst:

1. VPN für jede Verbindung zum Firmennetzwerk - dein Datenverkehr wird verschlüsselt, als säßest du im Büro.
2. Bildschirmsperre aktivieren, sobald du den Platz verlässt. Tastenkombination: Windows + L oder Cmd + Ctrl + Q.
3. Clean-Desk: Keine ausgedruckten Kundenlisten offen liegen lassen. Nach Feierabend gehören Unterlagen in eine abschließbare Schublade.
4. Sicheres WLAN: WPA3-Verschlüsselung am Router aktivieren, eigenes Passwort setzen (nicht das Werkspasswort auf der Rückseite).
5. Nur dienstliche Geräte nutzen - kein privater Laptop, kein privates Tablet für Firmendaten.
6. Ausdrucke mit Kundendaten im Aktenvernichter entsorgen, nicht im Altpapier.

Mias Fehler im Homeoffice vermeiden

Mias Screenshot-Fehler vom Anfang wäre vermeidbar gewesen: eine kurze Nachricht über das dienstliche Ticketsystem hätte gereicht, ohne dass Kundendaten auf einem privaten Gerät landen. Im Homeoffice steigt das Risiko für solche Abkürzungen, weil der direkte Austausch mit Kolleg:innen wegfällt und private Messenger greifbarer sind als das Firmensystem.

🧑‍🏫 Erkläre es im Kopf: Stell dir vor, du erklärst einer neuen Auszubildenden Person die drei wichtigsten Homeoffice-Datenschutzregeln in je einem Satz - welche drei wählst du, und wie formulierst du sie so einfach wie möglich?