Ob verlängerte Werkbank oder interne Intransparenz: Unwissenheit schützt vor Strafe nicht

Die Mitgliedstaaten des Europarates und die europäischen Institutionen feiern den Datenschutztag jedes Jahr am 28. Januar. Dieses Datum markiert den Jahrestag des Übereinkommens 108 des Europarates, des ersten rechtlich bindenden internationalen Instruments zum Datenschutz. Auch UIMC begeht diesen besonderen Tag und rückt das Thema guter Datenschutz in den Mittelpunkt. „Erfolgreicher, effektiver und effizienter Datenschutz gelingt dann besonders gut, wenn er durch klare Strukturen und von der gesamten Belegschaft bewusst gelebt wird“, erklärt der langjährige Datenschutzexperte Dr. Jörn Voßbein anlässlich des Datenschutztages.

Was ist der Datenschutztag und warum gibt es ihn? Seit 2007 wird am 28. Januar jährlich der Europäische Datenschutztag begangen. Der Tag nimmt Bezug auf den 28. Januar 1981, an dem der Europarat das Übereinkommen Nr. 108 „zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten“ angenommen hatte. Wichtig: Der Europarat darf hier nicht mit der Europäischen Union verwechselt werden. Er wurde bereits 1949 gegründet. Die Bundesrepublik wurde 1951 vollberechtigtes Mitglied. Die Aufgabe des Europarates ist schlicht und anspruchsvoll zugleich: „Der Europarat hat die Aufgabe, einen engeren Zusammenschluss unter seinen Mitgliedern zu verwirklichen.“ Er setzt sich aktuell aus 47 Mitgliedsstaaten mit 820 Millionen Einwohnern zusammen. Das Übereinkommen Nr. 108 war das erste rechtsverbindliche zwischenstaatliche Datenschutzabkommen und internationale Instrument zum Schutz personenbezogener Daten.

Es sollte in den Vertragsstaaten für alle Menschen sicherstellen, dass ihre Rechte und Grundfreiheiten, insbesondere das Recht auf einen Persönlichkeitsbereich bei der automatischen Verarbeitung personenbezogener Daten geschützt werden. Gerade bei dieser Thematik sehen Datenschutz-Experten aktuell große Gefahren. „Leider ist der Datenschutz intern nicht im Fokus. Man scheut sich, intern trotz Datenschutz-Grundverordnung verbindliche Regeln aufzustellen und die Belegschaft zu schulen und sensibilisieren. Diese Intransparenz kann bei Vorfällen schnell zu einer persönlichen Haftung der Geschäftsführung führen, wenn durch das Unterlassen notwendiger Maßnahmen ein Organisationsverschulden eintritt.“

Auch die „verlängerte Werkbank der personenbezogenen Datenverarbeitung“ bereitet Sorgen. Hintergrund: Viele Unternehmen bedienen sich eines Dienstleisters und lassen von diesem personenbezogene Datensätze verarbeiten. Vertraglich wird oftmals alles sauber geregelt, dass der Dienstleister datenschutzkonform mit den zur Verarbeitung übersandten Daten umgeht. Das reale Leben zeigt aber: Ob diese Pflichten tatsächlich vom Dienstleister erfüllt werden, wird vom Auftraggeber oftmals nicht überwacht. Die Fachleute der UIMC raten allerdings aber, genau dies zu tun. Sollte nämlich gegen Pflichten vom Dienstleister verstoßen werden, fällt dieser Verstoß auch automatisch auf den Auftraggeber zurück, der seiner Sorgfalts- und Kontrollpflicht nicht nachgekommen ist. „Vertrag und Vertrauen ist gut, Kontrolle ist aber stets besser,“ so der erfahrene Datenschutzauditor Dr. Jörn Voßbein. „Erfahrungsgemäß ist das Papier, auf dem der Vertrag gedruckt wurde, sehr geduldig. So sollte man sich nicht auf die Einhaltung verlassen, sondern vielmehr selbige überprüfen.“

Der Europäische Datenschutztag ist ein Tag der Reflektion über die wachsende Bedeutung von Datenschutz- und Informationssicherheit. „Gerade an einem solchen Tag sollten Schwachstellen thematisiert werden, um Optimierungspotenziale sichtbar und nutzbar zu machen“, meint UIMC-Geschäftsführer Dr. Jörn Voßbein. Nach seinen Erfahrungen müsse stärker bei Schulungen für mehr Acht- und Wachsamkeit bei der Mitarbeiterschaft geworben werden. „Guter Datenschutz lässt sich ausschließlich unter Berücksichtigung von internen Regeln und vielfältiger Sensibilisierung umsetzen. Nur dann können die Risiken für das eigene Unternehmen sinken“, erläutert Dr. Voßbein.