Thread by @sas_assion

Ein paar kurze Anmerkungen zum 35 Mio. EUR #DSGVO Bußgeld gegen H&M - und wie man gleichartige Risiken im eigenen Unternehmen verhindert.

juve.de/nachrichten/ve…

Wer (wie ich) früher in Aushilfsjobs in Handel und Produktion gearbeitet hat, weiß, dass der Führungsstil dort manchmal sehr rauh sein kann. Das spiegelt sich natürlich auch in der Art, wie und welche Daten die Führungskräfte über ihre Mitarbeiter einspeichern.

Aus Sicht der Datenschutzabteilung eines solchen Unternehmens heißt dies: Achtung, hier gibt es ein strukturelles Risiko, dass Führungskräfte personenbezogene Daten einspeichern, für die es keine Rechtsgrundlage gibt (nach Art. 6 und 9 DSGVO bzw. § 26 BDSG).

Dieses Risiko erhöht sich dadurch, dass viele Führungskräfte zur Datenverarbeitung über ihre Mitarbeiter nicht die "offiziellen" Personal-IT-Systeme nutzen, weil sie diese als veraltet und zu restriktiv empfinden.

Statt dessen benutzen diese Mitarbeiter Eigenlösungen, die in der Regel aus Word- oder Excel-Dateien bestehen, die auf dem Microsoft Sharepoint des Unternehmens abgelegt werden.

Die Datenschutzabteilung erfährt davon i.d.R. nichts, weil es die Dateien offiziell gar nicht gibt.

Aus DSGVO-Sicht ist das der GAU:

1) Daten ohne Rechtsgrundlage (Art. 6+9 verletzt)
2) Keine Transparenz (Art. 13/14 verletzt)
3) Keine oder unzureichende Zugriffsbeschränkungen (Art. 5 I c), 24 und 32 verletzt)
4) Keine angemessen Datensicherheit (Art. 32 verletzt)

5) Keine Löschfristen (Art. 5 I e) verletzt)
6) Nicht dokumentiert im Verarbeitungsverzeichnis (Art. 30 und 24 verletzt)
7) Datenschutzbeauftragter nicht informiert (Art. 38 verletzt)
... etc.

Was also können Unternehmen tun, um derartige Risiken zu vermeiden?

In erster Linie: Durch gut gemachte und zielgruppengerechte Datenschutz-Schulungen.

Ich spreche nicht von Online-Trainings, durch die Mitarbeiter sich gelangweilt "durchklicken", sondern von Präsenzworkshops.

Eine gute Datenschutzschulung für Nichtjuristen erklärt nicht die Rechtslage, sondern Grundlagen und Prinzipien. Worum geht es? Wessen Interessen soll der Datenschutz schützen? Wer das verstanden hat, versteht auch, warum solche Sharepoint-"Parallel-Personalakten" nicht OK sind.

Ich sage bei solchen Schulungen i.d.R.: "Entwickeln Sie ein Bauchgefühl. Wenn Ihnen etwas komisch vorkommt, fragen Sie die Datenschutzabteilung".

In der Regel kommen dann direkt eine Reihe von "Bauchgefühl"-Fragen, bei denen wir live vor Ort Compliance-Probleme aufdecken.

... Und zwar durchaus auch solche, die Bußgelder in zweistelliger Millionenhöhe auslösen können - wenn nicht die Datenschutz-Schulung sie aufdeckt, sondern ein Whistleblower.

Für die Datenschutzabteilungen heißt das: "Rausgehen" in die Abteilungen, mit am Tisch sitzen, schulen.

Im Übrigen auch noch wichtig:

1) Ein möglichst gutes Datenschutz-Management-System mit niedriger Aufgreifschwelle (z.B. über schnell ausfüllbare Fragebögen) - und lieber einmal zu viel als einmal zu wenig nachfragen.

2) Förderung einer Compliance-Kultur im Unternehmen - also einer Kultur die das Befolgen von Regeln nicht als "lästig" oder "nervig" erscheinen lässt. Das betrifft nicht nur, aber gerade auch den Datenschutz.

3) Spezielle Mechanismen zum Behandeln *aller* Datenverarbeitungssysteme, die Freitextfelder haben und dadurch unstrukturierte Datenerfassung ermöglichen. Das betrifft nicht nur die Kombinatation Sharepoint+Word/Excel, aber gerade dort sehe ich in der Praxis die meisten Probleme.

tl;dr:
- Fälle wie der H&M-Fall sind in der Praxis viel häufiger als mancher glauben mag
- Gut gemachte Datenschutz-Schulungen sind ein essenzieller Teil der Datenschutzcompliance
- Die Datenschutzabteilung muss "rausgehen" zu den Mitarbeitern und mit am Tisch sitzen

- Das Datenschutzmanagement-System im Unternehmen muss "versteckte" Datenverarbeitung erkennen können
- Freitextfelder und andere Arten von unstrukturierter Datenerfassung sind aus Datenschutz-Sicht ein hohes Risiko. Auf dieses Risiko muss das Datenschutzmanagement reagieren.