DATENSCHUTZ UND HOMEOFFICE

Infolge der Covid-19-Pandemie haben sich viele Arbeitgeber entschieden, ihren Arbeitnehmern die Arbeit von zu Hause aus zu ermöglichen. Mit den heutigen technischen Lösungen können die meisten Arbeitnehmer Geschäftsprozesse von zu Hause aus ebenso effizient abwickeln wie im Büro, was zwangsläufig den Zugriff auf Daten voraussetzt, die im internen System des jeweiligen Unternehmens gespeichert sind. Auch wenn dies verschiedene Möglichkeiten eröffnet, müssen geeignete Maßnahmen ergriffen werden, damit das Homeoffice nicht zu einem Risiko für den Schutz personenbezogener Daten und von Geschäftsgeheimnissen wird.

Nach der Datenschutz-Grundverordnung (DSGVO) sind der Verantwortliche und der Auftragsverarbeiter verpflichtet, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau der Daten zu gewährleisten. Veränderte Umstände der Datenverarbeitung, wie etwa die Arbeit im Homeoffice, bringen eine Veränderung der Art und des Ausmaßes des Datenschutzrisikos mit sich. Daher ist gemäß den Anforderungen der DSGVO zunächst eine Bewertung des angemessenen Risikoniveaus vorzunehmen, bei der im Hinblick auf die Arbeit der Arbeitnehmer von zu Hause aus die Risiken der versehentlichen oder unrechtmäßigen Vernichtung, des Verlusts, der Veränderung, der unbefugten Offenlegung von personenbezogenen Daten oder des unbefugten Zugangs zu personenbezogenen Daten berücksichtigt werden. Um sicherzustellen, dass die zum Schutz der Gesundheit der Arbeitnehmer getroffenen Maßnahmen die Datensicherheit nicht gefährden, können die Geschäftsprozesse durch die folgenden zusätzlichen Schritte angepasst werden:

WÄHLEN SIE EINE SICHERE METHODE DES FERNZUGRIFFS

Unabhängig davon, ob der Fernzugriff über ein VPN (virtuelles privates Netzwerk) oder über spezielle Software (z. B. Teamviewer, Anydesk usw.) erfolgt, ist es wichtig, dass die gewählte Lösung eine Technologie umfasst, die eine sichere Fernverbindung der Benutzer mit dem internen Netzwerk des Büros über eine gesicherte Verbindung gewährleistet. Es wird empfohlen, die Datenübertragung über öffentliche Netzwerke zu vermeiden, da dies das Risiko eines unbefugten Zugriffs auf Daten erheblich erhöht.

INSTALLIEREN SIE AUF JEDEM GERÄT EIN ANTIVIRENPROGRAMM

Viele Arbeitnehmer nutzen für die Arbeit von zu Hause aus ihre eigenen Computer, Smartphones und Tablets. Da sie über private Geräte auf geschützte Daten zugreifen und diese verarbeiten, ist es erforderlich, dass diese Geräte ebenso wie die Computer in den Büroräumen durch ein geeignetes Antivirenprogramm geschützt sind. Dadurch wird das Risiko der Vernichtung von Daten oder eines unbefugten Zugriffs auf Daten verringert.

VERWENDEN SIE VERSCHLÜSSELUNG

Die Verschlüsselung ist eine der technischen Datenschutzmaßnahmen, die in der DSGVO ausdrücklich vorgesehen sind. Daten sind bei der Übertragung über ein Netzwerk (Internet) besonders gefährdet, sodass die Verschlüsselung eine zusätzliche Garantie darstellt, die selbst im Falle des Abfangens von Dokumenten einen unbefugten Zugriff auf deren Inhalt verhindert. Auch Daten, die nicht übertragen, sondern lediglich im internen System gespeichert werden, sollten als zusätzliche Maßnahme zum Schutz vor unbefugtem Zugriff verschlüsselt werden.

VERWENDEN SIE STARKE PASSWÖRTER

Es wird empfohlen, dass jeder Arbeitnehmer bzw. jedes Gerät ein eigenes Passwort hat, das sich von den Passwörtern anderer Arbeitnehmer unterscheidet. Neben der Erschwerung eines unbefugten Zugriffs „von außen“ wird dadurch auch sichergestellt, dass auf bestimmte Daten nur diejenigen Arbeitnehmer zugreifen können, die dazu befugt sind. Für ein zusätzliches Maß an Sicherheit ist es wichtig, für den Zugang zu Benutzerkonten und geschützten Dateien stärkere Passwörter zu verwenden und diese regelmäßig zu ändern.

LADEN SIE KEINE DATEN AUF PRIVATE GERÄTE HERUNTER

Wenn eine sichere Verbindung den Fernzugriff auf einen Bürocomputer ermöglicht, besteht keine tatsächliche Notwendigkeit, Daten auf einen Laptop zu Hause herunterzuladen; dies stellt zudem zweifellos ein Risiko für den Datenschutz dar. Private Geräte der Arbeitnehmer, die nicht ausschließlich für geschäftliche Zwecke genutzt werden, weisen nämlich häufig ein niedrigeres Sicherheitsniveau und weniger hochwertige technische Lösungen für den Datenschutz auf. Zudem verfügen die auf dem privaten Gerät gespeicherten Daten in der Regel über keine Sicherungskopie („Backup“), während bei der Arbeit an einem Bürocomputer (unmittelbar oder per Fernzugriff) der interne Server regelmäßig (täglich oder nach Bedarf) Sicherungskopien erstellt, die vor unbefugtem Zugriff, Verlust oder Vernichtung im Falle eines Angriffs oder Unfalls geschützt sind.

SENDEN SIE KEINE DATEN AN PRIVATE E-MAIL-ADRESSEN

Wie bereits hervorgehoben, sind Daten in der Regel bei der Übertragung über das Internet am stärksten gefährdet. Für private E-Mail-Konten der Arbeitnehmer gilt dasselbe wie für private Geräte. Die dienstliche E-Mail im Büro ist in der Regel durch starke Passwörter geschützt, die regelmäßig geändert werden, und häufig werden Domains verwendet, die den Benutzern ein höheres Maß an Privatsphäre und Sicherheit bieten als die üblichen E-Mail-Anbieter, die die meisten Menschen für private Zwecke nutzen.

MELDEN SIE JEDE VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN

Trotz aller getroffenen Maßnahmen kann es dennoch zu einem unbefugten Zugriff auf Daten oder zu deren Verlust oder Vernichtung kommen, beispielsweise wenn ein Gerät mit einem Virus infiziert wird oder verloren geht, eine unbefugte Person Daten abfängt usw. In diesem Fall muss der Verantwortliche die Agentur für den Schutz personenbezogener Daten innerhalb von 72 Stunden benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Hat die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten zur Folge, sind unverzüglich auch die betroffenen Personen zu benachrichtigen. Zudem sollten unverzüglich alle angemessenen Maßnahmen ergriffen werden, um die möglichen Folgen der Verletzung abzumildern.

VERMEIDEN SIE DIE NUTZUNG ÖFFENTLICHER NETZWERKE

Die Nutzung öffentlicher Netzwerke (etwa in Bibliotheken, Hotels oder Cafés) für den Zugriff auf geschützte Daten und deren Verarbeitung erhöht das Risiko von Datenschutzverletzungen erheblich, da auf ein öffentliches Netzwerk eine unbegrenzte Zahl von Benutzern zugreifen kann und das Sicherheitsniveau, das es bietet, häufig bei Weitem nicht dem eines internen Netzwerks entspricht.

GESTALTEN SIE VIRTUELLE BESPRECHUNGEN DSGVO-KONFORM

Bei der Organisation von Besprechungen über Online-Dienste wie Skype, Zoom und andere empfiehlt es sich, sich vor deren Nutzung über die Datenschutzrichtlinien und Datenschutzbestimmungen dieser Anwendungen zu informieren. Bestehen Zweifel an der Vereinbarkeit der Software mit der DSGVO, sind andere Möglichkeiten zu prüfen und nach Möglichkeit diejenige zu wählen, die das geringste Risiko für die Daten aller Teilnehmer birgt. Bei jeder Besprechung, jedem Vortrag oder Workshop (Webinar) ist der Moderator verpflichtet, alle Teilnehmer darüber zu informieren, welche personenbezogenen Daten gespeichert oder für andere sichtbar sein werden (Name, Standort, Mobiltelefonnummer usw.), und alle sonstigen in der DSGVO vorgeschriebenen Informationen bereitzustellen (Angaben zum Verantwortlichen, Zweck und Dauer der Verarbeitung, Rechte der betroffenen Personen …). Diese Informationen können den Teilnehmern zusammen mit der Einladung zur Teilnahme, über einen Link, der allen beim Beitritt zum Online-Seminar zur Verfügung gestellt wird, usw. bereitgestellt werden. Da einige Online-Plattformen die Aufzeichnung von Besprechungen ermöglichen, muss jede Aufzeichnung jedem Teilnehmer mitgeteilt werden.

SCHULEN SIE DIE ARBEITNEHMER UND PASSEN SIE DIE INTERNEN REGELUNGEN AN

Jeder Verantwortliche sollte über befugte Personen alle Arbeitnehmer über geeignete Maßnahmen für sicheres Arbeiten von zu Hause aus informieren, sie in deren Anwendung schulen und ihnen bei Bedarf helfen, zusätzliche Schutzsysteme einzurichten. Sofern die internen Regelungen die in besonderen Umständen zu ergreifenden zusätzlichen Schritte nicht bereits regeln, sind die Vorschriften und Aufzeichnungen an die neue Arbeitsweise anzupassen.

Wie immer wird die Anpassung der Geschäftstätigkeit an die DSGVO je nach Art der Geschäftstätigkeit, den Kategorien der verarbeiteten Daten, den am Verarbeitungsprozess Beteiligten usw. auf unterschiedliche Weise erreicht. Allen gemeinsam ist jedoch die Tatsache, dass die Anpassung der Geschäftsprozesse an die Anforderungen des Datenschutzes ein Prozess ist, der nie endet, d. h., es ist eine fortlaufende Anpassung an aktuelle Veränderungen und Risiken erforderlich, wie etwa die Arbeit im Homeoffice – derzeit für viele eine Notwendigkeit, aber auch ein bei Arbeitgebern allgemein wachsender Trend.

Für weitere Informationen kontaktieren Sie uns unter:

Tel.: 01/4862-690

E-Mail: odvjetnicko.drustvo@owens-houska.hr