Datenschutzalltag

Das macht pro Mitarbeiter und Überprüfung etwa 2 Euro. Immerhin.

[Update 23.10.2009] Die Bahn hat das Bußgeld akzeptiert: Link zur Pressemitteilung

Michael Bauchmüller berichtet in der Sueddeutschen:

Der Datenskandal bei der Deutschen Bahn hat für das Unternehmen ein teures Nachspiel. Nach Informationen der Süddeutschen Zeitung ging am Montag ein Bußgeldbescheid des Berliner Datenschutzbeauftragten Alexander Dix bei der Bahn ein. Darin fordert die Behörde eine Geldbuße von rund 1,1 Millionen Euro. Diese beziehe sich allein auf die schon früh bekannt gewordenen Verstöße gegen Datenschutzgesetze, hieß es bei der Behörde.

Wie zu Anfang des Jahres bekannt geworden war, hatte die Bahn seit 1998 insgesamt dreimal ihre Mitarbeiter sogenannten Massen-Screenings unterzogen. Diese sollten Fälle aufdecken, in denen Mitarbeiter sich über Scheinfirmen selbst lukrative Aufträge zuschanzen.

Reaktion Nummer 1: Werden jetzte die Tickets schon wieder teurer?

Reaktion Nummer 2: Spätestens seit dem Fall Lidl wissen wir, das auch Millionen-Bußgelder nicht automatisch zur Läuterung der Abgestraften führen.  Immerhin gibt es jetzt eine Hausmarke a la “Bußgeld je illegal überprüftem Mitarbeiter”:  Wenn wir grob von 3x 173.000 Mitarbeitern ausgehen, dann landen wir bei etwa 2 Euro pro Nase und Überprüfung. Ein gutes Argument,  warum eine Unternehmensleitung VOR einer geplanten Mitarbeiterüberprüfung ihren betrieblichen Datenschutzbeauftragten einbeziehen sollte. Datenschutz steht der Korruptionsbekämpfung nicht grundsätzlich im Weg: Es geht um das “Wie”.

Aber: Wie viel Datenschutzbeauftragte sind fachkundig genug, ihre Chefs entsprechend zu beraten? Der neue §32 im BDSG hilft hier wenigstens ansatzweise weiter; im Netz dürften diverse Stellungnahmen und Checklisten zu finden sein. Hat jemand was konkretes zur Hand?

[Update 26.10.2009] Koalitionsvertrag liegt vor. Anmerkungen von mir hier.

Die Koalitionsverhandlungen haben begonnen und mit Recht werden die unterschiedlichen Standpunkte in Fragen der Bürgerrechte und des Datenschutzes als mögliches Spannungsfeld dargestellt, so auch in diesem Blog.

Die grundsätzlichen Differenzen in zentralen Fragen sollen aber nicht über bestehende Gemeinsamkeiten hinwegtäuschen. Ja, es gibt sie, man muss sie nur finden . Legt man die Wahlprogramme beider Parteien nebeneinander, so ergeben sich einige Ansatzpunkte.

Quellen siehe hier: Regierungsprogramm von CDU/CSU – siehe da Deutschlandprogramm der FDP für alle folgenden Zitate.

Rechtsvereinfachung
„Der Bürger muss das Recht verstehen können, wenn er es befolgen soll. Wir fordern ein übersichtlicheres und verständlicheres Recht. CDU und CSU wollen, dass Gesetze und Bescheide der Verwaltung in einer für den Bürger verständlichen Sprache verfasst werden.“ Die Datenschutzgesetzgebung und besonders das Bundesdatenschutzgesetz sind (leider) prägnante Beispiele für unübersichtliche Schwerverständlichkeit. „Die FDP setzt sich für ein modernes, leicht verständliches, übersichtliches und effektives Datenschutzrecht ein. Sie strebt die Verankerung allgemeiner Datenschutzgrundsätze in nur einem Gesetz an. An die Stelle von hunderten von speziellen Gesetzen soll ein neues Bundesdatenschutzgesetzbuch treten.“
Darf man also hoffen? Beide Standpunkte deuten nebenbei an, dass es für ein separates Arbeitnehmerdatenschutz schwer wird, so wichtig klärende Regelungen in diesem Bereich sind und bleiben – und von der FDP konkret gefordert werden.

Datenschutzkontrolle

Die FDP will beide Säulen stärken – Aufsichtsbehörden und Datenschutzbeauftragte. „Die FDP setzt sich dafür ein, die Zersplitterung der datenschutzrechtlichen Aufsichtslandschaft zu beenden und die Unabhängigkeit der Kontrollstellen zu stärken. Auf Bundesebene strebt die FDP an, dem Bundesbeauftragten für den Datenschutz und Informationsfreiheit den Status einer obersten Bundesbehörde zu verleihen. […] Um das Datenschutzniveau in der Wirtschaft zu stärken und Betriebsabläufe datenschutzfreundlich zu gestalten, soll die Stellung der betrieblichen Datenschutzbeauftragten institutionell gestärkt werden. Ein einheitliches Berufsbild „betrieblicher Datenschutzbeauftragter“ wird angestrebt.“

Die CDU/CSU formuliert es „weicher“: „Der Bürger muss darauf vertrauen können, dass seine Daten vor Missbrauch geschützt sind. […] Kriminellen Datenhandel werden wir ahnden.[…] Wir wollen einen umfassenden Datenschutz garantieren. [!!] Wir wollen keine unnötigen Datenmengen speichern und kämpfen gegen den „Gläsernen Bürger“. Das Gebot der Verhältnismäßigkeit muss stets gewahrt bleiben.“
„Wahrer“ und „Missbrauchsschützer“ sind nun einmal die betrieblichen und behördlichen Kontrollstellen. Ich vermute allerdings bei der CDU/CSU eine Tendenz zur Stärkung der behördlichen Aufsicht: Nach dem Selbstverständnis des Innenministers kann der Staat besser mit den Daten der Bürger umgehen als die Wirtschaft.

Datenschutzbewusstsein
Wie bringt man seine Bürger dazu, besser auf ihre eigenen Daten zu achten? „Hierzu muss auch jeder Einzelne seinen Beitrag leisten, indem er sparsam und verantwortungsvoll mit seinen personenbezogenen Daten umgeht. Der Staat hat ihn hierbei durch Regelungen zu unterstützen, die Selbstdatenschutz ermöglichen“, meint die FDP. „Kinder sollten bereits früh Medienkompetenz erwerben, um Medienangebote ihrem Alter gemäß kritisch nutzen zu können.“ Die CDU/CSU verspricht: „Gleichzeitig werden wir die Bürger, insbesondere die Jugendlichen, verstärkt für einen verantwortlichen Umgang mit persönlichen Daten sensibilisieren.“
Der Nachholbedarf auf diesem Gebiet ist generationsübergreifend enorm. Über die Schulen könnten Kinder und ihre Eltern erreicht werden; in den Behörden und Unternehmen gibt es mit dem Datenschutzbeauftragten eine Person, zu dessen Aufgaben es ausdrücklich gehört, die „bei der Verarbeitung personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit den Vorschriften dieses Gesetzes sowie anderen Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen.“ (BDSG § 4g). Die Datenschutzbeauftragten müssen dazu Wissen und Möglichkeiten, Ausbildung und Ausstattung bekommen – das wiederhole ich gern gebetsmühlenartig.

Finden sich noch weitere Übereinstimmungen? Ganz nebenbei: Vor vier Jahren war dieser Vergleich noch gar nicht möglich, denn im CDU/CSU-Wahlprogramm von 2005 kam der Begriff „Datenschutz“ überhaupt nicht vor – im Gegensatz zu 13 Treffern für „Terror“. Inzwischen steht es nur noch 5:8, eine deutliche Akzentverschiebung

„Datenschutz gehört ins Grundgesetz“, dem kann sich die Union bis jetzt nicht anschließen. Allerdings schmerzt eine solche Adelung des Grundrechtes auch nicht wirklich und könnte bei passender Gelegenheit medienwirksam verkauft werden. Dem CDU/CSU-Versprechen „Wir wollen einen umfassenden Datenschutz garantieren“ stünde ein Grundrecht auf Datenschutz nicht schlecht zu Gesicht.

Neben dem bekannten Dissenz bei Online-Durchsuchung, Vorratsdatenspeicherung und Internetzensur gibt es also einige Gestaltungsmöglichkeiten für die neue Koalition. Bleibt zu hoffen, dass die Verhandlungspartner im Streit um die Problemzonen nicht das Kind mit dem Bade ausschütten.

In diesen Tagen wurde in Karlsruhe die SiFo-Studie 2009 des Sicherheitsforums Baden-Württemberg vorgestellt. heise berichtet unter dem Titel “Wirtschaftsspione kommen zu 70 Prozent aus den eigenen Reihen”:

Er ist im Schnitt 41 Jahre und schon zehn Jahre in der Firma – Verräter von Dienstgeheimnissen oder Wirtschaftsspione kommen zu 70 Prozent aus dem eigenen Unternehmen, ergab eine Studie zur Wirtschafts- und Industriespionage in Baden-Württemberg, die am Freitag in Karlsruhe bei der Sicherheitsmesse SAFEKON vorgestellt wurde. Externe Täter hatten im Schnitt seit sechs Jahren eine Geschäftsverbindung. Bei Verstößen gegen das Urheberrecht kommen die Täter aber am häufigsten aus Asien, gefolgt von deutschen und westeuropäischen Firmen-Spionen, so die Untersuchung, die unter anderem vom Ferdinand-Steinbeis-Institut erarbeitet wurde.

Was mich erschreckt, ist die himmelschreiende Selbsttäuschung bezüglich der eigenen Mitarbeiter:

Insgesamt zeigt sich, dass der Verrat von Geschäfts- und Betriebsgeheimnissen typischerweise von unternehmensnahen Tätern begangen wird. Dennoch schätzen die Unternehmen ihr Risiko, dass ihre Geschäfts- und Betriebsgeheimnisse ausgespäht oder verraten werden, durch technische Angriffe (24%) weitaus höher ein, als durch interne Mitarbeiter/Manager (9%) oder externe Personen/Unternehmen (8%).

Fast zwei Drittel (64%) halten es sogar für unwahrscheinlich, dass eigene Mitarbeiter/Manager betroffen sein könnten. Dies ist eine folgenschwere Fehleinschätzung, wie die Studie belegt. Die größte Tätergruppe stammt aus dem eigenen Unternehmen (44%).

Quelle: SiFo-Studie 2009

Hier hat wohl jemand Paul Baehr wörtlich genommen:

Ja, teurer Freund, du hast sehr recht:
Die Welt ist ganz erbärmlich schlecht,
ein jeder Mensch ein Bösewicht.
Nur du und ich natürlich nicht.

Wer nur von zufriedenen, zuverlässigen und fachkundigen Mitarbeitern und Geschäftspartnern umgeben ist, braucht sich natürlich auch nicht um Sensibilisierung und Sicherheitskonzepte kümmern:

Bedenklich ist außerdem: Schulungen zur Sensibilisierung der Mitarbeiter zum Thema Schutz von Unternehmens-Know-how sind bei weniger als jedem dritten Unternehmen vorhanden (29%) und nur 8% beabsichtigen diese einzuführen. Gleiches gilt für die Einbindung von Geschäftspartnern und Subunternehmern in das Sicherheitskonzept (vorhanden 22%, geplant 5%) oder die Einführung eines Hinweisgebersystems (vorhanden 19%, geplant 7%).

Spätestens hier sind die Parallelen zur aktuellen Datenschutzdiskussion offensichtlich, schließlich liegen die Bereiche eng beieinander.

Wir brauchen informierte und selbst-bewusste Mitarbeiter. Aus der Wahrnehmung und Achtung der eigenen Grundwerte und Grundrechte wächst die Bereitschaft und oft auch die Fähigkeit zum Schutz der Unternehmenswerte. Betriebliche Datenschutzbeauftragte sollen in ihrem Bereich einen Beitrag dazu leisten. Das können sie nur, wenn sie entsprechend ausgebildet und ausgerüstet sind. Die neue butterweiche Fortbildungsverpflichtung im BDSG ist nur ein erster Schritt.

Die “Einbindung von Geschäftspartnern und Subunternehmern in das Sicherheitskonzept” gehört aktuell zum Datenschutzalltag vieler Datenschutzbeauftragter: Spätestens seit dem 01.09.2009 werden überall die angestaubten Verträge zur Auftragsdatenverarbeitung aus den Schubläden geholt und – optimistisch gesehen – mit Leben erfüllt. T-Mobile-Skandal und Gesetzesnovelle sei Dank.

Der Morgen nach der Bundestagswahl. Die Wechsel ist gelungen, die Mehrheit ist fast komfortabel.

Aus Datenschutzsicht ist von einer schwarz-gelben Regierung mehr zu erwarten als von der halbherzig reagierenden Großen Koalition. Dafür sprechen nicht nur die Wahlprogramme – man vergleiche die Menge und die Qualität der Aussagen zum Datenschutz bei FDP und SPD. Die FDP verfügt auch über mehrere erfahrene Fachpolitiker im Parlament. Die Frage wird sein, inwieweit sich die Grund- und Bürgerrechtsbewegten im Regierungsalltag gegenüber dem Wirtschaftsflügel durchsetzen können.

Ich bin auf den Koalitionsvertrag gespannt, auch wenn mich die Erfahrung mit dem 11 Jahre versprochenen Arbeitnehmerdatenschutzgesetz skeptisch gegenüber diesen Wunschfahrplänen gemacht hat.
In den Verhandlungen werden die in vielen Fragen unterschiedlich geladenen Forderungswolken aufeinander prallen. Es wird krachen zwischen den Partnern – am Ende aber hoffentlich einen belebenden Regen geben. Und wenn die eine oder andere Rechtsvorschrift der letzten Jahre vom Blitz getroffen wird, ist das auch nicht schlecht.