Hat Ihr Unternehmen eine IT-Sicherheitsrichtlinie? Haben Sie geregelt, wie Ihre Mitarbeiter mit Informationen, Daten, Passwörtern und anderen Unternehmenswerten umgehen sollten?

Es gibt Unternehmen, in denen die Mitarbeiter quasi vorbildlich die Inhalte der Sicherheitsrichtlinie leben. Auf der anderen Seite finde ich unzählige Firmen, deren Mitarbeiter die Richtlinie nicht akzeptieren und kaum einhalten. Was macht den Unterschied? Wann wird eine IT-Sicherheitsrichtlinie gut angenommen?

In diesem Artikel fasse ich die Erfahrungen aus über zehn Jahren zusammen. Ich gehe darauf ein, welchen Inhalt eine gute IT-Sicherheitsrichtlinie enthalten sollte. Noch viel wichtiger finde ich aber die Vorgehensweise der Einführung und das „Drumherum“, das bei fast allen Unternehmen als unwichtig erachtet wird.

Letztendlich ist aber genau dieses „Drumherum“ der ausschlaggebende Punkt, ob es funktioniert oder nicht. Meine Empfehlung dazu finden Sie in diesem Artikel. Für alle, die nun die Ärmel zurück krempeln und aktiv werden möchten, stelle ich auch ein kostenloses Muster für eine IT-Sicherheitsrichtlinie zur Verfügung.

Und noch erwähnt sei: Es handelt sich hiermit um keine Rechtsberatung, aber um jahrelange Praxiserfahrung!

IT-Sicherheitsrichtlinie vs. Informationssicherheitsrichtlinie

In der Praxis hat sich eingebürgert, dass man von einer IT-Sicherheitsrichtlinie spricht. Tatsächlich ist es in den meisten Unternehmen aber eine allgemeine Informationssicherheitsrichtlinie.

Was ist der Unterschied zwischen einer IT-Sicherheitsrichtlinie und einer Informationssicherheitsrichtlinie?

Informationssicherheit ist mehr als nur IT. Natürlich nimmt der IT-spezifische Inhalt in der Regel den größten Umfang ein. Trotzdem, es gehört mehr dazu. Sie möchten doch Ihre gesamten Unternehmenswerte schützen. Da geht es nicht nur darum, dass die Übertragung, Bearbeitung oder Speicherung auf digitalem Weg gesichert ist.

Ihnen als Verantwortlicher ist es sicherlich auch ein Anliegen, dass Ihre Mitarbeiter alle Unternehmenswerte (Dokumente, Geräte…) entsprechend schützen. Aus diesem Grund enthält eine IT-Sicherheitsrichtlinie auch Inhalte, die nicht nur die digitale Welt betreffen. Dann wäre der bessere Begriff eigentlich Informationssicherheitsrichtlinie.

Damit ist nämlich alles abgedeckt. Wohl wissend, dass es fachlich nicht ganz korrekt ist, werde ich aber in diesem Artikel hauptsächlich den Begriff IT-Sicherheitsrichtlinie verwenden.

Warum überhaupt eine IT-Sicherheitsrichtlinie?

Überlegen Sie noch, ob es überhaupt Sinn macht, in Ihrem Unternehmen eine IT-Sicherheitsrichtlinie einzuführen? Braucht es das wirklich? Diese Frage kann ich Ihnen leider nicht beantworten. Ich kann Ihnen aber ein paar Entscheidungsfragen liefern, die Ihnen helfen können, diese Frage selber für sich zu beantworten:

• Gibt es in Ihrem Unternehmen / Standort schützenswerte Werte (Daten digital oder in Papier, Maschinen bzw. Maschinenkonfigurationen, Abläufe in Projekten oder in der Fertigung, sonstige hochwertige Geräte….)?
• Haben Sie im Unternehmen ein Problem, wenn einige dieser schätzenswerten Werte nicht verfügbar sind?
• Handelt es sich bei manchen dieser Werte um Inhalte, die nicht für außenstehende zugänglich sein sollten?
• Sind alle Ihre Schutzmechanismen im Unternehmen technisch umgesetzt, so dass der Mitarbeiter oder ein Externer keine Möglichkeit hat, diese Mechanismen zu umgehen?

Haben Sie die ersten drei Fragen teilweise mit „Ja“ und die letzte Frage mit „Nein“ beantwortet? Dann würde es wahrscheinlich sinnvoll sein, eine Informationssicherheitsrichtlinie für Ihre Mitarbeiter einzuführen.

Die größten Fehler beim Erstellen einer IT-Sicherheitsrichtlinie

Die folgenden vier Punkte fallen mir leider sehr häufig in Unternehmen auf. Ich finde es immer sehr schade, wenn ich auf solche Fälle treffe und sehe, welches Potential dadurch verschwendet wird. Im Anschluss finden Sie meine Antwort als Umsetzungsvorschlag für die Einführung einer Informationssicherheitsrichtlinie.

Erstellung im Alleingang

Der Informationssicherheitsbeauftragte / IT-Sicherheitsbeauftragte, der IT-Leiter oder die Personalabteilung erstellen eine IT-Sicherheitsrichtlinie ohne sich mit anderen Abteilungen abzustimmen. Manchmal wird die Richtlinie von einem externen Anwalt für das Unternehmen erstellt. Warum soll man dann noch intern um ein Feedback bitten? Dafür haben Sie ja bereits den Anwalt bezahlt, der Ihnen ein Dokument erstellt, das sofort veröffentlicht werden kann.

Erhobener Zeigefinger

• „Es ist nicht erlaubt…“
• „Unterlassen Sie ….“
• „Es ist verboten,…“

Sprechen Sie tatsächlich im Alltag so mit Ihren Mitarbeitern? Welche Botschaft übermitteln Sie mit dieser Sprache?

Praxisrelevanz

„Verwenden Sie nur freigegebene USB-Sticks“. Dieser Satz liest sich in einer IT-Sicherheitsrichtlinie nicht ungewöhnlich. In der Praxis stellt er meistens ein unüberwindbares Hindernis dar. Wenn Ihre Mitarbeiter ihre Arbeit machen möchten, bleibt Ihnen gar nichts anderes übrig, als diesen Punkt der Richtlinie zu brechen.

• Was ist ein „freigegebener USB-Stick“? Sind die internen Sticks durch einen Aufkleber gekennzeichnet?
• Was, wenn der Kunde einen USB-Stick mit Daten bringt, die getauscht werden müssen? Gibt es einen praxisorientierten (!) Ablauf im Unternehmen, diese Daten dann legitim übertragen zu können?
• Wie schließen Sie aus, dass ein „freigegebener USB-Stick“ keine Viren oder Schadsoftware enthält?

Die Beispiele könne ich an dieser Stelle noch mit einer längeren Liste füllen. Worauf ich hinaus möchte. Was in der Theorie ganz logisch klingt, lässt sich in der tatsächlichen Umsetzung in den Fachabteilungen, deren Ziel Produktivität ist, nicht immer umsetzen.

Sicherheitsniveau Maximum

„Digitale Daten dürfen nur verschlüsselt übertragen werden.“ Mit pauschalen Aussagen scheren Sie das gesamte Unternehmen über einen Kamm. Sicherheit bedeutet Aufwand. Ist es gerechtfertigt, diesen Aufwand über das gesamte Unternehmen gleich zu halten? Muss der Speiseplan der Kantine tatsächlich beim Versenden verschlüsselt werden? Wo ist Sicherheit wichtig und wo kann man darauf verzichten?

Empfehlungen zur Einführung einer IT-Sicherheitsrichtlinie

Es gibt keine richtige oder falsche Vorgehensweise bei der Erstellung und Einführung einer Informationssicherheitsrichtlinie. An dieser Stelle fasse ich die Punkte zusammen, die mir wichtig erscheinen und die ich in der Praxis häufig gesehen habe. Entweder positiv, wenn es gut umgesetzt ist oder eben negativ, wenn auf einzelne Aspekte nicht geachtet wird.

Wer kümmert sich um die Erstellung der Richtlinie?

Es ist mir klar, dass gerade mittelständische Unternehmen keinen Informationssicherheitsbeauftragten (bzw. IT-Sicherheitsbeauftragten) (ISB) haben. Gibt es diese Stelle allerdings, ist es dessen Aufgabe, eine IT-Sicherheitsrichtlinie zu entwerfen. Doch egal, ob ISB oder nicht. Die IT-Sicherheitsrichtlinie sollte nicht allein von einer Stelle entworfen werden.

Ins Team gehört jemand aus der Personalabteilung genauso wie der IT-Verantwortliche und der Datenschutzbeauftragte. Zudem empfehle ich dringend, aus den Fachabteilungen Vertreter mit ins Boot zu holen. Das sind nämlich diejenigen, die „die Suppe am Ende ausbaden“ müssen. Die sollten schon gehört werden. Von diesen Stellen erhalten Sie – wenn Sie sie frühzeitig mit einbeziehen – hochwertige Inhalte, von denen die Richtlinie nur profitieren kann.

Welches Sicherheitslevel möchten Sie abdecken?

Nicht jedes Unternehmen ist gleich und nicht jedes Unternehmen muss zwingend den höchsten Sicherheitslevel ansetzen. Im Idealfall haben Sie vorher eine Risikoanalyse durchgeführt und konkrete Risiken identifiziert, die Sie mit der IT-Sicherheitsrichtlinie abdecken möchten. So realistisch bin ich, dass es eine solche Risikoanalyse in Ihrem Haus nur gibt, wenn Sie gesetzlich oder normativ dazu verpflichtet sind (z.B. ISO 27001).

Trotzdem kommen Sie nicht umhin, durch die Geschäftsleitung ein Sicherheitslevel zu definieren, welches dann durch die IT-Sicherheitsrichtlinie unterstützt werden soll. Ein paar Fragen, die Ihnen dabei helfen können:

• Was sind Ihre höchst zu schützenden Werte im Unternehmen?
• Haben alle Mitarbeiter Zugriff auf diese Werte oder nur ein sehr begrenzter Kreis der Mitarbeiter? Danach richtet es sich, ob Sie überhaupt in einer allgemein gültigen Richtlinie auf diesen höchsten Schutzstatus eingehen sollten oder ob das separat geregelt wird.
• Was ist das größte Risiko, das diesen Werten gegenübersteht? Kann eine IT-Sicherheitsrichtlinie dieses Risiko minimieren oder haben Sie bereits Schutzmaßnahmen getroffen? Beispiel: Ihre höchst zu schützenden Werte sind Rezepturen für Ihre Fertigung. Diese Daten sind technisch bereits so abgeschottet, dass ein Zugriff nur für eine Handvoll Mitarbeiter möglich ist. Diese Mitarbeiter sollten Sie separat auf die Wichtigkeit dieser Daten unterweisen. In einer allgemeinen IT-Sicherheitsrichtlinie bringt es keinen Mehrwert, darauf einzugehen oder das gesamte Sicherheitsniveau an diese Daten anzuheben.
• Erlauben Sie private Nutzung von E-Mail, Internet und IT-Ressourcen (Laptop, Handy, Tablet…)?
• Private Nutzung der Ressourcen in der Arbeitszeit oder nur außerhalb der Arbeitszeit?

In diesem Punkt gehen Sicherheitslevel und Unternehmenskultur in der Praxis Hand in Hand. Nicht jedes Unternehmen ist offen für private Nutzung, auch wenn es aus Sicherheitsgründen wenig Bedenken gäbe.

Unterstützung des Managements

Das mag noch so banal klingen. Dieser Passus findet sich auch so ziemlich in jeder ISO-Norm und in den meistens Standards: „Unterstützung der Leitung“. Und doch stimmt es. Die Geschäftsleitung und das gesamte oberste Management muss hinter der IT-Sicherheitsleitlinie stehen.

Sobald auch nur ein Passus der Richtlinie nicht von der Leitung mitgetragen wird oder deren Einhaltung gefordert wird, können Sie es bleiben lassen. Oberste Vorgabe für die Formulierung einer Richtlinie: Formulieren Sie die Informationssicherheitsrichtlinie so, dass sie die Geschäftsführung / der Vorstand auch einhalten kann und vor allem einhält.  Dadurch ergeben sich automatisch zwei Effekte. Die Leitung geht mit Vorbild voran und ist zudem natürlich daran interessiert, dass sich die Mitarbeiter ebenfalls daranhalten.

Vorab Veröffentlichung bei den Führungskräften

Der Entwurf oder die Fassung 1.0 Ihrer Sicherheitsrichtlinie ist fertig. Am liebsten würden Sie Ihr Werk sofort veröffentlichen.

Holen Sie sich Ihre Mitstreiter auf Ihre Seite. Legen Sie die Version 1.0 Ihren Führungskräften vor. Fordern Sie sie auf zur kritischen Prüfung des Inhalts. Nehmen Sie sie mit in die Verantwortung.

Lassen Sie durch Ihre Führungskräfte prüfen, ob der Inhalt der Richtlinie für alle Abteilungen praxisnah ist und vor allem umsetzbar ist. Auch wenn es manchmal langwierig sein kann. Seien Sie offen für Diskussionen. So anstrengend das am Anfang auch sein mag, es erspart Ihnen im Nachgang der Veröffentlichung noch viel mehr Zeit an Diskussionen durch die Mitarbeiter.

Wenn alle Führungskräfte genickt haben und die Richtlinie damit unterstützen, haben Sie noch weitere Multiplikatoren gewonnen. Diese Führungskräfte können sich vor ihren Mitarbeitern nun nicht mehr aus der Verantwortung ziehen.

Ankündigung und Bekanntgabe

Konfrontieren Sie die Mitarbeiter nicht von heute auf morgen mit einem neuen Blatt Papier. Im Idealfall informieren Sie schon vor der Veröffentlichung darüber, dass in Bälde eine IT-Sicherheitsrichtlinie eingeführt wird. Verbinden Sie die Veröffentlichung mit einer kurzen Unterweisung.

Die Führungskräfte haben Sie schon als Multiplikatoren im Boot. Das kommt Ihnen jetzt zu Gute. Greifen Sie entweder darauf zurück oder machen Sie für alle Mitarbeiter Präsenzschulungen und erläutern Sie die Inhalte der Richtlinie.

Ganz wichtig ist das WARUM!

Erläutern Sie in den Schulungen, warum Sie sich als Unternehmen für eine IT-Sicherheitsrichtlinie entschieden haben. Erklären Sie, warum es zu den einzelnen Inhalten kam. Wenn ich diese Schulung für meine Kunden übernehme, habe ich immer ein paar Beispiele und Videos dabei. Wie einfach ist es ein triviales Passwort zu hacken? Eine kleine Live-Demo und schon steigt das Bewusstsein, warum ein komplexes Passwort doch einen Sinn hat.

Wie kann man durch Social Engineering geschickt an Informationen kommen? Ein Video dazu und im Anschluss die Erklärung, wie sich Ihre Mitarbeiter am Telefon oder unterwegs verhalten sollten. Je mehr Sie erklären, WARUM für Sie als Unternehmen die Inhalte dieser Richtlinie wichtig sind, umso eher werden Ihre Mitarbeiter auch das Verständnis für die Einhaltung und Wichtigkeit der Richtlinie haben.

Unterschrift

Ich persönlich halte nichts von einer Unterschrift der Richtlinie. Manchmal höre ich als Argument, dass sich die Mitarbeiter mehr verpflichtet fühlen, wenn Sie die Richtlinie unterzeichnen. Ich weiß nicht, ob das so ist. Weniger die Verpflichtung der Einhaltung, sondern das Verständnis der Einhaltung wäre aus meiner Sicht das Ziel.

Dieses Verständnis können Sie, wie gerade erwähnt, über Schulungen erreichen. Die Teilnahme an der Schulung sollten Sie in einer Anwesenheitsliste dokumentieren. Aus meiner Sicht wäre das ausreichend. Die Informationssicherheitsrichtlinie ist ein verbindliches Vorgabedokument. Eine zusätzliche Unterschrift würde ich nicht empfehlen. Was machen Sie z .B. wenn sich ein Mitarbeiter weigert zu unterschreiben? Wie gehen Sie damit um, wenn es Änderungen im Inhalt gibt? Nochmal alle Mitarbeiter unterschreiben lassen?

Einhaltung

Das resultiert letztendlich aus den voran gegangenen Punkten. Hält sich die Leitung an die Richtlinie? Haben Sie gut erklärt, warum die Richtlinie wichtig ist? Sind die Punkte, die Sie vorgeben in der Praxis umsetzbar?

Dann decken Sie schon die wichtigsten Faktoren ab, die Ihre Mitarbeiter aus eigenem Antrieb motivieren, die IT-Sicherheitsrichtlinie einzuhalten. Nichtsdestotrotz müssen Sie aber auch die Einhaltung sicherstellen. Um eine Vorgabe, die niemand kontrolliert, wird sich auch keiner scheren. Oder parken Sie nicht auch mal im Halteverbot, wenn Sie genau wissen, dass keine Parküberwachung vorbeikommen wird?

Diese Überwachung ist aus meiner Sicht einer der schwierigsten Punkte an der ganzen IT-Richtlinie. Ich habe leider kein Patentrezept, das ich Ihnen an die Hand geben kann.

Anpassung

Scheuen Sie sich nicht, auch Fehler zuzugeben. Der 1. Wurf kann schon mal einen Stolperstein enthalten, den man auch trotz gründlicher Prüfung übersehen hat. Aus eigener Erfahrung weiß ich, wie schwer es ist – auch auf den Aufwand gesehen – eine Anpassung der Richtlinie vorzunehmen, diese zu veröffentlichen und zu kommunizieren.

Wenn Sie sich jetzt noch dazu entschieden haben, die Richtlinie unterzeichnen zu lassen, werden Sie eine neue Version kaum rausgeben wollen. Der Aufwand einer erneuten Unterschrift ist einfach unglaublich hoch. Daher meine Empfehlung noch mal: keine Unterschrift.

Das macht ein Update der Vorgaben um einiges einfacher. Seien Sie auch ganz offen in der Kommunikation, warum sich vielleicht der eine oder andere Punkt im Inhalt geändert hat.

Was sollte eine IT-Richtlinie inhaltlich mitbringen?

Sprache

Wie oben schon angesprochen, ist die Sprache, in der eine Richtlinie verfasst ist, für mich ein wesentlicher Bestandteil. Der Ton macht schließlich die Musik. Sie transportieren auf dieser Ebene eine Botschaft an alle, die Ihre Vorgaben einhalten sollten. Ein „Bitte“ an der richtigen Stelle tut der Richtlinie nicht weh und vermindert auch nicht deren Wichtigkeit. Es hebt aber bedeutend den Respekt Ihren Mitarbeitern gegenüber. Auch ist die aktive Form der Formulierung weitaus freundlicher, als die permanente Formulierung im Passiv. Dieselbe Aussage in unterschiedlichen Formen, kommt ganz unterschiedlich beim Empfänger an:

• „Die private Nutzung der IT-Ausstattung ist verboten.“
• „Bitte nutzen Sie die Ihnen übergebene IT-Ausstattung nur für geschäftliche Zwecke und nicht für private Angelegenheiten.“

Praxisbezogene Inhalte

Die Nutzung „freigegebener USB-Sticks“ habe ich ja schon weiter oben bemängelt. Sinnvoll wäre es also, solche Situationen in eine Positiv-Form zu bringen, die für Ihr Unternehmen angemessen ist.

Überlegen Sie sich vor der Erstellung einer IT-Sicherheitsrichtlinie, wie solche Prozesse bei Ihnen im Unternehmen ablaufen sollten. Bleiben wir beim Beispiel USB-Sticks. Wollen Sie durchgängig unterbinden, dass USB-Sticks in die Arbeitsplatz-Rechner eingesteckt werden, müssen Sie Lösungen bieten.

Das kann z.B. ein abgeschotteter Rechner pro Abteilung / Gebäude (je nach Unternehmensgröße) sein, der keine Verbindung ins Unternehmensnetzwerk hat. Dafür gibt es auf dieser Workstation einen oder mehrere Virenscanner, die das externe Medium prüfen und gezielt das Herunterladen einzelner bzw. benötigter Daten ermöglichen. Für einen solchen Fall müssen Sie aber auch bedenken, dass hin und wieder mal ein verseuchter Stick dabei sein kann. Soll diese Workstation täglich mit einem „sauberen“ Snapshot der Installation starten oder machen Sie manuell alle paar Tage einen Reset des Rechners? Diese Vorgehensweise zieht einen ziemlich großen und vor allem aufwändigen Rattenschwanz nach sich.

Hier sollten Sie sich tatsächlich im Voraus die Frage stellen, wie hoch Sie Ihr Sicherheitslevel ansetzen wollen und welche Maßnahmen Sie dafür in Kauf nehmen möchten. Eine aus meiner Sicht sinnvolle Lösung für ein „normales“ Sicherheitsniveau ist es, den Mitarbeiter mit in die Verantwortung zu nehmen.

Das kann dann z.B. so lauten: Verwenden Sie bitte nur externe Medien von vertrauenswürdigen Kontakten (z.B. Kunden, Geschäftspartner…). Scannen Sie das Medium vor der Verwendung auf Viren. (ggf. Link zur Anleitung, wie das funktioniert). Seien Sie besonders vorsichtig bei ausführbaren Dateien (z.B. .exe Endungen). Kontaktieren Sie im Zweifelsfall Ihre Führungskraft oder Ihre IT-Abteilung. Natürlich birgt ein solches organisatorisches Vorgehen ein größeres Risiko, als eine technische Lösung, die der Mitarbeiter gar nicht umgehen kann.

Das kann Ihnen auch kein Anwalt oder externer Dienstleister vorgeben. Beide können Ihnen Empfehlungen für eine Formulierung einer Richtlinie geben. Ob die Inhalte allerdings Ihrem Risikoniveau und Ihrem Sicherheitsstandard entsprechen, können und müssen nur Sie entscheiden.

Privatnutzung

Auch diese Entscheidung kann Ihnen niemand vorgeben. Man kann auch nicht pauschal über alle Unternehmen sagen, das Eine ist besser als das Andere. Es muss zu Ihrem Unternehmen und zu Ihrer Unternehmenskultur passen. Selbst wenn Sie private Nutzung generell befürworten, kann es doch sein, dass dies in Ihrem Unternehmen vielleicht gar nicht so sinnvoll ist.

Verbieten Sie die private Nutzung, müssen Sie auch kontrollieren, ob die Vorgaben eingehalten werden. Ansonsten sind Sie gleich beim Aspekt der „Duldung“. Erlauben Sie die private Nutzung, dann überlegen Sie sich gut, wie Sie die Punkte regeln, damit Ihnen die Anforderungen des Datenschutzes keinen Strich durch die Rechnung machen.

Mir gefällte es gut, wenn man darauf hinweist, dass das Unternehmen im begründeten Fall Zugriff auf die Geräte / E-Mails / Protokolle hat und damit eine Einsicht auf die Privatnutzung erlangen könnte. Wer das nicht möchte, sollte von einer privaten Nutzung absehen.

Hinweis auf technische Sicherheitsmaßnahmen

Bleiben Sie bei der Formulierung inhaltlich bei der IT-Sicherheitsrichtlinie. Machen Sie keine technische Anleitung daraus. Sie fragen sich, wie ich darauf komme? Das ist nicht unüblich.

Viele IT-Sicherheitsrichtlinien sind mehr als 10 Seiten lang, weil sich neben den Richtlinien und Regeln auch noch eine technische Dokumentation darin versteckt. Weisen Sie darauf hin, welche Passwortanforderungen es in Ihrem Unternehmen gibt. Auch wenn es technisch erzwungen wird und der Mitarbeiter das gar nicht ändern kann.

Trotzdem ist ein Hinweis auf den Standard sinnvoll. Nicht hineingehört – nach meinem Verständnis – eine detaillierte technische Anleitung, wie z.B. in Windows das Passwort geändert werden kann.

Solche technischen Anleitungen sollten Sie dringend separat dokumentieren. Dafür eignen sich Wikis sehr gut. In der Richtlinie verweisen Sie am besten kurz auf die Anleitung. Ziel: Die Richtlinie knackig und schlank halten!

Vorgaben für organisatorische Sicherheitsmaßnahmen

Bei den organisatorischen Sicherheitsmaßnahmen wird es natürlich interessanter. Die müssen Sie so gut es geht erläutern, um den oben erwähnten Missverständnissen vorzubeugen. Am besten klappt das, wenn Sie Ihren Vorschlag der IT-Sicherheitsrichtlinie an ein paar Key-User und Führungskräfte rausgeben und auf Praxistauglichkeit überprüfen lassen. Ein paar Beispiele aus der Praxis:

• „Aktivieren Sie bei Abwesenheit (Krankheit, Urlaub…) Ihren Abwesenheitsagenten in den E-Mails.“ Da nicht jeder Mitarbeiter einen Laptop hat oder Onlinezugang, ist es gar nicht möglich, bei ungeplanter Abwesenheit den Abwesenheitsagenten zu aktivieren. Eine Umformulierung erleichtert vieles. „Aktivieren Sie bei geplanter Abwesenheit …. und informieren Sie Ihre Führungskraft bei Krankheit, Ihren Abwesenheitsagenten zu aktivieren.“ (Vergessen Sie nicht, dies vorher technisch abzuklären, dass die Vertretung oder die Führungskraft den Abwesenheitsagenten einschalten kann.)
• „Sprechen Sie unbegleitete Personen am Firmengelände an, die keine Mitarbeiter sind.“ Damit dies möglich ist, müssen Sie vorher regeln, wie sich ein Mitarbeiter erkenntlich macht. Hat er einen Ausweis sichtbar zu tragen? Fördert das Unternehmen das Ansprechen von externen Personen? Dies ist meistens die häufigste Ursache, warum das nicht passiert. Kein Mitarbeiter will sich selbsts in eine Problemlage bringen, indem es vielleicht einen wichtigen Gast mit dieser Frage anspricht. Hier ist es wichtig, dass Sie das fördern und einfordern.

Muster für eine IT-Sicherheitsrichtlinie

Die perfekte Informationssicherheitsrichtlinie gibt es nicht, da sind wir uns hoffentlich einig. Trotzdem habe ich permanent meine Vorlagen dazu angepasst. Gerne stelle ich Ihnen diese Vorlage meiner Informationssicherheitsrichtlinie zur Verfügung. Die Abonnenten meines Newsletters erhalten dieses Muster mit Ihrer Begrüßungsmail. Hier können Sie sich zum Newsletter anmelden.

Wenn Sie sich nicht für unseren Newsletter anmelden möchten, dann schreiben Sie uns einfach eine kurze Mail an info@datenbeschuetzerin.de und wir schicken Ihnen die Vorlage entsprechend zu. Vergessen Sie nicht: Es ist nur eine Vorlage! Sie entscheiden, wie Ihr Sicherheitsniveau aussehen muss! Sie entscheiden, ob Sie die Inhalte anpassen oder übernehmen möchten! Und Sie entscheiden auch, ob Sie das Dokument noch mal von einem Anwalt prüfen lassen möchten!

Ihre Erfahrungen

Wie immer interessiert mich Ihre Erfahrung in der Praxis. Wie haben Sie das Thema Informationssicherheitsrichtlinie oder IT-Sicherheitsrichtlinie bisher gelebt? Schreiben Sie mir doch einen Kommentar dazu!

Facebook-Gewinnspiele – was Sie als Veranstalter zu beachten haben und woran Sie als Teilnehmer unseriöse Gewinnspiele erkennen

Wer kennt sie nicht, die zahlreichen angebotenen Facebook-Gewinnspiele von unterschiedlichen Veranstaltern und Unternehmen? „Teile dieses Bild, um am Gewinnspiel teilzunehmen“, „Verlinke in den Kommentaren einen Freund für die Teilnahme“ oder „Teile unsere Facebook-Seite, damit du am Gewinnspiel teilnehmen kannst“, sind Standardfloskeln.

Was davon ist erlaubt? Wie muss ein „richtiges“ Facebook-Gewinnspiel aussehen?

Auf diese und ähnliche Fragen möchte ich im heutigen Blogartikel gerne eingehen. Dabei werde ich für die Veranstalter auf die richtige Ausgestaltung der Facebook-Gewinnspiele vorstellen. Ebenfalls finden Sie als potentieller Teilnehmer eine „Checkliste“, damit Sie auch die „echten und richtigen“ Gewinnspiele von unseriösen unterscheiden können.

Facebook Gewinnspiele – so geht’s richtig!

Als Unternehmen möchte man seinen Kunden auch mal Danke sagen! Und wie geht dies am Besten? Durch ein Gewinnspiel. Doch was ist nun eigentlich erlaubt, was nicht?

Der einfachste Weg ist ein Blick in die „Facebook Promotions Guideline“ bzw. in die „Richtlinien für Gruppen, Seiten und Veranstaltungen“ zu werfen.

Facebook-Richtlinien

Punkt 3 der Facebook-Richtlinie besagt, dass die offiziellen Regeln von Facebook anerkannt werden, die Nutzungs- und Teilnahmebedingungen bekannt sein müssen und natürlich die festgelegten Bedingungen vom Veranstalter selbst eingehalten werden.

Des Weiteren ist es wichtig zu erwähnen, dass das Gewinnspiel in keiner Verbindung zu Facebook steht bzw. von Facebook gesponsert, unterstützt oder organisiert wurde.

Das Gewinnspiel darf auf einer Seite, in einer Gruppe, in Veranstaltungen oder in Apps auf Facebook durchgeführt werden. Es ist jedoch untersagt, dass die Teilnehmer aufgefordert werden, den Beitrag zu teilen und Freunde oder Personen zu markieren.

Gesetzliche Regelungen

Natürlich sind neben den Facebook-Richtlinien auch die gesetzlichen Regelungen zum Thema Gewinnspiel zu beachten. Dazu zählen vor allem die Teilnahmebedingungen, das Impressum und die Datenschutzhinweise.

Teilnahmebedingungen

Gemäß § 5 a Absatz 2 UWG ist der Gewinnspiel-Veranstalter dazu verpflichtet, wesentliche Informationen nicht vorzuenthalten. Als Vorenthalten ist im diesem Sinne, das Verheimlichen wesentlicher Informationen, die unklare, unverständliche oder zweideutige Bereitstellung von wesentlichen Informationen oder die nicht rechtzeitige Bereitstellung wesentlicher Informationen zu verstehen.

In den Teilnahmebedingungen sollten deshalb folgende Angaben gemacht werden:

• Name des Veranstalters bzw. des Verantwortlichen
• Die Teilnahmebedingungen an sich (z.B. Das Bild mit den meisten Likes gewinnt)
• Beginn und Ende des Gewinnspiel
• detaillierte Beschreibung des Gewinns und der Hinweis auf evtl. anfallende Zusatzkosten
• Datum der Preisauslosung
• Wie der Gewinner ermittelt wird (z.B. durch Zufallsgenerator oder einer Jury)
• Wie der Gewinn selbst ausgegeben wird (z.B. durch Versand oder Abholung)
• Freistellung von Facebook
• Hinweis auf den Datenschutz
• untersagte Teilnahmebedingungen (z.B. Beitrag teilen, Person verlinken)

Impressumspflicht

Wie bereits erwähnt, muss der Veranstalter bzw. der Verantwortliche bekannt sein. Die Impressumspflicht ist nach § 5 Telemediengesetz (TMG) einzuhalten. Facebook bietet die Möglichkeit, dass Impressum in die Seite mit einzubinden.

Datenschutz

Und zu guter Letzt ist natürlich die Bereitstellung der Datenschutzhinweise oder einer Datenschutzerklärung nicht zu vergessen. Für den Datenschutz ist von Bedeutung, ob das Gewinnspiel einen Werbecharakter aufweist oder nicht. Sollte das Gewinnspiel zu Werbezwecken dienen, ist eine ausdrückliche Einwilligung des Teilnehmers erforderlich.

Des Weiteren ist der Veranstalter seiner Informationspflicht nach Art. 13 DSGVO nachzukommen.

Zusatzhinweise

Es empfiehlt sich neben den bereits zu wahrenden gesetzlichen Vorgaben noch drei Zusatzhinweise bei den Teilnahmebedingungen zu einzubinden:

1. Haftungsausschluss: Dieser ist insofern empfehlenswert, wenn die Facebook-Nutzer selbst bei einem Beitrag aktiv werden (z.B. durch Kommentierung des Beitrages) und dieser rechtswidrig genutzt wird (z.B. Beleidigungen oder falsche Tatsachenbehauptungen). Durch eine solche Klausel schließt der Verantwortliche die Haftung für etwaige rechtswidrige Verstöße aus.
2. Änderungsvorbehalt: Gewinnspiele können sich schnell ändern (z.B. Facebook sperrt das Gewinnspiel unbegründet). Es ist ratsam, die Teilnehmer darauf hinzuweisen, dass das Gewinnspiel von der Ausgestaltung jederzeit geändert oder beendet werden kann (vor allem, wie in Punkt 1 angesprochen, sich sämtliche Teilnehmer rechtswidrig verhalten)
3. Rechtsweg ausgeschlossen: Der übliche Passus, dass der Rechtsweg ausgeschlossen ist, ist nach dem Urteil des Landgerichts Hannover zulässig und empfehlenswert mit aufzunehmen.

Benachrichtigung des Gewinners

Nach erfolgreicher Durchführung des Gewinnspiels ist es nun Zeit den Gewinner zu ermitteln. Egal ob Sie diesen mittels eines Losverfahrens, Zufallsgenerators oder durch eine Jury bestimmen, der Gewinner möchte natürlich auch über sein Glück informiert werden. Aber wie führt man dies durch, um den Datenschutz einzuhalten?

Es ist aktuell noch unklar, welche Weise der Benachrichtigung an den Gewinner unter Einhaltung des Datenschutzes korrekt ist. Zu unterscheiden ist jedoch, ob das Gewinnspiel auch in Verbindung mit einem Werbezweck steht oder nicht. Üblicherweise werden die Gewinner meist auf zwei Arten benachrichtigt: entweder durch eine private Nachricht oder durch die Kommentierung seines Beitrags.

Streng genommen, bräuchte man für beide Versionen eine aktive Einwilligung des Teilnehmers. Insofern sind meines Erachtens beide Benachrichtigungsweisen in Ordnung, sofern das Gewinnspiel keinen Werbecharakter besitzt. Man kann davon ausgehen, dass eine sog. „konkludente“ Einwilligung der Nutzer vorliegt, sofern sie am Gewinnspiel teilnehmen und die Teilnahmebedingungen zur Kenntnis nehmen.

Zusammenfassung und Verlinkung der Teilnahmebedingungen

Durch die Bereitstellung der Teilnahmebedingungen, des Impressums und der Datenschutzhinweise kann das Facebook-Gewinnspiel durchgeführt werden. Jedoch ist die ausgeschriebene Version der vorgenannten Punkte sehr umfangreich und würde zur Unübersichtlichkeit und ggf. zu Verwirrungen im Facebook-Post führen.

Es ist ratsam, die Teilnahmebedingungen extern anzubieten z.B. auf der eigenen Webseite. Die Verlinkung der Teilnahmebedingungen darf im Facebook-Post jedoch nicht fehlen.

Checkliste für Veranstalter – so gestalten Sie ihre Facebook-Gewinnspiele richtig!

Gerne möchte ich Ihnen nochmals zusammengefasst eine Checkliste an die Hand geben, damit Sie Ihr Facebook-Gewinnspiel korrekt gestalten und ausführen. Sie können die Checkliste auch hier als PDF herunterladen.

Checkliste Facebook-Gewinnspiele

Hinweis: Diese Checkliste erhebt keinen Anspruch auf Vollständigkeit und führt nicht automatisch zur korrekten Ausführung und Ausgestaltung des Facebook-Gewinnspiels.

Formale / gesetzliche Bedingungen:

• Ziel des Gewinnspiels (Danksagung an die Kunden, Neugewinnung von Kunden, Werbung)
  • diese Begründung dient dazu, ob eine ausdrückliche Einwilligung des Teilnehmers eingeholt werden muss
• Teilnahmebedingungen festlegen
  • Die Teilnahmebedingungen an sich (z.B. Das Bild mit den meisten Likes gewinnt, Altersbegrenzung, etc.)
  • detaillierte Beschreibung des Gewinns und der Hinweis auf evtl. anfallende Zusatzkosten
  • Beginn und Ende des Gewinnspiel
  • Datum der Preisauslosung
  • Ermittlung des Gewinners  (z.B. durch Zufallsgenerator oder einer Jury)
  • Ausgabe des Gewinns (z.B. durch Versand oder Abholung)
  • Freistellung von Facebook
  • optional: Haftungsausschluss, Änderungsvorbehalt, Ausschluss des Rechtswegs
• Impressumspflicht wahren
• Datenschutzhinweise zur Verfügung stellen
• ausdrückliche Einwilligung der Teilnehmer bei Werbezwecken

Ausgestaltung auf Facebook

Erlaubte Teilnahme durch

• Liken des Beitrags
• Kommentieren des Beitrags
• Private Nachricht an den Seitenbetreiber
• Bild oder Kommentar mit den meisten Likes gewinnt
• Bilder/Nachrichten auf der Veranstalterseite posten

Nicht zulässig:

• Beitrag teilen
• Markierung bzw. Verlinkung einer Person auf einem Bild
• Teilnehmer muss Unternehmen selbst oder den Beitrag selbst auf seiner Chronik posten

Der Fanpage Karma Blog hat dazu auch eine übersichtliche Infografik erstellt.

Teilnahme an Facebook-Gewinnspielen

Gerne möchte ich noch für die Teilnehmer eine kleine „Anleitung“ mitgeben, wie Sie unseriöse Gewinnspiele erkennen und aufdecken können.

Aus meiner persönlichen Erfahrung kann ich mitteilen, dass einige meiner Facebook-Kontakte an solchen Gewinnspielen mittels der Teilen-Funktion oder Verlinkung an einem solchen Gewinnspiel teilgenommen haben. Doch Vorsichtig ist geboten! Nicht alle Gewinnspiele sind „echt“ und auch nicht der Facebook-Richtlinie entsprechend korrekt gestaltet.

Facebook-Gewinnspiele – wie erkenne ich die „schwarzen Schafe“?

Kennen Sie ebenfalls Kontakte aus Ihrer Facebook-Liste, die willkürlich an unterschiedlichen Facebook-Gewinnspielen teilnehmen?

Ganz aktuell kursiert ein angebliches Gewinnspiel von „Rewe Markt Deutschland“ in Facebook umher, mit der Möglichkeit ein Auto zu gewinnen. Klingt doch erst mal super! Naja, nicht wirklich, wenn man sich die Bedingungen für die Teilnahme ansieht.

„Mimikama“ bzw. „Zuerst denken dann klicken (ZDDK)“ ist ein gemeinnütziger österreichischer Verein. Dieser hat sich auf die Aufklärung von sog. „Fake-Nachrichten“ spezialisiert und unter anderem auch auf  Fake-Gewinnspiele auf Facebook hinweist. Das vorgenannte Beispiel von „Rewe“ und wird zurecht von diesen als Fake-Gewinnspiel eingestuft.

Anhand des „Fake“ Rewe-Gewinnspiels zeige ich Ihnen, den Teilnehmern, worauf Sie achten sollten.

Illegales Facebook-Gewinnspiel von „Rewe-Deutschland“

Auf den ersten Blick sieht die Facebook-Seite von „Rewe-Deutschland“ seriös aus. Der zu verlosende Preis wird im Post angepriesen und die Fotos sind souverän und professionell. Teilnehmen kann mit einem Like, durch das Teilen des Post und der Kommentarfunktion.

Doch wie so oft steckt der Teufel im Detail! Wer ist denn nun genau der Veranstalter? Wo ist das Impressum? Welche Teilnahmebedingungen gelten? Wie wird der Datenschutz gewährt? Wie werden die Gewinner ermittelt bzw. benachrichtigt? Fragen, die sich jeder Teilnehmer stellen sollte, bevor er „blind“ am einem Gewinnspiel teilnimmt.

Der Verein Mimikama hat auf seiner Homepage bereits eine Liste der Fake-Gewinnspiele auf Facebook angelegt.

Doch was ist nun so schlimm an diesem Facebook-Gewinnspiel? Zum aktuellen Zeitpunkt haben die Seitenbetreiber zumindest das Profilbild der Seite geändert. Zuvor wurde das Firmenlogo von Rewe mit dem darauf eingefügten blauen Zertifizierungshaken verwendet. Auch die Namensgebung der Seite „Rewe-Deutschland“ erweckt für den Teilnehmer den Anschein, dass es sich direkt um ein Gewinnspiel von der bekannten Supermarkt-Kette „Rewe“ handelt. Des Weiteren sind keine Angaben zum Impressum, zum Datenschutz und den Teilnahmebedingungen gegeben.

Worauf soll ich nun bei der Teilnahme von Facebook-Gewinnspielen achten?

Sehen Sie sich die Facebook-Seite, vor der Teilnahme, einmal genauer an. Denn anhand der Facebook-Seite ist es bereits möglich, Fake-Gewinnspiele zu entdecken. Stellen Sie sich bei der Sichtung der Seite folgende Fragen:

• Wer ist der Verantwortliche für den Inhalt? Ist das Impressum vorhanden?
• Gibt es Hinweise zum Datenschutz?
• Können Sie den Seitenbetreiber durch den Messenger kontaktieren?
• Wie lange existiert die Seite schon?
• Welche sonstigen Inhalte werden auf der Seite gepostet?
• Werden bei bereits beendeten Gewinnspielen die Gewinner bekannt gegeben?

Was immer wieder auffällt, dass die Seitenbetreiber solcher unseriösen Facebook-Gewinnspiele die Seite erst vor kurzem angelegt haben oder die Seite mit Gewinnspielen nur so überfüllt ist. Des Weiteren sind das Impressum und die Teilnahmebedingungen meist nicht vorhanden, geschweige denn ein Hinweis zur Einhaltung des Datenschutzes. Im Gewinnspiel-Post selbst entfallen die benötigten Informationen ebenfalls.

Hinweis: Diese Checkliste erhebt keinen Anspruch auf Vollständigkeit und führt nicht automatisch zur korrekten Ausführung und Ausgestaltung des Facebook-Gewinnspiels. 

Checkliste für Facebook-Gewinnspiel Teilnehmer – so erkennen Sie die „schwarzen Schafe“

Für die Teilnehmer selbst möchte ich nochmals kurz zusammenfassen, anhand welcher Kriterien ein Gewinnspiel als sog. „Fake“ identifiziert werden kann:

• Facebook-Seite besteht erst seit kurzem
• Der blaue Zertifizierungshaken ist nicht gegeben (nicht zwingend notwendig, aber vor allem bei bekannten Firmen z.B. Rewe üblich)
• Kein Hinweis auf Teilnahmebedingungen oder den Datenschutz
• Kein Impressum vorhanden
• Kontaktmöglichkeit zum Verantwortlichen besteht nicht

Besondere Vorsicht ist geboten, wenn ein Link innerhalb des Gewinnspiel Beitrages angepriesen wird und Sie als Teilnehmer dazu aufgefordert werden, auf diesen Link zu klicken und sich ggf. auch noch registrieren zu müssen, um am Gewinnspiel teilzunehmen (Achtung! ggf. Abofalle). Links zu den Teilnahmebedingungen und dem Datenschutz sind natürlich in Ordnung.

Zusammenfassung

Die sozialen Medien, besonders Facebook werden gerne als Marketing-Kanäle genutzt. Mit einem Gewinnspiel auf Facebook kann man nicht nur Aufmerksamkeit auf das Unternehmen ziehen sondern auch noch Stammkunden oder potentielle Kunden mit einem Produkt belohnen. Grundsätzlich ist die Veranstaltung von Gewinnspielen auch auf den sozialen Medien erlaubt, sofern die oben genannten Punkte des Veranstalters beachtet werden.

Ich wünsche Ihnen nun viel Erfolg Ihres Gewinnspiels und den Teilnehmer viel Glück bei der Teilnahme!

Gerne freue ich mich über weitere Anregungen oder Diskussionen in den Kommentaren.

Die DSGVO und Videoüberwachung – das Urteil des Bundesarbeitsgerichts zur Verwertung und Speicherdauer von Videoaufzeichnungen

Das Bundesarbeitsgericht (BAG) entschied mit dem Urteil vom 23.08.2018 nun, ob auch ältere gespeicherte Videoaufzeichnungen noch verwertbar sind.

Der Ausgangsfall

Der Betreiber eines Tabak- und Zeitschriftenhandels überwachte seine Geschäftsräume zum Zweck des Eigentumsschutzes. Im August 2016 wertete der Betreiber die Videoaufzeichnungen aus, nachdem ihm ein Fehlbestand bei den Tabakwaren auffiel. Es zeigte sich, dass im Februar 2016 die Angestellte an zwei Tagen die Einnahmen nicht in die Registrierkasse legte und somit kündigte der Betreiber das Arbeitsverhältnis fristlos, woraufhin die Angestellte klagte.

Wo liegt nun das Problem?

Es stellt sich die Frage, ob nach einem so langen Zeitraum die Videoaufzeichnungen überhaupt noch gespeichert werden dürfen bzw. als Beweis verwertet werden dürfen.

Das Urteil des BAG

In den Vorinstanzen erhielt die Angestellte recht, dass die Videoaufnahmen nach einem so langen Zeitraum nicht mehr als Beweis dienen. Das Landesarbeitsgericht ist der Auffassung, dass die Videoaufzeichnungen bereits vor dem 1. August gelöscht hätten werden müssen.

Das BAG ist da anderer Meinung: „Wenn es sich um eine rechtmäßige offene Videoüberwachung gehandelt habe, wäre die Verarbeitung und Nutzung der einschlägigen Bildsequenzen zulässig gewesen und hätte somit auch nicht die Persönlichkeitsrechte der Angestellten verletzt. Der Tabakladen Betreiber wäre auch nicht zur sofortigen Auswertung des Bildmaterials verpflichtet, sondern erst, wenn er einen Anlass dafür sieht.“

Jetzt kommt es darauf an, ob die Videoüberwachung rechtmäßig war, was von den Vorinstanzen geprüft werden muss.

Dieses Urteil bezieht sich zwar noch auf die alte Fassung des BDSG, wäre aber, sofern die Videoüberwachung offen und rechtmäßig ist, auch mit der DSGVO vereinbar laut BAG.

Ich möchte meine Geschäftsräume mit einer Videoüberwachung ausstatten – wie muss ich vorgehen, damit ich DSGVO-konform bin?

Seit Inkrafttreten der DSGVO herrscht unberechtigterweise eine Hysterie mit vielen Fehlinformationen. Was darf ich noch tun? Was ist noch erlaubt? Das Thema Videoüberwachung, vor allen in öffentlich zugänglichen Bereichen, wird immer wieder stark diskutiert.

Ich möchte Ihnen hier zusammengefasst aufzeigen, welche Gedanken Sie sich zum Thema Videoüberwachung machen müssen und was Sie generell als Entscheidungsgrundlage betrachten müssen.

Videoüberwachung DSGVO – konform

Auf die folgenden Punkte gehe ich im Anschluss noch etwas detaillierter ein.

• Öffentlich zugänglicher Bereich oder nicht öffentlich zugänglicher Bereich
• Grundsätze seitens der DSGVO bzw. BDSG – neu
• Grund der Videoüberwachung und Alternativen
• Gestaltung der Videoüberwachung
  • Technik
  • Bereiche
  • Zeitraum
• Festlegung der Speicherdauer
• Transparenz gegenüber betroffenen Personen
  • Arbeitnehmer
  • Kunden

HINWEIS: Es handelt sich hierbei um keine Rechtsberatung, sondern lediglich um eine grundsätzliche Information. Es muss immer der Einzelfall betrachtet werden, ob die Videoüberwachung DSGVO konform ist.

Gesetzliche Grundlage

Kurz zur Info: Das Thema der Videoüberwachung wird nicht explizit in der DSGVO behandelt, sondern wird in § 4 BDSG – neu aufgegriffen. Was bedeutete dies nun? Ihre Videoüberwachung muss dennoch DSGVO – konform gestaltet werden, aber unser Gesetzgeber hat dieses „Lücke“ in der DSGVO mit dem § 4 BDSG – neu geschlossen.

1. Öffentlich zugänglicher Raum und nicht öffentlich zugänglicher Raum

Vorab müssen wir unterscheiden, ob Sie die Videokameras in einem öffentlich zugänglichen Bereich oder nicht öffentlichen zugänglichen Bereich anbringen möchten.

HINWEIS: Ein nicht öffentlicher Bereich liegt vor, sofern nur ein bestimmter Personenkreis Zutritt zu den Räumlichkeiten hat (z.B. Mitarbeiter zu den Büros, Mieter etc.)

Beispiele für nicht öffentlich zugängliche Bereiche

• Büros
• Produktionsbereiche
• Private Wohnung
• Treppenhäuser in Mietshäusern

Beispiele öffentlicher zugänglicher Raum

• Geschäftsräume mit Publikumsverkehr (Standardfall)
• Ämter / Behörden

Kritische bzw. verbotene Videoüberwachung in folgenden Bereichen

• Treppenhäuser in Mietshäusern
• Sozialräumen / Pausenräumen der Mitarbeiter
• Umkleiden (in Geschäften / Freibädern etc.)
• Toiletten
• Gastronomie

Der Standardfall wird meistens bei der Überwachung der Geschäftsräume mit Publikumsverkehr sein.

2. Grundsätze der DSGVO bzw. BDSG – neu

Bevor Sie überhaupt mit der Anbringung von Videokameras beginnen können, müssen jedoch ein paar wichtige Grundsätze beachtet werden, die leider nicht umgänglich ist:

• Interessensabwägung gegenüber dem Betroffenen
• (ggf.) Datenschutzfolgeabschätzung

Dies ist nur eine kleine Auswahl der wichtigsten Punkte bezüglich der Videoüberwachung. Eine Orientierungshilfe mit einer Checkliste des Düsseldorfers Kreis verlinke ich gerne. (Hinweis: diese Checkliste beschäftigt sich zwar mit den Fragen, führt aber nicht automatisch zur Zulässigkeit der Videoüberwachung und wurde noch nicht für das neue BDSG aktualisiert)

Interessensabwägung

Eine Interessenabwägung kann man sich wie eine Pro- und Kontra-Liste für beide Parteien vorstellen. Welches berechtigte Interesse hat der Inhaber, um eine Videoüberwachung zu begründen? Welche Argumente sprechen für eine Videoüberwachung und welche dagegen? Welche Gefährdungen ergeben sich für betroffene Personen? Welche gesetzlichen Vorschriften überwiegen?

Das Persönlichkeitsrecht nach Art. 2 Grundgesetz ist eines der höchsten und schutzwürdigsten Grundrechte, die es gibt.

Dies soll jetzt jedoch nicht bedeuten, dass die Videoüberwachung überhaupt nicht DSGVO-konform sein kann, da das Persönlichkeitsrecht des Betroffenen immer überwiegt. In der Praxis werden Videoüberwachungen zum Schutz des Eigentums oder zur Vermeidung von Straftaten eingesetzt und auch akzeptiert, wenn man sich an paar Spielregeln hält.

Datenschutzfolgeabschätzung

Zusätzlich zur Interessenabwägung muss eine Datenschutzfolgenabschätzung (DSFA) erfolgen, wenn ein hohes Risiko für die Rechte und Freiheiten von natürlichen Personen besteht und eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche stattfindet (Art. 35 Abs. 3 lit. c DSGVO).

Die Datenschutzkonferenz (DSK) hat eine Positivliste für Datenschutzfolgeabschätzungen veröffentlicht. Das heißt, in dieser Übersicht finden Sie Verfahren, die unbedingt einer Datenschutzfolgeabschätzung bedürfen. Videoüberwachung ist hier explizit nicht aufgelistet. Trotzdem sollten Sie das Thema beachten und eine DSFA vornehmen, wenn sich aus der Videoüberwachung hohe Risiken für den Betroffenen ergeben können.

Beispiele für hohe Risken

• Diskriminierung,
• Identitätsdiebstahl,
• Profilerstellung durch Bewertung persönlicher Aspekte,
• Rufschädigung,
• v.m

Für weitere Informationen für die Risiken verlinke ich das Kurzpapier Nr. 18 der DSK: Die Datenschutzkonferenz (DSK) hat eine Positivliste für Datenschutzfolgeabschätzungen veröffentlicht

3. Grund der Videoüberwachung und Alternativen

Zunächst müssen Sie sich die Frage stellen, warum Sie Ihre Geschäftsräume videoüberwachen wollen. Gibt es vielleicht Alternativen („mildere Mittel“) zur Videoüberwachung? Diese Begründung entscheidet darüber, ob die Videoüberwachung gegen die DSGVO verstößt.

In § 4 BDSG – neu gibt der Gesetzgeber bereits vor, wann die Videoüberwachung zulässig ist und zwar,

• zur Aufgabenerfüllung öffentlicher Stellen (wobei dies in unserem Fall nicht zutrifft),
• zur Wahrnehmung des Hausrechts oder
• zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke

Beispiele für Alternativen zur Videoüberwachung

• Alarmanlage
• Ladendetektiv
• Nachwächter
• Wertvolle Gegenstände nach Ladenschluss im Tresor aufbewahren
• Zutrittsberechtigungen einschränken und nur bestimmten Mitarbeitern gewähren

Natürlich ist abzuwägen, ob es organisatorisch und finanziell umsetzbar ist, dass weiteres Personal z.B. für den Schutz vor Straftaten eingestellt wird.

Beispiele für berechtigtes Interessen bei der Videoüberwachung

• Vermeidung von Straftaten (Einbruch, Diebstahl)
• Eigentumsschutz
• Schutz von Leben und Gesundheit

Ziemlich wahrscheinlich wollen Sie vermeiden, dass Straftaten begangen werden. Sie möchten Ihr Eigentum schützen. Sollte dennoch der Fall z.B. eines Diebstahls oder Einbruches eintreten, wäre es wünschenswert einen Videobeweis vorlegen zu können.

4. Gestaltung der Videoüberwachung

Sie sollten sich bereits bei der Anschaffung von Videokameras Gedanken um den Datenschutz machen und auf einen „eingebauten Datenschutz“ (Privacy by design) bachten.

Beispiele für den eingebauten Datenschutz

• Keine Schwenkfunktion
• Keine Tonaufnahme! (wird strafrechtlich verfolgt)
• Keine automatische Gesichtserkennung
• Keine Zoomfunktion

Des Weitern ist auch zu klären, in welchen Bereichen die Überwachung stattfinden soll und in welchem Zeitraum.

Beispiele für Überwachungsbereiche

• Eingangsbereich
• Geschäftsraum
• Parkplatz, welcher zum Grundstück gehört

ACHTUNG! Überwachungen der öffentlichen Straße, Mitarbeiterräumen bzw. Sozialräumen und im Gastronomiebereich sind sehr kritisch!

In Österreich wurde im September 2018 die erste DSGVO-Strafe gegen einen Lokalbetreiber verhängt. Dieser überwachte unerlaubt mit seiner Videokamera einen großflächigen Teil des öffentlichen Gehweges und wurde nun mit einer Strafe in Höhe von 4.800,00 € belangt.

Machen Sie sich Gedanken über den Zeitraum der Videoüberwachung. Würde es beispielsweise ausreichen, die Videoüberwachung nur nach Ladenschluss zu aktivieren? Häufig werden die Geschäftsräume auch zu den üblichen Öffnungszeiten überwacht, was wahrscheinlich gar nicht nötig wäre.

5. Festlegung der Speicherdauer

Hier gibt es nun unterschiedliche Ansichten. Die Empfehlung der Aufsichtsbehörde beläuft sich auf eine Speicherdauer von 72 Stunden. Das Oberverwaltungsgericht Lüneburg entschied, dass auch eine Speicherdauer von 10 Tagen zulässig ist.

Hier komme ich wieder auf das Urteil des BAG zurück. Das BAG ist der Auffassung, dass es erst bei einem Anlass zur Auswertung kommen muss. Dies würde eine weitaus längere Speicherdauer ermöglichen. Allerdings gilt trotzdem der Grundsatz der Datensparsamkeit und der Zweckbindung. Sofern der Zweck wegfällt, ist auch die Aufbewahrung des Videomaterials zu löschen.

Meiner Meinung nach ist daher schwierig zu sagen, welche Speicherdauer nun konkret festgelegt werden soll. Es kommt immer auf den Einzelfall an und wie die Sichtung sich organisatorisch im Geschäftsalltag einbinden lässt.

Beispiel:

Sie überwachen Ihre Geschäftsräume, um Straftaten vorzubeugen. Sollte innerhalb des festgelegten Zeitraums keine Straftat erfolgen, sind Sie verpflichtet das Videomaterial zu löschen.Im Falle einer Straftat, darf das Videomaterial natürlich länger aufbewahrt werden, da dies zu Beweiszwecken dient.

6. Transparenz gegenüber den Betroffenen

Wichtig ist, dass die betroffenen Personen, seien es Arbeitnehmer oder die Kunden, nicht in ihrem Persönlichkeitsrecht verletzt werden. Es ist eigentlich unvermeidbar, dass bei Kundenverkehr auch die Mitarbeiter mit überwacht werden.

Wie ist die Handhabung?

Mitarbeiter:

Eine verdeckte Überwachung der Mitarbeiter verstößt gegen das Persönlichkeitsrecht und ist nur in ganz speziellen Fällen zulässig. Dies entschied das BAG bereits imJahr 2012. Problematisch könnte auch sein, wenn meistens die gleichen Arbeitnehmer überwacht werden. Durch die bereits erfolgte Interessenabwägung und die Zweckbindung, stellt die Aufzeichnung der Mitarbeiter eine Nebenfolge dar, die das Interesse des Arbeitgebers überwiegen lässt z.B. zum Schutz des Eigentums und Vermeidung von Straftaten. Die Informationspflicht ist einzuhalten, sofern auf dem Videomaterial die darauf aufgezeichnete Person zugeordnet werden kann.

Kunde:

Beim Kunden ist es ähnlich wie bei den Mitarbeitern. Der Kunde darf nicht in seinen Persönlichkeitsrechten verletzt werden. Der Kunde muss auf jeden Fall darauf hingewiesen werden, dass die Räumlichkeiten videoüberwacht und muss persönlich informiert werden, sofern die Personen zugeordnet werden kann.

Hinweisschilder:

Es gibt unterschiedliche Ausführungen von Hinweisschildern. Aus Ihrer Verantwortlichkeit heraus, ergibt sich, wie bereits erwähnt, die Hinweis- und Transparenzpflicht.

Welche Mindestanforderungen eine solches Hinweisschild haben sollte, fasst die DSK in ihrem Kurzpapier Nr. 15 in folgenden Punkten zusammen:

• Umstand der Beobachtung – Piktogramm, Kamerasymbol.
• Identität des für die Videoüberwachung Verantwortlichen – Name einschl. Kontaktdaten (Art. 13 Abs. 1 lit. a DS-GVO)
• Kontaktdaten des betrieblichen Daten-schutzbeauftragten – soweit benannt, dann aber zwingend (Art. 13 Abs. 1 lit. b DS-GVO).
• Verarbeitungszwecke und Rechtsgrundlage in Schlagworten (Art. 13 Abs. 1 lit. c DS-GVO).
• Angabe des berechtigten Interesses – soweit die Verarbeitung auf Art. 6 Abs. 1 S. 1 lit. f DS-GVO beruht (Art. 13 Abs. 1 lit. d DS-GVO).
• Dauer der Speicherung (Art. 13 Abs. 2 lit. a DS-GVO).
• Hinweis auf Zugang zu den weiteren Pflichtinformationen gem. Art. 13 Abs. 1 und 2 DS-GVO (wie Auskunftsrecht, Beschwerderecht, ggf. Empfänger der Daten).

Beispiel für ein Hinweisschild

Quelle: https://www.datenschutz-praxis.de/wp-content/uploads/2018/04/Anlage1_Hinweisschild-final.pdf?key=c8bc4633b87d4203f6fb793ae72e814a

Die Abbildung zeigt, wie ein DSGVO-Hinweisschild für die Videoüberwachung korrekterweise aussehen müsste, damit Sie Ihrer Informationspflicht nach Art. 13 DSGVO gerecht werden.

Zusammenfassung

Abschließend fasse ich nochmal alle Punkte zusammenfassen. Für die Vorgehensweise bei einer Planung für eine DSGVO-konforme Videoüberwachung ist folgendes zu beachten:

1. Alternativen suchen und ggf. diese zuvor umsetzen
2. Interessenabwägung und anschließender Folgeabschätzung vornehmen
3. Aufnahme in das Verfahrensverzeichnis und in den Informationspflichten mit angeben
4. Technische und organisatorische Maßnahmen zum Schutz der Betroffenen definieren und umsetzen
5. Speicherdauer festlegen und bei Zweckerreichung das Bildmaterial löschen
6. Hinweisschilder anbringen z.B. im Eingangsbereich

Fazit

Zum aktuellen Zeitpunkt ist meines Erachtens die Videoüberwachung vereinbar mit der DSGVO, sofern einzelne Punkte beachtet und eingehalten werden. Über Fragen und eine Diskussion freue mich mich in den Kommentaren zum Artikel.

Weiterführende Links und Informationen:

• Bericht von Prof. Dr. Michael Fuhlrott zum BAG Urteil: https://www.lto.de/recht/hintergruende/h/bag-2azr13318-videoaufnahmen-arbeitsplatz-beweisverwertung/
• Orientierungshilfe für Videoüberwachung des Düsseldorfer Kreis https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2014/03/OH-VÜ-durch-nicht-öffentliche-Stellen.pdf
• Checkliste für Datenschutzfolgeabschätzung von datenschutz.org Datenschutzfolgeabschätzung
• Kurzpapier Nr. 15 der DSK DSK in ihrem Kurzpapier Nr. 15
• Kurzpapier Nr. 18 der DSK DSK in ihrem Kurzpapier Nr. 18
• Hinweisschild nach Art. 13 DSGVO Hinweisschild 
• Salzburger Nachrichten, 19.09.2018: http://www.pressreader.com/austria/salzburger-nachrichten/20180919/281801399873241

Quelle Titelbild: Pixabay

Gerade ist der 25.5.2018 vorbei und wie befürchtet flattern die ersten DSGVO Abmahnungen in den Briefkasten. Leider werden es täglich mehr.

Ich versuche noch irgendwie den Überblick zu behalten, um was es geht und welche Themen abgemahnt werden. Mir kommt das ganze allerdings vor wie ein Schneeballsystem. Einmal losgetreten nimmt es Ausmaße an, die ein Einzelner nicht mehr überblicken kann.

Aus diesem Grund hoffe ich mit diesem Beitrag sehr auf die Hilfe meiner treuen Leser. Lassen Sie uns zusammen einen Überblick schaffen, welche Abmahnungen gerade ihren Weg in die Briefkästen finden und natürlich, wie man sich davor schützen kann (wenn man als Glücklicher davon noch nicht betroffen ist).

Die Übersicht stellt keine Wertung und natürlich keine Rechtsberatung dar. 

DSGVO Abmahnungen

Ob eine DSGVO Abmahnung zulässig ist, ist rechtlich offen.

Es heißt (Artikel 77-84 DSGVO), aufgrund der DSGVO eine Abmahnung zu erstellen, würde bei Erfolg in die Kasse der Behörden gehen. Das heißt, der Abmahnanwalt selber hätte wenig davon. Aus diesem Grund berufen sich die Anwälte wahrscheinlich  auf ein anderes Gesetz, zum Beispiel auf das UWG (unlauterer Wettbewerb). Man könnte sich ja einen Wettbewerbsvorteil verschaffen, wenn ich meine Datenschutzerklärung etwas „beschönige“ 🙂
Interessant ist, das laut einem Heise Online Bericht noch nicht geklärt ist, ob Unternehmen ihre Wettbewerber aufgrund eines Datenschutzverstoßes aus wettbewerbsrechtlichen Gründen abmahnen dürfen. Hoffen wir mal in unser aller Interesse, dass dem nicht so sein wird und die Abmahnungen nicht erfolgreich sein werden.

Alle Formulierungen, auch von Seiten der Anwälte sind zu diesem Thema ein Fragezeichen. Sind die Abmahnungen zulässig? Werden Sie erfolgreich sein? Darf man auf die DSGVO abmahnen? Darf man einen Verstoß auf ein anderes Gesetz ableiten? Nicht mal die Rechtsanwälte können diese Fragen sicher beantworten. Entscheiden werden das die Gerichte!

Die Urteile zu den DSGVO Abmahnungen

Sobald Urteile zu den Abmahnungen vorliegen werde ich die natürlich in der Übersicht ergänzen!

Übersicht aktuelle DSGVO Abmahnungen

Stand 01.06.2018

Aktuelle Abmahnschreiben

Wie schon oben angekündigt sehe ich diesen Blogbeitrag nicht als mein Werk, sondern als ein Gemeinschaftsprojekt, welches uns allen zu Gute kommt. So können wir uns auch nachträglich noch ausrichten, falls irgendwer auf seiner Webseite oder anderweitig (wer weiß, was noch alles kommt) eine Lücke hat, gegen die gerade ein Abmahnschreiben an andere rausgegangen ist.

Hinweis in den Kommentaren

Ich bin über jeden Hinweis im Kommentar dankbar und nehme ihn gerne mit in die Liste auf (bitte immer mit Link zur Quelle oder einem Anhang als Nachweis). Wenn sogar PDFs oder JPGs als Nachweise dabei sind, dann bitte gerne auch per E-mail an mich. Aber bitte nur, wenn Sie auch die Freigabe haben, dass die Datei veröffentlicht werden darf (nicht dass wir hier einen Datenschutzverstoß begehen).