Die Daten, die Sie nicht teilen wollten
Als Büroadministratorin Sara eine einfache Tabelle an eine Kollegin weiterleitet, löst sie unwissentlich einen schwerwiegenden DSGVO-Verstoß aus – und stellt fest, wie leicht es ist, personenbezogene Daten zu misshandeln, ohne es überhaupt zu merken. Dieses Szenario führt Einsteiger durch grundlegende Datenschutzpflichten in einem alltäglichen Arbeitsumfeld.
Als Büroadministratorin Sara eine einfache Tabelle an eine Kollegin weiterleitet, löst sie unwissentlich einen schwerwiegenden DSGVO-Verstoß aus – und stellt fest, wie leicht es ist, personenbezogene Daten zu misshandeln, ohne es überhaupt zu merken. Dieses Szenario führt Einsteiger durch grundlegende Datenschutzpflichten in einem alltäglichen Arbeitsumfeld.
Es war ein Dienstagmorgen, in jeder Hinsicht unspektakulär. Sara Malik, Büroadministratorin bei einem mittelgroßen Logistikunternehmen in Birmingham, hatte gerade ihren zweiten Kaffee getrunken, als ihr Vorgesetzter David sich vom Nachbartisch zu ihr herüberbeugte.
„Sara, kannst du Priya in der Personalabteilung die Kontaktliste der Mitarbeiter schicken? Sie braucht sie für die Einladungen zum Teambuilding-Event."
Sara nickte, öffnete ihre E-Mails und suchte nach der letzten Version der Liste, an die sie sich erinnerte und die sie vor Monaten verschickt hatte. Sie fand sie schnell – eine Tabelle mit dem Titel Mitarbeiter_Kontakte_KOMPLETT_v3.xlsx. Ohne die Datei zu öffnen und den Inhalt zu prüfen, leitete sie diese an Priya weiter und widmete sich wieder ihren morgendlichen Aufgaben.
Ganz einfach. Erledigt. Zumindest dachte sie das.
Zwanzig Minuten später erschien Priya an Saras Schreibtisch und wirkte unsicher.
„Sara… diese Tabelle enthält weit mehr als nur Namen und E-Mail-Adressen. Sie enthält Privatadressen der Mitarbeiter, Geburtsdaten, Sozialversicherungsnummern, Gehaltsstufen und medizinische Notizen aus HR-Beurteilungen. Ich brauchte nur Vornamen und dienstliche E-Mail-Adressen. Wolltest du mir wirklich all das schicken?"
Sara wurde flau im Magen. Sie rief die Datei auf. Priya hatte recht. Im Laufe von Monaten mit Aktualisierungen hatte sich die „Kontaktliste" zu etwas weit Sensiblerem entwickelt – zu einem vollständigen Mitarbeiterdatenregister. Sara hatte die persönlichen Daten von 47 Mitarbeitern an jemanden weitergeleitet, der nur einen berechtigten Bedarf an zwei Datenfeldern hatte.
Das war keine böse Absicht. Es war kein Hackerangriff. Es war ein stiller, versehentlicher Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) – und er hatte sich in weniger als sechzig Sekunden ereignet.
Sara informierte sofort ihren Vorgesetzten David, der ernst dreinblickte. „Wir müssen das dem Datenschutzbeauftragten melden," sagte er. „Gemäß DSGVO haben wir 72 Stunden Zeit, um zu beurteilen, ob dies der Aufsichtsbehörde gemeldet werden muss. Nichts löschen – wir müssen genau dokumentieren, was passiert ist."
Die Datenschutzbeauftragte des Unternehmens, eine ruhige und methodisch vorgehende Frau namens Janet, erklärte Sara, was schiefgelaufen war. Das eigentliche Problem war nicht böse Absicht – es war ein Versäumnis, den Grundsatz der Datensparsamkeit anzuwenden: nur die personenbezogenen Mindestdaten weiterzugeben, die für einen bestimmten, legitimen Zweck erforderlich sind.
„Bei der DSGVO geht es nicht nur um Hacker und Datenpannen", erklärte Janet geduldig. „Sie gilt jedes Mal, wenn Sie personenbezogene Daten verarbeiten – wenn Sie sie per E-Mail versenden, speichern, ausdrucken oder weitergeben. Jeder Mitarbeiter, dessen Daten in dieser Tabelle enthalten waren, hat Rechte. Er hat das Recht zu erfahren, wie seine Daten verwendet werden, und das Recht darauf, dass sie geschützt werden."
Sara erfuhr, dass personenbezogene Daten weit mehr umfassen, als die meisten Menschen annehmen: Namen in Verbindung mit Adressen, Gesundheitsinformationen, finanzielle Details, Ausweisnummern – all das ist durch die DSGVO geschützt. Und die Verantwortung für den Schutz dieser Daten liegt nicht allein bei der IT-Abteilung. Jeder Mitarbeiter, der
- Datensparsamkeit anwenden: Geben Sie nur die personenbezogenen Mindestdaten weiter, die für die jeweilige Aufgabe erforderlich sind. Fragen Sie sich stets: Benötigt diese Person wirklich all diese Informationen?
- Vor dem Versenden prüfen: Öffnen und prüfen Sie eine Datei immer, bevor Sie sie weiterleiten. Dateinamen können irreführend sein, und Inhalte ändern sich im Laufe der Zeit, ohne dass die Bezeichnungen entsprechend angepasst werden.
- Verstehen, was „personenbezogene Daten" bedeutet: Gemäß DSGVO umfassen personenbezogene Daten Namen, Adressen, Geburtsdaten, Gesundheitsinformationen, Finanzdaten und Ausweisnummern – nicht nur Passwörter oder Bankdaten.
- Jeder Mitarbeiter ist ein Datenverarbeiter: Datenschutz ist nicht nur die Aufgabe der IT- oder Rechtsabteilung. Jeder, der personenbezogene Daten liest, versendet, speichert oder ausdruckt, hat Pflichten gemäß der DSGVO.
- Vorfälle schnell melden: Wenn Sie einen Datenschutzverstoß oder eine versehentliche Offenlegung vermuten, melden Sie dies sofort Ihrem Datenschutzbeauftragten. Die DSGVO verpflichtet Organisationen, Vorfälle innerhalb von 72 Stunden zu bewerten.
- Daten sicher aufbewahren: Sensible personenbezogene Daten sollten in sicheren, zugangskontrollierten Systemen aufbewahrt werden – nicht in unbeschrifteten E-Mail-Anhängen oder gemeinsam genutzten Ordnern ohne entsprechende Zugriffsrechte.
Dieses Szenario und Quiz freischalten
Der kostenlose Plan umfasst 3 Szenarien. Upgraden Sie für vollen Zugang zu allen Szenarien und Quizzen.
⬆️ Pläne ansehen