5 Datenschutzverletzungen, die Sie bereits begangen haben – wenn auch nur durch Unwissenheit

Die meisten Datenschutzverletzungen in kleinen und mittleren Unternehmen passieren nicht aus Absicht, sondern aus Gewohnheit: ein Rundmail mit offenen Empfängern, ein Kameraschild ohne Pflichtangaben, ein Ordner mit Personalakten im Altpapier. Sobald Sie Kunden, Mitarbeitende oder eine Website haben, verarbeiten Sie personenbezogene Daten und die Datenschutz-Grundverordnung (DSGVO) gilt auch für Sie. Die gute Nachricht: Die fünf häufigsten Fehler lassen sich mit wenig Aufwand abstellen.

Wichtige Begriffe aus der DSGVO

Was sind personenbezogene Daten?

Personenbezogene Daten sind laut Art. 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Beispiele sind Name, Telefonnummer, Anschrift, E-Mail-Adresse, Geburtsdatum, IP-Adresse oder Ausweisnummer. Daten Verstorbener sind nach der DSGVO nicht erfasst (Erwägungsgrund 27). Für Ihr Unternehmen heißt das: Daten von Kunden, Lieferanten-Ansprechpartnern, Bewerbern und Mitarbeitenden fallen praktisch immer darunter.

Was ist eine Verarbeitung?

„Ich verarbeite keine Daten, ich erfasse sie bloß.“ Leider ist auch das Erfassen eine Verarbeitung. Nach Art. 4 Z 2 DSGVO ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten eine Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Übermitteln, Löschen oder Vernichten.

Gilt die DSGVO auch für Unternehmen außerhalb der EU?

Ja, in vielen Fällen. Der räumliche Anwendungsbereich steht in Art. 3 DSGVO:

• Die DSGVO gilt für jede Verarbeitung im Rahmen der Tätigkeiten einer Niederlassung in der EU – egal, ob die Verarbeitung selbst in der EU stattfindet (Art. 3 Abs. 1).
• Unternehmen ohne Niederlassung in der EU fallen darunter, wenn sie Personen, die sich in der Union befinden, Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten, z. B. durch Tracking (Art. 3 Abs. 2). Entscheidend ist nicht die Staatsangehörigkeit, sondern dass sich die Person in der EU befindet.
• Ein Sonderfall sind Orte, an denen aufgrund des Völkerrechts das Recht eines Mitgliedstaats gilt, etwa diplomatische Vertretungen (Art. 3 Abs. 3).

In Österreich ergänzt das Datenschutzgesetz (DSG) die DSGVO. Zuständige Aufsichtsbehörde ist die Datenschutzbehörde in Wien.

Fünf typische Datenschutzverletzungen im Unternehmensalltag

1. Offener Mailverkehr

Von offenem Mailverkehr spricht man, wenn ein E-Mail an mehrere Empfänger geht und alle sehen, wer es noch bekommen hat. Das Problem: E-Mail-Adressen enthalten oft Vor- und Nachnamen und sind damit personenbezogene Daten. Wer etwa einen Newsletter, eine Einladung oder eine Terminänderung an 80 Kunden mit allen Adressen im „An“- oder „CC“-Feld schickt, gibt diese Daten an alle anderen Empfänger weiter. Das verletzt den Grundsatz der Vertraulichkeit (Art. 5 Abs. 1 lit. f DSGVO) und kann eine meldepflichtige Datenschutzverletzung sein.

Die Lösung kostet nichts: Verwenden Sie bei mehreren externen Empfängern das Feld „BCC“ oder ein Newsletter-Tool, das jede Nachricht einzeln versendet.

2. Unzureichende Kennzeichnung der Videoüberwachung

Viele Betriebe überwachen Eingang, Lager oder Verkaufsraum mit Kameras. Das ist nicht grundsätzlich verboten, aber Videoaufnahmen sind eine Verarbeitung personenbezogener Daten. Neben einer Rechtsgrundlage (bei Unternehmen meist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, etwa Schutz vor Diebstahl) ist vor allem die Informationspflicht nach Art. 13 DSGVO ein häufiger Fehler. Ein Schild „Videoüberwacht“ allein reicht nicht.

Auf dem Hinweisschild bzw. in einer leicht erreichbaren Zusatzinformation sollten stehen:

• Hinweis auf die Videoüberwachung (z. B. Kamerasymbol)
• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten, falls einer bestellt ist
• Zweck und Rechtsgrundlage der Überwachung, bei berechtigtem Interesse auch welches
• Speicherdauer oder die Kriterien dafür
• Hinweis auf die Rechte der Betroffenen (Auskunft, Löschung, Beschwerde bei der Datenschutzbehörde) und wo die vollständigen Informationen zu finden sind

Achtung bei der Speicherdauer: § 13 Abs. 3 DSG sieht vor, dass eine Aufbewahrung länger als 72 Stunden verhältnismäßig sein und gesondert begründet und protokolliert werden muss. Das Bundesverwaltungsgericht hat die §§ 12 und 13 DSG bei Videoüberwachung zu privaten Zwecken wegen des Anwendungsvorrangs der DSGVO aber nicht angewendet (Übersicht des Parlaments zu den Entscheidungen von 2019). Maßstab ist damit Art. 5 Abs. 1 lit. e DSGVO: Aufnahmen dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist. Im genannten Fall war eine Speicherung von 14 Tagen zu lang. Eine kurze Frist von wenigen Tagen, die Sie begründen können, ist daher der sichere Weg.

Werden auch Mitarbeitende erfasst, ist zusätzlich das Arbeitsrecht zu beachten: Kontrollmaßnahmen, die die Menschenwürde berühren, brauchen eine Betriebsvereinbarung oder – ohne Betriebsrat – die Zustimmung der Beschäftigten.

3. Fahrlässiges Verhalten und fehlende Schulung der Mitarbeitenden

Viele Datenpannen entstehen nicht durch Hacker von außen, sondern durch Fehler im eigenen Haus: ein E-Mail an den falschen Empfänger, ein offener Bildschirm im Kundenbereich, ein Klick auf eine Phishing-Mail. Mitarbeitende müssen wissen, dass auch ein versehentlich falsch versandtes Dokument eine Verletzung des Schutzes personenbezogener Daten ist. Sie darf nicht ignoriert werden: Der Verantwortliche muss sie dokumentieren (Art. 33 Abs. 5 DSGVO) und unverzüglich, möglichst binnen 72 Stunden, der Datenschutzbehörde melden – außer die Verletzung führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO).

Typische Risiken im Alltag:

• keine Clear-Desk- und Clear-Screen-Regel
• schwache oder mehrfach verwendete Passwörter, keine Zwei-Faktor-Anmeldung
• Phishing-Mails und gefälschte Rechnungen
• keine Regeln, wie Daten und Datenträger gelöscht werden
• Weitergabe von Zugangsdaten unter Kollegen

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen. Dazu gehören neben Technik auch klare interne Regeln und regelmäßige Schulungen, etwa einmal im Jahr und bei jedem Eintritt.

4. WhatsApp auf dem Firmenhandy

„Wir schicken über WhatsApp keine Kundendaten, die App nutzen wir nur privat.“ Das Problem liegt woanders: Messenger wie WhatsApp können auf das Adressbuch zugreifen und Telefonnummern aller gespeicherten Kontakte an den Anbieter übertragen. Stehen im Adressbuch des Firmenhandys Kunden, Lieferanten oder Kollegen, werden deren Daten ohne Rechtsgrundlage weitergegeben.

Lösungen:

• auf dem Firmenhandy keine privaten Messenger, stattdessen eine Business-Lösung mit klarer Vertragsgrundlage
• dem Messenger den Zugriff auf Kontakte verweigern
• berufliche und private Daten mit einem Container (getrennter, geschützter Bereich am Smartphone) trennen

5. Fehlendes Löschkonzept

Personenbezogene Daten müssen gelöscht werden, sobald sie für den Zweck, für den sie erhoben wurden, nicht mehr nötig sind (Art. 5 Abs. 1 lit. e und Art. 17 DSGVO). Ohne Löschkonzept sammeln sich jahrelang Bewerbungsunterlagen, alte Kundendaten und Personalakten an.

Aber: Gesetzliche Aufbewahrungspflichten gehen vor (Art. 17 Abs. 3 lit. b DSGVO). In Österreich sind Bücher, Aufzeichnungen und Belege nach § 132 Abs. 1 BAO sieben Jahre aufzubewahren, bei laufenden Abgabenverfahren auch länger. Das betrifft etwa Rechnungen und Unterlagen der Buchhaltung und Personalverrechnung. Ein Löschkonzept legt daher je Datenart fest: Zweck, Aufbewahrungsfrist, Zeitpunkt der Löschung und wer löscht.

Das gilt auch für Papier. Akten mit personenbezogenen Daten gehören nicht ins Altpapier, sondern in einen Aktenvernichter oder zu einem Entsorger mit Vernichtungsnachweis. Als Orientierung dient die Norm DIN 66399; für personenbezogene Daten wird in der Praxis meist mindestens die Sicherheitsstufe P-3 empfohlen.

Checkliste: Datenschutzverletzungen vermeiden

• Externe Rundmails nur mit BCC oder über ein Newsletter-Tool
• Kameraschild mit allen Pflichtangaben nach Art. 13 DSGVO, kurze und begründete Speicherdauer
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO angelegt und aktuell
• Jährliche Datenschutzschulung, Ablauf für Datenpannen (Wer meldet was binnen 72 Stunden?)
• Passwortregeln, Zwei-Faktor-Anmeldung, Clear-Desk/Clear-Screen
• Kein Messenger mit Adressbuchzugriff auf Firmenhandys
• Löschkonzept mit Fristen je Datenart, unter Beachtung von § 132 BAO
• Akten über Aktenvernichter oder zertifizierten Entsorger vernichten

Fazit: Datenschutzverletzungen entstehen meist durch fehlendes Wissen

In jedem Unternehmen passieren Fehler, wenn das Wissen fehlt und Mitarbeitende nicht regelmäßig sensibilisiert werden. Klare Regeln, ein aktuelles Verarbeitungsverzeichnis und jährliche Schulungen senken das Risiko deutlich. Einen Datenschutzbeauftragten müssen die meisten KMU nicht bestellen – Pflicht ist das nach Art. 37 DSGVO vor allem, wenn die Kerntätigkeit in einer umfangreichen, regelmäßigen Überwachung von Personen oder in der umfangreichen Verarbeitung besonders sensibler Daten besteht. Eine freiwillige Bestellung oder externe Unterstützung kann trotzdem sinnvoll sein.

Welche Verstöße besonders häufig zu Verfahren und Strafen führen, lesen Sie in der Fortsetzung: 5 Datenschutzverletzungen mit besonders hohem Risiko für eine Strafe. Wenn Sie Unterstützung bei der Umsetzung suchen, finden Sie hier unsere Beratung zur DSGVO für Unternehmen. Dieser Beitrag ist allgemeine Information und keine Rechtsberatung.

Häufige Fragen