Diese Richtlinie enthält die Vorschriften, Pflichten und bewährten Praktiken, die von jeder Person, die Zugang zu den Systemen, Daten, Einrichtungen oder Informationen der Organisation hat, unabhängig von ihrem Vertragsverhältnis (Mitarbeiter, Praktikanten, Auftragnehmer, Dienstleister oder externe Mitarbeiter) gekannt und eingehalten werden müssen. Sie muss allen Mitarbeitern zur Verfügung stehen, die jederzeit darauf zugreifen können, und diese sind verpflichtet, bei der Ausübung ihrer Aufgaben für deren Einhaltung zu sorgen.
Die Nichteinhaltung der hier festgelegten Richtlinien kann gemäß den geltenden Vorschriften zu disziplinarischen, zivilrechtlichen und/oder strafrechtlichen Konsequenzen führen.
Die Geschäftsleitung ist dafür verantwortlich, diese Richtlinie zu verabschieden, die erforderlichen Ressourcen bereitzustellen und für deren Einhaltung zu sorgen. Sie benennt den Sicherheitsbeauftragten als internen Ansprechpartner.
Er bearbeitet Sicherheitsvorfälle, hält das vorliegende Handbuch auf dem neuesten Stand, führt Schulungen durch und beantwortet Fragen der Mitarbeiter.
Jede Person, die Zugang zu den Informationen und Systemen der Organisation hat, ist dafür verantwortlich, die in diesem Handbuch enthaltenen Bestimmungen vollständig einzuhalten und sich an die festgelegten internen Richtlinien und Verfahren in Bezug auf Sicherheit und Datenschutz zu halten.
Darüber hinaus sind alle Geräte, Anwendungen und Unternehmenssysteme mit größter Sorgfalt, Verantwortungsbewusstsein und Vertraulichkeit zu nutzen; ihre Verwendung für andere Zwecke als diejenigen, die in direktem Zusammenhang mit der von der Organisation genehmigten beruflichen oder geschäftlichen Tätigkeit stehen, ist untersagt.
Um die Sicherheit, Integrität, Verfügbarkeit und Vertraulichkeit der von der Organisation verarbeiteten personenbezogenen Daten zu gewährleisten, gelten alle Vermögenswerte, Elemente, Systeme und Umgebungen, die direkt oder indirekt an der Verarbeitung dieser Daten beteiligt sind, als geschützte Ressourcen.
Im Folgenden sind die wichtigsten geschützten Ressourcen aufgeführt:
Die Grundsätze für die Verarbeitung personenbezogener Daten sind in Art. 5 der DSGVO sowie in Art. 4 ff. des LOPDGDD geregelt. Sie bilden die grundlegende Säule, auf der jede im Unternehmen durchgeführte Datenverarbeitung beruhen muss, und müssen daher von allen Mitarbeitern gekannt und angewendet werden, die im Rahmen ihrer Tätigkeit personenbezogene Daten von Mitarbeitern, Kunden, Lieferanten oder sonstigen natürlichen Personen verarbeiten.
Im Folgenden wird ein Überblick über die sechs Grundsätze des Art. 5 DSGVO sowie über den Grundsatz der proaktiven Rechenschaftspflicht (Accountability) gegeben, die in den folgenden Abschnitten näher erläutert werden:
RECHTSGRUNDLAGE | PRINZIP | ZUSAMMENFASSUNG |
Art. 5 Abs. 1 Buchstabe a DSGVO | Rechtmäßigkeit, Loyalität und Transparenz | Die Verarbeitung muss auf einer gültigen Rechtsgrundlage beruhen, und die betroffene Person muss darüber informiert werden. |
Art. 5 Abs. 1 Buchstabe b) DSGVO | Zweckbindung | Die Daten werden ausschließlich für die bei der Erhebung angegebenen Zwecke verwendet. |
Art. 5 Abs. 1 Buchstabe c) DSGVO | Minimierung | Es werden nur die Daten erhoben, die unbedingt erforderlich sind. |
Art. 5 Abs. 1 Buchstabe d) DSGVO | Genauigkeit | Die Daten werden auf dem neuesten Stand gehalten und unverzüglich korrigiert. |
Art. 5 Abs. 1 Buchstabe e) DSGVO | Begrenzung der Aufbewahrungsfrist | Die Daten werden nicht länger als nötig gespeichert. |
Art. 5 Abs. 1 Buchstabe f DSGVO | Integrität und Vertraulichkeit | Zum Schutz der Daten werden technische und organisatorische Maßnahmen ergriffen. |
Art. 5 Abs. 2 DSGVO | Proaktive Verantwortung | Der Verantwortliche muss nachweisen können, dass die Grundsätze eingehalten werden. |
Dieser in Art. 5 Abs. 1 Buchstabe a DSGVO geregelte Grundsatz verlangt, dass jede Verarbeitung personenbezogener Daten gleichzeitig drei Voraussetzungen erfüllt:
Damit eine Datenverarbeitung rechtmäßig ist, muss sie auf mindestens einer der folgenden Grundlagen beruhen:
Abschnitt | Rechtsgrundlage | Inhalt |
§ 6 Abs. 1 Buchstabe a) | Einwilligung | Die betroffene Person hat ihre Einwilligung für einen oder mehrere bestimmte Zwecke erteilt. |
§ 6 Abs. 1 Buchstabe b) | Vertragsdurchführung | Die Verarbeitung ist für die Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen erforderlich. |
§ 6 Abs. 1 Buchstabe c) | Gesetzliche Verpflichtung | Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich. |
§ 6 Abs. 1 Buchstabe d) | Lebenswichtige Interessen | Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen Person zu schützen. |
§ 6 Abs. 1 Buchstabe e) | Öffentliches Interesse | Die Verarbeitung ist zur Erfüllung einer Aufgabe im öffentlichen Interesse oder zur Ausübung öffentlicher Befugnisse erforderlich. |
§ 6 Abs. 1 Buchstabe f) | Berechtigtes Interesse | Die Verarbeitung ist erforderlich, um berechtigte Interessen des Verantwortlichen oder eines Dritten zu wahren, es sei denn, die Grundrechte der betroffenen Person haben Vorrang. |
| Die Rechtsgrundlage muss vor Beginn der Verarbeitung festgelegt und im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden (Art. 30 DSGVO). Eine rückwirkende Wahl der Rechtsgrundlage ist nicht zulässig. |
Sofern das LOPDGDD Anwendung findet, können die Informationen in zwei Ebenen bereitgestellt werden, um dem Betroffenen das Verständnis zu erleichtern. In allen anderen Fällen sind die Bestimmungen der §§ 13 oder 14 der DSGVO unmittelbar einzuhalten, je nachdem, ob die Daten vom Betroffenen selbst oder von einem Dritten bereitgestellt wurden.
Erste Ebene (Art. 11 LOPDGDD) | • Angaben zum für die Verarbeitung Verantwortlichen und gegebenenfalls zu dessen Vertreter. • Zweck der Verarbeitung. • Möglichkeit zur Ausübung der in den Artikeln 15 ff. der DSGVO anerkannten Rechte. • Vorliegen einer Profilierung, falls zutreffend. • [Falls die Daten nicht von der betroffenen Person stammen] Datenkategorien und Herkunftsquellen. |
Zweite Ebene (Art. 13–14 DSGVO) | • Vollständige Identitätsangaben und Kontaktdaten des Verantwortlichen und seines Vertreters. • Kontaktdaten des Datenschutzbeauftragten, falls zutreffend. • Zweck der Datenverarbeitung und Rechtsgrundlage. • Berechtigte Interessen des Verantwortlichen oder Dritter (sofern die Rechtsgrundlage Art. 6 Abs. 1 Buchstabe f ist). • Empfänger oder Empfängergruppen. • Gegebenenfalls internationale Datenübermittlungen. • Aufbewahrungsfristen. • Rechte der betroffenen Person (Art. 15 bis 22 DSGVO) und Recht auf Widerruf der Einwilligung. • Recht auf Beschwerde bei der AEPD. • Weitergabe an Dritte sowie automatisierte Entscheidungen oder Profiling. • [Falls die Daten von Dritten stammen] Datenkategorien und Herkunftsquelle. |
Fristen für die Unterrichtung (Art. 14 DSGVO): Wenn die Daten nicht direkt von der betroffenen Person stammen, muss die Unterrichtung spätestens einen Monat nach Erhalt der Daten erfolgen. Werden die Daten dazu verwendet, die betroffene Person zu kontaktieren, muss die Unterrichtung zum Zeitpunkt der Kontaktaufnahme erfolgen. Sollen die Daten an einen Dritten weitergegeben werden, muss die Unterrichtung vor dieser Weitergabe erfolgen.
| Die Informationen müssen prägnant, transparent, verständlich und leicht zugänglich sein und in einer klaren und einfachen Sprache verfasst sein. Sie können auf elektronischem Wege bereitgestellt werden, wenn die technische Komplexität der Verarbeitung dies nahelegt (Erwägungsgrund 58 DSGVO). |
Dieser in Art. 5 Abs. 1 Buchstabe b DSGVO geregelte Grundsatz verhindert, dass personenbezogene Daten für Zwecke verarbeitet werden, die von den ursprünglichen Erhebungszwecken abweichen oder mit diesen unvereinbar sind.
In der Praxis ergeben sich aus diesem Grundsatz folgende Verpflichtungen:
| Um zu beurteilen, ob ein neuer Verwendungszweck mit dem ursprünglichen vereinbar ist, sieht Art. 6 Abs. 4 DSGVO vor, dass unter anderem folgende Faktoren zu berücksichtigen sind: der Zusammenhang zwischen den Verwendungszwecken, der Kontext, in dem die Daten erhoben wurden, ihre Art sowie die möglichen Folgen für die betroffene Person. |
Artikel 5 Absatz 1 Buchstabe c) der DSGVO schreibt vor, dass die verarbeiteten Daten angemessen und relevant sein und auf das für die Zwecke der Verarbeitung unbedingt erforderliche Maß beschränkt sein müssen.
Dieser Grundsatz verpflichtet zu:
| Bevor ein Formular oder ein Verfahren zur Datenerhebung entworfen wird, muss eine Bedarfsanalyse durchgeführt werden: Sind diese Daten für die Erfüllung des Zwecks unbedingt erforderlich? Wenn die Antwort kein klares „Ja“ ist, dürfen die Daten nicht erhoben werden. |
Dieser in Art. 5 Abs. 1 Buchstabe d DSGVO geregelte Grundsatz verpflichtet den für die Verarbeitung Verantwortlichen – und gegebenenfalls den Auftragsverarbeiter – dazu, alle angemessenen Maßnahmen zu ergreifen, um sicherzustellen, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind.
Die wichtigsten Verpflichtungen, die sich aus diesem Grundsatz ergeben, sind:
Dieser Grundsatz wird durch zwei in der DSGVO anerkannte Rechte umgesetzt:
Recht auf Berichtigung Art. 16 DSGVO | Recht auf Berichtigung oder Vervollständigung der personenbezogenen Daten, wenn diese für die Zwecke der Verarbeitung fehlerhaft oder unvollständig sind. |
Recht auf Löschung Art. 17 DSGVO | Recht auf unverzügliche Löschung der Daten, wenn einer der folgenden Gründe vorliegt: • Widerruf der erteilten Einwilligung zur Datenverarbeitung. • Ausübung des Widerspruchsrechts, ohne dass überwiegende berechtigte Gründe vorliegen. • Unrechtmäßige Datenverarbeitung. • Gesetzliche Löschpflicht. • Daten, die im Rahmen von Diensten der Informationsgesellschaft erhoben wurden. |
Art. 5 Abs. 1 Buchstabe e) der DSGVO sieht vor, dass personenbezogene Daten nicht länger aufbewahrt werden dürfen, als es zur Erfüllung der Zwecke, für die sie erhoben wurden, erforderlich ist.
Dieser Grundsatz bringt folgende Verpflichtungen mit sich:
| Derselbe Art. 5 Abs. 1 Buchstabe e) DSGVO sieht vor, dass Daten, die zu Archivierungszwecken im öffentlichen Interesse, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken erhoben wurden, über längere Zeiträume aufbewahrt werden dürfen, sofern geeignete technische und organisatorische Garantien gewährleistet sind (Art. 89 DSGVO). |
| Das Unternehmen muss eine Aufbewahrungsliste führen, in der für jede Verarbeitungsaktivität die geltende Aufbewahrungsfrist, die zugrunde liegenden Rechtsvorschriften und das nach Ablauf der Frist anzuwendende Verfahren zur sicheren Vernichtung aufgeführt sind. |
Dieser in Art. 5 Abs. 1 Buchstabe f DSGVO festgelegte Grundsatz verlangt, dass personenbezogene Daten so verarbeitet werden, dass ihre Sicherheit durch geeignete technische und organisatorische Maßnahmen gewährleistet ist.
In Art. 32 Abs. 1 DSGVO werden die Sicherheitspflichten bei der Verarbeitung konkretisiert:
Im Gegensatz zu den bisherigen Vorschriften verfolgt die DSGVO einen risikobasierten Ansatz sowie den Grundsatz des „eingebauten Datenschutzes“ und des „Datenschutzes durch Technikgestaltung“ (Art. 25 und 32 DSGVO): Sie legt keinen abschließenden Katalog von Maßnahmen fest, sondern verpflichtet den Verantwortlichen, die Risiken der Verarbeitung zu bewerten und Maßnahmen zu ergreifen, die dem ermittelten Risikoniveau angemessen sind, wobei der Stand der Technik, die Umsetzungskosten sowie Art, Umfang, Kontext und Zwecke der Verarbeitung zu berücksichtigen sind.
| Sicherheitsmaßnahmen müssen vor Beginn der Verarbeitung getroffen werden, nicht erst im Nachhinein. Ihre Wirksamkeit muss regelmäßig überprüft und aktualisiert werden. Die Nichteinhaltung der Sicherheitspflichten kann zur Meldung einer Datenschutzverletzung an die AEPD (Art. 33 DSGVO) und an die betroffenen Personen selbst (Art. 34 DSGVO) führen. |
Art. 5 Abs. 2 DSGVO fügt einen siebten übergreifenden Grundsatz hinzu: Der für die Verarbeitung Verantwortliche muss nicht nur die vorgenannten Grundsätze einhalten, sondern auch jederzeit nachweisen können, dass er dies tut.
Die wichtigsten Instrumente der Rechenschaftspflicht sind:
| Das Prinzip der Rechenschaftspflicht macht die Einhaltung der Vorschriften zu einem kontinuierlichen und dokumentierten Prozess. Es reicht nicht aus, die Vorschriften nur punktuell einzuhalten; das Unternehmen muss jederzeit – gegenüber der AEPD oder jedem Betroffenen – nachweisen können, dass seine Datenverarbeitungen den Vorschriften entsprechen. |
Die Organisation verarbeitet je nach ihrer Tätigkeit verschiedene Arten und Kategorien personenbezogener Daten.
Im Sinne dieser Datenschutzerklärung gelten als personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar gilt jede Person, deren Identität direkt oder indirekt anhand eines Identifikators, einer Angabe oder einer Reihe von Angaben ermittelt werden kann, wie beispielsweise Vor- und Nachname, Ausweisdokument, Post- oder E-Mail-Adresse, Telefonnummer, IP-Adresse, Standortdaten, Online-Identifikatoren, Bilder, Sprachaufzeichnungen, Unterschrift, körperliche, wirtschaftliche, kulturelle oder soziale Merkmale sowie alle sonstigen Informationen, die eine Identifizierung ermöglichen.
Zu den von der Organisation verarbeiteten personenbezogenen Daten können unter anderem die folgenden Kategorien gehören:
Die Verarbeitung jeder Kategorie und Art von personenbezogenen Daten erfordert die Anwendung spezifischer technischer und organisatorischer Maßnahmen, wobei die Art der Informationen, das damit verbundene Risikoniveau und die jeweils geltenden gesetzlichen Verpflichtungen zu berücksichtigen sind.
Dementsprechend müssen alle Nutzer, Mitarbeiter, Partner oder befugten Dritten, die an einer der Verarbeitungsaktivitäten beteiligt sind, die in dieser Richtlinie und in den geltenden Datenschutzvorschriften festgelegten Verpflichtungen und Sicherheitsmaßnahmen während des gesamten Lebenszyklus der personenbezogenen Daten einhalten – von der Erhebung oder dem Zugriff bis hin zur Speicherung, Sperrung und endgültigen Löschung.
Ebenso dürfen personenbezogene Daten ausschließlich für die ausdrücklich genehmigten Zwecke verarbeitet werden, wobei stets die Grundsätze der Rechtmäßigkeit, Fairness, Transparenz, Datenminimierung, Richtigkeit, Zweckbindung, Integrität, Vertraulichkeit und proaktiven Rechenschaftspflicht gewahrt werden müssen.
Sollten internationale Datenübermittlungen erforderlich sein, wird das Schutzniveau des Bestimmungslandes überprüft und es werden die gesetzlich vorgeschriebenen Garantien getroffen. Zunächst wird geprüft, ob eine von der Kommission genehmigte Angemessenheitsentscheidung vorliegt. Fehlt eine solche, wird auf einen der in Artikel 46 DSGVO genannten Mechanismen zurückgegriffen, wobei der Abschluss von Standardvertragsklauseln vorzuziehen ist. Nur in Ausnahmefällen wird eine der in Artikel 49 DSGVO enthaltenen Ausnahmen geltend gemacht. In jedem Fall findet nichts davon Anwendung, wenn die Übermittlung im Rahmen der internationalen Zusammenarbeit mit Stellen aus Drittländern erforderlich ist und weder ein internationaler Vertrag oder ein Abkommen noch die Richtlinie (EU) 2016/680 sowie die Artikel 43 bis 47 des Organgesetzes 7/2021 vom 26. Mai zum Schutz personenbezogener Daten, die zum Zwecke der Verhütung, Aufdeckung, Ermittlung und Verfolgung von Straftaten sowie zur Vollstreckung strafrechtlicher Sanktionen verarbeitet werden, nicht anwendbar sind.
Gemäß Artikel 30 der DSGVO ist ein Verzeichnis der unter der Verantwortung der Organisation durchgeführten Tätigkeiten zu führen, das bei Änderungen stets auf dem neuesten Stand gehalten werden muss. Dieses Verzeichnis muss alle nachstehend aufgeführten Informationen enthalten:
Ebenso wird bei der Tätigkeit als Auftragsverarbeiter ein Verzeichnis aller Kategorien von Verarbeitungsvorgängen geführt, die im Auftrag eines Verantwortlichen durchgeführt werden; dieses Verzeichnis enthält:
Diese Aufzeichnungen sind schriftlich festzuhalten, auch in elektronischer Form.
Die Datenschutzvorschriften ermöglichen es den betroffenen Personen, gegenüber dem für die Verarbeitung Verantwortlichen ihre Rechte auf Auskunft, Berichtigung, Widerspruch, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung, Datenübertragbarkeit sowie das Recht, nicht Gegenstand individueller Entscheidungen zu sein, geltend zu machen.
Zu diesem Zweck hat das Unternehmen die im Folgenden aufgeführten Kanäle eingerichtet, über die Interessierte die entsprechenden Anträge auf Ausübung ihrer Rechte einreichen können, indem sie sich per E-Mail, Post oder über einen anderen internen Kanal, der eingerichtet und den Mitarbeitern mitgeteilt wurde, an das Unternehmen wenden.
Um das Vorgehensprotokoll für die Ausübung von Rechten detailliert zu regeln und festzulegen, hat die Einrichtung dieses Reaktionsprotokoll entwickelt.
Dieses Vorgehensprotokoll informiert über das festgelegte Verfahren zur Wahrung der Rechte der betroffenen Personen und gilt sowohl für die Mitarbeiter, die zur Bearbeitung der von den betroffenen Personen eingereichten Anträge auf Ausübung ihrer Rechte befugt sind, und deren unterstellte Mitarbeiter als auch für andere Dritte mit Zugriff auf Daten sowie für die Auftragsverarbeiter der Organisation, einschließlich deren unterstellter Mitarbeiter, wobei alle diese Personen den Bestimmungen des genannten Protokolls unterliegen und jederzeit gemäß den festgelegten Anweisungen handeln müssen.
Die Zugangskontrolle mittels Passwörtern ist eine der wichtigsten Sicherheitsmaßnahmen zum Schutz der Systeme und Informationen des Unternehmens. Die Verwendung sicherer und robuster Passwörter ist unerlässlich, da ein schwaches oder kompromittiertes Passwort die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten gefährden kann.
Der Zugriff auf personenbezogene Daten und vertrauliche Informationen der Organisation wird entsprechend den jedem Mitarbeiter zugewiesenen Zuständigkeiten und Aufgaben eingeschränkt. Zu diesem Zweck werden für jede Position oder Rolle Zugriffsberechtigungen und -profile festgelegt, um sicherzustellen, dass jeder Benutzer nur auf die Informationen zugreifen kann, die für die Erfüllung seiner Aufgaben unbedingt erforderlich sind.
Jeder Nutzer verfügt über einzigartige, persönliche und nicht übertragbare Zugangsdaten. Es ist ausdrücklich untersagt, Passwörter weiterzugeben oder Dritten die Nutzung der eigenen Zugangsdaten zu gestatten.
Passwörter müssen den von der Organisation festgelegten Sicherheitskriterien entsprechen und streng vertraulich behandelt werden.
Jedes Passwort muss ALLE folgenden Kriterien erfüllen: • Mindestens 10 Zeichen. • Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen kombinieren (!@#$%) • Maximale Gültigkeitsdauer von 3 Monaten. • Einmalig pro Dienst: Niemals auf verschiedenen Plattformen wiederverwenden. • Verwenden Sie die letzten fünf Passwörter nicht erneut. |
✓ TUN | ✗ NICHT TUN |
Verwenden Sie für jedes System oder jede Anwendung ein anderes Passwort | Passwörter auf Haftnotizen, Zetteln oder in unverschlüsselten Dateien notieren |
Das Passwort alle drei Monate ändern oder sofort, wenn der Verdacht auf eine Kompromittierung besteht | Passwörter nicht an Kollegen weitergeben, auch nicht an das IT-Team |
Verwenden Sie einen verschlüsselten Passwort-Manager mit Zwei-Faktor-Authentifizierung (2FA) | Verwendung personenbezogener Daten: Name, Geburtsdatum, Personalausweisnummer, Name des Haustiers |
2FA bei allen Diensten aktivieren, die dies zulassen | Tastaturmuster verwenden: qwerty, 123456, asdf usw. |
Benachrichtige unverzüglich den Sicherheitsbeauftragten, wenn du den Verdacht hast, dass dein Passwort kompromittiert wurde. | „Passwort speichern“ in Browsern auf gemeinsam genutzten Computern aktivieren |
Der physische Arbeitsplatz muss aufgeräumt gehalten werden, um unbefugten Zugriff auf Dokumente oder Geräte zu verhindern.
✓ TUN | ✗ NICHT TUN |
Gedruckte Dokumente sofort aus dem Drucker entnehmen | Vertrauliche Dokumente beim Verlassen des Raums sichtbar auf dem Tisch liegen lassen |
Sensible Dokumente in Papierform am Ende des Arbeitstages unter Verschluss halten | Getränke ohne luftdichten Verschluss in der Nähe von Geräten oder Dokumenten abstellen |
Bewahren Sie die mobilen Geräte des Unternehmens (Laptops, Mobiltelefone, Tablets) an einem sicheren Ort auf. | USB-Sticks oder externe Festplatten angeschlossen und unbeaufsichtigt lassen |
Veraltete Dokumente mit einem Aktenvernichter vernichten | Dokumente mit Daten in den normalen Papierkorb werfen, ohne sie zu vernichten |
Auf dem Bildschirm des Geräts können sensible Informationen für Unbefugte sichtbar werden. Die folgenden Maßnahmen müssen unbedingt getroffen werden:
Alle elektronischen Geräte, IT-Ausrüstung und sonstigen Unternehmensressourcen, die dem Mitarbeiter zur Verfügung gestellt werden, müssen in Übereinstimmung mit den von der Organisation festgelegten Mindestsicherheitsmaßnahmen genutzt werden, zu denen unter anderem die folgenden gehören:
✓ TUN | ✗ NICHT TUN |
Falls der Mitarbeiter das Gerät für private Zwecke nutzen möchte, muss er zuvor eine schriftliche Genehmigung der Organisation einholen. | Diese Geräte für Zwecke zu nutzen, die nicht im Zusammenhang mit der beruflichen Tätigkeit stehen. |
Auf den Geräten müssen die neuesten Patches und Updates des Betriebssystems installiert sein, entsprechend den vom Systementwickler vorgesehenen regelmäßigen Aktualisierungen. | Verwenden Sie für dienstliche Zwecke keine anderen Geräte als die von der Organisation bereitgestellten. |
Die Sicherheitseinstellungen müssen vom IT-Verantwortlichen des Unternehmens voreingestellt werden. | Jedes Gerät, das kritische oder vertrauliche Informationen oder besondere Datenkategorien im Sinne der DSGVO enthält, muss über angemessene Schutzmaßnahmen verfügen, die die Sicherheit der Informationen gewährleisten und unbefugten Zugriff verhindern. |
Im Falle von Verlust, Diebstahl, Raub oder unbefugtem Zugriff auf das Gerät muss das Personal den Vorfall unverzüglich dem Sicherheitsbeauftragten melden. | Verbinden Sie Unternehmensgeräte nicht über öffentliche WLAN-Netzwerke mit dem Internet, ohne den VPN-Zugang des Unternehmens zu nutzen. |
Jeden aufgetretenen Sicherheitsvorfall melden. | Speichern Sie keine Daten oder vertraulichen Informationen des Unternehmens auf Wechseldatenträgern. |
Ausschließlich mit den von der Organisation genehmigten und zur Ausübung der beruflichen Tätigkeit bereitgestellten Tools, Anwendungen und Unternehmenssystemen arbeiten. | Es ist untersagt, Software, Anwendungen oder Tools, die nicht von der Organisation genehmigt wurden, lokal zu installieren, zu verwenden oder zu speichern sowie nicht zugelassene Alternativen für die Verarbeitung von Unternehmensdaten oder personenbezogenen Daten zu nutzen. |
Die Unternehmens-E-Mail ist ein Arbeitsinstrument. Ihre unsachgemäße Nutzung ist einer der Hauptwege, über die Bedrohungen (Phishing, Malware) eindringen und Informationen nach außen gelangen können.
✓ TUN | ✗ NICHT TUN |
Überprüfen Sie immer den Absender, bevor Sie Anhänge oder Links öffnen. | Die Nutzung der Firmen-E-Mail für persönliche oder private Zwecke |
E-Mails verschlüsseln, die personenbezogene Daten oder vertrauliche Informationen enthalten | Datenbanken, personenbezogene Daten oder vertrauliche Informationen unverschlüsselt versenden |
Verwenden Sie „BCC“ (Blindkopie), wenn Sie E-Mails an mehrere Empfänger senden | Anhänge öffnen oder auf Links von unbekannten Absendern klicken |
Verdächtige E-Mails an den Sicherheitsbeauftragten melden | Weiterleitung von Ketten-E-Mails oder E-Mails mit unerlaubtem kommerziellem Inhalt |
Sich aus dem E-Mail-Konto abmelden, wenn gemeinsam genutzte oder öffentliche Geräte verwendet werden | Einrichten der Unternehmens-E-Mail auf nicht autorisierten Geräten |
WARNUNG: Phishing Wenn Sie eine E-Mail erhalten, in der Sie zur Angabe von Zugangsdaten, Bankdaten oder zu dringenden Maßnahmen aufgefordert werden, klicken Sie NICHT darauf und antworten Sie nicht darauf. Melden Sie dies unverzüglich dem Sicherheitsbeauftragten. |
✓ TUN | ✗ NICHT TUN |
Nur auf Websites surfen, die für die Ausübung der beruflichen Tätigkeit erforderlich sind | Verbindung zu öffentlichen WLAN-Netzwerken herstellen, ohne das Unternehmens-VPN zu nutzen |
Verwenden Sie das Unternehmens-VPN, wenn Sie sich über externe oder öffentliche Netzwerke verbinden | Software, Musik, Filme oder andere Inhalte ohne Genehmigung herunterladen |
Jedes ungewöhnliche Verhalten des Netzwerks oder der Geräte melden | Ports scannen, Schwachstellen testen oder interne/externe Angriffe durchführen |
Nicht autorisierte USB-Geräte sofort trennen | Zugang zum Gastnetzwerk mit Firmengeräten |
Nicht autorisierte Browser-Erweiterungen installieren | |
Jegliche Aktivitäten durchführen, die die Verfügbarkeit oder Integrität des Netzwerks gefährden |
Die Installation nicht autorisierter Software kann Malware, Sicherheitslücken oder Lizenzprobleme nach sich ziehen, die schwerwiegende rechtliche und technische Folgen haben können.
✓ TUN | ✗ NICHT TUN |
Beantragen Sie vor der Installation von Software schriftlich eine vorherige Genehmigung. | Software, Anwendungen oder Erweiterungen ohne schriftliche Genehmigung installieren |
Vergewissern Sie sich vor der Installation, dass die Software über eine gültige Lizenz verfügt. | Die Verwendung von Raubkopien oder nicht lizenzierten Versionen von Programmen jeglicher Art |
Halten Sie das Betriebssystem und die Anwendungen stets auf dem neuesten Stand. | Deaktivieren Sie das Antivirenprogramm oder die automatischen Systemaktualisierungen |
Die Kompatibilität der Software mit dem Unternehmenssystem prüfen. | Ohne Genehmigung Tests oder Entwicklungsarbeiten mit echten personenbezogenen Daten durchführen |
Der Einsatz generativer KI-Systeme (Chatbots, Assistenten, Inhaltsgeneratoren usw.) erfordert besondere Vorsicht, um die Vertraulichkeit von Unternehmens- und personenbezogenen Daten zu gewährleisten.
✓ TUN | ✗ NICHT TUN |
Für die Nutzung von KI-Tools ist eine vorherige Genehmigung der zuständigen Direktion oder Abteilung einzuholen. | Eingabe personenbezogener Daten von Kunden, Mitarbeitern oder Dritten in KI-Systeme |
KI ausschließlich für genehmigte Arbeitsaufgaben einsetzen | Weitergabe vertraulicher Informationen, Geschäftsgeheimnisse oder geistigen Eigentums über externe KI-Tools |
Die von KI generierten Ergebnisse kritisch hinterfragen und überprüfen | Veröffentlichung oder Verbreitung von KI-generierten Inhalten ohne vorherige Überprüfung und Genehmigung |
Die Verwendung nicht autorisierter KI-Tools zur Entscheidungsfindung, die Auswirkungen auf Menschen hat |
Denk daran: Was Sie in ein externes KI-Tool eingeben, kann von Dritten verarbeitet und gespeichert werden. Geben Sie niemals Informationen ein, die Sie nicht in einem öffentlichen Kanal veröffentlichen würden. |
Wechseldatenträger (USB-Sticks, externe Festplatten, SD-Karten) sind eine häufige Quelle für Informationslecks und das Einschleusen von Malware.
✓ TUN | ✗ NICHT TUN |
Genehmigung beantragen, um Datenträger aus den Räumlichkeiten zu entfernen | Das unbefugte Entnehmen von Datenträgern mit personenbezogenen oder vertraulichen Daten |
Verschlüsseln Sie stets den Inhalt von Wechseldatenträgern, die sensible Daten enthalten | Anschluss von USB-Geräten unbekannter Herkunft an Unternehmensgeräte |
Die Zuweisung und Rückgabe von Wechseldatenträgern erfassen | Festplatten, USB-Sticks oder andere Speichermedien ohne sichere Vernichtung wegwerfen oder entsorgen |
Die zu entsorgenden Datenträger dem Sicherheitsbeauftragten übergeben |
Das bloße Drücken der „Entf“-Taste oder das Verschieben in den Papierkorb löscht die Daten NICHT sicher. Es wird lediglich der Verweis auf die Datei gelöscht, der Inhalt bleibt jedoch auf der Festplatte erhalten.
Ein Sicherheitsvorfall ist jedes Ereignis, das die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen beeinträchtigt oder beeinträchtigen könnte.
Beispiele für Vorfälle, die dem Sicherheitsbeauftragten gemeldet werden MÜSSEN: • Verlust oder Diebstahl von Geräten oder Dokumenten, die Informationen enthalten • Unbefugter Zugriff auf Systeme oder Daten • Eine Phishing-E-Mail erhalten oder einen bösartigen Link angeklickt • Auf dem Computer wurde ein Virus oder Malware entdeckt • Versehentliches Versenden personenbezogener Daten an einen falschen Empfänger. Passwort offengelegt oder kompromittiert |
Sicherungskopien stellen sicher, dass das Unternehmen im Falle eines Vorfalls seine Daten wiederherstellen kann. Es liegt in der Verantwortung aller, für deren ordnungsgemäßen Ablauf zu sorgen.
Version | Datum | Beschreibung |
V.1.0 | 2026 | Erstfassung |
Anmerkung
Form
Kompatibilität
Praktische Anwendung
Ausnahme