Personaldaten vor dem Rechnungsprüfer
Von Sabine Philipp
Einen Datenschutzbeauftragten braucht das Unternehmen, wenn mehr als neun Mitarbeiter personenbezogene Daten elektronisch verarbeiten (bei Adresshändlern ab einer Person – also immer). Das ist aber keineswegs ein Freifahrschein für kleinere Firmen, sorglos mit Informationen zu hantieren. „Die Anforderungen bestehen genauso, nur dass Sie keine Person einstellen müssen, die das kontrolliert“, erklärt Dr. Thomas Krätzig von der Hagener KJ-NetworX GmbH.
Solche personenbezogenen Daten häufen sich typischerweise z.B. in der Lohnbuchhaltung, die gerade bei kleinen Unternehmen oft im Haus gemacht wird. Diese Daten sind zugleich besonders schutzwürdig, da sie u.a. das Gehalt der Mitarbeiter verraten. Sie müssen in jedem Fall dafür sorgen, dass solche und andere sensible Daten, z.B. die Bankverbindungen von Kunden oder Krankheitsinformationen, nicht an Unbefugte weitergegeben werden.
Die Sicherheit beginnt prinzipiell beim Gebäude– und Einbruchsschutz. Auf IT-Ebene startet sie mit einer guten Authentifizierung. Davon ist die digitronic computersysteme gmbh überzeugt. Nach Angaben der Chemnitzer bieten Systeme, die auf einem USB-Token oder einer Smartcard basieren, ein besonders hohes Sicherheitsniveau. Sie setzen nämlich für eine erfolgreiche Anmeldung „Besitz und Wissen“ voraus – den Besitz des Hardwareschlüssels und das Wissen von der speziellen PIN.
Nur wenn eine Person beides hat, kann sie sich anmelden und ins System gelangen. Das schützt nicht nur vor Hackern und Dieben, die es auf den Laptop des Außendienstmitarbeiters abgesehen haben, sondern auch der Chef- und der Kollegen-PC bleibt so vor allzu neugierigen Blicken von Mitarbeitern sicher, die glauben, es genüge, das Passwort zu kennen.
Sortiert, markiert, abgesperrt
Wenn der Wirtschaftsprüfer vom Finanzamt elektronisch verarbeitete Daten sehen möchte, sollte man ihm schon aus eigenem Interesse ausschließlich die Daten zukommen lassen, die er sehen möchte. Und entsprechend vorsortieren, damit sich in den Buchhaltungsbelegen nicht unnötige Auskünfte befinden. „So kann er z.B. einsehen, dass ein Mitarbeiter häufig krank war“, erklärt Fachmann Dr. Krätzig. „Aus diesen Unterlagen darf aber nicht der Grund für die Krankmeldung hervorgehen.“ Diese Informationen müssen getrennt aufbewahrt werden.
Dr. Thomas Krätzig kommt ursprünglich selbst aus dem ISO-Management. Er gründete 2006 die KJ-NetworX GmbH, weil er mit seinen bisherigen IT-Dienstleistern schlechte Erfahrungen gemacht hatte. Dementsprechend wird Kundenorientierung bei ihm jetzt großgeschrieben. Der promovierte Wirtschaftsingnieur und geprüfte Datenschutzbeauftragte berät u.a. in den Bereichen Netzwerksicherheit und IT-Security.
Wie aber die entsprechenden Daten herausfiltern? Hier kommen Dokumentenmanagementsysteme (DMS) ins Spiel. Dr. Thomas Krätzig setzt auf ELO, dessen Kosten etwa zwischen 1000 und 1500 Euro liegen. „Sie können sich das System wie einen Schrank mit verschiedenen Ordnern vorstellen, die Sie einzeln abschließen und an die Sie bestimmte Berechtigungen knüpfen können“, erläutert der Firmengründer. „Dann können Sie einen Nutzer, in diesem Fall den Wirtschaftsprüfer, anlegen, der nur verschiedene Ordner und Schrankabschnitte sehen darf, je nachdem, welche Daten sein Auftrag umfasst.“
Anders als etwa bei einem alkoholkranken Mitarbeiter kann der Prüfer dabei durchaus die Lohnpfändung eines Mitarbeiters einsehen. „Wenn er die Daten im Rahmen seines Auftrags sehen und verarbeiten muss, dann ist das auch in Ordnung“, sagt Dr. Krätzig. Auch wenn der Mitarbeiter ein besonders großes Problem damit hat, weil der Prüfer zufällig ein Bekannter ist. „Als Arbeitgeber müssen Sie den Prüfer eine Vereinbarung unterschreiben lassen, dass er die Infos geheim hält. Wenn der Prüfer dann in einer Bierlaune auf einem Nachbarschaftsfest von den Geldproblemen des Mitarbeiters erzählt, muss dieser das mit dem Wirtschaftsprüfer ausmachen.“
Ein anderes Problem könnte sich ergeben, wenn Sie Ihren Mitarbeiter erlauben, privat zu surfen.
Andreas Göbel ist Inhaber der Hagener Kanzlei WOLFF GÖBEL Rechtsanwälte Fachanwälte sowie Spezialist für IT-Recht und Arbeitsrecht. Der Jazzliebhaber berät auch rund um den Datenschutz und ist Dozent bei der Deutschen Sachverständigen Akademie (DSA). 2007 wurde Göbel zum Lehrbeauftragten für IT-Recht an der Fachhochschule Südwestfalen ernannt.
Privatkram in der Firmenpost
„Sie sind dazu verpflichtet, das ursprüngliche und unverfälschte Dokument innerhalb einer möglichst kurzen Zeit nach dem Eingang zu archivieren“, erklärt Andreas Göbel von der Kanzlei Wolff Göbel Rechtsanwälte Fachanwälte. Das können Sie bei Mails mit Archivierungssystemen auf zweierlei Methoden lösen:
- Bei Methode eins entscheidet der Mitarbeiter, ob er die Mail archiviert – was den Vorteil hat, dass er Spam herausfiltern kann. Der Fachanwalt warnt aber zugleich: Das Finanzamt sieht diese Herangehensweise ungern, weil die Mail manipuliert werden könnte. „Bei dieser Methode muss daher eine Information an das Dokument angebracht werden, wer dieses Dokument wann angefasst und wie geändert hat.“ Außerdem könne der Mitarbeiter die Wichtigkeit unterschätzen und die Mail versehentlich löschen.
- Sicherer sei zweite Lösung, bei der alle eingehenden Dokumente automatisch archiviert werden, noch bevor der Mitarbeiter sie gelesen hat. Allerdings könnten Sie hier Probleme mit dem Datenschutz bekommen – wenn Sie nämlich Ihren Mitarbeitern erlauben, private Mails zu schreiben bzw. solche nicht ausdrücklich verbieten. Dann entsteht eine „betriebliche Übung“, d.h. der Mitarbeiter erwirbt das Recht, private Mails von seinem Arbeitsplatz zu schreiben. Gleichzeitig werden Sie zum Telekommunikationsanbieter und unterliegen dem Fernmeldegeheimnis. Die Mails Ihrer Mitarbeiter sind dann für Sie tabu.
„Am besten schreiben Sie gleich in den Arbeitsvertrag, dass privates Mailen und Surfen verboten ist“, rät Göbel. „Dann kann keine betriebliche Übung entstehen – wenn Sie regelmäßige Kontrollen durchführen und erwischte Mitarbeiter abmahnen.“
Teil 1 erklärt, wann Unternehmen einen Beauftragten für den Datenschutz brauchen und warum externe Profis oft die bessere Wahl sind. Teil 2 setzt auseinander, wie Betriebsrat und Mitarbeiter am besten mitspielen und was in den Verfahrensplänen stehen muss. Teil 3 geht das Thema von der anderen Seite an und fragt, was der Wirtschaftsprüfer bei der Kontrolle zu Gesicht bekommen darf. Teil 4 stellt ein Schutzklassensystem vor und betrachtet Datenschutz und EDV-Compliance als Wettbewerbsvorteil.
Sollte das Kind schon in den Brunnen gefallen sein, ist es sicher das Beste, den Mitarbeiter ein Formular unterzeichnen zu lassen, auf dem Sie darauf hinweisen, dass das private E-Mailen verboten ist, und um eine schriftliche Bestätigung bitten. Damit wird der Arbeitsvertrag geändert. „Änderungskündigungen, bei denen das Arbeitsverhältnis gekündigt und unter neuen Bedingungen fortgeführt werden, sind teuer“, gibt Andreas Göbel zu bedenken. „Wenn der Mitarbeiter aber die Unterschrift verweigert, führt kein Weg daran vorbei. Und die Klage werden Sie gewinnen, da es sehr viele gute Gründe gegen das private Mailen gibt.“ Allen voran die, dass sie das Virenrisiko beträchtlich erhöhen.
Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserer Magazinreihe. Einen Überblick mit freien Download-Links zu sämtlichen Einzelheften bekommen Sie online im Pressezentrum des MittelstandsWiki.
Nun wollen Mitarbeiter aber nun einmal privat surfen. Wie das Problem also lösen? „Auf keinen Fall, indem Sie Mails von kostenlosen Internet-Konten erlauben“, warnt Göbel. „Damit unterlaufen Sie den Virenschutz, weil Sie die Firewall umgehen.“ Der Fachmann rät dazu, einen Rechner, der nicht an das Netzwerk angeschlossen ist, für solche Zwecke freizugeben.
„Ansonsten sind Geschäftsmails keine datenschutzrechtlich schützenswerten Dokumente, da es sich ja nicht um personenbezogene Daten handelt“, sagt Göbel. „Der Kauf von teuren Maschinen durch einen Einzelunternehmer leistet zwar eine persönliche Aussage über ihn, die der Prüfer aber einsehen darf.“
- Ein Schutzklassensystem für Firmendaten stellt Teil 4 dieser Serie vor. Außerdem geht er genauer darauf ein, warum der Datenschutz zunehmend geschäftskritisch wird.
