Datenschutzrichtlinie

Verarbeitungsverzeichnis und Maßnahmenkatalog beschreiben, was das Unternehmen tut. Die Datenschutzrichtlinie ist das Dokument, das den Beschäftigten sagt, was sie tun sollen – und ohne das die schönste Dokumentation im Alltag nichts bewirkt.

Erstgespräch vereinbaren

Nicht zu verwechseln mit der Datenschutzerklärung

Der Begriff wird für vier verschiedene Dinge verwendet, und das führt regelmäßig zu Missverständnissen:

  1. Die interne Richtlinie – das Regelwerk für die eigenen Beschäftigten. Darum geht es hier.
  2. Die Datenschutzerklärung einer Website – gerichtet nach außen, an Besucher und Kunden.
  3. Die Datenschutzleitlinie – die übergeordnete Erklärung der Geschäftsleitung, wenige Seiten, ohne operative Regeln.
  4. Die Richtlinie 95/46/EG – die europäische Vorgängerregelung, seit 2018 von der DSGVO abgelöst.

Der Unterschied zwischen 1 und 2 ist der praktisch bedeutsame: Die Erklärung informiert Betroffene über das, was geschieht. Die Richtlinie weist Beschäftigte an, was zu tun ist. Wer eine hat, hat nicht die andere.

Was in eine Datenschutzrichtlinie gehört

Eine vollständige Richtlinie besteht aus mehreren Einzelregelungen. Nicht jedes Haus braucht alle – aber jede sollte bewusst weggelassen worden sein, nicht vergessen.

Was in eine Datenschutzrichtlinie gehört
BereichRegelungen
TechnikIT-Dokumentation, Sicherheitskonzept, Verschlüsselung, Passwörter, Bildschirmsperre, Firewall
DatenträgerUmgang mit Wechselmedien, private Datenträger, Datensicherung, zulässige Cloud-Dienste
Mobile GeräteSmartphones und Tablets, Geräteverwaltung, Fernlöschung, Telearbeit und Homeoffice
Zugang und ZutrittSchließkonzept, Berechtigungen nach Rollen, Videoüberwachung
OrganisationZuständigkeiten je Abteilung, Vertretungsregelung, Schulung, Transport von Unterlagen, Dienstanweisungen für Personal, IT und Vertrieb
NotfallFernwartung durch Dienstleister, Meldeweg bei einem Vorfall mit der 72-Stunden-Frist

Ein Hinweis zu den Passwörtern, weil er häufig falsch weitergegeben wird: Der turnusmäßige Passwortwechsel gilt nicht mehr als sinnvolle Vorgabe. Das BSI hat die Empfehlung 2020 aus dem Grundschutz genommen – erzwungene Wechsel führen zu schwächeren, systematisch abgewandelten Passwörtern. Sinnvoll sind Länge, Einmaligkeit je Dienst und der Wechsel bei konkretem Anlass.

Wie sich die Richtlinie zum übergeordneten Datenschutzkonzept verhält: Das Konzept beschreibt die Organisation, die Richtlinie regelt das Verhalten.

Wie sie geschrieben sein muss, damit sie wirkt

Der häufigste Fehler ist nicht ein fehlender Punkt, sondern der Ton. Eine Richtlinie, die aus Gesetzeszitaten besteht, wird abgeheftet und nie wieder geöffnet.

Keine juristische Fachsprache. Adressat ist die Kollegin in der Buchhaltung, nicht der Auditor.

Konkrete Anweisungen statt Grundsätze. Nicht „personenbezogene Daten sind angemessen zu schützen”, sondern: welcher Cloud-Dienst benutzt werden darf und welcher nicht.

Beispiele aus dem eigenen Haus. Ein Fall, den die Leute wiedererkennen, wirkt mehr als drei Absätze Erläuterung.

Die Belegschaft einbeziehen. Wer die Abläufe kennt, merkt sofort, welche Regel im Alltag nicht funktioniert – und eine Regel, die nicht funktioniert, wird umgangen.

Regelmäßig aktualisieren. Eine Richtlinie, die noch Faxgeräte regelt, aber keine Messenger, sagt den Beschäftigten mehr über den Stellenwert des Themas als jeder Einleitungssatz.

Verbindlichkeit und Mitbestimmung

Zwei Punkte, die über den Text hinausgehen und in der Vorlage regelmäßig fehlen.

Verbindlich wird die Richtlinie durch Bekanntgabe und Weisung. Art. 32 Abs. 4 DSGVO verlangt, dass Beschäftigte personenbezogene Daten nur auf Weisung verarbeiten – das setzt voraus, dass die Weisung sie erreicht hat. Ein Dokument im Intranet genügt dafür nicht; nachweisbar wird es über Schulung mit Bestätigung, verknüpft mit dem Eintritt neuer Beschäftigter.

Mitbestimmung beachten. Regelungen, die geeignet sind, Verhalten oder Leistung zu überwachen – Protokollierung, Geräteverwaltung, Videoüberwachung –, unterliegen nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung. Wer den Betriebsrat erst nach Fertigstellung einbindet, schreibt die Richtlinie zweimal. Mehr dazu unter Beschäftigtendatenschutz.

Was wir übernehmen

Bestandsaufnahme. Welche Regelungen existieren bereits, verteilt über Arbeitsanweisungen, IT-Handbücher und E-Mails – meist mehr als gedacht, nur unverbunden.

Erstellung. Zugeschnitten auf Ihre Abläufe und Ihre Größe. Ein Handwerksbetrieb mit dreißig Beschäftigten braucht keine Regelung zur Fernwartung von Produktionsanlagen.

Einführung. Der Teil, der über die Wirkung entscheidet: Bekanntgabe, Schulung, Nachweis – und die Beteiligung der Beschäftigtenvertretung, wo sie nötig ist.

Alle Beratungsthemen im Überblick: Datenschutzberatung.

Kontakt

Sie haben eine Richtlinie, die niemand kennt? Das ist der Normalfall – und meist eine Frage der Einführung, nicht des Textes.