--- title: "Richtlinie für Mitarbeitende: kurz genug, um zu wirken" description: "Eine Richtlinie für Mitarbeitende wirkt nur, wenn sie gelesen wird. Was hineingehört, was nicht, und wie Sie die Kenntnisnahme nachweisen." canonical: "https://www.dsb-datenschutz.de/informationssicherheit/wissen-mitarbeiter-richtlinie/" --- # Richtlinie für Mitarbeitende Die **Richtlinie für Mitarbeitende** ist das Dokument mit der größten Reichweite und der geringsten Leserschaft. Sie liegt in fast jedem Unternehmen vor, hat zwanzig Seiten, wurde einmal per E-Mail verteilt und ist im Alltag ohne Wirkung. Dabei entscheidet gerade sie darüber, ob Sicherheit im Betrieb ankommt – die technischen Maßnahmen greifen nur dort, wo Menschen sie nicht umgehen. ## Der Zweck ist doppelt **Verhalten steuern.** Die Beschäftigten sollen wissen, was von ihnen erwartet wird – vor allem in den Momenten, in denen sie es nicht nachschlagen können. **Nachweisen.** Bei einem Vorfall ist die Frage, ob die Organisation zumutbare Vorkehrungen getroffen hat, mitentscheidend – für die Bemessung eines [Bußgeldes](https://www.dsb-datenschutz.de/datenschutz/wissen-dsgvo-bussgelder/) ebenso wie für arbeitsrechtliche Konsequenzen. Eine bekannt gemachte Richtlinie ist das Gegenstück zum Fahrlässigkeitsvorwurf. Beide Zwecke verlangen dasselbe: kurz, verständlich, nachweislich zugegangen. ## Was hineingehört Sechs Themen genügen für den überwiegenden Teil der Fälle. **Umgang mit Informationen.** Welche Stufen es gibt und was je Stufe gilt – siehe [Datenklassifizierung](https://www.dsb-datenschutz.de/informationssicherheit/wissen-daten-klassifizierung/). Das ist der inhaltliche Kern; alles Weitere hängt daran. **Zugangsdaten.** Keine Weitergabe, keine Mehrfachverwendung, mehrstufige Anmeldung wo verfügbar, Verwendung des bereitgestellten Passwortverwalters. Und der Satz, der wirkt: Wer den Verdacht hat, ein Zugang sei kompromittiert, meldet das sofort und muss keine Konsequenzen fürchten. **E-Mail und Nachrichten.** Woran ein Phishing-Versuch zu erkennen ist, was bei Zweifeln zu tun ist – und dass eine Rückfrage über einen zweiten Kanal bei Zahlungsanweisungen Pflicht ist. Vertieft wird das über [Phishing-Awareness](https://www.dsb-datenschutz.de/software/e-learning-phishing-awareness/) und eine [Phishing-Simulation](https://www.dsb-datenschutz.de/informationssicherheit/phishing-kampagne/). **Geräte und Arbeitsplatz.** Bildschirmsperre, Umgang mit mobilen Geräten und Datenträgern, Verhalten unterwegs, aufgeräumter Schreibtisch, Umgang mit Ausdrucken. Wo private Geräte im Spiel sind, siehe [BYOD](https://www.dsb-datenschutz.de/datenschutz/wissen-byod/). **Software und Dienste.** Was installiert und genutzt werden darf, und wie eine Freigabe zu bekommen ist. Der zweite Teil ist wichtiger als der erste: Ein Verbot ohne gangbaren Weg erzeugt Schatten-IT. **Vorfälle melden.** An wen, wie schnell, mit welchen Angaben. Dieser Abschnitt gehört nach vorn und nicht ans Ende. ## Was nicht hineingehört **Gesetzestexte.** Niemand liest den Wortlaut von Art. 32 DSGVO in einer Richtlinie. Wer die Grundlage sucht, findet sie im [Verzeichnis](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/). **Technische Konfigurationen.** Sie gehören in Betriebsdokumentation, nicht in ein Dokument für alle. **Was niemand einhalten kann.** Jede Regel, die den Arbeitsalltag unmöglich macht, wird umgangen – und beschädigt die Glaubwürdigkeit der übrigen. Prüfen Sie jede Vorgabe daran, ob Sie selbst sie an einem vollen Tag befolgen würden. **Alles auf einmal.** Datenschutz, Informationssicherheit, KI-Nutzung, Arbeitssicherheit in einem Dokument – das liest niemand. Getrennte, kurze Dokumente sind besser als ein vollständiges. ## Zugang und Nachweis Verteilen genügt nicht. Nachweisbar ist die Kenntnisnahme nur, wenn sie erfasst wird – über eine Bestätigung im Lernsystem, eine Unterschrift oder eine dokumentierte Unterweisung. Dazu gehört die **Verpflichtung auf Vertraulichkeit** nach [Art. 32 Abs. 4 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-32/): Beschäftigte dürfen personenbezogene Daten nur auf Weisung verarbeiten. Diese Verpflichtung wird üblicherweise beim Eintritt erklärt und ist Teil der Personalakte. Praktisch am zuverlässigsten läuft beides über das [Lernmanagementsystem](https://www.dsb-datenschutz.de/software/features-lernmanagementsystem/): zuweisen, erinnern, bestätigen lassen, Nachweis erzeugen. Wer es per E-Mail versucht, sucht die Bestätigungen im Jahr darauf einzeln zusammen. Zwei organisatorische Punkte noch: Wo ein Betriebsrat besteht, ist er zu beteiligen, soweit Verhaltens- oder Leistungskontrolle berührt ist. Und die Richtlinie braucht ein Datum, eine Version und eine Wiedervorlage – ein Dokument aus dem Jahr der Einführung überzeugt niemanden. ## Kontakt Sie haben eine Richtlinie, die niemand liest? Meist genügt eine Kürzung auf das, was tatsächlich gebraucht wird. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Datenschutzschulungen](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutzschulungen/)