Neben den strafrechtlichen Folgen können Datenschutzverstöße zudem mit
Bußgeldern in Höhe von bis zu 250.000 Euro sanktioniert werden. Die aktuellen
Fälle lassen aufgrund ihres Ausmaßes erwarten, dass dieser Rahmen ausgeschöpft
werden könnte. Hinzu kommen mögliche Schadensersatzansprüche der durch eine
rechtswidrige Überwachung betroffenen Personen.
Verantwortlich für diese Konsequenzen und deshalb mit einem besonders hohen
Risiko behaftet ist in erster Linie die Leitung des Unternehmens. Dies sind
nicht nur die Geschäftsführer einer GmbH und die Vorstandsmitglieder einer
Aktiengesellschaft. Das Haftungsrisiko gilt gleichermaßen für Geschäftsführer
oder Inhaber mittelständischer Unternehmen.
Die Verantwortlichen haften persönlich für Schäden, die ihr Unternehmen, sei es
eine GmbH, eine AG, eine OHG oder eine KG, durch ihr vorsätzliches oder aber
auch bereits fahrlässiges Fehlverhalten erleidet. Dies kann zum Beispiel die
Anweisung bzw. stillschweigende Duldung illegaler Überwachungsmaßnahmen oder der
rechtswidrige Einblick in E-Mails, Schriftverkehr oder Telefonverbindungen sein.
Die Unternehmensleiter werden strafrechtlich meistens gemeinsam mit den
Sicherheits- und IT-Verantwortlichen zur Rechenschaft gezogen.
Fraglich ist, wie Unternehmen ohne strafrechtliches Risiko Kontrollen und,
insbesondere bei konkretem Missbrauchsverdacht, zunächst eigene Ermittlungen
durchführen können, um das Unternehmen davor zu schützen, dass vertrauliche
Informationen weitergegeben werden?
„Wesentlich für beinahe jedes Unternehmen, egal von welcher Größe oder mit
welchem Geschäftsvolumen, ist eine funktionierende Compliance-Struktur“, betont
Bierekoven. „Diese muss mit Bezug auf den Gebrauch oder Missbrauch von Daten
eine effektive IT-Compliance umfassen. Hier sollten sämtliche erforderlichen
Einwilligungen der eigenen Mitarbeiter in die Protokollierung und Kontrolle der
Nutzung der betrieblichen Kommunikationsmittel, seien es Telefon, Fax, Handy,
E-Mail, Internet oder auch Blackberry, dokumentiert sein.“
Grundlage jeder IT-Compliance ist zunächst eine umfassende Analyse der
IT-Infrastruktur aus technischer und rechtlicher Sicht, in deren Rahmen
festgestellt wird, ob und welche technischen und rechtlichen Mechanismen das
Unternehmen bereits ergriffen hat und ob bereits ergriffene Maßnahmen den
gesetzlichen Anforderungen entsprechen. Zentrale Fragen sind dabei, wer Daten
erhebt und wie diese verarbeitet und gegen Missbrauch geschützt werden, wie
Arbeitnehmer oder auch Dritte - beispielsweise Kunden - kontrolliert oder gar
überwacht werden, ob hierfür die erforderlichen Einwilligungen vorliegen, die
den Mitarbeitern Inhalt, Umfang und Ausmaß der internen Überwachungsmaßnahmen
aufzeigen, der Betriebsrat beteiligt wurde, es einen unabhängigen
Datenschutzbeauftragten gibt, wer im Unternehmen auf welche Daten Zugriff hat
und schließlich, welche Mechanismen und Abhilfemaßnahmen für Missbrauchsfälle,
insbesondere unter Einsatz personenbezogener oder sensibler Unternehmensdaten,
vorgesehen sind.
Auf der Grundlage der Bestandsaufnahme wird eine einheitliche
Compliance-Richtlinie er-stellt, die im Unternehmen implementiert und durch
effektive Controllingmechanismen etabliert und durchgesetzt wird.
Bierekoven: „Nur durch eine systematische IT-Compliance können Unternehmen
das Risiko unbefugter Informationsabflüsse durch effektive Kontrollmaßnahmen
verringern und dennoch sicherstellen, nicht als unheimlicher „Big Brother“
wahrgenommen zu werden.“
Quelle: Pressemitteilung Rödl & Partner Nürnberg
