Datenschutz im QM
Gegenseitiges Vertrauen und absolute Diskretion zwischen den Geschäftspartnern sind notwendig. Die Qualitätsnorm ISO 9001:2000 überträgt deshalb den Verantwortungsbereich für die Kundenorientierung klar und unmissverständlich auf die Unternehmensleitung.
Datenschutz im QM – Viel mehr als eine ungeliebte Pflichtaufgabe
Eine zentrale Rolle bei der Kundenbindung spielt der Datenschutz. Unternehmen, die besonderen Wert auf die Herausbildung und Stärkung des Vertrauens ihrer Kunden legen, veröffentlichen deshalb in ihren Allgemeinen Geschäftsbedingungen (AGB) auch ihre Datenschutzpolitik. Bei den meisten Verantwortlichen herrscht jedoch Unklarheit darüber, wie ein funktionierendes Datenschutzsystem im Idealfall aussieht. Im folgenden Beitrag zeigt Ihnen Qualitätsmanager aktuell entsprechende Gestaltungsmöglichkeiten auf.
Datenschutz als Qualitätsmerkmal
Das Datenschutzrecht regelt Voraussetzungen und Folgen einer personenbezogenen Erhebung und Verwendung von Daten. Die Regelung erfolgt zugunsten des Betroffenen und kulminiert verfassungsrechtlich im Recht auf informationelle Selbstbestimmung.
Die aktuellen datenschutzrechtlichen Bestimmungen sollen diesen Rechtsanspruch durch organisatorische und verfahrensrechtliche Kontrollvorkehrungen sicherstellen. Der Begriff „Datenschutz“ meint also nicht den Schutz von Daten, sondern Datenschutz bewahrt natürliche Personen vor dem Missbrauch ihrer persönlichen Daten.
„Datensicherheit“ dagegen bedeutet den Schutz von Daten vor unberechtigtem Zugriff durch Personen. Das bedeutet, ohne wirksame Datensicherheitsmaßnahmen ist die Einhaltung von Datenschutzrichtlinien praktisch nicht möglich.
Jedes 5. Unternehmen in Deutschland verstößt gegen den Datenschutz. Noch immer unterschätzen viele Arbeitgeber seine Bedeutung und riskieren damit auch das Vertrauen ihrer Kunden und Partner. Betrieblicher Datenschutz ist nämlich nicht nur eine gesetzliche Auflage, sondern auch ein Marketingargument, das Sie unbedingt für Ihr Unternhemen nutzen sollten.
So gehen Sie vor
Zunächst sollten Sie in Ihrem Unternehmen eine Bestandsaufnahme des Ist-Zustandes durchführen.
QM-PRAXISTOOL: Schritt-für-Schritt zum Datenschutzmanagement
- Stellen Sie fest, welche Hardware, Software und Netwerktechnik in Ihrem Unternehmen verwendet werden.
- Ermitteln Sie die Arbeitsprozesse und die Datenverarbeitungen.
- Existiert in Ihrem Unternehmen ein Betriebsrat, so prüfen Sie, ob die Vorschriften des Betriebsverfassungsgesetzes korrekt umgesetzt werden.
- Überprüfen Sie Vertragsvorlagen, Geschäftsbedingungen, Formulare und Internetpräsenz auf ihre datenschutz- und telekommunikationsrechtliche Konformität.
- Werten Sie die Ergebnisse aus, indem Sie die im Unternehmen verarbeiteten Daten in Schutz- und Risikoklassen einstufen. - Sicherheits- und Schutzlücken werden so aufgedeckt.
- Dokumentieren Sie die Auswertung fachgerecht, indem Sie Lösungsmöglichkeiten und Vorschläge mit aufnehmen, welche die Arbeitsprozesse optimieren und einen wirtschaftlichen Vorteil bringen.
Entwickeln Sie das Konzept gemeinsam
Mit der Auswertung und Analyse erhalten Sie ein vollwertiges Datenschutzmanagement- Konzept. Auf der Basis dieses Konzepts findet dann eine Datenschutzmanagement- Beratung statt. Dabei besprechen die Betriebspartner das erstellte Konzept. An diesem Gespräch sollten
- Arbeitgeber,
- Sie als Qualitätsmanager oder Qualitätsbeauftragter,
- Betriebsrat,
- Systemadministrator,
- IT-Sicherheitsbeauftragter und
- Datenschutzbeauftragter
teilnehmen.
Ziel ist es, in gemeinsamer Diskussion das Konzept an die individuellen Bedürfnisse Ihres Unternehmens anzupassen. Abschließend wird das Datenschutz- Managementsystem im Unternehmen eingeführt. Nach der Einführung des Systems sollten alle betroffenen Mitarbeiter zeitnah darüber informiert und eingewiesen werden.
Datenschutz ist Teil des QM
Alle Unternehmen, in denen personenbezogene Daten verarbeitet werden, unterliegen dem Bundesdatenschutzgesetz (BDSG) und benötigen deshalb ein Datenschutz- Managementsystem. Da dieses einen Teil des Qualitätsmanagementsystems darstellt, ist für Betriebe, die bisher noch kein Qualitätsmanagementsystem nach DIN EN ISO 9001:2000 besitzen, die Einführung eines Datenschutzsystems mit einem Datenschutzbeauftragten der 1. Schritt zum Qualitätsmanagement.
Unter bestimmten Voraussetzungen ist der Datenschutzbeauftragte gesetzlich vorgeschrieben.
Der Gesetzgeber hat die Erforderlichkeit eines Datenschutzbeauftragten für die Privatwirtschaft typisiert und an verschiedene alternative Mindestvoraussetzungen geknüpft. Danach muss ein Unternehmen der Privatwirtschaft, einen Datenschutzbeauftragten bestellen, wenn
- beim automatisierten Umgang mit personenbezogenen Daten mindestens 5 Arbeitnehmer beschäftigt oder
- in nicht automatisierter Weise mit personenbezogenen Daten umgegangen wird und dabei mindestens 20 Personen beschäftigt sind, wobei es in diesem Fall nicht auf das Merkmal „automatisiert“ ankommt, oder
- eine automatisierte Verarbeitung vorliegt, die eine Vorabkontrolle nach § 4d Abs.5 BDSG erfordert oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verwendet werden; in diesen Fällen kommt es nicht auf das Merkmal „mindestens 5 Arbeitnehmer“ an.
Expertenrat
Der Datenschutzbeauftragte hat die Aufgabe, das Datenschutzmanagementsystem zu betreuen und sowohl die Wirkungskontrolle, als auch die Entwicklung des Systems zu sichern. Beachten Sie, dass dazu auch die Schulung und Sensibilisierung der Mitarbeiter sowie die ständige Einhaltung der gesetzlichen Vorschriften und Regelungen gehört.
Aufpassen: Bei Verstößen drohen hohe Bußgelder
Der Datenschutzbeauftragte sorgt für die strikte Einhaltung des Datenschutzes. In vielen, vor allem kleinen und mittelständischen Betrieben, ist der Aufwand für die Erstellung und Pflege des Datenschutz-Managementsystems gar nicht so hoch, wie manchmal befürchtet wird.
Eine objektive Beratung zum Thema Datenschutz ist jedenfalls unverzichtbar. Die Verantwortlichen erfahren dadurch alles Wissenswerte über ihre datenschutzrechtlichen Verpflichtungen und Risiken. Immerhin geht es dabei um Bußgelder bis zu maximal 250.000 €. Durch die Beratung erkennen die Verantwortlichen, mit welchen Kosten sie für ihr Unternehmen rechnen müssen. Darüber hinaus werden auch eventuelle Fördermöglichkeiten erörtert. Das schließt ebenso das Thema der Ausund Weiterbildung eines Datenschutzbeauftragten ein. Ist ein Datenschutzbeauftragter bereits bestellt, sollte dieser der Beratung unbedingt beiwohnen – Sie als Qualitätsmanager ohnehin. Der zeitliche und finanzielle Aufwand für eine solche Beratung hält sich in einem für jedes Unternehmen wirtschaftlich vertretbaren Rahmen und ist eine lohnende Investition. Raten Sie Ihrem Arbeitgeber deshalb zu, sollte in Ihrem Unternehmen dieses Thema aktuell sein.
Intern oder extern – auf die Fachkunde kommt es an
Der Gesetzgeber sieht zwei Möglichkeiten vor, einen Datenschutzbeauftragten in Ihrem Unternehmen zu installieren. Entweder das Unternehmen entscheidet sich für die interne Lösung und bestellt einen persönlich und fachlich geeigneten Mitarbeiter zum Datenschutzbeauftragten oder Ihr Arbeitgeber bevorzugt die professionelle Lösung und bedient sich der Hilfe von außen. Führen Sie Ihrem Arbeitgeber stets vor Augen, dass betrieblicher Datenschutz nicht nur eine gesetzliche Auflage, sondern auch ein Marketinginstrument ist, das es zu nutzen gilt.
Überprüfen Sie den Sicherheitsstand
Anhand der nachfolgenden Checkliste können Sie überprüfen, ob der Datenschutz in Ihrem Betrieb ausreichend beachtet wird.
Expertenrat
Der Einsatz eines internen Datenschutzbeauftragten eignet sich eher für größere Unternehmen mit eigener EDV-Abteilung.
Die Bestellung eines externen Datenschutzbeauftragten empfiehlt sich hingegen für die Unternehmen, in denen der Umfang der Datenverarbeitung keine Vollzeitkraft erfordert oder wenn die Arbeitskraft der qualifizierten Mitarbeiter anderweitig genutzt werden soll.
QM-PRAXISTOOL: Checkliste Datenschutz
- Anhand dieser Checkliste können Sie als Qualitätsmanagementbeauftragter prüfen, ob Sie vor Kundenbefragung die Zustimmung des Betriebsrats benötigen.
- Werden personenbezogene Daten nur im Rahmen des Betriebszwecks bzw. des Arbeitsverhältnisses gespeichert und verarbeitet?
- Wird bei über diesen Zweck hinausgehenden Daten das Einverständnis des Betroffenen in schriftlicher Form eingeholt?
- Sind die elektronisch gespeicherten Daten durch geeignete Schutzmaßnahmen vor unberechtigter Kenntnisnahme oder Verfälschung geschützt?
- Wurden alle mit der Verarbeitung und Nutzung personenbezogener Daten befassten Mitarbeiter schriftlich auf das Datengeheimnis verpflichtet?
- Gibt es in Ihrem Unternehmen einen Datenschutzbeauftragten (sofern die gesetzlichen Voraussetzungen auf Ihr Unternehmen zutreffen)?
- Wurde über die eingesetzten Programme und Verfahren zur Verarbeitung und Speicherung personenbezogener Daten eine Übersicht erstellt, die regelmäßig aktualisiert wird?
Fazit: Nur wenn Sie alle Fragen bejahen können, ist die Ausgestaltung des Datenschutzes in Ihrem Unternehmen vorbildlich. Sollten Sie einzelne Fragen verneinen müssen, besteht in diesen Bereichen dringender Handlungsbedarf.
Stefanie Gertz
Dipl. Kauffrau (FH)/Dipl. Inform. (FH)
Seit mehr als 10 Jahren selbstständige QM- und Unternehmensberaterin, QM-Trainerin (TÜV).
