{"id":7455,"date":"2022-04-25T10:51:58","date_gmt":"2022-04-25T08:51:58","guid":{"rendered":"http:\/\/www.arbrb.de\/blog\/?p=7455"},"modified":"2023-07-20T15:52:45","modified_gmt":"2023-07-20T13:52:45","slug":"personalarbeit-4-0-toms-das-herzstueck-jedes-konzeptmaessigen-daten-und-geschaeftsgeheimnisschutzes","status":"publish","type":"post","link":"https:\/\/www.arbrb.de\/blog\/2022\/04\/25\/personalarbeit-4-0-toms-das-herzstueck-jedes-konzeptmaessigen-daten-und-geschaeftsgeheimnisschutzes\/","title":{"rendered":"Personalarbeit 4.0: TOMs \u2013 Das Herzst\u00fcck jedes konzeptm\u00e4\u00dfigen Daten- und Gesch\u00e4ftsgeheimnisschutzes"},"content":{"rendered":"<p><strong>Technische und organisatorische Ma\u00dfnahmen<\/strong>, englisch: <strong>technical and organizational measures<\/strong>, kurz und international einheitlich: <strong>TOMs<\/strong> sind das Herzst\u00fcck jedes konzeptm\u00e4\u00dfigen Daten- und Gesch\u00e4ftsgeheimnisschutzes. Jedes Unternehmen ist verpflichtet, in seiner Organisation angemessene TOMs zu implementieren (Art.\u00a032 DSGVO). Von der Qualit\u00e4t der implementierten TOMs h\u00e4ngt ma\u00dfgeblich ab, wie effektiv die Daten des Unternehmens im Arbeitsalltag tats\u00e4chlich gesch\u00fctzt werden.<\/p>\n<p>Ein verbreitetes Vorurteil lautet, es w\u00e4re alleinige Aufgabe der IT-Abteilung, die TOMs zu &#8222;machen&#8220; und weder die Rechtsabteilung noch die Personalabteilung w\u00e4re hier zust\u00e4ndig. Das ist falsch. Die gr\u00f6\u00dfte Gefahr f\u00fcr personenbezogene Daten und Gesch\u00e4ftsgeheimnisse des Unternehmens geht immer von den eigenen Mitarbeitern aus, die viel zu h\u00e4ufig Daten aus Nachl\u00e4ssigkeit offenlegen oder diese vors\u00e4tzlich und zielgerichtet stehlen. Die beste IT-Infrastruktur kann dies nicht verhindern, wenn sie durch die Mitarbeiter des Unternehmens nicht sachgerecht eingesetzt wird. Um einen sachgerechten Umgang mit Daten zu erreichen, muss das Unternehmen zus\u00e4tzliche <strong>Verhaltensregeln aufstellen<\/strong> und diese Regeln transparent und eindringlich kommunizieren.<\/p>\n<ul>\n<li>Zum einen muss die Kommunikation der Regeln so klar erfolgen, dass jeder Mitarbeiter sie versteht und zur Kenntnis nimmt.<\/li>\n<\/ul>\n<ul>\n<li>Zum anderen muss diese Kenntnis auch nachgewiesen werden k\u00f6nnen, damit der beim Regelversto\u00df &#8222;ertappte Datendieb&#8220; sich nicht damit rausreden kann, er habe gar nicht gewusst, dass der Download oder Kopiervorgang unzul\u00e4ssig gewesen w\u00e4re.<\/li>\n<\/ul>\n<ul>\n<li>TOMs dienen der technischen \u00dcberwachung der eigenen Mitarbeiter. Besteht ein <strong>Betriebsrat<\/strong>, <strong>bestimmt<\/strong> er <strong>mit<\/strong> <strong>(\u00a7 87 Abs. 1 Nr. 6 BetrVG<\/strong>). Ohne Beteiligung des Betriebsrates w\u00e4ren eingef\u00fchrte Regeln rechtlich unwirksam. Der Abschluss einer (Konzern-\/Gesamt-)Betriebsvereinbarung ist deshalb empfehlenswert.<\/li>\n<\/ul>\n<p>Gesetzlich vorgeschrieben sind TOMs f\u00fcr den Schutz <strong>personenbezogener Daten<\/strong> (Art.\u00a032 DSGVO). Auch <strong>Gesch\u00e4ftsgeheimnisse<\/strong> werden allerdings nur dann rechtlich gesch\u00fctzt, wenn das Unternehmen &#8222;<em>den Umst\u00e4nden nach angemessenen Geheimhaltungsma\u00dfnahmen<\/em>&#8220; implementiert (\u00a7\u00a02 Nr.\u00a01 lit.\u00a0b GeschGehG). Unter praktischen Gesichtspunkten empfiehlt es sich, TOMs f\u00fcr den Daten- und Gesch\u00e4ftsgeheimnisschutz gemeinsam zu definieren und personenbezogene Daten- und Gesch\u00e4ftsgeheimnisse einheitlich als sensible Daten (ggf. kategorisiert nach unterschiedlichen Sensibilit\u00e4tsstufen) zu sch\u00fctzen. Dies kann in einer einzigen und m\u00f6glichst klar verst\u00e4ndlichen Guideline erfolgen.<\/p>\n<p>Dankenswerter Weise stellen die Datenschutzbeh\u00f6rden Checklisten zu Verf\u00fcgung, in denen die meisten in Betracht kommenden und sinnvollen TOMs zusammengestellt werden (vgl. z.B. <a href=\"https:\/\/www.lda.bayern.de\/media\/checkliste\/baylda_checkliste_tom.pdf?msclkid=4ec9b574bd7f11ecbb3e2f2e435d7e8e\">hier<\/a> und <a href=\"https:\/\/lfd.niedersachsen.de\/startseite\/themen\/technik_und_organisation\/orientierungshilfen_und_handlungsempfehlungen\/zawas\/praxisnahe-hilfe-zum-technisch-organisatorischen-datenschutz-173395.html?msclkid=4ec9d481bd7f11ecbb2726971aa6876c\">hier<\/a>). Nachfolgend soll ein \u00dcberblick \u00fcber besonders zentrale Regelungsgesichtspunkte gegeben werden:<\/p>\n<h2><u>1. Welche IT-Infrastruktur brauche ich?<\/u><\/h2>\n<p>Grundvoraussetzung eines funktionierenden Datenschutzes ist selbstverst\u00e4ndlich eine geeignete <strong>IT-Infrastruktur<\/strong>. Beim Datenschutz sind Personalabteilung und IT-Abteilung aufeinander angewiesen und sollten zusammenarbeiten. Es ist sinnvoll, wenn die IT-Abteilung folgende technische Ma\u00dfnahmen einf\u00fchrt:<\/p>\n<ul>\n<li>Datenschutz wird erheblich erleichtert, wenn die Daten des Unternehmens auf einem <strong>einheitlichen Server<\/strong> gespeichert werden.<\/li>\n<\/ul>\n<ul>\n<li>Von dem Datenbestand des Servers sollten regelm\u00e4\u00dfige <strong>Sicherheitsbackups<\/strong> gefertigt werden, damit Daten im Falle einer L\u00f6schung oder Ver\u00e4nderung wiederhergestellt werden k\u00f6nnen (vgl. Art.\u00a05 Abs.\u00a01 lit.\u00a0f DSGVO).<\/li>\n<\/ul>\n<ul>\n<li>Der Zugriff auf den Server sollte \u00fcber das Unternehmensintranet nur mit <strong>individualisierten Nutzeraccounts<\/strong> m\u00f6glich sein, die jeweils nur durch einen einzigen, namentlich bekannten Mitarbeiter genutzt werden. Idealerweise wird durch Zwei-Faktor-Authentifizierung sichergestellt, dass die Accounts nicht durch Dritte &#8222;gekapert&#8220; werden k\u00f6nnen.<\/li>\n<\/ul>\n<ul>\n<li>Die Nutzeraccounts sollten mit einem technischen <strong>Berechtigungskonzept<\/strong> verkn\u00fcpft werden, welches festlegt, welcher Nutzeraccount welche Verzeichnisse einsehen und wer welche der dort abgelegten Daten ggf. \u00f6ffnen und ver\u00e4ndern kann.<\/li>\n<\/ul>\n<ul>\n<li>Alle Zugriffe auf den Server sollten mit <strong>Logfiles<\/strong> dokumentiert werden. Anhand der Logfiles sollte im Nachgang rekonstruiert werden k\u00f6nnen, von welchem Nutzeraccount mit welcher IP-Adresse wann welche Art von Zugriff, Download oder Ver\u00e4nderung im Datenbestand vorgenommen wurde. Auch wenn die Logfiles das Arbeitsverhalten der Mitarbeiter automatisiert und laufend \u00fcberwachen, gilt ihre Implementierung datenschutzrechtlich nach allgemeiner Ansicht als zul\u00e4ssig und sogar als geboten (vgl. \u00a7\u00a022 Abs. 2 Satz\u00a02 Nr.\u00a02 BDSG).<\/li>\n<\/ul>\n<ul>\n<li>Anhand eines Algorithmus sollten bestimmte Arten von Nutzerverhalten als verd\u00e4chtig definiert werden, z.B. der Download ungew\u00f6hnlich gro\u00dfer Datenpakete. Erfolgt eine solche Art des Zugriffs, muss die IT-Abteilung einen <strong>automatisierten Warnhinweis<\/strong>\u00a0erhalten. Die genaue Funktionsweise des Algorithmus unterliegt der Geheimhaltung, damit die Mitarbeiter ihn nicht umgehen k\u00f6nnen.<\/li>\n<\/ul>\n<ul>\n<li>Zum <strong>Schutz vor Viren<\/strong> und anderer Schadsoftware sollte der Server mit einer Firewall und Antivirenprogrammen gesichert werden, die regelm\u00e4\u00dfig geupdatet werden. Mitarbeiter sollten technische daran gehindert werden, Software zu installieren, die durch die IT-Abteilung nicht freigegeben wurde.<\/li>\n<\/ul>\n<ul>\n<li>Das Unternehmen sollte \u00fcberlegen, ob es den Anschluss von USB-Sticks und anderen <strong>mobilen Datentr\u00e4gern<\/strong> an Unternehmenshardware prinzipiell sperrt, da das Kopieren von Daten auf mobile Datentr\u00e4gen \u00fcblicherweise nicht durch Logfiles dokumentiert wird und deshalb nicht nachverfolgt werden kann.<\/li>\n<\/ul>\n<h2><u>2. Was passiert ohne angemessene Verhaltensregeln?<\/u><\/h2>\n<p>Auch eine derart ausgestaltete IT-Infrastruktur ist f\u00fcr sich genommen nicht in der Lage, personenbezogene Daten- und Gesch\u00e4ftsgeheimnisse ausreichend zu sch\u00fctzen, wenn nicht zugleich angemessene Verhaltensregeln aufgestellt und durchgesetzt werden. Stellt das Unternehmen solche Verhaltensregeln nicht auf, wird Folgendes passieren:<\/p>\n<p>Regelm\u00e4\u00dfig werden Mitarbeiter die Unternehmensdaten nicht auf den gesch\u00fctzten Servern in den dort vorgesehenen Verzeichnissen speichern. Stattdessen schicken sie sich die Daten selbst per E-Mail nach Hause, laden sie auf USB-Sticks oder legen sie in \u00f6ffentlichen Verzeichnissen oder auf lokalen Festplatten ab. Oft geschieht dies aus Bequemlichkeit und ohne b\u00f6se Absicht, z.B. weil der Mitarbeiter meint, dass es so schneller geht oder weil er nach Feierabend mit seinem privaten Computer von zuhause noch weiter an dem Projekt arbeiten will.<\/p>\n<p>Die Konsequenz ist, dass Unternehmensdaten auf Datentr\u00e4gern au\u00dferhalb der gesch\u00fctzten IT-Infrastruktur des Unternehmens gespeichert werden, regelm\u00e4\u00dfig auf privaten Datentr\u00e4gern des Mitarbeiters selbst. Arbeitet ein Mitarbeiter regelm\u00e4\u00dfig auf solche Weise, wird der Bestand an Unternehmensdaten, die er zuhause bei sich auf seinen privaten Datentr\u00e4gern gespeichert hat, nach und nach immer gr\u00f6\u00dfer. Das Unternehmen kann bei privat gespeicherten Daten nicht mehr nachverfolgen, was mit diesen Daten passiert. Gleichzeitig haben viele Arbeitnehmer zuhause keinen angemessenen IT-Sicherheitsstandard eingerichtet und nehmen z.B. in Kauf, dass ihre privaten Computer mit Viren und anderer Schadsoftware infiziert werden oder verlieren USB-Sticks aus Nachl\u00e4ssigkeit.<\/p>\n<p>Kaum ein Mitarbeiter, der das eigene Unternehmen verl\u00e4sst und zu einem Konkurrenzunternehmen wechselt, wird diesen privaten Datenbestand dann pflichtgem\u00e4\u00df l\u00f6schen. Warum sollte er \u2013 das Unternehmen kann die L\u00f6schung &#8222;ja eh nicht&#8220; \u00fcberpr\u00fcfen. Im Gegenteil: Viele Mitarbeiter \u00fcberlegen sich vor einem Wechsel noch einmal ganz genau, ob und welche Unternehmensdaten sie ggf. in Zukunft gebrauchen k\u00f6nnen und stehlen diese dann ganz gezielt; dies gilt als Kavaliersdelikt (\u00a7 23 GeschGehG). Den Datenbestand und s\u00e4mtliche darin gespeicherten Gesch\u00e4ftsgeheimnisse nehmen sie zum Konkurrenzunternehmen mit und nutzen sie dort zum Nachteil ihres alten Arbeitgebers.<\/p>\n<h2><u>3. Wie sollten Unternehmen den Umgang mit Daten reglementieren?<\/u><\/h2>\n<p>Es liegt bei der Personalabteilung oder der Rechtsabteilung, klare Regeln aufzustellen, die einem solchen Verhalten entgegenwirken:<\/p>\n<ul>\n<li>Unternehmen sollten <strong>durch arbeitsrechtliche Weisung<\/strong> oder <strong>verbindliche Betriebsvereinbarung <\/strong>(\u00a7 77 Abs. 4 Satz 1 BetrVG) eindeutig und klar definieren, <strong>wo welche Daten gespeichert und abgelegt werden d\u00fcrfen und m\u00fcssen<\/strong>. Idealerweise werden die Daten hierzu nach Sensibilit\u00e4ts- und Schutzstufen kategorisiert und abh\u00e4ngig vom Datentyp unterschiedlich strenge Vorgaben aufgestellt. Es empfiehlt sich, das Abspeichern von sensiblen Unternehmensdaten auf privaten Datentr\u00e4gern generell zu verbieten.<\/li>\n<\/ul>\n<ul>\n<li>Die Definition der Regeln sollte in einer m\u00f6glichst gut <strong>nachvollziehbaren Handreichung<\/strong> erfolgen, die durch die Mitarbeiter in einer kurzen Lekt\u00fcre zur Kenntnis genommen und verstanden werden kann.<\/li>\n<\/ul>\n<ul>\n<li>Die Mitarbeiter sollten f\u00f6rmlich <strong>best\u00e4tigen<\/strong>, dass sie diese Handreichung gelesen und zur Kenntnis genommen haben. Die Best\u00e4tigung sollte in der Personalakte dokumentiert werden.<\/li>\n<\/ul>\n<ul>\n<li>Vorgesetzte sollten angehalten werden, bei Verst\u00f6\u00dfen einzuschreiten und ihre Mitarbeiter zum weisungskonformen Umgang mit Daten zu <strong>&#8222;erziehen&#8220;<\/strong>. Schulungen in diesem Bereich sind sinnvoll.<\/li>\n<\/ul>\n<ul>\n<li>Mitarbeiter sollten abstrakt dar\u00fcber <strong>informiert<\/strong> werden, dass ihr Nutzerverhalten mit Logfiles aufgezeichnet wird und bei kritischem Nutzerverhalten eine Meldung an die IT-Abteilung erfolgt. Diese Information gebietet sich zum einen rechtlich, n\u00e4mlich wegen des datenschutzrechtlichen Transparenzgebots (Art. 5 Abs. 1 lit a, Art. 13, 14 DSGVO). Gleichzeitig dient die Information der Abschreckung, zumal die Mitarbeiter nicht im Detail wissen, was eigentlich genau aufgezeichnet und wann ihr Verhalten gemeldet wird.<\/li>\n<\/ul>\n<p>Anleitungen zur Implementierung von <strong>Daten- und Gesch\u00e4ftsgeheimnisschutzkonzepten<\/strong> mit vielen Mustervorlagen sind im Praxishandbuch<strong> Grimm\/Singraven, Digitalisierung und Arbeitsrecht<\/strong> ver\u00f6ffentlicht. Online finden Sie diese <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=gsd.12.e01\" target=\"_blank\" rel=\"noopener\"><strong>hier<\/strong><\/a>\u00a0und <a href=\"https:\/\/online.otto-schmidt.de\/db\/dokument?id=gsd.18.e01\" target=\"_blank\" rel=\"noopener\"><strong>hier<\/strong><\/a> (Quelle: <a href=\"https:\/\/www.otto-schmidt.de\/digitalisierung-und-arbeitsrecht-9783504420680\">Grimm\/Singraven, Digitalisierung und Arbeitsrecht<\/a>, auch abrufbar im <a href=\"https:\/\/www.otto-schmidt.de\/online\/arbeitsrecht\/aktionsmodul-arbeitsrecht\">Aktionsmodul Arbeitsrecht<\/a>).<\/p>\n<p>===================<br \/>\n<strong>Hinweis der Redaktion:<\/strong><\/p>\n<p>Das gerade erschienene <a href=\"https:\/\/www.otto-schmidt.de\/digitalisierung-und-arbeitsrecht-9783504420680\">Praxis-Handbuch von Grimm\/Singraven, Digitalisierung und Arbeitsrecht<\/a>, behandelt in 29 Kapiteln alle wichtigen Trends, die sich im Zuge der digitalen Transformation f\u00fcr den Personalbereich ergeben \u2013 praxiserprobte Formulare, Muster und Vertragsklauseln zu jedem Komplex inklusive + Online-Zugriff auf das Werk.<\/p>\n<p>Digitalisierung im Arbeitsrecht 4.0 wird auch das Thema der <a href=\"https:\/\/www.otto-schmidt.de\/seminare\/seminare-arbeitsrecht\/koelner-tage-arbeitsrecht\">K\u00f6lner Tage Arbeitsrecht 2022<\/a> sein: Am 28.04. und 29.04.2022 stellen Ihnen zehn f\u00fchrende Experten aus Rechtsprechung, Wissenschaft und Beratung die rechtlichen und praktischen Auswirkungen der Digitalisierung f\u00fcr die Personal- und Beratungspraxis vor und vermitteln Handlungsempfehlungen. <a href=\"https:\/\/www.otto-schmidt.de\/seminare\/seminare-arbeitsrecht\/koelner-tage-arbeitsrecht\">Hier anmelden!<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Technische und organisatorische Ma\u00dfnahmen, englisch: technical and organizational measures, kurz und international einheitlich: TOMs sind das Herzst\u00fcck jedes konzeptm\u00e4\u00dfigen Daten- und Gesch\u00e4ftsgeheimnisschutzes. Jedes Unternehmen ist verpflichtet, in seiner Organisation angemessene TOMs zu implementieren (Art.\u00a032 DSGVO). Von der Qualit\u00e4t der implementierten TOMs h\u00e4ngt ma\u00dfgeblich ab, wie effektiv die Daten des Unternehmens im Arbeitsalltag tats\u00e4chlich gesch\u00fctzt werden. [&hellip;]<\/p>\n","protected":false},"author":5079,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1],"tags":[946,940,947],"_links":{"self":[{"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/posts\/7455"}],"collection":[{"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/users\/5079"}],"replies":[{"embeddable":true,"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/comments?post=7455"}],"version-history":[{"count":3,"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/posts\/7455\/revisions"}],"predecessor-version":[{"id":7469,"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/posts\/7455\/revisions\/7469"}],"wp:attachment":[{"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/media?parent=7455"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/categories?post=7455"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.arbrb.de\/blog\/wp-json\/wp\/v2\/tags?post=7455"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}