Question 1

Wann muss ich eine E-Mail an viele Empfänger im BCC verschicken?

Accepted Answer

Immer dann, wenn die Empfänger sich nicht kennen müssen — also bei jedem Rundschreiben, Newsletter oder Serienbrief an Kunden, Bewerber, Patienten oder Mitglieder. Eine E-Mail-Adresse ist ein personenbezogenes Datum. Steht sie für fünfzig andere Empfänger sichtbar im An- oder CC-Feld, haben Sie fünfzig Adressen an fünfzig Unbefugte offengelegt. Das ist eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO. Dieser Fehler ist der häufigste meldepflichtige Vorfall in kleinen und mittleren Betrieben, und er ist besonders unangenehm, weil er sich nicht zurückholen lässt. Er ist auch nicht harmlos: Wenn aus dem Verteiler hervorgeht, dass es sich um Teilnehmer einer Suchttherapie, Bewerber auf eine Stelle oder Mitglieder einer Partei handelt, ist mit der Adresse zugleich eine besondere Datenkategorie nach Art. 9 DSGVO offengelegt. Technisch gibt es drei saubere Wege: BCC für kleine Verteiler, ein Serienmailwerkzeug, das jede Nachricht einzeln verschickt, oder ein Newslettersystem. Für größere Verteiler ist BCC nicht die beste Lösung — ein falscher Klick reicht, und viele Mailserver behandeln große BCC-Mengen als Spam. Ab etwa zwanzig Empfängern gehört der Versand in ein Werkzeug, das Einzelmails erzeugt. Wenn es passiert ist: Nicht hoffen, dass es niemand merkt. Der Vorgang gehört dokumentiert (Art. 33 Abs. 5 DSGVO), und in den meisten Fällen ist er der Aufsichtsbehörde zu melden. Ein eigenständig gemeldeter Verteilerfehler ist ein kleiner Vorgang; derselbe Fehler, von einem verärgerten Empfänger angezeigt, ist ein großer.

Question 2

Dürfen Mitarbeiter dienstliche Daten auf dem privaten Handy haben?

Accepted Answer

Erlaubt ist es nicht verboten — aber Sie müssen es regeln, sonst können Sie Ihre Pflichten nicht erfüllen. Die DSGVO untersagt die Nutzung privater Geräte nicht. Sie verlangt nach Art. 32 DSGVO angemessene Sicherheit und nach Art. 5 Abs. 2 den Nachweis darüber. Auf einem Gerät, das Ihnen nicht gehört und auf das Sie keinen Zugriff haben, können Sie beides nicht sicherstellen. Die praktischen Probleme zeigen sich immer an denselben Stellen. Verlangt ein Kunde Auskunft nach Art. 15 oder Löschung nach Art. 17 DSGVO, müssen Sie wissen, wo seine Daten liegen — auch auf dem Handy des Monteurs. Scheidet ein Mitarbeiter aus, müssen die Daten vom Gerät; ohne Vereinbarung haben Sie kein Mittel dazu. Geht das Gerät verloren, müssen Sie beurteilen, welche Daten betroffen waren. Der einfachste saubere Weg ist das Diensthandy. Wenn das nicht in Frage kommt, braucht die private Nutzung eine schriftliche Vereinbarung mit mindestens vier Punkten: Gerätesperre mit Code oder Biometrie, verschlüsselter Speicher, ausschließliche Nutzung der freigegebenen Apps für dienstliche Daten, und die Zusage, bei Verlust oder Ausscheiden die dienstlichen Daten löschen zu lassen. Technisch löst das eine getrennte Arbeitsumgebung auf dem Gerät. Was nie funktioniert: Kundendaten in der privaten WhatsApp, Fotos von Lieferscheinen in der Handygalerie, Kontakte im privaten Adressbuch. Diese drei Fälle sind in jedem Betrieb vorhanden, in dem es keine Regel gibt — und sie sind der Grund, warum die Regel schriftlich sein muss und Teil der Unterweisung.

Question 3

Dürfen Mitarbeiter WhatsApp für dienstliche Nachrichten nutzen?

Accepted Answer

Ein pauschales Verbot von WhatsApp gibt es im Gesetz nicht — das Problem ist das Adressbuch, nicht die Nachricht. Die übliche WhatsApp-Installation gleicht die Kontakte des Telefons mit den Servern des Anbieters ab. Steht dort die Handynummer eines Kunden, haben Sie dessen Nummer an einen Dritten übermittelt, ohne Rechtsgrundlage nach Art. 6 DSGVO und ohne Auftragsverarbeitungsvertrag nach Art. 28. Betroffen ist nicht Ihr Mitarbeiter, sondern der Kunde, der davon nichts weiß. Dazu kommt der Inhalt. Eine Nachricht ist Ende-zu-Ende verschlüsselt, das ist korrekt. Aber Sie verlieren die Kontrolle über den Verlauf: Chats liegen auf einem privaten Gerät, werden gegebenenfalls in eine private Cloud gesichert und bleiben nach dem Ausscheiden des Mitarbeiters dort. Für Auskunfts- und Löschersuchen ist das nicht beherrschbar. Es gibt zwei Wege, die funktionieren. Entweder ein geschäftlich einsetzbarer Messenger mit Auftragsverarbeitungsvertrag, Servern in der EU und ohne Zugriff auf das private Adressbuch — davon gibt es mehrere am deutschen Markt. Oder die offizielle Business-Schnittstelle des Anbieters mit Vertrag, eingebunden in Ihr System statt in ein Privathandy. Welcher Weg passt, hängt davon ab, ob Ihre Kunden erreichbar sein wollen wie heute. Für die Unterweisung reicht eine klare Hausregel. Sie lautet nicht „WhatsApp ist verboten“, sondern: Kundennummern gehören nicht ins private Adressbuch, und dienstliche Inhalte laufen über den freigegebenen Weg. Das versteht jeder, und es trifft genau den Punkt, an dem es rechtlich eng wird.

Question 4

Was muss im Homeoffice beim Datenschutz beachtet werden?

Accepted Answer

Dieselben Anforderungen wie im Büro — nur müssen Sie sie an einem Ort erfüllen, den Sie nicht kontrollieren. Die Pflicht aus Art. 32 DSGVO, ein angemessenes Schutzniveau sicherzustellen, endet nicht an der Bürotür. Sie können sie aber nicht mit Technik allein erfüllen, sondern brauchen eine Vereinbarung mit dem Beschäftigten und seine Unterweisung. Vier Punkte decken die meisten Risiken ab. Erstens die Umgebung: Bildschirm nicht zum Fenster oder zum gemeinsam genutzten Raum, Sperren beim Verlassen des Platzes, keine Unterlagen offen liegen lassen. Zweitens die Mitbewohner: Familienangehörige dürfen keinen Zugriff auf Gerät, Papier oder Gespräche haben — auch nicht beiläufig. Drittens Papier: Es gibt zu Hause keinen Aktenvernichter der passenden Sicherheitsstufe, also kommen Unterlagen zurück in den Betrieb. Viertens Telefonate: Vertrauliche Gespräche nicht im Beisein Dritter. Technisch gehört dazu ein betriebliches Gerät oder eine abgesicherte Arbeitsumgebung, Festplattenverschlüsselung, Zugang über eine gesicherte Verbindung und Mehrfaktoranmeldung für Systeme von außen. Der häufigste Fehler ist das private WLAN mit dem Standardkennwort vom Aufkleber — das gehört in die Unterweisung, weil es nichts kostet und oft übersehen wird. Schriftlich festhalten lohnt sich auch aus einem anderen Grund: Wenn ein Vorfall aus dem Homeoffice gemeldet werden muss, fragt die Behörde nach den getroffenen Maßnahmen. Eine Homeoffice-Regelung mit Unterschrift und eine Unterweisung dazu sind dann die Antwort. Ein Verweis auf „mündliche Absprachen“ ist keine.

Question 5

Was bedeutet „Clean Desk“ konkret?

Accepted Answer

Dass am Arbeitsplatz keine personenbezogenen Daten offen liegen, wenn niemand dort ist — beim Mittagessen, am Abend, im Besprechungsraum nach dem Termin. Die Regel ist keine Ordnungsvorschrift, sondern eine organisatorische Maßnahme nach Art. 32 DSGVO: Sie verhindert Einsichtnahme durch Besucher, Reinigungspersonal, Handwerker, Kollegen aus anderen Abteilungen und Zufall. Praktisch heißt das fünf Gewohnheiten: Bildschirm sperren beim Aufstehen, Unterlagen in den verschließbaren Schrank, Notizzettel mit Namen oder Nummern nicht am Monitor, Besprechungsraum nach dem Termin leer räumen einschließlich Flipchart, und nichts Vertrauliches im Drucker liegen lassen. Der Drucker ist dabei die unterschätzte Stelle — an einem Gemeinschaftsgerät holt oft jemand anderes den Stapel ab. Die Regel gilt auch für den Arbeitsplatz im Homeoffice und im Fahrzeug. Ein Ordner auf dem Beifahrersitz ist an jeder roten Ampel einsehbar, und ein Fahrzeugeinbruch mit Diebstahl von Kundenunterlagen ist ein meldepflichtiger Vorfall. Unterlagen gehören in den Kofferraum oder gar nicht ins Auto. Clean Desk ist die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung, weil sie nichts kostet und von jedem umgesetzt werden kann. Sie steht deshalb in fast jedem Prüfbogen zu den technischen und organisatorischen Maßnahmen — und sie lässt sich mit einem Rundgang sofort überprüfen, von Ihnen wie von einem Prüfer.

Question 6

Wie entsorge ich Papier mit Kundendaten richtig?

Accepted Answer

Nicht im Hausmüll und nicht im Altpapier, sondern geschreddert in einer Sicherheitsstufe, die zum Inhalt passt. Die Löschung ist eine Verarbeitung und unterliegt denselben Sicherheitsanforderungen wie jede andere (Art. 4 Nr. 2, Art. 32 DSGVO). Für die Partikelgröße gibt es eine anerkannte Norm: DIN 66399. Für gewöhnliche personenbezogene Daten gilt dort die Sicherheitsstufe P-4 als angemessen, für besonders schützenswerte Unterlagen — Gesundheitsdaten, Personalakten, Gehaltsabrechnungen — die Stufe P-5. Was das in der Praxis bedeutet: Ein einfacher Streifenschneider aus dem Bürobedarf erreicht meist nur P-2 und ist damit für Kundendaten nicht geeignet. Erforderlich ist ein Partikelschnitt. Wer kein eigenes Gerät betreibt, nutzt verschließbare Sammelbehälter eines Entsorgers — dann brauchen Sie dafür einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und das Vernichtungsprotokoll zu Ihren Unterlagen. Die typische Schwachstelle liegt vor dem Schredder: der offene Papierkorb neben dem Kopierer, der Stapel „kommt später weg“ auf dem Fensterbrett, die Pappkiste im Flur. Zwischen Ausdruck und Vernichtung muss das Papier so liegen, dass Unbefugte es nicht einsehen oder mitnehmen können — also im verschlossenen Behälter, nicht im Korb. Und prüfen Sie, ob der Ausdruck überhaupt nötig war. Die Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO wirkt auch hier: Was nicht gedruckt wird, muss nicht vernichtet werden und kann nicht verloren gehen.

Question 7

Was darf in eine dienstliche E-Mail — und was nicht?

Accepted Answer

Als Grundregel: so viel, wie der Empfänger für seine Aufgabe braucht, und nicht mehr. Das ist die Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO, und sie ist im Mailverkehr besonders wichtig, weil eine E-Mail weitergeleitet, zitiert, archiviert und ausgedruckt wird, ohne dass Sie davon erfahren. Drei Dinge gehören nicht in eine normale E-Mail. Erstens besondere Datenkategorien nach Art. 9 DSGVO — Gesundheit, Religion, Gewerkschaft, Herkunft, Sexualleben. Eine Krankmeldung mit Diagnose an mehrere Kollegen ist ein Vorfall, auch wenn sie gut gemeint war. Zweitens Zugangsdaten. Drittens vollständige Unterlagen, wenn eine Angabe genügt — eine ganze Personalakte als Anhang, weil eine Telefonnummer gebraucht wurde, ist unverhältnismäßig. Besondere Vorsicht beim Antworten und Weiterleiten. Der Verlauf unter einer Mail enthält oft Informationen, die für den neuen Empfänger nicht bestimmt sind — interne Einschätzungen, Preise, Namen Dritter. Vor dem Weiterleiten den Verlauf lesen und kürzen ist die wirksamste Einzelmaßnahme im Mailverkehr. Bei externen Empfängern gilt zusätzlich: Gehört die Adresse wirklich zu dem, den Sie meinen? Die automatische Vervollständigung schlägt regelmäßig den falschen Namen vor. Für sensible Inhalte reicht die normale Mail nicht. Transportverschlüsselung zwischen den Servern ist heute Standard, aber die Nachricht liegt beim Empfänger unverschlüsselt. Für Gesundheitsdaten, Personalunterlagen oder vollständige Ausweiskopien braucht es einen anderen Weg: ein geschütztes Portal, ein verschlüsseltes Archiv mit separat übermitteltem Kennwort oder Ende-zu-Ende-Verschlüsselung.

Question 8

Ein USB-Stick liegt auf dem Parkplatz — was mache ich damit?

Accepted Answer

Nicht anstecken. Abgeben. Ein gefundener USB-Stick ist der klassische Weg, Schadsoftware in ein Netzwerk zu bringen, das von außen gut geschützt ist: Der Angreifer braucht keine Lücke in der Firewall, wenn ein hilfsbereiter Mitarbeiter das Gerät von innen anschließt. Der Stick gehört zur IT oder zur Geschäftsführung, nicht in den eigenen Rechner — auch nicht „nur um zu sehen, wem er gehört“. Dasselbe gilt für alles, was sich als Datenträger anmelden kann: Speicherkarten, externe Festplatten, Ladekabel mit eingebauter Elektronik, kostenlose Werbegeschenke von Messen. Die Gefahr liegt nicht in den Dateien, die Sie sehen, sondern in dem, was beim Anstecken automatisch passiert. Umgekehrt ist der eigene USB-Stick mindestens so gefährlich. Ein unverschlüsselter Stick mit Kundendaten, der in der Jackentasche verloren geht, ist ein meldepflichtiger Vorfall nach Art. 33 DSGVO. Ein verschlüsselter Stick dagegen ist in der Regel kein Risiko für die Betroffenen — die Verschlüsselung ist genau der Grund, warum die Meldung dann meist unterbleiben kann. Der Vorgang bleibt trotzdem zu dokumentieren. Die einfachste Hausregel lautet: Datenträger werden gestellt, sind verschlüsselt und bleiben im Betrieb. Wo Daten tatsächlich transportiert werden müssen, ist ein geschützter Austauschweg fast immer der bessere Ersatz — er ist nachvollziehbar und lässt sich nicht liegenlassen.

Question 9

Wie erkennen meine Mitarbeiter eine Phishing-Mail?

Accepted Answer

An der Absicht, nicht an der Aufmachung. Die alten Merkmale — schlechtes Deutsch, krude Gestaltung, fremde Anrede — sind mit maschineller Übersetzung und KI-Textwerkzeugen verschwunden. Was geblieben ist, ist das Muster: Eine Nachricht erzeugt Druck, verlangt eine sofortige Handlung und führt zu einer Eingabe von Zugangsdaten oder einer Zahlung. Genau dieses Dreieck gehört in die Unterweisung, nicht eine Liste von Rechtschreibfehlern. Vier Prüfungen reichen für den Alltag. Erstens: Habe ich diese Nachricht erwartet? Zweitens: Wohin führt der Link wirklich — Mauszeiger darüber halten und die Adresse lesen, nicht den Text. Drittens: Passt die Absenderadresse zur angeblichen Absenderin, einschließlich der Zeichen nach dem @? Viertens: Wird Eile erzeugt, mit Sperrung, Frist, Mahnung oder Vorgesetztem? Der teuerste Fall im Mittelstand ist nicht die Zugangsdatenseite, sondern die angebliche Anweisung der Geschäftsführung: eine Mail im Namen des Chefs mit der Bitte, dringend eine Rechnung zu überweisen oder eine Lohnliste zu schicken. Dagegen hilft keine Technik, sondern eine Hausregel: Zahlungsanweisungen und Personaldaten werden bei telefonischer Rückfrage auf einer bekannten Nummer bestätigt, nie auf einer Nummer aus der Mail. Und schaffen Sie einen angstfreien Meldeweg. Wer geklickt hat, muss es sofort sagen können, ohne Ärger zu erwarten — in den ersten Minuten lässt sich ein Zugang sperren und Schaden begrenzen, nach zwei Tagen nicht mehr. Eine Belegschaft, die Fehler verschweigt, ist das größere Sicherheitsproblem als eine, die gelegentlich klickt.

Question 10

Ein Laptop oder Diensthandy ist verloren — was ist zu tun?

Accepted Answer

Sofort melden, Zugänge sperren, Vorgang dokumentieren — und dann beurteilen, ob eine Meldung an die Aufsichtsbehörde nötig ist. Die Reihenfolge ist wichtig: Je früher die Zugänge gesperrt und das Gerät aus der Ferne gelöscht wird, desto wahrscheinlicher bleibt der Vorfall ohne Folgen für die Betroffenen. Die ersten Stunden entscheiden, nicht die Formulierung des Berichts. Ob gemeldet werden muss, hängt vor allem an einer Frage: War das Gerät verschlüsselt? Ein verschlüsseltes, abgeschaltetes Gerät mit starkem Kennwort schützt die Daten so, dass in der Regel kein Risiko für die Rechte der Betroffenen bleibt — dann entfällt die Meldung nach Art. 33 Abs. 1 DSGVO. Ein unverschlüsseltes Gerät mit Kundendaten ist dagegen in fast allen Fällen meldepflichtig, und die 72-Stunden-Frist beginnt mit Ihrer Kenntnis. Dokumentiert werden muss der Vorfall in jedem Fall, auch wenn nicht gemeldet wird (Art. 33 Abs. 5 DSGVO). In das Protokoll gehören: wann und wo der Verlust bemerkt wurde, welche Daten auf dem Gerät waren, ob verschlüsselt, welche Maßnahmen wann ergriffen wurden, und die Begründung, warum gemeldet oder nicht gemeldet wurde. Diese Begründung ist der Teil, der in Prüfungen gelesen wird. Vorbeugend wirken drei Dinge, die alle vor dem Vorfall zu tun sind: Festplatten- und Gerätesverschlüsselung flächendeckend, Fernlöschung einrichten und einmal testen, und eine Liste, welche Geräte bei wem sind. Ohne diese Liste wissen Sie im Ernstfall nicht, welche Daten betroffen waren — und müssen vorsichtshalber vom schlimmsten Fall ausgehen.

Question 11

Dürfen Kollegen Zugriff auf alle Daten im Betrieb haben?

Accepted Answer

Nein. Jeder bekommt Zugriff auf die Daten, die er für seine Aufgabe braucht — nicht mehr. Das folgt aus der Vertraulichkeit nach Art. 5 Abs. 1 lit. f und aus Art. 32 Abs. 4 DSGVO und wird in der Praxis „need to know“ genannt. Ein Laufwerk, auf dem alle alles sehen, verstößt dagegen, selbst wenn niemand es missbraucht: Die Möglichkeit des unbefugten Zugriffs ist der Mangel. Am deutlichsten wird das bei Beschäftigtendaten. Lohnabrechnungen, Krankmeldungen, Abmahnungen, Bewerbungsunterlagen und Schwerbehindertenangaben dürfen nur die Personen sehen, die sie bearbeiten — in der Regel Personalabteilung und Geschäftsführung, nicht die Abteilungsleitung „zur Information“ und nicht die IT, weil sie technisch könnte. Für Beschäftigtendaten gilt zusätzlich § 26 BDSG. Praktisch heißt das, Rechte nach Rollen zu vergeben statt nach Personen, und sie zu überprüfen, wenn sich eine Rolle ändert. Der häufigste Fehler ist nicht die Vergabe, sondern das Nicht-Entziehen: Wer von der Buchhaltung in den Vertrieb wechselt, behält oft monatelang beide Zugänge. Ein Abgleich der Berechtigungen einmal im Jahr deckt das auf und ist in Prüfungen ein gutes Zeichen. Das gilt auch für Papier und Räume. Ein offener Aktenschrank im Durchgangszimmer ist derselbe Mangel wie ein offenes Laufwerk, und Personalakten in einem Raum, den Reinigungskräfte und Handwerker betreten, sind in jedem Prüfbogen ein Thema.

Datenschutz im Arbeitsalltag: die Fälle, die wirklich passieren