17. Datenschutz- und Informationsfreiheitsbericht

Technik
unterschiedlichen Ergebnissen. Überwiegend gab es keine verbindlichen
Anweisungen und keine Kontrollen.
So war beispielsweise die Verpflichtung zur Bestellung einer oder eines
betrieblichen Datenschutzbeauftragten in einem Unternehmen mit etwa 100
Beschäftigten gänzlich unbekannt. Andere Unternehmen hatten zwar
Datensicherheitsmaßnahmen getroffen, die allerdings wegen des Fehlens
einer ganzheitlichen Betrachtung Lücken aufwiesen. Insgesamt konnte
folgendes Resümee gezogen werden:
• Auffallend unzureichend waren Datensicherheitsmaßnahmen insbesondere
dann, wenn sie stark in den täglichen Arbeitsablauf hinein gereicht
hätten und hierdurch vermeintlich ein Spannungsfeld zwischen Funktionalität
und Sicherheit entstanden wäre.
• Zu trennende Betriebsbereiche waren selten mittels Einsatz technischer
Hilfsmittel wie Zugangskontrollsystemen oder organisatorischer
Regelungen wie dokumentierter Schlüsselverwaltung geschützt.
• Nur selten war ein Datenschutz- oder ein Sicherheitskonzept vorhanden.
• Entgegen der im öffentlichen Bereich durchgängigen Praxis, technische
und organisatorische Maßnahmen schriftlich zu fixieren, wurde dies in
den Unternehmen vernachlässigt.
• Fast vorbildlich eingehalten und auch durch interne und externe
Institutionen kontrolliert waren diejenigen Datensicherheitsmaßnahmen
(insbesondere die der Eingabekontrolle), die eine Schnittmenge mit den
gesetzlich vorgegebenen buchhalterischen, finanzrechtlichen und
geschäftsinternen Anforderungen an DV-gestützte Systeme bilden.
Die Ergebnisse der Kontrollbesuche zeigen, dass dem Thema Datenschutz
und Datensicherheit in einer Reihe von mittelständischen Unternehmen ein
zu geringer Stellenwert eingeräumt wird. Eine diesbezügliche Veränderung
kann oft schon durch vermehrte Information bewirkt werden. Positiv können
ebenfalls die Zusagen der aufgesuchten Unternehmen gewertet werden, den
ausgesprochenen Empfehlungen zur Verbesserung der Datensicherheit
uneingeschränkt folgen zu wollen. Auch die Sensibilisierung der
Geschäftsleitungen zur Erstellung von Datensicherheitskonzepten konnte
häufig erreicht werden.
Die Qualität der Datensicherheit steht und fällt mit den verbindlich
vorgegebenen organisatorischen und technischen Maßnahmen. Das
22
LDI NRW 17. Datenschutzbericht 2005