KLARTEXT - Sparkassenzeitung

MANAGEMENT 19
Dienstleisterverträge gehören unter die Lupe
Die einschlägigen Sicherheits- und Datenschutzgrundsätze
gelten auch, wenn eine
Sparkasse externe Dienstleister mit der Verarbeitung
personenbezogener Daten beauftragt
– im Fall der sogenannten Auftragsdatenverarbeitung.
Das Bundesdatenschutzgesetz
(BDSG) nennt etwa die Datenübermittlung zu
Scoringzwecken sowie die Lohn- und Gehaltsabrechnung
durch Dritte. Auch für externe
Auftragnehmer gelten Mitarbeiterdatenschutz
und eine Informationspflicht bei unrechtmäßiger
Kenntniserlangung. Wichtig: Datenschutz
ist laut Gesetz nicht delegierbar, der Auftraggeber
ist also für seine Einhaltung verantwortlich.
Anwendung findet das BDSG nur bei personenbezogenen
Daten.
Das BDSG fordert eine schriftliche Auftragserteilung.
Hierbei gelten zehn Mindestanforderungen
an den Inhalt des Vertragsabschlusses
(„10 Punkte des Datenschutzes“). So müssen
beispielsweise Gegenstand und Dauer des
Auftrags konkret vereinbart werden, ebenso
Umfang, Art und Zweck der vorgesehenen
Erhebung, Verarbeitung oder Nutzung von
Daten, wie bei Berichtigung, Löschung und
Sperrung von Daten vorzugehen ist oder
wie die Umsetzung der Kontrollpflichten des
Auftragnehmers erfolgen soll. Zudem wird der
Auftraggeber verpflichtet, sich vor Beginn der
Datenverarbeitung und sodann regelmäßig
von den getroffenen technischen und organisatorischen
Maßnahmen beim Dienstleister zu
überzeugen.
Altverträge bergen Gefahren
Die neuen Anforderungen des BDSG gelten
für alle Neuverträge seit dem 1. September
2009. Experten stehen allerdings auf dem
Standpunkt, dass auch Altverträge, die davor
geschlossen wurden, nach den genannten
Mindestanforderungen zu überprüfen sind
und dass diese zur Not anzupassen sind. Die
Rechtslage ist hier zwar nicht eindeutig, doch
steht außer Frage, dass bei Nichterfüllung
der Auftraggeber haftet und bei lückenhaften
Altverträgen gegebenenfalls keine Möglichkeit
des Rückgriffs auf den Dienstleister besteht.
Etwaige Verstöße gehen bei Nichteinhaltung
der Mindestanforderungen also zulasten der
auftraggebenden Sparkasse. Dazu kommen
Bußgelder gegen den Auftraggeber bei
falschen, unvollständigen oder nicht abgeschlossenen
Verträgen von bis zu 50.000 Euro
je Vertrag, das Gleiche gilt bei Verstößen gegen
die Kontrollpflichten.
Es ist also wichtig, Maßnahmen zur Risikominimierung
zu treffen und bei allen laufenden
und kommenden Verträgen zu überprüfen,
ob die fachlichen und datenschutzrechtlichen
Anforderungen erfüllt werden. Ist dies nicht der
Fall, sind Nachbesserungen fällig, denn Datenschutzpannen
und die daraus resultierenden
Imagerisiken kann sich kein Unternehmen
leisten. Fehlende Datenschutzregeln können
dabei sogar fachliche Punkte beeinflussen
und aufwändigere und damit teurere Abläufe
erfordern.
Brisanz und Folgen möglicher Datenschutzverstöße
deutlich vor Augen zu
führen. Sensibilisierung – neudeutsch
Awareness – sehen die meisten Experten
daher als vordringliche Aufgabe.
Die Sparkasse Witten beispielsweise hat
sich nach Angaben des dortigen Datenschutzbeauftragten
Andreas Kirsch für
ein abgestuftes Schulungsmodell entschieden.
„Wir haben die Mitarbeiter in
vier Zielgruppen eingeteilt und
„Alle Dienstleister
müssen
die Standards
zu
jeder Zeit
nachprüfbar
einhalten.“
Keye Moser, Leiter
Sicherheitstechnologie
beim SIZ
für diese jeweils maßgeschneiderte
Schulungskonzepte entwickelt.“
Vorstände und Abteilungsleiter
sensibilisiert Kirsch aus
Zeitgründen im Rahmen ohnehin
stattfindender Termine. In
zwei weitere Zielgruppen hat
Kirsch mittlere Führungskräfte
und die Mitarbeiter eingeteilt.
Diese werden jeweils in eigenen
Veranstaltungen geschult.
„Ganz wichtig in unserem Konzept:
Neue Kollegen und Auszubildende
bilden eine eigene,
vierte Zielgruppe, die wir mit
separaten Schulungen sensibilisieren.“
So wollen die Wittener jeden
der etwa 450 Mitarbeiter schulen. „Uns
war es wichtig, wirklich alle Mitarbeiter
zu erreichen.“
Diese Verpflichtung sieht auch Manfred
Hartl, der den Unternehmensbereich
Compliance bei der Stadtsparkasse München
leitet und zudem als Datenschutzbeauftragter
fungiert. „Neben Fachhandbüchern
und aktuellen Informationen
setzen wir ein webbasiertes Weiterbildungsprogramm
ein, das alle Mitarbeiter
einmal jährlich absolvieren müssen. So
erreichen wir, dass auch jene Mitarbeiter,
die nicht tagtäglich mit Kundendaten
arbeiten, die Datenschutzgrundsätze
kennen und beachten.“ Hartl lässt seinen
Kollegen gegenüber zudem keinen
Zweifel, dass die Münchener Verstöße
nicht dulden. „Wir nehmen Hinweise
oder Beschwerden über eine mögliche
Verletzung des Bankgeheimnisses sehr
ernst. Sollten sich die Vorwürfe als berechtigt
erweisen, müsste der Mitarbeiter
mit arbeitsrechtlichen Konsequenzen
rechnen.“ In Witten
weist Kirsch zudem immer wieder
darauf hin, dass der Datenschutz
der eigenen Sicherheit
der Mitarbeiter dient. „So können
wir die Kollegen mit ins
Boot holen.“
Dabei gilt es darüber hinaus,
für die unterschiedlichsten Fälle
gerüstet zu sein. SIZ-Experte
Moser führt die Notfallplanung
an: „Auch im Brandfall müssen
wir die Datensicherheit gewährleisten.
Wenn die Mitarbeiter
das Gebäude verlassen, dürfen
Unbefugte keine sensiblen Daten
vorfinden.“ Maßgeschneiderte
Regelungen fordert Moser auch im
Fall von Auslagerungen. „Alle Dienstleister
müssen die nötigen Standards zu jeder
Zeit nachprüfbar einhalten.“
Alle Kollegen müssen mit ins Boot
Die Umsetzung ist Angelegenheit jedes
einzelnen Instituts, Dienstleister wie
SIZ oder Finanz Informatik können hier
nur unterstützen. Der Münchner Datenschutzbeauftragte
Hartl unterzieht seine
Abläufe daher regelmäßigen Überprüfungen:
„Zusätzlich hat uns das SIZ zertifiziert,
dass unser IT-Sicherheitsprozess
funktioniert.“ Doch klar ist, dass die besten
Vorkehrungen mit dem Engagement
der Mitarbeiter leben und sterben.
Moser mahnt daher das nötige Bewusstsein
an: „Sensibilität braucht es auf allen
Ebenen, angefangen mit dem Vorstand
bis zum unteren Ende der Hierarchie.
Sicherheit ist ganz eindeutig Teamaufgabe.“
n
Lesen Sie zum Thema auch die nachfolgenden
Seiten.
Ihr Gutschein
frei Haus!
„Betriebswirtschaftliche Blätter“ – das
Fachmagazin für Unternehmensführung und
Betriebsorganisation.
Ausfüllen – faxen – kostenlos Probelesen.
Name, Vorname
Straße/Nr.
PLZ/Ort
Tel./E-Mail
Telefax: 0711 782-2209
Anzeige
S P A R K A S S E F E B R U A R 2 0 1 1
Griffecke_61x100_BBL.indd 1 08.08.2006 11:43:45