Software-Einführung im Betrieb: Datenschutz-Fallstricke für Betriebsräte erkennen und vermeiden
Ob Projektmanagement-Tools, Kommunikationsplattformen oder aktuell vor allem Anwendungen mit Künstlicher Intelligenz – in vielen Unternehmen wird laufend neue Software eingeführt. Für Betriebsräte bedeutet das, sich immer wieder mit Fragen des Datenschutzes und der DSGVO-Konformität auseinanderzusetzen. Dabei zeigt sich: Die rechtlichen und praktischen Herausforderungen ähneln sich, doch dieselben Fehler treten oft erneut auf.
Typische Fallstricke entstehen weniger durch die Technik selbst, sondern durch verbreitete Missverständnisse und menschliche Faktoren. Häufig geht es um falsche Annahmen rund um „EU-Hosting“ und den Firmensitz der Anbieter, unterschätzte Risiken im Verhalten von Kolleginnen und Kollegen sowie die Gefahr von Social Engineering. Warum diese Punkte so entscheidend sind und wie Betriebsräte sie erkennen können, beleuchten wir im weiteren Verlauf.
Datensicherheit: Rechtliche Vorgaben und Praxis
Bei der Einführung neuer Software – insbesondere KI-Tools – lohnt es sich, zwischen rechtlichen Vorgaben und tatsächlicher Sicherheit in der Praxis zu unterscheiden. Das Fundament der rechtlichen Vorgaben bildet die Datenschutz-Grundverordnung (DSGVO), ergänzt durch nationale Datenschutzgesetze und EU-weite Abkommen. Besonders sensibel sind Datenübermittlungen in Länder außerhalb der EU, sogenannte Drittstaaten. Hier gelten strenge Vorgaben, unter welchen Bedingungen ein Transfer erlaubt ist. Zusätzlich müssen Unternehmen für jede Software, die personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abschließen. Darin werden Rechte, Pflichten und Verantwortlichkeiten verbindlich festgelegt. Über die formalen Vorgaben hinaus entscheidet die Umsetzung im Alltag, wie sicher Daten wirklich sind. Orientierung bieten Zertifizierungen wie ISO/IEC 27001 sowie technische Mindestmaßnahmen wie Zwei-Faktor-Authentifizierung, Verschlüsselung und Zugriffskontrollen. Wichtig ist auch das Prinzip der Datenminimierung: Je weniger personenbezogene Informationen erhoben und gespeichert werden, desto geringer das Risiko. Ein weiterer zentraler Punkt ist das Vertrauen in den Anbieter. Ausschlaggebend sind nicht nur technische Versprechen, sondern auch, wie transparent ein Unternehmen mit Sicherheitsvorfällen umgeht und wie schnell es auf Probleme reagiert.
Dabei tauchen immer wieder typische Fallstricke auf:
1. EU-Hosting ≠ EU-Anbieter
Viele Unternehmen glauben: ‚EU-Server = rechtssicher‘. Das stimmt nicht. Daten, die auf Servern in der EU gespeichert werden sind nicht automatisch vollständig DSGVO-konform und rechtlich sicher. Entscheidend ist jedoch nicht nur der physische Standort, sondern auch der Sitz und die Rechtsform des Anbieters. Viele US-Firmen betreiben Rechenzentren in Europa, unterliegen aber weiterhin dem US CLOUD Act, der US-Behörden Zugriff auf Daten ermöglicht – unabhängig vom Serverstandort. Betriebsräte sollten daher genau prüfen, welche Anbieterstrukturen vorliegen und ob entsprechende vertragliche Zusicherungen getroffen wurden, um Risiken zu minimieren. Anbieter von Softwaresystemen nehmen die Differenzierung von Hosting und Firmensitz von in Anspruch genommenen Dienstleistern nicht immer vor.
2. Verhaltensbasierte Risiken durch Mitarbeitende
Ein Großteil der Datenschutzrisiken entsteht nicht durch die Software selbst, sondern durch menschliches Verhalten. Beispiele sind die Nutzung privater Accounts für KI-Tools, unsachgemäße Weitergabe sensibler Daten oder fehlende Sensibilität im Umgang mit personenbezogenen Informationen. Betriebsräte sollten daher darauf achten, dass Schulungen und klare Regeln etabliert werden, damit alle Beschäftigten wissen, wie sie die Tools sicher nutzen. Wählen Sie Anbieter, bei denen datenschutzfreundliche Voreinstellungen menschliche Fehler so weit wie möglich abfangen.
3. Social Engineering
Der größte Einfallstor für Datenschutzverletzungen ist meist kein technisches, sondern ein sozialer Angriff („Social Engineering“). Daher ist die Firmengröße und ihre Sicherheitskultur ein relevanter Faktor: Kleinere Unternehmen haben oft eine überschaubarere Struktur, wodurch die Überwachung und Schulung von Mitarbeitern effizienter und risikoärmer ist.
Handlungsempfehlungen für Betriebsräte
1. EU-Hosting ≠ EU-Anbieter
- Prüfen Sie nicht nur den Serverstandort, sondern auch den Sitz und die Rechtsform des Anbieters.
- Bestehen Sie auf vertraglichen Zusicherungen, dass keine Datenzugriffe durch Drittstaaten erfolgen oder nur unter klar definierten Bedingungen erlaubt sind.
- Bevorzugen Sie Anbieter mit Sitz und Unternehmensstruktur innerhalb der EU, um das Risiko durch Gesetze wie den US CLOUD Act zu minimieren.
2. Verhaltensbasierte Risiken durch Mitarbeitende
- Führen Sie verpflichtende Schulungen zum Umgang mit personenbezogenen Daten und KI-Tools ein.
- Legen Sie klare Regeln für die Nutzung von Software fest – z. B. keine privaten Accounts für geschäftliche Zwecke.
- Implementieren Sie interne Kontrollmechanismen, um die Einhaltung der Richtlinien zu überwachen.
3. Social Engineering
- Prüfen Sie, ob der Anbieter in der Vergangenheit Sicherheitsvorfälle oder Social-Engineering-Angriffe hatte und wie transparent er damit umgegangen ist.
- Informieren Sie sich über die Sicherheitskultur und die internen Schutzmaßnahmen des Anbieters (z. B. Mitarbeitertraining, technische Sicherheitsstandards).
- Beziehen Sie diese Informationen in Ihre Risikoabwägung ein: Kleine, seriöse Anbieter mit nachweislich soliden Sicherheitspraktiken können weniger anfällig sein.
Seminartipp
Weiteres hilfreiches und erforderliches Wissen, erlernen Sie in unseren Seminaren!
