JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Ziel aller Unternehmen ist es die Produktivität, die Wettbewerbsfähigkeit und damit den Fortbestand des Unternehmens zu sichern. Damit die Geschäftstätigkeit auch im Angesicht von Notfällen und Krisen bestmöglich aufrecht erhalten bleibt, ist die Einführung eines Business Continuity Management Systems – kurz BCM sinnvoll.

In unserem Podcast zum Thema BCM befassen wir uns in 2 Folgen damit, wie ein BCM aufgebaut werden sollte, was es alles zu beachten gilt und geben auch kleine Tipps und Denkanstöße, um bestmöglich auf Störungen vorbereitet zu sein.

In der Folge 1 „die ersten Schritte“ geben wir einen groben Überblick über alles was beim BCM bedacht werden muss.

Dabei gehen wir auf folgende Aspekte ein:

  • Was bedeutet BCM und welche Vorgaben gibt es?
  • Wie fängt man an ein BCM aufzubauen?
  • Die Business Impact Analyse als Teil des BCM
  • Dokumentieren aller Informationen – in welcher Form?
  • Regelmäßiges Überprüfen und Verbessern ist Pflicht

In der Folge 2 „jetzt aber richtig“ steigen wir tiefer in das Thema BCM ein – wo liegen Stolperfallen, wie sinnvoll sind Übungen und welche Aufgaben und Verantwortlichkeiten hat das BCM Team.

Hier beleuchten wir folgende Aspekte:

  • Wie definiert man Störungen, die für das Unternehmen zutreffen können?
  • Was muss bei Dienstleistern und Lieferanten beachtet werden?
  • Üben und Verbessern – wie geht man am sinnvollsten vor?
  • Wie entwickelt sich das BCM weiter?
  • Ein BCM unterstützt bei allen Prozessen, nicht nur im Fall der Fälle

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Wenn man sein tägliches Umfeld betrachtet, kommt man leicht zu dem Schluss, dass der Start in das Informationszeitalter längst geschehen ist. Sowohl personenbezogene Daten als auch sonstige Informationen nehmen einen bedeutenden Teil der Wertschöpfung ein. Damit sind sie für das erfolgreiche Agieren von Unternehmen notwendig und damit auch wertvoll. Alltägliche Dinge wie das elektronische Bezahlen an der Supermarktkasse oder die Fahrt mit der Bahn benötigen funktionierende und sichere Systeme zur Informationsverarbeitung.

Natürlich denkt man zuerst an technische Maßnahmen, wenn es um den sicheren Betrieb von technischen Systemen geht, sei es am eigenen Computer oder auf dem Leitstand des Kraftwerkes. Doch auch der Mensch, der Benutzer von Systemen, muss als „Sicherheitslücke“ gesehen werden. Und genau an dieser Stelle setzen Awareness -Konzepte an. Ziel dieser Konzepte ist es, die Einstellungen, das Wissen und das Handeln von Menschen so zu ändern, dass die „Sicherheitslücke Mensch“ geschlossen wird.

Awareness als Konzept

Das kann natürlich nicht mit einer einzelnen Schulung oder Unterweisung erreicht werden. Ein Awareness -Konzept beschreibt vielmehr ein systematisches, langfristig orientiertes Herangehen an die Erhöhung des Sicherheitsbewusstseins. Damit verbunden sind mehrere, aufeinander abgestimmte, an Situation, Thema und den Adressatenkreis angepasste Maßnahmen. Es ist sicher nachvollziehbar, dass das wiederholte Zeigen von ein und derselben Präsentation eher Ablehnung hervorruft. Es geht bei guten Awareness -Konzepten also darum, für die Teilnehmer auch Abwechslung zu schaffen, Wiederholungen anders zu verpacken, oder auch die Form der Darbietung zu ändern. Natürlich müssen die Inhalte von solchen Maßnahmen auch aktualisiert und an die Empfänger angepasst werden.

Eine Möglichkeit, Abwechslung zu schaffen, Wissen zu vermitteln und zusätzlich auch den Lerneffekt zu prüfen, sind eLearnings: den Mitarbeitern werden neue Inhalte in kleinen Videosequenzen dargestellt und erklärt, danach erhält man bei Bestehen eines Abschlusstests eine Urkunde. Nebeneffekt bei dieser Art von Awareness -Maßnahme: die zeitliche Unabhängigkeit der Durchführung. Es ist nicht notwendig, für alle Teilnehmer einer Veranstaltung einen gemeinsamen Termin zu finden, und bei Bedarf kann man sich die Inhalte teilweise oder auch komplett noch einmal anschauen. Zusätzlich werden Aufwand und Kosten für die Referenten gespart.

Abwechslung bereichert das Awareness -Konzept und erhöht die Bereitschaft, die dargebotenen Inhalte auch für sich selber anzunehmen – sprich: das Sicherheitsbewusstsein wurde ein bisschen verbessert! Also, auf zur nächsten Maßnahme …
Ein kleiner Eindruck, wie so ein eLearning aussehen *könnte*, findet sich auf unserer Webseite.

Was Sie auch interessieren könnte:

Seminar:

„Security Awareness – Führungsaufgabe und Konzept“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Auditoren achten sehr darauf, dass die Mitarbeiter ausreichend geschult und informiert werden, wenn Sie ein Managementsystem auditieren. Denn erst wenn jeder Mitarbeiter weiß, wie er wann zu reagieren hat und wie er Gefahren erkennt, kann er auch korrekt handeln.

Das eLearning bietet hier eine zeitlich flexible, ortsungebundene und meist auch günstige Lösung die Mitarbeiter zu erreichen. Dabei wird auf das individuelle Lernverhalten und die jeweilige Arbeitssituation des Mitarbeiters eingegangen, um einen optimalen Lernerfolg zu erzielen.

In dieser Podcast-Folge zum Thema „eLearning“ möchten wir Ihnen die Vor- und Nachteile, die ein solches eLearning hat, aufzeigen und Ihnen ein paar Hinweise an die Hand geben, worauf Sie beim Einsatz achten sollten.

In unserer Folge “eLearning“ gehen wir auf folgende Aspekte ein:

  • Was fällt alles unter den Begriff eLearning
  • Welche Vorteile bietet es sowohl für das Unternehmen als auch den Mitarbeiter
  • Wie können etwaige Nachteile abgeschwächt werden
  • Welche rechtlichen Aspekte gibt es zu beachten

Alle unsere Podcastfolgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Auf unserer Webseite unter https://anmatho.de/seminare/elearning/ finden Sie die wichtigsten Informationen zu unserem eLearning-Portal. Informieren Sie sich jetzt und kontaktieren Sie uns unter Tel.: 040 229 47 19 0 oder per E-Mail unter seminare@anmatho.de.

JETZT GIBT’S WAS AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Der Faktor „Mensch“ spielt eine wesentliche Rolle in der Informationssicherheit sowie im Datenschutz. Daher ist es enorm wichtig, allen Mitarbeitern die Risiken greifbar zu machen, das notwendige Wissen zu vermitteln und Akzeptanz und Verständnis für die Sicherheitsrichtlinien und Maßnahmen zu fördern. Dabei sollte die Individualität jedes Mitarbeiters und Aufgabengebietes berücksichtigt werden.

In unserem Podcast zum Thema „Das Konzept „Security Awareness“ möchten wir Ihnen in 2 Folgen Denkanstöße und Tipps zu diesem Thema geben.

In der Folge 1 „Aller Anfang ist nicht schwer“ befassen wir uns mit dem Start des Projektes „Security Awareness“:

  • welchen Stellenwert Security Awareness hat und haben sollte,
  • warum der konzeptionelle Gedanke ratsam ist,
  • was man bei einer Risikoanalyse beachten sollte,
  • wie wichtig konkrete Awareness-Ziele sind,
  • warum „one fits all“ bei Security Awareness nicht greift.

In der Folge 2 „Ein Ziel – viele Wege“ befassen wir uns mit der Wichtigkeit von zielgruppengerechten Awareness-Maßnahmen:

  • warum das Arbeitsumfeld für die Auswahl von Maßnahmen relevant ist,
  • welche Gefahr technische und organisatorische Hürden darstellen,
  • wie Verhaltensänderungen nachhaltig bewirkt werden können,
  • warum ein strukturierter Einsatz von verschiedenen Tools notwendig ist,
  • welche Tools es gibt und
  • wie man die Wirksamkeit seiner Kampagne überprüfen kann.

Alle unsere Podcast-Folgen finden Sie auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Unverbesserliche Optimisten sehen in allen Situationen immer auch die positiven Aspekte. So ermöglichen die Erfahrungen mit den aus der Not heraus getroffenen Maßnahmen zu Beginn der Corona-Pandemie – die Pflicht zum Home-Office und das Homeschooling – einen schärferen Blick darauf, wie Prozesse und Abläufe in Unternehmen und der Verwaltung sich verändern müssen, um vom technologischen Fortschritt in einem größeren Umfang als bisher zu profitieren. Das Arbeiten im Home-Office erweist sich dabei als ein „Türöffner“.

Hierzu gehört mit Sicherheit auch eine geänderte Art der Kommunikation. Viele Menschen haben Erfahrungen mit Videokonferenzen gesammelt, die notwendige Ausstattung (Headset, Webcam) ist mittlerweile weit verbreitet und wird wie selbstverständlich genutzt. Und falls es noch nicht geschehen sein sollte, wäre es spätestens jetzt an der Zeit, von Unternehmensseite das weitere Vorgehen festzulegen, z.B. durch das Bestimmen der künftig zu nutzenden Plattformen und Anbieter. Aus organisatorischer Sicht gehören das Abschneiden alter Zöpfe und die Berücksichtigung der technologischen Möglichkeiten bei der Einführung neuer Prozesse dazu, genauso wie die Einbindung der Mitarbeiter. Nur so ist es möglich, neben der Verbesserung der Informationssicherheit auch Nutzen aus den geänderten Arbeitsweisen zu ziehen.

So ist z.B. in den Produkten vieler Festnetzanbieter auch die Möglichkeit zur softwarebasierten IP-Telefonie enthalten. Dadurch ist es möglich, Anrufe mit der dienstlichen Festnetznummer nicht nur aus dem Büro heraus zu tätigen, sondern auch vom Rechner im Homeoffice aus.  Benötigt wird lediglich das Headset, die Software für IP-Telefonie auf dem eigenen Rechner sowie ein Internetzugang – und die Vermischung von dienstlichen und privaten Telefonaten auf dem privaten Telefonanschluss ist Vergangenheit. Nicht zuletzt aus der Sicht von Datenschutz und Informationssicherheit eine deutliche Verbesserung, auch die Privatsphäre der Mitarbeiter wird so geschützt.

Zu den Veränderungen gehört auch das Erlernen von neuen Verhaltensweisen und Regeln. Nicht alles, was technisch möglich ist, ist auch immer erlaubt. So bieten Videokonferenzlösungen die Möglichkeit, Gespräche aufzuzeichnen – was allerdings rechtlich durchaus bedenklich ist. Ob und unter welchen Umständen derartige Aufzeichnungen zulässig sind, muss nicht nur vorher zuverlässig geklärt, sondern auch den Mitarbeitern vermittelt werden. Denn nur mit einer sicheren und rechtlich einwandfreien Nutzung werden sich die neuen Arbeitsweisen dauerhaft etablieren.

Für einen erfolgreichen Einstieg in die Gestaltung des Arbeitens im Home-Office haben wir unser eintägiges, praxisorientiertes Seminar entwickelt, in dem die Fragestellungen aus diesem und den vorherigen Artikeln  vertieft werden und das dabei unterstützen soll, das Arbeiten im Home-Office sinnvoll, sicher und datenschutzkonform zu organisieren.

Was Sie auch interessieren könnte:

Seminar:

Datenschutz und Informationssicherheit im Home Office und beim mobilen Arbeiten

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Sie kennen sicher den Radiospruch „Geht ins Ohr… bleibt im Kopf“. Podcast s haben längst bewiesen, dass dies nicht nur für Radiowerbung gilt.

In der Informationssicherheit gibt es viele Themen, bei denen man mal genau hinhören sollte. Mit unserem Podcast möchten wir Ihnen in kurzen Episoden, regelmäßig relevante Themen der Informationssicherheit und des Datenschutzes vorstellen und zudem Impulse setzen.

Hören Sie rein, wann immer es Ihnen passt – unabhängig von Zeit und Ort. Unseren Podcast finden Sie auf Apple Podcast, Spotify und Google Podcast sowie natürlich auf unserer Website.

Wir starten unseren Podcast mit dem Thema Security im Home-Office. Das Home-Office gehört seit der Corona Pandemie in den Unternehmen, in denen dies grundsätzlich möglich ist, zum festen Bestandteil der Arbeitswelt. Doch was als Provisorium begann, sollte nun gut durchdacht fortgeführt werden. Insbesondere mit Blick auf die Informationssicherheit und den Datenschutz.

In unserem Podcast zum Thema „Security im Home-Office“ möchten wir Ihnen in 3 Folgen Denkanstöße und Tipps zum sicheren Arbeiten außerhalb des Büros geben. In der Folge 1 „Hinter der Firewall geht’s weiter“ befassen wir uns mit organisatorischen Aspekten er Informationssicherheit im Home-Office.

Hören Sie rein!

Die gute Performance im Bereich Informationssicherheit und Datenschutz wird immer mehr zu einem Wettbewerbsvorteil. Und ganz unabhängig davon, haben Unternehmen ja auch ein Eigeninteresse daran, zu schützen was Ihnen wichtig ist und die Steuerbarkeit ihrer Geschäftsprozesse zu sichern.

Im Bereich der Informationssicherheit ist die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001 ein international anerkannter Weg mit bewährten Steuerungsinstrumenten, wie z.B. ein an das Unternehmen angepasstes Kennzahlensystem, Audits und Managementbewertungen, die Informationssicherheit nachweislich auf ein hohes Niveau zu heben. Aber wie sieht es dazu im Vergleich beim Datenschutz aus?

In der Regel ist ein betrieblicher Datenschutzbeauftragter bestellt, der die Geschäftsführung – meist einmal im Jahr – über den Stand des Datenschutzniveaus im Unternehmen informiert. Insbesondere in Anbetracht der persönlichen Haftungsrisiken der Unternehmensleitung besteht hier häufig der Wunsch nach mehr Steuerbarkeit. Warum also nicht die bewährten Managementwerkzeuge aus der Informationssicherheit auf den Datenschutz übertragen?

Die ISO 27701 bietet eine Möglichkeit das Datenschutzmanagement in ein bestehendes Informationssicherheitsmanagement nach ISO 27001 zu integrieren. Der große Vorteil dabei ist, dass alle Bestandteile eines Managementsystems mit der ISO 27001 bereits vorhanden sind, und die Ausweitung auf den Datenschutz somit mit verhältnismäßig geringem Aufwand verbunden ist.

Derzeit befindet sich die ISO 27701 bei verschiedenen Zertifizierern in der Akkreditierung und es ist geplant in diesem Jahr eine Aufnahme in das Zertifikat nach ISO 27001 zu ermöglichen. Damit wäre auch für den Datenschutz ein unabhängiger sowie anerkannter Nachweis über die Umsetzung eines gesetzeskonformen Datenschutzes möglich.

Ein weiterer Benefit: Die Zusammenarbeit zwischen dem Informationssicherheitsbeauftragte (ISB) und dem Datenschutzbeauftragten (DSB) wird weiter gestärkt, Synergien werden entwickelt und es entstehen Lösungen für beide Themengebiete aus einem Guss.

Es lohnt sich, sich näher mit diesem Thema zu befassen, unabhängig davon, ob im Bereich der Informationssicherheit bereits eine Zertifizierung nach ISO 27001 besteht oder nicht.

Was Sie auch interessieren könnte:

Seminar:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “Google Podcast” sowie natürlich auf unserer Website.

Hören Sie rein!

Am 18./19. November haben Bundestag und Bundesrat eine Anpassung des Infektionsschutzgesetzes (IFSG)beschlossen. Die Gesetzesänderungen werden mit der Veröffentlichung im Bundesgesetzblatt voraussichtlich schon ab 24.11.2021 gültig.

Neben vielen Verschärfungen der Corona-Regeln für Veranstaltungen, Restaurantbesuche u.a. enthält das IFSG nun auch eine explizite Vorschrift für die Arbeitgeber, nur noch Beschäftigte nach der 3G-Regel (Geimpft, Genesen, Getestet) auf das Betriebsgelände bzw. in die Büroräume zu lassen.
Beschäftigten, die die 3G-Bedingen nicht erfüllen oder nicht bereit sind, die entsprechenden Nachweise vorzulegen, ist der Zutritt zu Betriebsräumen zu verwehren. Bei Verstößen gegen diese Regelungen drohen dem Arbeitgeber erhebliche Bußgelder.

Das bedeutet, dass der Arbeitgeber bei den Beschäftigten den Impfstatus sorgfältig und verbindlich prüfen und dokumentieren muss. Das IFSG enthält die notwendige Rechtsgrundlage hierfür. Damit sind Prüfung und Dokumentation des Impfstatus auch unter Datenschutzaspekten erlaubt.
Zweck der Dokumentation ist der Nachweis des Impfstatus gegenüber den Aufsichtsbehörden. z.B. dem Gesundheitsamt. Hierfür dürfte bei ‚Geimpften‘ und ‚Genesenen‘ eine einmalige Prüfung und ein Eintrag in einer entsprechenden Prüfungsliste mit Status und Gültigkeitsdauer ausreichen. Bei ‚Getesteten‘ ist in jedem Fall eine regelmäßige (tägliche) Wiederholung der Prüfung notwendig.

Wie die einmalige Prüfung organisiert werden kann und inwieweit diese Prüfung im normalen Betriebsablauf hilfreich ist, bleibt fraglich. Wie will man in großen Unternehmen mit zahlreichen Beschäftigten die Geimpften und Genesenen von den ‚nur‘ Getesteten unterscheiden und die gegebenenfalls notwendigen regelmäßigen Tests sicherstellen?
Eine Prüfung durch die jeweiligen Vorgesetzen oder durch den Personalbereich sind sicherlich nicht immer einfach zu organisieren und zu kontrollieren. Im Zweifelsfall bleibt also doch nur die tägliche Prüfung der Impfbescheinigungen beim Betreten des Betriebsgeländes und / oder gleich die Durchführung der gegebenenfalls notwendigen Schnelltests durch das eigene Sicherheitspersonal.

Ein Aushang des Impfstatus aller Beschäftigten am Schwarzen Brett im Eingangsbereich ist jedenfalls nicht zulässig, ebenso wie die Kennzeichnung der ‚Geimpften‘ / ‚Genesenen‘ mit farbigen Armbändern oder ähnliches.
Soweit im Betrieb ein Betriebsrat vorhanden ist, empfiehl es sich natürlich, mit dem Betriebsrat gemeinsam die Verfahrensweisen zu verabreden und gegebenenfalls eine Betriebsvereinbarung abzuschließen.

Die Impfdaten der Beschäftigten unterliegen als Gesundheitsdaten gemäß Art. 9 DSGVO selbstverständlich den strengen Schutzvorschriften der DSGVO. Der Kreis der zugriffsberechtigen Personen ist daher unbedingt auf das notwendige Mindestmaß zu beschränken.
Für die Speicherdauer der Dokumentationseinträge zum Impfstatus können heute noch keine verbindlichen Festlegungen getroffen werden. In jedem Fall ist zu empfehlen, die entsprechenden Einträge umgehend nach Ablauf der Gültigkeitsfrist zu löschen.

Auch für diese neuen Regelungen zur Corona-Bekämpfung bleiben also Fragen hinsichtlich der praxisbezogenen Umsetzung offen. Wir werden weiterhin über die Entwicklung berichten.

Ab dem 01. November 2021 entfällt die Entschädigungsleistung nach dem Infektionsschutzgesetz bei behördlich angeordneten Corona-Maßnahmen, wenn die rechtzeitige Inanspruchnahme von spezifischen Prophylaxe-Maßnahmen, wie einer Impfung, dies hätte verhindern können. Damit haben Unternehmen die Möglichkeit in einer solchen Situation den Impfstatus abzufragen.

Bisher konnten Arbeitgeber nach dem Infektionsschutzgesetz (IFSG § 56 Abs. 1) eine staatliche Entschädigungsleistung in Höhe der Lohnfortzahlung von den Gesundheitsämtern bekommen, wenn Mitarbeiter durch behördlich angeordnete Corona-Maßnahmen, wie eine Quarantäne, nicht am Arbeitsplatz erscheinen durften / konnten und gewissermaßen ‚krankgeschrieben‘ wurden. Der Arbeitgeber hat die Lohnfortzahlungsleistung gegenüber dem Mitarbeiter vorgestreckt und sich das Geld nach Vorlage der entsprechenden ‚Krankschreibung‘ vom Gesundheitsamt wiedergeholt.

In einer Konferenz am 22. September 2021 haben die Gesundheitsminister der Länder nun den Beschluss gefasst, dass ab 1. November 2021 diese Entschädigungsleistungen nach dem Infektionsschutzgesetz nicht mehr gezahlt werden, wenn die Betroffenen den quarantänebedingten Arbeitsausfall durch die rechtzeitige Inanspruchnahme einer Impfung oder anderer Maßnahmen zur spezifischen Prophylaxe hätten verhindern können. (https://www.vbw-bayern.de/Redaktion/Frei-zugaengliche-Medien/Abteilungen-GS/Recht/2021/Downloads/TOP-3-GMK-Beschluss-%C2%A756-IfSG-Beschlussentwurf-Endfassung.pdf)

Bisher sind noch nicht alle Verfahrensfragen von den zuständigen Stellen entschieden. Im Grunde läuft es aber darauf hinaus, dass die betroffenen Mitarbeiter nur dann eine staatlich unterstützte Lohnfortzahlung erhalten, wenn ein Impfnachweis vorgelegt wird oder wenn medizinische Gründe die Impfung ausgeschlossen haben. Die/ der Beschäftigte muss also schon dem Arbeitgeber gegenüber nachweisen, dass sie/er geimpft ist oder das andere Gründe vorlagen, die eine Impfung verhindert haben.

Diese Situation führt nun dazu, dass der Arbeitgeber ein Interesse daran hat, über den Impfstatus seiner Beschäftigten informiert zu werden und entsprechende Einträge in der Personalakte vorzunehmen. Eine generelle Berechtigung zur Abfrage des Impfstatus ist im Infektionsschutzgesetz aber nicht vorgesehen. Nur für spezielle Berufsgruppen, wie Pflegekräfte oder Lehrer/innen gelten besondere Regelungen.

Rechtsgrundlage für die Abfrage des Impfstatus ist daher das überwiegende Interesse des Arbeitgebers nach Art. 88 Abs. 1 DS-GVO bzw. §26 Abs. 3 BDSG.
Doch so einfach wird das in den Diskussionsrunden und Kommentierungen nicht gesehen, denn immerhin handelt es sich bei den Impfdaten um eine ‚Verarbeitung besonderer Kategorien personenbezogener Daten‘ (Art.9 DS-GVO). Hier ist eine sorgfältige Abwägung der Interessen aller Beteiligten vorzunehmen.

Falls ein Mitarbeiter / Mitarbeiterin die Lohnfortzahlung mit Hinweis auf eine behördlich angeordnete Corona-Maßnahme konkret beansprucht, wird aus Datenschutzaspekten nichts dagegensprechen, seitens des Arbeitsgebers nach dem Impfstatus zu fragen und diesen auch zu dokumentieren. Der Impfstatus muss dann ja im Weiteren vom Arbeitgeber auch gegenüber dem Gesundheitsamt offengelegt werden.

Eine generelle und damit anlasslose Abfrage des Impfstatus bei allen Beschäftigten eines Unternehmens ist sicherlich nicht verhältnismäßig und damit nicht zu empfehlen.
Auch die ‚freiwillige‘ Bekanntgabe des Impfstatus durch die Beschäftigten im Sinne einer Einwilligung in die Verarbeitung ist im arbeitsrechtlichen Umfeld nicht hilfreich, da eben genau diese Freiwilligkeit im Arbeitsverhältnis von den Gerichten nicht gesehen wird.

Man kann nur hoffen, dass es den zuständigen Stellen bis zum November gelingt, zu einer einfachen und für alle hilfreichen Verfahrensweise zu kommen.
Wir werden Sie über die weiteren Erkenntnisse zu dem Thema informieren.

Bei Fragen kontaktieren Sie uns gern.

Seit dem Wegfall des EU Privacy Shields ist die datenschutzkonforme Übermittlung von personenbezogenen Daten (z.B. Kundendaten im Rahmen einer Auftragsverarbeitung eines Dienstleisters) in ein Land außerhalb der EU deutlich schwieriger geworden.

Die Übermittlung der Daten unterliegt besonderen Beschränkungen der europäischen Datenschutz-Grundverordnung. Eine rechtlich unproblematische Übertragung ist grundsätzlich dann möglich, wenn ein sogenannter „Angemessenheitsbeschluss“ der EU-Kommission für dieses Drittland vorliegt oder aber einzelvertragliche Regelungen mit dem betreffenden Dienstleister in Form von sogenannte „Standardvertragsklauseln“ getroffen werden.

Diese Standardvertragsklauseln werden in einer konkreten und verbindlichen Textformulierung von der EU-Kommission vorgegeben und sollen sicherstellen, dass die personenbezogenen Daten datenschutzkonform verwendet und z.B. vor dem Zugriff von staatlichen Stellen bei dem Dienstleister geschützt werden.

Im Juni hat nun die EU-Kommission eine neue Version dieser Standardvertragsklauseln beschlossen und im Amtsblatt der EU veröffentlicht.
Um Bußgelder der Aufsichtsbehörden oder Regressnahmen von Betroffenen zu vermeiden, müssen die Verträge mit Datenverarbeitungspartnern in den betreffenden Staaten unbedingt an die neuen Klauseln angepasst werden.

Die EU-Kommission hat hierfür verbindliche Fristen vorgegeben:

  • Neue Verträge dürfen nach Ablauf von drei Monaten, also ab September nur noch die neuen Klauseln enthalten
  • Bei Bestandsverträgen gilt eine Übergangsfrist von 18 Monaten.

Wir empfehlen dringend, die in Ihrem Unternehmen eingesetzten oder in Vorbereitung befindlichen Verträge mit Ihren Datenverarbeitungspartner zu überprüfen und gegebenenfalls zu überarbeiten. Dabei kann auch eine eventuell überfällige Aktualisierung des „Verzeichnisses der Verarbeitungstätigkeiten“ und die Aktualisierung bzw. Erstellung eines „Dienstleisterverzeichnisses“ hilfreich sein.

Fall Sie bei der Überprüfung und Neugestaltung der Verträge oder der Verzeichnisse Hilfe oder Beratung benötigen, melden Sie sich gerne unter anfrage@anmatho.de bei uns oder rufen uns unter der Rufnummer 040 – 229 47 19 – 0 an.

© ANMATHO AG