Wie wurde die Prüfung durchgeführt? Die Datenschutzprüfung fand bei den zufällig ausgewählten Energieversorgungsunternehmen in Nordrhein-Westfalen (NRW) mit Hilfe eines Fragebogens, bestehend aus unterschiedlichen Fragegruppen, statt. Unter anderem ging es um die Umsetzung der DSGVO im Betrieb, die Struktur und Organisation innerhalb des Unternehmens beim Datenschutz, aber auch konkret um die Beschwerde-Bearbeitung, sowie die Durchführung von Sensibilisierungsmaßnahmen und der Erfüllung der Rechenschaftspflicht.

Zu welchen Ergebnissen führte die Prüfung? In Kurzform: Wenig Licht, aber viel Schatten. Konkret und ganz offen schreibt die NRW-Landesdatenschutzbeauftragte in ihrem Bericht: „Datenschutz wird von den Unternehmen eher als lästige Nebenpflicht angesehen. Einige Unternehmen waren nicht in der Lage, die wesentlichen unternehmensspezifischen Datenverarbeitungen transparent darzustellen.“ Allerdings fiel das Ergebnis bei einigen wenigen Unternehmen der Energie- und Versorgungsbranche auch erfreulich aus. Sie werden als „Datenschutzleuchttürme“ bezeichnet. Hieraus hat die Landesdatenschutzbehörde sechs „Best Practices“ gebildet, die sogar von der Behörde als „bereichsübergreifend“ klassifiziert werden.

Die sechs „Best Practices“:

1. Die Implementierung eines Controllings zu erfolgten Datenschutzbeschwerden mit einer nachgeschalteten Analyse, um Schwachstellen besser identifizieren zu können.
2. Besonders geschulte Teams für die Bearbeitung von Datenschutzansprüchen und ‑beschwerden.
3. Erarbeitung und Umsetzung eines strukturierten Schulungskonzeptes
4. Unternehmensinterne Kommunikationsplattform für Datenschutzfragen mit datenschutzrelevanten Fachinformationen
5. Checklisten zur Durchführung von Datenschutz-Überprüfungen (Revision)
6. Regelmäßige Informationen zum Datenschutz über interne Kommunikationskanäle (Beispiel: Newsletter)

Übrigens: Die sechs „Best Practices“ gehören bei UIMC schon seit langer Zeit zum festen Bestandteil der Datenschutz-Organisation, sowie in der Revision. „Der Landesdatenschutzbericht bestätigt, dass unsere Kunden mit den UIMC-Hinweisen und -Handlungsempfehlungen gut aufgestellt sind“, freut sich Dr. Jörn Voßbein über diesen behördlichen Rückenwind und ergänzt: „Schulen und Sensibilisieren – das ist das Wichtigste!“

Der Fall der zur EuGH-Entscheidung führte: Die Klägerin arbeitete seit Mitte Januar 2018 als Teamleiterin in einem Nürnberger Unternehmen. Ab 1. Februar 2018 übernahm sie zusätzlich die Aufgabe der Datenschutzbeauftragten. Bereits im Juli des gleichen Jahres wurde ihr ordentlich zum 15. August mit der Begründung einer betrieblichen Umstrukturierung gekündigt, die die Auslagerung ihrer bisherigen Tätigkeiten zur Folge hätte. Die Frau ging juristisch gegen ihre Entlassung vor und berief sich dabei auf das deutsche Bundesdatenschutzgesetz (BDSG), welches neben der Datenschutz-Grundverordnung (DSGVO) Regelungen zur Funktion des Datenschutzbeauftragten enthält. Danach dürfe ihr nur außerordentlich aus wichtigem Grund gekündigt werden. Das Arbeitsgericht und das Landesarbeitsgericht der Frankenmetropole folgten der Argumentation. Der Fall landete nach Revision des Arbeitgebers schließlich beim Bundesarbeitsgericht.

Die Bundesrichter waren sich unsicher, ob eine mitgliedsstaatliche Regelung zulässig ist, durch die die Kündigung eines Datenschutzbeauftragten an strengere Voraussetzungen als nach dem Unionsrecht geknüpft ist. Hintergrund für die Überlegungen war der Art. 38 Abs. 2 der DSGVO. Hierin heißt es lediglich, dass der Datenschutzbeauftragte nicht wegen der Erfüllung seiner Aufgaben abberufen oder benachteiligt werden darf. Diese Fragestellung legten die Bundesrichter ihren EuGH-Kollegen vor. Diese entschieden: Der strengere deutsche Kündigungsschutz von Datenschutzbeauftragten ist mit dem Unionsrecht vereinbar. Mit der DSGVO werde nicht bezweckt, das Arbeitsverhältnis eines Datenschutzbeauftragten insgesamt zu regeln, sondern lediglich seine Stellung bei der Erfüllung eines einheitlichen europäischen Datenschutzes zu gewährleisten. Allerdings, so der EuGH, stehe es jedem Mitgliedsstaat frei, strengere Gesetze für den Kündigungsschutz eines Datenschutzbeauftragten zu erlassen.

Die Folgen für die bundesdeutsche Arbeitswelt sind klar und eindeutig: Der Kündigungsschutz für angestellte Datenschutzbeauftragte bleibt in Deutschland hoch. Eine Kündigung bleibt nur zulässig, wenn es einen wichtigen Kündigungsgrund gibt. „Der Europäische Gerichtshof sorgt für Rechtssicherheit und bestätigt die wichtige und hervorgehobene Position eines Datenschutzbeauftragten in Deutschland. Der Kündigungsschutz ist demnach vergleichbar mit dem von Betriebsratsmitgliedern. Diese werden jedoch befristet gewählt; eine Bestellung zum/zur Datenschutzbeauftragte/-n ist unbefristet“, erklärt der langjährige Datenschutzfachmann Dr. Jörn Voßbein anlässlich der Entscheidung des EuGH.

Anders sieht es bei externen Datenschutzbeauftragten aus. „Bei externen Datenschutzbeauftragten spielt der hohe deutsche Kündigungsschutz keine Rolle. Hier besteht für die Unternehmen mehr Flexibilität. Darüber hinaus bringt ein externer Datenschutzbeauftragter häufig auch mehr fachliche Expertise und Erfahrung mit, die zu pragmatischeren Lösungen führen“, berichtet UIMC-Geschäftsführer Dr. Jörn Voßbein aus seinen Erfahrungen.

Über Google Fonts werden vom US-amerikanischen Konzern Google weit über 1000 Schriftarten in Form von freien Lizenzen zur Verfügung gestellt. Gerade Webseitenbetreiber greifen gerne auf dieses Tool zurück. Es ist frei von Lizenzgebühren und das ist ein gewichtiges Argument. Ein vorhandener Nachteil, der in der Vergangenheit ausgeblendet und verdrängt wurde, ist die Serververbindung zu Google LLC in den USA. Von dort werden Schriften nachgeladen. Zumindest besteht dieser Nachteil dann, wenn die Schriften online eingebunden und nicht zuvor heruntergeladen und auf dem eigenen Webserver bereitgestellt werden. Fakt ist: Die IP-Adresse des Webseitennutzers wird an Google in die USA übertragen. Die USA sind bekanntlich kein EU-Land, sondern werden in Sachen Datenschutz als unsicherer Drittstaat betrachtet.

Nun hat das Landgericht München die Online-Nutzung von Google Fonts verboten. Begründung: Personenbezogene Daten werden unerlaubt an Google in die USA weitergegeben. Durch die Weitergabe der IP-Adresse des Webseitenbesuchers verletzte der Seitenbetreiber nach Auffassung der Richter das Recht des Klägers auf informelle Selbstbestimmung. Eine Rechtsgrundlage oder eine Einverständniserklärung habe es nicht gegeben. Folge: Dem Webseitennutzer wurde ein Schadensersatzanspruch in Höhe von 100 Euro zugesprochen.

Das Urteil rief die „Abmahnindustrie“ auf den Plan (Randbemerkung: Auch wenn es formal gesehen keine Abmahnungen sind, sondern eher Schadensersatzforderungen, wird in der Öffentlichkeit in der Regel von „Abmahnungen“ gesprochen.) Seitdem sind hunderte von solchen Schreiben bei Unternehmen und Webseiten-Betreibern eingegangen. Mal mit der Aufforderung 100 Euro zu bezahlen, weil eine Verletzung der Persönlichkeitsrechte vorliege und ein erhebliches „Unwohlsein“ bestehe. Ein anderes Mal beinhaltet das Schreiben gleich eine zu zahlende Summe von 500 Euro. Schließlich sollen gleich noch die Anwaltskosten übernommen werden.

Was ist nach Erhalt eines solchen Schreibens zu tun? „In jedem Fall nicht zahlen, sondern am besten zeitnah Fachwissen hinzuziehen, um zu schauen, welche juristischen und datenschutzrechtlichen Einfallstore die Abmahnung bzw. Schadensersatzforderung bietet“, beschreibt Dr. Jörn Voßbein. Tatsächlich ist eine Reihe von potenziellen Einwendungen denkbar. Einiges deutet daraufhin, dass die Schreiben rechtsmissbräuchlich sind, da die Webseiten-Nutzer die Homepage vorsätzlich besucht haben. Außerdem bleibt es fraglich, ob die juristisch bereits viel diskutierte Münchener Landgerichts-Entscheidung auch von anderen Gerichten in vergleichbaren Fällen übernommen wird. Experten gehen eher nicht davon aus.

„So oder so sollte ein Webseiten-Betreiber auf Google Fonts verzichten oder zumindest die Fonts lokal in die Webseite einbinden. Auch sollte die eigene Webseite einmal rechtlich geprüft werden,“ rät Dr. Voßbein, „schließlich lauern bei Tracking, embedded content durch Youtube-Videos oder Google Maps und anderen Techniken viele Fallen auf die Betreiber.“ Diese sind einfach zu beheben, wenn man sie denn kennt.

„Der Blick ins Gesetz erleichtert die Rechtsfindung“ ist ein geläufiger Satz unter Juristen. Seine Anwendung nutzt auch beim Artikel 15 DSGVO. Demnach können betroffene Person von dem für die Datenverarbeitung Verantwortlichen Auskunft darüber verlangen, welche Daten dort über sie gespeichert sind bzw. verarbeitet werden. Ein zweifelsohne bedeutsames Betroffenenrecht in der DSGVO.

Trifft nun im Unternehmen X eine Auskunftsanfrage ein, so ist eine klare Schrittfolge bestehend aus Bestätigung der Anfrage, Einhaltung einer Monatsfrist, Klärung der Identität des Anfragenden, sowie Ermittlung der verarbeiteten Daten einzuhalten. Welche Informationen müssen nun von Unternehmen X beauskunftet werden?

Hieran schließt sich eine Kernfragen zum Umfang des Auskunftsrechts an. Der Europäische Datenschutzausschuss (EDSA) hat am 28. Januar 2022 Leitlinien zum Auskunftsrecht nach Art. 15 DSGVO veröffentlicht. Ziel: Eine Vereinheitlichung der Rechtsauslegung in der EU. Klare EDSA-Position: Der Antrag auf Auskunft bezieht sich auf alle personenbezogenen Daten der betroffenen Person. Darunter fällt auch sämtliche E-Mail-Kommunikation. Dies gelte sogar dann, wenn die E-Mails bereits gelöscht wurden, der Server-Provider aber noch Zugriff auf diese hat. Unternehmen X müsste also sämtliche Kommunikation herausgeben. Eine Milderung gibt es dann aber doch: Wenn die Menge der Daten zu umfangreich ist, darf der Verantwortliche verlangen, dass der Betroffene seinen Antrag konkreter fasst. Klare Ansage der EDSA: Es kommt nicht auf die Qualität der Daten (Aussagegehalt, Zeitpunkt oder besonderer Zweck) an. Entscheidend ist, dass sich eine Information auf eine natürliche Person bezieht.

Hilfreich bei der Umsetzung der Auskünfte ist ein gut gepflegtes Verzeichnis von Verarbeitungstätigkeiten (oftmals kurz „Verfahrensverzeichnis“). Hierin kann man erkennen, wo welche Daten zu welchen Zwecken wie lange zu einer betroffenen Person gespeichert sind bzw. verarbeitet werden. Dies Umsetzung des Auskunftsrechts muss schließlich zeitnah geschehen (in der Regel binnen einem Monat, maximal binnen drei Monaten, was nur auf dem ersten Blick eine lange Frist ist).

„Für den Unternehmensalltag lassen sich daraus drei Maßnahmen gewinnen:

1. Das Auskunftsmanagement muss professionelle Standards erfüllen,
2. die Datenarchivierung muss rechtssicher, zentral und umfassend erfolgen und
3. die Belegschaft sollte bei dem wichtigen Thema Auskunftsanspruch von Betroffenen durch regelmäßige Fortbildungen über aktuelles Wissen und entsprechende Instrumente verfügen“,

skizziert UIMC-Geschäftsführer Dr. Jörn Voßbein einen Drei-Punkte-Plan zum innerbetrieblichen Umgang mit der Herausforderung Auskunftsanspruch gemäß Artikel 15 DSGVO.   

Patientendaten sind besonders sensible Daten. Deshalb ist die Vertraulichkeit nach Außen für das Krankenhaus ein strenges Gebot. Die Krankenhäuser haben dafür zu sorgen, dass nicht jeder Beschäftigte auf alle Patientendaten zugreifen kann. Vielmehr gilt das Prinzip: Jeder darf nur auf solche Daten zugreifen, die er für seine Aufgaben benötigt. Außerdem muss das Grundprinzip „Keine Datenverarbeitung ohne Erlaubnis“ gelebt werden. Ein weiterer Grundsatz ist die Zweckbindung: Daten sollen nur für definierte Zwecke erhoben und verarbeitet werden. Diese Regeln reichen der Berliner Stadtpolitik allerdings nicht. Der Berliner Senat (Landesregierung) plant stattdessen gesetzlich „aufzusatteln“.

Beispiel: § 24 Absatz 7 Berliner Krankenhausgesetz wurde aufgrund von Protesten aus der Branche bis zum 30.09.2022 zeitlich befristet zwar außer Kraft gesetzt, droht nun aber in wenigen Wochen Geltung zu erlangen. Was bedeutet das?

In diesem Paragrafen wird die Auftragsverarbeitung für Berliner Krankenhäuser geregelt. So ist dort unter anderem zu lesen, dass Berliner Kliniken die Datenverarbeitung von „genetischen Daten und Gesundheitsdaten“ nur an externe Dienstleister geben dürfen, wenn diese „der gleichen Unternehmensgruppe“ oder zu einem anderen Krankenhaus gehören. Das Zurückgreifen auf Expertenwissen der Hersteller oder spezialisierter Dienstleister (das Wissen bezieht sich oftmals auch auf Datenschutz und IT-Sicherheit) wird damit unmöglich. Das Vorhalten dieses Know Hows ist für viele Krankenhäuser alleine ob der Vielzahl an verschiedenen Anwendungen und IT-Systeme kaum möglich.

Der eigentliche Widerspruch, die eigentliche Posse, besteht zum Krankenhauszukunftsgesetz (KHZG). Mit diesem Fördergesetz von Bund und Ländern sollten gerade Krankenhäuser digital fit, sicher und datenschutzkonform aufgestellt werden. Bemerkenswert: Das Land Berlin plant Projekte im Rahmen des KHZG mit 60 Mio. Euro Eigenmitteln zu fördern. Die Gelder sollen im Sommer bewilligt werden. Im Herbst werden dann aber geförderte Projekte wieder eingestampft werden müssen, weil sie dann dem Berliner Datenschutzgesetz widersprechen. „Das erscheint skurril und schreit nach einer pragmatischen Lösung im Sinne aller Akteure des Gesundheitswesens. Außerdem geht es um einen effizienten Finanzmitteleinsatz. Auch scheint die Verbesserung von Verfügbarkeit, Integrität und Vertraulichkeit ohne Expertenwissen noch schwieriger zu werden“, betont Dr. Jörn Voßbein.

Übrigens: Die Position der Berliner Datenschützer lautet: Die Einschränkungen in Paragraf 24 Abs. 7 sollen verhindern, dass global agierende externe Dienstleister mit der Auftragsverarbeitung betraut werden. Die Einschränkungen betreffen aber gleichermaßen europäische, deutsche und auch Berliner Dienstleister.

‚XXXX. Organisiert, denkt mit, erledigt. – Nutzen Sie www.XXXX.de‘

so lautete es im Footer, also im untersten Abschnitt einer E-Mail, die ein Unternehmen verschickt hatte. Die Mail an sich hatte einen ganz anderen, nicht aus Werbung bestehenden Sachbezug. Aber die letzten acht Worte hatten es in sich: Der Empfänger sah darin unerlaubte Werbung per elektronischer Post gemäß dem Gesetz gegen den unlauteren Wettbewerb (UWG) und klagte vor dem Kammergericht Berlin.

Das beklagte Unternehmen brachte dagegen vor, dass der Text nur einen Bruchteil der Mail ausmache, getrennt am Ende der Nachricht ist und nicht im Zusammenhang mit dem Rest der Mails stehe. Außerdem seien keine Anhänge mitversendet worden und damit die beanspruchte Speicherkapazität auf ein Minimum beschränkt gewesen. All das half aber nicht. Das Kammergericht wägte die Argumente zu Lasten des beklagten Unternehmens ab.

Zuletzt hatte der Bundesgerichtshof im Jahr 2018 das Werbeverbot sehr eng ausgelegt und dieser Entscheidung folgte nun das Kammergericht. Das Hinzufügen von Werbung zu einer ansonsten zulässigen Mail ist – zumindest nach Ansicht des BGH – keine solche Bagatelle, dass eine Belästigung ausgeschlossen wäre. Der Empfänger der Mail müsse sich zumindest gedanklich mit den werblichen Elementen beschäftigen. Der BGH sah vor allem das Risiko, dass die für sich genommen geringfügige Belästigung zu Nachahmungseffekten von anderen Unternehmen führe und letztlich in Summe zu einer erheblichen Beeinträchtigung der Interessen der Mail-Empfänger werde. Es müsse die Möglichkeit gegeben werden, der Verwendung der Mail-Adresse zum Zwecke der Werbung zu widersprechen.

„Ob die Entscheidung des Kammergerichtes Berlin auch vor dem BGH bestand hätte, ist nur Spekulation“, so der erfahrene Datenschutzfachmann und UIMC-Geschäftsführer Dr. Jörn Voßbein. „Die BGH-Entscheidung aus dem Jahr 2018 betraf einen Sachverhalt, der im Verhältnis zum beschriebenen Fall wesentlich umfangreicher war.“ So absurd nun diese Entscheidung anmuten mag, sollten Unternehmen nichts riskieren. „Insbesondere bei E-Mails sollte zwischen geschäftlicher Korrespondenz und Werbung getrennt werden“, so Dr. Voßbein. „Eine rechtliche Grauzone scheint schnell erreicht.“ Unternehmen rät er, sich möglichst frühzeitig beraten zu lassen, damit die betrieblichen Mails erst gar kein Thema für die Gerichte werden.

„Vor dem Hintergrund der politischen Lage“ sei mit Angriffen auf deutsche Webseiten zu rechnen – so hat das Bundesamt für Verfassungsschutz die Unternehmen und Behörden gewarnt. Konkret wird vor Attacken der prorussischen Hacker-Gruppierung „Killnet“ gewarnt. In den vergangenen Wochen waren die pro-russischen Aktivisten offenbar mit einigen Angriffen gegen die Websites deutscher Behörden erfolgreich. Die Seiten des Bundeskriminalamtes (BKA) und der Bundespolizei waren offenbar bereits Ziele von massenhaften, koordinierten Störversuchen. Laut einem internen Behördenbericht waren auch die Web-Präsenzen des Bundestags, des Bundesverteidigungsministeriums und die SPD-Website von Bundeskanzler Olaf Scholz Ziel von Attacken.

Das klingt erstmal bedrohlich. Die offenbar Putin-treuen Hacker führten aktuell „eine Kampagne gegen diverse deutsche Webseiten aus Privatwirtschaft und Forschung“, heißt es im Sicherheitshinweis des deutschen Inlandsgeheimdienstes. Gewarnt wird insbesondere vor sogenannten DDoS-Angriffen, die zum Ziel haben, Websites durch massenhafte künstliche Aufrufe lahmzulegen. Nebenbei warnt das Amt auch vor der Ransomware-Gruppierung „Revil“. Die Gruppe erpresst ihre Opfer, nachdem sie deren Systeme lahmgelegt hat.

Doch neben den o. g. Angriffsszenarien kommt dem Social Engineering eine immer stärkere Bedeutung zu. Hierbei handelt es sich um Beeinflussungen mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen, sie zum Beispiel zur Preisgabe von vertraulichen Informationen oder zum Klicken eines (virenbehafteten) Links zu bewegen.

Dass die Warnungen nicht abstrakt, sondern sehr konkret sind, zeigt auch, was „Killnet“ unternimmt. Die „Killnet“-Hacker haben in ihrem Kanal auf dem Messengerdienst Telegram eine Liste mit den Webadressen verschiedener deutscher „Ziele“ gepostet – offenbar als Aufruf an ihre Gefolgschaft. Außerdem warnt der Verfassungsschutz russische Staatsangehörige in Deutschland, die in für Russland wichtigen Wirtschafts- und Forschungszweigen arbeiten, vor Anbahnungsversuchen durch russische Nachrichtendienste. Hier bestehe eine erhöhte Gefährdungslage.

Welche Handlungsempfehlungen gibt es in der aktuellen Situation? Die UIMC ist hier ganz konkret unterwegs und rät Personalabteilungen, Beschäftigte mit russischer Staatsangehörigkeit auf Möglichkeiten von Anbahnungsversuchen durch russische Geheimdienste hinzuweisen. Außerdem sollten Meldewege für Verdachtsfälle etabliert werden. Konkrete Bedrohungen und Verdachtsfälle sollten umgehend dem Verfassungsschutz gemeldet werden.

Grundsätzlich sollten E-Mails misstraut werden, die zu dringenden Handlungen auffordern; dies gilt auch für E-Mails aus dem Familien- oder Bekanntenkreis. Passwörter sollen niemals angegeben werden. Ebenfalls sollen keine Links oder Anhänge verdächtiger E-Mails geöffnet werden. Nach Möglichkeit soll Schutz der Mail- und weiterer besonders sensibler Konten mittels Multi-Faktor-Authentifizierung erfolgen.

„Beschäftigte sollten wachsam bleiben und immer wieder neu sensibilisiert werden. Vorsicht und besondere Aufmerksamkeit ist bei unvertrauten Kontaktaufnahmen geboten“, betont UIMC-Geschäftsführer Dr. Jörn Voßbein, und weist darauf hin, dass Sensibilisierungsmaßnahmen beispielsweise durch entsprechende E-Learnings nicht nur einfach und effizient, sondern auch nutzbringend umgesetzt werden können.

Grundsätzlich gilt: Ein BEM gemäß § 167 Abs. 2 SGB IX kann nur mit Einwilligung des Beschäftigten durchgeführt werden. Gegen seinen Willen funktioniert ein BEM nicht. Mit der Verarbeitung seiner Gesundheitsdaten muss der Arbeitnehmer einverstanden sein. Dabei ist darauf zu achten, dass mögliche Einwilligungserklärungen nicht zu weit gehen und freiwillig erfolgen. Sensible Gesundheitsdaten müssen in keinem Fall Dritten im Betrieb offengelegt werden.

Der Fall: Eine beschäftigte Arbeitnehmerin fehlte häufig wegen Kurzerkrankungen. Der Arbeitgeber startete mit einem Einladungsschreiben ein BEM. Dem Brief war eine „Datenschutzerklärung“ beigefügt, mit der die Mitarbeiterin aufgefordert wurde, in die Nutzung ihrer Gesundheitsdaten im Zusammenhang mit dem BEM einzuwilligen. Die datenschutzrechtliche Einwilligung des Beschäftigten ist in Art 9 Abs. 2a DSGVO verankert. Es wäre alles rechtmäßig verlaufen, wenn der Arbeitgeber in der Einwilligungserklärung nicht über das Ziel hinausgeschossen wäre. Er forderte nämlich nicht nur das Einverständnis für die „Erhebung“ und „Nutzung“ ihrer Gesundheitsdaten im Rahmen des BEM, sondern auch noch das Einverständnis für die „Bekanntmachung“ gegenüber ihrem Vorgesetzten und der Standortleitung. Die Arbeitnehmerin reagierte nicht auf die BEM-Einladung.

Stattdessen reagierte der Arbeitgeber: Er kündigte die Mitarbeiterin. Diese reichte eine Kündigungsschutzklage ein, die in zwei arbeitsgerichtlichen Instanzen bestätigt wurde. „Die Kündigung ist nicht sozial begründet“ heißt es im Urteilsspruch. Die Unverhältnismäßigkeit der Kündigung hatte sich der Arbeitgeber mit einer unausgegorenen datenschutzrechtlichen Einwilligungserklärung selber zuzuschreiben. Sie war zu weit gefasst und wurde vom Landesarbeitsgericht verworfen. Es bestehen, laut den Arbeitsrichtern, die berechtigten Interessen des Beschäftigten gegen eine umfassende Informationssammlung, um es dann auf den Punkt zu formulieren: „Die Beachtung des Datenschutzes ist in § 167 Abs. 2 SGB IX zwar verklausuliert, aber dennoch ausdrücklich vorgeschrieben.“ Gerade die Einwilligung zur angestrebten „Bekanntmachung“ der Gesundheitsdaten sei nicht von der Arbeitnehmerin hinzunehmen.

„Es kommt auf die Einwilligungserklärung an. Sie muss sauber, präzise, datenschutzkonform sowie rechtssicher formuliert werden. Dann können solche arbeitsrechtlichen Streitfälle zwar nicht verhindert werden, aber sie nehmen einen anderen Ausgang“, unterstreicht UIMC-Geschäftsführer Dr. Jörn Voßbein.    

Das Unternehmen sitzt völlig unscheinbar am Otto-Hausmann-Ring und bietet dort über 30 Frauen und Männern einen Arbeitsplatz. „Wir haben uns stetig weiterentwickelt und trotzdem die familiäre Kultur erhalten“, resümiert Dr. Voßbein die ersten zweieinhalb Jahrzehnte der Unternehmensgeschichte. Dem Standort Wuppertal werde man auch zukünftig die Treue halten. Inzwischen ist die UIMC aber auch an den Standorten Berlin, Saarbrücken und Wien präsent – weitere sind geplant – und mit Dr. Heiko Haaz und Benedict Voßbein sind weitere Gesellschafter für die Entwicklung der UIMC verantwortlich. Auch wurde mit der UIMCert ein Schwester-Unternehmen gegründet, welches sich für die Auditierung, Testierung und Zertifizierung von Managementsystemen im Bereich der Informationssicherheit und des Datenschutzes mittlerweile selbst einen Namen gemacht hat.

Kernkompetenzen im Datenschutz und der Informationssicherheit

Die UIMC bietet Unterstützung im Datenschutz, der Informationssicherheit und in der allgemeinen Unternehmensorganisation… nicht nur im Mittelstand, im Gesundheitswesen oder an Hochschulen fühlt man sich nachhaltig gut beraten. Beim Datenschutz hat die UIMC ein Betreuungsangebot von A bis Z aus einer Hand parat: Von der Ausbildung der Mitarbeiter oder eines internen Beauftragten, der Begutachtung von Unternehmen und Dienstleistern über die Übernahme aller Aufgaben als externer Datenschutzbeauftragter bis hin zur Zertifizierungsvorbereitung. Im Bereich des Datenschutzes hat sich die UIMC zu einem der Marktführer entwickelt. „Wir streben auch für die Zukunft ein seriöses Wachstum an, ohne dabei verrückte Sachen zu machen“, betont Dr. Voßbein die Bodenständigkeit und Ernsthaftigkeit der Wachstumsstrategie. Eine Unternehmensvision „Führend auf dem Gebiet des Datenschutzes im deutschsprachigen Raum“ soll den Zukunftsweg der UIMC aufzeigen.

Seit jeher wurde der Schwerpunkt der Beratungstätigkeit auf die Konzeptionierung und Umsetzungsunterstützung von Informationssicherheits-Managementsystemen auf Basis von Best-Practice-Normen gelegt. Hierzu zählt beispielsweise die ISO 27001. „Wir haben diese heute sehr etablierte Sicherheitsnorm schon genutzt als sie noch BS 7799 hieß und nur eingefleischten Sicherheitsfachleuten bekannt war“, fühlt sich Dr. Voßbein in seiner Weitsicht bestätigt.

Nachhaltigkeit, Transparenz und Fairness

„Nachhaltigkeit, Transparenz und Fairness sind uns wichtig. Die erfahrenen Berater der UIMC begleiten uns, um diesen Ansprüchen auch in Sachen Datenschutz und -sicherheit gerecht zu werden. Mit pragmatischen Lösungen zu teilweise trockenen und manchmal unbequemen Fragestellungen finden wir gemeinsam mit der UIMC schnelle und effiziente Lösungen“, bringt es ein Kunde auf den Punkt, der bereits seit 2007 durch die UIMC betreut wird.

Durch vielfältige Fach-, Branchen- und auch Methodenkompetenz arbeitet die UIMC stets an pragmatischen Lösungen, wodurch unsere Kunden ihrer Verantwortung gerecht werden, Risiken senken und Nutzen generieren können, wodurch die Themen Datenschutz und Informationssicherheit nachhaltig umgesetzt werden.

Corona verändert die Arbeitswelt

Ob Home Office, Videokonferenzen oder andere Digitalisierungsvorhaben: Corona forciert aktuell Veränderungen in der Arbeitswelt. Dieser Digitalisierungsschub bietet auch Herausforderungen und Risiken für Unternehmen. Hierbei müssen Aspekte der Informationssicherheit, aber auch des Datenschutzes, beachtet werden. „Aber auch die Beratungswelt hat sich in den letzten Monaten verändert, schließlich müssen wir unsere Kunden auch dann kompetent und umfassend betreuen, wenn dies durch Kontaktbeschränkungen nicht vis-à-vis geht.“ So hat die UIMC beispielsweise die E-Learning-Plattform eCollege weiter ausgebaut und eine datenschutzkonforme Videokonferenz-Plattform UIMConference etabliert, um nur einzelne Beispiele zu nennen.

Das Firmenjubiläum soll im Sommer gebührend gefeiert werden, um dann den Blick nach vorne zu richten. „Wir hoffen, dass wir trotz der Pandemie mit Denjenigen feiern können, die uns groß gemacht haben“, wünscht sich Dr. Jörn Voßbein.

Die Unternehmensentwicklung im Zeitverlauf:

1997      Gründung der UIMC durch Prof. Reinhard Voßbein und Dr. Jörn Voßbein

1999      Einstieg von Dr. Heiko Haaz als Partner

2000      Gründung UIMCert GmbH (Zertifizierungsschwester)

2003      Schaffung des speziellen Konzepts zur Betreuung von KMU

2009      Gründung der ersten Auslands-Niederlassung in Wien

2011      Entwicklung der E-Learning-Plattform eCollege

2012      Gründung der Niederlassung in Saarbrücken

2016      Start von UIMChange zur Umsetzung der Datenschutz-Novelle (EU-Datenschutz-Grundverordnung)

2018      Umzug in größere Räumlichkeiten am Otto-Hausmann-Ring und Ausgründung der Service-Gesellschaft UIMCooperation GmbH

2020      Gründung der Niederlassung in Berlin

2021      Einstieg von Benedict Voßbein als Partner