14. September 2026 Datenschutz am Arbeitsplatz: Darauf müssen Arbeitnehmer und Arbeitgeber achten

Datenschutz spielt auch im Arbeitsalltag eine wichtige Rolle. Arbeitgeber und Arbeitnehmer tragen gemeinsam Verantwortung dafür, personenbezogene Daten sicher und rechtmäßig zu behandeln. Schon einfache Maßnahmen helfen dabei, sensible Informationen vor unbefugtem Zugriff zu schützen.

Datenschutz hilft Ihnen im Privatleben Ihre Daten vor der unerlaubten Verarbeitung zu schützen, doch wenn Sie im Büro sitzen, müssen Sie selbst auch auf die Daten anderer achten. Die Verantwortung für den Datenschutz tragen Arbeitgeber und Arbeitnehmer gemeinsam. Beide sind dafür verantwortlich, dass personenbezogene Daten im Arbeitsalltag sicher und rechtmäßig behandelt werden. Dabei geht es nicht nur um Kunden und Geschäftspartner, sondern auch um die Daten der eigenen Mitarbeiter.

Personenbezogene Daten sind grundsätzlich alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören beispielsweise Namen, Kontaktdaten, Geburtsdaten, IP-Adressen oder Bewerbungsunterlagen. Die Datenschutz-Grundverordnung (DSGVO) regelt, unter welchen Voraussetzungen solche Daten verarbeitet werden dürfen. Die DSGVO legt dabei unter anderem Wert darauf, dass Daten rechtmäßig und nachvollziehbar verarbeitet werden, nur für einen bestimmten Zweck verwendet werden und vor unbefugtem Zugriff geschützt sind.

In Österreich gelten daneben noch weitere datenschutzrechtliche Bestimmungen. Insbesondere sind Arbeitnehmer aufgrund des österreichischen Datenschutzgesetzes verpflichtet das Datengeheimnis zu wahren und somit persönliche Daten, die sie bei der Arbeit sehen oder hören, geheim zu halten.

Was Arbeitnehmer im Arbeitsalltag beachten sollten

Arbeitnehmer arbeiten häufig direkt mit personenbezogenen Daten, beispielsweise von Kunden oder anderen Arbeitnehmern. Schon eine kleine Unachtsamkeit kann dazu führen, dass jemand Zugriff auf Informationen bekommt, die eigentlich nicht für ihn bestimmt sind.  Deshalb sollte man sowohl im Büro als auch im Homeoffice auf einige grundlegende Sicherheitsmaßnahmen achten.

Sichere Passwörter und Authentifizierung

Der Zugang zum Arbeitscomputer und zu wichtigen Anwendungen sollte durch ein ausreichend sicheres Passwort geschützt werden. Passwörter sollten lang und schwer zu erraten sein und niemals an andere Personen weitergegeben werden. Sie sollten auch nicht auf Zetteln oder in ungeschützten Dateien notiert werden. Am einfachsten können diese Punkte mit einem Passwort-Manager umgesetzt werden. Bei wichtigen und vor allem bei von außen erreichbaren Zugängen sollte zusätzlich eine Mehr-Faktor-Authentifizierung eingesetzt werden.

Computer sperren

Wer seinen Arbeitsplatz verlässt, sollte den Computer immer sperren. Dadurch wird verhindert, dass andere Personen auf geöffnete Programme oder gespeicherte Daten zugreifen können. Das gilt auch außerhalb von Großraumbüros. In einem geteilten Büro oder zu Hause können sich ebenfalls Personen in der Nähe befinden, die keinen Zugriff auf die Arbeitsdaten haben sollen. Gerade im Homeoffice ist außerdem darauf zu achten, dass Familienmitglieder oder andere Personen keinen Zugriff auf Arbeitsunterlagen oder den Arbeitscomputer erhalten.

Clean-Desk-Prinzip

Personenbezogene Daten sollten auch auf Papier nicht offen herumliegen. Das sogenannte Clean-Desk-Prinzip bedeutet, dass Unterlagen mit Kunden-, Mitarbeiter- oder anderen vertraulichen Informationen nach der Verwendung sicher verstaut werden. Akten und Dokumente sollten beispielsweise in verschließbaren Schränken aufbewahrt werden. Beim Verlassen eines Büros sollten Türen und Schränke abgesperrt werden. Auch Schlüssel sollten nicht so beschriftet sein, dass Außenstehende sofort erkennen können, zu welchem Raum oder Bereich sie gehören. Nicht mehr benötigte Dokumente mit personenbezogenen Daten gehören außerdem nicht einfach in den normalen Papiermüll. Sie sollten sicher vernichtet, beispielsweise geschreddert, werden.

Sichere Kommunikation

Beim Versenden sensibler Informationen sollte man besonders darauf achten, dass diese nicht in falsche Hände geraten. Kundendaten sollten nur über ausreichend geschützte Kommunikationskanäle versendet werden. Bei besonders sensiblen Daten kann außerdem eine Ende-zu-Ende-Verschlüsselung sinnvoll sein. Vor dem Versand sollte außerdem kontrolliert werden, ob tatsächlich die richtige Person als Empfänger ausgewählt wurde. Schon eine E-Mail, die versehentlich an die falsche Person geschickt wird, kann ein Datenschutzproblem darstellen.

Vorsicht bei KI-Anwendungen

Auch bei der Verwendung von KI-Anwendungen sollte man auf den Datenschutz achten. Vertrauliche Kunden- oder Mitarbeiterdaten sowie Geschäftsgeheimnisse gehören daher nicht in KI-Anwendungen, die vom Unternehmen nicht freigegeben wurden. Was mit eingegebenen Daten passiert, hängt unter anderem vom jeweiligen Anbieter und dessen Einstellungen ab. Am sichersten ist es deshalb, nur die vom Unternehmen erlaubten KI-Anwendungen zu verwenden und sich vorher über deren Datenschutzbedingungen zu informieren.

Welche Verantwortung haben Arbeitgeber?

Auch die Arbeitgeber haben im Unternehmen eine wichtige Verantwortung für den Datenschutz. Sie müssen nicht nur Kunden- und Geschäftsdaten schützen, sondern auch die personenbezogenen Daten ihrer Arbeitnehmer. Dazu gehören beispielsweise Bewerbungsunterlagen, Kontaktdaten, Arbeitszeitaufzeichnungen und Gehaltsinformationen. Mitarbeiter sollten deshalb regelmäßig über den richtigen Umgang mit personenbezogenen Daten informiert werden. Arbeitnehmer müssen wissen, welche Regeln für den Umgang mit personenbezogenen Daten gelten und wie sie sich beispielsweise vor Phishing oder Social Engineering schützen können. Das österreichische Datenschutzgesetz sieht zudem eine Verpflichtung zur Belehrung über das Datengeheimnis und die Folgen einer Verletzung vor.

Unternehmen sollten Zugriffe auf Daten generell nach dem Need-to-know-Prinzip beschränken. Durch rollenbasierte Berechtigungen kann beispielsweise festgelegt werden, welche Mitarbeiter bestimmte Daten einsehen, bearbeiten oder weitergeben dürfen. Sensible Dateien sollten außerdem durch geeignete Datei- und Zugriffsberechtigungen geschützt und – wenn erforderlich – verschlüsselt werden. Je nach System und Schutzbedarf kann es auch sinnvoll sein, Zugriffe zu protokollieren. So lässt sich im Nachhinein nachvollziehen, wer auf bestimmte Daten zugegriffen hat.

Für Sicherheitsvorfälle sollte das Unternehmen außerdem vorher festlegen, wie in einem solchen Fall vorzugehen ist. Wenn beispielsweise ein Laptop verloren geht, eine E-Mail mit Kundendaten an den falschen Empfänger geschickt wurde oder ein unbefugter Zugriff festgestellt wird, müssen Mitarbeiter wissen, an wen sie den Vorfall melden und welche weiteren Schritte einzuleiten sind. So können im Anlassfall zügig die entsprechenden Schritte gesetzt werden und weiterer Schaden begrenzt werden.

Auch wenn externe Dienstleister mit personenbezogenen Daten arbeiten, muss das Unternehmen auf den Datenschutz achten. Werden Kundendaten oder Mitarbeiterdaten durch externe Anbieter verarbeitet, muss das Unternehmen sicherstellen, dass die entsprechenden datenschutzrechtlichen Anforderungen erfüllt werden. Das gilt ebenso für Cloud-Dienste und KI-Anwendungen.

Auch Mitarbeiterdaten sind personenbezogene Daten

Es ist ein weit verbreiteter Irrtum, dass Arbeitgeber die Daten ihrer Mitarbeiter ohne Weiteres für alle möglichen betrieblichen Zwecke verwenden dürfen. Doch auch Mitarbeiterdaten unterliegen der DSGVO. Auch für diese Verarbeitung braucht es daher eine passende Rechtsgrundlage. Eine Verarbeitung kann beispielsweise erforderlich sein, um einen Arbeitsvertrag zu erfüllen oder einer gesetzlichen Verpflichtung nachzukommen. Werden Daten aufgrund einer solchen Verpflichtung verarbeitet, dürfen sie grundsätzlich auch nur für den jeweiligen zulässigen Zweck verwendet werden. Auch Bewerbungsunterlagen und Lebensläufe sind personenbezogene Daten. Für ihre Verarbeitung gelten daher grundsätzlich die allgemeinen Anforderungen der DSGVO. Unternehmen müssen unter anderem angemessene Sicherheitsmaßnahmen treffen.

Je nach Art der Verarbeitung können zusätzlich arbeitsrechtliche Regelungen, beispielsweise eine Betriebsvereinbarung, eine Rolle spielen. Eine bloße allgemeine Information, dass „Daten elektronisch verarbeitet werden“, ersetzt dabei nicht automatisch die erforderlichen datenschutzrechtlichen Informationen oder eine notwendige Rechtsgrundlage. Eine Einwilligung kann unter bestimmten Voraussetzungen auch im Arbeitsverhältnis als Rechtsgrundlage dienen. Aufgrund des besonderen Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer ist jedoch genau darauf zu achten, dass eine solche Einwilligung tatsächlich freiwillig erfolgt. In der Praxis kann es außerdem sinnvoll sein, eine Einwilligung getrennt vom Arbeitsvertrag zu regeln.