🔐 Daten­schutz-Check­lis­te: Zugriffs­rech­te & IT-Sicher­heit in sozia­len Einrichtungen

➜ zum Schulungsprogramm

Der ver­ant­wor­tungs­be­wuss­te Umgang mit per­so­nen­be­zo­ge­nen Daten ist im Sozi­al­we­sen kein abs­trak­ter Pflich­ten­ka­ta­log, son­dern täg­li­che Für­sor­ge – eben­so für die Klient*innen wie für die Mit­ar­bei­ten­den selbst. Um die­se Für­sor­ge struk­tu­riert zu ver­an­kern, bie­tet die nach­fol­gen­de Daten­schutz-Check­lis­te einen kom­pak­ten Leit­fa­den, der sich ein­fach in den Arbeits­all­tag inte­grie­ren lässt. Sie dient als jähr­li­ches Selbst­prüf-Instru­ment, kann aber eben­so in inter­ne Audits oder exter­ne Daten­schutz­kon­trol­len ein­ge­bun­den wer­den und för­dert so dau­er­haft ein hohes Schutz- und Qualitätsniveau.


✅ 1. Pass­wort­schutz und Zugangssicherheit

Der ers­te Schutz­wall gegen unbe­fug­te Zugrif­fe sind star­ke Pass­wör­ter. Ach­ten Sie auf eine Län­ge von min­des­tens zehn Zei­chen – inklu­si­ve Groß- und Klein­buch­sta­ben, Zif­fern und Son­der­zei­chen. Unter­schied­li­che Pass­wör­ter für ver­schie­de­ne Anwen­dun­gen, regel­mä­ßi­ge Ände­run­gen (min­des­tens ein­mal jähr­lich) und die Nut­zung eines Pass­wort­ma­na­gers anstel­le von Notiz­zet­teln oder Brow­ser-Spei­cher ver­rin­gern das Risi­ko, dass sen­si­ble Infor­ma­tio­nen in fal­sche Hän­de geraten.

Prüf­punktErle­digtNoti­zen
Ver­wen­de ich siche­re Pass­wör­ter (mind. 10 Zei­chen, inkl. Sonderzeichen)?[ ]
Nut­ze ich unter­schied­li­che Pass­wör­ter für ver­schie­de­ne Programme?[ ]
Ände­re ich mei­ne Pass­wör­ter regel­mä­ßig (mind. 1× jährlich)?[ ]
Nut­ze ich einen Pass­wort­ma­na­ger statt Notizzettel?[ ]

✅ 2. Zugriffs­rech­te & Datenzugang

Das Prin­zip der „Need-to-know-Basis“ gilt unein­ge­schränkt: Nur Per­so­nen mit einer kla­ren Auf­ga­ben­zu­wei­sung erhal­ten Zugriff auf Akten, Ser­ver­ver­zeich­nis­se oder Fach­an­wen­dun­gen. Ver­tre­tungs- oder Pro­jekt­rech­te soll­ten nach Abschluss der Auf­ga­be umge­hend ent­zo­gen wer­den. Mel­den Sie ver­däch­ti­ge Zugrif­fe unver­züg­lich an IT-Admi­nis­tra­ti­on oder Team­lei­tung; die früh­zei­ti­ge Reak­ti­on bewahrt Klient*innen vor Daten­miss­brauch und schützt die Orga­ni­sa­ti­on vor Haftungsrisiken.

Prüf­punktErle­digtNoti­zen
Haben nur befug­te Kolleg*innen Zugriff auf mei­ne Daten/Fälle?[ ]
Über­prü­fe ich alte Zugriffs­rech­te (z. B. Vertretungen)?[ ]
Sind Rech­te auf Ser­ver, Pro­gram­me & Akten klar gere­gelt?[ ]
Mel­de ich ver­däch­ti­ge Zugrif­fe sofort der IT oder Teamleitung?[ ]

✅ 3. Umgang mit sen­si­blen Daten

Ob in Papier- oder Digi­tal­form – ver­trau­li­che Infor­ma­tio­nen dür­fen nie offen zugäng­lich sein. Bild­schir­me wer­den bei Ver­las­sen des Arbeits­plat­zes gesperrt, Aus­dru­cke wan­dern nach Gebrauch in den Akten­ver­nich­ter, und der Ver­sand per­so­nen­be­zo­ge­ner Daten erfolgt aus­schließ­lich über ver­schlüs­sel­te Kanä­le wie das beson­de­re Behör­den­post­fach (eBO) oder ver­gleich­bar gesi­cher­te Platt­for­men. So stel­len Sie sicher, dass das Recht auf infor­ma­tio­nel­le Selbst­be­stim­mung gewahrt bleibt.

Prüf­punktErle­digtNoti­zen
Lage­re ich kei­ne ver­trau­li­chen Doku­men­te offen am Arbeitsplatz?[ ]
Sper­re ich mei­nen Bild­schirm, wenn ich mei­nen Platz verlasse?[ ]
Ver­nich­te ich Aus­dru­cke sen­si­bler Infos kor­rekt (z. B. Aktenvernichter)?[ ]
Ver­sen­de ich per­so­nen­be­zo­ge­ne Daten nur ver­schlüs­selt oder über siche­re Kanä­le (z. B. eBO)?[ ]

✅ 4. E‑Mail- & Dateisicherheit

E‑Mail-Anhän­ge mit sen­si­blen Inhal­ten dür­fen nicht dau­er­haft in Post­fä­chern lie­gen blei­ben; spei­chern Sie sie – falls nötig – in einem geschütz­ten Datei­sys­tem und löschen Sie sie anschlie­ßend im Mail-Cli­ent. Vor dem Wei­ter­lei­ten prü­fen Sie sorg­fäl­tig, ob alle Emp­fän­ger berech­tigt sind, die Daten zu erhal­ten, und kon­trol­lie­ren Sie die E‑Mail-Adres­se, um Tipp­feh­ler zu vermeiden.

Prüf­punktErle­digtNoti­zen
Spei­che­re ich E‑Mail-Anhän­ge mit sen­si­blen Infos nicht dau­er­haft im Mail­pro­gramm?[ ]
Lei­te ich sen­si­ble Infos nur an berech­tig­te Emp­fän­ger weiter?[ ]
Prü­fe ich E‑Mail-Adres­sen vor dem Ver­sand sen­si­bler Inhalte?[ ]

✅ 5. Gerä­te- & IT-Schutz

Dienst­li­che PCs, Lap­tops und Smart­phones sind stets pass­wort­ge­schützt und mit aktu­el­ler Viren­soft­ware ver­se­hen. Pri­va­te Gerä­te oder Cloud-Diens­te sind für die Ver­ar­bei­tung schutz­be­dürf­ti­ger Daten tabu, da sie die Ein­hal­tung der tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men nach Art. 32 DSGVO gefähr­den können.

Prüf­punktErle­digtNoti­zen
Sind PC, Lap­top & Smart­phone pass­wort­ge­schützt?[ ]
Nut­ze ich nur dienst­li­che Gerä­te für sen­si­ble Daten?[ ]
Sind mei­ne Gerä­te mit aktu­el­ler Viren­soft­ware ausgestattet?[ ]

✅ 6. Schu­lung & Datenschutzkenntnis

Daten­schutz ist kein ein­ma­li­ges Pro­jekt, son­dern ein kon­ti­nu­ier­li­cher Lern­pro­zess. Min­des­tens ein­mal pro Jahr soll­ten Mit­ar­bei­ten­de an einer Daten­schutz- oder IT-Sicher­heits-schu­lung teil­neh­men. Eben­so wich­tig ist die Kennt­nis der jeweils gül­ti­gen haus­in­ter­nen Daten­schutz­richt­li­nie; sie über­setzt gesetz­li­che Vor­ga­ben in kon­kre­te Hand­lungs­an­wei­sun­gen für den Alltag.

Prüf­punktErle­digtNoti­zen
Habe ich in den letz­ten 12 Mona­ten an einer Daten­schutz- oder IT-Sicher­heits-schu­lung teilgenommen?[ ]
Ken­ne ich die aktu­el­le Daten­schutz­richt­li­nie mei­ner Einrichtung?[ ]

📌 Prak­ti­sche Anwendungshinweise

  • Regel­mä­ßi­ge Prü­fung: Legen Sie einen Kalen­der­ein­trag für die jähr­li­che Selbst­kon­trol­le an – idea­ler­wei­se gekop­pelt an Qua­li­täts­ma­nage­ment-Audits oder den Ter­min­plan der*des Datenschutzbeauftragten.
  • Doku­men­ta­ti­on von Auf­fäl­lig­kei­ten: Hal­ten Sie jede Unre­gel­mä­ßig­keit schrift­lich fest und lei­ten Sie die­se an die ver­ant­wort­li­che Stel­le wei­ter. So schaf­fen Sie Trans­pa­renz und ermög­li­chen zügi­ge Korrekturmaßnahmen.
  • Bewusst­seins­för­de­rung: Die Check­lis­te erin­nert kon­ti­nu­ier­lich dar­an, dass Daten­schutz Teil der pro­fes­sio­nel­len Hal­tung ist – eine Hal­tung, die Klient*innen Ver­trau­en schenkt und die Orga­ni­sa­ti­on recht­lich absichert.

Mit einer klar struk­tu­rier­ten Check­lis­te ver­an­kern sozia­le Ein­rich­tun­gen Daten­schutz als geleb­te Rou­ti­ne. Sie stärkt das Bewusst­sein der Mit­ar­bei­ten­den, mini­miert Haf­tungs­ri­si­ken und unter­stützt die wirk­sa­me Umset­zung gesetz­li­cher Vor­ga­ben wie der DSGVO. Damit wird Daten­schutz von einer ver­meint­li­chen Pflicht zur sicht­ba­ren Qua­li­täts­leis­tung – im Inter­es­se aller, die uns ihre sen­si­bels­ten Infor­ma­tio­nen anvertrauen.

FAQ

Wie oft soll­te man die Daten­schutz-Check­lis­te durchgehen?

Min­des­tens ein­mal jähr­lich – zum Bei­spiel im Rah­men von Selbst­kon­trol­len, inter­nen Audits oder Datenschutzprüfungen.

Was ist bei der Pass­wort­si­cher­heit beson­ders wichtig?

Ein star­kes Pass­wort soll­te min­des­tens 10 Zei­chen lang sein und eine Kom­bi­na­ti­on aus Groß- und Klein­buch­sta­ben, Zah­len und Son­der­zei­chen enthalten.

Wer ist für die Kon­trol­le von Zugriffs­rech­ten zuständig?

Je nach Orga­ni­sa­ti­on sind dafür in der Regel Füh­rungs­kräf­te, IT-Admi­nis­tra­to­ren oder Daten­schutz­be­auf­trag­te verantwortlich.