Data Loss Prevention: Datenschutzkonformer Einsatz

DLP-Systeme erkennen und verhindern unzulässige Datenübertragungen. Sie greifen dort, wo Daten das Unternehmen verlassen könnten – etwa per E-Mail, über Cloud-Dienste oder auf USB-Speichern. Um das leisten zu können, verarbeiten sie Inhalte, Metadaten und technische Ereignisse. Genau darin liegt die datenschutzrechtliche Relevanz: Weil sich die entstehenden Protokolle einzelnen Beschäftigten zuordnen lassen, ist der Beschäftigtendatenschutz unmittelbar berührt. Unternehmen dürfen deshalb nicht allein auf die technische Funktion schauen. Sie müssen ebenso die verarbeiteten Datenarten, die Auswirkungen auf die Beschäftigten und die Erforderlichkeit des Einsatzes in den Blick nehmen.

Eine datenschutzgerechte Planung setzt bereits vor der Beschaffung an. Zunächst ist das konkrete Schutzproblem zu beschreiben und eine nachvollziehbare Risikoanalyse zu erstellen. Zu den typischen Szenarien, die ein DLP-System adressieren soll, zählen der Fehlversand von Nachrichten an falsche Empfänger, Uploads in nicht freigegebene Cloud-Dienste, Kopien auf private Datenträger sowie der Datenabfluss über kompromittierte Benutzerkonten. Aus dem Grundsatz der Datenminimierung folgt eine klare Priorität: Gezielte Kontrollen riskanter Übertragungen sind einer dauerhaften Vollanalyse sämtlicher Vorgänge vorzuziehen. Oft sind frühe Hinweise die bessere Lösung – etwa ein Warnfenster noch vor dem Versand einer E-Mail. Solche Mechanismen wirken häufig wirksamer und sind zugleich weniger eingriffsintensiv als die nachträgliche Auswertung umfangreicher Protokolle.

Bei der Rechtsgrundlage kommt regelmäßig das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO in Betracht. Die Durchführung des Beschäftigungsverhältnisses nach Art. 6 Abs. 1 lit. b trägt den Einsatz dagegen meist nicht, weil DLP für die Erfüllung des Arbeitsvertrags objektiv nicht erforderlich ist. Entsprechend müssen Erforderlichkeit und Verhältnismäßigkeit sorgfältig geprüft und dokumentiert werden. Dazu gehört insbesondere die Frage, ob ein milderes, aber gleich wirksames Mittel zur Verfügung steht. Eng damit verbunden ist der Zweckbindungsgrundsatz: Protokolle, die zur Abwehr von Datenabflüssen entstehen, dürfen nicht ohne Weiteres für andere Zwecke herangezogen werden, etwa für allgemeine Compliance-Untersuchungen oder für arbeitsrechtliche Verfahren gegen einzelne Beschäftigte.

Ein zentraler Hebel ist die Konfiguration. DLP sollte als abgestuftes Schutzsystem mit möglichst geringer Eingriffsintensität eingerichtet werden und gerade nicht als pauschales Überwachungswerkzeug. Geprüft werden sollten nur klar definierte Merkmale, etwa Personalnummern, Kreditkartendaten, Vertraulichkeitsklassifizierungen oder digitale Fingerabdrücke geschützter Dateien. Auch die Reaktion auf einen Treffer folgt einer Stufenlogik: An erster Stelle steht ein Warnhinweis an die betroffene Person, verbunden mit der Möglichkeit, den Vorgang abzubrechen oder zu begründen. Eine automatische Blockade ist nur bei besonders sensiblen Daten angebracht. Sicherheitsverantwortliche prüfen zudem nur qualifizierte oder wiederholte Alarme. Eine Zuordnung zu konkreten Personen erfolgt ausschließlich bei dokumentiertem Anlass, und Führungskräfte oder die Personalabteilung werden erst nach einer fachlichen und rechtlichen Prüfung eingebunden. Diese Zurückhaltung hat einen guten Grund: Ein Alarm ist zunächst nur ein technischer Hinweis und kein Beleg für Fehlverhalten.

Besondere Vorsicht ist geboten, wenn ein DLP-System automatisierte Folgen auslöst. Führen Treffer unmittelbar zu Konsequenzen wie einer Kontosperrung, kann der Anwendungsbereich von Art. 22 DSGVO eröffnet sein. Dann ist eine echte, ergebnisoffene menschliche Prüfung erforderlich, die auch die Fehleranfälligkeit des Systems und die Perspektive der betroffenen Person berücksichtigt. Ein bloß automatischer Ablauf ohne wirksame Kontrolle wäre unzulässig.

Über die reine Konfiguration hinaus bestehen weitere betriebliche Pflichten. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist beim DLP-Einsatz regelmäßig erforderlich; die Liste der Datenschutzkonferenz führt den Einsatz von DLP zur systematischen Profilerstellung ausdrücklich auf. Der Betriebsrat ist nach § 87 Abs. 1 Nr. 6 BetrVG zu beteiligen, da ein DLP-System objektiv zur Verhaltens- und Leistungskontrolle geeignet ist. Eine Betriebsvereinbarung sollte deshalb unter anderem den Zweck, die Datenquellen, die Rollen und Zuständigkeiten, die Eskalationswege, die Speicher- und Löschfristen, den Umgang mit Fehlalarmen sowie die Frage regeln, ob und wie Ergebnisse in Personalverfahren verwendet werden dürfen.

Auch die Transparenz ist nicht verhandelbar. Beschäftigte sind nach Art. 13 beziehungsweise Art. 14 DSGVO verständlich zu informieren – insbesondere darüber, welche Datenarten verarbeitet werden, welche Ereignisse einen Alarm auslösen, wer Zugriff auf die Daten hat und wie lange diese gespeichert werden. Setzt das Unternehmen Cloud- oder Dienstleisterlösungen ein, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abzuschließen. Finden Übermittlungen in Drittländer statt, ist zusätzlich eine Prüfung nach Art. 44 ff. DSGVO notwendig. In der Praxis sind dabei vor allem die Zugriffsmöglichkeiten des Anbieters, die Verschlüsselung, die Verwaltung der Schlüssel und der Einsatz von Unterauftragnehmern von Bedeutung.

Das Fazit des Beitrags ist eindeutig: DLP kann die Datenschutz-Compliance tatsächlich unterstützen, wenn es gezielt, transparent und verhältnismäßig eingesetzt wird. Entscheidend ist, dass der Schwerpunkt auf der Verhinderung von Datenabflüssen liegt und nicht auf der Kontrolle der Beschäftigten. Klare Zwecke, datensparsame Einstellungen, eine abgestufte Eskalation und die frühzeitige Einbindung von Datenschutz, Betriebsrat und IT-Sicherheit bilden die Grundlage für einen verantwortungsvollen Einsatz.