Datenschutz für Mitarbeiter: 10 Regeln im Arbeitsalltag

Datenschutz für Mitarbeiter bedeutet vor allem: personenbezogene Daten von Kunden, Kolleginnen und Bewerbern sorgfältig behandeln – vom gesperrten Bildschirm über den bewussten Umgang mit E-Mail-Verteilern bis zur internen Meldung von Datenpannen. Verstöße entstehen selten aus Vorsatz, sondern aus Unachtsamkeit: Nach fünf Minuten wissen Sie, wann Sie den Bildschirm sperren, warum BCC Pflicht ist und was Sie bei einer Datenpanne tun.

Von der Provimedia Redaktion · Stand: Juli 2026 · Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.

Genau an dieser Unachtsamkeit setzt eine DSGVO-Schulung für Mitarbeiter an – die folgenden zehn Regeln bilden die Basis dafür, im Alltag sicher zu handeln, auch ohne Juristin oder Jurist zu sein.

Die 10 wichtigsten Datenschutz-Regeln für Mitarbeiter

Regel 1: Bildschirm sperren, sobald Sie den Platz verlassen

Verlassen Sie Ihren Arbeitsplatz auch nur für wenige Minuten, sperren Sie den Bildschirm (Windows-Taste + L bzw. Cmd+Ctrl+Q). Ein unbeaufsichtigter, entsperrter Rechner ist einer der häufigsten Wege, wie Unbefugte an Kunden- oder Personaldaten gelangen. Das entspricht dem Grundsatz der Integrität und Vertraulichkeit aus Art. 5 Abs. 1 lit. f DSGVO: Daten müssen vor unbefugtem Zugriff geschützt werden.

Regel 2: Clean Desk – keine Unterlagen offen liegen lassen

Ausdrucke mit Namen, Adressen oder Vertragsdaten gehören nicht offen auf den Schreibtisch, sondern in verschlossene Schränke oder direkt in den Aktenvernichter. Wer den Raum verlässt oder Besuch empfängt, räumt Unterlagen weg – eine einfache, aber wirksame organisatorische Maßnahme im Sinne von Art. 5 Abs. 1 lit. f DSGVO.

Regel 3: Sammel-E-Mails immer über BCC versenden

Wenn Sie eine Nachricht an mehrere externe Empfänger schicken, tragen Sie deren Adressen in das BCC-Feld ein, nicht in An oder CC. Andernfalls sehen alle Empfänger die E-Mail-Adressen der anderen – das ist bereits eine Datenpanne, die intern zu melden und nach Art. 33 DSGVO auf ihre Meldepflicht zu prüfen ist, wie sie in der Praxis regelmäßig vorkommt.

Regel 4: Verdächtige Links und Anhänge nicht anklicken

Prüfen Sie Absenderadresse, Anrede und Linkziel, bevor Sie auf Anhänge oder Links klicken – besonders bei angeblich dringenden Zahlungs- oder Passwort-Aufforderungen. Phishing zählt laut BSI zu den häufigsten Angriffswegen auf Unternehmensdaten; im Zweifel lieber bei der IT-Abteilung nachfragen als klicken.

Regel 5: Personendaten nicht in nicht freigegebene KI-Tools eingeben

Kunden-, Bewerber- oder Kollegendaten dürfen nur in KI- oder Cloud-Tools eingegeben werden, für die das Unternehmen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen hat. Ein privates ChatGPT-Konto oder ein nicht freigegebenes Tool ist dafür tabu. Details dazu lesen Sie im Beitrag KI und Datenschutz: ChatGPT-Regeln.

Regel 6: Anfragen von Betroffenen sofort weiterleiten

Meldet sich ein Kunde oder Bewerber mit der Bitte um Auskunft, Löschung oder Berichtigung seiner Daten, leiten Sie die Anfrage sofort an den Datenschutzbeauftragten oder die zuständige Stelle weiter. Für die Beantwortung gilt grundsätzlich eine Frist von einem Monat – die intern oft knapp wird, wenn Anfragen erst spät auffallen.

Regel 7: Datenpannen sofort intern melden

Ist ein Laptop verloren gegangen, eine E-Mail an den falschen Empfänger gegangen oder ein Datensatz versehentlich gelöscht worden, melden Sie das umgehend intern – auch wenn der Fehler unangenehm ist. Nach Art. 33 DSGVO muss das Unternehmen Verletzungen des Schutzes personenbezogener Daten – außer wenn ein Risiko für Betroffene unwahrscheinlich ist – unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden; das gelingt nur, wenn Mitarbeiter sofort Bescheid geben.

Regel 8: Keine privaten USB-Sticks oder unerlaubte Tools nutzen

Private USB-Sticks, nicht freigegebene Cloud-Speicher oder eigenmächtig installierte Apps (sogenannte Schatten-IT) entziehen sich der Kontrolle der IT-Abteilung und öffnen Angriffsflächen für Datenverlust und Schadsoftware. Nutzen Sie ausschließlich die vom Unternehmen bereitgestellten und freigegebenen Systeme.

Regel 9: Auskunft nur an eindeutig berechtigte Personen geben

Geben Sie am Telefon oder per E-Mail keine Personendaten heraus, ohne die Identität und Berechtigung des Anfragenden zweifelsfrei geprüft zu haben. Angebliche Kollegen, vermeintliche Behörden oder eilige Vorgesetzte sind ein klassisches Einfallstor für Social Engineering – im Zweifel lieber zurückrufen als sofort antworten.

Regel 10: Im Zweifel den Datenschutzbeauftragten fragen

Nicht jede Situation ist eindeutig – ob eine neue Software eingesetzt, ein Formular geändert oder eine Anfrage beantwortet werden darf. Wenden Sie sich an den Datenschutzbeauftragten oder die zuständige Ansprechperson, statt auf eigene Faust zu entscheiden. Das schützt Sie und das Unternehmen gleichermaßen.

Die folgende Übersicht zeigt auf einen Blick, welches Risiko jede Regel konkret verhindert. Diese Checkliste können Sie unverändert an Ihr Team weitergeben:

Regel	Risiko, das sie verhindert
Bildschirm sperren	Unbefugter Zugriff auf Daten bei Abwesenheit
Clean Desk	Einsehbare oder entwendbare Unterlagen
BCC bei Sammel-E-Mails	Offenlegung von Empfängeradressen (Datenpanne)
Phishing-Vorsicht	Kontoübernahme, Schadsoftware, Datenabfluss
Keine Personendaten in freie KI-Tools	Verarbeitung ohne Rechtsgrundlage bzw. AVV
Betroffenenanfragen weiterleiten	Fristversäumnis beim Auskunftsrecht
Datenpannen sofort melden	Verpasste 72-Stunden-Meldefrist
Keine privaten USB-Sticks / Schatten-IT	Unkontrollierter Datenabfluss, Schadsoftware
Auskunft nur an Berechtigte	Social Engineering, Datenweitergabe an Unbefugte
Fragen an den Datenschutzbeauftragten	Fehlentscheidungen aus Unsicherheit

Häufige Fragen (FAQ)

Welche Datenschutzregeln gelten für Mitarbeiter?

Grundsätzlich gilt: Personenbezogene Daten dürfen Mitarbeiter nur im Rahmen ihrer Aufgaben und auf Anweisung des Arbeitgebers verarbeiten (Art. 29 und Art. 32 Abs. 4 DSGVO). Dazu gehören ein sorgfältiger Umgang mit Zugängen, Unterlagen und E-Mail-Verteilern sowie die sofortige Meldung von Auffälligkeiten – die zehn Regeln oben fassen die wichtigsten Punkte für den Alltag zusammen.

Haften Mitarbeiter persönlich bei Datenschutzverstößen?

Bußgelder nach Art. 83 DSGVO richten sich an den Verantwortlichen oder Auftragsverarbeiter, also in der Regel an das Unternehmen – nicht direkt an einzelne Mitarbeiter. Wer jedoch vorsätzlich oder grob fahrlässig gegen interne Vorgaben verstößt, muss mit arbeitsrechtlichen Konsequenzen bis hin zur Kündigung rechnen; in Ausnahmefällen ist auch eine persönliche Haftung möglich.

Gelten die Regeln auch im Homeoffice?

Ja, im Homeoffice gelten dieselben Pflichten wie im Büro – der Arbeitsort ändert nichts an der Verantwortung für personenbezogene Daten. Auch Familienmitglieder gelten datenschutzrechtlich als Dritte: Bildschirm sperren, Unterlagen wegschließen und vertrauliche Telefonate außer Hörweite führen gehören daher auch zu Hause zum Alltag.

Was tue ich, wenn ich einen Datenschutzverstoß bei Kollegen bemerke?

Sprechen Sie die Kollegin oder den Kollegen möglichst direkt an, wenn Sie zum Beispiel einen unverschlossenen Bildschirm oder eine falsch versendete Sammel-E-Mail bemerken. Lässt sich der Vorfall nicht klären oder wiegt er schwerer, melden Sie ihn an die Vorgesetzte, den Vorgesetzten oder den Datenschutzbeauftragten – nicht um jemanden anzuschwärzen, sondern um den Schaden zu begrenzen.

Diese zehn Regeln lassen sich in wenigen Minuten lesen, aber im Alltag leicht vergessen. Die DSGVO-Grundlagenschulung vermittelt genau diese Alltagsregeln systematisch und mit Praxisbeispielen – jeder Teilnehmer erhält im Anschluss ein datiertes Teilnahmezertifikat als Nachweis für Personalakte oder Kunden.

Quellen

Bleiben Sie auf dem Laufenden

Erhalten Sie die neuesten Artikel, Insights und Branchen-Updates direkt in Ihr Postfach.

Datenschutz für Mitarbeiter: Die 10 wichtigsten Regeln im Arbeitsalltag