Kurzfassung für den Datenschutzbeauftragten
Ein elektronisches Dokumentenregister ist ein Dokumentenmanagementsystem wie jedes andere: Sieht jeder Nutzer alles, was hindurchläuft, ist die Konfiguration bereits rechtswidrig. Unterlagen zum Arbeitsverhältnis verlangen gesonderte, vertrauliche Verfahren. Das Bußgeld ist niedrig, der Grundsatz nicht.
Was geschehen ist
Das Verfahren begann an zwei Fronten, die zusammenliefen: einer von der Behörde selbst eingereichten Meldung einer Datenschutzverletzung und einer Beschwerde einer betroffenen Person. Die Ermittlung ergab, dass das elektronische Dokumentenregister der Metropolitanstadt Sassari so konfiguriert war, dass Dokumente mit personenbezogenen Daten für Beschäftigte zugänglich waren, die aufgrund ihrer Rolle und Aufgaben nicht zu deren Verarbeitung befugt waren.
Es gab keinen Einbruch von außen und keinen Angriff. Es gab eine Konfiguration: Das System zeigte unbefugten Beschäftigten Dokumente, die es hätte schützen müssen. Es ist die häufigste Kategorie von Verletzungen im öffentlichen Sektor und die am wenigsten erzählte, weil sie nichts Spektakuläres hat.
Die verletzten Grundsätze
Die Behörde stellte Verstöße gegen die Grundsätze der Integrität und Vertraulichkeit, der Rechenschaftspflicht sowie des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen fest. Letzterer ist der Kernpunkt: Datenschutz durch Voreinstellung bedeutet, dass die Ausgangskonfiguration eines Systems die restriktivste sein muss, nicht die bequemste. Ein Register, das mit vollständiger Sichtbarkeit startet und erst auf Anfrage eingeschränkt wird, ist genau das Gegenteil.
Unter Verweis auf eigene frühere Entscheidungen bekräftigte die Behörde, dass auch bei Verarbeitungen mittels Dokumentenmanagementsystemen technische und organisatorische Maßnahmen zu treffen sind, die einen selektiven Zugriff auf die im Register enthaltenen Unterlagen sicherstellen, damit unbefugtes Personal sie nicht einsehen kann.
Der wichtigste Punkt: Unterlagen über Beschäftigte
Die Behörde wird deutlich: Für die Registrierung von Dokumenten mit personenbezogenen Daten von Beschäftigten, die das konkrete Arbeitsverhältnis betreffen, sind differenzierte und vertrauliche Verfahren erforderlich. Eine pauschale Ordnerberechtigung genügt nicht: Diese Unterlagen brauchen einen eigenen Weg. Genau dieser Teil fehlt in den meisten Behörden und Unternehmen.
Warum das Bußgeld dennoch niedrig ist, und warum das keine gute Nachricht ist
Bei der Bemessung des Bußgelds auf 12.000 Euro berücksichtigte die Behörde unter anderem drei Umstände: dass sie öffentlichen und privaten Arbeitgebern bereits seit 2007 Hinweise zur ordnungsgemäßen Datenverarbeitung im Beschäftigungskontext gibt; dass der Verstoß sämtliche über das Register laufenden personenbezogenen Daten betraf; und dass die Verarbeitung auch heikle, für Disziplinarzwecke relevante Unterlagen umfasste.
Man sollte sie lesen, wie sie geschrieben sind: Es handelt sich um erschwerende, nicht um mildernde Umstände. Das Bußgeld bleibt aus Gründen der Natur der Einrichtung moderat, doch die dahinterstehende Begründung ist streng, und in einem privatwirtschaftlichen Kontext wäre das wirtschaftliche Ergebnis bei gleichem Sachverhalt ein anderes. Der Verweis auf 2007 ist eine elegante Art zu sagen, dass es hier keine Auslegungsentschuldigungen mehr gibt.
Die Prüfung in einer halben Stunde
1) Lassen Sie den Mandanten sich mit dem Profil der niedrigsten Berechtigung am Dokumentenregister anmelden und sehen Sie, was angezeigt wird: der schnellste und aufschlussreichste Test. 2) Prüfen Sie, ob ein gesonderter Weg für Unterlagen zum Arbeitsverhältnis besteht, insbesondere für Disziplinar- und Gesundheitsunterlagen. 3) Prüfen Sie, ob die Berechtigungsprofile seit der letzten Reorganisation überarbeitet wurden: Fast immer wechseln Personen die Rolle, während die Rechte bleiben. 4) Prüfen Sie, ob das Verarbeitungsverzeichnis das Dokumentenmanagement als eigene Verarbeitung mit Empfängern und Maßnahmen enthält: Fehlt es, hat diese Konfiguration nie jemand bewertet.
Der Punkt für den externen Datenschutzbeauftragten
Dieses Bußgeld hätte eine Stunde Arbeit und eine Profilliste verhindert. Dass es trotzdem geschieht, liegt daran, dass niemand darin ein Datenschutzthema sieht: Das Register gilt als Sache der Verwaltung, die Berechtigungen als Sache der IT, und der Datenschutzbeauftragte wird zu den Informationstexten befragt. Abfangen lässt es sich, indem man die Überprüfung der Zugriffsprofile für Dokumentensysteme in die periodischen Kontrollen des Mandanten aufnimmt, mit einer eigenen Frist, wie beim Verarbeitungsverzeichnis. Genau diese Art von Kontrolle geht verloren, wenn Fristen im Kopf der Beraterin oder des Beraters leben statt in einem Kalender.
Offizielle Quelle:Italienische Datenschutzbehörde - Newsletter Nr. 550 vom 29. Juli 2026; Bescheid vom 11. Juni 2026 [doc-web 10266034]Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
