Zwischen der Firma […]
und
dem Betriebsrat der Firma […]
wird als Anlage zur Betriebsvereinbarung DV/IT folgende Sicherheitsvereinbarung für die Benutzung des Internets geschlossen. Sie gilt gleichzeitig als Arbeitsanweisung für die Benutzung des Internets Verteiler: alle Mitarbeiter
Ziel und Zweck
Ziel und Zweck dieses Dokumentes ist es, allen (internen und externen) Mitarbeitern einen Leitfaden in die Hand zu geben, damit sie sich bei der Benutzung des Internets verantwortungsbewusst im Sinne des Unternehmens verhalten können. Bitte drucken Sie die Nutzungsvereinbarung im Anhang aus und senden Sie das Original unterschrieben zurück an Datenschutzbeauftragter […].
Geltungsbereich
Diese Arbeitsanweisung gilt für alle Mitarbeiter des Unternehmens. Dazu gehören alle beschäftigte Personen (interne und externe), auszubildende Personen und Aushilfen, mit denen das Unternehmen Verträge zur Leistungserbringung vereinbart hat. Neue Versionen ersetzen die alten Versionen dieses Dokuments vollständig, sofern dies nicht anders ausgewiesen ist. Hintergrund der Sicherheitsmaßnahmen Das Internet ist ein rasant wachsendes Kommunikationsnetz mit allen Vor- und Nachteilen eines offenen weltweiten Netzes. Nützliche wie auch unwichtige, sogar kriminelle Informationen sind verfügbar. Die erste Priorität der unternehmensweiten Sicherheit beim Internet hat zum Ziel, Mitarbeitern ein Höchstmaß an Transparenz für das Internet bei gleichzeitigem Schutz unternehmensinterner Systeme und Informationen zu bieten.
Gefahrenpotential
Es ist wichtig, sich der Tatsache bewusst zu sein, dass das Internet auch von Personen benutzt wird, die nicht immer das Wohl des Unternehmens im Auge haben; alle über das Internet ausgetauschten Informationen von einer Vielzahl unbekannter Personen (Kriminelle, Spione, Saboteure, Geheimdienste etc.) gelesen und missbraucht werden können; die Computer-Viren, Computer-Würmer, Trojanische Pferde oder sonstige Schädlinge über das Internet unkontrolliert verbreitet und große materielle und immaterielle Schäden verursachen können.
Sicherheitsmaßnahmen des Unternehmens
Ein Schutz vor den möglichen Gefahrenpotentialen in unserem Unternehmen kann nur dann gewährleistet werden, wenn alle betroffenen Mitarbeiterinnen und Mitarbeiter des Unternehmens mit PC-Arbeitsplätzen diese Arbeitsanweisung beachten und danach handeln.
Arbeitsanweisung
Verantwortlichkeit für den Computer-Arbeitsplatz
Jeder Computer-Arbeitsplatz ist einem Benutzer bzw. einer Benutzergruppe zugeordnet. Für jeden Arbeitsplatz gibt es mindestens einen Verantwortlichen, in der Regel ist das der Besitzer. Der Besitzer ist für die Beachtung der Vorschriften und Arbeitsanweisungen des Unternehmens verantwortlich.
Nutzung von zugelassener Hard- und Software
Jeder Computer-Arbeitsplatz darf grundsätzlich nur die vom Unternehmen zugelassene bzw. genehmigte Hard- und Software beinhalten. Diese sind alle offiziell erworbenen, lizenzierten, überlassenen bzw. selbstentwickelten Hard- und Softwareprodukte. Erweiterungen, die Fremdanschlüsse schaffen, sind genehmigungspflichtig (siehe Genehmigungen).
Schutz vor unbefugtem Zugriff
Jeder Mitarbeiter hat seinen Computer-Arbeitsplatz vor unbefugtem Zugriff zu schützen.
Internet-Zulassung
Aufgrund der schnell verändernden Internet-Technologien muss jeder neue Dienst durch die Netzwerk-Betreiber auf Sicherheitsrelevanz überprüft werden, bevor er zum Einsatz kommt. Für die Internet-Zulassung muss der Benutzer die Internet-Nutzungsvereinbarung anerkennen.
Es sind sinngemäß folgende Verpflichtungserklärungen abzugeben:
- der Benutzer handelt im Sinne und im Interesse des Unternehmens,
- die Benutzung steht grundsätzlich im Zusammenhang mit dem Aufgabenumfeld,
- der Benutzer ist sich über die Gefahren und Risiken im Internet bewusst.
Berechtigung für Internet-Dienste
Zum Internet gehören verschiedene Internet-Dienste, z.B.:
- WWW
- FTP
- News
- Telnet
Der Benutzer ist nach Anerkennung der Internet-Nutzungsvereinbarung berechtigt, die zugelassenen Dienste entsprechend in Anspruch zu nehmen.
Speicherung von Internet-Zugriffen
Jede Benutzeraktivität bzw. Transaktion im Internet wird gespeichert (protokolliert) und für eine bestimmte Zeitdauer aufbewahrt. Der Umfang der gespeicherten Daten wird in Anlage 3 der Betriebsvereinbarung DV/IT abschließend dokumentiert. Somit ist eine Nutzung, das Speichern/Herunterladen von Software, Dateien und Internet-Seiten nachweisbar. Dieses Logging-Verfahren ist notwendig, um potentielle Angriffe (Hacking, Spionage, Sabotage, etc.) festzustellen und an die zuständigen Strafverfolgungsbehörden weiterleiten zu können (siehe Auswertung). Die Inhalte von E-Mails und Dateien sind von der Protokollierung unberührt. In einem Servicefall sind die zuständigen Stellen im Unternehmen berechtigt, den jeweiligen PC zu überprüfen und ggf. Änderungen vorzunehmen.
Auswertung von Internet-Zugriffen
Die gespeicherten Internet-Zugriffe (Protokolldaten) dürfen laut
- Bundesdatenschutzgesetz (BDSG § 31) sowie
- Betriebsverfassungsgesetz (div. Mitbestimmungsrechte)
- Betriebsvereinbarung über Einführung, Einsatz und Weiterentwicklung von DV-/IT-Systemen des Unternehmens nicht zur Auswertung personenbezogener/personenbeziehbarer Daten verwendet werden.
Im Hinblick auf die Wahrung der Interessen der Mitarbeiter und im Sinne des Datenschutzes werden folgende Maßnahmen ergriffen:
Zugriff auf gespeicherte Daten
Es wird gewährleistet, dass nur autorisierte Personen in begründeten Fällen die gespeicherten Daten einsehen und auswerten. Die Auswertung der gespeicherten Daten erfolgt unter Einbindung der EDV-Revision, des Betriebsrats und der Geschäftsleitung bzw. einer von ihr beauftragten Person. Über die Auswertung wird der betroffene Mitarbeiter informiert. Es wird ein ausführliches Protokoll über die Auswertung erstellt. Der betroffene Mitarbeiter erhält eine Kopie dieses Protokolls.
Speicherungsdauer der Daten
Die gespeicherten Daten werden vor dem Zugriff nicht autorisierter Personen geschützt aufbewahrt. Die Aufbewahrungsdauer der Daten beträgt maximal 12 Monate. Auswertungen sind jedoch nur in den ersten 90 Tagen nach Speicherung zulässig. Sofern aufgrund allgemeiner Vorgaben (z.B. gesetzliche Auflagen) eine längere Aufbewahrungsfrist erforderlich wird, wird diese dem Betriebsrat rechtzeitig vorher unter Angabe der Gründe mitgeteilt. Nach Ablauf der Aufbewahrungsfrist werden die gespeicherten Daten im Sinne des Bundesdatenschutzgesetzes gelöscht.
Leistungs- und Verhaltenskontrolle
Eine Verhaltens- oder Leistungskontrolle der Mitarbeiter durch Auswertung der gespeicherten Daten erfolgt nicht.