Datenschutzschulung für Mitarbeiter organisieren

Die DSGVO enthält keinen Satz, der allgemein sagt: „Alle Mitarbeiter sind jährlich zu schulen.“ Die Pflicht ergibt sich aus mehreren Vorschriften zusammen. Nach Art. 5 Abs. 2 muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können (Rechenschaftspflicht). Nach Art. 24 muss er geeignete technische und organisatorische Maßnahmen treffen, nach Art. 32 Abs. 4 sicherstellen, dass ihm unterstellte Personen Daten nur auf seine Anweisung verarbeiten. Und nach Art. 39 Abs. 1 lit. b gehört die Sensibilisierung und Schulung der an Verarbeitungen beteiligten Mitarbeiter zu den Aufgaben des Datenschutzbeauftragten.

In der Praxis ist eine Schulung deshalb das übliche Mittel, um zu zeigen, dass Mitarbeiter die Regeln kennen. Ohne Schulung und Nachweis fällt es einem Unternehmen schwer, gegenüber einer Aufsichtsbehörde zu belegen, dass es seine Pflichten organisatorisch umgesetzt hat. Die inhaltlichen Grundlagen zur DSGVO selbst erklärt ein eigener Artikel; hier geht es um die Organisation.

Nicht jeder braucht dasselbe. Ein Grundmodul vermittelt allen die wichtigsten Regeln; Vertiefungen richten sich an Rollen mit besonderen Daten oder Aufgaben.

Eine gesetzliche Wiederholungsfrist gibt es nicht. Bewährt hat sich eine Erstschulung bei Eintritt — vor dem ersten Zugriff auf personenbezogene Daten — und eine jährliche Auffrischung. Hinzu kommen anlassbezogene Schulungen: nach einer Datenpanne, bei Einführung eines neuen Systems, bei Änderungen der Rechtslage oder wenn jemand in eine Rolle mit sensiblen Daten wechselt.

Wichtig ist, den gewählten Rhythmus zu begründen und einzuhalten. Ein Unternehmen, das jährlich schult und das lückenlos belegen kann, steht bei einer Prüfung besser da als eines, das unregelmäßig umfangreiche Veranstaltungen durchführt.

Viele Datenschutzschulungen scheitern an ihrer Abstraktheit. Mitarbeiter hören Begriffe wie „Rechtmäßigkeit der Verarbeitung“ und denken nicht an ihren Alltag. Wirksamer sind Situationen aus dem eigenen Haus: die E-Mail mit Kundendaten an den falschen Verteiler, das offene Dokument auf dem Bildschirm im Zug, die Anfrage eines Anrufers, der sich als Angehöriger ausgibt.

Ein Schulungsnachweis sollte festhalten: wer, welche Schulung in welcher Fassung, wann, mit welchem Ergebnis der Verständnisprüfung und bis wann gültig. Diese Daten sind selbst personenbezogen; sie sollten nur so lange aufbewahrt werden, wie sie für den Nachweis gebraucht werden, und nur für Berechtigte sichtbar sein.

Hilfreich ist ein Bericht, der auf Knopfdruck zeigt, welcher Anteil der Belegschaft eine gültige Schulung hat, wer im Verzug ist und welche Erinnerungen versandt wurden. Mit einem solchen Bericht kann der Datenschutzbeauftragte seiner Überwachungsaufgabe nachkommen und die Geschäftsleitung informieren.

Die Personalentwicklung von Universe enthält die Vorlage „Datenschutz-Unterweisung“, standardmäßig 12 Monate gültig, mit Rechtsgrundlage als Vorschlag. Sie lässt sich automatisch an alle Mitarbeiter oder bestimmte Einheiten und Rollen zuweisen; vertiefende Schulungen können als eigene Lernpfade für einzelne Rollen angelegt werden.

Nach Abschluss erhalten Mitarbeiter einen signierten Nachweis mit Prüfcode; 30 Tage vor Ablauf beginnt automatisch die Auffrischung. Der Prüfbericht als CSV zeigt jeden Zyklus mit Nachweis-Code und den versandten Erinnerungen. Die Plattform selbst läuft in der EU (Frankfurt); im Datenschutz-Cockpit lassen sich Löschen, Sperren und Anonymisieren mit Fristen steuern.