Schulung: Datenschutz für Mitarbeiter

Generell sollten Sie alle Beschäftigten, die mit personenbezogenen Daten arbeiten, in Sachen Datenschutz schulen. Das gilt vor allem, wenn das Unternehmen neue Mitarbeiter einstellt oder wenn sich Aufgaben ändern. Das Gleiche ist der Fall, wenn das Unternehmen neue Technologien oder Prozesse einführt.

Ferner sollten auch konkrete Datenschutzverletzungen oder Beinah-Pannen Anlass für eine Schulung sein.

Unterweisungen lassen sich auf zwei Arten durchführen: entweder als persönliche Schulung, etwa in Form von Datenschutz-Seminaren. Oder Sie nutzen digitale Formate, zum Beispiel die Online-Schulungen von Lessino. Beide Wege sind gut und haben ihre jeweiligen Vorteile.

Wichtig ist, die gesetzlichen Vorgaben zu erfüllen. Die Inhalte müssen auf den Arbeitsplatz der Mitarbeiter zugeschnitten sein. Die Unterweisung muss in regelmäßigen Abständen erfolgen. Die Schulung ist zum Nachweis zu dokumentieren.

Die Dauer hängt von der Art der Schulung ab. Ein Präsenztraining im Unternehmen dauert in der Regel mehrere Stunden bis zu einem Tag.

Für einen Online-Kurs benötigen Sie in der Regel circa 30 Minuten. Der Vorteil: Die Einzelkapitel oder das ganze Programm lassen sich beliebig oft wiederholen.

Bevor ein Mitarbeiter eine Tätigkeit aufnimmt, ist er oder sie zu unterweisen. Das Gleiche gilt, wenn sich Aufgaben oder Abläufe ändern. Datenschutzrelevante Vorfälle können ebenfalls Anlass für eine Schulung sein.

Im Übrigen sollten die Unterweisungen regelmäßig stattfinden, jedoch mindestens einmal jährlich.

Ziel des Datenschutzes ist es zu verhindern, dass personenbezogene Daten unzulässig verwendet werden oder in die Hände von Unbefugten gelangen können.

Ausgangspunkt ist das Recht auf informationelle Selbstbestimmung. Demnach solle jede Person selbst entscheiden, wer ihre persönlichen Daten zu welchem Zweck verwendet. Das betrifft auch die Frage, an wen diese Daten weitergegeben werden.

Unternehmen, Behörden und Organisationen müssen laut Datenschutzrecht selbst kontrollieren, ob sie personenbezogene Daten immer gesetzeskonform verarbeiten. Diese Kontrolle betrifft alle Mitarbeiter. Sie müssen die rechtlichen Vorgaben kennen, beachten und anwenden. Das gilt auch für den Fall, dass sie nicht ständig mit personenbezogenen Daten arbeiten.

Personenbezogene Daten sind alle Informationen, die sich einer natürlichen Person direkt oder indirekt zuordnen lassen. Denken Sie an Personalnummern, KFZ-Zeichen oder Sozialversicherungsnummern. Aussagen über Personen, beispielsweise in ärztlichen Notizen oder psychologischen Gutachten, gehören auch dazu.

Ebenso die Stammdaten der Mitarbeiter. Sie sind für die Durchführung des Arbeitsverhältnisses nötig. Darum ist der Datenschutz im Arbeitsverhältnis oder bei der Beendigung des Arbeitsverhältnisses ebenfalls ein Thema für Unternehmen.

Äußerste Vorsicht gilt bei der Verarbeitung sensibler Daten. Diese betreffen zum Beispiel die Gesundheit, Religion, politische Ansichten oder Sexualität. Auch biometrische und genetische Daten gehören in diesen Bereich.

Mitarbeiter, die mit personenbezogenen Daten arbeiten, müssen äußerst vorsichtig sein. Sie sind verpflichtet, Datenschutz und Datensicherheit zu wahren und vertraulich zu handeln.

Die meisten Verstöße gegen den Datenschutz treten auf, weil die Mitarbeiter nicht genug darüber wissen. Das kann erhebliche Folgen für ein Unternehmen haben. Je nach Schwere drohen Bußgelder in Millionenhöhe.

Einzelne Mitarbeiter können ebenfalls haftbar sein. Das ist vor allem dann der Fall, wenn sie personenbezogene Daten für irgendwelche privaten Zwecke missbraucht haben. Auch hier drohen saftige Bußgelder bis hin zu Strafverfahren.

In Unternehmen mit mehr als zehn Personen muss es einen Datenschutzbeauftragten geben. Dies kann ein eigener Mitarbeiter sein. Viele Firmen holen sich aber auch die Hilfe externer Datenschutzbeauftragter hinzu.

Der Datenschutzbeauftragte ist für das Management des Datenschutzes zuständig. Er oder sie ist nicht dafür verantwortlich, dass der Datenschutz im Betrieb umgesetzt wird. Das ist Aufgabe der Geschäftsführung und aller Beschäftigten.

In der EU setzt die Datenschutz-Grundverordnung (DSGVO) die maßgeblichen Richtlinien fest. Sie schreibt den Unternehmen und Organisationen vor, ein „angemessenes Schutzniveau“ für die Arbeit mit personenbezogenen Daten sicherzustellen. Dies geschieht im Rahmen technischer und organisatorischer Maßnahmen (TOM), die die Datensicherheit gewährleisten sollen.

In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die Vorschriften der DSGVO.

Unter Umständen sind weitere Vorschriften zu berücksichtigen, etwa aus dem Steuerrecht, aus Tarifverträgen oder betrieblichen Vereinbarungen.

Jede Verarbeitung personenbezogener Daten ist gesetzlich zu begründen. Dies kann durch die DSGVO, das BDSG-neu und weitere Rechtsvorschriften erfolgen.

Generell gilt, dass Unternehmen und Organisationen nur dann personenbezogene Daten erheben, verarbeiten und speichern dürfen, wenn die betroffene Person dem ausdrücklich zugestimmt hat.

Ferner ist die Verarbeitung nur dann rechtmäßig, wenn sie erforderlich ist, um

• einen Vertrag, vorvertragliche Maßnahmen oder eine rechtliche Verpflichtung zu erfüllen,
• lebenswichtige Interessen zu schützen,
• eine Aufgabe im öffentlichen Interesse wahrzunehmen,
• ein berechtigtes Interesse des Verantwortlichen oder eines Dritten zu wahren.

Wenn man eine Datenschutzverletzung entdeckt, sollte man sich sofort an den Vorgesetzten oder den Datenschutzbeauftragten wenden. Der Vorfall ist umgehend der zuständigen Aufsichtsbehörde zu melden.

Dafür ist ein kurzer Bericht zu erstellen, der aufzeigt, welche Daten verloren oder gelöscht wurden. Darin soll auch beschrieben werden, wie es zu dem Datenverlust gekommen ist und welcher Schaden entstanden sein könnte. Der Bericht geht anschließend an den Vorgesetzten. Mit dem Bericht kann das Unternehmen der Aufsichtsbehörde erklären, was passiert ist und welche Gegenmaßnahmen ergriffen worden sind.

Wie sich solche Vorfälle künftig verhindern lassen, sollte das Unternehmen in Betriebsvereinbarungen oder Arbeitsanweisungen regeln.