Ein Verantwortlicher, der Maßnahmen zum Schutz und der Sicherheit personenbezogener Daten implementiert hat, muss auch sicherstellen, dass die Beschäftigten entsprechendes Wissen zum Datenschutz besitzen. Das bedeutet, er muss die Sensibilisierung der Beschäftigten zum Datenschutz gewährleisten.

Vorgaben aus der DSGVO

Die DSGVO spricht eine Sensibilisierung (oftmals auch unter dem Begriff „Schulung“ bekannt) Beschäftigter zum Datenschutz an einer Stelle an, nämlich Art. 39 Abs. 1 lit. b) DSGVO. Im BDSG findet eben diese weitaus mehr Erwähnung: Sowohl in § 7 Abs. 1 Nr. 2 BDSG, § 14 Abs. 1 Nr. 4 BDSG als auch § 22 Abs. 2 Nr. 3 BDSG.

Umsetzung

Wie ein Verantwortlicher die Pflicht zur Sensibilisierung der Beschäftigten letztendlich umsetzt, ist flexibel. Folgende Dinge sind dabei jedoch zu bedenken:

Wie soll die Datenschutzsensibilisierung durchgeführt werden?

Es gibt verschiedene Möglichkeiten, eine Datenschutzsensibilisierung durchzuführen.

Online-Plattform

Zum einen ist es möglich, die Sensibilisierung online via eine Plattform umzusetzen. Dabei handelt es sich meistens um „Schulungen“, die in Videoform zur Verfügung stehen und in einzelne Kapitel unterteilt sind.

Der Vorteil dieser liegt darin, dass so die Beschäftigten zeitlich flexibel und unabhängig ohne umfangreiche Organisationen und Umstände zum Datenschutz sensibilisiert werden können.

Nachteilig bei dieser Art von Schulung ist, dass es entweder nicht möglich ist, solche bereits erstellten Aufnahmen auf die jeweiligen internen Gegebenheiten anzupassen. Stellt der jeweilige Anbieter solch eine Option doch bereit, geht dies oftmals mit weiteren Kosten einher.

Live-Präsentation

Zum anderen kann sich ein Verantwortlicher natürlich auch dafür entscheiden, durch eine Person vor Ort oder per Video-Konferenz die Beschäftigten zum Datenschutz sensibilisieren zu lassen.

Hier gibt es den Vorteil, dass die vortragende Person etwaige Fragen sofort beantworten oder auch auf individuelle Themen eingehen kann.

Der Nachteil ist der, dass ein Verantwortlicher ggf. vor der Herausforderung steht, die Veranstaltung so zu organisieren, dass möglichst viele – oder ggf. alle – Beschäftigten an dieser Veranstaltung teilnehmen können. Eine Lösung für dieses Problem kann sein, dass ein Verantwortlicher die – bspw. jährliche – Datenschutzsensibilisierung im Zuge einer firmenweiten Veranstaltung durchführt.

Wer führt die Datenschutzsensibilisierung durch?

Wenn ein Verantwortlicher sich keiner Online-Plattform zunutze macht, ist es vermutlich meistens so, dass die Datenschutzbeauftragte die Sensibilisierung zum Datenschutz übernimmt. Schließlich vereint die Datenschutzbeauftragte sowohl das Datenschutzwissen als auch eine gewisse Kenntnis zu den Verarbeitungsprozessen beim Verantwortlichen in einer Person.

Häufigkeit

Die DSGVO macht keine Vorgaben dazu, wie oft ein Verantwortlicher eine Datenschutzsensibilisierung durchführen muss. Zu empfehlen ist, dass jeder Beschäftigte bei Neueinstieg in ein Unternehmen zum Datenschutz sensibilisiert wird. Etabliert hat sich inzwischen eine mindestens jährliche „Auffrischung“ zum Datenschutz für alle Beschäftigten. Vertretbar ist aber auch eine alle zwei Jahre. Letztendlich liegt es bei der Häufigkeit der Auffrischung des Datenschutzbewusstseins im Ermessen des Verantwortlichen. Hier hilft es ggf. auch zu betrachten, welche Kategorien personenbezogener Daten ein Verantwortlicher im Alltag für gewöhnlich verarbeitet. Ist die Verarbeitung personenbezogener Daten besonderer Kategorien oder solche, die ein gewisses Maß an Überwachung ermöglichen, Teil der täglichen Prozesse, so empfiehlt es sich mindestens jährlich neu zum Datenschutz zu sensibilisieren. Des Weiteren sollte ein Verantwortlicher ggf. fallbezogene Datenschutzsensibilisierungen durchführen, wenn es bspw. zu einem Datenschutzvorfall kam. Dabei hilft es sicherlich, die Schwachstellen, die den Datenschutzvorfall begünstigten, aufzugreifen und speziell die Aufmerksamkeit auf die Maßnahmen, die einen Datenschutzvorfall vermeiden sollen, zu lenken.

Dokumentation

Eine weitere Überlegung besteht darin, wie ein Verantwortlicher die Dokumentation der Datenschutzsensibilisierung vornehmen möchte.

Zum einen hilft ein Konzept hierzu, welches allgemein beschreibt, wie ein Verantwortlicher der Pflicht der Sensibilisierung der Beschäftigten zum Datenschutz nachkommt. Zum anderen ist es aber auch wichtig, festzulegen, wie der Nachweis der Umsetzung des Datenschutzsensibilisierungskonzeptes vorzunehmen ist.

Nutzt ein Verantwortlicher eine Online-Plattform für die Datenschutzsensibilisierung, ist es einerseits möglich, den Fortschritt jedes individuellen Nutzers nachzuvollziehen. Andererseits stellt der Online-Schulungsplattformbetreiber (normalerweise) auch automatisch einen entsprechenden Nachweis bereit.

Bei sonstigen Arten zur Durchführung der Schulung kann ein Verantwortlicher mithilfe von Teilnehmerlisten festhalten, welcher Beschäftigter teilgenommen hat. Eventuell ist es auch vertretbar, sich von den Beschäftigten schriftlich bestätigen zu lassen, dass sie die Datenschutzsensibilisierung durchlaufen haben. – Hier ist übrigens darauf zu achten, keine Liste, die alle Beschäftigten unterschreiben und die Unterschriften der anderen Beschäftigten damit einsehen können. Schließlich gibt es keinen Grund für alle Beschäftigten, diese Art von personenbezogenen Daten einzusehen. –

Fazit

Wichtig für einen Verantwortlichen ist also sowohl die Durchführung der Sensibilisierung zum Datenschutz der Beschäftigten als auch die Dokumentation dazu. Damit erfüllt ein Unternehmen, eine Arztpraxis, ein Krankenhaus, ein IT-Unternehmen, eine Behörde etc. also auch die Vorgaben aus der DSGVO und dem BDSG. Mit Bezug zur Dokumentation findet dann natürlich auch der Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) Erwähnung.

Falls Sie Unterstützung hierbei wünschen, kontaktieren Sie uns gern.