Die DSGVO enthält kein Kapitel „Schulung“. Die Pflicht ergibt sich aus mehreren Vorschriften zusammen — und sie wird in der Praxis fast immer über den Nachweis geprüft. Zehn Fragen dazu, was verlangt wird und was nicht.
Ja — aber nicht, weil es einen Artikel „Schulungspflicht“ gäbe. Die Pflicht entsteht aus drei Vorschriften zusammen: Sie müssen sicherstellen, dass Ihre Beschäftigten personenbezogene Daten nur auf Ihre Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO), Sie müssen dafür geeignete organisatorische Maßnahmen treffen (Art. 24 Abs. 1) und Sie müssen beides nachweisen können (Art. 5 Abs. 2). Ohne Unterweisung lässt sich keiner dieser drei Punkte erfüllen.
Ausführlich lesen →Alle, die in ihrer Arbeit mit personenbezogenen Daten in Berührung kommen — und das sind in fast jedem Betrieb alle. Die Pflicht hängt nicht am Schreibtisch und nicht am Computer, sondern an der Berührung mit Daten: Der Lagermitarbeiter sieht Lieferscheine mit Namen und Adressen, die Reinigungskraft entsorgt Papierkörbe mit Kundenunterlagen, der Monteur hat Kundentermine und Telefonnummern auf dem Dienst-Handy.
Ausführlich lesen →Das Gesetz nennt keine Frist. Verlangt wird, dass die Maßnahme wirksam ist und bleibt (Art. 24 Abs. 1 DSGVO: „überprüft und erforderlichenfalls aktualisiert“). Eine Unterweisung von 2019, auf die seitdem nichts folgte, erfüllt das nicht — nicht weil eine Frist abgelaufen wäre, sondern weil Wissen verblasst und sich die Lage geändert hat.
Ausführlich lesen →So lange, wie der Stoff braucht — eine Mindestdauer steht nirgends. Für eine allgemeine Sensibilisierung von Beschäftigten ohne besondere Datenschutzaufgaben sind 45 bis 60 Minuten ein üblicher und gut begründbarer Umfang. In dieser Zeit lassen sich Grundbegriffe, die wichtigsten Prinzipien, die Regeln für den eigenen Arbeitsplatz und das Verhalten im Pannenfall vermitteln.
Ausführlich lesen →Mit Unterlagen, die vier Dinge belegen: wer teilgenommen hat, wann, mit welchem Inhalt und mit welchem Ergebnis. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt den Nachweis — nicht die Behauptung. In der Praxis heißt das: eine Teilnehmerliste oder ein Teilnahmenachweis pro Person, das Datum, die Inhaltsübersicht beziehungsweise das Schulungsmaterial, und bei Online-Schulungen die Auswertung der Lernkontrolle.
Ausführlich lesen →Nein. Eine Unterschrift unter „Ich wurde über den Datenschutz informiert“ belegt, dass jemand etwas unterschrieben hat — nicht, dass eine Unterweisung stattgefunden hat. Verlangt ist nach Art. 32 Abs. 4 DSGVO, dass Sie sicherstellen, dass Beschäftigte Daten nur auf Anweisung verarbeiten. Eine Unterschrift stellt nichts sicher, sie dokumentiert nur.
Ausführlich lesen →In der Regel keine Schulung, sondern Unterlagen. Eine Prüfung beginnt fast immer schriftlich: Die Behörde schickt einen Fragebogen oder ein Auskunftsverlangen und bittet um Nachweise — Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, und darin regelmäßig die Frage, wie und wann Beschäftigte geschult wurden.
Ausführlich lesen →Für eine fehlende Schulung allein wird in der Praxis selten ein Bußgeld verhängt — sie wirkt als Verstärker. Kommt es zu einem Vorfall, dann wird geprüft, ob die Organisation dahinter stimmte. Fehlt die Unterweisung, fällt der mildernde Umstand aus Art. 83 Abs. 2 lit. d DSGVO weg, und derselbe Vorfall wird teurer bewertet als bei einem Unternehmen, das seine Beschäftigten nachweislich geschult hat.
Ausführlich lesen →Die beiden Fragen hängen nicht zusammen. Ob Sie einen Datenschutzbeauftragten brauchen, richtet sich in Deutschland nach § 38 Abs. 1 BDSG: Pflicht ist er, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dazu kommen die Fälle aus Art. 37 Abs. 1 DSGVO, etwa umfangreiche Verarbeitung besonderer Datenkategorien oder eine erforderliche Datenschutz-Folgenabschätzung.
Ausführlich lesen →Bevor er mit personenbezogenen Daten arbeitet — nicht beim nächsten Sammeltermin. Die Pflicht aus Art. 32 Abs. 4 DSGVO, sicherzustellen, dass Beschäftigte Daten nur auf Anweisung verarbeiten, greift am ersten Arbeitstag. Wer am Montag Zugriff auf das Kundensystem erhält und im November geschult wird, arbeitet bis dahin ohne die Unterweisung, die das Gesetz verlangt.
Ausführlich lesen →