Mitarbeiterschulungen zum Datenschutz – Die häufig übersehene Organisationspflicht

​veröffentlicht am 7. Oktober 2019

Das Risiko, im Falle einer nicht nachweisbaren Mitarbeiterschulung bei einem Datenschutz-Bußgeld in ein Organisationsverschulden zu laufen, wird leicht unterschätzt. Wenn die Zeitbudgets des Datenschutzbeauftragten dies nicht hergeben, kann eine Online-Schulung die geeignete Alternative sein – sofern denn die Online-Schulung die konkreten Tätigkeiten des öffentlichen Dienstleisters ausreichend realitätsnah abbildet.

Nach Artikel 24 Abs. 1 der DSGVO ist der Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen umzusetzen, um ein dem Risiko angemessenes Schutzniveau für die Sicherheit der personenbezogenen Daten nachweisen zu können. In den meisten Unternehmen des öffentlichen Sektors, seien es die Verwaltung selbst oder Eigenbetriebe wie beispielsweise Krankenhäuser, Kitas oder auch Pflegeeinrichtungen, kommen die Mitarbeiter permanent und in großem Umfang mit personenbezogenen Daten in Berührung.

MITARBEITERSCHULUNG ALS PFLICHTAUFGABE

Die Gewährleistung einer angemessenen Sicherheit personenbezogener Daten ist also ohne ein datenschutzkonformes Verhalten der Mitarbeiter nicht zu erreichen. Damit zählt das aktive und nachweisbare Bemühen der Verantwortlichen um dieses datenschutzkonforme Verhalten aller Mitarbeiter unmittelbar zu den Nachweispflichten im Sinne des Absatzes 2 in Art. 5 DSGVO („Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘)”).

Gesetzliche Vertreter einer Organisation sind verpflichtet, Maßnahmen zu ergreifen, um das rechtskonforme Verhalten der Organisation zu gewährleisten. Anderenfalls besteht im Fall eines Verstoßes ggf. der Verdacht auf ein sogenanntes Organisationsverschulden. Datenschutzrechtliche Pflichten der Organisation sind von dieser Legalitätspflicht ebenso umfasst wie alle anderen rechtlichen Vorschriften.

Zur Vermeidung eines Rechtsverstoßes ist es also dringend geboten, eine aktuelle, auf die neue Rechtslage angepasste Datenschutzschulung für alle Mitarbeiter durchzuführen und diese auch auf Ebene des einzelnen Teilnehmers zu dokumentieren.

INHALTE DER MITARBEITERSCHULUNG MÜSSEN RELEVANT SEIN

Der praktische Nutzen einer Datenschutzschulung hängt vor allem davon ab, ob tatsächlich die alltäglichen Fragen und Nöte der Mitarbeiter in Sachen Datenschutz angesprochen und beantwortet werden. Standardlösungen ohne Bezug zur Arbeitswirklichkeit der Mitarbeiter wirken demgegenüber eher kontraproduktiv. Auch bei einer lediglich ausführlichen Wiedergabe der Rechtsvorschriften in den Originalformulierungen besteht eine Gefahr von Demotivation.

Daher ist es empfehlenswert, neben Grundwissen zu personenbezogenen Daten und den Vorgaben der DSGVO vor allem realitätsnahe Inhalte und Probleme anzusprechen. Im Bereich einer Kita zählen dazu beispielsweise:

• Schweigepflicht und Datengeheimnis
• Arbeitsvertragliche Pflichten, berufsrechtliche Pflichten
• Datenschutzkonformes Verhalten auch außerhalb der Dienstzeiten
• Organisatorische Grundlagen des Datenschutzes im Unternehmen
• Rechtsgrundlagen der Datenverarbeitung in der Kita
• Richtlinien und Prozessvorgaben, auch diese haben Bezug zum Datenschutz
• Besondere personenbezogene Daten
• Typische Missverständnisse zum Datenschutz
• Datenschutz am Arbeitsplatz, bei der IT-Nutzung
• Schnuppertag, Warteliste, Aufnahme neuer Kinder
• Betreuungsvertrag und Einwilligungserklärung
• Alltag in der Kindergruppe, Eltern und Sorgeberechtigte, Erkrankungen
• Schnittstellen zu Kostenträgern, Ämtern, Schulen
• Feste in der Kita, Fotos
• Website, IT-Unterstützung

VIDEOTUTORIAL ALS BRANCHENGEEIGNETE ALTERNATIVE ZUR PRÄSENZSCHULUNG

Die Unterrichtung der Beschäftigten zum Datenschutz zählt nach Art. 39 Abs. 1 lit a) DSGVO zu den gesetzmäßigen Aufgaben des Datenschutzbeauftragten. Häufig wird jedoch die Option eines externen Datenschutzbeauftragten oder eines gemeinsamen Datenschutzbeauftragten für mehrere Gebietskörperschaften genutzt. Die Wahrnehmung von Schulungsterminen durch diesen Datenschutzbeauftragten ist dann oftmals mit Zusatzkosten verbunden oder die Termine finden aus Zeitmangel des DSB faktisch doch nicht statt. Im Bereich von Krankenhäusern und Pflege kommt hinzu, dass die traditionelle Präsenzschulung als Schulungsformat mit Nachteilen behaftet ist, da die Mitarbeiter im Schichtdienst tätig sind und daher nicht alle Mitarbeiter mit einem einzigen Termin erreicht werden können. Krankheiten, Fortbildungen und Urlaube schlagen weitere Lücken in die Anwesenheit der Mitarbeiter.

Rödl & Partner hat Videotutorials zum Datenschutz speziell für Kindertagesstätten, für Krankenhäuser und für Pflegeeinrichtungen entwickelt, die jeweils die branchenspezifischen Fragestellungen verständlich beantworten und mit deren Hilfe systemgestützt der erforderliche Nachweis einer vollständigen Mitarbeiterschulung im Datenschutz geführt werden kann. Infos sind online hier abrufbar.