Home
Intern
zuletzt aktualisiert am 18. Mai 2022 | Lesedauer ca. 3 Minuten
Das Risiko, im Falle einer nicht nachweisbaren Mitarbeiterschulung bei einem Datenschutz-Bußgeld auch persönlich haftbar gemacht zu werden, wird von Geschäftsführern oft unterschätzt. Die Datenschutzschulung muss der Herausforderung gerecht werden, die Mitarbeiter in ihrem konkreten Arbeitsalltag anzusprechen. Rödl & Partner hat dazu ein Video-Tutorial speziell für Pflegeeinrichtungen und Pflegedienste herausgebracht.
Nach Artikel 32 Abs. 1 der DSGVO ist der Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau für die Sicherheit der personenbezogenen Daten zu gewährleisten. Je nach Branche kommt ein geringerer oder auch größerer Anteil der Mitarbeiter in der täglichen Arbeit mit personenbezogenen Daten in Berührung. In Sozialunternehmen – seien es Pflegeeinrichtungen, Pflegedienste, Krankenhäuser oder komplexe Sozialträger – betrifft das bspw. so gut wie jeden Mitarbeiter. Hinzu kommt, dass es sich bei den verarbeiteten personenbezogenen Daten um sensible Daten handelt, für die die besonderen Regelungen des Art. 9 DSGVO gelten.
Die Einhaltung der grundlegenden datenschutzrechtlichen Vorgaben nach Art. 5 Abs. 1 DSGVO ist also ohne ein datenschutzkonformes Verhalten der Mitarbeiter nicht zu erreichen. Damit zählt das aktive und nachweisbare Bemühen der Geschäftsführung um das datenschutzkonforme Verhalten der Mitarbeiter unmittelbar zu den Nachweispflichten des Verantwortlichen i.S.v. Art. 5 Abs. 2 DSGVO („Der Verantwortliche ist für die Einhaltung des Abs. 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).”)Wenn es zu einem Datenschutzverstoß kommen sollte und eine angemessene Schulung der Mitarbeiter nicht erfolgte oder nicht nachweisbar ist, besteht unmittelbar die Gefahr eines Bußgeldes. Nach Art. 83 Abs. 5 DSGVO drohen bei einem solchen Verstoß gegen die Grundsätze der Verarbeitung Geldbußen von bis zu 20 Mio. Euro bzw. bis zu 4 Prozent des Jahresumsatzes des vorangegangenen Geschäftsjahrs. In Rumänien erging beispielsweise im April 2022 ein Urteil, mit dem ein von der dortigen Datenschutzbehörde verhängtes Bußgeld gegen eine Bank über 100.000 Euro bestätigt wurde (Berufungsgericht Cluj, Zivilurteil Nr. 9 vom 13.04.2022). In der Bank war es zu einem sorglosen Umgang der Angestellten mit personenbezogenen Daten gekommen. Zugleich war die Bank nicht in der Lage, eine angemessene Datenschutz-Schulung der Mitarbeiter zu belegen. Dieses Fehlen wurde im vorliegenden Fall als schwerwiegende Feststellung gewertet.
Im Interesse des Unternehmens und zur Vermeidung einer persönlichen Haftung ist es also dringend geboten, eine aktuelle, auf die neue Rechtslage angepasste Datenschutzschulung für alle Mitarbeiter durchzuführen und sie auch auf Ebene des einzelnen Teilnehmers zu dokumentieren.
Für die Sozialwirtschaft bestehen zahlreiche Besonderheiten. Neben der DSGVO, dem BDSG und Landesdatenschutzgesetzen bestehen bspw. separate Gesetze der Kirchen. Im Bereich der Evangelischen Kirche in Deutschland ist das EKD-Datenschutzgesetz in Kraft getreten. Für die katholische Kirche gibt es das Gesetz über den kirchlichen Datenschutz (KDG), das für die Organisation der Kirche selbst, die Caritas und weitere kirchliche Rechtsträger gilt, sowie außerdem die Kirchliche Datenschutzregelung der Ordensgemeinschaft (KDR-OG) mit Geltung für die Ordensgemeinschaften des päpstlichen Rechts. Für sog. nicht-öffentliche Stellen gelten stets die DSGVO und bestimmte Regelungen des BDSG (neu). Mit der Bezeichnung „nicht-öffentliche Stellen” werden – allgemein umschrieben – Unternehmen und deren Handeln von staatlichen Einrichtungen abgegrenzt. Als öffentliche Stellen gelten in diesem Sinne Behörden, aber auch Krankenhäuser, Verkehrsbetriebe oder Stadtwerke. Bei ihnen ist im jeweiligen Einzelfall zu klären, ob neben der DSGVO entweder das BDSG (neu) oder das jeweilige Landesdatenschutzgesetz Anwendung findet. Für das Handeln einer öffentlichen Stelle, mit dem sie am Wettbewerb teilnehmen, gilt dieselbe Rechtslage wie für nicht-öffentliche Stellen. Für Unternehmen der Sozial- und Gesundheitswirtschaft ist daher die Beantwortung der Frage nach den geltenden Rechtsnormen nicht immer einfach.
Die Unterrichtung der Beschäftigten zum Datenschutz zählt nach Art. 39 Abs. 1 lit a) DSGVO zu den gesetzmäßigen Aufgaben des Datenschutzbeauftragten. Zahlreiche Unternehmen, so auch viele Pflegeeinrichtungen, nutzen allerdings die Möglichkeit, einen externen Datenschutzbeauftragten zu bestellen. Die Wahrnehmung von Schulungsterminen durch ihn ist dann oftmals mit Zusatzkosten verbunden. Hinzu kommt, dass die traditionelle Präsenzschulung als Schulungsformat in vielen Branchen mit Nachteilen behaftet ist, da die Mitarbeiter bspw. im Schichtdienst tätig sind und daher nicht alle mit einem einzigen Termin erreicht werden können. Krankheiten, Fortbildungen und Urlaube schlagen weitere Lücken in die Anwesenheit der Mitarbeiter.Rödl & Partner hat ein Video-Tutorial zum Datenschutz speziell für Pflegeeinrichtungen entwickelt, das die branchenspezifischen Fragestellungen verständlich beantwortet und mit dessen Hilfe der erforderliche Nachweis einer vollständigen Mitarbeiterschulung im Datenschutz leicht geführt werden kann.
Christoph Naucke
Betriebswirt (Berufsakademie), Zertifizierter Compliance Officer, Datenschutzbeauftragter DSB-TÜV, Prüfer für Interne Revisionssysteme (DIIR), Datenschutzauditor (TÜV), IT-Auditor IDW
Associate Partner
Anfrage senden
Datenschutz
Kein Themenspecial verpassen mit unserem Newsletter!
