DSGVO-Schulungspflicht: Mitarbeiter schulen

Wer die DSGVO durchsucht, findet keinen Artikel, der eine Schulung der Mitarbeiter wörtlich als eigene, ausdrücklich benannte Verpflichtung vorschreibt. Diesen exakten Wortlaut kennt das Gesetz nicht. Trotzdem ist die Schulung der Mitarbeiter in der Praxis kaum verzichtbar, und zwar aus drei Artikeln, die zusammen dieselbe Wirkung entfalten wie eine explizite Pflicht:

• Art. 5 Abs. 2 DSGVO: Die Rechenschaftspflicht verlangt, dass Sie die Einhaltung aller Datenschutzgrundsätze nachweisen können, nicht nur behaupten.
• Art. 32 DSGVO: Zu den technischen und organisatorischen Maßnahmen zählt ausdrücklich die Sensibilisierung der mit der Verarbeitung betrauten Personen.
• Art. 39 Abs. 1 lit. b DSGVO: Der Datenschutzbeauftragte hat die Aufgabe, Mitarbeiter zu sensibilisieren und zu schulen, was ohne eine tatsächliche Schulung schwer zu erfüllen ist.

In der Aufsichtspraxis wird eine fehlende Mitarbeiterschulung regelmäßig als Indiz für unzureichende technische und organisatorische Maßnahmen gewertet, gerade wenn es zu einer Datenpanne kommt und die Behörde nachfragt, wie die Mitarbeiter vorbereitet waren.

Damit die Schulung tatsächlich als Nachweis taugt, deckt sie die Themen ab, die Aufsichtsbehörden bei der Bewertung der TOM typischerweise erwarten:

• Grundbegriffe der DSGVO und ihr Anwendungsbereich im Arbeitsalltag
• Rechtsgrundlagen der Datenverarbeitung
• Betroffenenrechte und der korrekte Umgang mit Anfragen
• Datensicherheit am Arbeitsplatz
• Meldepflicht bei Datenpannen nach Art. 33 DSGVO binnen 72 Stunden
• Grundlagen der Auftragsverarbeitung nach Art. 28 DSGVO

Jedes Kapitel wird mit Prüfungsfragen abgeschlossen, mindestens 70 Prozent müssen richtig beantwortet werden. Das macht aus der Schulung mehr als eine bloße Information, sie wird zu einem überprüfbaren Lernnachweis.

Die Online-Schulung dauert rund 90 Minuten, gliedert sich in fünf Kapitel und schließt mit einem PDF-Teilnahmezertifikat mit QR-Code zur Verifizierung ab, ein Jahr gültig. Ein Zertifikat ist dabei kein gesetzliches Muss, das Gesetz verlangt keinen bestimmten Nachweistyp. Entscheidend ist, dass die Schulung stattgefunden hat und belegbar ist, und genau dafür ist das Zertifikat der praktische Nachweis.

Die Preise: 19,90 € für eine Einzelperson, 14,90 € pro Person ab zwei Mitarbeitern, 9,90 € pro Person ab 20 Mitarbeitern, einmalig mit ordnungsgemäßer Rechnung. Für die fachliche Einordnung im Unternehmen empfiehlt sich die Abstimmung mit dem Datenschutzbeauftragten, etwa Patrick Rempfer, der Provimedia-Kunden extern in Datenschutzfragen berät und die Schulung als sinnvollen Baustein der Rechenschaftspflicht einordnet.