Art. 39 Abs. 1 b) DSGVO

Eine der gesetzlichen Pflichten des Datenschutzbeauftragten ist es, die Mitarbeiterinnen und Mitarbeiter des Verantwortlichen, welche regelmäßig personenbezogene Daten verarbeiten, zu schulen.

Diese Mitarbeiterschulungen sollten möglichst in Form eines Seminars persönlich vom betrieblichen Datenschutzbeauftragten gehalten werden, welcher allerdings Hilfskräfte hinzuziehen kann.

Die Erstschulung sollte zeitnah nach der Bestellung zum betrieblichen Datenschutzbeauftragten erfolgen, da es sich um eine gesetzliche Pflicht handelt. Andererseits sollte sich der Datenschutzbeauftragte zunächst genug Zeit belassen, um

• sich allgemein in den Themenkomplex Datenschutz in rechtlicher, technischer und organisatorischer Hinsicht einzuarbeiten,
• die konkreten betrieblichen Belange sowie Stärken und Probleme im gegenwärtigen Status zu erfassen und auszuwerten,
• selbst Sicherheit bei der Bewältigung der Gesamtaufgabe Datenschutz zu erlangen.

Erst dann ist es sinnvoll, sich dem Auditorium der Beschäftigten zu stellen, um

• Fragen möglichst unmittelbar, zutreffend und vollständig beantworten zu können,
• Perspektiven für die künftige Entwicklung des betrieblichen Datenschutzes aufzeigen zu können,
• Verständnis für individuell vorgebrachte Probleme in der betrieblichen Praxis entwickeln zu können,
• keinen Autoritätsverlust durch gefühlte oder tatsächliche Wissenslücken befürchten zu müssen.

Da es andererseits unter Berücksichtigung des Verhältnismäßigkeitsgrundsatzes dem Arbeitgeber nicht zumutbar, häufig auch gar nicht möglich ist, sämtliche Beschäftigten, welche im personenbezogenen Bereich tätig sind, gleichzeitig für die Schulung freizustellen, häufig auch einzelne Personen krankheits- oder urlaubsbedingt abwesend sind, bedarf es in der Regel mehrerer Schulungsdurchläufe, bis alle zu schulenden Mitarbeiterinnen und Mitarbeiter erreicht sind^[1].

Teilnahme und Inhalte der Schulungen sollten durch den Datenschutzbeauftragten dokumentiert werden. Im Falle einer aufsichtsbehördlichen Prüfung lässt sich nur so die Erfüllung der gesetzlichen Pflicht nachweisen.

Um die Aufmerksamkeit der Zuhörer zu steigern, aber auch um die generelle Sensibilisierung zu wecken, können über die unternehmensrelevanten Belange hinaus auch Inhalte vermittelt werden, welche (mutmaßlich) im privaten Interesse der Beschäftigten liegen (z.B. sicheres Online-Banking, Schutz vor Phishing, Schutz vor Schadsoftware, etc.). Da hierdurch jedoch der Bereich einer gesetzlichen Pflicht verlassen wird, ist die Aufnahme solcher Themen, obgleich zumeist durchaus sinnvoll, nicht mehr von der Weisungsfreiheit des Datenschutzbeauftragten erfasst. Somit sollte hierzu die Zustimmung der Geschäftsleitung und ggf. das Einvernehmen mit dem Betriebsrat eingeholt werden.

[1] Die praktische Erfahrung hat gezeigt, dass man mit drei bis vier Schulungsdurchgängen rechnen sollte.