Art. 39 Abs. 1 b) DSGVO

Eine der gesetzlichen Pflichten des Datenschutzbeauftragten ist die Schulung der mit der Verarbeitung personenbezogener Daten regelmäßig betrauten Mitarbeiterinnen und Mitarbeiter. Schulungsgegenstand sind die im konkreten Fall einschlägigen Vorschriften der DSGVO, des BDSG sowie ggf. darüber hinaus von Spezialgesetzen, aber auch die Inhalte von Betriebsvereinbarungen, Arbeitsanweisungen, etc.

Zu schulende Personen

Nicht alle, sondern nur diejenigen Beschäftigten, welche im Unternehmen regelmäßig personenbezogene Daten verarbeiten, müssen geschult werden. Gleichgültig dabei ist der Anteil der personenbezogenen Tätigkeit an der Gesamtbeschäftigung ebenso, wie der arbeitsrechtliche Status (Angestellter, Auszubildender, Praktikant, Rehabilitant, Scheinselbständiger, Teilzeit- oder Vollzeitkraft, geringfügig Beschäftigter, etc.). Wer allerdings nur gelegentlich mit personenbezogenen Daten arbeitet, z. B. als Abwesenheitsvertretung, bedarf nicht zwingend der Schulung, empfehlenswert ist es jedoch, auch diesen Personenkreis mit einzubeziehen.

Form der Schulungen

Das Gesetz schreibt nicht konkret vor, in welcher Art und Weise die Schulungen zu erfolgen haben. Im Gesetzestext der DSGVO findet sich bei den Aufgaben des Datenschutzbeauftragten im Art. 39 Abs. 1 lit. b) lediglich die Formulierung „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter“. Dennoch sollte bei der Wahl der Schulungsmethode berücksichtigt werden, dass die Schulungen nicht nur erforderlich sind, um eine hinreichende Sensibilisierung in Sachen Datenschutz herzustellen. Vielmehr sind sie die Grundlage für die Fähigkeit der verantwortlichen Stelle, datenschutzkonform zu arbeiten. Auch für die Mitarbeiterinnen und Mitarbeiter selbst ist die Form der Schulung von großer Bedeutung. Sie müssen sich verpflichten, sämtliche Anforderungen des Datenschutzes bei ihrer Arbeit einzuhalten (Verpflichtung auf das Datengeheimnis, Art. 32 Abs. 4 DSGVO). Somit ist es erforderlich, den Beschäftigten die sie im konkreten Fall am Arbeitsplatz treffenden Verpflichtungen zu erläutern.

Aus dem Gesagten ergibt sich, dass die Schulungen nicht verallgemeinert gehalten werden sollten. Vielmehr bedarf es einer arbeitsplatzspezifischen Unterweisung (empfohlene Inhalte der Mitarbeiterschulung). Ferner sollte sich im günstigsten Fall aus der bloßen (einseitigen) Schulung ein Dialog zwischen den Beschäftigten und dem Datenschutzbeauftragten entwickeln können. Ob es sinnvoll ist, die Schulung pauschal für alle Mitarbeiterinnen und Mitarbeiter oder tätigkeitsspezifisch (z.B. durch separate Veranstaltungen für Beschäftigte der Personalabteilung und Betriebsratsmitglieder, Vertriebsmitarbeiter, Kundenbetreuer etc.) abzuhalten, entscheidet der Datenschutzbeauftragte. Hier sind in der Regel wirtschaftliche Faktoren ausschlaggebend. In jedem Falle müssen aber die für die einzelnen Gruppen einschlägigen gesetzlichen Bestimmungen erörtert werden.

Vielfach stellt sich die Frage, ob die Schulungen zwingend in der Form von Präsenzveranstaltungen vom Datenschutzbeauftragten abgehalten werden müssen, oder ob sich dieser auch externer Hilfe bedienen oder andere Schulungsmittel (Rundschreiben, einen eigenen Auftritt im Intranet, interaktive Schulungsmodule mit Leistungsnachweisen etc.) bedienen kann. Letztere Maßnahmen bergen gegenüber der direkten und persönlichen Schulungen mehrere Nachteile:

• Der Datenschutzbeauftragte kann sich nicht in Persona vorstellen,
• es kann so kaum der gewünschte Dialog zwischen dem Datenschutzbeauftragten und den Beschäftigten entstehen und
• die von den Beschäftigten erzielten Leistungen und deren Verständnis der Gesamtproblematik lassen sich nur schwer erkennen und prüfen.

Aus den genannten Gründen sollte zumindest die Erstschulung in Form eines vom Datenschutzbeauftragten gegebenen Seminars durchgeführt werden. Allerdings kann sich der Datenschutzbeauftragte externer wie interner Hilfskräfte bei der Durchführung der Schulungsmaßnahme bedienen.

Folgeschulungen

Der Gesetzgeber schreibt nicht vor, dass einer Grundschulung in regelmäßigen Abständen Folgeschulungen anschließen müssen. Häufig wird sich dieses aber aus der im Gesetz benannten Pflicht ergeben, da demnach der Datenschutzbeauftragte die Beschäftigten mit den „besonderen Erfordernissen des Datenschutzes“ vertraut machen soll. Spätestens also dann, wenn sich das rechtliche Anforderungsprofil aufgrund neuer Rechtsprechung oder reformierter Gesetze ändert, bedarf es einer Nachschulung. Schulungsbedarf kann ebenfalls durch innerbetriebliche Umstrukturierungen entstehen, oder dann, wenn neue Verfahren oder Zweckbestimmungen eingeführt werden sollen. Insbesondere für die Durchführung der Folgeschulungen stehen dem Datenschutzbeauftragten neben der Präsenz-Schulung noch andere Maßnahmen zur Verfügung, s.o.

Neue Mitarbeiterinnen und Mitarbeiter

Auch neue Mitarbeiterinnen und Mitarbeiter müssen durch den Datenschutzbeauftragten geschult werden. Neu bezieht sich hierbei nicht zwingend darauf, dass jemand neu in das Unternehmen aufgenommen wurde. Neu kann hier auch bedeuten, dass ein Beschäftigter in eine andere Abteilung oder einen anderen Tätigkeitsbereich versetzt wurde. Erfolgten die Schulungen arbeitsplatzspezifisch (s.o.), würde auch dies eine erneute Schulung erforderlich machen.

Allerdings bedeutete es für den Datenschutzbeauftragten einen großen, bisweilen gar unzumutbaren Zustand, jede neue Mitarbeiterin, jeden neuen Mitarbeiter sogleich zu schulen. Vielmehr wird es ihm, insbesondere in größeren Unternehmen, zugestanden werden müssen, zunächst einige Zeit abzuwarten und dann mehrere neue Beschäftigte der Schulung zu unterziehen. Die dazwischenliegende Zeitspanne kann durch die Herausgabe von Druckwerken oder ähnlichen Mitteln überbrückt werden.

Allerdings bedeutete es für den Datenschutzbeauftragten einen großen, bisweilen gar unzumutbaren Zustand, jede neue Mitarbeiterin, jeden neuen Mitarbeiter sogleich zu schulen. Vielmehr wird es ihm, insbesondere in größeren Unternehmen, zugestanden werden müssen, zunächst einige Zeit abzuwarten und dann mehrere neue Beschäftigte der Schulung zu unterziehen. Die dazwischenliegende Zeitspanne kann durch die Herausgabe von Druckwerken oder ähnlichen Mitteln überbrückt werden.

Zusammenarbeit mit anderen Organisationseinheiten

Zwar ist der betriebliche Datenschutzbeauftragte zuständig für die ordnungsgemäße Durchführung der Schulungen, doch wird er bei deren Planung und Vorbereitung mit anderen Personen oder Stellen im Unternehmen zusammenarbeiten müssen, um die Maßnahme zum Erfolg führen zu können. Insbesondere muss die Unternehmensleitung eingebunden werden, da sie die erforderlichen Ressourcen bereitstellen muss. Ferner bedarf es der Zusammenarbeit mit den Leiterinnen und Leitern derjenigen Fachabteilungen, in welchen mit personenbezogenen Daten gearbeitet wird. Diese müssen die zu schulenden Beschäftigten benennen und organisatorisch dafür Sorge tragen, dass sie für die Maßnahme freigestellt werden können.

Freistellung, Nachweis

Da es sich bei den Datenschutz-Schulungen um betriebliche Pflichtveranstaltungen handelt, müssen sie während der Arbeitszeit vorgenommen werden. Die Beschäftigten sind freizustellen. In der Praxis wird es sich zumeist nicht vermeiden lassen, mehrere Schulungsdurchgänge vorzunehmen, bis alle betreffenden Mitarbeiterinnen und Mitarbeiter geschult sind. Es empfiehlt sich für den Datenschutzbeauftragten, eine Anwesenheitsliste zu führen, um ggf. die Erfüllung der ihn treffenden gesetzlichen Pflichten nachweisen zu können.