Datenschutzschulung

Die Datenschutzschulung ist das zentrale organisatorische Instrument, mit dem ein Verantwortlicher sicherstellt, dass die Menschen, die personenbezogene Daten tatsächlich verarbeiten, die Anforderungen der DSGVO kennen und im Arbeitsalltag anwenden. Art. 39 Abs. 1 lit. b DSGVO weist dem Datenschutzbeauftragten ausdrücklich die Aufgabe zu, die Beschäftigten zu unterrichten und zu beraten sowie die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeitenden einschließlich der dazugehörigen Überprüfungen zu übernehmen. Verantwortlich für die Durchführung bleibt jedoch die Leitung des Unternehmens: Der Datenschutzbeauftragte überwacht und begleitet, er haftet nicht an Stelle des Verantwortlichen. Fehlt ein Datenschutzbeauftragter, weil die Bestellpflicht nach Art. 37 DSGVO beziehungsweise § 38 BDSG nicht greift, entfällt die Schulungspflicht nicht — sie folgt dann unmittelbar aus Art. 24 und Art. 32 DSGVO.

Rechtlich lässt sich die Schulungspflicht aus mehreren Normen zusammensetzen. Art. 32 Abs. 4 DSGVO verlangt vom Verantwortlichen und vom Auftragsverarbeiter, Schritte zu unternehmen, damit ihnen unterstellte Personen personenbezogene Daten nur auf Weisung verarbeiten — was ohne Unterweisung praktisch nicht erreichbar ist. Art. 29 DSGVO wiederholt die Weisungsbindung aus Sicht der handelnden Person, und Art. 28 Abs. 3 lit. b DSGVO verpflichtet den Auftragsverarbeiter, die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten. Schulungen zählen damit zu den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und sind zugleich Bestandteil der geeigneten Maßnahmen nach Art. 24 DSGVO. Weder DSGVO noch BDSG geben ein starres Intervall oder eine Mindestdauer vor; als Praxisstandard hat sich ein jährlicher Turnus mit anlassbezogenen Zusatzschulungen etabliert, etwa nach einer Datenpanne, bei neuen Verarbeitungen oder beim Rollout neuer Systeme.

Entscheidend für die Wirkung nach außen ist die Dokumentation. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann — eine durchgeführte, aber nicht belegbare Schulung ist im Verfahren vor einer Aufsichtsbehörde wertlos. Zu dokumentieren sind mindestens Datum, Inhalt beziehungsweise Agenda, Zielgruppe, Referent, Dauer und die Teilnahme der einzelnen Person, bei E-Learning ergänzt um Abschlussquote und Testergebnis. Bewährt haben sich zudem eine Verpflichtungserklärung auf das Datengeheimnis, ein rollenspezifisches Schulungskonzept (Vertrieb, HR, IT und Marketing haben unterschiedliche Risiken) und eine Aufbewahrung der Nachweise über die Dauer des Beschäftigungsverhältnisses hinaus im Rahmen der Verjährungsfristen. Nach einem Vorfall prüfen Aufsichtsbehörden regelmäßig, ob geschult wurde: Nachweisbare Schulungen können den Bußgeldrahmen nach Art. 83 Abs. 2 DSGVO mildernd beeinflussen, ihr Fehlen wirkt umgekehrt als Organisationsverschulden.