Über die DSGVO

Warum Sensibilisieren?

Datenschutzbelehrung für Mitarbeiter/innen nach der EU-Datenschutzgrundverordnung (DSGVO).

Die EU-Datenschutzgrundverordnung (DSGVO) ist seit dem 25. Mai 2018 verbindlich anzuwenden. Die nachfolgenden Ausführungen geben eine erste Hilfestellung zur Datenschutzbelehrung des Arbeitgebers gegenüber Mitarbeiter/innen, die selbst personenbezogene Daten – beispielsweise Kundendaten – verarbeiten, und zeigen auf, welche Punkte im Rahmen einer solchen Belehrung insbesondere zu berücksichtigen sind.

Zur schnellen Orientierung sind Kernaussagen hervorgehoben. Die weiterführenden Erläuterungen vertiefen die jeweiligen Fragen.

Ist die Datenschutzbelehrung zwingend vorgeschrieben?

Eine Datenschutzbelehrung der Mitarbeiter/innen ist erforderlich, da Verantwortliche organisatorische Maßnahmen für hinreichende Datensicherheit sowie für die Sicherstellung und Nachweisbarkeit datenschutzkonformer Datenverarbeitung im Unternehmen erbringen müssen.

Die DSGVO und auch das BDSG sehen keine ausdrücklich ausgestaltete Belehrungspflicht vor. Dennoch ergibt sich die Notwendigkeit insbesondere daraus, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen treffen muss, die eine angemessene Sicherheit personenbezogener Daten gewährleisten.

Art. 5 Abs. 1 lit. f) DSGVO verlangt insbesondere Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung. Art. 32 Abs. 4 DSGVO verlangt darüber hinaus Schritte, mit denen sichergestellt wird, dass unterstellte natürliche Personen mit Zugang zu personenbezogenen Daten diese grundsätzlich nur auf Anweisung des Verantwortlichen verarbeiten.

Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche für die Einhaltung der Grundsätze der Datenverarbeitung verantwortlich und muss deren Einhaltung nachweisen können. Art. 24 Abs. 1 DSGVO ergänzt dies durch die Verpflichtung, geeignete technische und organisatorische Maßnahmen umzusetzen, zu überprüfen und erforderlichenfalls zu aktualisieren. Eine dokumentierte Datenschutzbelehrung der Mitarbeiter/innen trägt zu diesem Nachweis bei.

Auch im Rahmen der Auftragsverarbeitung bestehen entsprechende Anforderungen. Personen, die personenbezogene Daten verarbeiten dürfen, müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und personenbezogene Daten grundsätzlich nur auf Weisung verarbeiten.

Gibt es einen gesetzlich vorgeschriebenen Mindestinhalt für eine solche Datenschutzbelehrung?

DSGVO und BDSG treffen keine konkreten Vorgaben zu einem allgemeinen Mindestinhalt. In der Praxis verarbeitet jedoch nicht jede/r Mitarbeiter/in dieselben personenbezogenen Daten. Deshalb sollte die Grundsensibilisierung abhängig vom jeweiligen Aufgabenbereich erweitert werden.

Wer beispielsweise Zugriff auf ein CRM-System oder auf Personaldaten hat, benötigt andere und teilweise weitergehende Hinweise als Beschäftigte, die nur selten mit personenbezogenen Daten in Berührung kommen. Eine Grundsensibilisierung im Datenschutz ist für alle Mitarbeitenden sinnvoll; darüber hinaus sollte geprüft werden, welche bereichsspezifischen Inhalte erforderlich sind.

Worüber muss jede/r Mitarbeiter/in datenschutzrechtlich belehrt werden?

Gesetzlich vorgeschrieben ist kein Mindestinhalt einer allgemeinen Datenschutzbelehrung. Für eine Grundsensibilisierung sollten insbesondere folgende Punkte berücksichtigt werden:

• Bedeutung des Datenschutzes
• Begriff und Erkennbarkeit personenbezogener Daten
• Begriff der Datenverarbeitung
• Kategorien personenbezogener und besonders sensibler Daten
• Grundsätze für die Verarbeitung personenbezogener Daten
• Voraussetzungen der Rechtmäßigkeit einer Verarbeitung
• Datensicherheit, Internetnutzung und Social Media
• Mögliche Folgen von Datenschutzverstößen
• Interne und externe Ansprechpartner bei Datenschutzfragen
• Dokumentation der Belehrung, beispielsweise über Vertraulichkeits- oder Datenschutzerklärungen

Wie oft muss eine Datenschutzbelehrung vorgenommen werden?

Die DSGVO und das BDSG geben keine festen Wiederholungsfristen vor. Eine Datenschutzbelehrung sollte jedoch zumindest bei der Einstellung – noch vor dem ersten Datenverarbeitungsvorgang – sowie bei wesentlichen Änderungen im Datenschutzrecht oder im Aufgabenbereich erfolgen.

Darüber hinaus sollte die Datenschutzbelehrung regelmäßig wiederholt und dokumentiert werden. Geeignete technische und organisatorische Maßnahmen sind nach Art. 24 Abs. 1 DSGVO erforderlichenfalls zu überprüfen und zu aktualisieren.

Welche Methodik ist für die Datenschutzbelehrung vorgeschrieben?

Eine besondere Methodik ist gesetzlich nicht vorgeschrieben. Aufgrund der Nachweisbarkeit sollte die Datenschutzbelehrung schriftlich oder elektronisch dokumentiert werden. Bei Schulungen kann dies beispielsweise über ein Teilnahmezertifikat erfolgen, das auch die behandelten Inhalte ausweist.