7 Tipps zur Sensibilisierung Ihrer Mitarbeitenden

Die Sensibilisierung von Mitarbeitenden gehört zu den wichtigsten organisatorischen Maßnahmen, die Datenschutzbeauftragte und Verantwortliche zur Vermeidung von Datenschutzverletzungen und IT-Sicherheitsvorfällen einsetzen können. Die Erfahrungen zeigen, dass die meisten Datenschutzverletzungen durch Unwissenheit oder mangelnde Sensibilität der Mitarbeitenden erfolgen. Gleichzeitig besteht hier großer Nachholbedarf.

Laut einer SVBM-Umfrage sehen drei Viertel der befragten externen Datenschutzbeauftragen und 71 % der Geschäftsführungen und Datenschutzkoordinationen den größten Handlungsbedarf in der Sensibilisierung von Mitarbeitenden – weit vor anderen Maßnahmen wie z. B. dem Umgang mit Datenschutzverletzungen. Auch die Hälfte der internen Datenschutzbeauftragten schätzt den Handlungsbedarf (nach VVT-Erstellung) in der Sensibilisierung am größten ein.

Wir haben anhand von sieben Tipps zusammengefasst, wie Sie das Risiko „Mensch“ nachhaltig reduzieren können. 

Es steht zwar in keinem Datenschutzgesetz direkt geschrieben, dass die Sensibilisierungs- und geeignete Schulungsmaßnahmen verpflichtend für die Mitarbeitenden durchzuführen sind (vgl. Arbeitssicherheit). Allerdings ergibt sich aus den in der DSGVO geregelten Aufgaben von Datenschutzbeauftragten (Art. 39) und der Pflicht von Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen (Art. 24), dennoch eine Verpflichtung, die Belegschaft zu schulen und zu sensibilisieren.

Ob mit oder ohne gesetzliche Verpflichtung: Sie sollten für alle Mitarbeitenden, die mit personenbezogenen Daten agieren und in Kontakt kommen, die Sensibilisierungs- und Schulungsmaßnahmen zur „Pflichtveranstaltung“ erklären. Bedenken Sie: „Eine Kette ist immer nur so stark wie ihr schwächtes Glied!“

Dabei gilt: Es geht nicht darum, nur den gesetzlichen Anforderungen Genüge zu tun. Es geht darum, die Mitarbeitenden für das Thema zu sensibilisieren um Schäden – z. B. durch eine unrechtmäßige Datenverarbeitung – von Betroffenen (Kundinnen und Kunden, Mitarbeitenden, Bewerber:innen etc.) und somit auch von Ihrer Organisation fernzuhalten. Dies führt unweigerlich auch zum datenschutzkonformen Handeln der Mitarbeitenden im operativen Tagesgeschäft. 

Aus Art. 5 Abs. 2 DSGVO ergibt sich für Verantwortliche eine Rechenschaftspflicht. Das heißt, sie müssen nachweisen können, dass sie die Vorgaben des Datenschutzgesetzes einhalten. Dazu zählen auch Schulungs- und Sensibilisierungsmaßnahmen.

Den Nachweis können Sie auf unterschiedliche Weise erbringen. Beim E-Learning z. B. ist technisch leicht nachvollziehbar, welche Mitarbeitenden wann die Schulung durchgeführt haben. Bei Präsenzschulungen können Sie unterschriebene Anwesenheitslisten führen. 

Vor allem bei Präsenzschulungen kann es sich unter Umständen anbieten, verwandte Themen wie Informationssicherheit oder die Wahrung von Betriebsgeheimnissen zu ergänzen. Achten Sie allerdings darauf, dass die Schulung nicht zu lang wird. Nach einer gewissen Zeit lässt die Aufnahmefähigkeit deutlich nach.

Eine Schulung beim Arbeitsantritt und fertig – das reicht in der Regel nicht aus. Inhalte und Anforderungen sind schnell wieder vergessen. Deshalb sollten Sie Ihre Mitarbeitenden regelmäßig sensibilisieren und die Inhalte auffrischen. Wir empfehlen einen jährlichen bzw. maximal zweijährlichen Turnus.

Die Anforderungen an Datenschutz und IT-Sicherheit können sich je nach Abteilung deutlich unterscheiden. Mitarbeitende in der Produktion haben z. B. kaum Zugang zu personenbezogenen Daten. Ihre Personalabteilung hingegen verarbeitet täglich eine Vielzahl personenbezogener Daten, teils sensibler Natur. Auf diese Unterschiede sollten Sie bei Ihren Sensibilisierungsmaßnahmen eingehen und die Inhalte den Anforderungen der jeweiligen Zielgruppe anpassen. Gleichzeitig sollten Sie Schulungen nicht unnötig aufblähen, sondern kompakt halten und Themen, die für den Arbeitsalltag keine Rolle spielen, auslassen. Daher bietet es sich in vielen Fällen an, gesonderte Sensibilisierungs- und Schulungsmaßnahmen für die einzelnen Abteilungen anzubieten.

Datenschutz kann nur funktionieren, wenn er aktiv gelebt wird. Gehen Sie hier mit gutem Beispiel voran. Wenn Datenschutzbeauftragte und Verantwortliche den Datenschutz vorleben, wird den Mitarbeitenden die Dringlichkeit des Themas bewusst und sie merken, dass der Datenschutz nicht optional ist. Sperren Sie also beispielsweise Ihren Bildschirm, wenn Sie Ihren Arbeitsplatz verlassen und thematisieren Sie den Datenschutz regelmäßig.