DAT-03 | Datenschutz, KI & Informationssicherheit | Gilt für jedes Unternehmen mit Datenverarbeitung
Die meisten Datenpannen entstehen nicht durch Hackerangriffe, sondern durch die E-Mail an den falschen Verteiler, den offenen Aktenschrank oder den USB-Stick im Zug. Dagegen hilft keine Technik, sondern nur, dass Deine Leute wissen, worauf es ankommt.
GILT DAS FÜR DICH?
Für jedes Unternehmen, das personenbezogene Daten verarbeitet - also praktisch für alle. Die Verpflichtung ergibt sich nicht aus einer einzelnen Vorschrift, sondern aus dem Zusammenspiel von Art. 32 DSGVO (Zuverlässigkeit der handelnden Personen) und Art. 39 DSGVO (Sensibilisierung und Schulung als Aufgabe des Datenschutzbeauftragten).
Besonders wichtig für Funktionen mit erhöhtem Risiko: HR (Bewerber- und Beschäftigtendaten), IT (Zugriff auf alles), Kundenservice (Auskunftsersuchen) und Vertrieb (Marketingeinwilligungen).
DAS MUSST DU TUN
- Führe eine jährliche Basisschulung Datenschutz für alle Mitarbeitenden durch. 30 bis 45 Minuten E-Learning reichen aus, wenn die Inhalte stimmen.
- Mache sie konkret statt abstrakt: Was tue ich, wenn ich eine E-Mail an den falschen Empfänger geschickt habe? Wie erkenne ich ein Auskunftsersuchen? Was darf ich in ein KI-Tool eingeben? Wann darf ich Kundendaten auf den Privatrechner laden?
- Ergänze Vertiefungsmodule für Risikofunktionen - für HR zum Beispiel Bewerberdaten und Löschfristen, für IT die Protokollierung und Zugriffskonzepte.
- Schule neue Mitarbeitende in der ersten Woche, nicht erst beim nächsten Jahresturnus.
- Dokumentiere die Teilnahme mit Name, Datum und Inhalt. Ohne Nachweis hat die Schulung im Prüfungsfall nicht stattgefunden.
- Ergänze die Schulung um kurze Erinnerungen im Jahresverlauf - ein Intranetbeitrag nach einem realen Vorfall wirkt oft stärker als das Pflichtmodul.
GRÜN IST ES, WENN ...
Alle Mitarbeitenden haben im laufenden Jahr an einer Datenschutzschulung teilgenommen, Risikofunktionen haben zusätzliche Module absolviert, und die Teilnahme ist dokumentiert.
DIESE NACHWEISE BRAUCHST DU
Schulungsreport mit Teilnahmequote und Datum, Schulungsunterlagen mit Versionsstand, Onboarding-Checkliste.
DIE RECHTSGRUNDLAGE
- Art. 32 DSGVO - Sicherheit der Verarbeitung: Verlangt unter anderem, dass Personen mit Zugang zu personenbezogenen Daten diese nur auf Weisung verarbeiten. Das setzt voraus, dass sie wissen, was sie dürfen.
- Art. 39 Abs. 1 lit. b DSGVO - Sensibilisierung und Schulung: Benennt Schulung und Sensibilisierung ausdrücklich als Aufgabe des Datenschutzbeauftragten - und setzt damit voraus, dass sie stattfindet.
- Art. 5 Abs. 2 DSGVO - Rechenschaftspflicht: Der Nachweis der Schulung ist regelmäßig einer der ersten Punkte, nach denen eine Aufsichtsbehörde nach einer Datenpanne fragt.
TYPISCHE STOLPERFALLEN
- Unvollständige Quoten. 70 Prozent Teilnahme sind kein Nachweis, sondern ein Befund.
- Immer dieselben Folien. Wenn sich der Inhalt seit Jahren nicht ändert, sinkt die Aufmerksamkeit gegen null.
- Keine Rollenmodule. Das HR-Team braucht andere Inhalte als die Produktion.
- Geschäftsführung nimmt nicht teil. Damit fehlt der Nachweis für die eigene Sorgfalt genau dort, wo es zählt.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Schulung ist der günstigste Schutz - vorausgesetzt, Du kannst sie auch nachweisen. Genau dafür ist das Lernsystem gebaut.
Compliance.Learning: Jährliche Datenschutzschulung für alle, Vertiefungsmodule für HR und IT, Onboarding-Zuweisung in Woche eins - mit automatischer Dokumentation der Teilnahme.
Phishing Awareness / Security Checks: Simulierte Phishing-Kampagne mit Auswertungsbericht: Sie zeigt belastbar, wo die Sensibilisierung noch nicht greift.
Mehr zum Thema: Datenschutzgrundverordnung auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
