Schulung der Beschäftigten - Muss das sein?

Sie beschäftigten in Ihrem Unternehmen Mitarbeiter? Diese arbeiten auch mit personenbezogenen Daten? Dann haben Sie sicher schon mal mit Datenschutzschulungen zu tun gehabt. Oder etwa nicht? Dann ist dieser Artikel genau richtig für Sie.

"Schwachstelle Mensch" als Ziel von Cyberkriminellen

So titelte das IT-Beratungsunternehmen Adesso in einem Artikel Anfang 2022 in einer Onlineveröffentlichung und schrieb u.a.:

"Trotz aller möglicherweise getroffenen Vorkehrungen ist und bleibt der Mensch als „Schwachstelle“ das vermeintlich schwächste Glied der Sicherheitskette, die von Cyberkriminellen zunehmend angegriffen wird."

Benennen Sie es wie Sie wollen: "Menschliches Versagen", "Fehlbarkeit" oder "schwächstes Glied". In den wenigsten Fällen verursachen Menschen Datenpannen absichtlich, um jemanden oder ein Unternehmen zu schädigen. Das Problem: Auch bei "menschlichem Versagen" haftet das Unternehmen als "Verantwortlicher der Datenverarbeitung nach außen hin:

• gegenüber Betroffenen ggf. auf Schadensersatz
• gegenüber den Aufsichtsbehörden für den Datenschutz im Rahmen von Bußgeldern
• ggf. durch Ansehens- und Reputationsverlust

Sensibilisierung

Aus Erfahrung kann ich berichten, dass viele Beschäftigte sind häufig gar nicht bewusst darüber sind, dass sie bei einem bestimmten Prozess tatsächlich personenbezogene Daten verarbeiten. Dagegen hilft am besten die erste Sensibilisierung im Datenschutz.

An dieser Stelle wird erst einmal bewusst gemacht, wo überall Datenverarbeitungen vorgenommen werden. Den Beschäftigten eine gedruckte Datenschutzbroschüre an die Hand zu geben und ihnen einen Ansprechpartner (z.B. den Datenschutzbeauftragten) für Zweifelsfälle zu nennen, ist ebenfalls ein erster und wichtiger Schritt zu weniger "menschlichem Versagen".

Schulung mit klaren Todos und Beispielen

Konkrete Beispiele bleiben am ehesten bei dem Mitarbeitern hängen. So auch ein schönes positives Beispiel aus meiner Beratungspraxis: Wenige Wochen nach der Beschäftigtenschulung im Datenschutz komme ich wieder zu dem Unternehmen und klingele an der Pforte. Eine Mitarbeiterin öffnet, erkennt mich und sagt: "Ah, Herr Giel, ich muss Sie jetzt zu Ihrem Besprechungsraum begleiten, das habe ich mal in einer Schulung gelernt".

An diesem Beispiel wird klar: Wenn die in der Schulung vermittelten Inhalte in den folgenden Wochen tatsächlich angewandt werden können, verfestigt sich das Wissen und das Verständnis für die Sache - und genau darum geht es!

"Ich habe doch keine Zeit..."

Das ist die Ausrede No.1, wenn es um den Termin für eine Datenschutzschulung geht. Die Frage ist nicht, ob Unternehmen für Schulungsmaßnahmen Zeit haben oder nicht..

Es geht darum, ob sich Unternehmen Zeit für eine Datenschutzschulung nehmen oder nicht.

Meiner Meinung nach ist eine Datenschutzschulung ein lohendes Investment, weil

• Beschäftigte verstehen besser, warum bestimmte Prozesse aufgrund datenschutzrechtlicher Bestimmungen eingeführt und/oder geändert werden 
• Beschäftigten wird ein höherer Status verliehen, weil sie verstehen, dass sie eine verantwortungsvolle Aufgabe erfüllen
• die Gefahr von Datenpannen wird nachweislich reduziert und damit auch das Haftungsrisiko für die Geschäftsleitung

Checkliste für Datenschutzschulungen

1. Präsenzschulungen sind das Mittel der Wahl! Meine Erfahrungen zeigen eine signifikant höhere Interaktionsquote als bei Onlineschulungen.
2. Wenn es gar nicht anders geht, können Sie auch eine Onlineschulung in Betracht ziehen. Achten Sie dabei auf eine "Live-Online-Schulung".
3. Nicht zu empfehlen sind Lernprogramme, die Ihre Beschäftigten selbst durchklicken müssen. Aus Erfahrungen weiß man, dass hier die Motivation der Beschäftigten am geringsten ist. Der Lerneffekt ist ebenfalls dürftig. Aufwand/Nutzen stehen in einem ungünstigen Missverhältnis.

Kennen Sie schon meine anderen Beiträge zum Datenschutz?

Folgende Artikel sind auf anwalt.de bereits erschienen:

1. Wann benötige ich einen Datenschutzbeauftragten?
2. Cookies auf Webseiten: Alles gut oder teurer Spaß?
3. Datenschutzhinweis - Reicht der auf der Website?
4. IT-Sicherheit und Datenschutz -  best buddy`s?
5. Externe Dienstleister - Besonderheiten im Datenschutz
6. Datenübermittlung in Drittländer: Gute Idee oder "no-go"?
7. Bußgeld für Datenschutzverstoß - zahlen oder kämpfen?
8. Datenschutz-Doku - warum so unbeliebt?