Schulung zur Einhaltung der DSGVO: Anforderungen und bewährte Verfahren

Was ist eine Schulung zur Einhaltung der DSGVO?

Eine DSGVO-Schulung vermittelt Mitarbeitern, wie sie mit personenbezogenen Daten im Einklang mit der Datenschutz-Grundverordnung (DSGVO) umgehen müssen – dem EU-Recht, das regelt, wie Organisationen personenbezogene Daten erheben, speichern und verarbeiten.

Eine gute Schulung leistet mehr als nur die Erläuterung der Rechtsvorschriften. Sie vermittelt den Teilnehmern, was die Vorschriften für ihre jeweilige Rolle bedeuten: wie man personenbezogene Daten erkennt, wie man auf eine Kundenanfrage reagiert, was zu tun ist, wenn etwas schiefgeht, und wie man alltägliche Fehler vermeidet, die zu einer Datenschutzverletzung führen können.

Kurz gesagt: Es ist der Unterschied zwischen einem Team, das von der DSGVO gehört hat, und einem Team, das weiß, wie es sich daran halten muss.

Ist eine Schulung zur Einhaltung der DSGVO verpflichtend?

Die DSGVO enthält keine einzige Zeile, in der es heißt: „Sie müssen jährliche Schulungen durchführen.“ Dennoch sind Schulungen aus zwei Gründen praktisch erforderlich.

Erstens erwartet die Verordnung dies. Der Grundsatz der Rechenschaftspflicht bedeutet, dass Sie die Einhaltung nachweisen müssen, nicht nur behaupten dürfen, und die Sensibilisierung der Mitarbeiter ist Teil davon. Wenn eine Organisation einen Datenschutzbeauftragten ernennt, wird ihm gemäß Artikel 39 ihn ausdrücklich damit beauftragt, das Bewusstsein zu schärfen und die an der Verarbeitung beteiligten Mitarbeiter zu schulen.

Zweitens, und das ist eher praktischer Natur: Was passiert, wenn Sie Ihre Mitarbeiter nicht schulen? Menschliches Versagen ist die Ursache für einen Großteil der Datenschutzverletzungen, und die Strafen können schwerwiegend sein. Über die Geldbuße hinaus fallen die Kosten der Datenschutzverletzung selbst an: behördliche Ermittlungen und ein dauerhafter Reputationsschaden bei den Kunden, deren Daten Sie nicht geschützt haben.

Während es für den Begriff „obligatorisch“ also eine technische Antwort gibt, ist die praktische Antwort einfacher: Wenn Sie personenbezogene Daten verarbeiten, müssen Sie die Mitarbeiter schulen, die mit diesen Daten umgehen.

Wer benötigt eine Schulung zur Einhaltung der DSGVO?

Jeder, der mit personenbezogenen Daten umgeht, benötigt eine Schulung, doch deren Tiefe und Schwerpunkt sollten je nach Funktion variieren. Ein einheitliches Modul für alle ist der häufigste Grund dafür, dass Schulungen keinen bleibenden Eindruck hinterlassen.

DSGVO-Schulung für Mitarbeiter

Jeder Mitarbeiter, der mit personenbezogenen Daten in Berührung kommt – von Kundendaten bis hin zu den Angaben von Kollegen –, benötigt eine grundlegende DSGVO-Schulung für Mitarbeiter. Diese umfasst die Kernprinzipien, das Erkennen personenbezogener Daten, sichere Umgangsweisen sowie das Erkennen und Melden von Problemen. Auf dieser Ebene ist dies von größter Bedeutung, da alltägliche Handlungen wie eine falsch adressierte E-Mail, ein schwaches Passwort oder ein Phishing-Link die Ursache für die meisten Datenschutzverletzungen sind. Es bildet die Grundlage, auf der der Rest Ihres Programms aufbaut.

DSGVO-Schulung für Führungskräfte

Führungskräfte sind dafür verantwortlich, wie ihre Teams mit Daten umgehen, und entscheiden oft, welche Daten erfasst werden und aus welchem Grund. Ihre Schulung sollte einen Schritt weiter gehen: Rechtsgrundlagen für die Verarbeitung, Überwachung der Praktiken im Team, Vorleben der Ernsthaftigkeit, mit der der Datenschutz genommen wird, sowie das Wissen, wann ein Problem an den Datenschutzbeauftragten weitergeleitet werden muss.

DSGVO-Compliance-Schulung für Personal- und Weiterbildungsteams

Personalabteilungen verarbeiten einige der sensibelsten personenbezogenen Daten in jedem Unternehmen, von Bewerbungsunterlagen bis hin zu Gesundheits- und Gehaltsdaten. Die Personal- und Weiterbildungsabteilungen benötigen gezielte Schulungen zu Aufbewahrungsfristen (einschließlich der Frage, wie lange Bewerberdaten nach dem Einstellungsprozess aufbewahrt werden müssen), Einwilligungen, Daten besonderer Kategorien sowie den Vorschriften zur Mitarbeiterüberwachung. Die Personalentwicklung (L&D) übernimmt zudem eine Aufgabe, die nur wenige andere übernehmen: die unternehmensweite Durchführung von Schulungen und die Führung von Nachweisen über deren Abschluss, die belegen, dass diese tatsächlich stattgefunden haben.

Schulungen zur Einhaltung der DSGVO für Auftragnehmer und Dritte

Ihre Verpflichtungen beschränken sich nicht auf Ihre eigenen Mitarbeiter. Auftragnehmer, Freiberufler und Lieferanten, die in Ihrem Auftrag personenbezogene Daten verarbeiten, unterliegen denselben Standards, und Sie sind dafür verantwortlich, sicherzustellen, dass diese eingehalten werden. Weiten Sie die Schulungen auf alle Personen aus, die Daten für Sie verarbeiten, oder verlangen Sie einen Nachweis darüber.

Sobald Sie wissen, wer eine Schulung benötigt und in welchem Umfang, lautet die nächste Frage: Was verlangt die Verordnung von dieser Schulung?

Schulungsanforderungen der DSGVO

Die DSGVO legt keinen festen Lehrplan fest, schafft jedoch klare Erwartungen hinsichtlich dessen, was Ihre Schulung leisten muss und wie Sie dies nachweisen können. Drei Fragen tauchen am häufigsten auf: Was verlangt die Verordnung, wie oft müssen die Mitarbeiter geschult werden und ist eine Zertifizierung erforderlich?

Was verlangt die DSGVO?

Die DSGVO schreibt keinen Lehrplan vor, doch einige ihrer Verpflichtungen sind nur dann erfüllbar, wenn Ihre Mitarbeiter geschult sind. Sie sind verpflichtet, die Einhaltung der Vorschriften nachzuweisen, nicht nur zu behaupten. Sie sind verpflichtet, personenbezogene Daten durch geeignete Sicherheitsmaßnahmen zu schützen und sicherzustellen, dass alle Personen, die unter Ihrer Aufsicht arbeiten, Daten nur gemäß Ihren Anweisungen verarbeiten – was in der Praxis bedeutet, ihnen beizubringen, wie dies zu geschehen hat. In Organisationen mit einem Datenschutzbeauftragten sind die Sensibilisierung und Schulung der Mitarbeiter ausdrücklich in dessen Aufgabenbereich festgeschrieben. Und multinationale Unternehmen, die nach verbindlichen Unternehmensregeln arbeiten, müssen alle Personen schulen, die Zugang zu personenbezogenen Daten haben.

In der Praxis bedeutet dies, dass Schulungen dokumentiert, auf dem neuesten Stand gehalten, durch Aufzeichnungen belegt werden müssen, aus denen hervorgeht, wer was wann absolviert hat, und idealerweise auf die Risiken der jeweiligen Funktion zugeschnitten sein sollten.

Wie oft sollten Mitarbeiter geschult werden?

Die DSGVO legt kein festes Intervall fest. Bewährt ist es, neue Mitarbeiter während der Einarbeitung zu schulen, die gesamte Organisation mindestens einmal jährlich auf den neuesten Stand zu bringen und zusätzliche Schulungen durchzuführen, sobald sich Ihre Prozesse ändern, das Gesetz aktualisiert wird oder ein Vorfall eine Lücke aufdeckt.

Ist eine DSGVO-Zertifizierung erforderlich?

Nein. Es gibt kein obligatorisches DSGVO-Zertifikat, das eine Organisation als „konform“ ausweist. Artikel 42 erlaubt zwar anerkannte Zertifizierungsmechanismen und Gütesiegel, diese sind jedoch freiwillig. Einzelne Fachkräfte können Qualifikationen erwerben und Abschlusszertifikate für ihre eigenen Schulungen ausstellen, was als nützlicher Nachweis dient, jedoch ist keines davon gesetzlich vorgeschrieben.

Was sollte eine DSGVO-Compliance-Schulung abdecken?

Ein wirksames Programm umfasst fünf Kernbereiche.

1. Grundsätze der DSGVO

Beginnen Sie mit den sieben Grundsätzen, die den Kern der Verordnung bilden. Einfach ausgedrückt:

• Sie benötigen einen triftigen Grund für die Verwendung der Daten einer Person und müssen dies offenlegen (Rechtmäßigkeit, Fairness und Transparenz).

• Verwenden Sie die Daten ausschließlich für den Zweck, für den Sie sie erhoben haben (Zweckbindung).

• Erheben Sie nur die Daten, die Sie benötigen (Datenminimierung).

• Halten Sie die Daten korrekt und auf dem neuesten Stand (Richtigkeit).

• Bewahren Sie die Daten nicht länger als nötig auf (Speicherbegrenzung).

• Sorgen Sie für deren Sicherheit (Integrität und Vertraulichkeit).

• Und seien Sie in der Lage nachzuweisen, dass Sie alle oben genannten Grundsätze einhalten (Rechenschaftspflicht).

Ihre Mitarbeiter müssen diese Grundsätze nicht auswendig aufsagen. Sie müssen jedoch erkennen, wann eine Anfrage oder Aufgabe einem dieser Grundsätze zuwiderläuft – beispielsweise wenn sie gebeten werden, eine Kundenliste für eine Kampagne wiederzuverwenden, für die diese ursprünglich gar nicht erhoben wurde. Alles Weitere in Ihrer Schulung ergibt sich daraus.

2. Personenbezogene Daten und Rechte der betroffenen Personen

Zunächst einmal ist der Begriff „personenbezogene Daten“ weiter gefasst, als die meisten Menschen annehmen. Es handelt sich nicht nur um Namen und Kontaktdaten, sondern um alles, was eine Person direkt oder indirekt identifizieren kann: eine IP-Adresse, eine Kunden-ID, ein Foto, sogar eine Berufsbezeichnung in einem kleinen Team. Eine Untergruppe, die sogenannten Daten besonderer Kategorien, umfasst sensible Informationen wie Gesundheitsdaten, ethnische Zugehörigkeit, Religion und biometrische Daten und unterliegt strengeren Vorschriften. Mitarbeiter, die personenbezogene Daten nicht erkennen können, können diese auch nicht schützen.

Zweitens haben Personen Rechte an ihren Daten: das Recht, diese einzusehen (Auskunft), zu berichtigen (Berichtigung), löschen zu lassen (Löschung), deren Nutzung auszusetzen (Einschränkung), sie an einen anderen Ort zu übertragen (Datenübertragbarkeit) und deren Nutzung zu widersprechen. Die Mitarbeiter müssen diese Anfragen nicht selbst bearbeiten, müssen sie jedoch erkennen, sobald sie eingehen, und sie unverzüglich weiterleiten, da die Frist in diesem Moment beginnt.

3. Datensicherheit und häufige Risiken

Hier beginnen die meisten Datenschutzverletzungen. Die alltäglichen Risiken sind am bedeutendsten: das Versenden personenbezogener Daten an den falschen Empfänger, das Versenden an eine Mailingliste im CC-Feld statt im BCC-Feld, das Anklicken eines Phishing-Links, das Kopieren von Kundendaten in eine persönliche Tabellenkalkulation oder ein nicht genehmigtes Tool oder das ungesicherte Zurücklassen eines Laptops außerhalb des Büros.

Gehen Sie auf die Gewohnheiten ein, die solche Vorfälle verhindern: sichere Passwörter und Multi-Faktor-Authentifizierung; Zugriff nur auf die Daten, die für Ihre Rolle erforderlich sind; Dateifreigabe über genehmigte Kanäle; Sicherung von Geräten unterwegs; sowie die ordnungsgemäße Entsorgung von Daten – sowohl in digitaler als auch in Papierform –, wenn diese nicht mehr benötigt werden.

Verknüpfen Sie jedes Risiko mit einem Szenario, das Ihre Mitarbeiter aus ihrem eigenen Arbeitsalltag wiedererkennen werden.

4. Meldung von Datenschutzverletzungen

Jeder sollte wissen, wie man eine potenzielle Datenschutzverletzung erkennt und diese unverzüglich meldet, denn die Zeit drängt. Gemäß Artikel 33muss eine meldepflichtige Datenschutzverletzung innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden. Ihre Schulung sollte dafür sorgen, dass die interne Meldung schnell und ohne Schuldzuweisungen erfolgt.

5. Unternehmensrichtlinien und -verfahren

Alles oben Genannte ist gesetzlich vorgeschrieben. In diesem Teil geht es darum, was dies für Ihr Unternehmen konkret bedeutet – und genau das kann Ihnen ein Standardkurs nicht vermitteln.

Die Mitarbeiter sollten nach Abschluss der Schulung wissen, welche Systeme und Tools für personenbezogene Daten zugelassen sind (und dass die Einführung eines neuen Systems nicht nur eine Entscheidung der IT-Abteilung ist); wie lange Ihr Unternehmen verschiedene Arten von Daten aufbewahrt und welche Rolle sie dabei spielen, dass keine verstreuten Kopien entstehen, die länger bestehen bleiben als die Daten selbst; was Ihre Datenschutzrichtlinie im Alltag von ihnen verlangt und vor allem, an wen sie sich bei Fragen oder Bedenken genau wenden können. Nennen Sie diese Person oder Funktion namentlich. Wenn sich die Mitarbeiter nur eine Sache aus Ihrer Schulung merken, dann sollte es genau das sein.

Genau das ist es, was allgemeines Wissen in Ihrem Unternehmen in konkretes Handeln umsetzt.

Zusammen führen diese fünf Bereiche dazu, dass die Mitarbeiter die Regeln nicht nur verstehen, sondern auch in ihrer täglichen Arbeit anwenden. Der nächste Schritt besteht darin, diese Inhalte in ein Programm umzusetzen, das die Mitarbeiter absolvieren können und dessen Abschluss Sie nachweisen können.

So erstellen Sie ein Schulungsprogramm zur Einhaltung der DSGVO

Zu wissen, welche Themen behandelt werden müssen, ist eine Sache. Ein Programm auf die Beine zu stellen, das die Mitarbeiter absolvieren und dessen Abschluss Sie nachweisen können, ist eine andere. Hier ist eine praktische Vorgehensweise.

Kenntnislücken ermitteln und festlegen, wer welche Schulungen benötigt

Beginnen Sie damit, die tatsächlichen Risikobereiche zu identifizieren. Welche Teams bearbeiten die sensibelsten Daten? Wo sind in der Vergangenheit Fehler aufgetreten? Nutzen Sie diese Erkenntnisse, um zu ermitteln, wer eine Grundschulung benötigt und wer rollenspezifische Vertiefung benötigt, anstatt allen das gleiche Modul zuzuweisen.

Erstellen oder beschaffen Sie Ihre Schulungsinhalte

Verwandeln Sie die fünf oben behandelten Kernthemen in gezielte, leicht verständliche Lerneinheiten. Halten Sie die Module kurz, verwenden Sie reale Szenarien aus Ihrem eigenen Unternehmen und bauen Sie Fragen ein, damit die Teilnehmer das Gelernte anwenden müssen, anstatt nur auf „Weiter“ zu klicken.

Weisen Sie Schulungen zu, verfolgen Sie den Fortschritt und dokumentieren Sie den Abschluss

Weisen Sie den richtigen Gruppen die passenden Schulungen zu, legen Sie Fristen fest und führen Sie Buch darüber, wer was wann und mit welcher Punktzahl abgeschlossen hat. Diese Dokumentation ist kein Verwaltungsaufwand um seiner selbst willen; sie ist der Nachweis, der die Einhaltung der Vorschriften belegt, falls Sie jemals dazu befragt werden.

Halten Sie das Programm mit Auffrischungsschulungen auf dem neuesten Stand

DSGVO-Schulungen sind keine einmalige Angelegenheit. Planen Sie Auffrischungsschulungen ein, aktualisieren Sie die Inhalte, wenn sich Vorschriften oder interne Prozesse ändern, und führen Sie nach jedem Vorfall erneute Schulungen durch. Ein lebendiges Programm ist weitaus besser vertretbar als ein Zertifikat von vor drei Jahren.

Damit verfügen Sie über ein funktionierendes Programm. Was jedoch ein Programm, das lediglich funktioniert, von einem unterscheidet, das tatsächlich Verhaltensänderungen bewirkt, lässt sich auf einige Grundsätze zurückführen, die es von Anfang an zu berücksichtigen gilt.

Bewährte Verfahren für DSGVO-Compliance-Schulungen

Die Behandlung der richtigen Themen sorgt auf dem Papier für ein konformes Programm. Diese Vorgehensweisen sorgen dafür, dass es auch wirklich greift, sodass die Mitarbeiter das Gelernte behalten und ihren Umgang mit Daten ändern.

Passen Sie die Schulungen an verschiedene Rollen an

Allgemeine Schulungen sind Schulungen, die schnell in Vergessenheit geraten. Wenn die Teilnehmer Szenarien aus ihrem eigenen Arbeitsalltag sehen, steigen Engagement und Merkfähigkeit – und damit auch die Wahrscheinlichkeit, dass sie ihr Verhalten ändern.

Setzen Sie interaktive Lernmethoden ein

Passive Präsentationen ändern kein Verhalten. Quizfragen, Fallbeispiele und kurze Wissensüberprüfungen zwingen die Teilnehmer zur aktiven Teilnahme und liefern Ihnen Daten darüber, wo Verständnislücken bestehen.

Bieten Sie regelmäßige Auffrischungsschulungen an

Menschen vergessen. Vorschriften und Prozesse ändern sich. Kurze, regelmäßige Auffrischungsschulungen sorgen dafür, dass die DSGVO stets im Bewusstsein bleibt und Ihre Unterlagen auf dem neuesten Stand sind – anstatt sich auf eine einzige jährliche Marathonsitzung zu verlassen.

All dies lässt sich manuell immer schwerer aufrechterhalten, wenn Ihr Team wächst – sei es bei der Anpassung von Inhalten, der Durchführung von Interaktionen oder der Nachverfolgung von Auffrischungsschulungen. Hier macht das richtige Tool den Unterschied.

Wie ein LMS dabei hilft, Online-Schulungen zur DSGVO-Konformität durchzuführen

All dies manuell unternehmensweit zu bewältigen, wird schnell unüberschaubar. Ein Learning-Management-System (LMS) macht DSGVO-Compliance-Schulungen online praktikabel und skalierbar.

Mit einem LMS können Sie rollenspezifische Kurse einmalig erstellen und den entsprechenden Gruppen zuweisen, Quizze und Zertifikate hinzufügen sowie Erinnerungen automatisieren, sodass Sie niemanden extra daran erinnern müssen.

Am wichtigsten bei einem Compliance-Thema ist jedoch die Berichterstellung: eine übersichtliche, exportierbare Aufzeichnung darüber, wer welche Schulung wann absolviert hat und welche Ergebnisse erzielt wurden – genau die Dokumentation, die das Rechenschaftsprinzip erwartet.

Erstellen Sie Schulungen zur DSGVO-Compliance mit EasyLMS 

EasyLMS bietet Ihnen alles, was Sie benötigen, um Schulungen zur Einhaltung der DSGVO an einem Ort zu erstellen, bereitzustellen und nachzuverfolgen. Erstellen Sie Kurse und Prüfungen, gruppieren Sie Ihre Lernenden, stellen Sie nach Abschluss Zertifikate aus und rufen Sie teilnehmerbezogene Berichte ab, wann immer Sie einen Nachweis darüber benötigen, wer geschult wurde.

Wenn Sie Schulungen für Kunden oder an mehreren Standorten durchführen, können Sie jede Gruppe mit eigenen Inhalten und Berichten separat verwalten und das Erlebnis unter Ihrer eigenen Marke als White-Label-Lösung bereitstellen. Dies ist eine unkomplizierte Möglichkeit, ein Compliance-Programm durchzuführen, das für Administratoren einfach zu verwalten und für Teilnehmer leicht zu absolvieren ist.

Starten Sie noch heuteIhre kostenlose Testversion und erstellen Sie Ihren ersten Kurs zur Einhaltung der DSGVO.

Nützliche Ressourcen

1. Datenschutz-Grundverordnung (DSGVO)