Datenschutzunterweisung : Vom Groschengrab zur Prävention
Neue Mitarbeiter sind möglichst am ersten Arbeitstag auch im Datenschutz zu unterweisen. Die Unterweisung ist u.a. ein Element, um sicherzustellen, dass die neuen Mitarbeiter personenbezogene Daten ausschließlich nach Weisung des Arbeitgebers verarbeiten (Art. 29 Datenschutz-Grundverordnung (DS-GVO)). Viele Unternehmen teilen deshalb Merkblätter aus oder schulen mittels Vorträgen oder Onlinekursen. Nach fast fünf Jahren praktischer Erfahrung mit der DS-GVO lohnt sich ein kritischer Blick auf die Praxis hinsichtlich Effektivität und Effizienz.
Dieser Beitrag will deshalb Anregungen geben, wie die Datenschutzunterweisung geprüft und ggf. zielgerichteter erfolgen kann.
Warum unterweisen?
Warum soll eine Datenschutzunterweisung durchgeführt werden?
Ziele könnten etwa sein:
- um formal gesetzliche Anforderungen umzusetzen,
- um in Prozesse des Unternehmens einzuweisen oder
- um Sicherheitsvorfälle bspw. durch unzulässige Datenverarbeitung zu vermeiden.
Das Ziel oder die Ziele sind letztlich die Messlatte, um die Effektivität und Effizienz von Unterweisungen zu bewerten. Eine Unterweisung ist effektiv, wenn das angestrebte Ziel durch die Unterweisung erreicht wird. Effizient ist eine Unterweisung, die das Ziel mit minimalem Einsatz von Ressourcen, wie zum Beispiel Kosten für die Schulung, erreicht.
Soll lediglich formal eine Unterweisung erfolgen, ist der Lernerfolg eher unwichtig. Es reicht unter Umständen aus, ein – unverständliches – kurzes Merkblatt auszuhändigen. Sollen hingegen Sicherheitsvorfälle vermieden werden, bietet es sich an, durch Tests zu prüfen, ob der Inhalt der Unterweisung auch verstanden und verinnerlicht wurde. Der Inhalt sollte so aufbereitet sein, dass neue Mitarbeiter diesen verstehen und nachvollziehen können. Die inhaltlichen und didaktischen Anforderungen sind höher als bei einer primär formalen Unterweisung.
Es empfiehlt sich, die Unterweisung auf eine Verhinderung von zukünftigen Sicherheitsvorfällen auszurichten. Jeder verhinderte Sicherheitsvorfall spart Kosten in Form vermiedener Schadensersatzansprüche, Bußgelder und Imageschäden.
Gleiche Kost für jeden?
Häufig scheint es einfacher zu sein, Beschäftigte einer einheitlichen Unterweisung zu unterziehen. Beim rein formalen Unterweisungsziel ist der Ansatz ausreichend. Wird hingegen Wert auf den Lernerfolg gelegt, ist eine Differenzierung nach den späteren Tätigkeiten effektiver. Ein Fahrer braucht bspw. die rechtlichen Hintergründe nicht zu kennen. Ein Bereichsleiter hingegen muss auch neue Sachverhalte einschätzen können.
Als Faustregel bietet es sich an, die Entscheidungsfreiheit der Position als Maßstab zu nehmen. Je strikter die (prozessualen) Vorgaben sind, desto eher kann sich die Unterweisung auf die Schulung dieser Prozesse konzentrieren und auf jegliche Begründung oder Herleitung verzichtet („Tu, was man dir sagt“).
Am anderen Ende des Spektrums sind Positionen angesiedelt, die weitreichende Entscheidungsfreiheit haben, Prozesse konzipieren oder neue Produkte entwickeln. Diese Tätigkeiten zeichnen sich dadurch aus, dass Neues auf seine datenschutzrechtliche Zulässigkeit hin beurteilt werden muss. Konkrete Vorgaben im Sinne von „tue dieses“ und „lasse das sein“ sind nicht möglich.
Jede Unterweisung kostet in der Erstellung und Durchführung Geld. Je mehr Personen von der gleichen Unterweisung profitieren, desto höher ist die Effizienz. Auf der anderen Seite ist eine Unterweisung maßgeschneidert, für jede Position – oder als Extrem – jeden Beschäftigten möglichweise sehr effektiv. Effizienz und Effektivität stehen in einem Spannungsverhältnis.
Es bietet sich an, die Positionen eines Unternehmens in Klassen einzuteilen. Jede Klasse erhält die gleiche, auf die jeweiligen Anforderungen zugeschnittene Unterweisung.
Zur Illustration verwendet dieser Beitrag drei Klassen:
- Stark strukturierte Positionen (kurz „stark“):
Sind Positionen, in denen die Tätigkeit weitestgehend vorgegeben ist und der Beschäftigte angehalten ist, den Vorgaben zu folgen. Beispiele: Handwerker, Fahrer, Picker, Callcenter-Agenten, Hausmeister, pädagogische Fachkräfte, Kassenpersonal und Ableser.
- Mittel strukturierte Positionen (kurz „mittel“):
Zeichnen sich durch eine Mischung aus vorgegebenen Prozessen und Entscheidungsfreiheit aus. Zu den Aufgaben zählen bspw. kleinere Prozessanpassungen, die Auswahl von Dienstleistern und Produkten sowie die Durchführung von Werbemaßnahmen und die Gestaltung von Webseiten. Beispiele: Softwareentwickler, Mitarbeiter insbesondere in den Bereichen Marketing/Vertrieb/Personalverwaltung/ Buchhaltung/IT, Fachkräfte für Arbeitssicherheit und Teamleiter.
- Schwach strukturierte Positionen (kurz „schwach“):
Zeichnen sich durch eine größere Entscheidungs- und Gestaltungsfreiheit aus. Zu den Aufgaben gehören insbesondere Entscheidungen über neue Prozesse und Prozessanpassungen sowie die Beauftragung von Dienstleistern und die Beschaffung von Produkten als auch Entscheidungen
über die Durchführung von Vertriebs- und Werbemaßnahmen. Positionen mit Prüf- oder Freigabepflichten zählen auch zu dieser Klasse. Beispiele: Führungskräfte oberhalb der Teamleiterebene, Datenschutzkoordinatoren, Compliance-Beauftragte, interne Juristen, Betriebsärzte, Innenrevision und selbstverständlich auch Geschäftsführer.
Welcher Inhalt?
Eine Datenschutzunterweisung gibt das Datenschutzgesetz, also die DS-GVO, wieder. Richtig? Besser nicht. Die DS-GVO erlegt wie jedes andere Gesetz dem Unternehmen Pflichten auf. Die konkrete Umsetzung dieser auferlegten Pflichten gestaltet jedes Unternehmen anders. Aus Sicht eines Mitarbeiters stellt sich primär die Frage: „Wie soll ich es machen?“ Die Frage: „Warum soll mein Arbeitgeber das machen?“, ist für ihn von untergeordneter Bedeutung.
Inhaltlich bietet es sich an, die Unterweisungen für die jeweiligen Klassen aufeinander aufbauen zu lassen. Die Inhalte der Klasse „stark“ erhalten alle Klassen. Die Inhalte der Klasse „mittel“ werden den Klassen „mittel“ und „schwach“ präsentiert usw..
Voraussetzung für jede Datenschutzunterweisung ist, dass die Beschäftigten bereits in ihre fachlichen Aufgaben eingeführt wurden.
Mit Blick auf die Vorgaben und basierend auf der Erfahrung des Autors sollten die folgenden Inhalte unterwiesen werden. Die Verteilung auf die Klassen lässt sich bspw. wie folgt vornehmen (ohne Anspruch auf Vollständigkeit):
„Druckbetankung“ oder „langsames Füttern“?
Die eingesetzte Unterweisungsmethode hat maßgeblichen Einfluss auf den Lernerfolg. Ein ausgehändigtes Merkblatt lässt sich theoretisch vom Beschäftigten auswendig lernen. In der Praxis wird es allerhöchstens einmal überflogen und abgeheftet. Der Lernerfolg bleibt sehr gering.
Es kommt sowohl auf die Form – Vorträge, Präsenzschulungen, Onlineschulungen usw. – als auch auf die didaktische Gestaltung an. Wird der Beschäftigte zur aktiven Mitarbeit, bspw. durch Übungsaufgaben, angehalten, nimmt er die Lerninhalte bewusster wahr. Der Lernerfolg steigt. Eine Kombination aus verschiedenen Formen und einem starken Praxisbezug hilft zusätzlich, den Lernerfolg zu verbessern.
Abschlussprüfungen erlauben nicht nur, festzustellen, ob der Lerninhalt im Gedächtnis behalten oder gar verstanden wird, sondern signalisieren dem Beschäftigten zugleich, dass die Unterweisung wichtig ist. Die Erfahrung zeigt, dass Beschäftigte sich aktiver bemühen, sich an die Lerninhalte zu erinnern und diese zu verstehen, wenn sie wissen, dass eine Abschlussprüfung zu bestehen ist. Aus diesem Grund sind Abschlussprüfungen insbesondere dann empfehlenswert, wenn zukünftige Sicherheitsvorfälle vermieden werden sollen oder Beschäftigte Positionen aus der Klasse „schwach“ innehaben.
Fazit
Fast fünf Jahre praktischer Erfahrung mit der DS-GVO liegen hinter uns. Es ist deshalb an der Zeit, auch die Unterweisung in den Datenschutz hinsichtlich ihrer Effektivität und Effizienz zu überprüfen. Ein nach Positionen differenzierter Ansatz erhöht die Effizienz der Unterweisung. Eine Orientierung an den jeweiligen Prozessen und Umsetzungen im Unternehmen steigert die Effektivität.
Dr. Niels Lepperhoff, Xa mit Bewertungsgesellschaft mbH