So bilden Sie ihre Mitarbeiter zu Datenschutz-Profis aus

Ein Gastbeitrag von Magdalena Pawlitko, Piwik PRO27. März 2024

Datenschutz im Berufsalltag anzuwenden setzt die Aneignung von Wissen und praxisnahe Trainings voraus. Bei den meisten Unternehmen ist es damit jedoch nicht allzu weit hin.

Datenschutz wird aufgrund seiner Komplexität oft als eine Herausforderung wahrgenommen, doch seine Bedeutung in unserer zunehmend digitalisierten Welt ist unbestreitbar. Als die Datenschutzgrundverordnung (DSGVO) im Jahr 2018 eingeführt wurde, markierte dies einen Wendepunkt, der nicht nur umfassende Veränderungen in der Arbeitswelt nach sich zog, sondern auch viele erstmals dazu anregte, über die Wichtigkeit des Schutzes persönlicher Daten nachzudenken.

Wer mit personenbezogenen Daten arbeitet, sollte im rechtssicheren Umgang mit diesen geschult sein.

Sechs Jahre später ist Datenschutz durch technologische Entwicklungen, besonders bei künstlicher Intelligenz (KI), relevanter denn je. Neue rechtliche Rahmenbedingungen, wie der Digital Markets Act (DMA) oder die für 2024 beschlossene Abschaffung von Third-Party-Cookies im Google-Browser Chrome, erhöhen die Komplexität und fordern die Wirtschaft heraus, beeinflussen Arbeitsbedingungen und (internationale) Geschäftsbeziehungen und können unternehmerische Projekte erschweren.

Datenschutz im Unternehmensalltag: Große Herausforderungen

Jede neue oder überarbeitete Richtlinie, wie aktuell zum Beispiel beim Thema Consent-Management, hat für Unternehmen große Implikationen. Während aus Compliance-Sicht die Einhaltung der Gesetze selbstredend an oberster Stelle stehen muss, darf die Perspektive der betroffenen Abteilungen, zum Beispiel des Marketings, nicht aus den Augen verloren werden. Mit jeder neuen gesetzlichen Beschränkung oder Auflage müssen daher gemeinsam Lösungen erarbeitet und neue Möglichkeiten geprüft werden: Braucht es eine neue Software? Wie können Veränderungen möglichst reibungslos in den beruflichen Alltag integriert werden?

Aber gehen wir einen Schritt zurück: Wer wie auch immer mit (personenbezogenen) Daten arbeitet, sollte im rechtssicheren Umgang mit diesen geschult sein. Denn bei Datenschutzpannen drohen nicht nur hohe Strafen, sie haben auch weitreichende Auswirkungen auf die Reputation des Unternehmens.

Sind Datenschutzschulungen Pflicht?

Überraschend, aber: Nein, oder zumindest nicht in festgelegtem Umfang. Laut §37 DSGVO sind Unternehmen unter bestimmten Bedingungen zur Bestimmung eines Datenschutzbeauftragten verpflichtet, und dieser wiederum beauftragt, zu sensibilisieren und zu schulen. Das Bundesdatenschutzgesetz (BDSG-neu), welches die Dichtlinien der DSGVO in Deutschland umsetzt, macht in §38 einen Datenschutzbeauftragten für Unternehmen verpflichtend, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.“

In Europa sind nur rund 10 Prozent der Unternehmen davon überzeugt, Datenschutz vollständig zu gewährleisten.

Damit überträgt die Rechtslage im Wesentlichen den Unternehmen selbst die Pflicht, für die Datenschutzkenntnisse ihrer Angestellten zu sorgen. Eine aktuelle ISACA-Studie zeigt jedoch, dass in Europa nur rund zehn Prozent der Unternehmen davon überzeugt sind, Datenschutz vollständig zu gewährleisten und die aktuellen Regelungen einhalten zu können. Hinzu kommt, dass die Budgets für Datenschutz vielerorts sogar gekürzt werden. Das ist verwunderlich, sind Datenschutzskandale doch immer wieder Thema in den Nachrichten. Höchste Zeit also, dass alle Unternehmen die Wichtigkeit des Datenschutzes begreifen und ihn positiv im Selbstverständnis und in der Unternehmenskultur verankern.

Datenschutz in der Praxis

Eine nachhaltige, effektive Datenschutzkultur beginnt in der Unternehmensführung. Denn: Unternehmen tragen letztlich die volle rechtliche Verantwortung. Führungskräfte sorgen idealerweise dafür, dass alles, was sie und die Belegschaft benötigen, jederzeit „bereitliegt“. Das wären:

Eine sorgfältig ausgearbeitete, aktuelle Datenschutzrichtlinie
Eine zusätzliche Wissensdatenbank zu verschiedenen Praxisfällen
Ein IT-Anforderungskatalog für neue Software mit Schwerpunkt auf Datenschutz und Sicherheit
Fest geplante, mindestens halbjährliche Datenschutz-Reviews mit allen Abteilungen

Darüber hinaus sollte ein rechtssicherer Trainingsplan ausgearbeitet werden, der sowohl die Grundlagen abdeckt als auch abteilungsspezifische Trainings enthält. Zum Beispiel im Marketing: Wie funktioniert ein richtiges Double-Opt-In-Verfahren? Diese Trainings sollten fester Bestandteil der Arbeitskultur und für neue Mitarbeiter Teil des Onboardings sein. Ebenfalls unerlässlich: die nahtlose Dokumentation aller Teilnahmen an Datenschutz-Schulungen.

Fünf wirkungsvolle Praxis-Tipps für nachhaltige Datenschutzkultur

Damit Wissen nachhaltig verankert wird und diese Trainings nicht als lästige Arbeits-Unterbrechung wahrgenommen werden, sondern als eine Chance für alle Seiten, braucht es ein Set an praktikablen Methoden. Diese fünf Tipps können dabei helfen:

Offene Diskussionsrunden fördern: Der Austausch über Datenschutzfragen trägt dazu bei, eine positive Datenschutzkultur aufzubauen und integriert den Datenschutz in den Arbeitsalltag.
Praxisorientiertes Datenschutztraining: Es empfiehlt sich, alltägliche Abläufe als Lernfeld zu nutzen. Nehmen Sie beispielsweise die Handhabung von Kontaktinformationen im Vertriebsteam als Fallstudie, um theoretisches Wissen direkt anwendbar zu machen.
Lob und Motivation nicht vergessen: Ein bisschen Spaß muss sein und nimmt den Druck heraus. Führungskräfte sollten ihre Belegschaft stets motivieren. Hierfür eignen sich beispielsweise digitale Badges für erfolgreich abgeschlossene Schulungen.
Zeit einplanen und Verantwortung übernehmen: Bei bevorstehenden rechtlichen Änderungen, etwa im Bereich Cookies, ist es essenziell, sich im Team rechtzeitig darauf vorzubereiten, statt die Last auf Einzelne zu verteilen. Dies verhindert Unmut, der durch die Angst vor Fehlern oder durch die Sorge vor komplexen Implementierungen entstehen kann. Datenschutzanpassungen sollten als gemeinsame Aufgabe angegangen werden, mit klaren Rollen und einer Vorbildfunktion der Führungskräfte.
Gutes tun und darüber sprechen: Ein LinkedIn-Post der letzten Schulung kann zeigen, dass ein Unternehmen Datenschutz ernst nimmt und in die Weiterbildung der Mitarbeiter investiert. Solche medialen Beiträge fördern nicht nur das Bewusstsein für Datenschutz, sondern stärken auch das Markenimage als verantwortungsbewusstes Unternehmen.

Eine effektive Datenschutzpraxis ist gut machbar

Datenschutzkompetenz unter Mitarbeitern zu fördern, ist notwendig und machbar. Durchhaltevermögen und die Bereitschaft, ständig Neues zu lernen, sind dabei unverzichtbare Bestandteile. Mit vorausschauender Planung, angemessenem Budget und Maßnahmen, die auch ein bisschen Spaß machen, lässt sich eine effektive Datenschutzpraxis gut realisieren.